Loi 25 et syndicat de copropriété : vos obligations et les outils que Kohabit vous donne
La Loi 25 s'applique à toute entreprise et personne morale au Québec, y compris votre syndicat de copropriété. Voici ce qu'elle demande, ce qui reste au syndicat, et ce que Kohabit fait de son côté.
Guide pratique, à titre informatif. Ne remplace pas un avis juridique.
Créer mon compteDonnées hébergées au Canada.
Qu'est-ce que la Loi 25 ?
La Loi 25 (officiellement la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) a été adoptée en 2021. Elle s'applique par étapes depuis septembre 2022, la dernière étant arrivée en septembre 2024. Elle modernise le cadre québécois de protection de la vie privée, jusque là régi par une loi de 1994.
Son objectif est de donner aux citoyens du Québec un contrôle réel sur leurs renseignements personnels et d'imposer aux organisations qui les détiennent des obligations comparables à celles du RGPD européen.
La Loi 25 s'applique à toute entreprise et toute personne morale exerçant des activités au Québec, peu importe sa taille. Cela inclut explicitement les syndicats de copropriété divise, qui sont des personnes morales au sens du Code civil du Québec.
Pourquoi votre syndicat est concerné
Beaucoup de syndicats pensent que la Loi 25 ne vise que les grandes entreprises. Elle s'applique à toute personne morale, et un syndicat en est une. Il traite tous les jours des renseignements personnels au sens de la loi :
Données d'identification
Nom, prénom, adresse, courriel, téléphone, date de naissance de chaque copropriétaire et locataire enregistré au syndicat.
Données financières
Quote-part en quotes-parts, soldes de compte, échéanciers de paiement, retards de cotisation, parfois informations bancaires.
Données de vie privée
Composition du ménage, animaux, véhicules, contacts d'urgence, demandes de maintenance touchant l'intimité du logement.
Échanges écrits
Courriels, plaintes, votes nominatifs, signalements de troubles de voisinage. Ces communications contiennent souvent des données sensibles.
Dès lors qu'un syndicat collecte, conserve ou transmet ces informations (par tableur Excel partagé, par courriel, par messagerie de groupe ou via un logiciel de gestion), il devient responsable au sens de la Loi 25. Cette responsabilité est personnelle pour les administrateurs en cas de manquement grave.
Les 6 obligations clés pour votre syndicat
1. Désigner un responsable de la protection des renseignements personnels (RPRP)
Par défaut, c'est la personne ayant la plus haute autorité dans le syndicat : généralement le président du conseil d'administration. Ses coordonnées doivent être publiées sur un support accessible aux copropriétaires (panneau d'affichage, site web, plateforme de gestion).
2. Tenir une politique de confidentialité claire et accessible
Le syndicat doit pouvoir dire à tout copropriétaire quels renseignements il collecte, pourquoi, qui y a accès, où ils sont conservés et combien de temps. Cette politique doit être rédigée en termes simples.
3. Tenir un registre des incidents de confidentialité
Vol d'un classeur, fuite de courriel, accès non autorisé à la liste des copropriétaires : chaque incident doit être consigné. Si l'incident présente un risque de préjudice sérieux, il faut aviser la CAI et les personnes concernées sans délai.
4. Réaliser une EFVP avant tout nouveau projet informatique
Évaluation des facteurs relatifs à la vie privée. La loi la demande pour tout « projet d'acquisition, de développement ou de refonte d'un système d'information » qui met en jeu des renseignements personnels (art. 3.3). Adopter Kohabit déclenche cette obligation, et l'évaluation reste la vôtre.
5. Encadrer toute communication hors Québec
Si vous utilisez un outil hébergé hors Québec (USA, Europe), vous devez réaliser une analyse comparative du régime juridique du pays d'accueil. Un outil hébergé au Canada évite cette analyse.
Note : Kohabit propose une intégration Drive optionnelle (Microsoft OneDrive / SharePoint). Si le conseil d'administration l'active, ce transfert hors Québec s'applique de nouveau et l'analyse comparative redevient nécessaire. Désactivée par défaut. Détails.
