Demande d'accès ou de rectification : répondre selon la Loi 25
Permettez à vos clients de demander l'accès ou la rectification de leurs renseignements personnels.
⭐ L'essentiel
Toute personne a le droit de savoir quels renseignements personnels votre entreprise détient sur elle, d'y accéder et de les faire rectifier s'ils sont inexacts, incomplets ou équivoques.
Votre entreprise a 30 jours pour répondre à une demande. Sans réponse à l'échéance, la demande est réputée refusée et la personne peut s'adresser à la CAI (demande d'examen de mésentente).
Un refus doit être motivé par écrit : la disposition légale sur laquelle il s'appuie, les recours possibles et leurs délais.
📜 Ce que dit la loi
La Loi 25 donne à toute personne le droit :
- D'accéder aux renseignements personnels qu'une organisation détient sur elle
- De demander leur rectification s'ils sont incomplets, inexacts ou équivoques
Les entreprises doivent prévoir un moyen clair et simple pour recevoir et traiter ces demandes. Le formulaire doit permettre de :
- Identifier le demandeur
- Préciser le type de demande (accès ou rectification)
- Décrire les renseignements visés
- Indiquer comment la réponse sera transmise
- Fournir la signature du demandeur et la date
🏢 Pour une PME
Un formulaire simple, clair et standardisé aide à :
Important à savoir
Vous avez 30 jours pour répondre à une demande d'accès ou de rectification. Un délai supplémentaire de 10 jours peut être accordé dans certains cas, mais vous devez en informer le demandeur avant l'expiration du délai initial.
💡 Exemples concrets
Exemple 1 : Une école privée met en ligne un formulaire PDF permettant à un parent de demander la rectification de l'adresse inscrite au dossier de son enfant.
Le parent complète le formulaire, l'envoie par courriel au RPRP, qui confirme la réception, effectue la modification et répond dans un délai de 15 jours.
Exemple 2 : Un commerce en ligne ajoute un lien "Mes données personnelles" dans le pied de page de son site, menant vers un formulaire web.
Les clients peuvent y demander une copie de leurs données ou leur suppression. Chaque demande génère automatiquement un courriel au RPRP avec un numéro de suivi.
🔎 Traiter une demande d'accès en pratique
C'est le RPRP qui reçoit et traite les demandes. Le processus type : vérifier l'identité du demandeur, retrouver les renseignements (votre inventaire rend cette étape rapide), préparer la réponse écrite dans le délai de 30 jours.
Attention aux renseignements de tiers : si un document contient des renseignements sur d'autres personnes, ils doivent être retirés ou caviardés avant la communication.
🔎 Vérifier l'identité sans créer un nouvel incident
Le piège classique d'une demande d'accès : répondre à un fraudeur qui se fait passer pour votre client. Communiquer un dossier à la mauvaise personne constituerait un incident de confidentialité en soi.
Les bons réflexes : répondre au canal déjà connu au dossier (le courriel du compte client, pas celui de la demande si différent), demander une preuve d'identité proportionnée à la sensibilité des données, et ne jamais inclure plus de renseignements que demandé.
📊 Le parcours d'une demande d'accès, avec les délais
| Moment | Ce qui doit se passer |
|---|---|
| Réception de la demande | Transmission au RPRP et vérification de l'identité du demandeur |
| Jours 1 à 30 | Recherche des renseignements, retrait des données de tiers, réponse écrite |
| Jour 30 sans réponse | La demande est réputée refusée; la personne peut saisir la CAI |
| En cas de refus | Motifs écrits: disposition légale invoquée, recours possibles, délais |
| Après un refus | La personne a 30 jours pour demander à la CAI l'examen de la mésentente |
⚠️ Erreurs à éviter
- Ne pas offrir de formulaire et demander aux gens "d'envoyer un courriel libre"
- Ne pas préciser les pièces justificatives requises
- Ne pas indiquer les délais de réponse
- Oublier de consigner la demande et la réponse dans un registre interne
🛠️ Instructions pas à pas
✅ Checklist : Étape 7 complétée ?
- J'ai un formulaire officiel pour les demandes d'accès/rectification
- Le formulaire est accessible à mes clients
- Je sais qui traite ces demandes dans mon entreprise
- Je connais le délai légal de réponse (30 jours)
- J'ai un registre pour documenter les demandes et réponses
- Les pièces justificatives requises sont précisées
📄 Gabarits inclus dans le Kit Loi 25
- Modèle de Formulaire de demande d'accès ou de rectification de renseignements personnels
❓ Questions fréquentes
Qui peut faire une demande d'accès ?
La personne concernée elle-même, ou son représentant autorisé. Vous devez vérifier l'identité du demandeur avant de communiquer quoi que ce soit : répondre à la mauvaise personne serait en soi un incident de confidentialité.
Quel est le délai pour répondre ?
30 jours suivant la réception de la demande. L'absence de réponse équivaut à un refus, ce qui ouvre le recours de la personne devant la CAI.
Peut-on refuser une demande ?
Oui, dans les cas prévus par la loi (par exemple lorsque la communication révélerait des renseignements sur un tiers). Le refus doit être écrit et motivé : disposition légale invoquée, recours possibles, délais pour les exercer.
Et si nous ne détenons rien sur la personne ?
Répondez-le par écrit dans le délai. Une réponse claire et documentée, même négative, démontre votre conformité et évite une plainte inutile.