what-a-privacy-officer-does-and-why-law-25-says-you-need-one

Le déclencheur légal, en termes simples

La Loi 25 — la réforme québécoise de sa loi sur la protection des renseignements personnels dans le secteur privé, anciennement le projet de loi 64 — est entrée en vigueur graduellement sur trois ans à partir de 2022. La disposition exigeant la désignation d'un responsable de la protection des renseignements personnels, ainsi que la notification obligatoire en cas d'incident de confidentialité, est entrée en vigueur en septembre 2022. Une deuxième vague, portant sur la portabilité des données et un encadrement plus strict du consentement, est arrivée en septembre 2023.

La loi s'applique à toute organisation qui recueille des renseignements personnels auprès de personnes situées au Québec, sans égard à l'endroit où l'entreprise a son siège social. Une boutique de commerce en ligne établie à Toronto qui compte des clients à Montréal est visée. Il en va de même pour un cabinet dentaire à Gatineau, une firme de gestion immobilière à Laval, ou une jeune entreprise SaaS de Vancouver qui vend ses services à une municipalité québécoise.

Sur le plan fédéral, la LPRPDE impose une obligation parallèle par son principe de responsabilité, un des dix principes de l'annexe 1 de la loi. La LPRPDE n'emploie pas exactement le même vocabulaire que le Québec et n'exige pas la divulgation publique de l'identité du responsable, mais le Commissariat à la protection de la vie privée du Canada affirme depuis deux décennies qu'une organisation « doit désigner une ou des personnes qui seront chargées de veiller au respect » de la loi. Une entreprise active dans plus d'une province finit habituellement par satisfaire aux deux lois avec la même personne et les mêmes documents.

Ce chevauchement a toutefois ses limites. Une entreprise strictement québécoise, sans flux de données transfrontaliers relevant du fédéral, répond à la CAI et non directement au Commissariat, tandis qu'une entreprise sous réglementation fédérale — une banque, une compagnie aérienne, un télécommunicateur — répond au Commissariat en vertu de la LPRPDE, indépendamment de ce que dit la loi québécoise, la Loi 25 venant simplement s'ajouter pour les clients résidant au Québec figurant dans ses dossiers. Les deux organismes de réglementation ne partagent pas de registre de plaintes commun, si bien qu'une plainte déposée auprès de l'un ne devient pas automatiquement une plainte devant l'autre. Une organisation qui satisfait la CAI quant à son registre et à sa lettre de délégation peut très bien devoir expliquer séparément les mêmes pratiques au Commissariat si un déclencheur fédéral s'applique.

Ce que la fonction implique réellement

Le titre a des airs de fonction réservée aux entreprises dotées d'un service juridique. Dans une entreprise de dix employés, c'est habituellement une seule personne qui y consacre quelques heures par mois.

Les tâches essentielles, selon les indications publiées par la Commission d'accès à l'information (CAI), l'organisme québécois de réglementation en matière de protection des renseignements personnels : tenir un registre des renseignements personnels détenus par l'organisation et des raisons de leur collecte; répondre aux demandes d'accès et de rectification des clients ou des employés; évaluer les risques liés à la vie privée avant le lancement d'un nouvel outil ou processus — ce que la Loi 25 appelle une évaluation des facteurs relatifs à la vie privée; et gérer la réponse aux incidents de confidentialité, y compris la notification à la CAI et aux personnes concernées lorsqu'il existe un risque sérieux de préjudice grave.

Rien de tout cela n'exige un diplôme en droit. Il suffit d'une personne qui connaît les données de l'entreprise, qui a lu une fois les indications pertinentes, et qui dispose de trente minutes libres lorsqu'un client envoie un courriel pour demander quels renseignements l'entreprise détient sur lui.

