Travail confidentiel en coworking : vie privée, sécurité et la Loi 25 au Québec
Un avocat qui rédige une entente de règlement, un comptable qui révise le dossier fiscal d'un client, un conseiller financier qui discute d'un portefeuille, ou un consultant en santé qui consulte un formulaire d'admission d'un patient manipulent tous le genre de renseignements confidentiels qui font de la question « puis-je travailler dans un espace de coworking » un enjeu réellement différent de celui d'un pigiste en marketing. La Loi 25 du Québec a fait monter les enjeux autour de cette question depuis son entrée en vigueur progressive à partir de 2022, et les professionnels réglementés se demandent raisonnablement si un espace ouvert et partagé est compatible avec leurs obligations de confidentialité et de déontologie. La réponse courte : la Loi 25 ne cible pas le coworking pour un traitement particulier. Vos obligations comme entreprise qui traite des renseignements personnels sont les mêmes, que vous travailliez sur un plateau partagé, à domicile ou dans une suite louée de façon traditionnelle. Ce qui change dans un environnement partagé, ce n'est pas la norme légale, c'est l'effort délibéré qu'il faut déployer pour l'atteindre. Ce guide explique ce que la Loi 25 exige réellement, quelles obligations additionnelles s'appliquent à certaines professions réglementées, et les mesures physiques et numériques concrètes qui rendent un espace de coworking viable pour un travail confidentiel avec des clients.
Résumé exécutif
Les obligations de la Loi 25 se rattachent aux renseignements personnels qu'une entreprise traite, pas au type d'espace de travail qu'elle occupe; rien dans la loi ne crée une exemption propre au coworking ni un fardeau supplémentaire propre au coworking [7].
Depuis le 22 septembre 2022, toute entreprise assujettie à la loi québécoise sur la protection des renseignements personnels dans le secteur privé doit désigner une personne responsable de la protection des renseignements personnels, par défaut la personne occupant la plus haute autorité dans l'organisation, et publier son titre et ses coordonnées [1].
L'essentiel des autres obligations de la Loi 25, dont les nouvelles règles de consentement, la politique de confidentialité obligatoire et les évaluations des facteurs relatifs à la vie privée, est entré en vigueur le 22 septembre 2023 [3][2].
Les entreprises doivent mettre en place des mesures de sécurité « raisonnables » selon la sensibilité, la finalité, la quantité et la répartition des renseignements personnels concernés, ainsi que le support sur lequel ils sont conservés, ce qui couvre des mesures administratives, physiques et techniques [4].
Le non-respect de la loi peut entraîner des conséquences financières sérieuses : des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, et des amendes pénales pouvant atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé dans chaque cas [5].
Pour certaines professions, des obligations de confidentialité antérieures à la Loi 25 et qui vont au-delà continuent de s'appliquer intégralement : le secret professionnel d'un avocat, par exemple, « s'applique en tout temps » selon les propres directives du Barreau du Québec, peu importe l'endroit où l'avocat se trouve lorsqu'il traite l'information [6].
Espace de coworking 2727 Saint-Patrick, Montréal
Ce que la Loi 25 exige réellement
La Loi 25, dont le titre officiel est la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, a refondu le régime québécois de protection des renseignements personnels dans le secteur privé et a échelonné ses exigences sur trois ans. Le premier bloc d'obligations est entré en vigueur le 22 septembre 2022 : désigner une personne responsable de la protection des renseignements personnels, tenir un registre des incidents de confidentialité, et déclarer les incidents présentant un risque de préjudice sérieux [3]. La grande majorité du reste de la loi est entrée en vigueur le 22 septembre 2023 : nouvelles exigences de consentement plus granulaires, obligation de publier une politique de confidentialité, évaluations des facteurs relatifs à la vie privée obligatoires pour certains projets, et règles encadrant le transfert de renseignements hors Québec [2]. Un dernier bloc, centré sur le droit à la portabilité des données, est entré en vigueur le 22 septembre 2024, complétant le déploiement graduel de la loi [8].
