Comment gérer les demandes d'accès aux renseignements personnels (Loi 25) ?

Un ancien client vous écrit : « Je demande l'accès à tous les renseignements personnels que votre cabinet détient sur moi. » C'est un droit prévu par la loi, et le délai de réponse est serré. Vous ouvrez votre boîte courriel, vous cherchez le dossier, vous trouvez une partie des documents. Mais les renseignements sont aussi dans des notes manuscrites, un fichier local, des courriels d'il y a trois ans, et un système de gestion que personne ne maîtrise complètement. La date limite approche, et vous n'êtes pas sûr d'avoir tout trouvé.

Depuis la Loi 25, les demandes d'accès aux renseignements personnels sont encadrées : une personne peut demander à une entreprise de lui communiquer les renseignements qu'elle détient sur elle, et l'entreprise doit répondre dans les délais prévus par la loi. Pour un cabinet, qui détient des montagnes de renseignements sensibles, chaque demande est un test : si vous ne savez pas où sont les données, vous ne pouvez pas répondre dans les délais.

Pourquoi c'est un défi pour les cabinets

Le droit d'accès n'est pas nouveau, mais la Loi 25 l'a renforcé : délais précis, format structuré (depuis septembre 2024, la portabilité permet de demander les renseignements dans un format technologique structuré et couramment utilisé), et sanctions possibles en cas de non-respect. Pour un cabinet, le défi est double : la loi et la réalité des données.

Les difficultés concrètes :

• Les données dispersées : les renseignements d'une personne vivent dans le dossier client, les courriels, les notes, les fichiers locaux, les systèmes de gestion, parfois les appareils personnels des employés
• Le temps de recherche : sans centralisation, retrouver tout ce qu'on détient sur une personne prend des heures, parfois des jours
• Les exceptions : la loi prévoit des exceptions (par exemple certains renseignements protégés par le secret professionnel) : il faut savoir quoi inclure, quoi exclure et quoi expliquer
• Les délais : le temps court, et la recherche manuelle ne suit pas
• La traçabilité : l'entreprise doit pouvoir démontrer qu'elle a traité la demande correctement

Le problème n'est pas la bonne volonté : c'est le système. Si les données sont dispersées, aucune procédure ne peut répondre vite.

Le processus de traitement en 5 étapes

Voici comment structurer la gestion des demandes d'accès :

1. Accuser réception : la demande est reçue, datée, enregistrée dans un registre des demandes. Le délai commence à courir : le calendrier s'enclenche
2. Rechercher les renseignements : le système retrouve tout ce qu'on détient sur la personne : dossier client, courriels, notes, fichiers, système de gestion. Une recherche centralisée en quelques secondes, pas une chasse aux trésors
3. Analyser les exceptions : le responsable vérifie les renseignements à exclure (secret professionnel, renseignements de tiers, exceptions prévues par la loi) et prépare la réponse avec les justifications
4. Préparer la communication : les renseignements sont compilés dans le format approprié (y compris, depuis 2024, un format structuré pour la portabilité si demandée), avec les explications
5. Transmettre et consigner : la réponse part dans les délais, la demande est consignée avec les dates, la recherche et les décisions. Le registre prouve le traitement

L'objectif : que chaque demande soit traitée dans les délais, avec une piste complète, sans dépendre de la mémoire.

Ce qu'un système fait pour les demandes d'accès

Une fois le processus en place, le système devient votre meilleur allié :

• La recherche centralisée : les renseignements d'une personne se retrouvent en quelques secondes, quelle que soit leur source
• Le registre des demandes : chaque demande est enregistrée avec ses dates, son responsable et son statut. Rien ne se perd
• Les rappels de délai : le système alerte avant l'échéance de réponse, à J-10, J-5, J-1. Le délai ne surprend plus
• La compilation automatique : les renseignements se regroupent dans un document de réponse, prêt à vérifier
• La traçabilité : chaque étape est consignée, ce qui démontre le traitement rigoureux de la demande

L'objectif : que la conformité ne dépende plus de la mémoire, mais d'un système qui pousse les bonnes actions au bon moment.

Les pièges à éviter

Les erreurs les plus fréquentes :

• Répondre sans avoir tout trouvé : une réponse incomplète expose à une contestation. Sans recherche centralisée, on ne sait pas ce qu'on a manqué
• Ignorer les exceptions : communiquer des renseignements protégés par le secret professionnel ou des renseignements de tiers peut être une violation plus grave que le retard
• Manquer le délai : le délai court dès la réception. Sans rappels, il passe dans le flux
• Ne pas documenter le traitement : sans registre, impossible de démontrer qu'on a traité la demande correctement
• Traiter chaque demande comme un cas d'espèce : sans processus, chaque demande repart de zéro, avec les mêmes erreurs

Le processus protège le cabinet : il retrouve les données, respecte les exceptions, respecte les délais et documente le traitement.

Quand le processus ne suffit plus

Si votre problème se limite à « je veux répondre à cette demande », une recherche manuelle peut suffire pour un cas isolé. Mais si vous voulez traiter les demandes dans les délais, sans panique, avec une piste complète, il faut le système complet : données centralisées, registre des demandes, rappels de délai, procédure documentée.

C'est le travail réalisé chez HUVI Optimisation, l'entreprise fondée par Hugo Viens : diagnostiquer où vivent vos renseignements personnels, centraliser les données, structurer le processus de demande d'accès, puis automatiser les rappels et la compilation. Nous ne vendons pas de logiciel. Nous bâtissons le système qui fait que les demandes d'accès se traitent dans le calme, dans les délais, avec la rigueur démontrable.