\n
\n 10 ERREURS \u00c0 NE PAS FAIRE AVEC LA GOUVERNANCE DES DONN\u00c9ES DANS VOTRE ENTREPRISE AVEC LES OBLIGATIONS DE LA LOI<\/strong>\n <\/p>\n<\/p>\n \n \n \n Le 22 septembre 2023 s\u2019en vient. Je sais, je sais, c\u2019est un peu rapide pour plusieurs sachant que la grande croisade est une grande source d’anxi\u00e9t\u00e9 pour les entreprises qui transigent au Qu\u00e9bec. Pour d’autres, c’est soit le manque d’information ou le d\u00e9ni qui plane. Par contre, avant de vivre dans le d\u00e9ni, voici quelques pr\u00e9cisions n\u00e9cessaires sur certains fondamentaux avec les donn\u00e9es de votre organisation. En entreprise, les Qu\u00e9b\u00e9cois font parfois quelques erreurs volontaires ou non. Voici donc 10 erreurs \u00e0 ne pas faire avec la gouvernance de vos donn\u00e9es en vue des nouvelles obligations.<\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>1) Croire que l\u2019ignorance est une d\u00e9fense<\/strong> <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n On ne peut pas affirmer en ne mettant pas notre ceinture de s\u00e9curit\u00e9 en voiture \u00abbah, je ne savais pas que je devais mettre ma ceinture de s\u00e9curit\u00e9 et que ce n\u2019\u00e9tait pas permis de ne pas l’attacher \u00bb. C\u2019est le m\u00eame principe pour<\/span> la protection des renseignements personnels au Qu\u00e9bec dans votre entreprise.\u00a0<\/strong>C’est<\/span> <\/strong>comme\u00a0pour la Loi de l\u2019imp\u00f4t sur le revenu. Nul n\u2019est cens\u00e9 ignorer la loi. Alors, s\u2019il vous vient \u00e0 l\u2019id\u00e9e de ne pas d\u00e9clarer un incident de confidentialit\u00e9 \u00e0 la commission d’acc\u00e8s \u00e0 l’information, car cela requiert l’envoi d’un avis \u00e0 la CAI et\/ou \u00e0 toute personne dont les renseignements personnels ont \u00e9t\u00e9 compromis concernant les donn\u00e9es personnelles que vous avez en votre possession, sachez que l\u2019ignorance est une d\u00e9fense rejet\u00e9e par les autorit\u00e9s. Si vous ne connaissez pas les r\u00e8gles en mati\u00e8re de gouvernance des donn\u00e9es, il est de votre devoir d’entreprise de vous informer.<\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>2) Ne pas d\u00e9clarer un incident de confidentialit\u00e9 \u00e0 la commission <\/strong>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n M\u00eame si certains croient \u00e0 une exemption sur les p\u00e9nalit\u00e9s applicables, les sanctions administratives p\u00e9cuniaires et infractions p\u00e9nales sont r\u00e9ellement l\u00e0. Ces p\u00e9nalit\u00e9s varient en fonction de la taille de l\u2019entreprise, mais suivent g\u00e9n\u00e9ralement les lignes directrices ci-dessous comme indiqu\u00e9 sur le site de la commission d’acc\u00e8s \u00e0 l’information : <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n \u2022 10\u00a0millions de dollars, ou un montant correspondant \u00e0 2\u00a0% du chiffre d\u2019affaires mondial de l\u2019exercice financier pr\u00e9c\u00e9dent, pour les entreprises priv\u00e9es qui omettent d\u2019appliquer la r\u00e9glementation; <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n \u2022 un montant correspondant \u00e0 4\u00a0% des ventes de l\u2019organisation\u00a0\u2014 ou se situant entre 15\u00a0000\u00a0$ et 25\u00a0millions de dollars\u00a0\u2014 pour les entreprises priv\u00e9es qui s\u2019exposent \u00e0 des sanctions p\u00e9nales; <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n \u2022 deux cat\u00e9gories de p\u00e9nalit\u00e9s pour les institutions publiques qui ne respectent pas la r\u00e9glementation\u00a0: <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n \u2022 de 3\u00a0000\u00a0$ \u00e0 30\u00a0000\u00a0$; <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n \u2022 de 15\u00a0000\u00a0$ \u00e0 150\u00a0000\u00a0$; <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n \u2022 de 5\u00a0000\u00a0$ \u00e0 100\u00a0000\u00a0$ pour les infractions commises par une personne physique<\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n Il faut d\u00e9clarer les incidents selon les crit\u00e8res demand\u00e9s de la commission d’acc\u00e8s \u00e0 l’information. Les incidents de confidentialit\u00e9 ou toute atteinte aux renseignements personnels qui sont en la possession d\u2019une organisation (acc\u00e8s non autoris\u00e9, utilisation ou communication non autoris\u00e9e, ou perte pouvant causer un pr\u00e9judice grave) doivent obligatoirement \u00eatre d\u00e9clar\u00e9s \u00e0 la CAI et aux personnes touch\u00e9es.