Loi 25 en copropriété : ce que le syndicat doit protéger

Un administrateur envoie l’avis de convocation à tous les copropriétaires, en copie visible. Les cinquante adresses courriel de l’immeuble viennent de circuler auprès de cinquante personnes. Ce geste banal correspond à la définition d’un incident de confidentialité. La Loi 25 en copropriété n’est pas une abstraction réservée aux grandes entreprises. Elle encadre des gestes que les conseils posent chaque semaine.

Pourquoi la Loi 25 vise votre syndicat de copropriété

Un syndicat est une entreprise au sens de la loi

La question revient constamment en assemblée, et la réponse est sans ambiguïté.

La Loi sur la protection des renseignements personnels dans le secteur privé reprend la définition d’entreprise de l’article 1525 du Code civil. Il s’agit d’une activité économique organisée, commerciale ou non. Elle peut consister dans l’administration de biens ou dans la prestation de services.

La Commission d’accès à l’information va plus loin. Elle nomme explicitement les syndicats de copropriété parmi les organisations visées, aux côtés des travailleurs autonomes, des sociétés par actions et des associations. Le débat est clos.

La taille du syndicat n’y change rien

Aucun seuil n’existe. Un syndicat de six unités détient des renseignements personnels au même titre qu’une tour de trois cents logements. Les mêmes obligations s’appliquent.

Ce qui change, c’est l’ampleur des moyens à déployer. Un petit syndicat n’a pas besoin d’un programme de conformité élaboré. Il a besoin de savoir ce qu’il détient, qui en répond, et quoi faire quand quelque chose dérape.

Les renseignements personnels que le syndicat détient déjà

Beaucoup de conseils croient ne rien détenir de sensible. L’inventaire dit le contraire.

Le registre et les communications

Le registre du syndicat contient le nom et l’adresse postale de chaque copropriétaire. La pratique quotidienne en ajoute d’autres. Les adresses courriel, les numéros de téléphone, les coordonnées des personnes à joindre en cas d’urgence. Parfois même des informations bancaires, pour les prélèvements préautorisés.

Les communications en produisent autant. Les plaintes d’un copropriétaire contre un autre, les demandes d’accommodement, les échanges sur des retards de paiement. Tout cela constitue des renseignements personnels, souvent plus sensibles que le registre lui-même.

Les caméras et les contrôles d’accès

Un système de vidéosurveillance dans le stationnement recueille des renseignements personnels en continu. Un contrôle d’accès par carte ou par code enregistre qui entre, quand, et par quelle porte.

Ces dispositifs sont rarement pensés comme des collectes de données, alors qu’ils en sont. Avant d’en installer un, un conseil devrait pouvoir répondre à trois questions. Pourquoi il le fait, qui aura accès aux images, et combien de temps elles seront conservées.

Ce que le Code civil a changé en août 2025

Voici le point que presque aucun contenu québécois n’a intégré.

Depuis le 14 août 2025, l’article 1070 du Code civil ne vise plus que les copropriétaires. Les versions antérieures nommaient aussi les locataires. Surtout, le texte ajoute une condition. D’autres renseignements personnels concernant un copropriétaire ou un autre occupant ne peuvent figurer au registre qu’avec le consentement exprès de la personne visée.

Autrement dit, la logique de la Loi 25 est entrée directement dans le Code civil. Un syndicat qui verse au registre des coordonnées supplémentaires sans consentement écrit ne contrevient plus seulement à la loi sur les renseignements personnels. Il s’écarte aussi du contenu que le Code civil prévoit.

Le responsable de la protection des renseignements

C’est le président du conseil, par défaut

La loi désigne d’office la personne ayant la plus haute autorité dans l’entreprise. Dans un syndicat, c’est le président du conseil d’administration.

Cette désignation n’exige aucune démarche. Elle existe même si personne n’en a jamais parlé en réunion, ce qui est le cas dans l’immense majorité des copropriétés québécoises.

La délégation se fait par écrit

Le président peut déléguer cette fonction. La délégation doit être écrite, et la personne désignée doit être qualifiée et disposer d’un pouvoir décisionnel significatif.

Attention à ce qui ne change pas. La personne ayant la plus haute autorité demeure imputable du respect de la loi. Elle doit aussi fournir au délégué les ressources humaines, techniques et financières nécessaires. Déléguer au gestionnaire ne transfère donc pas la responsabilité, cela organise son exercice. C’est le même principe que pour les autres droits et obligations du syndicat : l’exécution se confie, la responsabilité reste.

Publier le titre et les coordonnées

Le titre et les coordonnées du responsable doivent être publiés sur le site web de l’entreprise. L’entreprise qui n’a pas de site web doit informer le public par tout autre moyen approprié.

