Ce que coûte vraiment la non-conformité

Beaucoup de propriétaires de petites et moyennes entreprises (PME) au Québec traitent la conformité comme un coût qu’ils peuvent reporter. La facture arrive souvent sous une autre forme : une sanction, une poursuite, un client qui ne signe pas, ou un incident que personne ne sait gérer. Cet article présente les coûts directs et indirects, puis la voie la moins coûteuse.

Les coûts directs

Les sanctions prévues par la Loi 25

La Loi 25 prévoit deux types de sanctions. Les sanctions administratives pécuniaires peuvent atteindre 10 millions $ ou 2 % du chiffre d’affaires mondial de l’exercice précédent, selon le montant le plus élevé. Les amendes pénales peuvent atteindre 25 millions $ ou 4 % du chiffre d’affaires mondial, selon le montant le plus élevé. Ces montants sont des plafonds. Par exemple, si votre chiffre d’affaires mondial de l’exercice précédent était de 2 millions $, 2 % représentent 40 000 $. Le montant le plus élevé est 10 millions $, donc ce montant est le plafond.

Un plafond est un maximum, et non une prévision. Le montant d’une affaire dépend de ses faits. Ces chiffres montrent donc l’ampleur du risque, et non ce qu’une entreprise précise devra payer.

Les dommages et les poursuites

Les personnes peuvent intenter une poursuite en dommages-intérêts en vertu de la Loi 25. Un tribunal peut ajouter des dommages punitifs en cas d’atteinte intentionnelle ou de faute lourde. Une poursuite prend aussi du temps à votre équipe.

La LPRPDE

La LPRPDE, la loi fédérale sur la protection des renseignements personnels dans le secteur privé, s’applique à l’activité commerciale partout au Canada, y compris dans les provinces sans loi essentiellement similaire. Une atteinte aux mesures de sécurité qui crée un risque réel de préjudice grave doit être signalée au Commissariat à la protection de la vie privée du Canada et aux personnes touchées. Chaque atteinte doit être consignée, et le registre doit être conservé pendant 24 mois.

Le RGPD

Si vous offrez des biens ou des services à des personnes dans l’Union européenne, ou si vous suivez leur comportement, le Règlement général sur la protection des données (RGPD) s’applique à vous. Ses amendes peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel.

Les coûts indirects

• Des ventes perdues. Des clients peuvent demander un rapport SOC 2, un rapport indépendant sur vos contrôles, ou une certification ISO/IEC 27001 avant de signer. Sans preuve, la vente peut s’arrêter.
• Une réponse lente à un incident. Sans registre ni responsable désigné, votre équipe passe les premières heures à décider qui agit et quoi consigner. La Loi 25 exige un avis rapide lorsqu’un incident présente un risque de préjudice sérieux.
• Une confiance érodée. Vos clients, votre personnel et vos partenaires demandent comment vous protégez leurs renseignements. Une réponse faible se répare difficilement. Une bonne réponse est plus facile à donner quand les preuves sont déjà au dossier.
• Votre temps. Chaque demande, incident ou question de client détourne des personnes de leur travail.
• Les assurances. Votre assureur peut poser des questions sur vos pratiques de sécurité au renouvellement d’une police.

À quoi peut ressembler un seul incident

Imaginez un ordinateur portable qui contient des dossiers de clients, volé dans une voiture. Le propriétaire appelle le fournisseur informatique. Les questions arrivent alors : le disque était-il chiffré ? Quels clients figurent dans le fichier ? Qui décide s’il faut aviser la Commission d’accès à l’information (CAI), et qui rédige le registre ? Dans une entreprise sans registre ni responsable désigné, ces questions reçoivent une réponse dans l’urgence, souvent de mémoire.

Avec les cinq bases en place, le même incident suit une voie connue. L’ordinateur va au registre des incidents. La personne responsable décide, dossier en main, si l’incident présente un risque de préjudice sérieux. Si c’est le cas, l’avis est transmis à la CAI et aux personnes concernées.

Rédigez le dossier le jour où vous apprenez l’incident, pendant que les faits sont frais. Un dossier rédigé des semaines plus tard est plus difficile à défendre.

Les cinq bases qui couvrent l’essentiel du risque

Vous n’avez pas besoin d’un grand programme pour commencer. Ces cinq bases couvrent l’essentiel du risque pour une petite entreprise :

1. Un responsable. Désignez le responsable de la protection des renseignements personnels. Par défaut, c’est l’autorité la plus élevée, et le rôle peut être délégué par écrit. Publiez son titre et ses coordonnées sur votre site Web.
2. Un inventaire des renseignements personnels. Listez ce que vous recueillez, pourquoi vous le conservez, où il se trouve et qui peut le consulter. Consignez cette liste dans votre registre des activités de traitement (ROPA).
3. Un registre des incidents. Consignez chaque incident de confidentialité, même petit. Évaluez s’il présente un risque de préjudice sérieux. Si c’est le cas, avisez la Commission d’accès à l’information (CAI) et les personnes concernées, rapidement.
4. Des ententes avec les fournisseurs. Signez une entente de traitement des données (DPA) avec chaque fournisseur qui traite des renseignements personnels pour vous. Gardez-les dans une seule liste, et vérifiez-les au renouvellement d’un contrat.
5. Une façon de répondre aux demandes. Convenez des étapes pour les demandes d’accès, de rectification et de portabilité avant l’arrivée de la première. Vous avez 30 jours pour répondre par écrit. Rédigez un modèle de réponse pour que l’équipe ne parte pas d’une page blanche.

Chaque base commence par une décision et une trace écrite. Vous pourrez améliorer chacune plus tard, à mesure que l’entreprise grandit.

Commencez par les deux premières. Le responsable désigné et le registre des incidents donnent au reste du travail un responsable et un lieu où tout consigner.

Erreurs courantes

• Attendre qu’un client demande une preuve avant de commencer.
• Rédiger une politique que personne ne suit.
• Publier une politique de confidentialité qui ne correspond pas à vos pratiques.
• Croire qu’un registre d’incidents vide prouve qu’il ne s’est rien passé.
• Acheter un outil avant de décider qui est responsable du processus.
• Répondre à la première demande d’accès sans étapes écrites.
• Traiter la conformité comme un projet qui a une date de fin.

Comment NextIT vous aide

NextIT regroupe ces bases dans une seule plateforme pour les petites et moyennes entreprises du Québec et du Canada. L’évaluation de conformité vous aide à voir où vous en êtes, et le Rapport de conformité est offert en PDF et en CSV. Le Registre des incidents de sécurité consigne chaque incident, et les Demandes de portabilité reçoivent les demandes par un lien public. Confidentialité et conformité regroupe vos évaluations des facteurs relatifs à la vie privée, le suivi des ententes et votre registre des activités de traitement. Commencez par le guide de l’évaluation de conformité, ou réservez une démonstration pour voir la plateforme avec les données de votre entreprise.