LPRPDE, LCAP et Loi 25 : ce que les dirigeants d'associations doivent savoir

Les associations canadiennes recueillent, utilisent et communiquent des données sur leurs membres dans le cours normal de leurs activités. Les listes de membres, les relevés de transactions, les listes d'envoi et les données de participation aux programmes relèvent toutes des cadres canadiens de protection de la vie privée et de lutte contre le pourriel, et les exigences de conformité se sont nettement complexifiées au cours des trois dernières années.

Voici un survol en langage clair de trois cadres qui touchent pratiquement toutes les associations canadiennes qui offrent un programme d'avantages ou de rabais à leurs membres.

Important : cet article est de nature éducative et ne constitue pas un avis juridique. Consultez des conseillers juridiques qualifiés avant de prendre des décisions de conformité pour votre organisation.

LPRPDE : la base pour les activités commerciales

La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) s'applique à la collecte, à l'utilisation et à la communication de renseignements personnels dans le cadre d'activités commerciales. Pour les associations, elle entre en jeu dès que des données de membres servent à une activité qui génère des revenus, y compris les programmes d'affinité, les plateformes de rabais et les partenariats avec des fournisseurs.

Principales obligations de la LPRPDE pour les programmes de rabais d'une association :

Consentement : les membres doivent consentir à l'utilisation de leurs données pour leur participation à un programme d'affinité. Le consentement implicite (une clause de l'entente d'adhésion qui mentionne les programmes d'avantages) est généralement acceptable pour l'inscription au programme, mais tout partage de données avec des fournisseurs tiers exige un consentement explicite.
Limitation des fins : des données recueillies à une fin ne peuvent pas servir à une autre sans consentement. Les adresses courriel recueillies pour les avis de renouvellement ne peuvent pas être communiquées aux fournisseurs d'un programme d'affinité pour leur propre marketing.
Accès et correction : les membres ont le droit de consulter les renseignements personnels que détient l'association à leur sujet et d'en faire corriger les inexactitudes. Les associations qui utilisent des plateformes tierces (comme MemberLoop) demeurent responsables des données de leurs membres, même lorsqu'un fournisseur les traite.
Mesures de sécurité : les organisations doivent protéger les renseignements personnels par des mesures de sécurité appropriées. Pour une plateforme numérique, cela comprend le chiffrement en transit et au repos, le contrôle des accès et des procédures d'avis en cas d'atteinte.
Responsabilité : vous demeurez responsable des renseignements personnels transférés à des tiers pour traitement. C'est pourquoi MemberLoop fournit une entente de traitement des données à toutes les associations partenaires : elle établit comment les données sont traitées, conservées et supprimées.

Hébergement des données au Canada : la LPRPDE n'interdit pas de transférer des renseignements personnels à l'extérieur du Canada, mais elle exige une protection équivalente. Si un fournisseur de plateforme traite les données de vos membres à l'extérieur du Canada, demandez où, et assurez-vous que votre politique de confidentialité le mentionne.

LCAP : les règles des messages électroniques commerciaux

La Loi canadienne anti-pourriel (LCAP) s'applique aux messages électroniques commerciaux (MEC), c'est-à-dire tout courriel, texto ou autre message électronique envoyé à une adresse électronique dans un but commercial. Pour une association qui offre un programme de rabais, cela comprend :

les avis aux membres au sujet de nouvelles offres de fournisseurs;
les courriels de confirmation de transaction;
les résumés mensuels des économies;
les courriels qui font la promotion d'offres précises de fournisseurs.

Consentement exprès ou tacite selon la LCAP :

Le consentement exprès exige une adhésion claire et active : une case à cocher, un formulaire signé ou un accord verbal explicite et documenté. C'est la forme de consentement la plus sûre pour envoyer des courriels promotionnels au sujet de votre programme d'affinité.

Le consentement tacite existe lorsqu'il y a une relation d'affaires ou une relation privée en cours. Les membres de votre association entretiennent une relation avec celle-ci, ce qui crée un consentement tacite à recevoir des MEC liés aux services aux membres, y compris les programmes d'avantages. Le consentement tacite a toutefois une durée limitée : deux ans après la dernière transaction ou interaction.

Obligations de désabonnement : chaque MEC doit comprendre :

l'identification de l'expéditeur;
les coordonnées de l'expéditeur;
un mécanisme de désabonnement qui prend effet dans les 10 jours ouvrables suivant la demande.

Quelle que soit la plateforme qui envoie les courriels à vos membres, assurez-vous que chaque message commercial contient un lien de désabonnement fonctionnel, respecté dans les 10 jours ouvrables.

Sanctions : une organisation qui enfreint la LCAP s'expose à des sanctions allant jusqu'à 10 millions de dollars par violation. Le CRTC applique activement la LCAP : ce n'est pas un risque théorique.

Loi 25 du Québec : le cadre le plus exigeant

La Loi sur la protection des renseignements personnels dans le secteur privé du Québec, modifiée par la Loi 25 (anciennement le projet de loi 64), est entrée pleinement en vigueur en septembre 2023. C'est la loi sur la protection de la vie privée la plus complète au Canada et, à bien des égards, elle est plus exigeante que le RGPD européen.