Deux obligations se trouvent au cœur de la question que se pose réellement un professionnel réglementé qui se demande si le coworking est compatible avec la Loi 25 : les mesures de sécurité raisonnables, et la personne responsable.
Des mesures de sécurité raisonnables. La Commission d'accès à l'information du Québec (CAI), l'organisme chargé d'appliquer la loi, précise que les mesures de sécurité doivent être raisonnables compte tenu de la sensibilité des renseignements, de la finalité pour laquelle ils sont utilisés, de leur quantité et de leur répartition, ainsi que du support sur lequel ils sont conservés [4]. La CAI ne prescrit aucun aménagement physique précis; elle décrit un cadre fondé sur le risque, articulé autour de mesures administratives (politiques, formation, plan de réponse aux incidents), physiques (accès contrôlé, rangement sécurisé) et techniques (chiffrement, contrôle d'accès, destruction sécurisée des données, journalisation) [4]. Une entreprise qui traite de grands volumes de renseignements hautement sensibles, des dossiers médicaux ou des détails de comptes financiers, doit appliquer des mesures plus robustes qu'une entreprise qui gère une courte liste de contacts, peu importe où travaille l'une ou l'autre.
La personne responsable de la protection des renseignements personnels. Toute entreprise assujettie à la loi doit avoir quelqu'un d'imputable de sa conformité. Par défaut, cette responsabilité revient à la personne occupant la plus haute autorité dans l'entreprise, bien qu'elle puisse être déléguée par écrit à une autre personne qualifiée [1]. La délégation n'élimine pas l'imputabilité : la personne occupant la plus haute autorité demeure légalement responsable même après avoir confié les tâches quotidiennes à quelqu'un d'autre [1]. Le titre et les coordonnées de cette personne doivent être publiés sur le site Web de l'entreprise. Pour un praticien solo, cela signifie simplement qu'il est, par défaut, son propre responsable de la protection des renseignements personnels.
Les enjeux financiers d'un manquement ne sont pas négligeables. La CAI peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé, et les tribunaux québécois peuvent imposer des amendes pénales pouvant atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial, avec un minimum de 15 000 $ pour les personnes morales et des amendes doublées en cas de récidive [5]. Pour la plupart des praticiens solos, ces montants maximaux restent largement théoriques, les sanctions étant proportionnelles à la gravité du manquement, mais ils signalent le sérieux avec lequel la CAI est habilitée à traiter une défaillance de sécurité ou de gouvernance.
Travailler en espace de coworking crée-t-il des obligations supplémentaires sous la Loi 25?
Non, et c'est le point le plus important pour un professionnel réglementé qui évalue le coworking par rapport à un bureau privé ou à domicile : les directives de la CAI sur les mesures de sécurité et sur la personne responsable ne mentionnent ni le type de bureau, ni le plan d'aménagement, ni la structure de bail [7]. La loi demande quels renseignements personnels vous recueillez, pourquoi, comment vous les protégez, et ce qui leur arrive lorsque vous n'en avez plus besoin. Un plateau partagé ne change aucune de ces réponses à lui seul, et la Loi 25 n'impose aucune clause propre au coworking, aucune obligation de divulguer votre aménagement à la CAI, et aucune disqualification automatique de l'espace partagé comme lieu d'affaires.
Ce qui change dans un environnement partagé, c'est la difficulté pratique d'atteindre la même norme. « Des mesures de sécurité raisonnables » est une norme qui s'ajuste au contexte : un avocat qui manipule des dossiers privilégiés ou un conseiller financier qui manipule des numéros de compte doit appliquer des mesures plus robustes qu'une personne qui traite une courte liste d'envoi, peu importe où elle travaille. Dans un bureau privé à locataire unique, certaines protections existent presque par défaut : une porte fermée, aucun passage d'étrangers, une serrure que le praticien contrôle exclusivement. Sur un plateau ouvert, ces mêmes protections doivent être assemblées de façon délibérée, un bureau privé ou une cabine pour les appels, un rangement verrouillé, un réseau correctement segmenté, plutôt que d'être tenues pour acquises. La barre légale ne bouge pas. C'est la quantité d'aménagement intentionnel nécessaire pour l'atteindre qui augmente.
