Loi 25 : la sécurité des renseignements personnels dans votre informatique

La Loi 25 en bref

La Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, dite Loi 25, a été adoptée en 2021. Elle modifie notamment la Loi sur la protection des renseignements personnels dans le secteur privé, qui encadre la façon dont les entreprises exerçant au Québec traitent les renseignements personnels. Ses dispositions sont entrées en vigueur en trois temps : le 22 septembre 2022 (responsable de la protection, incidents de confidentialité), le 22 septembre 2023 (la plupart des autres obligations, dont les évaluations des facteurs relatifs à la vie privée) et le 22 septembre 2024 (droit à la portabilité). La Commission d’accès à l’information (CAI) veille à son application ; elle peut imposer des sanctions administratives pécuniaires, en plus des poursuites pénales.

La loi n’est pas une norme informatique et n’impose aucun produit. Mais plusieurs de ses obligations ne peuvent être tenues sans les bonnes mesures techniques, et c’est là qu’intervient un prestataire informatique. Cette page présente ces obligations du point de vue de votre système d’information. Elle ne constitue pas un conseil juridique : pour l’interprétation de la loi, adressez-vous à votre conseiller juridique ou aux publications de la CAI.

Incident de confidentialité : détecter, évaluer, aviser, consigner

Un incident de confidentialité est un accès, une utilisation ou une communication non autorisés d’un renseignement personnel, sa perte ou toute autre atteinte à sa protection : un portable volé, une messagerie compromise, un tableau envoyé au mauvais destinataire.

Face à un incident, l’entreprise prend des mesures raisonnables pour diminuer le risque de préjudice et éviter qu’il se reproduise, puis évalue si le risque de préjudice est sérieux, selon la sensibilité des renseignements, les conséquences appréhendées et la probabilité d’une utilisation préjudiciable. Si c’est le cas, elle avise avec diligence la CAI et les personnes concernées. Dans tous les cas, elle consigne l’incident dans un registre, conservé au moins cinq ans, que la CAI peut demander.

Rien de cela ne fonctionne sans préparation technique. On n’évalue pas un incident qu’on ne voit pas, et on ne peut pas dire quels dossiers ont été exposés si rien n’a été journalisé. Une procédure d’incident, des journaux centralisés et une carte claire de l’endroit où se trouvent les renseignements personnels sont donc souvent les premiers chantiers.

Confidentialité par défaut, profilage et portabilité

Trois autres obligations ont des conséquences techniques directes :

• Les produits et services technologiques offerts au public doivent assurer par défaut le plus haut niveau de confidentialité, sans aucune intervention de la personne ; cette règle ne vise pas les paramètres de confidentialité des témoins de connexion.

• Les fonctions permettant d’identifier, de localiser ou de profiler une personne doivent lui être signalées au préalable, avec les moyens de les activer.

• Depuis le 22 septembre 2024, une personne peut demander que les renseignements personnels informatisés recueillis auprès d’elle lui soient communiqués dans un format technologique structuré et couramment utilisé. Vos systèmes doivent pouvoir les exporter.

Ce qu’un prestataire informatique peut prendre en charge

La Loi 25 est d’abord une affaire de gouvernance : le responsable de la protection décide, documente et répond. Nous intervenons sur le volet technique, à distance depuis la France, avec déplacement au Québec possible sur devis :

• l’audit Active Directory repère les privilèges excessifs, les comptes inactifs et les délégations fragiles, avec un plan de remédiation priorisé ;

• l’audit du système d’information dresse l’état des sauvegardes, du parc, de Microsoft 365, des comptes et des licences, et vous donne une carte de l’endroit où se trouvent les renseignements personnels ;

• la mise en place de Microsoft 365 et Intune pose la conformité des postes, le chiffrement BitLocker et l’accès conditionnel ;

• la sensibilisation à la cybersécurité forme vos équipes à reconnaître un hameçonnage et à signaler un incident rapidement ;

• l’accompagnement RGPD structure le registre des traitements, les politiques et le bandeau cookies, une base documentaire utile pour ce qu’attend la Loi 25.

Ce que nous ne faisons pas : nous ne remplaçons pas votre responsable de la protection des renseignements personnels, nous ne donnons pas de conseil juridique, nous ne réalisons pas vos évaluations des facteurs relatifs à la vie privée, nous n’avisons pas la CAI à votre place et nous ne garantissons pas une conformité. Nous veillons à ce que les mesures techniques existent, fonctionnent et soient documentées. Pour en parler, contactez-nous ; cette page existe aussi en anglais : Quebec Law 25 and IT security.