La Loi 25 modernise le cadre québécois de protection des renseignements personnels pour les entreprises privées. Pour un cabinet immobilier, une étude notariale ou une agence de courtage, elle impose surtout une gouvernance documentée (responsable désigné, politiques, conservation) et une vigilance accrue lorsque l’on croise des données publiques issues du Registre foncier du Québec ou du rôle MAMH — Ministère des Affaires municipales et de l’Habitation avec des profils clients internes. Ce texte résume les attentes opérationnelles sans remplacer un avis juridique personnalisé.
Loi 25 en bref pour un cabinet d’immobilier
Le projet de loi n° 64, devenu la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, a été adopté par l’Assemblée nationale du Québec le 21 septembre 2021 puis sanctionné le 22 septembre 2021 (LQ 2021, c. 25). Les dispositions sont entrées en vigueur en trois vagues annuelles : un premier bloc le 22 septembre 2022 (responsable de la protection des renseignements personnels et obligations en cas d’incident de confidentialité), le bloc principal le 22 septembre 2023 (gouvernance, transparence, transferts hors Québec) et un dernier bloc le 22 septembre 2024 (droit à la portabilité).
Les obligations se sont distribuées sur plusieurs années : désignation d’un responsable de la protection des renseignements personnels, registre interne des traitements, mise à jour des politiques de confidentialité transmises avant ou au moment de la collecte lorsque vos clients utilisent des portails en ligne ou des signatures électroniques. Les grandes entreprises assujettissent également des analyses d’impact plus formelles ; plusieurs cabinets multiservices peuvent rejoindre la même grille de conformité parce que le volume combiné des dossiers dépasse vite les déclarations sommaires. Documentez aussi la formation continue annuelle de vos courtiers sur la distinction entre données publiques et fichiers clients nominatifs lorsque ceux‑ci accèdent aux mêmes tableaux depuis leur téléphone personnel.
La CAI diffuse sur ses canaux officiels plusieurs fiches d’orientation dont certaines ciblent précisément télétravail ou technologies de géolocalisation : consultez‑les lorsque vous rédigez vos ententes avec des courtiers indépendants plutôt que de reprendre tel quel un modèle américain ou européen qui ne reflète pas les textes québécois consolidés sur Légis Québec.
Quels renseignements traitez-vous au quotidien ?
Les extraits du Registre foncier du Québec obtenus via le portail du MRNF — Ministère des Ressources naturelles et des Forêts sont publics payants, mais les PDF contiennent souvent des noms, adresses postales ou mentions d’officiers lorsqu’un acte rattache plusieurs parties. Une fois téléchargés dans votre coffre‑fort numérique, ils deviennent des fichiers sous votre contrôle : les journaux d’audit et la liste des destinataires relèvent de votre registre interne même si la source est publique.
Les cabinets qui affichent un « dossier acheteur » regroupé en CRM doivent donc tracer à la fois l’historique légal officiel téléchargé depuis Québec et vos propres fichiers (« note interne », « demande préalable banque », « copie légalisation passeport »). Même lorsque vos analystes filtrent automatiquement le nom sur un rapport PDF publié ensuite sur blogue corporatif sans consentement nouveau, votre chaîne doit démontrer la base légale (finalité légitime, consentement lorsque pertinent, équilibre lorsque données sensibles comme antécédents judiciaires rarement rencontrés en immobilier résidentiel).
Les données de rôle d’évaluation municipales (voir la ligne « rôles d’évaluation » décrite comme source publique dans la méthodologie fonciq) comportent généralement des attributs relatifs aux immeubles. Lorsque vous les croisez avec des dossiers résidentiels, des identifiants internes (« vendeur A », « acheteuse B ») ou des communications courriel nominatives dans un tableau de mandat, votre traitement doit respecter les mêmes balises Loi 25 que pour un CRM générique.
Enfin la compilation (« ajout de valeur analytique », scoring, segmentation) est elle‑même un traitement distinct : même si aucun secret commercial n’a été créé depuis zéro, la base dérivée reste sous votre responsabilité et doit apparaître dans les descriptions de transfert vers fournisseur ou dans les Cahier de preuve fonciq lorsque fonciq prépare une exportation publique attestée avec provenance officielle décrite sous Méthodologie · provenance.
