Une entreprise peut avoir d'excellents outils de cybersécurité et tout de même avoir un piètre programme de protection de la vie privée. Elle peut aussi avoir une politique de confidentialité sur son site Web et tout de même avoir une sécurité déficiente. Ce sont des choses différentes.
La LPRPDE (PIPEDA) porte sur la façon dont les organisations traitent les renseignements personnels. La cybersécurité est une composante importante de la protection de ces renseignements.
Pour un propriétaire d'entreprise, la question utile n'est pas simplement « Sommes-nous conformes à la LPRPDE? » La première question est : Quelles règles de protection de la vie privée s'appliquent à notre entreprise, et de quels renseignements personnels sommes-nous responsables?
Ce que fait la LPRPDE
La Loi sur la protection des renseignements personnels et les documents électroniques établit des règles pour la collecte, l'utilisation et la divulgation de renseignements personnels dans le cadre d'activités commerciales, dans les circonstances où la loi fédérale s'applique.
Mais la LPRPDE ne s'applique pas de façon identique à chaque organisation dans chaque province. Le Commissariat à la protection de la vie privée du Canada explique que l'Alberta, la Colombie-Britannique et le Québec ont des lois sur la protection de la vie privée dans le secteur privé qui ont été reconnues comme substantiellement similaires à la LPRPDE. Certaines lois sur les renseignements de santé dans d'autres provinces peuvent aussi influencer le régime de protection de la vie privée applicable. La LPRPDE continue de s'appliquer dans des domaines comme les organisations du secteur privé sous réglementation fédérale et certaines activités interprovinciales ou internationales liées aux renseignements personnels. [Source : Commissariat à la protection de la vie privée du Canada]
C'est pourquoi une affirmation générique comme « chaque entreprise canadienne doit se conformer à la LPRPDE » est trop large. La loi applicable dépend de l'organisation, de ses activités, des renseignements en cause et des territoires où elle exerce ses activités.
Où se situe la cybersécurité
La LPRPDE comprend un principe de mesures de sécurité. Le Commissariat à la protection de la vie privée explique que les organisations doivent protéger les renseignements personnels au moyen de mesures de sécurité adaptées à leur sensibilité et les protéger contre la perte, le vol et l'accès, la divulgation, la copie, l'utilisation ou la modification non autorisés. [Source : Commissariat à la protection de la vie privée du Canada]
Le CPVP souligne aussi que la LPRPDE ne prescrit pas une liste fixe unique de technologies de sécurité. Les organisations devraient tenir compte de facteurs comme la sensibilité, la quantité, la répartition, le format, le stockage, ainsi que les types et niveaux de risque auxquels elles font face. Les mesures de sécurité peuvent inclure des mesures physiques, organisationnelles et technologiques. [Source : Guide de protection de la vie privée à l'intention des entreprises du CPVP]
La LPRPDE n'est pas une liste d'épicerie qui dit « achetez ces cinq produits et vous serez conformes ». La sécurité devrait être adaptée aux renseignements et au risque en cause.
Ce que cela signifie pour une PME
Commencez par les renseignements, pas par le logiciel. Demandez-vous quels renseignements personnels sont recueillis, pourquoi ils sont recueillis, où ils sont stockés, qui peut y accéder, quels fournisseurs peuvent y accéder, combien de temps ils sont conservés, comment ils sont protégés, ce qui se passe lorsqu'ils ne sont plus nécessaires, et ce qui se passe s'ils sont compromis.
Ces questions se rattachent naturellement à des domaines de l'évaluation Cyber Health d'ORAGROL, comme la gestion et le stockage des données, le contrôle d'accès et les permissions, le risque lié aux fournisseurs et aux tiers, la sécurité du courriel, la sécurité des plateformes infonuagiques, la réponse aux incidents et le signalement, la gouvernance et l'imputabilité de la direction, ainsi que la sensibilisation à l'assurance cyberrisque et à la conformité.
L'évaluation ne détermine pas la conformité légale. Elle aide à cerner les domaines de sécurité et de gouvernance qui pourraient mériter attention.
Que se passe-t-il après une atteinte?
La LPRPDE comprend des obligations de signalement et de notification obligatoires en cas d'atteinte, dans certaines circonstances. En vertu de l'article 10.1, une organisation qui subit une atteinte aux mesures de sécurité touchant des renseignements personnels doit signaler l'atteinte au Commissariat à la protection de la vie privée du Canada lorsqu'il est raisonnable de croire que l'atteinte présente un risque réel de préjudice grave pour les personnes touchées.
Les personnes touchées doivent également être avisées dans les circonstances prévues par la loi. Le CPVP explique que les organisations devraient évaluer des facteurs comme la sensibilité des renseignements personnels et la probabilité qu'ils soient utilisés à mauvais escient. [Source : Commissariat à la protection de la vie privée du Canada]
C'est l'une des raisons pour lesquelles la réponse aux incidents est importante. Une obligation de protection de la vie privée peut très rapidement devenir un problème opérationnel de cybersécurité. Si une entreprise ne sait pas quelles données elle détient, où elles sont stockées, qui peut y accéder ou ce qui s'est passé pendant un incident, il devient plus difficile d'évaluer la situation avec précision et d'y répondre adéquatement.
La protection de la vie privée et la cybersécurité devraient communiquer
Un programme de protection de la vie privée se demande : devrions-nous recueillir, utiliser, divulguer et conserver ces renseignements de cette façon? La cybersécurité se demande : comment protégeons-nous les systèmes et renseignements en cause?
Ces deux fonctions sont différentes, mais elles ne devraient pas fonctionner en vase clos. Une approche pratique pour une PME relie l'inventaire des données, le contrôle d'accès, les mesures de sécurité, la gestion des fournisseurs, la sensibilisation des employés, la réponse aux incidents et les responsabilités en matière de protection de la vie privée.
Ce que la LPRPDE ne signifie pas
La LPRPDE ne signifie pas que chaque organisation doit utiliser un produit de sécurité précis. Elle ne signifie pas que l'obtention d'une certification particulière en cybersécurité rend automatiquement une entreprise conforme. Elle ne signifie pas qu'une politique de confidentialité à elle seule prouve que les renseignements personnels sont adéquatement protégés. Et elle ne remplace pas la nécessité de déterminer si une autre loi fédérale ou provinciale sur la protection de la vie privée s'applique.
Pour une interprétation juridique propre à leur entreprise, les organisations devraient obtenir des conseils juridiques ou en protection de la vie privée qualifiés au Canada.
Où se situe ORAGROL
ORAGROL aborde la conformité comme une composante d'un portrait plus large du risque de cybersécurité. L'évaluation Cyber Health comprend la sensibilisation à l'assurance cyberrisque et à la conformité, la gestion et le stockage des données, le risque lié aux fournisseurs et aux tiers, la gouvernance et l'imputabilité de la direction, ainsi que la réponse aux incidents et le signalement, parmi ses 20 domaines d'évaluation.
Cela ne produit pas de certificat de conformité légale. Cela offre une méthode structurée pour cerner les domaines de cybersécurité et de gouvernance qui pourraient nécessiter de l'attention — souvent un point de départ plus utile que de se demander quel badge de conformité acheter.