Quoi faire dans les 72 premières heures d'une atteinte à la protection des données au Canada

L'atteinte ne nous a pas paralysés. Ce qui nous a arrêtés, c'est de déterminer, dans les premières heures, si on faisait face à un « risque réel de préjudice grave » au sens de la LPRPDE ou si on ne faisait encore que deviner. Ce sont deux obligations différentes, avec deux horloges différentes, et personne dans notre équipe ne pouvait dire avec certitude dans laquelle des deux on se trouvait.

On est un cabinet de services professionnels de taille moyenne. On détient des dossiers clients, des dossiers RH, quelques données de paiement. On est assez petits pour qu'une atteinte ne passe pas inaperçue, et il y a assez de renseignements personnels sur nos serveurs pour que ça ne reste jamais hypothétique bien longtemps. Voici ce qu'on a réellement fait, dans l'ordre, y compris les parties qui ont fait perdre du temps.

Le premier appel n'a pas été au régulateur

Le premier réflexe de notre réviseur en sécurité a été d'isoler le système touché, pas de réfléchir à ce qu'on allait dire publiquement. Ça a surpris quelques personnes dans la salle qui s'attendaient à ce que la divulgation vienne en premier. Elle doit venir en deuxième — on ne peut pas décrire une atteinte avec précision à qui que ce soit, y compris à soi-même, tant qu'on ne l'a pas arrêtée.

On a débranché le serveur touché du réseau environ quatre-vingt-dix minutes après la confirmation. La confirmation a pris plus de temps que prévu, près de quatre heures, parce que la première alerte ressemblait à un faux positif de notre filtre de courriels. Quelqu'un a dû vérifier manuellement les horodatages des journaux par rapport aux registres de connexion avant que qui que ce soit ose prononcer le mot « atteinte » à voix haute.

Qui doit-on vraiment aviser, et quand

C'est ici que les exigences de la LPRPDE et de la Loi 25 divergent, et ça a compté plus que je ne l'aurais cru au départ.

Sous la LPRPDE, l'obligation est de signaler au Commissariat à la protection de la vie privée du Canada « dès que possible » après avoir déterminé qu'il existe un risque réel de préjudice grave. Aucun nombre d'heures fixe. Ça semble être un soulagement jusqu'à ce qu'on réalise que « dès que possible » est une norme que nos avocats devront défendre plus tard, pas une échéance qu'on peut simplement respecter et oublier.

La Loi 25 est plus précise pour les entreprises ayant une présence au Québec. L'article 3.5 de la Loi sur la protection des renseignements personnels dans le secteur privé exige d'aviser la Commission d'accès à l'information sans délai dès qu'il y a des motifs raisonnables de croire qu'un incident présente un risque de préjudice sérieux. On avait deux clients québécois dans l'ensemble de données exposé, et c'est ce qui a fait entrer la Loi 25 dans l'équation. Si ce nombre avait été de zéro, selon la lecture de nos avocats, seule la LPRPDE se serait appliquée, et toute la forme de la première journée aurait été différente.

« Risque de préjudice sérieux » est un seuil défini, pas une impression. C'est le genre de terme juridique que nos avocats refusaient de paraphraser à la légère.

La liste de questions qu'on s'est vraiment posées

Avant que qui que ce soit touche à une ébauche de notification, notre responsable de la protection de la vie privée a passé en revue une courte liste, à voix haute, dans une salle où se trouvaient à la fois la sécurité et les avocats :

• Quelles catégories de données ont été exposées, et peut-on l'affirmer avec des preuves plutôt qu'avec des suppositions?
• Y a-t-il un risque réel de préjudice grave, selon la norme de la LPRPDE, ou est-ce qu'on spécule encore?
• La population touchée inclut-elle des résidents du Québec, ce qui déclencherait l'obligation d'avis distincte de la Loi 25?
• Quelle est la date la plus défendable pour établir les « motifs raisonnables de croire », puisque c'est là que l'horloge légale commence, pas quand on se sent prêts?
• Qui, à l'interne, est autorisé à signer une notification au régulateur, et cette personne est-elle disponible dans les prochaines 24 heures?

Cette cinquième question a pris plus de temps qu'elle n'aurait dû. Notre chaîne d'approbation supposait une disponibilité qui n'existait pas un samedi, et on a perdu près de six heures à retrouver la seule personne autorisée à mandater nos avocats externes pour déposer en notre nom.

Le détail qui s'est avéré ne pas compter

On a dépensé une énergie embarrassante, tôt dans le processus, à débattre pour savoir si l'horloge de notification de notre police d'assurance cyber — 48 heures pour aviser l'assureur — allait d'une façon ou d'une autre raccourcir notre échéance réglementaire. Ce n'est pas le cas. L'horloge de l'assureur et celle du régulateur fonctionnent indépendamment. Les confondre n'a fait qu'ajouter du stress sans changer une seule des décisions qu'on a prises. Si c'était à refaire, je sauterais complètement cette conversation.

