Fichier clients et Loi 25 : la checklist pour votre salon de coiffure au Québec

Nom, numéro de cellulaire, courriel, historique des visites, formule de la couleur, parfois une note "allergique au PPD" : le dossier client d'un salon de coiffure est rempli de renseignements personnels. Au Québec, c'est la Loi sur la protection des renseignements personnels dans le secteur privé, profondément modernisée par la Loi 25, qui encadre ce fichier. Elle s'applique à toutes les entreprises, sans seuil de taille : le salon d'une seule chaise à Rimouski comme le salon de dix employés sur le Plateau.

La bonne nouvelle : pour un salon de coiffure, la conformité à la Loi 25 est beaucoup plus abordable que ce que laissent croire certaines offres de consultants. Pas de permis à demander, pas de certificat à obtenir, pas de registre des traitements à la mode européenne. Ce qui compte, c'est une poignée de réflexes concrets, proportionnés à la taille de votre salon. La loi elle-même raisonne en proportionnalité, et la Commission d'accès à l'information (CAI) le répète dans ses guides destinés aux entreprises.

Ce guide est publié par ViteUneCoupe, le logiciel de réservation gratuit et sans commission pour salons de coiffure, dont la version gratuite inclut une base de données clients avec historique des rendez-vous. Les règles ci-dessous valent néanmoins pour tous les salons québécois, quel que soit l'outil, cahier papier compris. Chaque point s'appuie sur le texte de la loi, publié sur LégisQuébec (chapitre P-39.1), et sur les explications officielles de la CAI. Et si votre salon est en France ou en Suisse, ce n'est pas la bonne page : consultez plutôt notre guide RGPD du fichier clients ou son équivalent suisse.

La Loi 25 s'applique-t-elle à votre salon de coiffure ?

Oui, sans condition de taille ni de chiffre d'affaires. La loi s'applique dès que votre entreprise recueille, détient, utilise ou communique des renseignements sur des personnes physiques identifiables. Un prénom associé à un numéro de cellulaire suffit. Le support n'y change rien : logiciel de prise de rendez-vous, chiffrier Excel, bac de fiches cartonnées à la réception, tout est visé.

La Loi 25 n'a pas créé une loi neuve : elle a modernisé la Loi sur le privé, en vigueur depuis 1994, par trois vagues successives que le guide aide-mémoire de la CAI détaille :

• 22 septembre 2022 : désignation du responsable de la protection des renseignements personnels, gestion des incidents de confidentialité (registre et déclaration).
• 22 septembre 2023 : le gros du paquet, soit les politiques de gouvernance, les nouvelles règles de consentement, la transparence, la destruction des renseignements devenus inutiles, l'évaluation avant de communiquer des renseignements à l'extérieur du Québec, et les sanctions.
• 22 septembre 2024 : le droit à la portabilité des renseignements personnels.

Autrement dit : en 2026, tout est en vigueur. Il n'y a ni déclaration de fichier à déposer auprès de la CAI ni "certificat de conformité Loi 25" à acheter. La logique est celle de la responsabilité : vous appliquez les règles et vous devez pouvoir montrer que vous le faites.

Quels renseignements détient votre fichier, et lesquels sont sensibles ?

Commencez par un inventaire honnête, supports papier compris. Un salon détient typiquement :

• Coordonnées : nom, prénom, cellulaire, courriel, parfois adresse.
• Historique des rendez-vous : dates, services, coiffeuse ou coiffeur, montants.
• Notes techniques : formule de couleur, oxydant, temps de pose, diagnostic capillaire.
• Notes libres : préférences, remarques diverses.
• Parfois des photos : avant/après conservés dans le dossier ou publiés sur les réseaux sociaux.

Un point demande une vraie vigilance : la loi qualifie de sensible le renseignement qui, de par sa nature notamment médicale, biométrique ou autrement intime, suscite un haut degré d'attente raisonnable en matière de vie privée, comme l'explique la CAI dans sa page qu'est-ce qu'un renseignement personnel. Une note "allergie au PPD" ou "cuir chevelu psoriasique" touche à la santé : c'est un renseignement sensible. Cela ne vous interdit pas de la noter, c'est même une question de sécurité avant une coloration, le test cutané existe pour cette raison. Mais le régime est renforcé : notez l'information avec l'accord de la cliente et parce qu'elle est nécessaire au service, limitez-la au strict utile, et ne la communiquez jamais à des tiers. Le consentement visant un renseignement sensible doit être manifesté de façon expresse, pas déduit d'un silence.