Dans certains scénarios (cabinet partagé avec courtiers ou courtiers hypothécaires indépendants, équipe de recherche notariale déléguée à un prestataire externe), plusieurs entités juridiques peuvent coexister dans un même dossier. Documentez par écrit qui est responsable lorsqu’un PDF du Registre foncier du Québec transite d’un courriel professionnel vers une messagerie personnelle : ce genre de glissement informel crée une zone grise exactement lorsque la CAI interroge vos journaux d’accès après une plainte d’une personne concernée.
Hébergement et transferts hors Québec
Les articles 17 à 18 de la Loi sur la protection des renseignements personnels dans le secteur privé traitent respectivement du transfert de renseignements hors Québec et de la communication à des tiers (traduction légale — consultez toujours le texte consolidé officiel disponible via Légis Québec). Dans la pratique, un SaaS américain doit être évalué selon votre registre des risques : localisation physique des serveurs, clauses contractuelles, mécanisme de réponse aux demandes CAI, et registre incident.
Même lorsque vos données foncières proviennent exclusivement du MRNF — Ministère des Ressources naturelles et des Forêts, l’ensemble « minute + courriels client + facturation » forme un dossier mixte : ne séparez pas artificiellement les sources publiques des renseignements clients lorsque vous décrivez votre traitement à la CAI ou à votre assureur responsabilité civile.
Lorsqu’un fournisseur SaaS propose des serveurs « multirégion », exigez une cartographie IP et un contrat précisant quel segment de sauvegarde reste au Canada. Ajoutez ensuite une note interne expliquant pourquoi votre responsable a jugé le risque résiduel acceptable : ce document devient votre bouclier lorsqu’un client commercial exige la preuve de diligence en moins de deux heures après un bris de ligne.
Mentionnez explicitement les obligations de confidentialité dans les mandats donnés à des travailleurs autonomes (chercheur de titres, photographe mandaté, traducteur juridique pour acte rédigé en langue étrangère) même si ceux‑ci n’ont accès qu’à des extraits publics : ils signent les mêmes engagements de confidentialité que vos employés puisqu’ils manipulent des métadonnées sur les parties.
Lorsqu’un tableau Excel interne classe les lots par valeur estimée, ancien propriétaire civique ou adresse, vous traitez un fichier dérivé : tracez quel collaborateur peut l’exporter hors réseau sécurisé, où résident ses sauvegardes infonuagiques et comment désactiver un compte en cas de départ rapide ; ces dossiers constituent souvent le cœur des plaintes sur le contrôle d’accès.
Cinq questions à poser à un fournisseur d’intelligence immobilière
- Où sont hébergées les données au repos et les sauvegardes chiffrées ? Exigez une confirmation écrite « Canada / Québec » ou documentez l’analyse de risque si un segment transite ailleurs.
- Disposez-vous d’une piste d’audit horodatée lorsqu’un collaborateur consulte un index ou exporte un PDF minute ? Les cabinets doivent pouvoir démontrer qui a vu quoi après une plainte.
- Quelles durées de conservation appliquez-vous par type de document (index, rôle, correspondance) ? La minimisation est un principe directeur : ne conservez pas six ans de PDF inutiles « au cas où » sans politique écrite.
- Comment sont identifiés et contraints vos sous-traitants ? Exigez la liste actualisée, les clauses équivalentes Loi 25 et un canal d’information en cas de bris sécuritaire.
- Quel plan de réponse aux incidents existe-t-il (notification CAI, équipe juridique, communication clients) ? Posez ces questions lors des appels d’offres, pas après la fuite médiatisée.
Prévoyez enfin une révision annuelle de votre matrice : les fournisseurs fusionnent, les serveurs migrent, vos clients signent de nouveaux addenda. Sans calendrier de suivi après l’entrée en vigueur finale du 22 septembre 2024, une politique figée dans un classeur reste un risque lorsque quatre applications mobiles téléchargent désormais le même index ministériel.
Le cas fonciq en pratique
fonciq décrit publiquement, dans la méthodologie et la page Sécurité, une infrastructure hébergée au Canada et des registres cryptographiques sur les agrégats divulgués (« cahiers de preuve »). Ces engagements facilitent vos propres dossiers CAI parce que la provenance des documents officiels acheminés via notre interface est vérifiable.
