Loi 25 : ce que votre PME doit réellement faire

Ce qu'est la Loi 25, en clair

La Loi 25 (officiellement la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) a modifié la loi québécoise sur la protection des renseignements personnels dans le secteur privé. Elle s'applique à toute entreprise qui détient des renseignements personnels au Québec : donc à la quasi-totalité des PME, ne serait-ce que pour les dossiers de leurs employés et de leurs clients.

Un renseignement personnel, c'est toute information qui concerne une personne et permet de l'identifier : nom, adresse, numéro d'assurance sociale, coordonnées bancaires, dossier d'employé, mais aussi une adresse courriel nominative ou l'historique d'achats d'un client.

Ce que la loi vous demande, c'est de savoir quels renseignements vous détenez, pourquoi, où ils sont, qui y a accès, combien de temps vous les gardez, et quoi faire s'ils sont compromis. Presque tout cela se traduit par des décisions et des mesures informatiques.

Le calendrier : tout est en vigueur

Les obligations de la Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25, sont entrées en vigueur en trois étapes. Le calendrier est maintenant complet : toutes les obligations s'appliquent déjà.

• Depuis septembre 2022 : désigner un responsable de la protection des renseignements personnels, tenir un registre des incidents de confidentialité et déclarer les incidents qui présentent un risque de préjudice sérieux.
• Depuis septembre 2023 : le cœur de la loi. Politiques de gouvernance publiées, consentement renforcé, évaluations des facteurs relatifs à la vie privée, règles sur les décisions automatisées et le profilage, destruction ou anonymisation des renseignements, et sanctions dissuasives.
• Depuis septembre 2024 : le droit à la portabilité : une personne peut demander que les renseignements personnels informatisés recueillis auprès d'elle lui soient communiqués, ou transmis à une organisation qu'elle désigne, dans un format technologique structuré et couramment utilisé. Ce droit ne vise pas les renseignements créés ou inférés à partir de ses renseignements.

Les obligations qui touchent directement votre informatique

Voici les exigences que nous voyons revenir le plus souvent en PME, et ce qu'elles demandent en pratique.

Loi 25 et décisions automatisées

C'est l'une des nouveautés les moins connues de la loi, et elle prend de l'importance avec l'intelligence artificielle. Lorsqu'une entreprise prend une décision fondée exclusivement sur un traitement automatisé de renseignements personnels, elle doit en informer la personne concernée, au plus tard au moment où elle l'informe de la décision.

À sa demande, la personne doit aussi pouvoir connaître les renseignements utilisés, les raisons et les principaux facteurs qui ont mené à la décision, et son droit de faire rectifier ces renseignements. Elle doit enfin pouvoir présenter ses observations à un membre du personnel en mesure de réviser la décision.

• Ce qui est visé. Un tri automatique de candidatures, une approbation de crédit ou de prix calculée par un logiciel, un refus de service décidé par un outil, sans intervention humaine.
• Ce qui ne l'est pas. Un outil qui aide une personne à décider, quand c'est bien cette personne qui tranche.
• Le profilage. Les technologies qui permettent d'identifier, de localiser ou de profiler une personne doivent être désactivées par défaut, et la personne informée de leur existence.

Loi 25 et cybersécurité

La loi exige des mesures de sécurité « raisonnables » compte tenu de la sensibilité des renseignements, de leur quantité, de leur finalité et de leur support. Elle ne dresse pas de liste d'outils. En pratique, après un incident, c'est la question qu'on vous posera : qu'aviez-vous mis en place, et était-ce raisonnable ?

Pour une PME, ce raisonnable tient en quelques mesures, toutes au cœur de notre offre de cybersécurité pour PME :

• La double authentification sur les courriels, Microsoft 365 et tout accès à distance : la mesure au meilleur rendement contre le vol de comptes.
• Des sauvegardes isolées et testées, pour restaurer après un rançongiciel sans négocier. Voir sauvegarde et reprise après sinistre.
• Des postes et des serveurs à jour, parce que la majorité des intrusions passent par une faille connue et non corrigée.
• Des accès révoqués au départ de chaque employé, le jour même.
• Des employés formés à reconnaître un courriel d'hameçonnage, qui reste la porte d'entrée la plus fréquente.

Ce que risque une PME non conforme

La Commission d'accès à l'information peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial de l'exercice précédent, si ce montant est plus élevé. Les amendes pénales peuvent atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial.

Ces plafonds visent les cas graves, et une PME de bonne foi ne s'y expose pas du jour au lendemain. Le risque plus concret est ailleurs : le droit d'action privé permet à une personne lésée de poursuivre l'entreprise, et la loi prévoit des dommages-intérêts punitifs d'au moins 1 000 $ en cas d'atteinte intentionnelle ou de faute lourde. Sans compter le coût d'un incident lui-même : arrêt des opérations, avis aux clients, réputation.

Les écarts les plus fréquents en PME

Dans les faits, les écarts sont presque toujours des trous précis, faciles à corriger une fois qu'on les a repérés.

• Aucun registre d'incidents. On saurait qu'un incident s'est produit, mais rien n'est prévu pour l'évaluer ni le consigner.
• Des comptes d'anciens employés encore actifs. L'accès n'a jamais été révoqué : l'un des écarts les plus courants et les plus risqués.
• Des sauvegardes jamais testées. On croit pouvoir restaurer, mais personne n'a vérifié.
• Une politique de confidentialité générique. Copiée d'un modèle, elle ne reflète pas ce que l'entreprise fait réellement de ses données.
• Aucune double authentification. Sur les courriels et les accès à distance, c'est pourtant la mesure la plus rentable.
• Des données sensibles partout. Dossiers d'employés dans un courriel, listes de clients sur une clé USB, partages ouverts à tous : on ne protège bien que ce qu'on sait localiser.

Par où commencer : le plan en cinq étapes

Inutile d'en faire un projet de grande entreprise. Voici l'ordre que nous recommandons, du plus urgent au plus structurant.

Comment nous vous accompagnons

Votre conseiller juridique s'occupe du volet légal ; nous mettons en place le volet informatique de votre conformité. Nous faisons l'état des lieux de vos accès, de vos sauvegardes et de vos protections, nous corrigeons les écarts prioritaires, et nous outillons votre responsable désigné pour tenir le registre et réagir à un incident.

Pour les données que vous préférez garder au Québec, notre cloud privé héberge les serveurs principaux à Montréal. L'essentiel du risque se couvre avec quelques mesures bien appliquées : on commence par les plus rentables et on avance à votre rythme.