La Loi 25 ne se résume pas à installer un outil de sécurité ou à ajouter une bannière de témoins. Pour une PME, la démarche concerne aussi les renseignements recueillis, les personnes qui y accèdent et les décisions prises tout au long de leur utilisation.
Les changements introduits par cette loi sont déjà entrés en vigueur par étapes. Votre objectif est maintenant de vérifier vos pratiques, pas d’attendre une échéance de 2023. La Commission d’accès à l’information du Québec (CAI) présente les principaux changements apportés par la Loi 25.
1. Clarifiez qui prend les décisions
Par défaut, la personne qui exerce la plus haute autorité dans l’entreprise est responsable de la protection des renseignements personnels. Une délégation doit être faite par écrit. Le titre et les coordonnées du responsable doivent être rendus accessibles, notamment sur le site Web. La CAI explique ces règles dans sa page sur la responsabilité des entreprises.
Concrètement, vos employés devraient savoir à qui signaler un doute, une demande d’accès ou un incident. Le fournisseur informatique peut apporter des informations techniques; il ne prend pas automatiquement les décisions de gouvernance à votre place.
2. Sachez quels renseignements vous recueillez
Faites le tour des dossiers clients, des ressources humaines, des formulaires et des applications. Pour chaque ensemble de renseignements, demandez-vous pourquoi il est nécessaire, où il est conservé, qui l’utilise et à qui il est communiqué.
La nécessité de la collecte doit être examinée avant la question du consentement. Recueillir davantage de renseignements « au cas où » n’est pas justifié simplement parce qu’une personne accepte. Lorsqu’une technologie sert à recueillir des renseignements personnels, une politique de confidentialité doit être accessible. Consultez les précisions de la CAI sur la collecte et les moyens technologiques.
Ce travail peut révéler des copies oubliées dans une boîte courriel ou un dossier partagé. Il aide à poser les bonnes questions sur leur conservation, leur accès et leur suppression, sans improviser une durée identique pour tous les documents.
3. Encadrez vos pratiques et vos projets
Les politiques de gouvernance doivent notamment traiter de la conservation, de la destruction, des responsabilités et des plaintes. Elles doivent être mises en œuvre, pas seulement rédigées. Une évaluation des facteurs relatifs à la vie privée (EFVP) est requise pour les projets d’acquisition, de développement ou de refonte de systèmes d’information ou de services électroniques impliquant des renseignements personnels. Le responsable doit être consulté dès le début. Voir les explications de la CAI sur la gouvernance et les EFVP.
Avant de communiquer des renseignements hors Québec, une EFVP est également requise; la communication dépend notamment de la protection adéquate démontrée et d’une entente écrite. Un hébergement présenté comme « canadien » ne suffit donc pas, à lui seul, à conclure que toutes les obligations sont réglées. Consulter les règles résumées par la CAI.
4. Préparez la gestion des incidents
Un incident de confidentialité n’est pas nécessairement une cyberattaque. Un document transmis au mauvais destinataire ou un accès non autorisé peut aussi être concerné.
L’entreprise doit prendre des mesures raisonnables pour réduire les risques et prévenir la répétition d’un incident. Tous les incidents impliquant des renseignements personnels doivent être consignés au registre. Lorsqu’un risque de préjudice sérieux existe, les obligations d’avis à la CAI et aux personnes concernées s’appliquent, sous réserve des exceptions prévues. Les renseignements du registre doivent être conservés au moins cinq ans après la prise de connaissance de l’incident. Voir les obligations en cas d’incident.
Préparez vos contacts et votre procédure avant d’en avoir besoin. Confier les données à un fournisseur ne fait pas disparaître vos obligations.
5. Reliez vos règles aux protections informatiques
Vos règles doivent pouvoir se traduire dans les outils : accès adaptés aux fonctions, retrait des comptes au départ d’un employé, authentification renforcée et partage de documents encadré. Ce sont des exemples de mesures techniques à examiner, pas une certification de conformité.
Pour commencer, choisissez un processus précis, comme l’arrivée et le départ d’un employé. Qui autorise ses accès? Qui les configure? Qui confirme leur retrait? Cette discussion relie les décisions de l’entreprise aux actions de l’équipe TI.
ALT peut vous accompagner sur les aspects informatiques, notamment la protection des identités et des accès et la sensibilisation en cybersécurité. Les questions d’interprétation juridique et de conformité globale doivent être validées avec les spécialistes appropriés.
