Qui a accès à quels renseignements, et depuis quand?

C’est la première question posée en cas de contrôle, et c’est celle à laquelle le plus d’organisations peinent à répondre. Les accès s’accumulent sans que personne ne les retire: des employés partis dont le compte existe toujours, des accès accordés « le temps d’un projet » terminé depuis deux ans, des comptes partagés dont plus personne ne sait qui détient le mot de passe.

Le travail technique tient en trois gestes. Dresser l’inventaire des systèmes qui contiennent réellement des renseignements personnels — la liste est presque toujours plus longue que prévu. Ramener chaque accès au strict nécessaire. Puis fixer une revue périodique, parce qu’un ménage fait une fois se défait en quelques mois.

Ce n’est pas un projet avec une date de fin: c’est une routine. Le sujet est traité plus en détail sur la page cybersécurité.

Combien de temps les gardez-vous, et savez-vous les effacer?

La loi demande de ne pas conserver des renseignements personnels indéfiniment, et de pouvoir donner suite à une demande de suppression. Deux difficultés apparaissent dès qu’on essaie.

La première: la durée de conservation n’est écrite nulle part. Chacun a une idée approximative, personne n’a la même, et rien ne l’applique automatiquement.

La seconde est plus sérieuse. L’effacement est presque toujours partiel. La donnée disparaît du logiciel principal, mais elle survit dans un export, un tableur partagé, un environnement de test alimenté par une copie de la production — et dans les sauvegardes. C’est le point que la plupart des organisations découvrent trop tard: une sauvegarde restaurée ramène exactement ce qu’on croyait avoir supprimé.

Le travail consiste à fixer une durée par catégorie de renseignements, à l’appliquer par une mécanique plutôt que par une bonne volonté, et à documenter honnêtement le cas des sauvegardes, y compris leur cycle de rotation. La page données traite de cette remise en ordre.

Sauriez-vous dire qu’un incident a eu lieu?

La Loi 25 introduit l’obligation de tenir un registre des incidents de confidentialité et, lorsque le risque de préjudice sérieux le justifie, de les déclarer. Or on ne consigne que ce qu’on détecte.

Sans journaux d’accès conservés assez longtemps, un incident ne laisse aucune trace exploitable. Beaucoup d’organisations ont des journaux, mais avec une rétention de quelques jours, ou dans un format que personne n’a jamais ouvert. Découvrir un accès anormal trois semaines après coup est alors impossible, non par négligence, mais parce que la preuve n’existe plus.

Le travail technique: journaliser les accès aux systèmes qui portent des renseignements personnels, garder ces journaux une durée utile, savoir qui les regarde et à quelle fréquence, et préparer le registre à l’avance plutôt que dans l’urgence. Le gabarit du registre se prépare à froid; c’est la partie facile, à condition de ne pas attendre l’incident.

Où sont hébergés les renseignements, et qui peut techniquement les lire?

Avant de communiquer des renseignements personnels à l’extérieur du Québec, une évaluation est attendue. Techniquement, tout commence par une réponse factuelle: quels services traitent des renseignements personnels, dans quelle région, et quels sous-traitants y ont accès.

L’exercice réserve souvent des surprises. Un outil de soutien à la clientèle, un module de mesure d’audience, une messagerie, un service de sauvegarde: chacun peut détenir une copie de quelque chose. La liste ne se devine pas, elle se construit.

Le travail consiste à inventorier ces services avec leur région d’hébergement, puis à maintenir cette liste à jour. C’est précisément le document qu’un client, un assureur ou un contrôle vous demandera de fournir.

Ce qui ne se règle pas côté technique

Désigner la personne responsable de la protection des renseignements personnels, rédiger et publier les politiques, gérer le consentement, mener les évaluations requises, décider s’il faut déclarer un incident et à qui: rien de tout cela ne se résout par une configuration.

Ces travaux relèvent de la gouvernance et, selon la situation, d’un accompagnement juridique. Optigm n’en fournit pas, et le dit dès le départ. Ce que la technique peut apporter, c’est de rendre ces décisions applicables — et vérifiables.

Par où commencer

Une seule chose, avant tout plan: la liste des systèmes qui contiennent des renseignements personnels, avec pour chacun qui y accède, combien de temps c’est conservé et où c’est hébergé.

Quatre colonnes suffisent. Tant que ce tableau n’existe pas, tout le reste — politiques, échéanciers, budgets — repose sur des hypothèses. S’il révèle plus de zones floues que prévu, le diagnostic express part exactement de là.