Ce qu'une atteinte à la vie privée coûte vraiment à une petite entreprise canadienne

Une atteinte à la vie privée dans une petite entreprise ne se traduit rarement par une amende spectaculaire. Ça veut plutôt dire deux semaines de votre temps, quelques milliers de dollars en nettoyage, et une poignée de clients qui cessent tranquillement de vous appeler. La plupart des gens qui posent des questions sur le coût d'une atteinte imaginent un chiffre digne d'une manchette. Le vrai chiffre est plus petit, et plus étrange — et il frappe une entreprise de neuf personnes aussi durement qu'une grande.

Ce qui se passe vraiment après une atteinte

Disons que l'ordinateur portable d'un employé se fait voler, ou qu'un courriel d'hameçonnage pousse quelqu'un à transmettre une liste de clients. Voici, grosso modo, la séquence pour une petite entreprise.

D'abord, vous devez comprendre ce qui s'est passé. Ça prend un à trois jours, selon la qualité de vos dossiers. Ensuite, vous décidez qui doit être avisé. La loi québécoise sur la protection des renseignements personnels et la loi fédérale, la LPRPDE, exigent toutes les deux que vous avisiez les personnes concernées si l'atteinte présente un risque réel de préjudice. Vous rédigez une lettre. Vous appelez probablement un avocat pour la vérifier, parce qu'une mauvaise formulation peut empirer les choses.

Ensuite, vous avisez. Certains clients rappellent, fâchés. Quelques-uns demandent de mettre fin à la relation d'affaires. Vous passez des heures réelles là-dessus au lieu de facturer des heures, et pour une équipe de neuf personnes, cet écart se voit vite dans les chiffres.

Il y a aussi une étape que les gens oublient : vous devez décider si vous allez informer le régulateur, pas seulement les clients touchés. La loi québécoise exige que vous déclariez certaines atteintes au régulateur provincial, et le régulateur fédéral a sa propre ligne de déclaration distincte si la LPRPDE s'applique. Ce sont deux lettres différentes, parfois deux échéanciers différents, et en oublier une parce que vous pensiez que l'autre couvrait tout est une erreur fréquente et facilement évitable.

Combien ça coûte, en dollars

Il n'y a pas de chiffre unique, parce que ça dépend de ce qui a été volé et du nombre de personnes touchées. Mais les composantes sont prévisibles :

• Enquête et nettoyage informatique : souvent entre 2 000 $ et 10 000 $, plus si un spécialiste en analyse judiciaire est nécessaire
• Révision légale de votre lettre d'avis : de quelques centaines à quelques milliers de dollars pour deux heures de travail d'un avocat spécialisé en protection des renseignements personnels
• Les coûts d'avis eux-mêmes : affranchissement, un centre d'appels si les volumes sont élevés, parfois une surveillance de crédit pour les clients touchés
• Perte d'affaires : le poste le plus difficile à mesurer, souvent le plus élevé, et celui que personne ne met sur une facture

Additionnez tout ça, et une atteinte modeste dans une petite entreprise peut facilement atteindre entre 15 000 $ et 50 000 $ une fois qu'on compte les clients perdus. Et ça, c'est avant toute amende.

Une atteinte n'a pas besoin de faire les manchettes pour vous coûter un mois de revenus.

Les amendes existent aussi, et elles ne sont pas négligeables. La loi québécoise permet des pénalités qui s'échelonnent selon la gravité de l'infraction, et elles s'appliquent aux entreprises de toute taille, pas seulement aux grandes. Mais l'amende arrive au bout d'un mauvais processus. La plupart des petites entreprises touchées n'en voient jamais, parce que les régulateurs s'en prennent généralement aux entreprises qui ont ignoré le problème, pas à celles qui ont déclaré honnêtement et corrigé la situation.

Un propriétaire sceptique pourrait demander : si les amendes sont rares, pourquoi se donner tout ce trouble? Parce que l'indulgence du régulateur dépend de ce que vous pouvez lui montrer. Une entreprise capable de prouver qu'elle avait chiffré ses ordinateurs portables et qu'elle a avisé rapidement est traitée différemment de celle qui découvre l'atteinte par un courriel furieux d'un client. Les démarches que vous faites maintenant, c'est la preuve dont vous aurez besoin plus tard.