Même logique pour les photos : conserver un avant/après dans le dossier et le publier sur Instagram sont deux usages distincts, qui demandent deux accords distincts. Et pour les notes libres, une règle simple : n'écrivez jamais dans un dossier ce que vous ne pourriez pas montrer à la personne concernée, car elle a le droit de tout lire.

Le responsable de la protection des renseignements personnels, c'est vous

C'est l'obligation la plus simple à régler, et la plus visible. Depuis le 22 septembre 2022, chaque entreprise doit avoir une personne responsable de la protection des renseignements personnels. Par défaut, la loi confie cette fonction à la personne ayant la plus haute autorité dans l'entreprise : dans un salon, la propriétaire ou le propriétaire. Vous pouvez la déléguer, en tout ou en partie, à condition de le faire par écrit, comme le précise la page de la CAI sur le responsable.

Concrètement, pour un salon :

1. Dans un salon d'une ou deux chaises, ne déléguez rien : vous êtes la personne responsable, point.
2. Publiez le titre et les coordonnées du responsable sur le site web du salon ou sur votre page de réservation, par exemple : "Responsable de la protection des renseignements personnels : Marie Tremblay, propriétaire, [email protected]". Pas de site web ? Rendez l'information accessible par un autre moyen approprié, comme un affichage à la réception.
3. Rien à envoyer à la CAI : la publication suffit.

Dans un salon de dix employés, la logique est la même, mais une délégation écrite à une gérante peut avoir du sens, et la formation de l'équipe devient le vrai chantier : qui a accès au fichier, qui répond aux demandes des clientes, qui réagit en cas d'incident.

Politique de confidentialité et transparence envers vos clientes

Depuis le 22 septembre 2023, deux obligations de transparence encadrent votre fichier :

• Des politiques et pratiques de gouvernance : des règles internes, proportionnées à la taille de votre entreprise, qui prévoient notamment la conservation et la destruction des renseignements, les rôles de votre personnel et le traitement des plaintes. Pour un salon, un document d'une page ou deux suffit largement : quelles données vous gardez, où, qui y accède, combien de temps, et qui répond aux demandes. De l'information détaillée sur ces politiques doit être publiée en termes simples et clairs sur votre site, ou rendue accessible autrement.
• Une politique de confidentialité si vous recueillez des renseignements par un moyen technologique, ce qui est le cas dès que vos clientes réservent en ligne : une courte politique rédigée en termes simples et clairs, diffusée sur le site ou la page de réservation.

Pas besoin d'un texte d'avocat de douze pages. Quelques phrases claires valent mieux qu'un pavé : "Le Salon X, à Québec, conserve vos coordonnées et votre historique de services pour gérer vos rendez-vous. Vos renseignements sont hébergés chez notre fournisseur Y. Vous pouvez y accéder, les faire corriger ou les faire supprimer en écrivant à...". Au moment de la collecte, la personne doit aussi savoir pourquoi vous recueillez l'information, qui peut y avoir accès et quels sont ses droits.

Consentement : rendez-vous, marketing et photos, trois régimes différents

C'est la confusion la plus fréquente, et elle mérite d'être levée clairement.

Les communications de service (confirmation du rendez-vous, rappel la veille, courriel pour un changement d'horaire) font partie de l'exécution du service : la cliente a réservé, vous l'informez sur sa réservation. Vous n'avez pas besoin d'un consentement publicitaire pour les envoyer. Ce sont d'ailleurs ces rappels qui pèsent le plus pour réduire les rendez-vous manqués dans un salon québécois.

Les messages commerciaux (promotion sur les colorations, offre d'anniversaire, relance des clientes inactives) relèvent d'un double encadrement. La Loi sur le privé donne à toute personne le droit de refuser que ses renseignements servent à la prospection commerciale, comme le rappelle la page de la CAI sur vos droits. Et surtout, la Loi canadienne anti-pourriel, une loi fédérale, exige un consentement, exprès ou tacite, avant d'envoyer un courriel ou un texto commercial, en plus d'identifier l'expéditeur et d'offrir un mécanisme de désabonnement dans chaque message. Le consentement tacite couvre notamment une relation d'affaires en cours, par exemple une cliente qui a acheté un service récemment, mais il est limité dans le temps. Nous détaillons tout cela, modèles de messages compris, dans notre guide des rappels de rendez-vous par texto ou courriel au Québec. Et si la relance des clientes fait partie de votre stratégie, notre guide pour fidéliser les clientes d'un salon de coiffure montre ce qui fonctionne sans agacer.

