Données B2B Québec : checklist Loi 25

Une checklist de gouvernance, pas une permission d’envoyer

Cette page traite la gouvernance des données : inventaire, qualité, sécurité, conservation et traçabilité. Elle ne décide pas à votre place si un courriel commercial peut être envoyé. Pour la structure d’un message et les contrôles propres à CASL, consultez le modèle d’email CASL B2B pour le Québec. La séparation est utile : une fiche CRM bien tenue ne constitue pas, à elle seule, une autorisation de contacter une personne.

La Commission d’accès à l’information du Québec (CAI), dans sa section pour les entreprises privées, rappelle que les renseignements personnels doivent être protégés et bien gérés de leur collecte à leur destruction. En pratique, votre objectif est simple : chaque ligne active doit pouvoir répondre à cinq questions. Quelle information est utilisée ? Pourquoi ? D’où vient-elle ? Qui peut la voir ? Quand sera-t-elle révisée ou retirée ?

1. Désigner les responsables avant de corriger les données

Attribuez un propriétaire à la protection des renseignements personnels, à la base CRM, aux intégrations et au traitement des demandes. Une petite équipe peut cumuler ces rôles, mais elle doit distinguer la décision de la simple exécution. Sans propriétaire, une erreur reste souvent dans l’outil jusqu’à ce qu’un client ou un prospect la découvre.

Documentez un point de contact interne, une procédure d’escalade et la personne autorisée à suspendre une campagne. Le responsable commercial doit pouvoir signaler une donnée douteuse ; il ne doit pas avoir à deviner seul une règle. Cette organisation rend la correction réversible : on sait quelle importation arrêter, quelle automatisation désactiver et quelles fiches revoir.

La CAI présente les changements liés à la Loi 25 par thèmes, notamment la gestion des données, les incidents, la confidentialité par défaut et les communications hors Québec. Conservez son aperçu officiel des principaux changements comme référence de départ, puis adaptez vos procédures à votre activité.

2. Cartographier tous les emplacements où vit une donnée

L’inventaire ne doit pas s’arrêter au CRM. Listez les tableurs d’import, outils de prospection, boîtes de réception, calendriers, systèmes d’enrichissement, outils d’automatisation, exports, sauvegardes, logiciels d’analytique et espaces de messagerie. Une donnée supprimée du CRM mais encore disponible dans un export partagé reste un risque opérationnel.

Pour chaque emplacement, consignez le propriétaire, l’objectif, les catégories de données, les utilisateurs autorisés, les intégrations entrantes et sortantes et la règle de révision. Faites aussi apparaître les copies temporaires. Elles sont souvent les plus difficiles à suivre : fichier envoyé à un prestataire, liste téléchargée pour un événement, table de test ou rapport joint à une conversation.

Champs à inventorier dans une base B2B

identité et coordonnées professionnelles ;
employeur, fonction et secteur ;
URL ou document source et date de vérification ;
notes commerciales, échanges, préférences et oppositions ;
segment, score, langue ou hypothèse générée ;
statut de relation, propriétaire du compte et prochaine revue.

Ne confondez pas « disponible dans un outil » et « nécessaire ». Un numéro direct, une date personnelle ou une note ancienne ne devraient pas être importés sans finalité précise. La minimisation commence par la suppression des champs dont personne ne peut décrire l’usage.

3. Distinguer données d’entreprise et renseignements sur une personne

Le nom d’une société n’identifie généralement pas à lui seul une personne. En revanche, une adresse nominative, une fonction liée à un nom, un téléphone direct, une note d’échange ou un historique de comportement peuvent identifier quelqu’un dans son contexte professionnel. La bonne question n’est pas seulement « est-ce public ? », mais « permet-on d’identifier une personne et pour quelle action ? ».

Accordez une attention particulière aux notes libres et aux données dérivées. « Nouveau directeur, probablement en difficulté » mélange un fait, une personne et une interprétation. Préférez : « fonction affichée sur la page équipe ; source vérifiée le 22 août 2026 ; pertinence commerciale à confirmer ». Le lecteur suivant comprend ce qui est observé et ce qui reste hypothétique.

Un score généré par un outil n’est pas une vérité. Conservez le signal d’origine, l’explication de la règle et la date de calcul. Utilisez le score pour prioriser une revue humaine, pas pour effacer la distinction entre observation et décision.

4. Écrire la finalité avant la collecte ou l’import

Chaque segment doit avoir une finalité courte et spécifique. « Prospection » est trop large. « Identifier le bon interlocuteur pour répondre à une demande entrante » ou « préparer une qualification manuelle d’entreprises correspondant à un secteur donné » sont plus actionnables. La finalité explique les champs nécessaires et la prochaine action permise dans votre propre processus.