« La fonction de responsable de la protection des renseignements personnels est assumée d'office par la personne ayant la plus haute autorité au sein de l'entreprise », indique la CAI dans ses propres directives, « à moins que cette fonction ne soit déléguée, par écrit, à un membre du personnel ou à un tiers. »

Cette phrase constitue, pour la plupart des petites entreprises, tout le déclencheur de conformité. Aucun délai de dépôt, aucune demande, aucuns frais. La fonction existe dès que l'entreprise existe, et elle appartient au propriétaire jusqu'à ce qu'elle soit réattribuée par écrit.

Une évaluation des facteurs relatifs à la vie privée n'est pas en soi un formulaire distribué par la CAI. En pratique, c'est un court document que rédige le responsable de la protection des renseignements personnels avant le lancement d'un nouvel outil ou processus de collecte de données : quels renseignements personnels le nouveau processus touche-t-il, pourquoi est-il nécessaire, qu'est-ce qui pourrait mal se passer, et quelles mesures de protection existent. Pour une entreprise qui adopte un nouvel outil de facturation ou un agent conversationnel destiné aux clients, cette évaluation peut se limiter à deux pages et prendre un après-midi. Pour une entreprise qui bâtit un produit à grande échelle à partir de données clients, l'exercice prend plus de temps et implique parfois de faire appel à des conseillers juridiques externes — les directives de la CAI ne fixent ni nombre de pages ni format obligatoire, seulement l'exigence que l'évaluation soit faite avant le lancement, et non après.

La comparaison de coûts que personne ne fait

Demandez à un propriétaire de petite entreprise combien coûte la conformité, et la réponse est habituellement une estimation approximative basée sur le taux horaire d'un avocat. Demandez-lui combien coûte un incident de confidentialité, et l'estimation devient encore plus vague.

Quelques chiffres réels aident à y voir clair. Le rapport Cost of a Data Breach d'IBM évalue le coût moyen d'un incident de confidentialité pour une petite ou moyenne organisation canadienne à des centaines de milliers de dollars, une fois pris en compte les frais de notification, d'enquête et les pertes commerciales — un chiffre qui n'inclut pas les pénalités de la CAI, qui peuvent atteindre, en vertu de la Loi 25, jusqu'à 10 M $ ou 2 % du chiffre d'affaires mondial pour les violations administratives les plus graves, sans compter les recours privés dont disposent également les personnes concernées.

Comparez cela au coût d'une conformité bien faite à petite échelle. Un ou une commis comptable ou un gestionnaire de bureau à temps partiel peut assumer la fonction de responsable de la protection des renseignements personnels pour quelques heures par mois, le tout formalisé par une lettre de délégation d'une page. La révision de documents et les vérifications de conformité à la Loi 25 par l'entremise d'un service comme Augure Legal coûtent 149 $ CA par mois pour le forfait solo — conçu pour les cabinets d'avocats, mais utilisable par toute petite entreprise ayant besoin d'une révision de contrats et de politiques sans embaucher de conseiller juridique externe. Une plateforme d'IA canadienne à usage général pour rédiger un registre de protection des renseignements personnels, suivre les demandes d'accès et répondre en langage clair à la question « est-ce que cela nous concerne » ne coûte rien au forfait gratuit et 20 $ CA par mois au forfait payant dont la plupart des petites entreprises auraient réellement besoin.

Aucun de ces montants n'approche ce que coûte un seul cycle de notification d'incident de confidentialité, une fois qu'un avocat facture à l'heure pour déterminer quelles données ont été exposées et qui doit être avisé.

Un sceptique pourrait raisonnablement se demander pourquoi un outil à 20 $ par mois devrait se voir confier une tâche dont l'exposition financière atteint sept chiffres en cas d'échec. La réponse honnête, c'est que ce n'est pas l'outil qui porte cette exposition — c'est le responsable désigné de la protection des renseignements personnels, et le logiciel ne vaut que ce que vaut le registre qu'un humain tient réellement à jour. Rien, dans la Loi 25 ou la LPRPDE, ne considère un abonnement logiciel comme un substitut à une personne responsable; les deux régimes désignent la personne, pas l'outil, comme point d'imputabilité.

La place des outils d'IA canadiens

C'est ici que la question des outils devient concrète, et qu'elle devient aussi politique.