Les photos et les renseignements sensibles, enfin, demandent un consentement exprès et spécifique : un "oui" pour la note d'allergie dans le dossier, un autre "oui" pour la photo publiée sur les réseaux. Le piège classique : recycler les numéros collectés pour les rendez-vous en liste d'envoi promotionnelle sans avoir rien prévu. Si vous comptez faire des campagnes, prévoyez la case d'accord dès la prise de coordonnées, et gardez-en la preuve.

Conservation et destruction : pas de durée magique, mais une vraie obligation

La loi québécoise ne fixe pas de durée en années pour un fichier clients de salon. Elle pose une règle de principe, en vigueur depuis septembre 2023 : lorsque les fins pour lesquelles un renseignement a été recueilli sont accomplies, vous devez le détruire ou l'anonymiser, sous réserve d'un délai de conservation prévu par une autre loi. Garder "au cas où" le dossier complet d'une cliente partie depuis dix ans n'est pas une option.

Pour un salon, une politique raisonnable ressemble à ceci :

Concrètement : une fois par année, triez votre fichier sur la date de dernière visite et supprimez ou anonymisez les dossiers dormants depuis plusieurs années. L'important n'est pas le chiffre exact que vous retenez, c'est d'avoir une règle, de l'écrire dans votre politique de gouvernance et de l'appliquer.

Les droits de vos clientes sur leurs renseignements

La loi donne à chaque personne des droits sur ses renseignements, et un salon doit savoir y répondre :

• Accès : "Qu'avez-vous sur moi ?" Vous communiquez le dossier complet, notes libres incluses, dans les 30 jours. L'absence de réponse équivaut à un refus, que la cliente peut contester devant la CAI.
• Rectification : un numéro erroné, un nom mal orthographié, un renseignement équivoque ou périmé, vous corrigez, dans le même délai de 30 jours.
• Retrait du consentement et suppression : "Supprimez mon dossier." Vous supprimez coordonnées, historique et notes, et ne conservez à part que ce qu'une autre loi impose de garder, comme les pièces comptables.
• Portabilité (depuis le 22 septembre 2024) : la cliente peut demander une copie des renseignements informatisés recueillis auprès d'elle, dans un format technologique structuré et couramment utilisé, par exemple pour les transmettre à un autre salon.

Aucun formalisme n'est exigé de la cliente : une demande verbale au bac est valable. Une réponse écrite de votre côté, même brève, vous servira de preuve. C'est ici qu'un fichier structuré paie : retrouver et exporter le dossier d'une cliente en deux clics, plutôt que de fouiller un bac de fiches et trois carnets.

Incident de confidentialité : le registre et la déclaration à la CAI

Si votre fichier clients fuite (vol de l'ordinateur, piratage du logiciel, cahier disparu, employé qui consulte des dossiers sans raison), la loi parle d'un incident de confidentialité, et trois obligations s'enclenchent, détaillées sur la page de la CAI sur les incidents :

1. Réagir : prendre les mesures raisonnables pour diminuer les risques de préjudice et éviter qu'un incident semblable se reproduise.
2. Aviser, si le risque est sérieux : lorsque l'incident présente un risque de préjudice sérieux, vous devez aviser la CAI avec diligence, via son formulaire de déclaration, ainsi que chaque personne concernée. Pour évaluer ce risque, la loi retient notamment la sensibilité des renseignements, les conséquences appréhendées et la probabilité qu'ils soient utilisés à des fins préjudiciables. La perte d'une liste de prénoms et d'heures de rendez-vous n'atteint généralement pas ce seuil ; la fuite d'un fichier complet avec notes de santé peut l'atteindre.
3. Consigner, dans tous les cas : tenir un registre des incidents, même ceux sans risque sérieux, conservé au moins cinq ans, et le transmettre à la CAI si elle le demande.

La meilleure déclaration reste celle qu'on n'a jamais à faire. Les bases, à la portée de tout salon : un identifiant par employé sur le logiciel plutôt qu'un compte partagé, des mots de passe solides, des sauvegardes (un cahier unique peut brûler, un Excel sur un seul ordinateur sans copie ne vaut guère mieux), une tablette d'accueil qui se verrouille, et l'accès coupé le jour même quand quelqu'un quitte le salon.

