Protection de la vie privée dès la conception : ce que cela signifie réellement pour une entreprise canadienne

Une équipe marketing que je connais a lancé une application de fidélisation de la clientèle. Beau produit, parcours d'inscription épuré. Trois semaines avant le lancement, quelqu'un au service juridique a posé une question simple : où va le champ d'anniversaire, et pourquoi le recueillons-nous ? La réponse était « le développeur l'a ajouté parce que le modèle l'avait ». Personne ne pouvait dire ce que l'entreprise en ferait, combien de temps il serait conservé, ni même si le texte de consentement le mentionnait. Alors une semaine avant le lancement, l'équipe réécrivait l'avis de confidentialité, redéfinissait le périmètre de la base de données et débattait d'un report.

Ce report était le résultat le moins coûteux. La version coûteuse est celle où personne ne pose la question, le champ est livré, et dix-huit mois plus tard il refait surface dans une divulgation d'atteinte.

C'est le problème que la protection de la vie privée dès la conception est censée résoudre. Le terme est lancé comme un autocollant qu'on colle sur un produit fini, alors laissez-moi être précis sur ce qu'il signifie et sur ce que le droit canadien exige désormais.

La protection de la vie privée dès la conception est une séquence, pas un slogan

L'idée est née en Ontario. Ann Cavoukian, alors commissaire à l'information et à la protection de la vie privée de la province, a formalisé les sept principes fondateurs dans les années 1990 et 2000. Ils se sont répandus à l'international et ont fini par atterrir dans le RGPD sous le nom de « protection des données dès la conception et par défaut ». Au Canada, ce n'est pas tant une loi autonome que vous pouvez citer que la bonne façon de lire la loi que vous devez déjà suivre.

Le cœur est presque gênant de simplicité. Les décisions de confidentialité sont moins coûteuses, plus propres et plus défendables lorsque vous les prenez *avant* de construire. Vous décidez quelles données vous avez réellement besoin avant d'écrire le schéma. Vous décidez de la conservation avant d'activer la journalisation. Vous décidez qui peut voir quoi avant de câbler le panneau d'administration.

Les sept principes de Cavoukian vous donnent un vocabulaire utile, mais si vous n'en retenez que trois, retenez ceux-ci : soyez proactif, pas réactif; faites de la confidentialité le réglage par défaut; et protégez les données de bout en bout sur tout leur cycle de vie. Le reste n'est que des développements.

Ce que ce n'est *pas* : une politique de confidentialité, une bannière de témoins, ou la chose que votre avocat greffe au dernier sprint. Ce sont des produits livrables. La protection de la vie privée dès la conception est la discipline qui détermine si ces livrables sont honnêtes.

Ce que le droit canadien exige réellement

Les fondateurs trébuchent ici. Ils présument que la protection de la vie privée dès la conception est un baratin de bonnes pratiques sans mordant au Canada. C'était presque vrai il y a quelques années. Ça ne l'est plus.

En vertu de la LPRPDE, la loi fédérale du secteur privé appliquée par le Commissariat à la protection de la vie privée du Canada (le CPVP), les obligations contraignantes sont les dix principes d'équité du traitement de l'information de l'annexe 1. La responsabilité vient en premier pour une raison. Le principe 4.4 limite la collecte à ce qui est nécessaire aux fins identifiées. Le principe 4.5 limite l'utilisation et la conservation. Vous ne pouvez pas honnêtement satisfaire à la « limitation de la collecte à ce qui est nécessaire » une fois le système construit et alors que vous concevez à rebours une justification pour ce champ d'anniversaire. Une bonne architecture force la réponse d'entrée de jeu.

Le Québec a entièrement changé le calcul. La Loi 25, qui a modernisé le régime de protection de la vie privée du secteur privé de la province et qui est supervisée par la Commission d'accès à l'information (la CAI), a inscrit la protection de la vie privée dès la conception directement dans la loi. Depuis le 22 septembre 2023, toute entreprise qui offre un produit ou un service technologique recueillant des renseignements personnels doit s'assurer que ses paramètres assurent le plus haut niveau de confidentialité par défaut, sans aucune action de l'utilisateur. C'est la confidentialité par défaut, nommée dans la loi. La CAI peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé, et poursuivre des amendes pénales atteignant 25 millions de dollars ou 4 %. Ce ne sont pas des chiffres symboliques.

Construisez selon la règle par défaut du Québec et vous êtes presque certainement conforme partout ailleurs au Canada. Construisez selon le minimum fédéral et vous devrez réingénier pour le Québec.

La Loi 25 comporte aussi une obligation d'évaluation des facteurs relatifs à la vie privée. Les organisations doivent en réaliser une avant d'acquérir, de développer ou de refondre un système d'information qui implique des renseignements personnels, et avant de transférer des renseignements personnels hors du Québec. Ce dernier déclencheur attrape beaucoup d'entreprises qui tournent sur des fournisseurs infonuagiques américains.

