Si vous êtes comptable au Québec, la Loi 25 s'applique à vous. Elle peut aussi s'appliquer au-delà de la province : selon les orientations de la Commission d'accès à l'information, une organisation située hors Québec y est assujettie lorsqu'elle traite des renseignements personnels dans le cadre d'activités d'affaires au Québec, si bien que servir des clients québécois peut placer votre cabinet dans son champ d'application. La loi encadre la façon dont toute entreprise qui traite des renseignements personnels doit les protéger, et elle a de vraies dents. Mais nul besoin d'un diplôme en droit pour en saisir l'essentiel. Voici ce que cela signifie en pratique.
Ce que la Loi 25 vous demande
Au fond, la loi dit que si vous recueillez et conservez des renseignements personnels, vous êtes responsable de les protéger par des mesures de sécurité appropriées, d'être transparent sur la façon dont vous les traitez et de bien gérer les incidents de confidentialité quand quelque chose tourne mal.
Pour un comptable, les obligations pertinentes se concentrent en quelques points concrets. Vous devez protéger les données clients par de véritables mesures de protection, et le chiffrement et les contrôles d'accès sont explicitement le genre de mesures que les régulateurs citent. Vous devez consigner et évaluer chaque incident de confidentialité, et aviser la Commission d'accès à l'information ainsi que les clients touchés lorsqu'un incident présente un risque de préjudice sérieux. Et vous devriez savoir où résident les données clients et quelles lois les régissent.
Pourquoi cela compte plus que les anciennes règles
Les sanctions ont changé la donne. Les sanctions administratives pécuniaires prévues par la Loi 25 peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le plus élevé des deux, et les sanctions pénales grimpent jusqu'à 25 millions de dollars ou 4 % pour les violations graves. Même en laissant de côté ces chiffres-chocs, une fuite qui expose des NAS et des données financières de clients est le genre d'événement réputationnel dont un petit cabinet se remet difficilement.
À quoi cela ressemble au quotidien
Vous n'avez pas à chambouler votre pratique. Concrètement, une gestion documentaire soucieuse de la conformité tient à quelques habitudes :
- Chiffrez les fichiers sensibles, idéalement avant qu'ils quittent votre appareil, pour qu'aucun tiers, y compris votre fournisseur de logiciels, ne puisse les lire.
- Contrôlez l'accès avec l'expiration, la révocation et des limites sur qui peut ouvrir quoi.
- Sachez où résident vos données. Les garder au Canada, sous les lois canadiennes, n'est pas une exigence de la Loi 25, mais cela simplifie l'évaluation que la loi demande quand des renseignements quittent le Québec.
- Soyez en mesure de le démontrer, c'est-à-dire de prouver que vous avez utilisé des mesures appropriées, pas seulement de bonnes intentions.
Où Privatt entre en jeu
Privatt est de propriété canadienne, et le stockage hébergé par Privatt garde les fichiers sur des serveurs canadiens, sous les lois canadiennes; si vous connectez plutôt votre propre Google Drive ou OneDrive, la résidence des données suit votre fournisseur. Send et les modes de Coffre-fort où vous détenez les clés chiffrent sur votre appareil avant tout stockage ou envoi, et vous avez d'emblée des contrôles d'expiration et de révocation. Il ne vous rendra pas conforme à lui seul, parce qu'aucun outil ne le fait, mais c'est exactement le genre de mesure de sécurité appropriée que la loi réclame, et il élimine l'habitude la plus risquée qui subsiste dans la plupart des cabinets : envoyer des données clients par courriel ordinaire.
Cet article est de l'information générale, pas un avis juridique. Consultez un professionnel qualifié au sujet de vos obligations particulières.