Hébergement hors Québec : ce que la loi demande vraiment

C'est le point le plus mal compris de la Loi 25, et il concerne directement le choix de votre logiciel. Dès que votre fichier vit dans un outil en ligne, les renseignements sont généralement hébergés à l'extérieur du Québec : aux États-Unis, en Europe ou ailleurs au Canada. La loi ne l'interdit pas, et n'impose pas un hébergement au Québec ni au Canada. Elle exige autre chose : avant de communiquer des renseignements personnels à l'extérieur du Québec, ou de confier à un fournisseur hors Québec la tâche de les conserver pour vous, vous devez réaliser une évaluation des facteurs relatifs à la vie privée (ÉFVP).

Le mot impressionne, la réalité est proportionnée : le guide ÉFVP de la CAI précise que l'ampleur de l'évaluation dépend de la sensibilité des renseignements, de leur quantité et de leur usage. Pour un fichier clients de salon, il s'agit de documenter, en une page, les quatre facteurs que la loi énumère : la sensibilité des renseignements, les fins de leur utilisation, les mesures de protection (y compris contractuelles) et le régime juridique de l'État de destination. Si l'évaluation montre que les renseignements bénéficieraient d'une protection adéquate, la communication peut se faire, encadrée par une entente écrite, en pratique le contrat ou les conditions d'utilisation de votre fournisseur, qui doit prévoir la confidentialité et la non-conservation après la fin du contrat.

Trois questions à poser à votre fournisseur actuel, ou avant d'en choisir un nouveau, comme détaillé dans notre guide des logiciels de réservation pour salons de coiffure au Québec :

1. Où sont hébergés les renseignements ? Une réponse claire et écrite est le minimum ; c'est la matière première de votre ÉFVP. Méfiez-vous d'un fournisseur incapable de répondre.
2. Pouvez-vous récupérer et supprimer votre fichier ? Vous devez pouvoir exporter vos données si vous changez d'outil, et supprimer un dossier quand une cliente le demande. Un fournisseur qui verrouille votre fichier vous met en difficulté vis-à-vis de vos propres obligations.
3. À qui appartient la relation client ? Certaines plateformes s'intercalent entre le salon et ses clientes, qui deviennent aussi les utilisatrices de la place de marché.

Chez ViteUneCoupe, les renseignements des salons sont hébergés en France et en Allemagne, deux États dotés d'un régime reconnu de protection des renseignements personnels (le RGPD européen), ce qui donne une base solide à votre évaluation ; le fichier clients appartient au salon et reste exportable, et il n'y a aucune place de marché entre vous et vos clientes : 0 % de commission, toujours. Par transparence : l'abonnement des forfaits payants est facturé en euros, pas en dollars canadiens, et il n'y a pas de rappels par texto, les rappels se font par courriel. Et soyons clairs : aucun logiciel ne rend un salon "conforme à la Loi 25" à lui seul, la conformité reste la responsabilité du salon ; un bon outil la rend simplement beaucoup moins pénible.

Les sanctions : des millions au texte, la proportion en pratique

Les chiffres circulent beaucoup, précisons-les à partir du texte. Depuis le 22 septembre 2023, deux régimes coexistent :

• Les sanctions administratives pécuniaires, imposées directement par la CAI : jusqu'à 50 000 $ pour une personne physique et, pour une entreprise, jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial si ce montant est plus élevé, comme l'indique la page de la CAI sur les sanctions. L'entreprise peut proposer un engagement de conformité pour éviter la sanction.
• Les amendes pénales, prononcées par un tribunal pour les infractions les plus graves (recueillir ou communiquer des renseignements en contravention de la loi, omettre de déclarer un incident, négliger les mesures de sécurité) : de 15 000 $ à 25 millions de dollars ou 4 % du chiffre d'affaires mondial pour une entreprise.

Ces plafonds sont taillés pour les multinationales, pas pour un salon de coiffure de quartier, et la démarche de la CAI est graduée. Mais ne retenez pas seulement l'argument de la peur : le vrai risque du quotidien, pour un salon, c'est une cliente qui demande son dossier sans obtenir de réponse dans les 30 jours, un fichier qui part chez un concurrent avec une employée, ou une note maladroite lue par la personne concernée. La conformité à la Loi 25 est d'abord une affaire de confiance commerciale.