Espace de coworking 2727 Saint-Patrick, Montréal
Obligations de confidentialité qui vont au-delà de la Loi 25
La Loi 25 établit un plancher général pour la façon dont toute entreprise au Québec doit traiter les renseignements personnels, mais plusieurs professions réglementées portent des obligations de confidentialité plus anciennes et, à certains égards, plus strictes. Ces obligations proviennent des ordres professionnels et de leurs codes de déontologie, pas de la Loi 25 elle-même, et elles survivent à la conformité à la Loi 25 plutôt que d'en être remplacées.
L'exemple le plus clair est celui de la profession juridique. Les directives du Barreau du Québec énoncent clairement qu'un avocat doit protéger le secret professionnel, et que « cette obligation s'applique en tout temps » [6]. Le secret professionnel des avocats au Québec n'est pas simplement une règle de bonne pratique : il est considéré comme un droit fondamental du client, il survit à la fin de la relation avocat-client, et seul le client peut y renoncer. Un avocat ne peut divulguer des renseignements autrement protégés que dans des circonstances étroites, par exemple pour recouvrer des honoraires impayés ou pour se défendre contre une plainte visant sa propre conduite [6]. Cette obligation est indépendante de l'endroit où se trouve le bureau d'un avocat. Une conversation entendue à travers une cloison mince, ou un dossier client aperçu sur un écran sans surveillance, constitue un problème de secret professionnel que cela se produise en coworking ou dans le corridor d'un cabinet traditionnel, et le remède est le même : contrôler l'exposition physique et visuelle, pas l'adresse indiquée au bail.
D'autres professions réglementées au Québec, dont les comptables, les professionnels de la santé et les conseillers financiers, sont soumises à des obligations de confidentialité similaires prévues dans le code de déontologie de leur propre ordre, exigeant généralement que les renseignements des clients ou des patients demeurent confidentiels sauf dans des circonstances précisément définies. Ce guide ne tente pas de résumer les règles de chaque ordre, puisqu'elles varient selon la profession et sont périodiquement mises à jour, et c'est exactement le genre de question qu'un lecteur devrait poser à son propre ordre ou à un avocat plutôt que de se fier à un guide général sur le coworking. Rien dans cet article ne doit être interprété comme un avis juridique, et un professionnel ayant des questions précises sur la Loi 25 ou sur les obligations de son ordre devrait consulter un avocat ou communiquer directement avec son ordre avant de prendre des décisions sur cette base.
Mesures de protection pratiques pour un travail confidentiel viable en coworking
Aucune des obligations ci-dessus n'écarte le coworking. Elles signifient plutôt que l'aménagement physique et numérique doit être choisi de façon délibérée. Les mesures suivantes comblent l'écart entre un plan de travail ouvert et le genre d'environnement qu'exige réellement le travail confidentiel.
Des espaces fermés pour les appels et les conversations. Toute conversation qui implique un nom de client, des détails de dossier, des numéros de compte ou des renseignements de santé doit avoir lieu dans un bureau privé ou une cabine téléphonique, pas à un poste ouvert. Un bureau verrouillable élimine d'un coup les deux plus grands risques d'un plateau ouvert : être entendu, et avoir un écran visible par des passants.
Du rangement verrouillé pour les documents physiques. Les dossiers papier, contrats signés et relevés imprimés nécessitent un tiroir ou une armoire verrouillée à laquelle seul le praticien a accès, pas une tablette partagée. Une habitude de bureau propre, rien de confidentiel laissé visible en s'absentant, compte autant que le rangement lui-même.
Des filtres de confidentialité d'écran. Un simple filtre sur un ordinateur portable réduit sensiblement le risque que les renseignements d'un client soient lus par-dessus l'épaule dans une zone partagée, pour quelques dollars seulement.
Le chiffrement des appareils et un VPN. Le chiffrement intégral du disque protège un ordinateur perdu ou volé, et un VPN protège les données en transit sur n'importe quel réseau. Ni l'un ni l'autre n'est propre au coworking, mais les deux comptent davantage lorsque le réseau sous-jacent est aussi utilisé par des personnes extérieures à votre firme.
