Étude de cas : accompagner une entreprise vers la conformité avec la Loi 25

La conformité en matière de protection des renseignements personnels ne se limite pas à publier une politique de confidentialité sur un site Internet.

Elle exige de comprendre les renseignements détenus par l’entreprise, de déterminer qui peut y accéder, d’encadrer leur utilisation et de prévoir ce qui doit arriver lorsqu’ils ne sont plus nécessaires. Elle demande également de préparer l’organisation à réagir rapidement en cas d’erreur, de perte de données ou d’incident de confidentialité.

Pour plusieurs PME, la difficulté ne vient pas d’un manque de volonté. Elle vient plutôt du nombre de systèmes utilisés, de la dispersion des renseignements et du manque de ressources internes spécialisées.

Voici comment Doumont 360 a accompagné une entreprise dans la structuration de sa démarche de conformité.

Afin de préserver la confidentialité, le nom de l’entreprise et certains éléments du mandat ont été modifiés. Ce cas composite présente une situation représentative des défis rencontrés par les PME québécoises.

Le profil de l’entreprise

L’entreprise accompagnée est une PME québécoise offrant des services professionnels à une clientèle composée principalement d’organisations et de travailleurs autonomes.

Elle compte une cinquantaine d’employés et utilise plusieurs outils numériques dans ses activités quotidiennes :

• ·une plateforme de gestion de la relation client;

• ·Microsoft 365;

• ·des espaces de stockage infonuagiques;

• ·un logiciel de comptabilité;

• ·un système de gestion des ressources humaines;

• ·des formulaires sur son site Internet;

• ·différentes applications exploitées par des fournisseurs externes.

L’entreprise recueille notamment les coordonnées de ses clients, des informations contractuelles, des données de facturation, des candidatures, des renseignements sur ses employés et des communications provenant de son site Internet.

Comme beaucoup de PME en croissance, elle avait adopté ses outils progressivement. Chaque service avait développé ses propres habitudes, ses propres dossiers et, dans certains cas, ses propres méthodes de conservation.

La situation au début du mandat

La direction savait que la protection des renseignements personnels devait devenir une priorité. Elle avait déjà réalisé certaines actions, mais elle ne possédait pas de vision globale de sa situation.

Une politique de confidentialité était publiée sur le site Internet, mais elle ne reflétait plus entièrement les pratiques de l’entreprise. Certains fournisseurs n’y étaient pas considérés et plusieurs formulaires avaient été ajoutés depuis sa dernière mise à jour.

Un responsable de la protection des renseignements personnels avait été identifié de manière informelle, sans que son rôle, ses responsabilités et son pouvoir d’intervention soient clairement documentés.

Les renseignements personnels étaient également répartis dans plusieurs environnements :

• ·boîtes de courriel;

• ·dossiers partagés;

• ·fichiers Excel;

• ·applications infonuagiques;

• ·ordinateurs portables;

• ·archives papier.

L’entreprise ne disposait pas d’un inventaire centralisé lui permettant de savoir précisément quels renseignements elle détenait, pourquoi elle les recueillait, où ils étaient conservés et pendant combien de temps.

Enfin, aucun processus complet n’avait été établi pour gérer un incident de confidentialité. En cas de courriel envoyé au mauvais destinataire, de perte d’un appareil ou de compte compromis, les employés ne savaient pas clairement qui prévenir ni quelles actions entreprendre.

Les principaux risques relevés

Le diagnostic initial a permis de constater que les risques n’étaient pas uniquement juridiques ou technologiques.

Ils étaient également organisationnels.

Des responsabilités mal définies

Plusieurs personnes intervenaient dans la gestion des renseignements personnels, mais aucune structure ne précisait clairement qui devait approuver les pratiques, répondre aux demandes des citoyens ou coordonner une intervention en cas d’incident.

La personne ayant la plus haute autorité dans une entreprise est, par défaut, responsable de la protection des renseignements personnels. Cette fonction peut être déléguée par écrit, et le titre ainsi que les coordonnées du responsable doivent être accessibles au public. (CAI)

Une visibilité limitée sur les données

Sans inventaire, il était difficile de répondre à des questions pourtant essentielles :

Quels renseignements détenons-nous?

Où sont-ils conservés?

Qui peut y accéder?

Sont-ils encore nécessaires?

Sont-ils communiqués à des fournisseurs?

Cette absence de visibilité compliquait aussi le traitement d’une éventuelle demande d’accès ou de rectification.

Des accès trop étendus

Certains dossiers partagés étaient accessibles à un nombre d’employés plus élevé que nécessaire. Des comptes liés à d’anciens employés devaient également être vérifiés.

