La Loi 25 et votre programme de fidélité au Québec
Ce que la Loi 25 demande vraiment à une boutique: trois champs à collecter, un consentement valable, la règle des 14 ans, et quoi faire en cas de fuite.
Montréal4 min de lecture21 octobre 2026
L'essentiel en bref
- Un nom, un courriel ou un téléphone, c'est un renseignement personnel: la loi s'applique à vous.
- Tout le programme tient avec trois champs, pas dix.
- Le client doit savoir ce que vous gardez, pourquoi, et comment se retirer.
- À 14 ans, il consent seul; à 13 ans, il faut le consentement d'un parent.
- Une fuite se déclare à la Commission d'accès à l'information.
La loi s'applique-t-elle à un commerce comme le mien?
Oui, et c'est presque toujours la surprise. La Loi 25 modernise la loi québécoise sur la protection des renseignements personnels dans le secteur privé. Son champ d'application ne dépend pas de votre chiffre d'affaires, mais de votre activité: dès que vous recueillez un renseignement sur une personne identifiable, vous êtes dedans.
Un prénom sur une fiche, un numéro de cellulaire dans un iPad, un courriel associé à une carte: ça compte. Les commerçants à qui j'en parle croyaient que cette loi visait les banques. Elle couvre aussi la boutique de l'avenue Laurier qui offre une cinquième visite gratuite.
Qu'est-ce qu'on doit collecter, exactement?
Presque rien, et c'est une bonne nouvelle. Un programme de cartes a besoin de trois choses: de quoi reconnaître le client (un prénom suffit), de quoi le rejoindre (un courriel ou un téléphone, un seul des deux), et la trace du consentement avec sa date.
Tout le reste est facultatif, et la meilleure décision est de ne pas le prendre. Le code postal, le genre, la date de naissance complète: si la récompense ne s'en sert pas, vous n'en avez pas besoin. Chaque champ de plus est un champ à protéger et à effacer un jour.
Une erreur courante: demander la date de naissance entière pour l'âge, alors qu'un choix entre « 14 ans et plus » et « moins de 14 ans » suffit.
Qu'est-ce qu'on doit dire au client, et où?
Un avis de confidentialité, accessible à l'inscription et publié sur votre site. Son rôle est de répondre à quatre questions en français simple: qui recueille (vous), quoi (les champs), pourquoi (récompenser, informer), et vers qui se tourner pour exercer ses droits, plainte à la CAI comprise.
La loi prévoit aussi que vous désigniez une personne responsable de la protection des renseignements personnels, avec son nom et ses coordonnées publiés. Dans une petite entreprise, cette personne, c'est vous: mettez-la sur votre site, et votre export CSV répond au droit de recevoir ses propres renseignements dans un format courant.
C'est quoi, un consentement valable?
Manifeste, libre, éclairé, et donné pour une fin précise, demandé en termes simples. Concrètement: le client lit une phrase courte qui dit ce qu'il accepte, puis il fait une action positive. Une case précochée n'est pas un consentement, et un accord glissé dans des conditions générales de trente pages n'en est pas un non plus.
Et le consentement est séparable. Accepter la carte de fidélité n'est pas accepter l'infolettre. Si vous voulez les deux, demandez les deux, séparément. C'est l'erreur la plus fréquente que je rencontre: on prend le courriel au nom de la carte, et on l'ajoute à l'envoi du vendredi.
Le retrait, ça veut dire quoi?
Que le client peut retirer son consentement en tout temps, et que le retrait doit être aussi facile que le consentement. S'il s'est inscrit en dix secondes au comptoir, il doit pouvoir se retirer en dix secondes.
Un numéro à texter, une adresse à qui écrire, une case dans son profil: choisissez le canal le plus simple pour vous et tenez-le. Notez la date du retrait, et sortez le client des envois.
Ça ne veut pas dire effacer sa carte: un client qui se retire du marketing garde ses points, et perd seulement le droit de vous écrire. Ce sont deux listes différentes, et les confondre crée des plaintes.
Et si les données se perdent?
Une fuite n'est pas toujours un pirate. Une tablette oubliée dans un taxi, un café renversé sur la feuille du jour, un export envoyé au mauvais fournisseur, un classeur qui disparaît dans un déménagement.
La règle est simple: si vous avez des motifs raisonnables de croire qu'un incident présente un risque de préjudice sérieux, vous devez informer la CAI dans les meilleurs délais, puis les personnes concernées, et tenir un registre de vos incidents. Aucun nombre d'heures magique, mais l'attente coûte cher.
Les sanctions administratives pécuniaires peuvent atteindre des sommes en millions de dollars. Pour un commerce, la vraie facture est ailleurs: des clients qui partent, et qui le disent autour d'eux.
Quelle est la chose que les commerçants ratent le plus souvent?
Penser qu'une carte identifiée par un numéro aléatoire est anonyme. Tant que vous pouvez relier ce numéro à un nom et à un téléphone dans votre registre, ce sont des renseignements personnels, et la loi s'applique en entier.
Un programme tenu avec un outil comme Fidlon ne vous rend pas conforme par magie. Il vous donne la matière: la date du consentement, l'historique des visites, l'export complet, et un retrait en un envoi. Le forfait Solo, à 46 $ CAD par mois, coûte moins qu'une visite chez un conseiller.
Reste que la CAI est l'autorité, et que ses guides couvrent tout ce texte. Ce qui précède est une orientation pratique, pas un avis juridique.
Questions fréquentes
- Mon programme de fidélité en carton est-il concerné par la Loi 25?
- Oui. Dès que vous reliez un nom ou un numéro de téléphone à une carte, vous recueillez un renseignement personnel. Le support ne change rien: carton, iPad ou carte dans le téléphone, la loi s'applique de la même façon.
- Qui est la personne responsable dans une petite entreprise?
- Le plus souvent le propriétaire lui-même. La loi demande un nom et des coordonnées publiés, accessibles à vos clients, pas un service juridique interne ni un poste à temps plein.
- Puis-je garder les coordonnées de mes anciens clients?
- Seulement le temps nécessaire aux fins annoncées, et seulement si le consentement tient encore. Un client qui n'a pas mis les pieds chez vous depuis deux ans et qui n'ouvre plus vos messages peut être effacé ou anonymisé sans risque.
- Un client de 13 ans peut-il avoir une carte de fidélité?
- Il faut alors le consentement d'un parent ou du tuteur. À 14 ans et plus, la personne peut s'inscrire seule. Vous n'avez pas à vérifier chaque âge, mais vous devez poser la question une fois à l'inscription.
- Faut-il un avocat pour être conforme?
- Pour un programme de cartes ordinaire, non: la CAI publie des guides gratuits et en français clair. Un programme qui ajoute la localisation du téléphone ou la biométrie est un autre ordre de grandeur, et là un conseiller devient utile.