Un réseau correctement segmenté. Le Wi-Fi partagé d'un espace de coworking, mal configuré, peut exposer les membres à un accès non autorisé ou à un risque d'interception sur le même réseau que d'autres locataires [9]. Un opérateur sérieux devrait offrir une segmentation du réseau, des identifiants distincts ou une connexion privée afin que le trafic d'un membre ne soit pas visible par un autre.
Des salles de réunion insonorisées et sans ligne de vue depuis les aires ouvertes. Pour les réunions, le même principe s'applique à plus grande échelle : une salle bien conçue utilise des matériaux absorbant le son, du masquage sonore et des choix d'aménagement qui empêchent une conversation confidentielle de se propager, tout en gardant la salle hors des lignes de vue occasionnelles depuis les postes ouverts [10]. Notre guide sur la location d'une salle de réunion à Montréal détaille les éléments à vérifier pour une salle réservée à des discussions confidentielles.
Le fait qu'un praticien ait besoin d'un bureau privé complet ou qu'il puisse se contenter d'un bureau dédié avec accès ponctuel à une salle dépend de la proportion de sa journée consacrée à des conversations confidentielles. Pour ceux qui ont surtout besoin d'une adresse professionnelle et d'un accès occasionnel à une salle privée plutôt que d'un poste à temps plein, notre guide comparant un bureau virtuel à un abonnement de coworking complet approfondit cette décision.
Espace de coworking 2727 Saint-Patrick, Montréal
Questions à poser à un opérateur de coworking avant de s'inscrire
Un professionnel réglementé qui évalue un espace de coworking pour un travail confidentiel devrait obtenir des réponses précises aux questions suivantes avant de signer quoi que ce soit, plutôt que de présumer qu'un espace partagé gère ces détails par défaut :
Les bureaux privés se verrouillent-ils, et qui détient la clé ou le code d'accès? Une porte verrouillable que seul le praticien contrôle est la base, pas un extra.
Y a-t-il du déchiquetage ou un rangement sécurisé de documents sur place? Demandez si un rangement de fichiers verrouillé est offert, et comment les déchets papier confidentiels sont détruits.
L'accès Internet passe-t-il par un réseau partagé ou un réseau privé segmenté? Demandez si l'opérateur offre un VLAN privé, des identifiants distincts par membre, ou une autre forme d'isolation du trafic.
Les salles de réunion sont-elles insonorisées, et visibles depuis les aires ouvertes? Les salles aux murs vitrés paraissent professionnelles, mais peuvent nuire à la confidentialité acoustique sans traitement ni masquage sonore.
Qui d'autre a accès à l'immeuble en dehors des heures d'affaires? Un accès contrôlé réduit le risque qu'une personne non autorisée circule dans des zones où des documents ou écrans pourraient être visibles.
Quel est le processus de réponse aux incidents de l'opérateur en cas de problème de sécurité sur place? Un opérateur sérieux devrait avoir une réponse claire.
Chez 2727 Coworking à Griffintown, les bureaux privés sont munis de portes verrouillables, l'immeuble maintient un accès contrôlé, et les salles de réunion sont conçues avec une séparation acoustique par rapport au plateau ouvert, répondant directement aux questions ci-dessus plutôt qu'après coup.
Questions fréquemment posées
La Loi 25 interdit-elle aux avocats, comptables ou professionnels de la santé de travailler dans un espace de coworking?
Non. La Loi 25 ne mentionne ni le coworking, ni les bureaux partagés, ni aucun type d'espace en particulier. Elle exige des mesures de sécurité raisonnables et une personne responsable de la protection des renseignements personnels, des obligations qui s'appliquent peu importe où le travail se déroule. Le défi est pratique, pas une interdiction légale de l'environnement lui-même.
Dois-je avoir une politique de confidentialité distincte simplement parce que je travaille dans un espace de coworking?