La checklist Loi 25 de votre salon

Pour finir, l'essentiel en une liste à cocher :

1. Responsable : vous êtes désigné par défaut ; le titre et les coordonnées sont publiés sur votre site ou votre page de réservation.
2. Inventaire : vous savez quels renseignements vous détenez, où, et qui y accède.
3. Politiques : une page de gouvernance (conservation, destruction, rôles, plaintes) et une politique de confidentialité courte sur votre page de réservation.
4. Renseignements sensibles : notes d'allergie limitées au nécessaire, avec un accord exprès, jamais communiquées.
5. Consentements : service, marketing et photos clairement séparés ; désabonnement facile dans chaque message commercial.
6. Durées : un tri annuel des dossiers dormants, registres comptables archivés 6 ans à part.
7. Droits : vous savez fournir, corriger ou supprimer un dossier dans les 30 jours, et l'exporter dans un format courant.
8. Incidents : un registre tenu, conservé cinq ans, et le réflexe d'évaluer le risque de préjudice sérieux avant d'aviser la CAI.
9. Fournisseur : vous savez où vos renseignements sont hébergés, une ÉFVP proportionnée est documentée, et votre fichier reste exportable.

Neuf points, aucun ne demande un avocat à temps plein. Un dixième cas, moins fréquent mais encadré lui aussi : le jour où vous vendez votre salon de coiffure, la Loi 25 permet de communiquer le fichier clients à l'acheteur, à condition de signer une entente préalable et d'aviser les clientes après la transaction. Et si votre fichier clients vit encore sur des fiches volantes, c'est peut-être l'occasion de le structurer : la version gratuite de ViteUneCoupe inclut une base de données clients avec historique des rendez-vous, des réservations en ligne illimitées et 0 % de commission, sans carte bancaire requise.

Questions fréquentes

La Loi 25 s'applique-t-elle à un salon d'une seule chaise ?

Oui. La Loi sur le privé s'applique à toute personne qui exploite une entreprise au Québec, sans seuil de taille ni de chiffre d'affaires : travailleuse autonome, salon d'une chaise ou salon de dix employés. Dès que vous conservez un nom et un numéro de cellulaire, vous détenez des renseignements personnels. Les obligations restent proportionnées : pour un petit salon, l'essentiel tient dans la checklist ci-dessus.

Qui doit être le responsable de la protection des renseignements personnels dans un petit salon ?

Par défaut, la personne ayant la plus haute autorité dans l'entreprise, donc la propriétaire ou le propriétaire du salon. Vous pouvez déléguer la fonction par écrit, en tout ou en partie, mais dans un salon d'une ou deux chaises cela n'a généralement aucun intérêt. L'obligation concrète est de publier le titre et les coordonnées du responsable sur votre site web ou, à défaut, de les rendre accessibles autrement, par exemple à la réception.

Une note d'allergie dans le dossier client est-elle un renseignement sensible ?

Oui. La loi qualifie de sensible le renseignement de nature médicale, biométrique ou autrement intime, et une allergie au PPD ou un problème de cuir chevelu touche à la santé. Vous pouvez la noter parce qu'elle est nécessaire à la sécurité du service, avec le consentement exprès de la cliente, en vous limitant au strict utile et sans jamais la communiquer à des tiers.

Mon logiciel de salon héberge les données aux États-Unis : est-ce interdit ?

Non. La Loi 25 n'impose pas d'hébergement au Québec ni au Canada. Elle exige une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements à l'extérieur du Québec, proportionnée à la sensibilité des renseignements : vous documentez les quatre facteurs prévus par la loi, et la communication peut se faire si les renseignements bénéficient d'une protection adéquate, encadrée par une entente écrite avec le fournisseur. Le point de départ : demandez par écrit à votre fournisseur où il héberge les données.

Combien de temps garder le dossier d'une cliente qu'on ne voit plus ?

La loi ne fixe pas de durée en années : elle impose de détruire ou d'anonymiser les renseignements lorsque les fins de leur collecte sont accomplies, sous réserve des délais prévus par d'autres lois. Fixez votre propre règle, par exemple quelques années après la dernière visite, écrivez-la dans votre politique de gouvernance et appliquez-la lors d'un tri annuel. Les registres comptables, eux, se conservent généralement 6 ans après la dernière année d'imposition visée, selon Revenu Québec.

Que risque concrètement un petit salon qui n'est pas en règle ?

Les plafonds impressionnants (10 millions de dollars en sanction administrative, 25 millions au pénal) visent les cas graves et les grandes entreprises ; la CAI privilégie une approche graduée et peut accepter un engagement de conformité. Pour un salon de bonne foi, le risque réaliste est ailleurs : une plainte d'une cliente restée sans réponse dans les 30 jours, un incident de confidentialité mal géré, ou la perte de confiance d'une clientèle de quartier. Les neuf points de la checklist couvrent l'essentiel.