Gérer une demande d'accès au Canada sans paniquer

Une entreprise de logistique de Mississauga a reçu au printemps dernier un courriel qui commençait par « J'aimerais obtenir une copie de tous les renseignements personnels que vous détenez à mon sujet. » Aucun indice dans la ligne d'objet, aucun en-tête juridique, juste un ancien contractuel qui s'était disputé au sujet d'une facture impayée. Le gestionnaire de bureau l'a transféré à trois personnes, personne ne l'a revendiqué, et il est resté là pendant cinq semaines. Le temps que quelqu'un réalise qu'une horloge tournait, ils avaient déjà dépassé l'échéance et le demandeur avait déposé une plainte auprès du Commissariat à la protection de la vie privée du Canada.

C'est ainsi que la plupart des demandes d'accès dérapent au pays. Pas par malveillance ni par quelque grand échec de compétence, mais par un refus tranquille de reconnaître qu'un courriel d'apparence ordinaire est une obligation juridique avec une minuterie fixe rattachée.

Ce qui compte réellement comme une demande d'accès au Canada

Le terme « DSAR » (demande d'accès de la personne concernée) est emprunté au RGPD européen, et les Canadiens l'utilisent de façon imprécise. En vertu de notre loi, le droit a deux moitiés : le droit d'accéder aux renseignements personnels qu'une organisation détient à votre sujet, et le droit de rectification lorsque ces renseignements sont erronés ou incomplets. La LPRPDE les énonce au principe 9 (Accès aux renseignements personnels) de l'annexe 1. La Loi 25 du Québec, qui a refondu la loi provinciale sur la protection de la vie privée du secteur privé, accorde aux résidents les mêmes droits d'accès et de rectification plus quelques-uns plus tranchants, dont un droit à la portabilité des données entré en vigueur en septembre 2024.

Voici la partie que les gens ratent : une demande valable n'a pas besoin d'utiliser le mot « accès », de citer une loi ou d'arriver sur un formulaire. Si une personne demande ce que vous savez à son sujet et demande à le récupérer, vous avez reçu une demande. Le courriel ci-dessus était une demande d'accès. Tout comme l'est un message de clavardage du service à la clientèle qui dit « envoyez-moi tout ce que vous avez sur mon compte ». Traiter seulement celles d'apparence formelle comme réelles est la façon la plus courante de rater l'échéance.

Vous pouvez demander à la personne de préciser la portée, et vous devriez le faire lorsque la demande est véritablement vague. Ce que vous ne pouvez pas faire, c'est utiliser une question de clarification comme tactique dilatoire. Le CPVP a été explicite : l'horloge ne se réinitialise pas chaque fois que vous répondez par une question.

Les délais, et pourquoi ils ne sont pas les mêmes

Cela fait trébucher les entreprises qui exercent dans plusieurs provinces, alors soyez précis là-dessus.

En vertu de la LPRPDE, vous devez répondre à une demande d'accès dans les 30 jours suivant sa réception. Vous pouvez prolonger de 30 jours supplémentaires dans trois situations définies : lorsque respecter l'échéance initiale nuirait de façon déraisonnable à vos activités, lorsque vous avez besoin de temps pour des consultations nécessaires, ou lorsque la conversion des données dans un format de remplacement accessible prend un temps important. Si vous prenez la prolongation, vous devez aviser la personne par écrit dans les 30 jours initiaux, lui donner la nouvelle date et la raison, et l'informer qu'elle peut porter plainte au CPVP au sujet de la prolongation elle-même. Soixante jours est le plafond pratique.

En vertu de la Loi 25 du Québec, le délai de réponse est aussi de 30 jours (article 32 de la loi sur le secteur privé), et la Commission d'accès à l'information (CAI) l'applique. Le Québec ne vous accorde pas la même deuxième fenêtre auto-octroyée que la LPRPDE. Une prolongation en vertu de la Loi 25 exige que vous présentiez une demande à la CAI avant l'expiration de l'échéance initiale, ce qui est une barre plus haute que de simplement écrire au demandeur. Planifiez en fonction de la posture plus serrée, parce que la CAI a à la fois l'appétit et les pouvoirs de sanction que le CPVP n'a actuellement pas : des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, plus une voie pénale distincte atteignant 25 millions de dollars ou 4 % pour les violations les plus graves.

Pour les renseignements de santé, les poteaux des buts bougent encore. La LPRPS de l'Ontario, appliquée par le commissaire à l'information et à la protection de la vie privée (CIPVP) de la province, accorde aux dépositaires de renseignements sur la santé 30 jours pour répondre, prolongeable de 30 autres dans des circonstances précises. Ratez-le sans avis et vous êtes réputé avoir refusé la demande. Loi différente, organisme de réglementation différent, rythme similaire, mais vous ne pouvez pas supposer que les règles de la LPRPDE s'appliquent proprement aux dossiers de santé.

