Les données des employés et le droit canadien de la protection des renseignements personnels : ce que les PME font mal

Les données des employés et le droit canadien de la protection des renseignements personnels : ce que les PME font mal

La plupart des propriétaires de PME pensent que le droit de la protection des renseignements personnels concerne seulement les données des clients. Ce n'est que la moitié du portrait. Si vous avez des employés, vous avez un classeur, réel ou numérique, rempli d'informations qui intéressent énormément le droit canadien en la matière. Numéros d'assurance sociale. Notes médicales. Évaluations de rendement. Coordonnées de dépôt direct. La loi québécoise sur la protection des renseignements personnels traite les dossiers d'employés aussi sérieusement que les dossiers de clients. Les entreprises qui se trompent là-dessus ne sont habituellement pas négligentes. Elles n'ont juste jamais pensé à se poser la question.

Un outil d'IA compte plus qu'on pense dans cette histoire. Si vous utilisez un agent conversationnel pour résumer une lettre de congédiement ou rédiger une évaluation de rendement, les données de cet employé s'en vont quelque part. Où exactement, c'est la question que personne aux RH ne se fait jamais poser.

Les données des employés sont-elles vraiment couvertes?

Voici ce qui accroche : la LPRPDE, la loi fédérale sur la protection des renseignements personnels, ne couvre généralement pas les dossiers d'employés pour les entreprises de compétence provinciale. Elle couvre les données des clients. Si vous êtes une agence de marketing de neuf personnes en Ontario, votre liste de clients tombe sous la LPRPDE. Vos dossiers de personnel, dans la plupart des cas, non.

Ce vide ne veut pas dire que les données d'employés ne sont pas encadrées du tout. Le Québec a comblé ce vide directement. La loi québécoise s'applique aux renseignements des employés de la même façon qu'à ceux des clients, sans exception. La Colombie-Britannique et l'Alberta ont leurs propres lois sur la protection des renseignements personnels dans le secteur privé, avec une couverture similaire pour les employés. L'Ontario n'a pas encore de loi générale pour le secteur privé, ce qui explique justement pourquoi tant de propriétaires ontariens pensent que rien ne s'applique à eux. Habituellement, quelque chose s'applique quand même, une fois qu'on tient compte des règles sectorielles et de la simple responsabilité pour négligence.

Traiter « la LPRPDE ne couvre pas ça » comme « rien ne couvre ça », c'est l'erreur classique. Mauvaise conclusion, mais fréquente.

Il y a une deuxième subtilité. Si vous êtes de compétence fédérale, une banque, une compagnie aérienne, une entreprise de télécommunications, la LPRPDE couvre vos employés directement, pas de vide à combler. La plupart des entreprises de neuf personnes ne sont pas dans cette catégorie, mais vérifiez avant de présumer que la règle générale s'applique à vous. Le test, ce n'est pas votre province, c'est votre secteur.

Qu'est-ce qui compte vraiment comme information sensible?

Les gens pensent aux numéros d'assurance sociale et aux formulaires de congé médical. Bonne réponse, ça compte. Mais la liste est plus longue et plus étonnante que ça :

• Évaluations de rendement et dossiers disciplinaires
• Historique salarial et coordonnées bancaires pour la paie
• Renseignements médicaux liés aux demandes d'accommodement ou aux congés de maladie
• Statut d'immigration et permis de travail
• Coordonnées de contact d'urgence pour des membres de la famille qui n'ont jamais consenti à rien

Ce dernier point surprend tout le monde, à chaque fois. Si un employé inscrit le numéro de cellulaire de son conjoint comme contact d'urgence, ce conjoint devient une personne concernée dans votre système RH, que ce soit voulu ou non.

Ça coûte combien, une fuite de données?

C'est là que les propriétaires commencent à écouter. La loi québécoise permet des pénalités allant jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le plus élevé des deux montants, pour les violations les plus graves. La plupart des cas de PME n'atteignent jamais ce plafond. Mais même un incident modeste, un fichier Excel qui fuit, un portable non chiffré volé dans une voiture, déclenche l'obligation de notifier le régulateur québécois et les employés touchés s'il y a un risque réel de préjudice.

Un seul fichier RH qui fuit peut déclencher la même obligation de notification qu'une attaque de rançongiciel en règle.

Ça surprend les gens. Le déclencheur, c'est le caractère sensible de l'information et le risque réel créé par l'exposition, pas l'ampleur de l'incident. Une entreprise de dix personnes peut déclencher ça aussi facilement qu'une entreprise de mille employés.