Ceci dit, aucune fiche technique ne dispense votre étude de produire son propre avis juridique : la Loi 25 ne remplace pas un mandat de conformité signé par votre avocat ou votre DPO dédié lorsque vous traitez des volumes importants de renseignements sensibles (par exemple des transactions commerciales confidentielles ou des mandats judiciaires).
Quand consulter un avocat ou un DPO
- Incident ou suspicion d’accès non autorisé — vous devez documenter la chronologie, préserver les journaux et évaluer l’avis à la CAI selon la gravité.
- Demande d’accès ou de rectification inhabituelle — surtout si elle porte sur des données croisées Registre + CRM + facturation.
- Transfert sous‑traitance hors Québec — analyse d’équivalence contractuelle et décision écrite du responsable.
- Profilage automatisé ou scoring client — documentez la finalité, la logique générale et les recours offerts aux personnes concernées.
Limites de cet article
Cet article n’est pas un avis juridique. Il ne couvre pas les obligations spécifiques du secteur public ni les collectivités municipales. Pour chaque situation, consultez un avocat en protection des renseignements personnels ou un conseiller CAI recommandé par votre association professionnelle.
Les citations législatives évoluent : vérifiez toujours la version consolidée sur Légis Québec avant d’argumenter officiellement devant tribunal ou CAI. Mentionnez explicitement la date de votre dernière vérif législative sur les contrats signés avec copropriétés ou fiducies puisque certaines modifications règlementaires postérieures au texte initial peuvent préciser le contenu attendu des registres de traitement tenus par les entreprises de services immobiliers.
Pour aller plus loin
Articles liés
Questions fréquentes
Loi 25 s’applique-t-elle à un OBNL ou à une SENC ?
Oui lorsqu’elles détiennent ou traitent des renseignements personnels dans le cadre d’activités commerciales ou de services offerts au public, sous réserve des exceptions prévues au chapitre P-39.1 du RLRQ (consultez le texte officiel consolidé sur Légis Québec). Chaque structure doit analyser ses mandats réels ; seul un avocat ou la Commission d’accès à l’information peut trancher un cas limite.
Faut-il nommer un responsable des renseignements personnels ?
Les textes amendés prévoient des obligations renforcées de gouvernance, notamment la désignation d’une personne‑ressource (« responsable de la protection des renseignements personnels ») et la publication de politiques lorsque vous atteignez les seuils applicables à votre taille ou à votre mandat public. Confirmez la formulation exacte sur le site officiel de la CAI et consultez votre conseiller juridique pour le calendrier de conformité qui vous concerne.
Le rôle d’évaluation est-il un renseignement personnel ?
Les rôles municipaux publiés agrègent habituellement des données sur les immeubles (valeur au rôle, usage, superficie). Tant que l’information ne permet pas d’identifier directement ou indirectement une personne physique identifiable, elle relève davantage du domaine des données foncières publiques. En revanche, recouper systématiquement un lot avec une adresse résidentielle et des profils comportementaux dans un CRM peut transformer ces éléments en renseignements personnels protégés.
Mes données dans fonciq quittent-elles le Québec ?
La fiche Sécurité publique de fonciq indique un hébergement au Canada et des engagements de minimisation. Toutefois la Loi sur le secteur privé impose encore une analyse de risque lorsque des sous‑traitants ou des sauvegardes hors province sont envisagés : lisez votre entente avec le fournisseur et documentez la décision interne si vous exportez des extraits vers un autre territoire.
Quelle est la première étape concrète pour conformer un petit cabinet ?
Cartographier les flux : quelles bases (Registre, rôle, CRM, courriels clients) existent, qui y accède, combien de temps elles sont conservées, et quels fournisseurs hébergent les sauvegardes. Ce registre constitue la matrice de votre plan de confidentialité et de votre réponse aux demandes d’accès — avant même d’acheter un logiciel supplémentaire.
Citation suggérée
« fonciq, Loi 25 et données immobilières : ce qu’un cabinet doit savoir. Publié le 9 mai 2026. Consulté le 23 juin 2026. https://fonciq.ca/articles/loi-25-et-donnees-immobilieres-pour-un-cabinet » · Licence CC BY 4.0.