<\/span>\n <\/p>\n<\/p>\n \n \n Depuis septembre 2022 les organisations doivent tenir un registre des incidents de confidentialit\u00e9 et mettre en \u00e9vidence les mesures prises pour \u00e9viter que de nouveaux incidents de m\u00eame nature ne se produisent. Les dirigeants d\u2019une organisation s\u2019exposent \u00e0 des sanctions p\u00e9cuniaires beaucoup plus importantes s\u2019ils omettent de d\u00e9clarer un incident de confidentialit\u00e9 ou une atteinte \u00e0 des renseignements personnels. <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>3) Ne pas collaborer avec la Cai <\/strong>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n Faire des erreurs de planification ou d’organisation ou vivre dans le d\u00e9ni, \u00e7a peut arriver \u00e0 n\u2019importe qui. Par contre, ce n\u2019est pas parce qu\u2019on n\u2019ouvre pas une lettre ou un courriel ou que l’on rejette l’appel de la commission d’acc\u00e8s \u00e0 l’information que nous n’aurons pas \u00e0 faire face \u00e0 la r\u00e9alit\u00e9. <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n Chose importante pour la commission d’acc\u00e8s \u00e0 l’information, c’est comme Revenu Qu\u00e9bec, une fois qu\u2019on a conclu une entente, il faut la respecter. Si la CAI constate que vous ne la respectez pas, gare \u00e0 vous, il se pourrait que les cons\u00e9quences soient d\u00e9sagr\u00e9ables. <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>4) Croire que les retards n\u2019ont pas de cons\u00e9quences<\/strong> <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n La commission d’acc\u00e8s \u00e0 l’information prend les choses au s\u00e9rieux et de nouveaux budgets sont en place pour pallier certaines ressources<\/span>. E<\/span>n mati\u00e8re de retard de d\u00e9marche, il se peut que la p\u00e9nalit\u00e9 gonfle en fonction de la n\u00e9gligence. <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>5) Attendre l\u2019aide du gouvernement ou de la Corporation avant d\u2019agir<\/strong> <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n Entamer les d\u00e9marches en retard peut avoir de graves cons\u00e9quences sur votre organisation. Par exemple, vous pourriez vivre une interruption ou un retard et m\u00eame des ralentissements majeurs dans vos op\u00e9rations. \u00c7a serait dommage de devoir impacter votre relation client et mettre plusieurs milliers de dollars parce que vous \u00eates d\u00e9sorganis\u00e9s\u2026 n\u2019est-ce pas? Profitez de cette d\u00e9marche en la voyant comme un avantage concurrentiel.<\/span>\n <\/p>\n<\/p>\n \n \n \u00a0<\/span>\n <\/p>\n<\/p>\n \n \n <\/span>6) Ne pas proc\u00e9der \u00e0 une cartographie interne physique et digitale de vos donn\u00e9es <\/strong>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n Ne pas proc\u00e9der \u00e0 la cartographie physique et digitale de ses installations serait une \u00e9tape fondamentale et critique cr\u00e9ant des foss\u00e9s pouvant mener \u00e0 l\u2019\u00e9chec de votre d\u00e9marche, soyez prudent. C\u2019est donc la premi\u00e8re \u00e9tape critique de cinq pour entamer et maintenir sa mise en conformit\u00e9 avec les r\u00e8gles de protection des donn\u00e9es. <\/span>\n <\/p>\n<\/p>\n \n \n \u00a0<\/span>\n <\/p>\n<\/p>\n \n \n –\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Savoir o\u00f9 se trouvent nos donn\u00e9es, avec qui elle transige, sous quelle forme, est-ce en ligne intranet ou extranet, qui les partages, comment elles sont partag\u00e9es, sont-ils d\u00e9j\u00e0 p\u00e9rim\u00e9s, qui y a acc\u00e8s? Sont toutes des r\u00e9ponses fondamentales \u00e0 avoir pour passer aux autres \u00e9tapes.