Avant un import, posez quatre questions : ce champ aide-t-il réellement la finalité ? la personne qui l’utilisera sait-elle l’interpréter ? dispose-t-on d’une source et d’une date ? peut-on corriger ou retirer la donnée si elle est erronée ? Si une réponse manque, conservez le contact en attente de vérification plutôt que de remplir le CRM avec une supposition.

Cette discipline évite les réemplois silencieux. Une liste constituée pour répondre à un webinaire ou qualifier une demande ne devient pas automatiquement une liste prête pour une nouvelle séquence. Toute modification d’objectif doit déclencher une revue, pas un simple changement d’étiquette.

5. Prouver la provenance et la fraîcheur

La provenance doit être assez précise pour qu’une autre personne puisse la retrouver : URL ou référence, date d’observation, mode d’acquisition, personne ou système ayant importé la donnée, et phrase factuelle décrivant ce que la source établit. Une page d’entreprise peut confirmer un rôle ; elle ne prouve pas un besoin ni une autorisation de contact.

Ajoutez un statut « source insuffisante » et assumez les fiches incomplètes. Ce statut est préférable à une donnée inventée. Il crée une file de vérification, facilite les corrections et révèle les fournisseurs ou segments qui produisent trop d’informations périmées. Une base fiable mesure autant les exclusions que les ajouts.

Fixez une date de dernière vérification pour les champs qui changent : emploi, fonction, coordonnées, responsabilité, préférence de contact et statut du compte. Une information vraie l’année dernière peut rendre un message inadapté aujourd’hui. La date ne garantit pas l’exactitude ; elle rend le doute visible et permet de planifier une nouvelle vérification.

6. Limiter les accès et contrôler les intégrations

Appliquez le principe du besoin d’en connaître. Les personnes qui préparent un segment n’ont pas toujours besoin de lire les notes sensibles ; un prestataire technique n’a pas forcément besoin d’exporter tous les contacts. Maintenez un registre simple : rôle, catégories accessibles, motif, approbateur et date de prochaine revue.

Vérifiez les comptes anciens, les liens de partage, les exports téléchargés et les droits d’administrateur. Demandez à chaque intégration ce qu’elle lit, écrit, conserve et transmet. Désactivez les champs inutiles et commencez par un jeu limité avant une synchronisation complète. Ces contrôles réduisent également la difficulté d’une rectification ou d’un incident ultérieur.

La confidentialité par défaut évoquée par la CAI se traduit opérationnellement par un accès fermé au départ, puis une ouverture justifiée. Une permission donnée « temporairement » sans date de retrait est rarement temporaire dans les faits.

7. Planifier conservation, révision et destruction

Définissez pour chaque catégorie de données un déclencheur de révision et une règle de fin de vie. La règle doit expliquer ce qui arrive lorsque la finalité disparaît : suppression, évaluation d’une anonymisation correctement encadrée lorsqu’elle est applicable, ou conservation limitée pour une raison documentée. Ne laissez pas le délai dépendre du souvenir d’un commercial.

Distinguez la durée de conservation d’une donnée du rythme d’une campagne. Un délai de relance ne dit rien, à lui seul, sur la nécessité de garder une note ou une adresse pendant des années. La CAI inclut conservation, destruction et anonymisation parmi les changements de gestion des données. Votre politique doit traduire ces notions en actions vérifiables dans vos outils.

Prévoyez un mécanisme pour les listes d’exclusion : il faut éviter qu’une demande de ne plus être contacté soit annulée par un futur import. Conservez seulement les éléments nécessaires à cet objectif et contrôlez la synchronisation avec les outils d’envoi.

8. Préparer demandes, rectifications et oppositions

Créez un circuit unique pour les demandes reçues par email, téléphone, formulaire ou message direct. Enregistrez la demande, attribuez-la, vérifiez l’identité de manière proportionnée, recherchez les systèmes concernés et documentez la réponse. Un commercial peut recevoir la demande, mais ne doit pas l’oublier dans sa boîte de réception.

Dans le CRM, une opposition doit déclencher une action concrète : exclusion des séquences, arrêt des relances en attente et vérification des synchronisations. Ne transformez pas une demande d’arrêt en occasion d’argumenter. Le rôle du système est de protéger la décision de la personne à travers les outils et les changements d’équipe.

Un audit mensuel de quelques demandes est très instructif. Vérifiez le délai, les systèmes interrogés, la preuve du traitement et les fiches réimportées par erreur. Les écarts montrent où la procédure doit être renforcée avant de devenir un incident.

