Loi 25 et capteurs IoT en copropriété: ÉFVP, consentement

Les capteurs IoT se multiplient dans les immeubles. En copropriété divise au Québec, ils aident à prévenir les dégâts d’eau, optimiser l’énergie et améliorer la sécurité. Mais dès qu’ils traitent des renseignements personnels, la Loi 25 s’applique. Votre conseil d’administration (CA) doit alors assurer une gouvernance claire: ÉFVP (évaluation des facteurs relatifs à la vie privée), consentement, politiques et contrats.

Cet article vous guide, étape par étape, pour intégrer des capteurs IoT dans votre condo en respectant la Loi 25, tout en protégeant les parties communes, les parties privatives et la vie privée des copropriétaires et des occupants.

Pourquoi installer des capteurs IoT dans une copropriété?

Les capteurs IoT couvrent plusieurs usages concrets pour un syndicat de copropriétaires:

• Détection de fuite d’eau dans les salles mécaniques, garages ou colonnes montantes.
• Suivi de température et d’humidité pour prévenir la moisissure et optimiser les dépenses d’énergie.
• Compteurs intelligents (eau, énergie) pour équilibrer les charges communes et informer le budget.
• Capteurs d’ouverture sur les portes de sortie ou cages d’escalier pour la sécurité.
• Boutons d’alerte dans les gym, piscines ou stationnements.

Ces dispositifs réduisent les sinistres et soutiennent l’entretien préventif. Ils s’intègrent au carnet d’entretien/EUC et aident le CA à planifier les interventions, sans alourdir les frais de condo inutilement. Toutefois, s’ils peuvent identifier directement ou indirectement une personne (p. ex., journal d’entrées lié à une unité), la Loi 25 impose des obligations spécifiques.

Ce que la Loi 25 exige pour un syndicat de copropriété

La Loi 25 modernise la Loi sur la protection des renseignements personnels dans le secteur privé. Elle encadre la collecte, l’utilisation, la communication, la conservation et la destruction des renseignements personnels. Concrètement, un syndicat doit:

• Désigner un responsable de la protection des renseignements personnels (souvent le président du CA) et publier ses coordonnées.
• Adopter une politique de gouvernance des renseignements personnels, accessible et proportionnelle aux activités du syndicat.
• Tenir un registre des incidents de confidentialité et aviser au besoin les personnes concernées et, selon la gravité, les autorités.
• Effectuer une ÉFVP pour tout projet technologique présentant un risque élevé pour la vie privée, notamment l’implantation de capteurs qui permettent de suivre des individus.

Au regard du Code civil du Québec, le syndicat a aussi l’obligation d’assurer la conservation de l’immeuble et l’administration des parties communes dans l’intérêt collectif. Le CA doit donc concilier sécurité, entretien et respect des droits des personnes. Référez-vous au Code civil du Québec et à la Loi P-39.1 pour les textes officiels:

• LégisQuébec – Code civil du Québec
• LégisQuébec – Loi sur le secteur privé (P-39.1), modernisée par la Loi 25

Pour les systèmes reliés à la sécurité incendie, validez la conformité et l’entretien auprès de la RBQ:

• RBQ – Systèmes de sécurité incendie

Des lignes directrices et bonnes pratiques destinées aux syndicats sont aussi diffusées par le RGCQ:

• RGCQ – Ressources en copropriété

ÉFVP étape par étape pour vos capteurs IoT

L’ÉFVP documente les risques pour la vie privée et les mesures d’atténuation. Elle se fait avant la mise en service et se met à jour lors des changements majeurs (nouveau type de capteur, nouveau fournisseur, interconnexion avec d’autres systèmes).

Quand l’ÉFVP est-elle requise?

• Le projet implique la collecte, l’analyse ou la communication de données qui peuvent identifier une personne (p. ex., badges d’accès corrélés à une unité, géolocalisation, enregistrements horodatés).
• Le dispositif surveille des zones où des individus circulent régulièrement, même si ce sont des parties communes.
• Les données sont hébergées par un tiers ou à l’extérieur du Québec.

Si les capteurs mesurent uniquement des paramètres agrégés impossibles à relier à une personne (ex. température du local chaudière sans journal d’accès), l’ÉFVP peut être simplifiée, mais une courte analyse écrite demeure prudente.

Contenu minimal d’une ÉFVP

• Description du projet et des objectifs légitimes (prévention des sinistres, conformité, entretien).
• Cartographie des données: quelles données, d’où proviennent-elles, vers qui circulent-elles, où sont-elles stockées.
• Base légale: consentement requis? Obligation légale? Nécessité pour la sécurité des personnes ou des biens, lorsque approprié.
• Analyse des risques: intrusions, réidentification, accès non autorisés, conservation excessive.
• Mesures d’atténuation: minimisation, chiffrement, contrôle d’accès, journalisation, anonymisation, politiques de conservation/destruction.
• Évaluation des transferts hors Québec et garanties contractuelles avec les fournisseurs.
• Plan de communication et procédure pour répondre aux demandes d’accès ou de rectification.

