Minimisation des données : la mesure la moins coûteuse que personne n'utilise sous la LPRPDE et la Loi 25

Une boutique de commerce électronique de Vancouver à qui j'ai parlé l'an dernier a subi une atteinte. Rien d'exotique. Une vieille base de données marketing, posée sur un serveur que quelqu'un avait oublié, s'est fait moissonner par un robot de bourrage d'identifiants pendant une longue fin de semaine. La partie douloureuse n'était pas l'attaque. C'était ce que les attaquants ont emporté : noms complets, adresses, dates de naissance et historiques de paiement partiels pour environ 40 000 personnes, dont la plupart n'avaient rien acheté depuis 2019.

La boutique n'avait besoin de rien de tout cela. Les dates de naissance avaient été recueillies pour une fonction de « rabais d'anniversaire » abandonnée deux ans plus tôt. Les historiques d'achat complets étaient conservés parce que personne n'avait jamais décidé de les supprimer. Chaque enregistrement de cette base de données était une responsabilité que l'entreprise portait gratuitement, jusqu'au moment où elle est devenue très, très coûteuse.

Voilà la chose avec les données personnelles. Elles ressemblent à un actif à l'entrée. Elles se comportent comme une matière dangereuse une fois que vous les détenez.

Le contrôle qui ne coûte rien et qu'on saute quand même

La plupart des dépenses de confidentialité au pays vont à la protection des données : chiffrement, contrôle des accès, surveillance, assurance contre les atteintes, le consultant occasionnel à six chiffres. Tout cela compte. Mais cela défend un périmètre autour d'un tas qui, dans la plupart des organisations, est deux ou trois fois plus gros qu'il n'a besoin de l'être.

La minimisation des données est le seul contrôle qui rétrécit le tas lui-même. Vous ne pouvez pas perdre, divulguer ou être poursuivi pour des données que vous n'avez jamais recueillies. Elles ne peuvent pas être assignées à comparaître, moissonnées ou vendues dans une faillite. Elles n'ont aucune surface d'attaque. Et contrairement à presque toute autre mesure de sécurité, leur déploiement ne coûte pas d'argent. Cela coûte de la discipline, qui est certes plus difficile à acheter.

Ce n'est pas une idée marginale. C'est inscrit dans la loi à laquelle vous êtes déjà assujetti.

Ce que la LPRPDE exige réellement

En vertu de la Loi fédérale sur la protection des renseignements personnels et les documents électroniques, le principe pertinent est la limitation de la collecte (principe 4.4 de l'annexe 1). Le libellé est clair : la collecte de renseignements personnels « doit se limiter à ce qui est nécessaire aux fins déterminées par l'organisation », et l'information « doit être recueillie par des moyens honnêtes et licites ».

Nécessaire. Pas utile. Pas « pourrait servir ». Nécessaire à une fin que vous avez réellement déterminée et que vous pouvez défendre.

Il y a un principe compagnon dont la plupart des gens oublient l'existence. Le principe 4.5, limitation de l'utilisation, de la communication et de la conservation, dit que les renseignements personnels « ne doivent être conservés qu'aussi longtemps que nécessaire pour la réalisation de ces fins ». Le principe 4.5.3 va plus loin : l'information qui n'est plus requise pour réaliser sa finalité « devrait être détruite, effacée ou rendue anonyme ». La conservation est la jumelle discrète de la collecte. Les données que vous avez légitimement rassemblées en 2019 deviennent une détention injustifiée en 2026 une fois la finalité expirée et que vous ne les avez jamais jetées.

Le Commissariat à la protection de la vie privée est constant là-dessus dans ses conclusions d'enquête depuis des années. Quand le CPVP examine une atteinte ou une plainte, l'une des premières questions est de savoir si l'organisation était même autorisée à détenir les données. La surcollecte transforme un incident de sécurité en un échec de conformité empilé par-dessus. Vous n'avez pas qu'une atteinte. Vous avez une atteinte de données que vous ne pouviez justifier de conserver, ce qui est un problème distinct avec ses propres conséquences.

Le Québec est allé plus loin, et a ajouté des dents

Si la LPRPDE pousse doucement, la Loi 25 du Québec bouscule. Le régime modernisé de protection de la vie privée du secteur privé de la province, appliqué par la Commission d'accès à l'information (CAI), est entré en vigueur par étapes en septembre 2023 et 2024, et il traite la minimisation comme un état par défaut plutôt que comme une suggestion polie.

Deux éléments comptent ici.

Premièrement, la collecte doit se limiter à ce qui est nécessaire à la finalité sérieuse et légitime que vous avez définie, et cette nécessité doit être démontrable. La CAI ne s'intéresse pas à vos aspirations pour de futures fonctions de produit.

