Loi 25 : les registres qui manquent à la plupart des pratiques

Quand la Commission d'accès à l'information demande à une entreprise son registre des incidents, la réponse honnête dans bien des bureaux est un silence. Tout le monde se souvient des bandeaux de consentement. Moins de gens se souviennent que la Loi 25 a fait de la tenue de registres elle-même une obligation.

Le registre que vous devez pouvoir produire

Toute entreprise, quelle que soit sa taille, doit tenir un registre des incidents de confidentialité et en fournir une copie à la Commission sur demande. Les orientations de la Commission sont précises sur ce que contient une inscription :

• une description des renseignements personnels visés, ou la raison pour laquelle ils ne peuvent être identifiés ;
• les circonstances de l'incident, et sa date ou sa période, même approximative ;
• la date ou la période où l'entreprise en a pris connaissance ;
• le nombre de personnes concernées, même approximatif ;
• l'évaluation du risque de préjudice sérieux : sensibilité des renseignements, usages malveillants possibles, conséquences prévisibles, probabilité ;
• lorsque le risque était sérieux, les dates de notification à la Commission et aux personnes concernées ;
• les mesures prises pour réduire le risque.

Les inscriptions sont conservées au minimum cinq ans après que l'entreprise a pris connaissance de l'incident. Lorsqu'un incident présente un risque de préjudice sérieux, l'entreprise avise la Commission et les personnes concernées sans délai, au moyen du formulaire officiel de la Commission.

Les registres autour du registre

Le registre des incidents voyage rarement seul. La même réforme attend une personne désignée responsable de la protection des renseignements personnels, des politiques et pratiques de gouvernance publiées, et des évaluations des facteurs relatifs à la vie privée lors de l'acquisition ou de la refonte de systèmes touchant des renseignements personnels. Une pratique qui adopte des outils d'IA rencontre immédiatement la dernière : l'évaluation est l'endroit naturel pour écrire ce qu'un outil peut lire, où ses données se trouvent physiquement, et qui en vérifie la sortie.

Une disposition de plus compte pour l'IA en particulier. Lorsqu'une décision concernant une personne est fondée exclusivement sur un traitement automatisé, la personne doit en être informée. La façon la plus propre de ne jamais buter sur cette règle est la discipline qui vaut la peine d'être adoptée de toute manière : aucune décision ne quitte le bureau sans qu'un humain l'ait lue.

Une liste de vérification à passer cette semaine

• Nommer par écrit la personne responsable de la protection des renseignements personnels.
• Créer le registre des incidents aujourd'hui, même vide. Un registre vide, c'est de la conformité. Un registre absent, c'est de l'exposition.
• Lister les systèmes qui détiennent des renseignements personnels, et l'endroit où les données se trouvent physiquement.
• Rédiger la procédure en deux paragraphes : qui évalue un incident, qui appelle la Commission.
• Placer un point de contrôle humain sur toute sortie automatisée qui touche le dossier d'une personne.