Loi 25 et journaux du contrôle d’accès : ce que les gestionnaires doivent savoir

Guide · Publié le 4 novembre 2026 · Équipe Vega Access · Information générale, pas un avis juridique

Pourquoi les journaux d’entrée sont des renseignements personnels

Une entrée enregistrée relie une personne (par sa puce, son code ou son téléphone) à un lieu et à une heure. Au fil des semaines, elle révèle quand quelqu’un rentre chez lui, qui visite un logement et quand un logement est vide. La Loi sur la protection des renseignements personnels dans le secteur privé, modernisée par la Loi 25, s’applique à ces renseignements lorsqu’ils sont détenus par une entreprise, comme une société de gestion immobilière. Ses obligations sont entrées en vigueur par étapes entre 2022 et 2024.

1. Savoir pourquoi on recueille

Recueillez ce dont le contrôle d’accès a besoin, et dites pourquoi. Une finalité typique couvre : donner aux bonnes personnes l’accès aux bonnes portes, retirer l’accès à la fin d’un bail ou d’un contrat, enquêter sur un incident comme une introduction par effraction ou un litige, et entretenir les serrures. Évitez les usages hors de cette finalité, comme suivre les allées et venues d’un locataire pour des raisons étrangères à la sécurité. Informez copropriétaires, locataires et personnel de ce qui est enregistré et pourquoi, en termes simples, par exemple dans le règlement de l’immeuble et votre politique de confidentialité.

2. Limiter qui peut consulter

Moins il y a de personnes qui peuvent parcourir l’historique des entrées, plus le risque est faible. Bonnes pratiques :

• Un compte par personne ; jamais de connexion partagée dans l’équipe.
• Des gestionnaires d’immeuble et des techniciens limités aux immeubles dont ils s’occupent.
• Le journal d’audit et les exportations complètes réservés aux rôles qui en ont besoin.
• Une connexion protégée par l’authentification à deux facteurs et un historique des connexions.

Dans Vega Access, les rôles sont attribués par immeuble, chaque personne se connecte individuellement avec un second facteur au choix, et chaque modification des accès est consignée avec son auteur.

3. Ne conserver que le temps nécessaire

La Loi 25 prévoit qu’un renseignement personnel soit détruit ou anonymisé une fois atteinte la fin pour laquelle il a été recueilli, sous réserve des délais de conservation prévus par la loi. Fixez une durée de conservation pour l’historique des entrées, écrivez-la et appliquez-la. Dans Vega Access, la durée d’historique dépend du forfait ; choisissez celui qui correspond à la durée décidée, pas le plus long offert.

4. Se préparer aux incidents

Une puce perdue n’est pas en soi un incident de confidentialité, mais une liste perdue de locataires et de numéros de puces, ou un accès non autorisé à l’historique des entrées, peut l’être. La Loi 25 oblige les organisations à tenir un registre des incidents de confidentialité et, lorsqu’un incident présente un risque de préjudice sérieux, à aviser la Commission d’accès à l’information et les personnes concernées. En pratique :

• Sachez qui, dans votre organisation, est la personne responsable de la protection des renseignements personnels.
• Bloquez sans délai les identifiants perdus ou volés et notez quand et par qui.
• Gardez les exportations hors des fils de courriels et des dossiers partagés accessibles à trop de monde.

5. Examiner les fournisseurs, y compris l’endroit où vont les données

Un système d’accès fait souvent intervenir plus d’une entreprise : le logiciel, le nuage de la plateforme de serrures, parfois un installateur. La Loi 25 demande d’évaluer les facteurs relatifs à la vie privée avant de communiquer des renseignements personnels à l’extérieur du Québec, et de réaliser une évaluation des facteurs relatifs à la vie privée pour tout projet d’acquisition ou de développement d’un système d’information qui comporte des renseignements personnels. Demandez à chaque fournisseur où les données sont stockées et qui y a accès.

Pour Vega Access : le système de gestion est hébergé dans un centre de données canadien, avec sauvegardes chiffrées quotidiennes. Les serrures intelligentes communiquent aussi avec le nuage de la plateforme de serrures, qui peut se trouver à l’extérieur du Canada. Ces deux faits font partie de votre évaluation. Voyez sécurité et confidentialité.

6. Répondre aux demandes d’accès et de rectification

Toute personne peut demander quels renseignements vous détenez sur elle et en demander la correction. Avec un système d’accès, il faut donc retrouver vite les identifiants et les entrées d’une personne, et les exporter. Dans Vega Access, toute liste s’exporte en CSV, et les portes et cartes s’exportent vers Excel.

Liste de vérification

1. Finalité des journaux d’entrée écrite et communiquée aux occupants.
2. Rôles définis ; aucune connexion partagée ; deux facteurs activés pour les administrateurs.
3. Durée de conservation décidée et respectée par votre forfait.
4. Registre des incidents en place ; personne responsable désignée.
5. Fournisseurs évalués, y compris les données hors Québec.
6. Moyen de retrouver et d’exporter les données d’une personne.

Ce que Vega Access fait, et ne fait pas

Vega Access fournit les outils : rôles par immeuble, connexion individuelle avec authentification à deux facteurs, journal d’audit de chaque action et exportations. Il ne rédige pas votre politique de confidentialité, ne fixe pas votre durée de conservation et ne remplace pas un avis juridique. Pour le prix et la durée d’historique de chaque forfait, voyez les forfaits et le calculateur ; pour l’application en copropriété, voyez le contrôle d’accès en copropriété.

Questions fréquentes

Pages connexes

• Sécurité et confidentialité
• Gestionnaires immobiliers
• Carte d’accès perdue
• Forfaits