Loi 25 · Protection des renseignements personnels
Une politique sur papier ne protège aucune donnée.
La Loi 25 oblige toutes les entreprises du Québec à protéger les renseignements personnels qu'elles détiennent avec des mesures de sécurité raisonnables. Les documents, c'est l'affaire de votre responsable. Les mesures techniques, c'est la nôtre.
Ce que la loi exige
La Loi 25 en bref
La Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, qu'on appelle Loi 25, est entrée en vigueur par étapes entre 2022 et 2024. Elle s'applique à toutes les entreprises, peu importe leur taille, dès qu'elles détiennent des renseignements personnels : clients, employés, patients, fournisseurs.
Parmi ses principales obligations :
- désigner une personne responsable de la protection des renseignements personnels (par défaut, la personne qui dirige l'entreprise);
- adopter et publier des politiques encadrant la gouvernance des renseignements personnels;
- prendre des mesures de sécurité raisonnables, adaptées à la sensibilité des renseignements;
- tenir un registre des incidents de confidentialité et aviser la Commission d'accès à l'information et les personnes concernées en cas de risque de préjudice sérieux;
- évaluer les facteurs relatifs à la vie privée avant certains projets, notamment quand des renseignements sont communiqués à l'extérieur du Québec;
- détruire ou anonymiser les renseignements qui ne sont plus nécessaires.
Les sanctions administratives peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial. Les amendes pénales peuvent aller jusqu'à 25 millions de dollars ou 4 %.Selon la gravité, et au plus élevé des deux montants.
À savoir : si un fournisseur traite des renseignements personnels pour vous, comme votre hébergeur ou votre fournisseur informatique, c'est quand même votre entreprise qui en reste responsable. D'où l'importance de choisir des partenaires qui prennent ça au sérieux.
SIMR n'est pas un cabinet d'avocats et ne donne pas d'avis juridique. Pour vos politiques et vos obligations légales, on travaille volontiers avec votre conseiller juridique.
Notre rôle
Les mesures techniques qui rendent votre conformité réelle.
« Des mesures de sécurité raisonnables », dans la pratique, ça veut dire des choses très concrètes dans votre informatique. C'est là qu'on intervient.
Savoir où sont les données
Serveurs, OneDrive, SharePoint, boîtes courriel, logiciels de gestion, vieux disques externes : on cartographie où se trouvent vos renseignements personnels et qui y a accès.
Contrôler les accès
Chacun accède seulement à ce dont il a besoin. Multifacteur partout, comptes des anciens employés fermés, partages externes encadrés.
Chiffrer
Portables et postes chiffrés avec BitLocker, sauvegardes chiffrées hors site. Un ordinateur volé ne devient pas une fuite de données.
Journaliser
Les connexions et les accès aux données sensibles laissent une trace. En cas d'incident, on peut établir ce qui s'est passé, et ce qui ne s'est pas passé.
Gérer les incidents
Une procédure claire, un registre des incidents tenu à jour, et l'information technique dont votre responsable a besoin pour décider s'il faut aviser la Commission.
Héberger au bon endroit
On documente où sont hébergées vos données, notamment dans Microsoft 365, pour appuyer vos évaluations lorsque des données sortent du Québec.
Sauvegarder
Une donnée perdue est aussi un incident de confidentialité. Nos sauvegardes à trois niveaux protègent l'intégrité et la disponibilité de vos renseignements.
Détruire de façon sécurisée
Les disques des équipements retirés sont effacés de façon sécurisée ou détruits, et on peut vous remettre une confirmation.
Sensibiliser
Une formation courte pour vos employés : quoi ne pas envoyer par courriel, quoi ne pas coller dans un outil d'IA, et quoi faire en cas de doute.
Notre propre pratique
On s'applique les mêmes règles.
En tant que fournisseur informatique, on a accès à vos systèmes. On prend cette responsabilité au sérieux :
- Vos accès sont conservés dans un coffre chiffré, et chaque consultation est journalisée.
- Les dossiers techniques exportés sont chiffrés et protégés par mot de passe.
- Nos techniciens se connectent à vos postes uniquement avec votre accord ou dans le cadre d'un entretien convenu.
- Ce site web n'utilise aucun témoin de suivi, aucune publicité et aucun outil d'analyse externe.
- Inventaire des données personnelles Cartographie
- Multifacteur sur tous les comptes Accès
- Postes et portables chiffrés BitLocker
- Comptes des anciens employés fermés Accès
- Journalisation activée Microsoft 365
- Procédure d'incident et registre Gouvernance
- Lieu d'hébergement documenté Infonuagique
Bilan TI
Savez-vous vraiment où en est votre informatique?
On regarde vos sauvegardes, votre sécurité Microsoft 365, vos postes et votre réseau, puis on vous remet un portrait clair : ce qui va bien, ce qui presse, et ce qui peut attendre. Sans engagement.