9. Encadrer fournisseurs et communications hors Québec

Faites une fiche par fournisseur qui héberge, enrichit, analyse ou transmet des renseignements personnels. Relevez les données concernées, la finalité, les administrateurs du compte, les exports possibles, les sous-traitants connus et le processus de fin de relation. Lorsqu’une communication hors Québec est envisagée, traitez-la comme une question distincte à vérifier, car la CAI la met en évidence dans son aperçu des changements.

Un fournisseur reconnu ne déplace pas toute la responsabilité vers lui. Votre équipe doit encore savoir quel flux est actif, quels champs sont partagés et comment interrompre l’intégration. Un test limité et documenté est plus sûr qu’une synchronisation globale activée par défaut.

10. Préparer un incident avant qu’il survienne

Écrivez une procédure courte : comment signaler l’incident, qui reçoit l’alerte, qui peut couper l’accès, quelles preuves préserver et où consigner les décisions. Exemples : export envoyé au mauvais destinataire, compte compromis, lien trop largement partagé, intégration inattendue ou suppression involontaire. Le premier objectif est de contenir et comprendre, pas de chercher un responsable.

Un registre d’incidents permet de comparer les situations, suivre les corrections et détecter une cause répétée. Les obligations applicables dépendent de la situation ; n’écrivez pas d’avance une conclusion juridique dans votre procédure. Prévoyez plutôt le contact compétent et les informations qui lui seront nécessaires.

Exemple : une fiche CRM gouvernable

Une équipe examine une entreprise industrielle à Montréal. Elle conserve le nom de l’organisation, le nom et la fonction affichés sur une page officielle, l’URL, la date de vérification et une note neutre : « rôle associé aux achats, pertinence à confirmer avant approche ». La finalité est « qualification manuelle de l’interlocuteur ». Seuls les responsables du compte peuvent voir la note ; la fiche est revue à une date définie.

Avant une éventuelle communication, l’équipe effectue un contrôle séparé sur le message et le canal. Elle ne déduit pas de la présence de la fiche qu’un envoi est acquis. Si une demande d’arrêt arrive, elle met à jour la liste d’exclusion dans les systèmes pertinents et vérifie qu’aucune automatisation n’est encore programmée. L’exemple montre le lien entre inventaire, finalité, accès et action corrective.

FAQ spécifique : données B2B, Québec et Loi 25

Une donnée publique peut-elle être ajoutée sans contrôle ?

Non. La disponibilité publique ne dispense pas d’examiner l’identification possible d’une personne, la pertinence de la collecte, la sécurité, la transparence et l’usage réel. Enregistrez le contexte de la source et faites vérifier les scénarios incertains.

Faut-il supprimer toute information dès qu’un prospect n’est plus actif ?

La réponse dépend de votre finalité, de vos obligations et de votre politique. Ce qui compte est d’avoir une règle documentée, appliquée de façon cohérente et révisée. N’utilisez pas l’absence de campagne en cours comme seule règle de conservation.

Un outil d’enrichissement peut-il compléter automatiquement tous les champs ?

Il peut proposer des informations, mais chaque champ doit rester nécessaire, sourcé et révisable. Contrôlez les données dérivées, limitez les synchronisations et traitez les incohérences comme des signaux à vérifier, non comme des faits.

Cette checklist suffit-elle pour lancer une séquence email ?

Non. Elle organise la donnée. Le consentement, l’identification, le désabonnement et les éventuelles exceptions liés à un message commercial relèvent d’un contrôle distinct présenté dans le modèle d’email CASL B2B. En cas de doute, faites examiner le cas précis par un professionnel compétent.

Mettre la checklist en service sans bloquer l’équipe

Commencez par un pilote restreint, avec un seul segment et une personne responsable de la revue. Créez un modèle de fiche qui contient au minimum la source, la date, la finalité, le niveau de vérification, le propriétaire et la prochaine action. Pendant deux semaines, demandez à chaque utilisateur d’indiquer les champs qui ne servent jamais, les champs qui manquent pour prendre une décision et les automatisations qu’il ne comprend pas. Cette observation révèle les défauts concrets d’un processus mieux qu’une politique écrite sans cas réel.

Ensuite, corrigez la source plutôt que seulement la fiche. Si trois contacts ont une fonction erronée parce qu’un enrichisseur interprète mal un intitulé, modifiez la règle d’import, isolez les fiches déjà affectées et notez la décision. Si des notes libres contiennent trop d’informations inutiles, proposez des champs structurés et une formulation neutre. L’amélioration durable vient du mécanisme qui produit l’erreur, pas du nettoyage ponctuel.

