Responsable de la protection des renseignements personnels (Loi 25) : rôle, obligations et comment le désigner

Depuis le 22 septembre 2022, chaque entreprise du Québec doit avoir une personne responsable de la protection des renseignements personnels. C'est l'une des premières obligations de la Loi 25 à être entrée en vigueur, et l'une des plus simples à respecter, à condition de savoir ce que le rôle implique au quotidien. Ce guide explique qui est responsable par défaut, comment déléguer ce rôle, ce que la personne doit faire concrètement et ce dont une PME a vraiment besoin pour s'en acquitter.

Pour une vue d'ensemble de toutes les obligations, consultez notre guide complet de la Loi 25 pour les PME.

Qui est responsable par défaut?

La Loi 25, adoptée sous le nom de projet de loi 64, a modifié la Loi sur la protection des renseignements personnels dans le secteur privé. Elle prévoit que la personne ayant la plus haute autorité au sein de l'entreprise veille à assurer le respect et la mise en œuvre de la loi. Dans une PME, c'est généralement le président, le propriétaire ou le directeur général.

Autrement dit, même si vous n'avez rien fait, votre entreprise a déjà une personne responsable : vous, si vous êtes à la tête de l'organisation. La vraie question n'est donc pas de savoir s'il faut nommer quelqu'un, mais si la personne qui occupe le rôle a le temps et les moyens de bien le faire.

Déléguer le rôle : comment faire

La personne ayant la plus haute autorité peut déléguer cette fonction, en tout ou en partie, par écrit. La délégation peut viser un membre du personnel ou une personne de l'extérieur de l'entreprise.

• Un membre du personnel : souvent la direction des finances, des ressources humaines ou de l'administration, parce que ces services manipulent déjà beaucoup de renseignements personnels.
• Une personne externe : par exemple un conseiller en conformité. C'est utile si personne à l'interne n'a la disponibilité ou les connaissances nécessaires.
• Une délégation partielle : la direction garde le rôle, mais confie certaines tâches précises, comme le traitement des demandes d'accès ou la tenue du registre des incidents.

Dans tous les cas, mettez la délégation par écrit : une lettre ou une résolution signée qui précise qui est désigné, à partir de quelle date et pour quelles responsabilités. Conservez ce document avec vos politiques de gouvernance.

Publier le titre et les coordonnées sur votre site web

Le titre et les coordonnées de la personne responsable doivent être publiés sur le site web de l'entreprise. Si l'entreprise n'a pas de site, ces renseignements doivent être rendus accessibles par tout autre moyen approprié.

En pratique, la plupart des entreprises ajoutent une section à leur politique de confidentialité, ou une page « Protection des renseignements personnels » accessible depuis le pied de page. Une adresse courriel dédiée, par exemple vieprivee@votreentreprise.com, est pratique : elle reste valide même si la personne responsable change, à condition que quelqu'un la surveille réellement.

Ce que fait la personne responsable au quotidien

Le rôle ne se limite pas à un nom sur un site web. Voici les tâches qui reviennent le plus souvent.

Approuver les politiques de gouvernance

Depuis septembre 2023, les entreprises doivent adopter des politiques et des pratiques qui encadrent la gouvernance des renseignements personnels : qui y a accès, combien de temps on les conserve, comment on les détruit, comment on traite les plaintes. La personne responsable approuve ces politiques et s'assure qu'elles sont appliquées dans les faits.

Participer aux évaluations des facteurs relatifs à la vie privée (EFVP)

Depuis septembre 2023 également, une évaluation des facteurs relatifs à la vie privée est requise dans certaines situations, par exemple lors de l'acquisition, du développement ou de la refonte d'un système d'information qui traite des renseignements personnels, ou lorsque des renseignements sont communiqués à l'extérieur du Québec. La personne responsable participe à ces évaluations et s'assure que les risques relevés sont traités avant la mise en service.

Traiter les demandes d'accès et de rectification

Les clients, les employés ou les candidats peuvent demander à consulter les renseignements que vous détenez sur eux, ou à les faire corriger. La personne responsable reçoit ces demandes, s'assure qu'on y répond dans les délais prévus par la loi et documente chaque réponse.

Gérer le registre des incidents et les avis

Un incident de confidentialité, c'est par exemple un courriel contenant des renseignements de clients envoyé au mauvais destinataire, un portable volé ou un compte Microsoft 365 utilisé par un fraudeur. Chaque incident doit être consigné dans un registre, dont la Commission d'accès à l'information (CAI) peut demander une copie. Lorsqu'un incident présente un risque de préjudice sérieux, il faut aviser la CAI et les personnes concernées.

Sensibiliser le personnel

Beaucoup d'incidents commencent par une erreur humaine : un fichier partagé trop largement, un clic sur un lien d'hameçonnage, une liste de clients envoyée sur une adresse personnelle. La personne responsable veille à ce que les employés connaissent les règles de base et sachent à qui signaler un incident.

Ce dont une PME a réellement besoin

Dans une entreprise de 10 à 100 employés, la personne responsable porte presque toujours un autre chapeau. Trois choses font la différence :

• Du temps réservé : quelques heures par mois pour la boîte courriel, le registre et le suivi des politiques, et davantage lors d'un nouveau projet ou d'un incident.
• Des modèles : un registre des incidents, une réponse type aux demandes d'accès, une politique de confidentialité à jour. La CAI publie de la documentation destinée aux entreprises.
• Un partenaire TI pour le volet technique : une bonne partie de la conformité repose sur l'informatique, et c'est rarement la spécialité de la personne désignée.

