Entrazure
Ce que la Loi 25 exige réellement de votre architecture
La Loi 25 a modifié la loi québécoise sur la protection des renseignements personnels dans le secteur privé par étapes, du 22 septembre 2022 au 22 septembre 2024. Retirez les obligations de gouvernance et il reste une liste courte de choses que vos systèmes doivent savoir faire.
Savoir où sont les renseignements personnels. Pas approximativement. Quelle base de données, quel compte de stockage, quel extrait, quelle copie analytique, quelle sauvegarde, quel fournisseur. Toutes les autres obligations dépendent de celle-là, et pratiquement toutes les organisations surestiment leur inventaire.
Justifier toute communication hors Québec. L’article 17 n’interdit rien. Il impose une évaluation qui soupèse la sensibilité du renseignement, la finalité de son utilisation, les mesures de protection dont il bénéficierait, y compris contractuelles, et le régime juridique applicable dans l’État de destination. La résidence est une réponse possible. Une évaluation écrite en est une autre. Un fournisseur qui affirme que la loi force tout dans un centre de données québécois vend une contrainte que le texte n’impose pas.
Réaliser une ÉFVP quand elle est requise. Pour tout projet d’acquisition, de développement et de refonte d’un système d’information ou de prestation électronique de services impliquant des renseignements personnels, et pour toute communication hors Québec. Le document relève de la gouvernance ; ses intrants relèvent de l’architecture.
Produire, corriger et cesser d’utiliser sur demande. Y compris la désindexation et la cessation de la diffusion dans les cas prévus, et, depuis septembre 2024, la portabilité : les renseignements personnels recueillis auprès de la personne, dans un format technologique structuré et couramment utilisé.
Détruire ou anonymiser une fois la finalité accomplie. La distinction compte. Un renseignement dépersonnalisé demeure un renseignement personnel. Seule l’anonymisation, encadrée par le règlement en vigueur depuis 2024, permet la conservation au-delà des finalités, et elle exige des pratiques généralement reconnues, une analyse du risque de réidentification et un processus documenté.
Détecter et déclarer un incident de confidentialité. Avec diligence, à la Commission d’accès à l’information et aux personnes concernées lorsque l’incident présente un risque de préjudice sérieux, et tenir un registre des incidents de confidentialité conservé cinq ans.
Expliquer les décisions automatisées. Lorsqu’une décision est fondée exclusivement sur un traitement automatisé, la personne doit en être informée et pouvoir présenter ses observations. Cela suppose de savoir quels intrants et quelle version de modèle ont produit la décision.
Derrière tout cela, l’exposition est réelle : sanctions administratives pécuniaires jusqu’à 10 millions de dollars ou 2 pour cent du chiffre d’affaires mondial, amendes pénales jusqu’à 25 millions ou 4 pour cent, et recours privé avec dommages punitifs d’au moins 1 000 dollars par personne.
Ce que nous concevons et imposons dans Azure
Un inventaire tenu à jour, pas rédigé une fois. Microsoft Purview pour le catalogue et la classification, des étiquettes de sensibilité alignées sur les catégories que votre politique de confidentialité nomme réellement, et une étiquette de classification rendue obligatoire par Azure Policy, afin qu’une ressource non étiquetée contenant des renseignements personnels ne puisse pas être déployée.
La région devient une politique, et le compromis est écrit. Une assignation de régions autorisées au niveau du groupe d’administration, héritée par toute souscription future et impossible à contourner un vendredi soir. La décision de conception derrière est concrète : Canada East est la région physiquement située au Québec, avec un catalogue plus étroit et sans zones de disponibilité ; Canada Central, près de Toronto, offre le catalogue complet et la résilience zonale mais sort la donnée du Québec tout en la gardant au Canada. Nous écrivons ce choix avec sa conséquence sur la résilience, et il devient un intrant de votre évaluation au sens de l’article 17 plutôt qu’une découverte en cours d’audit.
Rétention et destruction conçues, pas improvisées. Règles de cycle de vie sur le stockage, rétention définie par catégorie de données, et un chemin de destruction exécuté au moins une fois en test. Les sauvegardes sont la partie difficile : une demande de destruction visant une sauvegarde immuable est un problème de conception, et il lui faut une réponse avant l’arrivée de la demande.
La portabilité comme point de terminaison, pas comme projet. Un chemin d’exportation qui produit un format structuré pour une personne donnée, testé, avec l’étape de vérification d’identité définie. La construire sous la pression d’un délai légal, c’est finir par exécuter une requête manuelle en base.
La détection, et un chemin de l’alerte au responsable. Microsoft Defender for Cloud pour la posture, des règles Microsoft Sentinel sur l’exportation massive, les accès anormaux et l’abus d’identifiants, et un chemin d’escalade écrit qui nomme qui évalue le risque de préjudice sérieux et qui avise la Commission. Le registre des incidents de confidentialité est construit comme un enregistrement durable, avec sa rétention de cinq ans configurée, pas comme un document partagé.
L’identité et l’accès, parce que la plupart des incidents commencent là. Microsoft Entra ID avec accès conditionnel et Privileged Identity Management, pour que l’accès administratif soit demandé et limité dans le temps plutôt que détenu, des revues d’accès planifiées, et des points de terminaison privés qui suppriment le chemin public vers les systèmes contenant des renseignements personnels. Le même socle est décrit sur la page landing zone Azure.