Si votre association compte des membres au Québec, ou si une partie de votre traitement de données touche des résidents du Québec, la Loi 25 s'applique.

Principales exigences qui vont au-delà de la LPRPDE :

Évaluations des facteurs relatifs à la vie privée (EFVP) : elles sont exigées avant de mettre en place toute technologie qui traite des renseignements personnels, y compris de nouvelles plateformes logicielles, des intégrations de tiers et des transferts de données à l'extérieur du Québec. Une association qui adopte une nouvelle plateforme d'affinité devrait réaliser une EFVP avant le lancement.
Minimisation des données : ne recueillez que les renseignements personnels nécessaires à la fin visée. Vous ne pouvez pas recueillir par anticipation des données sur les membres simplement parce qu'elles pourraient être utiles.
Consentement explicite pour les renseignements sensibles : le seuil de consentement est plus élevé avec la Loi 25. Les renseignements sensibles (notamment ceux qui pourraient révéler l'état de santé, la situation financière ou des données biométriques) exigent un consentement explicite, même pour les fins principales.
Droit à la portabilité des données : les résidents du Québec peuvent demander leurs renseignements personnels dans un format technologique structuré et couramment utilisé. Les organisations doivent être en mesure de répondre à ces demandes.
Droit à la désindexation : une personne peut demander que les liens vers du contenu contenant ses renseignements personnels soient désindexés des résultats de recherche si ces renseignements lui causent un préjudice ou ont été recueillis en contravention de la loi.
Responsable de la protection des renseignements personnels : les organisations assujetties à la Loi 25 doivent désigner un responsable de la protection des renseignements personnels et publier ses coordonnées. Pour la plupart des associations, il s'agit d'un membre du personnel existant dont les responsabilités sont officialisées, plutôt que d'une nouvelle embauche.
Avis en cas d'incident : les organisations doivent aviser la Commission d'accès à l'information (CAI) et les personnes concernées des incidents de confidentialité « avec diligence ». Le seuil d'avis est plus bas que celui de la LPRPDE.

Sanctions selon la Loi 25 : des amendes pouvant atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé, comparables aux sanctions du RGPD.

Ce que cela signifie en pratique pour les programmes d'affinité

Offrir un programme de rabais aux membres par l'intermédiaire d'une plateforme tierce comme MemberLoop fait intervenir les trois cadres. Voici une liste de vérification pratique :

Avant le lancement :

Relisez votre entente d'adhésion pour confirmer qu'elle mentionne les programmes d'avantages d'une façon qui appuie le consentement implicite selon la LPRPDE.
Réalisez une EFVP si vous avez des membres au Québec.
Assurez-vous que le fournisseur de votre plateforme d'affinité signe une entente de traitement des données et peut démontrer que les données sont hébergées au Canada.
Confirmez que l'infrastructure de courriel de votre plateforme comprend des mécanismes de désabonnement conformes à la LCAP.

Au lancement :

Mentionnez la participation au programme d'affinité dans les communications d'accueil des membres.
Documentez le fondement du consentement (exprès ou tacite) pour chaque type de communication.

En continu :

Vérifiez chaque année le partage de données avec des tiers.
Tenez un registre des consentements et des demandes de désabonnement.
Révisez vos politiques de conservation des données : la Loi 25 et la LPRPDE exigent toutes deux que les données ne soient pas conservées plus longtemps que nécessaire.

L'entente de traitement des données de MemberLoop est offerte aux associations partenaires sur demande.

Des questions sur la façon dont MemberLoop traite les données de vos membres? Consultez notre centre de confiance ou écrivez-nous directement.

Avis de non-responsabilité

Cet article présente de l'information générale à l'intention des dirigeants d'associations, en langage clair. Il ne constitue pas un avis juridique, et sa lecture ne crée aucune relation avocat-client avec qui que ce soit.

Plusieurs points ci-dessus sont des résumés simplifiés de règles détaillées et devraient être vérifiés par rapport à la loi en vigueur avant que vous vous y fiiez, notamment :

la durée du consentement tacite selon la LCAP pour les membres d'une association, et le moment où il commence et prend fin;
les messages qui exigent un consentement selon la LCAP, puisque certains messages transactionnels sont traités différemment des messages promotionnels;
la date d'entrée en vigueur de chacune des dispositions de la Loi 25 du Québec, puisqu'elles sont entrées en vigueur par étapes;
ce que la LPRPDE et la Loi 25 exigent d'un fournisseur quant au lieu de stockage des données, par opposition à ce qu'une association peut choisir de demander.

Les lois sur la protection de la vie privée et la lutte contre le pourriel, et la façon dont les organismes de réglementation les interprètent, évoluent avec le temps, et leur application dépend de la situation de votre association, par exemple du lieu de résidence de vos membres et du fonctionnement de vos programmes. Vérifiez la législation en vigueur et les lignes directrices du Commissariat à la protection de la vie privée du Canada, du CRTC et de la Commission d'accès à l'information du Québec, et consultez des conseillers juridiques qualifiés avant de prendre des décisions. MemberLoop n'assume aucune responsabilité à l'égard des décisions prises sur la foi de cet article.