Demandes d’accès Loi 25 : un agent IA pour répondre dans les 30 jours
« Pouvez-vous m’envoyer tout ce que vous avez à mon sujet? » Depuis la Loi 25, un client, un employé ou un ancien employé peut poser cette question à n’importe quelle entreprise du Québec. Le problème, c’est rarement la mauvaise volonté. C’est que la demande arrive dans la boîte info@, un vendredi, que personne ne sait qui doit s’en occuper, et que les renseignements sont éparpillés entre les courriels, le CRM, la comptabilité et un dossier partagé.
La loi, elle, ne laisse que 30 jours. Les demandes d’accès Loi 25 sont un bon exemple de tâche qu’un agent IA simplifie : il repère, classe, cherche et prépare, pendant que votre responsable de la protection des renseignements personnels garde chaque décision. Voici comment.
Ce que la loi exige quand une demande arrive
La Loi sur la protection des renseignements personnels dans le secteur privé encadre les demandes d’accès et de rectification. Les règles sont claires, mais nombreuses :
| Ce que la loi prévoit | Article | Ce que ça veut dire pour vous |
|---|---|---|
| La demande est faite par écrit, par une personne qui prouve son identité, et adressée au responsable de la protection des renseignements personnels | 30 | Il faut reconnaître une demande, même quand elle arrive dans la boîte générale ou par le formulaire de contact. Si elle est imprécise, le responsable aide la personne à la préciser. |
| Réponse écrite, avec diligence, au plus tard dans les 30 jours de la réception | 32 | Sans réponse dans le délai, la demande est réputée refusée, et la personne peut s’adresser à la Commission d’accès à l’information. |
| Confirmer l’existence des renseignements, en donner une copie et une transcription intelligible | 27 | Un renseignement informatisé recueilli auprès de la personne lui est remis, à sa demande, dans un format technologique structuré et couramment utilisé. |
| Accès gratuit; des frais raisonnables possibles pour la transcription, la reproduction ou la transmission | 33 | Le montant approximatif doit être annoncé avant de traiter la demande. |
| Un refus est motivé, cite la disposition de la loi et indique le recours et son délai | 34 | La personne a 30 jours pour contester le refus devant la Commission (art. 43). |
| Rectification des renseignements inexacts, incomplets ou équivoques | 28 et 35 | Après correction, la personne reçoit sans frais une copie du renseignement modifié ou une attestation de sa suppression. |
| Ne pas révéler les renseignements d’un tiers quand cela risque de lui nuire sérieusement | 40 | Les courriels et dossiers contiennent souvent d’autres noms : ils doivent être masqués avant l’envoi. |
Un détail souvent oublié : par défaut, le responsable de la protection des renseignements personnels est la personne qui a la plus haute autorité dans l’entreprise. Elle peut déléguer ce rôle par écrit, et son titre et ses coordonnées doivent être publiés sur votre site Web (art. 3.1). Voyez par exemple notre politique de confidentialité.
Un agent IA pour trier les demandes d’accès Loi 25
Un agent IA, c’est un assistant qui lit, classe et prépare, selon vos règles écrites. Sa première utilité : reconnaître une demande, même quand elle ne dit jamais « Loi 25 ». Voici une boîte générale un lundi matin, avec des messages fictifs.
Ce tri a l’air simple, mais c’est là que la plupart des PME échappent le délai. Une demande imprécise reste sans réponse, alors que la loi demande justement d’aider la personne à la préciser.
Les 30 jours, étape par étape
Une demande d’accès, du jour 0 au jour 30
028152230
Jour 0 · Réception
Agent
Inscription au registre, accusé de réception préparé, échéance calculée.
Jour 2 · Identité
Responsable
Vérification de l’identité de la personne avant toute recherche.
Jour 8 · Recherche
Agent
Courriels Microsoft 365, CRM, comptabilité, dossiers partagés : en lecture seule.
Jour 15 · Dossier
Agent
Copie assemblée, renseignements de tiers signalés, réponse rédigée.
Jour 22 · Décision
Responsable
Relecture, masquage approuvé, frais éventuels annoncés, réponse signée.
Jour 30 · Limite
Loi
Au-delà, la demande est réputée refusée. Viser une marge d’une semaine.
Calendrier indicatif pour un exemple fictif. L’agent envoie des rappels au responsable à J+15, J+22 et J+27 si le dossier n’avance pas.
La recherche est le gros morceau. L’agent fouille, en lecture seule, les sources que vous avez autorisées : les courriels dans Microsoft 365, le CRM, le logiciel comptable, les dossiers partagés. C’est le même principe qu’un agent IA de mémoire d’entreprise, mais centré sur une seule personne et avec un registre de chaque recherche.
Qui fait quoi : l’agent prépare, une personne décide
🤖 L’agent IA prépare
- ▸ Repère les demandes d’accès et de rectification, peu importe la boîte où elles arrivent.
