Un dossier d’employé dans un répertoire partagé, une pièce d’identité reçue par courriel, une liste de clients exportée sur un portable : les renseignements personnels circulent dans bien des outils. Pour une PME sans équipe informatique interne, le défi consiste d’abord à savoir où ils se trouvent et qui peut y accéder.
La Loi 25 a modernisé les règles québécoises de protection des renseignements personnels, notamment celles du secteur privé. Ses obligations sont entrées en vigueur par étapes entre 2022 et 2024. Cet article propose des pistes pratiques en informatique, et non des conseils juridiques. Consultez un avocat ou les ressources de la Commission d’accès à l’information (CAI) pour déterminer les obligations propres à votre entreprise.
Désigner les responsables et situer les renseignements
Par défaut, la personne ayant la plus haute autorité dans l’entreprise est responsable de la protection des renseignements personnels. Cette fonction peut être déléguée par écrit. Le titre et les coordonnées de cette personne doivent être publiés sur le site Web de l’entreprise. Vérifiez que ces renseignements sont faciles à trouver et à jour.
Pour le volet informatique, commencez par un inventaire simple. Repérez les renseignements concernant vos employés, vos clients et vos autres contacts dans les endroits suivants :
- Microsoft 365, notamment les courriels, OneDrive et SharePoint;
- le logiciel de gestion de la clientèle, souvent appelé CRM;
- la comptabilité, la paie et les dossiers de ressources humaines;
- les lecteurs partagés, les ordinateurs et les supports externes;
- les documents numérisés, les pièces jointes et les copies exportées.
Pour chaque emplacement, notez le responsable, l’utilisation des renseignements et les personnes qui y ont accès. Incluez les comptes personnels utilisés pour le travail, s’il y en a. Cet inventaire devient votre point de départ pour corriger les accès et limiter les copies inutiles.
Donner les accès nécessaires à chaque poste
Une personne qui prépare les soumissions n’a pas nécessairement besoin des dossiers de paie. Le principe du moindre privilège consiste à donner à chacun seulement les accès nécessaires à son travail. Examinez les permissions par fonction, puis vérifiez les exceptions accumulées au fil du temps.
Activez l’authentification multifacteur lorsque les outils le permettent. Elle ajoute une vérification au mot de passe, par exemple une confirmation dans une application sur un cellulaire. Accordez une attention particulière aux courriels, aux accès à distance et aux comptes qui permettent de modifier les systèmes.
- Privilégiez un compte individuel pour chaque personne.
- Repérez les comptes partagés et prévoyez leur remplacement lorsque possible.
- Retirez rapidement les accès des personnes qui quittent l’entreprise.
- Revoyez les permissions lors d’un changement de poste.
Préparez aussi une liste de départ couvrant les sessions ouvertes, les appareils et les applications externes. Désactiver le courriel ne ferme pas automatiquement tous les autres accès.
Préparer un registre et une procédure d’incident
Un incident peut être un courriel envoyé au mauvais destinataire, un portable perdu ou un accès non autorisé à un dossier. Les incidents de confidentialité impliquant des renseignements personnels doivent être consignés dans un registre. Ceux qui présentent un risque de préjudice sérieux doivent être déclarés à la CAI et aux personnes concernées.
Préparez une procédure courte avant d’en avoir besoin. Elle devrait préciser qui reçoit les signalements, qui coordonne les mesures techniques, qui tient le registre et qui décide des communications avec l’appui des conseillers appropriés.
Pour chaque événement, documentez ce qui est connu : moment de la découverte, systèmes touchés, nature des renseignements, personnes potentiellement concernées et mesures prises. Distinguez les faits confirmés des éléments encore à vérifier.
L’évaluation du risque de préjudice sérieux mérite un examen documenté avec le responsable désigné et, au besoin, un conseiller juridique. Une alerte technique ne suffit pas à trancher. Protégez aussi l’accès au registre, puisqu’il peut lui-même contenir des renseignements personnels.
Établir un calendrier de conservation et de destruction
Conserver tous les dossiers « au cas où » complique leur protection. Le principe est de garder les renseignements personnels seulement aussi longtemps que nécessaire, puis de les détruire ou de les anonymiser selon les règles applicables. L’anonymisation vise à empêcher l’identification des personnes; retirer simplement leur nom ne suffit pas nécessairement.