Deuxièmement, et c'est celle qui attrape les gens, la Loi 25 a introduit la confidentialité par défaut pour tout produit ou service technologique qui recueille des renseignements personnels. Les réglages de plus haute confidentialité doivent être activés dès la sortie de la boîte, sans que l'utilisateur ne lève le petit doigt. Si votre formulaire d'inscription précoche « partager mes données avec des partenaires », vous êtes en porte-à-faux. Toute l'orientation de la loi va dans une direction : recueillir moins, par défaut, à moins que quelqu'un n'adhère affirmativement à plus.

Les sanctions ne sont pas théoriques. Les sanctions administratives pécuniaires en vertu de la Loi 25 atteignent 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé. Les amendes pénales grimpent à 25 millions de dollars ou 4 % du chiffre d'affaires mondial, et peuvent être doublées en cas de récidive. Pour une entreprise québécoise, ou toute entreprise servant des résidents du Québec, « nous l'avons recueilli au cas où » est désormais un poste budgétaire avec une étiquette de prix attachée.

Recueillir des données personnelles dont vous n'avez pas besoin n'est pas de l'ambition. C'est entreposer le risque de quelqu'un d'autre dans votre propre bilan, sans rémunération.

« Mais on pourrait en vouloir plus tard » n'est pas une finalité

J'entends cela constamment, et je comprends l'instinct. Les analystes de données adorent les ensembles de données riches. Les équipes marketing veulent chaque champ qu'elles peuvent obtenir. Les ingénieurs construisent des schémas flexibles avec de la place pour grandir. L'avenir semble plein d'occasions pour lesquelles vous regretterez de ne pas avoir de données.

Voici le recadrage qui tend à porter : chaque champ facultatif de votre formulaire d'admission est un rapport d'incident futur que vous avez prérédigé. Le numéro de téléphone que vous recueillez « pour le soutien » mais que vous ne composez jamais est une obligation de notification qui attend de se produire. En vertu de la déclaration obligatoire des atteintes de la Loi 25 et de celle de la LPRPDE, le volume et la sensibilité de ce que vous déteniez déterminent ce que vous devez aux personnes touchées et à l'organisme de réglementation quand quelque chose tourne mal.

Quelques gestes concrets que je pousserais toute petite ou moyenne entreprise canadienne à poser :

• Auditez vos formulaires. Parcourez chaque formulaire d'inscription, de paiement et de contact et demandez, champ par champ, quelle finalité précise le justifie. Si personne ne peut en nommer une, supprimez le champ. Une après-midi, une réduction permanente de la responsabilité.
• Fixez des périodes de conservation et appliquez-les réellement. « Indéfiniment » n'est pas une période de conservation. Choisissez un nombre lié à la finalité : billets de soutien, un an ou deux; prospects marketing qui n'ont jamais converti, plus court. Puis automatisez la suppression, parce que le nettoyage manuel n'arrive jamais.
• Empêchez les champs de texte libre d'avaler des données sensibles. Une boîte « notes » ouverte sur une fiche client est l'endroit où vont se cacher les renseignements sur la santé, le statut d'immigration et d'autres données de catégorie particulière. Vous les avez recueillis sans le vouloir, et maintenant vous les détenez sans protection.
• Séparez le « bon à savoir » du « nécessaire pour fonctionner ». Si un champ n'alimente que l'analytique, demandez si des données agrégées ou anonymisées feraient le même travail. Souvent, oui, et des données correctement anonymisées échappent largement à ces lois.

La minimisation des données commence par voir ce que vous détenez

Voici le piège qui fait trébucher presque tous ceux qui deviennent rigoureux là-dessus : vous ne pouvez pas réduire des données dont vous ignorez l'existence. La boutique de Vancouver n'a pas gardé cette base de données d'anniversaires exprès. Elle en a perdu la trace. Les champs que personne ne peut justifier sont presque toujours les champs dont personne ne se souvient d'avoir recueillis.

La majeure partie de la surcollecte n'est pas une décision. C'est une accumulation. Un champ ajouté ici, une intégration là, un export de feuille de calcul devenu une copie fantôme permanente, un outil tiers journalisant discrètement plus que quiconque ne lit. La vraie minimisation commence par un inventaire honnête des renseignements personnels qui vivent réellement dans vos systèmes, où ils se trouvent, et quelle finalité, le cas échéant, les justifie encore. Tout ce qui suit est de la suppression.

Cet inventaire est réellement difficile à faire à la main, ce qui est exactement la raison pour laquelle si peu d'entreprises le font, et pourquoi le contrôle le moins coûteux du recueil demeure le moins utilisé. Si vous voulez trouver les données que vous avez oublié de détenir avant qu'un attaquant ne le fasse, Valdra cartographie les renseignements personnels qui se cachent dans vos systèmes.