Loi 25 : registre des incidents et avis à la CAI

Sous la Loi 25, vous devez consigner chaque incident de confidentialité dans un registre, et aviser la Commission d'accès à l'information ainsi que les personnes concernées lorsque l'incident présente un risque de préjudice sérieux. Ces deux devoirs s'appliquent aux enregistrements, aux messages vocaux et aux journaux d'appels comme à n'importe quelle base de données. La Commission publie ses orientations sur les incidents de confidentialité et les mesures de sécurité à l'intention des entreprises privées.

Le registre est la partie qu'on oublie. Il couvre tous les incidents, pas seulement ceux qui sont assez graves pour être déclarés, et il fait partie des obligations que la Loi 25 impose à une entreprise québécoise.

Un incident, c'est l'accès, l'utilisation ou la communication non autorisés de renseignements personnels, ou leur perte, y compris toute autre atteinte à leur protection. Pour un système téléphonique, la liste réaliste est plus banale qu'une fuite spectaculaire :

• une boîte vocale encore accessible à une personne qui a quitté l'entreprise
• un enregistrement envoyé à la mauvaise adresse
• un journal d'appels exporté puis laissé dans un espace partagé
• un softphone resté connecté sur un portable rendu
• un agent qui écoute des enregistrements qu'il n'avait aucune raison d'entendre

Ce dernier cas mérite qu'on s'y arrête. L'utilisation non autorisée constitue un incident même si rien n'est sorti de l'entreprise et qu'aucun attaquant n'est en cause.

Le registre s'applique toujours

Chaque incident y figure, quelle qu'en soit la gravité. Il consigne ce qui s'est produit, quand, quels renseignements étaient en cause, et ce que vous avez fait. C'est le document qu'un régulateur demande en premier, et il ne se reconstitue pas après coup.

L'avis s'applique conditionnellement

L'avis est dû lorsque l'incident présente un risque de préjudice sérieux. Ce jugement tient compte de la sensibilité des renseignements, de l'usage qui pourrait en être fait et de la probabilité du préjudice. Lorsque le risque existe, vous avisez la Commission et les personnes concernées, avec diligence, au moyen du formulaire de déclaration d'incident de la Commission (PDF).

Un enregistrement est particulièrement sensible ici. Il porte une voix, et souvent des renseignements que l'appelant a livrés sans y penser : un détail de santé, un montant, une adresse dite à voix haute pour rendre service.

• Savoir d'où les enregistrements peuvent être récupérés, y compris les exports faits il y a des mois
• Savoir qui a le droit de réécoute et pouvoir le restreindre rapidement
• Connaître votre conservation, car ce que vous ne détenez plus ne peut faire partie d'un incident
• Que le registre existe déjà. Le créer pendant un incident, c'est perdre des détails

La conservation mérite l'insistance. La réponse à incident la moins coûteuse consiste à ne pas détenir l'enregistrement du tout : une suppression planifiée réduit la surface de façon permanente, et c'est une décision de configuration, pas un projet.

Ringfully supprime les enregistrements selon un calendrier. Un administrateur fixe une durée de conservation par catégorie de données, et une organisation qui n'a rien fixé suit les valeurs par défaut de la plateforme : 30 jours pour les enregistrements, 90 pour les messages vocaux. Une tâche s'exécute chaque nuit et supprime ce qui a dépassé sa durée, de sorte que raccourcir une durée supprime de l'audio dès l'exécution suivante, sans archive derrière. Un enregistrement peut aussi être supprimé avant la fin de sa durée, sous une permission distincte plutôt que sous celle que tout le monde détient.

L'enregistrement est désactivé par défaut, la réécoute est soumise à une permission, et notre politique d'enregistrement énonce ce que le produit fait et ne fait pas. Ce que nous ne pouvons pas vous fournir, c'est un registre : celui-là vous appartient, parce que les incidents qu'il consigne sont les vôtres. Ce que nous détenons et ce que nous ne détenons pas est énuméré sur sécurité.

Description de ce que la loi demande ; ceci ne constitue pas un avis juridique. Déterminer si un incident présente un risque de préjudice sérieux est un jugement à porter avec un conseiller qualifié au Québec, et rapidement. À lire aussi : ce que la Loi 25 demande à un système téléphonique.