Pourquoi les petites entreprises pensent-elles être trop petites pour être ciblées

C'est là que les gens se trompent. Les propriétaires pensent que les attaquants visent les gros poissons. En pratique, les petites entreprises sont des cibles plus faciles, justement parce qu'elles n'ont pas d'équipe de sécurité, et les criminels le savent. Un cabinet comptable de neuf personnes qui détient les NAS et les renseignements bancaires de ses clients vaut exactement autant, pour un voleur de données, qu'une entreprise de cinq cents employés — sans doute plus, parce que les défenses sont plus minces.

Le régulateur fédéral de la protection de la vie privée a déclaré publiquement que les petites et moyennes entreprises signalent une proportion d'atteintes disproportionnée par rapport à leur taille. Vous n'avez pas besoin d'une citation pour le croire. Vous avez probablement reçu une tentative d'hameçonnage dans votre propre boîte de réception ce mois-ci.

Où les outils d'IA entrent-ils dans cette équation de risque

Voici la partie que les gens ne voient pas venir : l'outil d'IA que vous utilisez pour rédiger des courriels ou résumer des contrats est lui-même un point d'exposition pour la vie privée. Si vous collez des noms de clients, des détails de dossiers ou des données financières dans un clavardage américain, ces données peuvent se retrouver sur des serveurs régis par la loi américaine, et elles peuvent servir à entraîner le modèle de quelqu'un d'autre. C'est une deuxième atteinte qui attend de se produire, par-dessus la première.

C'est ici qu'une plateforme d'IA canadienne change la donne. Augure conserve les données de ses clients au Canada, comme l'exige la loi canadienne sur la protection des renseignements personnels. Son inférence d'IA tourne sur une infrastructure canadienne et, pour certains niveaux de modèles et pendant les périodes de basculement, avec des partenaires européens vérifiés sous des ententes de non-conservation des données — jamais sur des serveurs américains. Les données des clients ne servent jamais à entraîner des modèles. Augure n'a ni société mère américaine ni investisseurs américains, donc les conversations et les documents des clients ne sont pas traités par des entreprises assujetties aux lois de divulgation américaines. Le traitement des paiements et l'envoi des courriels impliquent encore des fournisseurs américains, ce qu'Augure divulgue dans sa politique de confidentialité, mais aucun contenu client n'y transite. Utiliser Augure n'efface pas vos propres obligations de conformité. Mais ça veut dire que l'outil que vous utilisez chaque jour n'ajoute pas un nouvel endroit où les données de vos clients pourraient fuiter.

Augure est canadien et gratuit au départ, ce qui compte pour une entreprise qui essaie de réduire son risque sans ajouter une nouvelle ligne à son budget. Le forfait gratuit donne accès à 50 messages par jour et à une recherche documentaire de base — assez pour qu'une petite équipe cesse d'utiliser des outils grand public plus risqués, sans rien débourser.

Ce qui réduit vraiment vos risques cette année

Ici, le contrôle des coûts, ce n'est pas d'acheter une assurance et d'espérer. C'est de s'occuper des choses plates : savoir quelles données vous détenez, chiffrer les ordinateurs portables, et choisir des outils qui n'augmentent pas votre risque. Une atteinte à la vie privée commence presque toujours par quelque chose d'ordinaire — un appareil perdu, un mot de passe réutilisé, un chiffrier envoyé à la mauvaise personne. Rien de tout ça n'exige un responsable de la conformité pour être corrigé. Ça exige que quelqu'un décide, cette semaine, que c'est important.

Certaines entreprises ont besoin de plus que les bases. Les cabinets d'avocats qui gèrent des contrats de clients, par exemple, ont besoin d'outils conçus pour ce risque précis. Augure Legal fait la révision de contrats et des vérifications de conformité par rapport à la loi québécoise et à la LPRPDE pour 149 $ par mois pour un praticien seul — moins cher que les honoraires de révision légale après une seule atteinte.

À faire cette semaine

1. Dressez la liste des endroits où se trouvent réellement les données de vos clients — ordinateurs portables, disques partagés, et tout outil d'IA utilisé par votre équipe. Si vous ne le savez pas, demandez à tout le monde d'ici vendredi.
2. Activez le chiffrement sur tous les ordinateurs portables et téléphones qui traitent des renseignements de clients. C'est gratuit et ça prend vingt minutes par appareil.
3. Sortez la rédaction de documents sensibles des outils d'IA grand public. Créez un compte gratuit sur Augure cette semaine et voyez s'il répond aux besoins réels de votre équipe avant de payer quoi que ce soit.

Commencez sur augureai.ca.

D'où ça vient : la loi québécoise sur la protection des renseignements personnels s'appelle officiellement la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25).