Le problème ne provenait pas d’une attaque informatique en cours, mais plutôt d’une accumulation de permissions accordées au fil du temps sans révision systématique.

Des documents génériques

Certaines politiques avaient été créées à partir de modèles trouvés en ligne. Elles contenaient de bonnes intentions, mais ne correspondaient pas toujours aux méthodes de travail réelles.

Une politique qui ne reflète pas les activités de l’entreprise risque de devenir un document théorique que les employés ne peuvent pas appliquer.

Une préparation insuffisante aux incidents

L’entreprise possédait des outils de sécurité, mais elle ne disposait pas d’une procédure coordonnée réunissant les aspects technologiques, administratifs et communicationnels.

Or, lorsqu’un incident survient, l’entreprise doit prendre des mesures raisonnables pour réduire les risques de préjudice et éviter qu’un incident semblable se reproduise. (CAI)

L’approche de Doumont 360

Le mandat a été structuré de manière progressive afin de ne pas surcharger les équipes et de concentrer les efforts sur les risques les plus importants.

L’objectif n’était pas simplement de produire des documents. Il était d’intégrer de meilleures pratiques dans les activités quotidiennes de l’entreprise.

Étape 1 : comprendre les activités

La première étape a consisté à rencontrer les personnes responsables de la direction, des technologies, des ressources humaines, des finances, du marketing et du service à la clientèle.

Ces discussions ont permis de comprendre comment les renseignements personnels étaient réellement recueillis et utilisés.

Cette distinction est importante. Les procédures officielles et les pratiques quotidiennes ne correspondent pas toujours parfaitement.

Les entrevues ont notamment permis d’identifier :

• ·les formulaires utilisés;

• ·les systèmes contenant des renseignements personnels;

• ·les échanges avec les fournisseurs;

• ·les accès accordés aux employés;

• ·les méthodes de sauvegarde;

• ·les dossiers papier;

• ·les pratiques de conservation et de destruction.

Étape 2 : dresser l’inventaire des renseignements

Doumont 360 a ensuite accompagné l’entreprise dans la création d’un inventaire centralisé.

Pour chaque catégorie de renseignements, l’inventaire précisait notamment :

• ·la raison de la collecte;

• ·les personnes concernées;

• ·le système utilisé;

• ·les employés autorisés à y accéder;

• ·les fournisseurs impliqués;

• ·le niveau de sensibilité;

• ·la période de conservation;

• ·la méthode de destruction prévue.

Cette cartographie a donné à la direction une vue d’ensemble qu’elle ne possédait pas auparavant.

Elle a également permis de repérer des renseignements conservés sans raison opérationnelle suffisante ainsi que des copies placées dans plusieurs environnements.

Étape 3 : évaluer et prioriser les écarts

Tous les problèmes ne présentent pas le même niveau de risque.

Plutôt que de produire une longue liste de correctifs sans ordre précis, les écarts ont été classés selon leur urgence, la sensibilité des renseignements concernés et les conséquences possibles pour les personnes et l’entreprise.

Les priorités immédiates comprenaient notamment :

• ·la clarification du rôle du responsable;

• ·la correction des accès les plus sensibles;

• ·la mise à jour de la politique de confidentialité;

• ·la préparation d’une procédure de gestion des incidents;

• ·la sécurisation de certains comptes;

• ·la révision des formulaires de collecte.

La loi prévoit que les entreprises établissent et mettent en œuvre des politiques et des pratiques de gouvernance adaptées à la nature et à l’importance de leurs activités. Ces pratiques doivent notamment encadrer les responsabilités du personnel, la conservation, la destruction et le traitement des plaintes. (Légis Québec)

Étape 4 : mettre en place les mesures correctives

Une fois les priorités approuvées, Doumont 360 a accompagné l’entreprise dans leur mise en œuvre.

Formalisation de la gouvernance

Le responsable de la protection des renseignements personnels a été officiellement désigné. Son mandat, ses responsabilités et son rôle dans les nouveaux projets ont été documentés.

Un mécanisme de révision périodique a également été établi afin d’éviter que la démarche repose uniquement sur une intervention ponctuelle.

Mise à jour des politiques

La politique de confidentialité du site Internet a été réécrite dans un langage plus simple et alignée sur les pratiques réelles de l’entreprise.

Une politique interne de gouvernance a également été préparée afin d’encadrer les responsabilités des employés, l’utilisation des renseignements, les demandes d’accès, les fournisseurs et la gestion des incidents.