Une revue trimestrielle peut porter sur quatre questions : les finalités sont-elles encore actuelles ? les accès correspondent-ils aux rôles ? les fournisseurs et intégrations ont-ils changé ? les règles de conservation sont-elles appliquées dans les exports et sauvegardes ? Gardez un compte rendu court indiquant les preuves examinées, les écarts, la personne responsable et la date de contrôle suivante. Il devient une mémoire de fonctionnement sans exposer toute la base.

Indicateurs utiles pour une gouvernance B2B

Suivez la proportion de fiches ayant une source retrouvable, une date de vérification, une finalité précise et un propriétaire. Ajoutez le taux de doublons, le nombre d’accès retirés, le délai de traitement des demandes, le volume de fiches exclues avant contact et le nombre d’erreurs détectées après import. Ces indicateurs ne sont pas des objectifs commerciaux : ils servent à vérifier si la base est explicable et corrigeable.

Présentez-les avec des exemples anonymisés. Une équipe comprend mieux « les rôles changent plus vite que notre règle de révision » que « qualité : 78 % ». Associez chaque mesure à une action possible : revoir un fournisseur, limiter un champ, former une équipe, corriger un mapping ou suspendre un segment. Évitez de transformer la checklist en simple exercice documentaire ; elle doit rendre les décisions quotidiennes plus sûres et plus rapides.

Audit fournisseur : questions à poser avant et pendant la relation

Un fournisseur qui enrichit, héberge ou automatise une base n’est pas une boîte noire acceptable. Avant l’activation, demandez quelles données il reçoit, quelles données il produit, où elles sont accessibles dans l’interface, quels utilisateurs peuvent les exporter et comment une suppression ou une correction est répercutée. Consignez les réponses utiles avec le propriétaire interne du service. L’objectif n’est pas de recopier un contrat dans le CRM, mais de savoir quels flux interrompre lorsqu’une règle ou un fournisseur change.

À chaque revue, contrôlez au moins un échantillon de synchronisations. Comparez la fiche source et la fiche reçue : les champs inutiles ont-ils été transmis ? une note interne a-t-elle été copiée ? un statut d’exclusion a-t-il été respecté ? Une divergence doit créer une correction de mapping et une revue des enregistrements déjà affectés. Ce contrôle pratique est particulièrement précieux lorsque plusieurs outils mettent à jour la même adresse.

Exercice incident : tester la procédure sans données réelles

Une fois par an, simulez un incident limité : un export envoyé par erreur, un compte collaborateur qui ne devrait plus avoir accès, ou une automatisation qui inclut un contact exclu. Demandez à l’équipe de suivre le chemin prévu : signalement, limitation de l’accès, inventaire des données concernées, conservation des preuves et décision documentée. L’exercice ne sert pas à attribuer une faute ; il vérifie que les rôles et les coordonnées sont utilisables sous pression.

Après l’exercice, notez une seule amélioration prioritaire : retirer un accès, modifier une alerte, clarifier une règle d’import ou mettre à jour la liste de fournisseurs. Répétez ensuite le test sur un autre scénario. Une procédure courte et éprouvée protège mieux qu’un long document que personne n’a consulté depuis sa création.

Revue de direction : décider à partir des écarts

À la fin de chaque cycle, présentez les écarts réellement constatés : sources impossibles à retrouver, droits trop larges, délais de correction, oppositions réimportées et incidents ou quasi-incidents. Pour chacun, décidez d’une action, d’un propriétaire et d’une date de vérification. Cette revue relie la gouvernance quotidienne à une responsabilité de direction sans transformer l’audit en formalité.

Traçabilité des corrections

Lorsqu’une fiche est corrigée, conservez le motif, la source qui a permis la correction, la date et l’auteur de l’action. Cette trace évite qu’une ancienne valeur soit réintroduite par un import ultérieur. Elle aide aussi à distinguer une erreur isolée d’un défaut récurrent dans une source, une intégration ou une règle de qualification.

Prochaine action : auditer dix fiches, puis corriger la source

Sélectionnez dix fiches actives. Pour chacune, retrouvez la source, la date, la finalité, les accès, les automatisations liées et la date de prochaine revue. Corrigez les statuts d’exclusion et les erreurs de provenance avant d’améliorer le score ou le message. Ensuite, utilisez la méthode de qualification des prospects B2B dans le CRM et le guide des rendez-vous B2B au Québec pour renforcer l’exécution commerciale sur une base explicable.

Sources officielles

Ces sources cadrent les obligations et notions mentionnées. Les exemples CRM et les recommandations d’organisation sont généraux et ne remplacent pas un avis juridique adapté à votre situation.