Les règles sectorielles s'empilent par-dessus. Les renseignements sur la santé en Ontario relèvent de la LPRPS, appliquée par le Commissaire à l'information et à la protection de la vie privée de l'Ontario (le CIPVP). Les courriels et les textos commerciaux relèvent de la LCAP, appliquée par le CRTC, avec le Bureau de la concurrence et le CPVP partageant des pouvoirs connexes, et des sanctions qui se sont chiffrées en millions. Faites circuler de l'argent et vous répondez probablement aussi à CANAFE. Aucun de ces régimes ne récompense une confidentialité greffée après coup.

Une brève note sur l'horizon : le projet de loi C-27, qui aurait remplacé la LPRPDE par la Loi sur la protection de la vie privée des consommateurs et introduit la Loi sur l'intelligence artificielle et les données, est mort au feuilleton lorsque le Parlement a été prorogé. Planifiez autour de la loi en vigueur aujourd'hui, et non du projet de loi qui n'a pas été adopté.

À quoi cela ressemble un mardi

La théorie est facile. L'écart entre « nous croyons à la protection de la vie privée dès la conception » et le faire réellement est là où vivent la plupart des entreprises, alors rendons cela concret. Une vraie mise en œuvre se manifeste par des habitudes, pas par des documents.

• Minimisation des données au niveau du schéma. Quand quelqu'un propose un nouveau champ, la réponse par défaut est non jusqu'à ce qu'une finalité soit énoncée. Le champ d'anniversaire n'est ajouté que parce que le programme de fidélisation envoie réellement une récompense d'anniversaire, et même là vous demandez si le mois et le jour suffisent sans l'année.
• Conservation intégrée au système. Les journaux expirent automatiquement. Les comptes inactifs sont purgés selon un calendrier. Vous ne gardez pas les choses « au cas où », car « au cas où » est exactement la donnée qui transforme une atteinte mineure en une atteinte déclarable selon le seuil de risque réel de préjudice grave de la LPRPDE.
• Accès délimité dès le premier jour. Un agent de soutien n'obtient pas la vue de l'administrateur de la facturation. Vous concevez les rôles avant de concevoir le tableau de bord.
• Une courte EFVP avant le projet, pas après. C'est l'habitude au plus fort levier. Faite tôt, une évaluation des facteurs relatifs à la vie privée est une conversation d'une page qui remodèle la construction. Faite tard, c'est un audit qui documente ce que vous auriez dû faire différemment.

Arrêtez-vous sur ce dernier point, car il est le cœur de la pratique. L'EFVP est l'endroit où la protection de la vie privée dès la conception cesse d'être un énoncé de valeur et devient un intrant d'ingénierie. Avant le début du projet, vous répondez à six questions : quels renseignements personnels cela touchera-t-il, pourquoi, où vivront-ils, qui peut y accéder, combien de temps les conservons-nous, et qu'arrive-t-il en cas de fuite. Vingt minutes de cela au lancement vous épargnent la course folle des trois semaines avant le lancement.

Pourquoi les plus petites entreprises l'évitent (et ne devraient pas)

La raison honnête pour laquelle la plupart des PME canadiennes ne le font pas, c'est que la version qu'elles ont vue est du théâtre d'entreprise. Une grande banque réalise une EFVP en quarante pages, trois comités de revue et un consultant à un demi-million de dollars. Une entreprise de dix personnes regarde cela et conclut que la protection de la vie privée dès la conception est pour les gens dotés d'un service de la confidentialité.

Mauvaise leçon. Les quarante pages sont fonction de la complexité de la banque, pas du principe. Une petite entreprise a besoin d'une version légère et reproductible : un ensemble structuré de questions que vous parcourez au début de tout projet touchant des données personnelles, produisant un court registre que vous pouvez remettre au CPVP ou à la CAI s'ils le demandent un jour. Le principe de responsabilité de la LPRPDE attend de vous que vous démontriez votre raisonnement. Une EFVP de deux pages le fait. Une intuition, non.

Les entreprises qui réussissent cela ne sont pas celles dotées des plus gros budgets juridiques. Ce sont celles qui ont intégré la question de la confidentialité à la façon dont elles lancent chaque projet, de sorte qu'elle ne coûte presque rien par projet et leur épargne la reconstruction à chaque fois.

Si vous voulez une façon structurée de mener cette évaluation en début de parcours sans embaucher de consultant, Valdra vous guide à travers une évaluation des facteurs relatifs à la vie privée conçue pour les entreprises canadiennes, pour que la question de la confidentialité soit répondue avant que le code ne soit écrit, et non après que l'avocat panique.