Gestion RDV

Loi 25 et rappels par SMS : ce que les commerces du Québec doivent savoir

Depuis septembre 2023, la Loi 25 encadre la collecte et l'utilisation des renseignements personnels au Québec. Pour un salon, une clinique dentaire ou un cabinet de physio qui envoie des rappels par SMS, les règles ne sont pas toujours évidentes. Ce billet fait le tour des obligations concrètes.

Équipe Au Rendez-vous 25 juin 2026 8 min de lecture

Le contexte : ce que change la Loi 25

La Loi modernisant les dispositions législatives en matière de protection des renseignements personnels, communément appelée Loi 25, est entrée pleinement en vigueur le 22 septembre 2023. Elle modifie la Loi sur la protection des renseignements personnels dans le secteur privé et impose de nouvelles obligations à toute entreprise qui collecte, conserve ou utilise des renseignements personnels au Québec.

Pour un commerce qui prend des rendez-vous, cela touche directement les éléments suivants : le nom du client, son numéro de téléphone, son adresse courriel, son historique de visites et toute note clinique le concernant. Tout cela est du renseignement personnel au sens de la Loi.

Loi 25 versus LCAP : ne pas tout mélanger

Beaucoup de propriétaires de commerce confondent la Loi 25 (provinciale, sur la protection des renseignements personnels) et la Loi canadienne anti-pourriel (LCAP), fédérale, qui encadre les communications électroniques commerciales. Les deux s'appliquent en parallèle, mais elles ne couvrent pas la même chose.

Aspect	Loi 25 (Québec)	LCAP (Canada)
Objet	Protection des renseignements personnels	Communications électroniques commerciales
Couvre les rappels de RDV ?	Oui, comme tout traitement de données	Non, si purement transactionnel
Type de consentement requis	Variable selon la finalité	Exprès pour le commercial
Autorité de surveillance	Commission d'accès à l'information (CAI)	CRTC, Bureau de la concurrence
Sanctions maximales	25 M$ ou 4 % du CA mondial	10 M$ par infraction

Transactionnel ou commercial : la distinction clé

Voici la nuance qui sauve beaucoup de commerces de mauvaises interprétations.

Le rappel transactionnel

Un SMS qui dit « Bonjour Mme Tremblay, ceci est un rappel de votre rendez-vous du 27 juin à 14 h chez Clinique Dentaire de Trois-Rivières. Répondez OUI pour confirmer » est un message transactionnel. Il sert à exécuter une transaction déjà entamée (le rendez-vous a été pris). Au sens de la LCAP, ce type de message est exclu de l'obligation de consentement exprès. C'est l'article 6(6) de la LCAP qui le précise.

Au sens de la Loi 25, ce message reste un traitement de renseignement personnel, mais il s'inscrit dans la finalité pour laquelle le client a fourni son numéro : la gestion de son rendez-vous. Pas de problème, à condition que cette finalité ait été communiquée clairement à la collecte.

Le message commercial

Un SMS qui dit « Forfait spécial cet été : -20 % sur les soins esthétiques. Répondez OUI pour en savoir plus » est un message commercial. Il vise à promouvoir une offre. La LCAP exige un consentement exprès ou implicite (selon une relation d'affaires existante). La Loi 25 exige que cette finalité de prospection ait été présentée séparément et que le client puisse la refuser sans perdre l'accès au service principal.

Règle simple : un rappel de RDV existant = transactionnel = pas de pourriel. Une promotion = commercial = consentement requis et désabonnement obligatoire.

Consentement implicite ou explicite : ce que dit la Loi 25

La Loi 25 distingue le consentement implicite (déduit du contexte) et le consentement explicite (donné par une action claire). Pour les renseignements ordinaires liés à un rendez-vous (nom, téléphone, adresse), un consentement implicite raisonnable suffit : si le client prend un rendez-vous et fournit son numéro de téléphone, il consent implicitement à recevoir des communications liées à ce rendez-vous.

Pour les renseignements sensibles — donc notamment les renseignements de santé, les habitudes esthétiques détaillées, les données biométriques — la Loi 25 exige un consentement explicite. Concrètement, cela veut dire une case à cocher (non précochée) ou une signature, accompagnée d'une description claire de la finalité.

Durées de conservation : ne pas garder ce qui ne sert plus

La Loi 25 introduit le principe que les renseignements personnels doivent être détruits ou anonymisés lorsque leur finalité est atteinte. En clair, on ne garde pas le numéro de téléphone d'une cliente perdue de vue depuis 8 ans « au cas où ».

