Loi 25 : les cinq lacunes qui persistent

En résumé

La plupart des obligations de la Loi 25 du Québec sont en vigueur depuis septembre 2023. La course initiale pour publier une politique de confidentialité et mettre en place une bannière de consentement est derrière la plupart des organisations. Ce que nous constatons encore en entrant dans les évaluations de nouveaux clients n'est pas un manque d'effort : c'est un ensemble de lacunes précises et récurrentes qui apparaissent dès qu'on regarde au-delà des parties visibles d'un programme de conformité, dans son fonctionnement réel au quotidien. Voici les cinq plus courantes, et comment les combler.

1. Un registre des activités de traitement qui cesse d'être tenu à jour

Presque toutes les organisations que nous évaluons ont construit un registre des activités de traitement (RAT) à un moment donné, généralement dans le cadre d'un projet initial de conformité à la Loi 25. Beaucoup moins le maintiennent à jour. De nouveaux flux de données, de nouveaux fournisseurs, de nouveaux systèmes internes s'ajoutent à l'entreprise sans que personne ne mette à jour le registre censé les décrire. Au moment où la CAI ou un auditeur le demande, le registre décrit une organisation qui n'existe plus tout à fait. Un document statique révisé annuellement n'est pas un registre : c'est un instantané avec une date d'expiration que personne ne suit.

2. Des évaluations des facteurs relatifs à la vie privée déclenchées trop tard, ou jamais

La Loi 25 exige une ÉFVP, une évaluation des facteurs relatifs à la vie privée, avant de lancer un nouveau projet impliquant des renseignements personnels, pas après. En pratique, nous trouvons régulièrement des ÉFVP complétées rétroactivement, une fois qu'un projet est déjà en production, parce que personne dans l'équipe de projet ne savait qu'il fallait en déclencher une dès le départ. La lacune est rarement un manque de modèle d'ÉFVP. C'est l'absence d'un flux de travail qui repère les nouveaux projets assez tôt pour que l'évaluation influence réellement les décisions de conception plutôt que de documenter un système déjà livré.

3. Des plans de notification d'incident qui n'ont jamais été répétés

Chaque organisation que nous rencontrons a une procédure documentée de notification couvrant l'obligation d'aviser la CAI avec diligence lorsqu'un incident de confidentialité présente un risque de préjudice sérieux. Beaucoup moins l'ont réellement testée contre un scénario réaliste. La lacune apparaît dans les détails qui ne surgissent que sous pression : qui a l'autorité de déclarer qu'un incident atteint le seuil de « préjudice sérieux », comment la notation de gravité s'applique réellement à 2 h du matin, et si les personnes nommées dans le plan travaillent encore là. Une procédure jamais répétée est une procédure que vous testez pour la première fois pendant un incident réel.

4. Des registres de consentement qui ne peuvent pas être rattachés à une finalité précise

Les bannières de témoins et la capture du consentement sont généralement en place. Ce qui manque fréquemment, c'est le lien entre un événement de consentement précis et la finalité de traitement précise qu'il autorise. Lorsqu'une demande d'accès arrive pour savoir à quoi la personne a consenti et pourquoi, les organisations peuvent souvent produire un horodatage et une catégorie, mais pas un registre clair de la finalité exacte que ce consentement couvrait, ce qui rend difficile de démontrer que le traitement est resté dans les limites de ce qui a été réellement accepté.

5. Une correspondance avec la LPRPDE qui existe dans la tête de quelqu'un, pas dans le programme

La plupart des organisations du secteur privé québécois sont soumises à la fois à la Loi 25 et à la LPRPDE fédérale, et doivent suivre l'évolution de la réforme fédérale de la protection de la vie privée. En pratique, la correspondance entre ces régimes réside généralement dans l'expérience d'un seul responsable de la protection des renseignements personnels plutôt que dans des cartographies de contrôles documentées sur lesquelles le reste de l'organisation peut s'appuyer. Ça fonctionne bien jusqu'à ce que la personne qui comprend la correspondance quitte l'organisation, ou que celle-ci doive démontrer à la CAI exactement comment un contrôle donné satisfait les deux référentiels à la fois.

Le fil conducteur

Aucune de ces cinq lacunes ne provient d'un manque de projet initial de conformité à la Loi 25. Elles proviennent d'artefacts de conformité, registres, évaluations, plans, registres de consentement, correspondances, construits une fois et laissés vieillir plutôt que maintenus comme des éléments vivants de l'entreprise. Un projet de conformité ponctuel produit un registre ponctuel. La conformité continue exige que le registre, les flux de travail et les preuves se mettent à jour à mesure que l'entreprise change.

Ces constats reflètent des observations courantes dans les évaluations de la Loi 25 en général et ne sont pas des statistiques issues d'une étude spécifique : considérez-les comme une liste de départ pour réviser votre propre programme, pas comme un étalon.

Une liste de départ pour réviser votre programme

Les cinq lacunes se transforment en cinq questions à poser à votre propre programme, une fois par an au minimum et à chaque changement important de l'entreprise.

1. Registre. Qui met à jour le registre des activités de traitement quand un nouveau fournisseur, un nouveau système ou un nouveau flux de données entre dans l'organisation ? À quelle date a-t-il été modifié pour la dernière fois, et cette date correspond-elle au dernier changement réel ?
2. ÉFVP. À quel moment du cycle de vie d'un projet l'évaluation est-elle déclenchée, et qui la déclenche ? Les projets en cours ont-ils tous une ÉFVP datée d'avant leur mise en production ?
3. Notification. Le plan a-t-il été répété contre un scénario réaliste au cours des douze derniers mois ? Les personnes nommées sont-elles encore en poste ? Qui décide que le seuil de préjudice sérieux est atteint ?
4. Consentement. Pour un consentement donné, pouvez-vous produire la finalité exacte qu'il couvrait, pas seulement un horodatage et une catégorie ?
5. Correspondance. La cartographie entre la Loi 25 et la LPRPDE est-elle documentée, contrôle par contrôle, et accessible à quelqu'un d'autre que le responsable de la protection des renseignements personnels ?

Aller plus loin

Le service de gouvernance gérée prend en charge le maintien de ces artefacts comme un programme continu ; le service de protection des données couvre les contrôles techniques qui les soutiennent. La fiche du référentiel Loi 25 résume ce que la loi exige.