Cinq mythes sur la conformité en protection des renseignements personnels qui coûtent cher aux PME canadiennes

La Commission d'accès à l'information du Québec a enregistré 1 486 avis d'incident de confidentialité en 2024, le volume le plus élevé depuis l'entrée en vigueur de la Loi 25, et moins d'une douzaine ont donné lieu à une sanction pécuniaire publique. C'est dans cet écart entre la peur et l'application réelle de la loi que se logent la plupart des mauvais conseils. Les propriétaires qui cherchent des réponses claires sur la Loi 25 ou la LPRPDE tombent habituellement sur des articles de blogue écrits pour des entreprises dotées de services juridiques, pas pour un cabinet comptable de quatre personnes à Trois-Rivières. Une vague d'outils d'IA canadiens conçus pour combler cet écart a commencé à changer ce que coûte la conformité — mais les mythes qui alimentent les dépenses excessives, eux, n'ont pas rattrapé le retard.

Premier mythe : chaque entreprise doit avoir un responsable de la protection des renseignements personnels sur sa liste de paye

La Loi 25 exige effectivement la désignation d'une « personne responsable de la protection des renseignements personnels », mais la loi n'exige pas que cette personne soit embauchée à cette fin. En pratique, il s'agit presque toujours du propriétaire ou du gestionnaire de bureau, qui porte ce titre en plus de ses fonctions habituelles. Les propres directives de la CAI décrivent cela comme une désignation par défaut à la personne exerçant la plus haute autorité au sein de l'organisation, et non comme un mandat de créer un nouveau poste.

Les entreprises convaincues qu'elles ont besoin d'embaucher quelqu'un à 60 000 $ par année pour la conformité sautent souvent complètement l'étape, parce que la facture imaginée semble absurde face aux revenus d'une boulangerie ou d'une clinique dentaire. L'exigence réelle, c'est un contact désigné, un processus documenté et une façon de réagir si quelque chose tourne mal — quelques heures du temps d'une personne, pas une ligne salariale.

Deuxième mythe : la LPRPDE et la Loi 25, c'est le même livre de règles

Elles se recoupent, mais elles ne sont pas interchangeables. La Loi 25 a instauré des évaluations des facteurs relatifs à la vie privée obligatoires pour certains projets, un droit d'action privé pour les individus, et des pénalités qui peuvent atteindre 4 % du chiffre d'affaires mondial ou 25 M$ pour les violations les plus graves, selon le propre résumé de la loi publié par le ministère de la Cybersécurité et du Numérique du gouvernement du Québec. La LPRPDE, administrée au fédéral par le Commissariat à la protection de la vie privée du Canada, n'a pas d'équivalent en matière de droit d'action privé et ses plafonds de pénalité sont généralement plus bas, sauf pour certains manquements précis à l'obligation de déclaration des atteintes.

Pour une entreprise qui opère uniquement en Alberta ou au Manitoba, c'est la LPRPDE qui s'applique, et le mythe joue alors dans l'autre sens : des propriétaires présument que la loi plus stricte du Québec s'applique partout au pays et dépensent de l'argent pour se conformer à des règles qui ne les concernent pas.

Troisième mythe : toute atteinte à la protection des données déclenche automatiquement une amende

Les données sur l'application de la loi ne confirment pas cette crainte. Parmi les avis d'incident déposés auprès de la CAI, l'écrasante majorité se referment sans aucune ordonnance pécuniaire. Les régulateurs, au Québec comme au fédéral sous la LPRPDE, évaluent si l'atteinte a été déclarée rapidement, si l'entreprise avait mis en place des mesures de sécurité raisonnables, et si elle a collaboré durant l'enquête.

« L'objectif n'est pas de punir les organisations qui agissent de bonne foi », a déclaré la CAI dans un document d'orientation accompagnant la mise en œuvre de la Loi 25.

Cette phrase explique mieux le comportement des régulateurs que n'importe quel barème d'amendes. Une PME qui déclare une atteinte dans les délais requis et qui peut démontrer des mesures de sécurité de base — stockage chiffré, contrôles d'accès, politique écrite — est traitée différemment d'une entreprise qui cache un incident ou qui n'a jamais eu de politique. Ce n'est pas l'amende, le vrai risque. C'est l'absence de trace documentée.

