Loi 25 : journaux d’accès et contrôle d’accès en copropriété

Les systèmes d’entrée des immeubles en copropriété divise (clés RFID, porte à puce, interphone, application mobile) génèrent des journaux d’accès. Avec la Loi 25, ces données sont considérées comme des renseignements personnels et doivent être gérées avec rigueur. Pour un conseil d’administration (CA) ou un syndicat, bien encadrer la collecte, la conservation et l’accès à ces journaux limite les risques et renforce la confiance des copropriétaires.

À jour au 2026-08-19, voici ce que vous devez savoir pour être conforme et opérationnel.

Ce que la Loi 25 exige pour les journaux d’accès

La Loi 25 modernise les règles de protection des renseignements personnels au Québec. Elle modifie notamment la Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1). Un journal d’accès qui associe une puce, un porte-clé ou un identifiant à une personne constitue un renseignement personnel. Vous devez donc :

• Définir une finalité claire et légitime (contrôle d’accès, sécurité, enquêtes internes limitées).
• Minimiser la collecte (consigner ce qui est nécessaire, rien de superflu).
• Sécuriser les données et limiter l’accès aux personnes autorisées.
• Déterminer une durée de conservation proportionnée, puis détruire ou anonymiser.
• Informer les personnes concernées et encadrer les fournisseurs qui traitent ces données.

La Loi 25 impose aussi :

• La désignation d’une personne responsable de la protection des renseignements personnels (souvent le président du CA par défaut, sauf délégation) – cf. P-39.1.
• Des politiques et pratiques de gouvernance applicables et publiées de façon accessible.
• Un registre des incidents de confidentialité et, au besoin, des notifications.
• Une évaluation des facteurs relatifs à la vie privée (ÉFVP) pour des projets technos à risque élevé (ex. biométrie), ou lors de transferts hors Québec – cf. P-39.1.

Références utiles:

• LégisQuébec – P-39.1 (Secteur privé): LégisQuébec
• LégisQuébec – Loi 25 (2021, c. 25): LégisQuébec
• LégisQuébec – C.c.Q. (registre et documents du syndicat, art. 1070): LégisQuébec

Quoi journaliser… et combien de temps conserver

Pour atteindre la finalité « sécurité et contrôle d’accès », un journal adéquat contient généralement :

• Date et heure (horodatage).
• Point d’accès (porte/ascenseur/garage).
• Identifiant technique (numéro de puce/clé/carte, pas forcément le nom en clair).
• Résultat (accès autorisé/refusé) et, au besoin, motif technique (ex. clé désactivée).
• Événements de gestion (émission/révocation d’un identifiant, tentatives répétées).

Principes clés de minimisation :

• Évitez d’enregistrer l’adresse IP du téléphone ou des métadonnées non nécessaires.
• Limitez l’association directe à la personne; privilégiez un identifiant pseudonymisé dans le système, avec table de correspondance séparée et chiffrée.
• N’enregistrez pas l’audio/vidéo en continu via l’intercom sans justification claire et politique encadrée.

Durée de conservation recommandée (indicative, à adapter selon le risque et la vie de l’immeuble) :

• 12 mois pour les journaux courants de contrôle d’accès.
• Jusqu’à 24 mois si l’immeuble connaît des enjeux récurrents (ex. vols, incivilités) et que cela est consigné dans une politique approuvée.
• Gel légal (legal hold) en cas d’enquête, sinistre ou litige : conservez jusqu’à la clôture du dossier, puis détruisez de manière sécuritaire.

N’inscrivez pas une conservation « illimitée ». La Loi 25 exige la destruction ou l’anonymisation lorsque la finalité est atteinte. Documentez la méthode (purge automatisée, écrasement sécurisé) dans vos pratiques de gouvernance.

Cas particuliers : biométrie et caméras

• Biométrie (empreinte, reconnaissance faciale) : haut risque. Une ÉFVP est requise et l’usage doit être strictement nécessaire. Évaluez des solutions moins intrusives (puce) avant d’y recourir.
• Vidéosurveillance des accès : encadrez l’angle de vue, l’affichage d’avis, la durée de rétention (souvent plus courte que les journaux textuels) et l’accès restreint aux enregistrements.

Qui peut consulter les journaux et selon quelle procédure

Les journaux d’accès ne sont pas des documents « publics » pour les copropriétaires. Accès et consultation doivent suivre une procédure :

• Personnes autorisées : gestionnaire mandaté, membre(s) du CA désigné(s), concierge/responsable sécurité au besoin. Accès consigné par écrit et limité au nécessaire.
• Fournisseurs : accès encadré par contrat (entretien du système). Aucune réutilisation ni sous-traitance non autorisée.
• Police/autorités : sur demande légitime. Conservez la trace de la communication.