Non, cette exigence s'applique en fonction des renseignements personnels que vous recueillez et traitez, pas en fonction de votre espace de travail. La même exigence s'appliquerait si vous travailliez dans un bureau traditionnel ou à domicile.
Un bureau privé est-il vraiment nécessaire, ou un bureau dédié suffit-il pour un travail confidentiel?
Cela dépend de la proportion de votre travail qui implique des conversations ou des documents confidentiels. Un bureau dédié dans une aire ouverte convient pour les tâches administratives, mais tout appel client régulier, révision de documents ou discussion de détails sensibles devrait avoir lieu dans un bureau privé ou une salle de réunion réservée. Plusieurs professionnels réglementés utilisent un bureau dédié pour le travail général et réservent les salles privées spécifiquement pour les interactions confidentielles.
Qui est la « personne responsable de la protection des renseignements personnels » si je suis un praticien solo?
Par défaut, c'est vous. La règle québécoise attribue cette responsabilité à la personne occupant la plus haute autorité dans l'entreprise, et pour un praticien solo, c'est simplement vous. Vous pouvez déléguer formellement certaines parties du rôle si vous embauchez du personnel plus tard, mais en tant que praticien seul, il n'y a généralement personne d'autre à qui déléguer.
Utiliser le Wi-Fi partagé d'un espace de coworking viole-t-il la Loi 25?
Pas automatiquement, mais cela peut créer le genre de faille de sécurité que la Loi 25 s'attend à ce que vous corrigiez. Si un réseau n'est pas correctement segmenté et qu'une autre personne sur ce réseau pourrait plausiblement intercepter votre trafic, il s'agit d'un risque de sécurité dont vous êtes responsable de la gestion, que ce soit par un VPN, par un réseau privé offert par l'opérateur, ou les deux. Demandez directement à l'opérateur comment son réseau est segmenté avant de vous y fier pour un travail confidentiel.
Que devrais-je faire si un incident de confidentialité survient pendant que je travaille dans un espace de coworking?
Traitez-le de la même façon que partout ailleurs : évaluez si l'incident présente un risque de préjudice sérieux, et le cas échéant, vous êtes tenu d'en aviser la CAI et les personnes concernées, et de consigner l'incident dans votre registre des incidents de confidentialité. L'endroit physique où l'incident survient ne change pas ces obligations.
Cet article constitue-t-il un avis juridique?
Non. Ce guide fournit des renseignements généraux sur la Loi 25 et le coworking, pas un avis juridique, et il n'aborde pas les règles particulières de chaque ordre professionnel. Si vous avez des questions sur la façon dont la Loi 25 ou le code de déontologie de votre ordre professionnel s'applique à votre pratique précise, consultez un avocat ou communiquez directement avec votre ordre professionnel.
Un travail confidentiel avec des clients mérite un espace conçu pour cela. Les bureaux privés de 2727 Coworking se verrouillent, ses salles de réunion sont conçues pour la confidentialité acoustique, et son emplacement à Griffintown offre aux professionnels réglementés un environnement contrôlé et professionnel pour les appels, la révision de documents et les rencontres avec les clients. Les bureaux privés sont à partir de 650 $/mois, les passes journée pour un poste de travail sont à partir de 55 $/jour, et une boîte postale virtuelle, utile pour les praticiens qui souhaitent une adresse d'affaires conforme sans s'engager à un poste quotidien, débute à 35 $/mois. Appelez au (438) 796-0017 ou visitez 2727 Coworking pour voir les bureaux privés et réserver une visite.
Espace de coworking 2727 Saint-Patrick, Montréal
Références
[1] Responsabilité des entreprises, Commission d'accès à l'information du Québec
[2] Des dispositions de la Loi 25 qui entrent en vigueur aujourd'hui, Commission d'accès à l'information du Québec
[3] Quebec's Law 25: Many Provisions Take Effect Today, Greenberg Traurig LLP
[4] Incidents de confidentialité et mesures de sécurité, Commission d'accès à l'information du Québec
[5] Law 25: A New Enforcement Scheme for Protection of Personal Information in the Private Sector in Quebec, Osler, Hoskin and Harcourt LLP