Où les outils d'IA ont leur place, si tant est qu'ils en aient une

Vers la trentième heure, avec une pile de fichiers exposés qu'il fallait lire et classer rapidement, quelqu'un a proposé de faire passer l'ensemble de documents dans un outil d'IA pour accélérer le tri — déterminer quels fichiers contenaient des noms, lesquels contenaient des numéros d'assurance sociale, lesquels étaient de simples mémos internes sans rien de sensible.

La question de la juridiction a cessé d'être un sujet de conformité abstrait exactement à ce moment-là pour devenir une question opérationnelle assortie d'une horloge. Verser des dossiers clients, en pleine atteinte, dans un outil d'IA hébergé aux États-Unis avait l'air d'ajouter une exposition sur une autre, et notre réviseur en sécurité l'a dit presque immédiatement. Le point du CLOUD Act, c'est celui sur lequel nos avocats n'ont pas bougé d'un pouce : les autorités américaines ont un moyen légal d'accéder au contenu client traité par des fournisseurs de juridiction américaine, peu importe où les serveurs se trouvent physiquement, et pendant une atteinte active, ce n'est pas un risque que qui que ce soit voulait ajouter volontairement.

On a regardé trois options cette semaine-là, et Augure en faisait partie, surtout parce que le nom revenait sans cesse dans les recherches d'outils d'IA canadiens conçus avec la LPRPDE et la Loi 25 en tête plutôt qu'ajoutés après coup. Ce qu'on a testé, c'est la fonction Base de connaissances sur un échantillon de fichiers exposés, téléversés sous un compte contrôlé, hors production. L'outil a correctement signalé les types de documents contenant des chaînes correspondant au motif d'un NAS en à peu près le temps qu'il a fallu pour lire le résumé — environ quatre minutes pour soixante fichiers. Ce n'est pas un substitut au jugement juridique sur ce qui constitue un renseignement personnel au sens de la loi, et l'outil ne prétendait pas l'être non plus. À 80 $ CA par mois pour le forfait avec l'allocation de documents dont on avait besoin, le coût n'a été un facteur décisif dans un sens ni dans l'autre.

La raison principale pour laquelle une plateforme d'IA canadienne comptait ici, ce n'était pas la vitesse. Augure stocke les données clients au Canada. L'inférence pour certains paliers de modèles s'exécute sur une infrastructure canadienne, avec des partenaires européens vérifiés qui gèrent d'autres paliers et le basculement sous des ententes de rétention zéro des données, et rien de tout ça n'est acheminé vers des fournisseurs américains. Augure n'a pas de société mère américaine, et les conversations et documents des clients ne sont pas traités par des fournisseurs de juridiction américaine, donc la portée du CLOUD Act sur les fournisseurs contrôlés par les États-Unis ne s'étend pas à ce contenu. C'est plus précis que de dire « tout reste au Canada » — le traitement des paiements et l'envoi de courriels impliquent encore des services basés aux États-Unis, selon leur politique de confidentialité — et je préfère le dire avec cette précision plutôt que de me faire reprendre plus tard pour l'avoir survendu.

Ce que je referais autrement

Je pense qu'on a trop investi dans le peaufinage du message public avant même d'avoir cerné les catégories de données touchées. Avec le recul, je crois que la précision interne devrait toujours précéder le ton externe, même quand quelqu'un de haut placé s'inquiète de l'image. Dans les six premières heures, on n'était pas certains si on regardait quelques dizaines de dossiers ou quelques milliers. Cette incertitude aurait dû orienter l'urgence vers la délimitation des données, pas vers la rédaction d'un communiqué destiné aux clients qu'on a fini par réécrire deux fois de toute façon.

L'autre chose que je changerais : on n'a impliqué l'avocate qui a fini par rédiger la notification qu'à partir du deuxième jour. La faire intervenir à l'heure un plutôt qu'à l'heure trente nous aurait épargné au moins une conversation stérile sur des échéances qui, en fin de compte, relevaient d'une loi complètement différente de celle qu'on consultait.

Si vous faites face à une situation semblable en ce moment, voici l'essentiel. Contenez d'abord. Établissez le seuil légal avant d'élaborer le message. Et soyez honnêtes envers vous-mêmes quant à savoir si un outil que vous introduisez en pleine crise ajoute du risque plutôt que d'en retrancher. Pour en savoir plus sur la façon dont Augure gère cette question d'examen de documents, y compris où résident les données, consultez augureai.ca.