Droits individuels :

• Un copropriétaire peut demander l’accès aux renseignements personnels le concernant (P-39.1). Fournissez uniquement ses propres données, après vérification d’identité. Évitez tout dévoilement d’informations sur d’autres personnes.
• Le syndicat conserve la maîtrise des journaux. Les demandes générales de « tout voir » par d’autres copropriétaires doivent être refusées, sauf agrégats anonymisés (ex. nombre d’entrées par jour) lorsque pertinent.

Gouvernance :

• Prévoyez une politique d’accès et de réponse aux demandes, adoptée en CA et communiquée aux copropriétaires. Mentionnez-la au procès-verbal (PV) et mettez-la à jour au besoin.
• Harmonisez le règlement de l’immeuble et, si pertinent, la DCV pour refléter l’existence du système d’accès et les règles d’utilisation.

Pour l’implantation de ces processus et la tenue documentaire (politiques, registres, gabarits de réponses), voyez notre service de gestion administrative.

Sécurité technique, hébergement et fournisseurs

La sécurité des journaux repose sur des contrôles techniques et contractuels :

• Contrôles d’accès par rôle (RBAC), authentification forte pour les usagers du système.
• Chiffrement des données au repos et en transit; journalisation immuable des accès aux journaux.
• Segmentation : séparer la table d’équivalence identifiant technique ↔ personne; limiter qui peut faire le « recollage ».
• Journal de consultation et d’exportation, avec alertes en cas d’accès inhabituel.
• Hébergement : privilégiez le Québec ou le Canada. Pour toute communication hors Québec, effectuez une évaluation des facteurs relatifs à la vie privée et encadrez par contrat (cf. P-39.1, transfert hors QC).
• Clauses contractuelles avec le fournisseur : finalités, mesures de sécurité, sous-traitance encadrée, assistance en cas d’incident, effacement et réversibilité en fin de contrat.

Assurez-vous que l’installateur du système d’accès détient une licence d’entrepreneur valide et appropriée. Vérifiez la conformité sur le site de la RBQ.

Ressources externes :

• P-39.1 – secteur privé: LégisQuébec
• Loi 25 – 2021, c. 25: LégisQuébec
• C.c.Q., art. 1070 – registre du syndicat: LégisQuébec
• Bonnes pratiques en copropriété: RGCQ
• Vérifier un entrepreneur: RBQ

Mise en œuvre en 7 étapes pour votre CA

1. Cartographier les flux de données
   Quels points d’accès? Quelles données sont collectées? Qui y a accès? Où sont-elles hébergées? Quelles intégrations (intercom, caméras, logiciel de gestion)?

2. Définir la finalité et la minimisation
   Documentez ce qui est nécessaire et supprimez le superflu. Pseudonymisez les identifiants autant que possible.

3. Rédiger les politiques et procédures
   Politique de protection des renseignements personnels (incluant journaux d’accès), procédure de réponse aux demandes d’accès, calendrier de conservation et méthode d’effacement.

4. Encadrer les fournisseurs
   Contrats et annexes sécurité (DPA), obligations de notification d’incident, réversibilité. Vérifiez la localisation des serveurs et les sous-traitants.

5. Mettre en place les contrôles techniques
   RBAC, MFA, chiffrement, journal de consultation, sauvegardes chiffrées, purges automatiques.

6. Former et informer
   Former le gestionnaire, le concierge et les administrateurs qui consultent les journaux. Afficher un avis clair aux accès et informer les copropriétaires par communiqué.

7. Approuver et documenter
   Adoption en CA, information à l’AGA, mention au PV. Publiez un résumé des pratiques sur le site ou le babillard de l’immeuble. Révisez annuellement.

Pour des exemples de gabarits et une exécution sans friction, voyez nos forfaits de gestion et notre blogue pour d’autres guides pratiques.

FAQ – Journaux d’accès et Loi 25

Q1. Un copropriétaire peut-il exiger la liste complète des entrées de l’immeuble?

• Non. Il peut demander ses propres renseignements personnels (ex. ses passages associés à sa puce) après vérification d’identité. Les données d’autrui ne doivent pas être communiquées. Offrez au besoin des statistiques anonymisées.

Q2. Quelle durée de conservation choisir pour un immeuble sans incident?

• En pratique, 12 mois suffisent souvent. Adaptez selon les risques et précisez la règle dans votre politique. Détruisez ou anonymisez ensuite, de manière traçable.

Q3. Les caméras, interphones vidéo et clés mobiles sont-ils couverts?

• Oui, s’ils permettent d’identifier une personne directement ou indirectement. Encadrez distinctement les flux vidéo et les journaux textuels; la rétention vidéo est généralement plus courte.

Cet article fournit de l’information générale et ne constitue pas un avis juridique. Pour votre situation, consultez un avocat ou un notaire.

Vous gérez une copropriété au Québec ? Découvrez nos forfaits ou contactez-nous pour évaluer vos besoins.