Lorsqu’une entreprise recueille des renseignements personnels par un moyen technologique, notamment un site Internet ou une application, elle doit publier une politique de confidentialité rédigée en termes simples et clairs. (CAI)

Révision des accès

Les accès aux dossiers partagés et aux applications ont été revus selon les fonctions des employés.

Les comptes inutilisés ont été désactivés, l’authentification multifacteur a été renforcée et une procédure a été mise en place pour encadrer l’arrivée, le changement de poste et le départ d’un employé.

Gestion de la conservation

Un calendrier de conservation a été élaboré afin de déterminer combien de temps les principales catégories de renseignements devaient être conservées.

Des méthodes de destruction adaptées ont ensuite été définies pour les documents numériques et papier.

Préparation aux incidents

Une procédure d’intervention a été créée pour guider l’entreprise dès la découverte d’un incident.

Elle précisait :

• ·les personnes à contacter;

• ·les premières mesures de sécurité;

• ·les renseignements à documenter;

• ·la méthode d’évaluation du risque;

• ·les responsabilités décisionnelles;

• ·les communications à préparer;

• ·les actions correctives à entreprendre.

Un modèle de registre des incidents a également été remis à l’entreprise.

Sensibilisation des employés

Une séance de formation a permis d’expliquer les nouvelles pratiques à l’ensemble du personnel.

La formation portait notamment sur les courriels frauduleux, les mots de passe, le partage de documents, les renseignements sensibles, les erreurs de destinataire et le signalement rapide d’un incident.

L’objectif n’était pas de transformer chaque employé en spécialiste de la conformité, mais de lui donner des réflexes simples et applicables.

Les résultats du mandat

Au terme de l’accompagnement, l’entreprise disposait d’une structure beaucoup plus claire pour gérer les renseignements personnels.

Les principaux résultats ont été les suivants :

• ·un responsable officiellement désigné et soutenu par la direction;

• ·un inventaire centralisé des renseignements et des systèmes;

• ·une politique de confidentialité adaptée aux activités réelles;

• ·des règles internes de gouvernance compréhensibles;

• ·des accès mieux contrôlés;

• ·un calendrier de conservation et de destruction;

• ·une procédure complète de gestion des incidents;

• ·un registre prêt à être utilisé;

• ·des employés sensibilisés à leurs responsabilités;

• ·un plan d’action pour les améliorations à poursuivre.

L’un des résultats les plus importants était toutefois moins visible : la protection des renseignements personnels n’était plus perçue comme la responsabilité d’une seule personne.

Elle était devenue une responsabilité organisationnelle.

Une conformité plus durable

Aucune politique ne peut éliminer tous les risques. Une entreprise évolue constamment : elle embauche de nouveaux employés, adopte de nouveaux logiciels, change de fournisseurs et développe de nouveaux services.

La conformité doit donc être revue régulièrement.

Dans ce cas, l’entreprise a choisi d’intégrer la protection des renseignements personnels à ses décisions courantes. Les nouveaux outils doivent maintenant être évalués avant leur implantation, les accès sont révisés périodiquement et les incidents sont documentés, même lorsqu’ils semblent mineurs.

Cette approche permet de maintenir les pratiques dans le temps plutôt que de recommencer l’exercice quelques années plus tard.

Ce que cette étude de cas nous enseigne

La première étape vers la conformité n’est pas la rédaction d’une politique.

C’est la compréhension.

Une entreprise doit d’abord comprendre quels renseignements elle possède, comment ils circulent et quels risques leur sont associés. Elle peut ensuite adopter des mesures proportionnées à ses activités et à ses ressources.

La démarche doit également être réaliste. Une PME ne peut pas toujours corriger tous ses écarts simultanément. Un plan priorisé permet de traiter rapidement les risques critiques tout en planifiant les améliorations à plus long terme.

Doumont 360 : une approche intégrée

La protection des renseignements personnels touche à la gouvernance, à la cybersécurité, aux solutions infonuagiques et, lorsqu’un incident survient, à la gestion de crise et aux communications.

Doumont 360 réunit ces expertises afin d’accompagner les entreprises dans une démarche cohérente, adaptée à leur réalité et orientée vers des actions concrètes.

Notre objectif n’est pas seulement de produire des politiques. Nous aidons les organisations à comprendre leurs risques, à améliorer leurs pratiques et à se préparer à réagir lorsque cela compte réellement.

Votre entreprise sait-elle exactement quels renseignements personnels elle détient et comment elle les protège?

Communiquez avec Doumont 360 pour discuter de votre situation et établir un plan d’action adapté à votre organisation.