C’est précisément la situation de la plupart des syndicats. Concrètement, plusieurs moyens suffisent. Un avis affiché dans le hall, une mention au procès-verbal transmis aux copropriétaires, ou une ligne dans le portail de gestion. Il n’est pas nécessaire d’en aviser la Commission.

L’incident de confidentialité

Ce qui compte comme incident

Un incident de confidentialité survient lorsqu’il y a accès, utilisation ou communication non autorisés d’un renseignement personnel, ou encore perte d’un tel renseignement.

La Commission donne trois exemples : la consultation par un membre du personnel sans permission, l’envoi au mauvais destinataire, et la cyberattaque. Le deuxième est celui qui guette les conseils bénévoles, et il n’exige aucune malveillance.

Évaluer le risque de préjudice sérieux

Devant un incident, le syndicat prend d’abord des mesures raisonnables pour limiter les risques et éviter qu’il se reproduise.

Il évalue ensuite si l’incident présente un risque de préjudice sérieux. Trois éléments pèsent dans cette évaluation : la sensibilité des renseignements, les usages malveillants possibles et la probabilité qu’un dommage survienne.

Si ce risque existe, le syndicat avise sans délai la Commission d’accès à l’information et les personnes concernées. L’avis décrit les renseignements visés, les circonstances, la date de l’incident et les mesures correctives prises.

Le registre des incidents, à conserver cinq ans

C’est l’obligation la moins connue, et elle ne souffre aucune exception.

Le syndicat doit consigner tous les incidents dans un registre, y compris ceux qui ne présentent aucun risque sérieux. Ce registre se conserve pendant au moins cinq ans.

Un conseil qui n’a jamais rien consigné n’est donc pas un conseil sans incident. C’est un conseil sans registre.

Ce que le syndicat risque

Les montants annoncés impressionnent, et méritent d’être lus avec nuance.

La Commission peut imposer des sanctions administratives pécuniaires pouvant atteindre 2 % du chiffre d’affaires mondial ou 10 millions de dollars. Au pénal, l’amende va de 5 000 $ à 100 000 $ pour une personne physique. Pour une entreprise, elle part de 15 000 $ et peut atteindre le plus élevé de 25 millions ou 4 % du chiffre d’affaires mondial de l’exercice précédent. Les montants doublent en cas de récidive.

Ces plafonds sont conçus pour des multinationales. Un syndicat de copropriété n’a pas de chiffre d’affaires mondial. Ce sont donc les montants fixes qui trouveraient application, et il s’agit de maximums, pas de tarifs.

Le risque réel pour un conseil se situe ailleurs. Une plainte d’un copropriétaire à la Commission déclenche une enquête et mobilise des mois. Elle met surtout les administrateurs en position d’expliquer des pratiques qu’ils n’ont jamais formalisées. C’est ce coût-là qui frappe en premier.

Conclusion

La Loi 25 en copropriété ne demande pas à un conseil bénévole de devenir un service de conformité. Elle lui demande de savoir ce qu’il détient et d’assumer qui en répond.

Trois gestes suffisent à partir du bon pied. Nommer le responsable de la protection des renseignements et publier ses coordonnées par un moyen accessible aux copropriétaires. Dresser la liste de ce que le syndicat détient réellement, du registre aux images de caméras. Et ouvrir le registre des incidents aujourd’hui plutôt qu’après le premier courriel envoyé en copie visible.

Foire aux questions (FAQ)

La Loi 25 s’applique-t-elle à un petit syndicat de six unités ?

Oui. Aucun seuil de taille n’existe, et la Commission d’accès à l’information nomme les syndicats de copropriété parmi les organisations visées. Seule l’ampleur des moyens à déployer varie.

Qui est le responsable de la protection des renseignements dans un syndicat ?

Par défaut, la personne ayant la plus haute autorité, donc le président du conseil d’administration. La fonction peut être déléguée par écrit à une personne qualifiée, mais l’imputabilité reste au sommet.

Faut-il publier le nom du responsable si le syndicat n’a pas de site web ?

Oui. La loi prévoit une publication sur le site web, et à défaut une information du public par tout autre moyen approprié. Un avis affiché ou une communication aux copropriétaires remplit l’obligation.

Un courriel envoyé à tous les copropriétaires en copie visible est-il un incident ?

Il correspond à une communication non autorisée de renseignements personnels. C’est l’envoi au mauvais destinataire, cité en exemple par la Commission. Il doit à tout le moins être consigné au registre des incidents.

Combien de temps faut-il conserver le registre des incidents ?

Au moins cinq ans, et il doit contenir tous les incidents, y compris ceux qui ne présentent aucun risque de préjudice sérieux.