Voici ce que le processus implique concrètement une fois déclenché. Vous évaluez le risque dans un délai raisonnable, vous informez le régulateur québécois avec une description de ce qui s'est passé, puis vous informez chaque employé touché directement, pas en affichant un avis quelque part en espérant que ça passe. Vous devez aussi tenir un registre interne de chaque incident qui a atteint le seuil, même ceux que vous avez choisi de ne pas déclarer, au cas où le régulateur poserait la question plus tard. Rien de tout ça n'exige un avocat sur appel, mais ça exige quelqu'un qui connaît les étapes avant le jour où on en a besoin, pas après.

L'autre coût est plus silencieux. Un employé découvre que sa note médicale a été collée dans un outil d'IA générique qui pourrait garder cette information pour entraîner son prochain modèle, et il ne fait plus confiance aux RH du tout. Aucune amende associée à ça. Ça coûte cher pareil.

Où les outils d'IA entrent-ils là-dedans?

C'est de plus en plus là que les données des employés se retrouvent à fuiter. Quelqu'un aux RH colle une lettre de congédiement dans un agent conversationnel pour adoucir le ton. Quelqu'un d'autre téléverse une pile de CV pour résumer les candidatures plus vite. Réflexe raisonnable, exposition bien réelle.

La question à se poser avant de faire l'un ou l'autre, ce n'est pas « est-ce que cet outil est bon ». C'est « où s'en vont ces données, et est-ce que quelqu'un les utilise pour entraîner autre chose ». Plusieurs outils d'IA américains se réservent le droit d'utiliser les données de la version gratuite pour l'entraînement, et acheminent le traitement par une infrastructure de compétence américaine, ce qui compte si vos propres obligations en matière de transferts transfrontaliers s'appliquent à ce flux de données.

Un propriétaire sceptique pourrait demander : si les données touchent des serveurs européens, n'est-ce pas juste un problème de compétence étrangère différent? Bonne question. La réponse dépend de ce par rapport à quoi vous évaluez les transferts, pas du fait que la géographie soit automatiquement meilleure ou pire.

Un outil d'IA véritablement canadien change ce calcul. Augure est canadien, gratuit au départ, et stocke les données des clients au Canada, comme l'exige la réglementation canadienne sur la protection des renseignements personnels. Il n'utilise jamais les données des clients pour entraîner des modèles. L'inférence de l'IA pour le contenu des clients tourne sur une infrastructure canadienne, avec des partenaires européens vérifiés qui gèrent certains paliers de modèles et le basculement sous des ententes de rétention zéro des données, et n'est jamais acheminée vers des fournisseurs situés aux États-Unis. Certains flux touchent quand même une infrastructure américaine, le traitement des paiements et l'envoi de courriels entre autres, et c'est divulgué clairement dans la politique de confidentialité plutôt que passé sous silence.

Augure n'a pas de société mère américaine ni d'investisseurs américains. Les conversations des clients, les documents et l'inférence de l'IA ne sont pas gérés par des fournisseurs de compétence américaine, donc la portée du CLOUD Act sur ces fournisseurs ne s'étend pas à ce contenu.

Rien de tout ça ne garantit votre conformité. Aucun fournisseur ne peut promettre ça. Mais ça veut dire que l'outil qui rédige votre lettre RH n'est pas le maillon faible de vos propres obligations en matière de protection des renseignements personnels.

Ai-je besoin d'une politique écrite pour ça?

Oui, et elle n'a pas besoin d'être longue. Un avis de confidentialité d'une page destiné aux employés, qui couvre ce que vous recueillez, pourquoi, combien de temps vous le gardez et qui peut y avoir accès, fait l'essentiel du travail légal. Ajoutez-y un calendrier de conservation : détruisez les CV après douze mois si le candidat n'a pas été embauché, détruisez les dossiers de congédiement après la période recommandée par votre avocat en droit du travail. Ça couvre les bases que les régulateurs vérifient réellement.

Les entreprises qui se font signaler ne sont habituellement pas celles avec des politiques imparfaites. Ce sont celles qui n'en ont aucune.

À faire cette semaine

1. Dressez la liste des données d'employés que vous détenez réellement — paie, notes médicales, évaluations, contacts d'urgence — et où chaque élément se trouve.
2. Vérifiez quels outils touchent à ces données, surtout les outils d'IA, et confirmez qu'aucun ne s'entraîne sur vos données par défaut.
3. Rédigez une règle de conservation d'une page : qu'est-ce qui se détruit, quand, et qui est responsable de le faire.

Commencez avec la version gratuite du produit Clavardage d'Augure si vous voulez tester la gestion de documents sur de vrais fichiers de politique avant de vous engager. Voyez comment il gère un vrai document RH, puis décidez.

Plus de détails sur tout ça se trouvent sur augureai.ca.

D'où ça vient : la Loi sur la protection des renseignements personnels dans le secteur privé du Québec, art. 3.