Si vous exploitez un cabinet juridique au Québec, ou si vous avez des clients québécois, la Loi 25 s'applique à vous, en plus du devoir de confidentialité que vous portez déjà. Elle encadre la façon dont toute organisation qui traite des renseignements personnels doit les protéger, et elle a de vraies dents. Voici ce que cela signifie en pratique, sans le jargon juridique.
Ce que la Loi 25 vous demande
Au fond, la loi dit que si vous recueillez et conservez des renseignements personnels, vous êtes responsable de les protéger par des mesures de sécurité appropriées, d'être transparent sur la façon dont vous les traitez et de bien gérer les incidents de confidentialité quand quelque chose tourne mal.
Pour un cabinet, les obligations pertinentes se concentrent en quelques points concrets. Vous devez protéger les renseignements des clients par de véritables mesures de protection, et le chiffrement et les contrôles d'accès sont explicitement le genre de mesures que les régulateurs citent. Vous devez consigner et évaluer chaque incident de confidentialité, et aviser la Commission d'accès à l'information ainsi que les clients touchés lorsqu'un incident présente un risque de préjudice sérieux. Et vous devriez savoir où résident les données clients et quelles lois les régissent.
Pourquoi cela compte plus que les anciennes règles
Les sanctions ont changé la donne. Les sanctions administratives pécuniaires prévues par la Loi 25 peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le plus élevé des deux, et les sanctions pénales grimpent jusqu'à 25 millions de dollars ou 4 % pour les violations graves. Pour une pratique bâtie sur la confiance des clients, une fuite de dossiers privilégiés est aussi le genre d'événement réputationnel dont on se remet difficilement.
À quoi cela ressemble au quotidien
- Chiffrez les fichiers sensibles, idéalement avant qu'ils quittent votre appareil, pour qu'aucun tiers, y compris votre fournisseur de logiciels, ne puisse les lire.
- Contrôlez l'accès avec l'expiration, la révocation et des limites sur qui peut ouvrir quoi.
- Sachez où résident vos données. Les garder au Canada, sous les lois canadiennes, n'est pas une exigence de la Loi 25, mais cela simplifie l'évaluation que la loi demande quand des renseignements quittent le Québec.
- Soyez en mesure de le démontrer, c'est-à-dire de prouver que vous avez utilisé des mesures appropriées, pas seulement de bonnes intentions.
Où Privatt entre en jeu
Privatt est de propriété canadienne, et le stockage hébergé par Privatt garde les fichiers sur des serveurs canadiens, sous les lois canadiennes. Send et les modes de Coffre-fort où vous détenez les clés chiffrent sur votre appareil avant tout stockage ou envoi, et vous avez d'emblée des contrôles d'expiration et de révocation. Il ne vous rendra pas conforme à lui seul, parce qu'aucun outil ne le fait, mais c'est exactement le genre de mesure de sécurité appropriée que la loi réclame.
Cet article est de l'information générale, pas un avis juridique. Consultez un professionnel qualifié au sujet de vos obligations particulières.