Un résumé non technique de l’ÉFVP devrait être présenté à l’AGA et annexé au PV, pour assurer la transparence envers les copropriétaires.

Consentement éclairé des copropriétaires et des occupants

En règle générale, le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques. La transparence est essentielle: expliquez clairement le « pourquoi », le « quoi », le « comment » et le « combien de temps ».

• Parties communes: l’affichage et une politique accessible peuvent suffire lorsque l’usage est nécessaire et proportionné (p. ex., capteur d’inondation en salle mécanique). Si un suivi individuel devient possible, obtenez un consentement explicite.
• Parties privatives: évitez l’installation sans autorisation. Si un règlement de l’immeuble le prévoit, assurez-vous qu’il respecte la Loi 25 et la DCV. Privilégiez des solutions dans les espaces techniques ou des capteurs remis volontairement aux copropriétaires avec information et consentement.
• Locataires et visiteurs: informez-les avec une affiche claire et des consignes à l’entrée. Fournissez un point de contact pour toute question.

Le CA doit aussi:

• Prévoir un mécanisme d’exercice des droits (accès, rectification) et une adresse pour le responsable.
• Documenter le cycle de vie des données (collecte à suppression) dans une politique.
• Mettre à jour le règlement de l’immeuble au besoin et faire approuver les changements en AGA, avec mention au PV.

Appuyez-vous sur des modèles, mais adaptez-les à votre réalité. Pour un accompagnement opérationnel et administratif, voyez nos services: https://www.multirent.ca/services/#gestion-administrative et https://www.multirent.ca/services/#gestion-des-operations.

Gouvernance, sécurité et contrats: les bonnes pratiques

La technologie ne suffit pas; la gouvernance fait la différence. Voici un cadre pragmatique pour votre syndicat:

• Minimisation: collectez uniquement ce qui est nécessaire à l’objectif légitime. Désactivez les fonctions non utilisées (audio, géolocalisation fine).
• Paramétrage: configurez par défaut la protection la plus élevée compatible avec l’opération (privacy by default).
• Sécurité: chiffrement en transit et au repos, rotation des clés, segmentation réseau, authentification forte pour le gestionnaire et les membres du CA.
• Accès: principe du moindre privilège; journalisez et révisez régulièrement les accès.
• Conservation: fixez des durées limitées et justifiées; appliquez l’effacement automatique.
• Hébergement: préférez des fournisseurs offrant des garanties contractuelles adaptées au Québec, incluant notification d’incident, sous-traitance encadrée et audits.
• Tests: faites un pilote restreint, évaluez l’impact, ajustez avant déploiement complet.
• Procédures: intégrez les capteurs à votre EUC/carnet d’entretien et à votre plan d’intervention en cas de sinistre.
• Formation: sensibilisez le concierge, l’entrepreneur d’entretien et les gestionnaires aux gestes à poser et à éviter.

Lorsqu’un système interagit avec la sécurité incendie ou d’autres systèmes régis, vérifiez la conformité RBQ et travaillez avec des entrepreneurs dûment licenciés. Consultez aussi les références officielles pour les textes à jour:

• LégisQuébec – P-39.1 (Loi du secteur privé)
• LégisQuébec – Code civil du Québec
• RBQ – Informations sur la sécurité incendie
• RGCQ – Ressources et bonnes pratiques

Pour garder le cap et prioriser les actions, centralisez votre documentation (ÉFVP, contrats, fiches techniques, procédures) dans un dépôt partagé, avec accès contrôlé pour le CA et votre gestionnaire.

FAQ express

– Sommes-nous obligés d’obtenir un vote en AGA pour installer des capteurs IoT? Cela dépend de l’étendue des travaux et de l’impact sur l’usage des parties communes. Par transparence, présentez le projet, joignez un résumé de l’ÉFVP au PV, et faites entériner toute modification au règlement de l’immeuble.

– Pouvons-nous installer des capteurs dans les unités? Évitez d’imposer des capteurs en parties privatives sauf obligation claire dans la DCV ou règlement adopté valablement. Privilégiez des mesures volontaires avec consentement écrit et une information détaillée.

– Qui est responsable en cas d’incident de confidentialité? Le syndicat demeure responsable, même en présence d’un fournisseur. Prévoyez des clauses contractuelles robustes et tenez un registre des incidents conformément à la Loi 25.

Vous souhaitez approfondir la gouvernance et la conformité? Parcourez notre blogue: https://www.multirent.ca/blog/ et découvrez comment nous organisons la gestion quotidienne d’un syndicat: https://www.multirent.ca/services/.

Cet article fournit de l’information générale et ne constitue pas un avis juridique. Pour votre situation, consultez un avocat ou un notaire.

Vous gérez une copropriété au Québec ? Découvrez nos forfaits ou contactez-nous pour évaluer vos besoins.