Une demande qui ne vous coûte rien à satisfaire ne devrait habituellement rien coûter au demandeur non plus. La LPRPDE ne permet qu'un recouvrement de coût minimal et exige que vous fournissiez une estimation à l'avance. En pratique, facturer aux personnes l'accès à leurs propres données est une mine réputationnelle, et la plupart des organisations ont cessé de le faire.

Un processus qui survit au contact d'une vraie demande

La panique est ce qui arrive en l'absence d'un processus. Bâtissez-le une fois et la prochaine demande devient de la paperasse plutôt qu'un exercice d'incendie.

Consignez-la dès qu'elle arrive. Horodatez chaque demande à un seul endroit le jour de son arrivée, pas le jour où quelqu'un s'y met. La date de réception démarre vos 30 jours, et vous voulez en avoir un registre défendable. Une boîte de réception partagée avec un responsable du tri vaut mieux qu'espérer que la bonne personne le remarque.

Vérifiez l'identité proportionnellement. Vous devez confirmer que le demandeur est bien celui qu'il prétend être, mais la vérification doit correspondre à la sensibilité des données. Exiger une copie notariée d'un passeport pour divulguer les préférences d'infolettre de quelqu'un est en soi un problème de protection de la vie privée, parce que vous venez de recueillir une pièce d'identité plus sensible que ce que les dossiers sous-jacents justifiaient. Faites correspondre la friction au risque.

Trouvez tout, y compris dans les endroits gênants. C'est ici que réside le vrai travail. Les renseignements personnels se cachent dans votre CRM, vos archives de courriel, vos systèmes de billets de soutien, les enregistrements d'appels, les plateformes marketing, les sauvegardes, et la feuille de calcul que quelqu'un garde sur son bureau. Une véritable réponse à une demande d'accès parcourt tout cela. Si vous avez une cartographie des données à jour, cette étape prend un après-midi. Sinon, c'est la demande qui vous force à en bâtir une.

Sachez ce que vous pouvez et devez retenir. L'accès n'est pas absolu. Vous devez refuser de divulguer les renseignements personnels concernant d'autres personnes identifiables lorsqu'ils ne peuvent être séparés, vous pouvez retenir les documents protégés par le secret professionnel de l'avocat, et il existe des exclusions pour les renseignements qui révéleraient des données commerciales confidentielles ou compromettraient une enquête. Lorsqu'une partie d'un dossier est exemptée, caviardez cette partie et divulguez le reste. Un refus global parce qu'un paragraphe est sensible ne tient pas.

Répondez sous une forme utilisable, et expliquez les refus. Donnez les renseignements dans un format que la personne peut réellement lire. Lorsque vous refusez une partie de la demande, vous devez lui dire pourquoi, indiquer la disposition sur laquelle vous vous appuyez, et l'informer de son droit de porter plainte à l'organisme de réglementation concerné.

Les demandes de rectification ont besoin de leur propre automatisme

L'accès attire l'attention; la rectification est l'endroit où les organisations échouent discrètement. Lorsqu'une personne vous dit qu'un dossier est erroné, soit vous le modifiez, soit, si vous n'êtes pas d'accord, vous notez le désaccord au dossier. En vertu de la LPRPDE, vous devez aussi signaler la correction à tout tiers ayant reçu les mauvaises données, lorsque cela importe. Le droit de rectification du Québec fonctionne de la même façon, et la CAI le prend au sérieux.

Le piège pratique est le cas « nous ne sommes pas d'accord ». Vous n'êtes pas tenu d'accepter chaque correction, mais vous êtes tenu de consigner que la personne a contesté les renseignements. Sauter cette annotation est une violation courante et évitable.

Ce que coûte réellement une seule demande ratée

L'entreprise de Mississauga a réglé sa plainte au CPVP en refondant son processus de réception, ce qui est la fin prévisible. Le coût plus profond a été le temps : des semaines de précipitation du personnel cadre, des heures d'avocat, et une conclusion au dossier. Rien de tout cela ne concernait les données elles-mêmes, qui se sont avérées être une poignée de factures et de courriels banals. Cela concernait l'absence d'un système.

Cette asymétrie est tout l'argument. Une demande d'accès au Canada est, en soi, banale. Mal gérée à grande échelle, à travers les délais de la LPRPDE, de la Loi 25 et de la LPRPS que vous suivez à la main, elle devient ce qui vous attire dans l'orbite d'un organisme de réglementation. La solution est ennuyeuse et efficace : consigner, vérifier, chercher, séparer, répondre, sur un calendrier auquel vous faites confiance.

Les petites et moyennes équipes ont rarement un responsable de la protection de la vie privée qui attend ces demandes. C'est exactement le cas où le logiciel gagne sa place, en démarrant l'horloge automatiquement, en acheminant la recherche, en suivant l'échéance par rapport à la bonne province, et en produisant un registre défendable de ce que vous avez fait et quand. Si vous préférez gérer la prochaine demande d'accès comme un flux de travail plutôt que comme une urgence, voyez comment Valdra gère les demandes d'accès et de rectification de bout en bout.