Établissez un calendrier par catégorie de documents avec les responsables de l’entreprise et vos conseillers. Pour chaque catégorie, indiquez l’événement qui déclenche le calcul de la durée, la période retenue, les exceptions applicables et la méthode de destruction. Faites valider les exigences de conservation avant de lancer un nettoyage.
Appliquez ensuite ce calendrier aux logiciels, aux courriels et aux copies exportées. Prévoyez une personne responsable de vérifier l’exécution des suppressions.
Incluez le matériel retiré du service. Avant de donner, vendre ou recycler un ancien ordinateur ou un disque, faites effectuer un effacement sécurisé adapté au support, ou une destruction appropriée. Déplacer les fichiers vers la corbeille ne constitue pas une méthode de destruction fiable.
Protéger les sauvegardes et encadrer leur conservation
Une sauvegarde peut contenir autant de renseignements personnels que le système d’origine. Elle doit donc faire partie de votre inventaire et de votre politique de conservation. Vérifiez ce qui est sauvegardé, où les copies se trouvent et qui peut les consulter ou les restaurer.
Le chiffrement rend les données illisibles sans la clé appropriée. Vérifiez sa présence pour les sauvegardes stockées et lors de leur transfert. Protégez les comptes de gestion et les clés, et limitez les permissions permettant de supprimer les copies.
Prévoyez des tests de restauration : il faut savoir si les données peuvent réellement être récupérées. Une sauvegarde annoncée comme réussie ne répond pas à elle seule à cette question.
Alignez la durée de conservation des sauvegardes sur votre politique, en tenant compte des capacités du service. Documentez la façon dont les anciennes copies expirent et comment une restauration évitera de remettre durablement en circulation des renseignements déjà supprimés.
Examiner les fournisseurs et les nouveaux projets
Un logiciel dans le nuage confie une partie du traitement à un fournisseur. Avant de choisir un service, demandez où les données seront hébergées et d’où elles pourront être consultées, notamment pour le soutien technique. Le nom commercial du produit ne répond pas à ces questions.
Faites examiner les contrats en portant attention aux points suivants :
- les engagements de confidentialité et les accès des sous-traitants;
- les modalités de notification en cas d’incident;
- la récupération des données à la fin du contrat;
- la suppression des données restantes, y compris les copies de sauvegarde.
Une évaluation des facteurs relatifs à la vie privée est requise dans certains cas, notamment pour certains projets impliquant des renseignements personnels et certaines communications hors Québec. Elle sert à examiner les effets d’un projet sur la vie privée et les mesures de protection nécessaires. Faites vérifier son applicabilité avant l’achat ou la migration, pendant qu’il est encore possible d’ajuster le projet.
Donner des repères simples aux employés
Une procédure aide seulement si les employés savent comment l’utiliser. Expliquez où enregistrer les dossiers, comment partager un document et à qui signaler une erreur. Prévoyez un moyen de signalement connu de tous, même lorsqu’une personne n’a plus accès à son courriel.
Abordez l’hameçonnage, les demandes inhabituelles de renseignements et la vérification des destinataires. Un exercice peut consister à examiner un message suspect ensemble, sans blâmer les personnes qui hésitent ou se trompent.
Présentez ces repères à l’embauche, puis revenez-y quand les outils ou les tâches changent. Pour chaque point de cette liste, attribuez un responsable et une prochaine action. Chez Evolute T.I., nous aidons les clients sur le volet technique de la Loi 25 : inventaires, accès, sauvegardes et procédures d’incident, en collaboration avec leurs conseillers juridiques.
Commencez par rendre vos pratiques visibles, puis corrigez les écarts de façon suivie. Cette liste demeure un guide informatique pratique, pas un avis juridique ni une garantie de conformité. Consultez un avocat ou les ressources de la CAI pour vos obligations précises.
Pour vous faire accompagner, découvrez nos services informatiques gérés et nos services-conseils, ou communiquez avec nous pour discuter de votre situation.