<\/span>\n <\/p>\n<\/p>\n \n \n \u00a0<\/span>\n <\/p>\n<\/p>\n \n \n –\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Renseignez-vous sur les registres de traitement de donn\u00e9es en tenant compte de la gestion du consentement des donn\u00e9es personnelles en en priorisant le cycle de vie des donn\u00e9es fournies sous r\u00e9f\u00e9rence par la commission d\u2019acc\u00e8s \u00e0 l\u2019information. <\/span>\n <\/p>\n<\/p>\n \n \n \u00a0<\/span>\n <\/p>\n<\/p>\n \n \n \u00b7\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Dans ce registre vous devriez avoir <\/span>les donn\u00e9es utilis\u00e9es<\/strong>;<\/span> <\/span>qui a acc\u00e8s aux donn\u00e9es selon le consentement<\/strong>\u00a0(exemple\u00a0: service, service informatique, direction, fournisseurs, partenaires, h\u00e9bergeurs)\u00a0; <\/span>la dur\u00e9e de conservation de ces donn\u00e9es\u00a0<\/strong>(dur\u00e9e durant laquelle les donn\u00e9es sont utiles d\u2019un point de vue op\u00e9rationnel, et dur\u00e9e de conservation en archive). <\/span>Les cat\u00e9gories de donn\u00e9es utilis\u00e9es<\/strong>\u00a0(exemple pour la paie : nom, pr\u00e9nom, date de naissance, salaire)\u00a0;<\/span>qui fait quoi avec vos donn\u00e9es<\/strong>\u00a0(exemple\u00a0: marketing et prise de rendez-vous externe)\u00a0;<\/span>la dur\u00e9e de conservation de ces donn\u00e9es\u00a0<\/strong>(dur\u00e9e durant laquelle les donn\u00e9es sont utiles d\u2019un point de vue op\u00e9rationnel, et dur\u00e9e de conservation en archive selon les fins et le consentement); <\/span>la destruction<\/strong> <\/strong>(d\u00e9truire les renseignements personnels de mani\u00e8re s\u00e9curitaire\u00a0d\u00e8s que la finalit\u00e9 pour laquelle ils ont \u00e9t\u00e9 collect\u00e9s est accomplie, sous r\u00e9serve du d\u00e9lai pr\u00e9vu par la loi ou par un calendrier de conservation \u00e9tabli par r\u00e8glement du gouvernement (ex. pour des obligations fiscales).<\/span>\n <\/p>\n<\/p>\n \n \n \u00a0<\/span>\n <\/p>\n<\/p>\n \n \n –\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Faites le tri des outils non ou surutilis\u00e9 de votre organisation, afin de faire d\u2019\u00e9liminer des courroies d\u2019\u00e9changes non n\u00e9cessaires de vos donn\u00e9es. Certaines entreprises ont deux, trois CRM ou deux duplicatas d\u2019outil identique. Faites l\u2019\u00e9valuation des facteurs de risques lorsque vous faites ces changements.<\/span>\n <\/p>\n<\/p>\n \n \n \u00a0<\/span>\n <\/p>\n<\/p>\n \n \n –\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0Respectez les lois applicables en fonction de la protection des renseignements personnels en mettant des processus et de la formation en place.<\/span>\n <\/p>\n<\/p>\n \n \n \u00a0<\/span>\n <\/p>\n<\/p>\n \n \n –\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0S\u00e9curiser vos donn\u00e9es et limiter les acc\u00e8s aux tiers pour maintenir le c\u0153ur de votre data sans corruption.<\/span>\n <\/p>\n<\/p>\n \n \n \n <\/span>7) Manquer votre subvention couvrant les frais de votre cartographie <\/strong>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n Une subvention est en vigueur con\u00e7ue pour aider les entreprises \u00e0 adopter les technologies num\u00e9riques et \u00e0 accro\u00eetre leur comp\u00e9titivit\u00e9 dans l\u2019\u00e9conomie actuelle. Le programme fournit des fonds pour aider les entreprises \u00e0 acheter des\u00a0<\/span>technologies num\u00e9riques<\/strong>, telles que l\u2019informatique en nuage, l\u2019intelligence artificielle et l\u2019analyse des donn\u00e9es, ainsi qu\u2019une formation et un mentorat pour les aider \u00e0 utiliser ces technologies efficacement. Le programme donne \u00e9galement acc\u00e8s \u00e0 un r\u00e9seau d\u2019experts et de ressources pour aider les entreprises \u00e0 \u00e9laborer des\u00a0<\/span>strat\u00e9gies num\u00e9riques et \u00e0 mettre en \u0153uvre des solutions num\u00e9riques selon les march\u00e9s. Contactez un agent num\u00e9rique ayant acc\u00e8s aux subventions <\/strong><\/p>\n Dominic Sigouin<\/p>\n <\/span> <\/strong>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>8) Ne