Le travail d'un responsable de la protection des renseignements personnels dépend de sa connaissance de l'endroit où se trouvent réellement les données de l'entreprise. Or, c'est délicat lorsque les outils utilisés au quotidien — agents conversationnels, recherche documentaire, rédaction de contrats — sont des produits américains soumis au CLOUD Act des États-Unis, qui permet aux autorités américaines d'exiger la divulgation de données détenues par des entreprises américaines, peu importe où ces données sont physiquement stockées. Une entreprise québécoise qui utilise un agent conversationnel d'IA dont le siège social est aux États-Unis pour rédiger son propre registre de conformité génère, dans une petite ironie, des documents de conformité à l'intérieur d'un système que son propre responsable de la protection des renseignements personnels ne peut pas pleinement garantir.

Les plateformes d'IA canadiennes existent en partie pour combler cet écart. Augure, une plateforme conçue à Toronto et destinée aux organisations canadiennes réglementées, stocke les données des clients au Canada et exécute l'inférence sur une infrastructure canadienne et auprès de partenaires européens vérifiés sous ententes de rétention nulle, plutôt que sur des serveurs américains. L'entreprise n'a ni société mère américaine ni investisseurs américains, si bien qu'aucun fournisseur de juridiction américaine ne traite le contenu client — une distinction qui compte dans le cadre d'une évaluation menée en vertu de l'article 17 de la Loi 25, puisque cet article exige d'évaluer tout transfert de renseignements personnels à l'extérieur du Québec, et « à l'extérieur du Québec mais sous le droit canadien » n'est pas la même réponse que « à l'extérieur du Québec et accessible par une assignation étrangère ». Le traitement dans l'UE mérite d'être mentionné plutôt que passé sous silence, puisque la comparaison qu'un responsable de la protection des renseignements personnels doit réellement faire porte sur les outils hébergés aux États-Unis, et non sur le fantasme de données qui ne quitteraient jamais les murs de l'entreprise.

Augure n'est pas la seule plateforme d'IA canadienne à se positionner ainsi, et le simple fait d'en utiliser une ne libère pas une organisation de ses obligations en vertu de la Loi 25 — un responsable de la protection des renseignements personnels doit tout de même suivre les flux de données et répondre aux demandes d'accès. Ce qu'une plateforme d'IA canadienne fait, c'est retirer une variable de cette équation : l'outil lui-même cesse d'être le risque de conformité.

Les documents qui comptent vraiment

Pour un propriétaire qui se demande quoi faire cette semaine, la liste est courte. Désigner par écrit le responsable de la protection des renseignements personnels, même s'il s'agit d'un mémo d'un seul paragraphe nommant le propriétaire. Consigner, dans un simple tableau, les renseignements personnels que l'entreprise recueille — noms des clients, courriels, renseignements de paiement, dossiers des employés — et où chaque catégorie est conservée. Confirmer qu'il existe un processus permettant à quelqu'un de demander « qu'avez-vous sur moi » et d'obtenir une réponse dans un délai raisonnable. Avoir un plan d'une page pour ce qui se passe si un ordinateur portable est volé ou qu'une base de données est exposée : qui est appelé, qui est avisé, et dans quel délai.

Ce n'est pas un service juridique. C'est un après-midi, répété une fois par année.

Les entreprises qui souffrent le plus de la Loi 25 ne sont généralement pas celles dont le programme de protection des renseignements personnels est imparfait — ce sont celles qui n'en ont aucun, ce qu'on découvre seulement après qu'un incident force la question. Jusqu'à présent, l'approche d'application de la CAI a privilégié les ordonnances correctives et les échéanciers de mise en conformité plutôt que les amendes maximales pour les petites organisations agissant de bonne foi. Cette période de grâce ne durera pas indéfiniment, et elle ne remplace pas le fait d'avoir ce plan d'une page avant d'en avoir besoin.

Plus de détails sur les forfaits tarifaires d'Augure et sur la structure de son infrastructure canadienne sont disponibles à augureai.ca.