- ▸ Tient le registre et calcule l’échéance de 30 jours.
- ▸ Cherche la personne dans les sources autorisées, en lecture seule.
- ▸ Assemble une copie lisible et, sur demande, un fichier structuré (CSV, JSON).
- ▸ Surligne les renseignements de tiers à masquer.
- ▸ Rédige la réponse avec les mentions exigées en cas de refus (motif, article, recours, délai).
🧑💼 Le responsable décide
- ✔ Vérifie l’identité de la personne.
- ✔ Accepte, refuse en partie ou refuse, en motivant.
- ✔ Approuve chaque masquage.
- ✔ Annonce des frais, s’il y en a, avant de traiter.
- ✔ Signe et envoie la réponse.
- ✔ Corrige les données dans les systèmes, ou confirme la correction faite.
Cette séparation n’est pas une précaution de style. Une réponse d’accès peut contenir des renseignements sur d’autres personnes, un refus doit citer le bon article, et une erreur peut se retrouver devant la Commission d’accès à l’information. L’agent fait gagner du temps sur la préparation; le jugement reste humain.
Gains et limites
✅ Ce que vous y gagnez
- Aucune demande oubliée dans une boîte générale ou un formulaire.
- Un délai de 30 jours suivi au jour près, avec des rappels.
- Des recherches qui prennent quelques minutes au lieu d’un après-midi.
- Des réponses complètes et uniformes, en français ou en anglais.
- Un registre prêt à montrer en cas de plainte à la Commission.
⚠️ Les limites à respecter
- L’agent n’a accès qu’en lecture, et seulement aux sources que vous choisissez.
- Il ne décide jamais d’un refus ni d’un masquage.
- Il n’envoie aucun message sans approbation.
- Il peut manquer un dossier papier ou un fichier sur un poste : le responsable confirme que la recherche est complète.
- L’outil d’IA doit traiter les données dans un environnement que vous contrôlez.
Démarrer en sécurité
ÉTAPE 1
Nommer et publier
Le responsable (par défaut, la personne la plus haute en autorité), avec son titre et ses coordonnées sur votre site (art. 3.1).
ÉTAPE 2
Cartographier
Lister où vivent les renseignements personnels : Microsoft 365, CRM, paie, comptabilité, papier.
ÉTAPE 3
Une source à la fois
Brancher l’agent en lecture seule sur une première source, souvent la boîte courriel.
ÉTAPE 4
Mode ombre
Pour les premières demandes, l’agent prépare et une personne refait le travail pour comparer.
ÉTAPE 5
Registre et bilan
Chaque demande au registre; bilan des délais et des erreurs après trois mois.
Si vous avez déjà une réceptionniste virtuelle, elle peut aussi reconnaître une demande faite au téléphone et rappeler à la personne de l’envoyer par écrit, comme le prévoit la loi.
Questions fréquentes
Q1. L’agent prend-il une « décision automatisée » au sens de l’article 12.1?
Non, si vous le configurez comme ici. L’article 12.1 vise les décisions fondées exclusivement sur un traitement automatisé, qu’il faut alors divulguer et faire réviser par une personne sur demande. Comme le responsable décide de chaque réponse, l’agent reste un outil de préparation.
Q2. Peut-on facturer une demande d’accès?
L’accès est gratuit. Des frais raisonnables peuvent être exigés pour la transcription, la reproduction ou la transmission, à condition d’annoncer le montant approximatif avant de traiter la demande (art. 33). L’agent peut préparer ce message; le responsable le valide.
Q3. Que faire si la personne veut ses données dans un fichier?
Pour les renseignements informatisés recueillis auprès d’elle, la loi prévoit, à sa demande, un format technologique structuré et couramment utilisé, sauf difficultés pratiques sérieuses (art. 27). L’agent peut produire un CSV ou un JSON propre à partir de vos systèmes.
Q4. Nos données vont-elles chez un fournisseur d’IA?
C’est le premier choix à faire. Privilégiez un agent qui travaille dans votre environnement Microsoft 365 ou chez un fournisseur au Canada, avec un contrat clair. Notre article sur la fuite chez un fournisseur de Crime Stoppers rappelle pourquoi le contrat compte.
Chez NeoTech, notre service de conseil en IA et automatisation part de vos vraies sources de données pour définir ce que l’agent peut lire, ce qu’il prépare et ce que votre responsable approuve. Rien n’est automatisé sans votre accord.
Prenez rendez-vous pour explorer vos besoins en IA
Vous recevez des demandes d’accès ou de rectification, ou vous craignez de ne pas les voir passer? Parlons de ce qu’un agent IA pourrait préparer pour vous, dans le respect de la Loi 25.
👉 Prenez rendez-vous pour explorer vos besoins en IA
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
Photo : MART PRODUCTION, Pexels (licence Pexels).