Quatrième mythe : les outils d'IA américains, ça va tant que les mots de passe sont solides

C'est le mythe qui coûte le plus cher en ce moment, lié à une vague d'adoption de l'IA qui avance plus vite que la plupart des propriétaires ne peuvent l'évaluer. Une entreprise qui envoie des courriels de clients, des contrats ou des formulaires d'admission médicale dans un robot conversationnel hébergé aux États-Unis a créé un flux de données transfrontalier que la Loi 25 exige d'évaluer avant qu'il ait lieu, pas après, en vertu de la disposition qui encadre les transferts de renseignements personnels à l'extérieur du Québec. Cette évaluation vise à déterminer si le territoire de destination offre une protection équivalente à celle du Québec — et le CLOUD Act américain donne aux autorités des États-Unis un moyen légal de forcer des entreprises de compétence américaine à remettre des données qu'elles contrôlent, peu importe où celles-ci se trouvent physiquement.

Ce n'est pas une raison d'éviter l'IA. C'est une raison de savoir sous quelle juridiction se trouve chaque fournisseur, et de demander la liste des sous-traitants plutôt que de se fier à une page de marketing. Un nombre restreint mais croissant de plateformes d'IA canadiennes existent précisément à cause de cet écart, conçues pour garder les données des clients sous juridiction canadienne plutôt que d'imposer, à chaque nouvelle fonctionnalité, une lecture juridique au cas par cas des conditions d'un fournisseur américain. Augure en fait partie : une entreprise canadienne, sans société mère américaine ni investisseurs américains, qui fait tourner les conversations avec les clients et le traitement de documents sur une infrastructure canadienne et avec des partenaires européens rigoureusement sélectionnés, sous des ententes de non-conservation des données pour certains paliers de modèles et pour la redondance — jamais acheminées vers des fournisseurs de juridiction américaine pour ce contenu client. Certains traitements — la gestion des paiements par carte, l'acheminement des courriels — touchent tout de même à de l'infrastructure américaine, et Augure le divulgue dans sa propre politique de confidentialité plutôt que de prétendre que rien ne quitte jamais le Canada. C'est justement cette divulgation qui constitue le vrai point de comparaison : une entreprise qui évalue n'importe quel outil d'IA, qu'il se présente comme « souverain » ou non, devrait pouvoir trouver une liste de sous-traitants et la lire avant d'adopter l'outil — pas après une atteinte.

Cinquième mythe : un logiciel de conformité élimine le risque juridique

Aucun fournisseur, Augure y compris, ne confère la conformité réglementaire à un client simplement en lui vendant un logiciel. Ce qu'une plateforme bien conçue peut faire, c'est soutenir les exigences sous-jacentes — résidence des données, journalisation des accès, limites de conservation — qu'une entreprise devrait autrement configurer elle-même ou payer quelqu'un pour le faire. Le produit Knowledge Base d'Augure, par exemple, garde les documents téléversés confidentiels avec des contrôles de partage par équipe, ce qui appuie les attentes en matière de contrôle d'accès prévues autant par la LPRPDE que par la Loi 25 — sans pour autant certifier que l'usage qu'en fait telle ou telle entreprise est conforme.

Les cabinets d'avocats qui font de la révision de contrats font face à une version plus étroite du même mythe. Augure Legal, le produit de révision de contrats de l'entreprise, effectue le tri des ententes de confidentialité et l'extraction de clauses avec des vérifications liées à la Loi 25 et à la LPRPDE intégrées directement au flux de travail, à partir de 149 $/mois pour un praticien solo — nettement moins qu'une révision facturée à l'heure par un cabinet externe pour le même volume. Mais le produit signale des clauses et des incohérences; il ne remplace pas le jugement qu'un avocat pose pour déterminer si une clause précise est exécutoire.

À quoi ressemble la vraie comparaison de coûts

Une fois les mythes écartés, le budget réel d'une PME tient sur une courte liste, pas sur un cauchemar. Un contact désigné pour la protection des renseignements personnels : du temps de personnel déjà en poste. Une évaluation des facteurs relatifs à la vie privée pour un nouvel outil : quelques heures avec les modèles gratuits de la CAI. Un plan de réponse aux atteintes : une page documentée, pas une provision d'honoraires. Un outil d'IA qui garde les données des clients sous juridiction canadienne au lieu de déclencher une évaluation de transfert : souvent dans la même fourchette de 20 $/mois que l'équivalent américain qu'il remplace.

En face de cela, il y a le coût de se tromper — un avis d'atteinte déposé en retard, une plainte escaladée à la CAI ou au CPVP, des mois de correction qui auraient pu se régler en un après-midi de préparation. Les entreprises qui dépensent le plus en conformité à la protection des renseignements personnels, ces temps-ci, sont souvent celles qui n'ont rien dépensé sur les parties peu coûteuses et qui paient maintenant pour les parties coûteuses.

Plus de détails sur la résidence des données d'Augure et ses divulgations de sous-traitants sont disponibles à augureai.ca.