6. Respecter les nouveaux droits des copropriétaires
Droit d'accès, droit de rectification, droit à la portabilité, droit à la cessation de la diffusion. Les copropriétaires peuvent désormais exiger une copie de leurs données ou leur suppression. Le syndicat doit répondre dans les 30 jours.
Où sont vos données, et ce que ça change
Un outil hébergé aux États-Unis, même par un fournisseur réputé, vous soumet au CLOUD Act américain. Cette loi permet aux autorités américaines d'exiger l'accès à vos données même si elles sont stockées au Canada, dès lors que l'entreprise qui les opère est américaine.
Vos données sont stockées à Beauharnois, au Québec, chez OVH Hosting Inc. Une exception, que vous activez vous-même : l'intégration OneDrive, qui copie vos documents chez Microsoft. Elle est désactivée par défaut. Détails.
Ce que ça vous évite : l'analyse comparative du régime juridique qu'exige l'article 17 dès que des renseignements personnels sortent du Québec.
Ce qui reste au syndicat : sa politique de confidentialité, son registre d'incidents, et ses réponses aux demandes des copropriétaires.
Note : la conformité d'un outil est nécessaire
Les outils que Kohabit vous donne
La Loi 25 met les obligations sur le syndicat, pas sur son fournisseur. Voici ce que Kohabit met à votre disposition, obligation par obligation.
Chiffré en transit et au repos
Toutes vos données sont chiffrées en transit (TLS 1.3) et au repos. Les sauvegardes sont également chiffrées.
Hébergé à Beauharnois, au Québec
Vos données sont stockées à Beauharnois, au Québec, chez OVH Hosting Inc. Une exception, que vous activez vous-même : l'intégration OneDrive, qui copie vos documents chez Microsoft. Elle est désactivée par défaut.
Journal des actions d'administration
Les exports, la fermeture de la copropriété, les demandes de suppression et les connexions d'un Drive sont journalisés. Les consultations de documents ne le sont pas.
Permissions granulaires
Chaque utilisateur voit uniquement ce qui le concerne. Un copropriétaire ne voit pas les données financières des autres.
Droit à la portabilité intégré
Chaque copropriétaire peut télécharger ses données personnelles en un clic, au format ouvert exportable.
Suppression sur demande
Un copropriétaire supprime son compte depuis ses paramètres, et ses données personnelles sont anonymisées aussitôt.
Kohabit face à un outil américain, ligne par ligne et daté : le comparatif Buildium.
Sanctions en cas de non-conformité
La Loi 25 prévoit trois régimes de sanctions. Voici les plafonds que le texte fixe.
Sanctions administratives
Jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial de l'organisation.
Sanctions pénales
Jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial. Ce sont des infractions pénales, pas criminelles.
Recours civils
Toute personne affectée peut intenter un recours en dommages, avec possibilité d'action collective.
Pour un syndicat de copropriété, le risque pratique le plus concret n'est pas le plafond légal, c'est la responsabilité personnelle des administrateurs et le préjudice réputationnel auprès des copropriétaires. Un syndicat qui se ferait reprocher d'avoir laissé fuir la liste de ses copropriétaires aurait du mal à conserver la confiance de l'assemblée.
Questions fréquentes
Sources officielles
Toutes les informations de cette page proviennent de sources officielles québécoises et canadiennes. Pour aller à la source :
Commission d'accès à l'information du Québec (CAI)
Autorité de contrôle de la Loi 25, guides pratiques, modèles de politiques, déclarations d'incidents.
Loi sur la protection des renseignements personnels (LégisQuébec)
Texte intégral de la loi modifiée par la Loi 25, version officielle à jour.
Gouvernement du Québec, vie privée
Vue d'ensemble des changements, FAQ pour les organisations et les citoyens.
Commissariat à la protection de la vie privée du Canada
Cadre fédéral complémentaire applicable aux transferts internationaux.
Note : ces liens externes ouvrent dans un nouvel onglet. Kohabit n'est pas affilié à ces organisations.
À lire ensuite
Vos données à Beauharnois
Une politique de confidentialité que vous pouvez citer, et un fournisseur que vous pouvez joindre. 60 jours pour essayer.
Créer mon compteAucune carte de crédit requise. Hébergé au Canada. Annulation à tout moment.