Le volet technique, concrètement

La personne responsable n'a pas à devenir experte en cybersécurité, mais elle doit pouvoir compter sur quelqu'un qui l'est. Voici les éléments techniques qui soutiennent son rôle :

• Savoir où sont les données : un inventaire des renseignements personnels dans Microsoft 365 (anciennement Office 365), SharePoint, OneDrive, vos logiciels de gestion et vos serveurs.
• Contrôler les accès : authentification multifacteur sur tous les comptes, droits limités à ce dont chaque personne a besoin et journaux d'accès conservés.
• Protéger les appareils : chiffrement des portables et des téléphones, et effacement à distance d'un appareil perdu, par exemple avec Microsoft Intune.
• Pouvoir restaurer : des sauvegardes testées, avec des copies qu'un rançongiciel ne peut pas modifier.
• Réagir vite : une surveillance des menaces et un plan de réponse aux incidents, pour savoir rapidement ce qui s'est passé et quelles données ont été touchées. C'est exactement l'information dont la personne responsable a besoin pour remplir le registre et décider s'il faut aviser la CAI.

Chez Nexxo, c'est cette partie que nous prenons en charge : surveillance 24/7, gestion de Microsoft 365 et d'Intune, sauvegardes Veeam avec copies immuables, détection et réponse gérées (MDR) avec Huntress, et prise en charge des incidents critiques en moins de 15 minutes. Notre service de conformité des données privées ajoute l'analyse des écarts, la rédaction des politiques, les EFVP et la formation du personnel.

Les erreurs les plus fréquentes

• Croire qu'il n'y a pas de responsable. Par défaut, c'est la personne ayant la plus haute autorité. Ignorer le rôle ne le fait pas disparaître.
• Déléguer de vive voix. Sans document écrit, il est difficile de démontrer qui occupait le rôle au moment d'un incident.
• Publier une adresse que personne ne lit. Une boîte courriel abandonnée, c'est une demande d'accès qui reste sans réponse.
• Tenir un registre toujours vide. Un registre sans aucune entrée peut indiquer que les incidents ne sont pas détectés, ou pas signalés à l'interne.
• Laisser la personne seule face à l'informatique. Sans accès aux journaux, à l'état des sauvegardes et à un partenaire TI, elle ne peut pas évaluer un incident.
• Oublier le site web après un départ. Mettez à jour la délégation écrite et les coordonnées publiées dès qu'il y a un changement.

Liste de vérification

• La personne responsable est identifiée, par défaut ou par délégation.
• La délégation, s'il y en a une, est écrite, datée et signée.
• Le titre et les coordonnées sont publiés sur votre site web.
• Une adresse courriel dédiée est surveillée chaque semaine.
• Les politiques de gouvernance sont adoptées et approuvées.
• Un registre des incidents de confidentialité existe et est tenu à jour.
• Une procédure décrit quand et comment aviser la CAI et les personnes concernées.
• Une procédure encadre les demandes d'accès et de rectification.
• Les nouveaux projets informatiques passent par une EFVP lorsque c'est requis.
• Votre partenaire TI peut fournir rapidement les journaux, l'état des sauvegardes et l'analyse d'un incident.

Et si on ne respecte pas ces obligations?

La CAI peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial. La loi prévoit aussi des amendes pénales pouvant aller jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial. Ces maximums visent les cas graves, mais ils montrent que la loi est prise au sérieux. Les détails sont expliqués dans notre guide complet de la Loi 25.

FAQ

Une petite entreprise doit-elle vraiment avoir une personne responsable?

Oui. L'obligation vise les entreprises du secteur privé au Québec, peu importe leur taille. Dans une petite entreprise, c'est souvent le propriétaire ou le président qui occupe le rôle par défaut.

Peut-on confier le rôle à une personne externe?

Oui. La personne ayant la plus haute autorité peut déléguer la fonction, en tout ou en partie, par écrit, à un membre du personnel ou à une personne de l'extérieur de l'entreprise, comme un conseiller en conformité.

Que faut-il publier sur le site web?

La loi exige la publication du titre et des coordonnées de la personne responsable. Une page dédiée ou une section de la politique de confidentialité, avec une adresse courriel surveillée, permet au public de joindre la bonne personne facilement.

Qu'est-ce qu'un incident de confidentialité?

C'est notamment un accès, une utilisation ou une communication non autorisés d'un renseignement personnel, ou sa perte. Par exemple : un courriel envoyé à la mauvaise personne ou un portable volé. Chaque incident est consigné au registre, et ceux qui présentent un risque de préjudice sérieux doivent être signalés à la CAI et aux personnes concernées.

Combien de temps le rôle demande-t-il?

Pour une PME, quelques heures par mois suffisent généralement en temps normal : surveiller la boîte courriel, tenir le registre, revoir les politiques. Prévoyez davantage lors d'un nouveau projet informatique, d'une demande d'accès complexe ou d'un incident.

Quel est le lien entre ce rôle et la cybersécurité?

Ils sont étroitement liés. Beaucoup d'incidents de confidentialité ont une cause informatique, ou une erreur humaine liée à l'informatique. Sans authentification multifacteur, sauvegardes et surveillance, la personne responsable ne peut ni prévenir les incidents ni les évaluer correctement.

Cet article fournit de l'information générale et ne constitue pas un avis juridique. Pour une situation précise, consultez un professionnel du droit. La Commission d'accès à l'information publie aussi un résumé des principaux changements apportés par la Loi 25.

Faites le point avec Nexxo

Vous ne savez pas si votre entreprise est prête? Nexxo offre une évaluation gratuite qui couvre à la fois la conformité à la Loi 25 et le volet technique : accès, sauvegardes, appareils et réponse aux incidents. Découvrez notre service de conformité des données privées, ou notre accompagnement en conformité des données privées à Montréal, avec une équipe bilingue qui se déplace à Montréal, Laval et Longueuil.