pas comprendre les recours en lien avec la protection des renseignements personnels <\/strong>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n Quelqu’un s’est adress\u00e9 \u00e0 une entreprise pour demander acc\u00e8s \u00e0 certaines informations ou pour demander une rectification de son dossier personnel et a essuy\u00e9 un refus ou obtenu une r\u00e9ponse insatisfaisante. Les lois pr\u00e9voient que c\u2019est \u00e0 la Commission d\u2019acc\u00e8s \u00e0 l\u2019information qu’ils peuvent exercer un recours pour faire valoir leurs droits. <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n Le recours exerc\u00e9 est appel\u00e9 \u00ab\u00a0demande de r\u00e9vision\u00a0\u00bb pour le secteur public ou \u00ab\u00a0demande d\u2019examen de m\u00e9sentente\u00a0\u00bb pour le secteur priv\u00e9. Dans les deux cas, cette demande doit \u00eatre adress\u00e9e \u00e0 la Commission dans les trente jours du refus de la demande ou de l\u2019expiration du d\u00e9lai pour y r\u00e9pondre.<\/span>\n <\/p>\n<\/p>\n \n \n <\/span>(source : cai)<\/span>\n <\/p>\n<\/p>\n \n \n \n <\/span>9) Croire que seul au Qu\u00e9bec ces obligations existent. <\/strong>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n Si jamais la commission d’acc\u00e8s \u00e0 l’information enqu\u00eate sur un dossier et trouve un probl\u00e8me, n\u2019allez pas croire que c’est seulement au Qu\u00e9bec que cela s’applique. En effet, au Qu\u00e9bec, l\u2019utilisation de renseignements personnels par les entreprises est encadr\u00e9e principalement par la\u00a0<\/span>Loi sur la protection des renseignements personnels dans le secteur priv\u00e9<\/span>\u00a0(Loi sur le priv\u00e9). Cependant, en fonction de la nature et de la port\u00e9e des activit\u00e9s des entreprises, d\u2019autres obligations peuvent exister en mati\u00e8re de protection des renseignements personnels au niveau provincial, f\u00e9d\u00e9ral et international. Sans \u00eatre exhaustive, cette page en pr\u00e9sente quelques-unes. <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n L\u2019identification de ces obligations et la compr\u00e9hension des enjeux qu\u2019elles impliquent peuvent s\u2019av\u00e9rer complexes. En cas de doute, il est recommand\u00e9 de consulter un juriste. <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>Aper\u00e7u des autres obligations sur le plan provincial<\/strong> <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n Voici une liste non exhaustive de lois qui contiennent des particularit\u00e9s en mati\u00e8re de protection des renseignements personnels : <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\u2022 Charte qu\u00e9b\u00e9coise des droits et libert\u00e9s;<\/span> <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\u2022 Code civil du Qu\u00e9bec<\/span>\u00a0(RLRQ, c. CCQ-1991); <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\u2022 Loi concernant la cadre juridique des technologies de l\u2019information<\/span>\u00a0(RLRQ, c. C\u20111.1); <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\u2022 Code de la s\u00e9curit\u00e9 routi\u00e8re<\/span>\u00a0(RLRQ, c. C-24.2); <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\u2022 Loi sur la protection de la jeunesse<\/span>\u00a0(RLRQ, c. P-34.1); <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\u2022 Loi sur les services de sant\u00e9 et les services sociaux<\/span>\u00a0(RLRQ, c. S-4.2); <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\u2022 Loi sur l\u2019assurance maladie<\/span>\u00a0(RLRQ, c. A-29); <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\u2022 Loi concernant le partage de certains renseignements de sant\u00e9\u00a0<\/span>(RLRQ, c. P-9.0001); <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\u2022 Loi autorisant la communication de renseignements personnels aux familles d\u2019enfants autochtones disparus ou d\u00e9c\u00e9d\u00e9s \u00e0 la suite d\u2019une admission en \u00e9tablissement\u00a0<\/span>(RLRQ, c. C-37.4); <\/span>\n <\/p>\n<\/p>\n \n \n <\/span>\n <\/p>\n<\/p>\n \n \n