Les recommandations pratiques selon le secteur :

• Salon de coiffure ou esthétique : conservation active 24 à 36 mois après la dernière visite, puis anonymisation.
• Clinique dentaire : conservation conforme aux exigences de l'Ordre (10 ans après le dernier service rendu pour le dossier clinique), mais les coordonnées de rappel peuvent être anonymisées après inactivité prolongée.
• Cabinet de physiothérapie : conservation du dossier clinique 5 ans après la dernière intervention (norme de l'OPPQ), coordonnées séparées peuvent être plus courtes.
• Podiatrie : 5 ans après la dernière intervention pour le dossier, idem pour les coordonnées.

L'obligation de notification d'incident

Depuis la Loi 25, tout incident de confidentialité — fuite, perte, accès non autorisé — qui présente un risque de préjudice sérieux doit être :

1. Notifié à la Commission d'accès à l'information du Québec (CAI) dans les meilleurs délais ;
2. Notifié aux personnes concernées dans les meilleurs délais ;
3. Inscrit dans un registre interne des incidents que vous devez tenir à jour.

La fameuse référence à 72 heures vient du RGPD européen, mais la CAI utilise dans ses lignes directrices une logique similaire : « dans les meilleurs délais » signifie en pratique moins de 72 heures après la prise de connaissance, sauf justification. Mieux vaut viser ce délai.

Le responsable de la protection des renseignements personnels

Chaque entreprise au Québec doit désigner un responsable de la protection des renseignements personnels (RPRP). Par défaut, c'est la personne qui a la plus haute autorité dans l'entreprise (le propriétaire). Vous pouvez déléguer la fonction par écrit à un employé ou à un mandataire externe, mais vous devez en publier les coordonnées sur votre site web.

Le rôle de mandataire d'Au Rendez-vous

Au Rendez-vous agit comme mandataire au sens de la Loi 25 pour les commerces qui nous confient l'envoi de leurs rappels. Concrètement, cela veut dire que :

• Les données restent la propriété de votre commerce ; nous les traitons pour votre compte selon des instructions documentées.
• Nous signons une entente écrite de mandataire qui précise les finalités, les durées de conservation et les mesures de sécurité.
• Les serveurs sont hébergés au Canada, avec des sauvegardes chiffrées également au Canada. Aucun transfert hors juridiction sans votre consentement explicite.
• Nous tenons un registre des incidents et vous notifions sous 24 heures de toute anomalie potentielle, ce qui vous laisse une marge avant le délai pratique de 72 heures envers la CAI.

Les pièges à éviter

Réutiliser une liste pour autre chose

La cliente a donné son numéro pour les rappels de RDV. L'utiliser pour envoyer un sondage de satisfaction est limite. L'utiliser pour annoncer un nouveau service est non conforme sans consentement supplémentaire. Demandez un consentement séparé pour chaque nouvelle finalité.

Stocker les renseignements dans un outil non sécurisé

Un fichier Excel sur le bureau de l'ordinateur de la réception, partagé sans mot de passe, n'est pas conforme. La Loi 25 exige des mesures de sécurité « raisonnables » : chiffrement, contrôle d'accès, journalisation des accès aux renseignements sensibles.

Sous-traiter sans contrat

Si un sous-traitant (votre fournisseur de SMS, votre infonuagique) traite des renseignements pour vous, vous devez avoir un contrat qui le lie aux mêmes obligations. Sinon, vous restez responsable de ses manquements.

Checklist pratique pour votre commerce

1. Désigner par écrit votre responsable de la protection des renseignements personnels (RPRP) et publier ses coordonnées sur votre site.
2. Rédiger une politique de confidentialité claire, accessible depuis votre page d'accueil et votre formulaire de prise de RDV.
3. Lister les finalités de collecte (rappel de RDV, dossier clinique, prospection) et obtenir un consentement séparé pour la prospection.
4. Définir vos durées de conservation par catégorie de renseignement et automatiser l'anonymisation après expiration.
5. Tenir un registre des incidents de confidentialité, même pour les incidents jugés mineurs.
6. Signer une entente écrite de mandataire avec chaque sous-traitant (logiciel d'agenda, hébergement, service de rappels).
7. Former votre équipe : la réception, les hygiénistes, les esthéticiennes — quiconque touche aux dossiers.
8. Réviser la politique annuellement et après toute modification opérationnelle importante.

Pour les commerces qui combinent rappels SMS et autres communications

Si votre stratégie inclut à la fois des rappels et des communications promotionnelles, segmentez clairement vos listes et vos consentements. Les commerces qui combinent les deux dans un seul système doivent prévoir un mécanisme de désabonnement granulaire (désabonnement des promos sans désabonnement des rappels).

Pour aller plus loin sur le choix des canaux et la rentabilité des rappels téléphoniques, consultez notre billet sur la voix d'IA contre la voix humaine pour les rappels téléphoniques.

Sources consultées

• CRTC — Loi canadienne anti-pourriel (LCAP)
• Commission d'accès à l'information du Québec (CAI)