Des décisions automatisées explicables. Lorsqu’un modèle intervient dans une décision concernant une personne, les intrants, la version du modèle et la sortie sont journalisés : l’obligation d’information dispose alors d’une source de vérité.
La preuve que produit le pipeline
- Un inventaire courant des systèmes contenant des renseignements personnels, avec classification et propriétaire.
- L’état de conformité Azure Policy sur les régions autorisées, avec historique daté, qui prouve où la donnée a effectivement eu le droit d’atterrir.
- Les flux et la liste des destinataires qui alimentent chaque ÉFVP, fournisseurs et sous-traitants inclus.
- Les registres d’exécution des destructions et des anonymisations, avec l’analyse du risque de réidentification conservée.
- Les journaux d’exportation de portabilité : demande, vérification, délai de réponse.
- Les journaux d’accès aux dépôts de renseignements personnels et l’historique d’activation PIM.
- Les alertes de détection, leur tri, et les entrées du registre des incidents.
Ce que vous gardez
- L’inventaire des données et le schéma de classification qui le sous-tend.
- Le jeu de politiques en code, assignation de régions comprise, dans votre dépôt.
- Un dossier d’intrants d’ÉFVP : flux, catégories, destinataires, régions, rétention, mesures de protection, prêt à remettre à qui rédige l’évaluation.
- La décision de résidence écrite, avec le compromis de résilience qu’elle emporte.
- Des procédures testées de destruction, d’anonymisation et de portabilité, avec leurs runbooks.
- Les règles de détection, le chemin d’escalade et le registre des incidents.
Pour qui
Les organisations québécoises qui ont lu la Loi 25 attentivement et constaté qu’elle décrit leur architecture plutôt que leur politique de confidentialité. Les entreprises dont les clients québécois ou les donneurs d’ordre publics leur transmettent ces obligations par contrat. Toute organisation sur le point de bâtir ou de refondre un système contenant des renseignements personnels, ce qui déclenche l’ÉFVP au moment où l’architecture est encore peu coûteuse à changer.
Pour qui ce n’est pas
Nous n’agissons pas comme votre responsable de la protection des renseignements personnels. C’est une fonction imputable à l’interne, exercée par défaut par la personne ayant la plus haute autorité et déléguable uniquement par écrit. Nous ne rédigeons pas votre politique de confidentialité, nous ne signons pas votre ÉFVP, et nous ne sommes pas avocats. Nous concevons et construisons l’architecture que ces documents décrivent, et nous fournissons les faits sur lesquels ils reposent. Si votre besoin se limite à un avis de confidentialité sur le site, un cabinet juridique est un meilleur premier appel que nous.
Aller plus loin
- Architecture de conformité, la mission qui livre ce travail.
- RGPD et HDS, l’équivalent européen de la question du transfert.
- SOC 2 sur Azure, qui partage le socle d’accès et de journalisation.
- Landing zone Azure, où la politique de région s’applique.
- Conformité, le pilier.
Questions fréquentes
La Loi 25 oblige-t-elle à garder les données au Québec ?
Non, et c’est le malentendu le plus coûteux du marché. L’article 17 impose une évaluation avant toute communication de renseignements personnels à l’extérieur du Québec : sensibilité, finalité, mesures de protection y compris contractuelles, et régime juridique applicable là où la donnée s’en va. La résidence est une façon d’y répondre. Une évaluation écrite et défendable en est une autre.
Quelle région Azure choisir ?
Canada East est la région physiquement située au Québec, avec un catalogue de services plus étroit et sans zones de disponibilité. Canada Central, près de Toronto, offre le catalogue complet et la résilience zonale, mais place la donnée hors Québec tout en la gardant au Canada. Beaucoup de conceptions gardent le primaire dans Canada East et documentent le reste. Choisir sans écrire ce compromis, c’est créer le problème.
Qui doit être responsable de la protection des renseignements personnels ?
Par défaut, la personne ayant la plus haute autorité au sein de l’organisation, qui peut déléguer la fonction par écrit. Le titre et les coordonnées doivent être publiés. Nous n’occupons pas cette fonction et ne pouvons pas l’occuper : c’est un rôle imputable à l’interne, pas un service à externaliser.
Qu’est-ce qu’une ÉFVP et devons-nous en faire une ?
Une évaluation des facteurs relatifs à la vie privée. Elle est exigée pour tout projet d’acquisition, de développement et de refonte d’un système d’information ou de prestation électronique de services impliquant des renseignements personnels, et pour toute communication hors Québec. Nous fournissons les faits d’architecture dont elle dépend : catégories, flux, destinataires, régions, rétention, mesures de protection.
Dépersonnalisé ou anonymisé, quelle différence ?
Elle est décisive. Un renseignement dépersonnalisé ne permet plus d’identifier directement la personne, mais demeure un renseignement personnel. Un renseignement anonymisé ne permet plus, de façon irréversible, d’identifier la personne, et c’est la seule voie qui permet la conservation après la fin des finalités. Le règlement de 2024 exige un processus documenté et une analyse du risque de réidentification.
Quelle est l’exposition réelle si nous ne faisons rien ?
Des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 pour cent du chiffre d’affaires mondial, des amendes pénales jusqu’à 25 millions ou 4 pour cent, et un recours privé assorti de dommages punitifs d’au moins 1 000 dollars par personne. La Commission publie ses décisions, ce qui constitue une exposition en soi.
Une question sur ce mandat ?
Trois champs. Un architecte le lit et répond en un jour ouvrable.