Le projet de loi 64 du Québec est une loi adoptée en 2021 visant à moderniser la Loi sur le secteur privé de la province canadienne et à améliorer les normes de protection des données personnelles. Le projet de loi 64 a une portée similaire à celle du Règlement général sur la protection des données (RGPD) de l'Union européenne. L'une des dispositions clés du projet de loi est la loi 25, qui habilite l'autorité québécoise chargée de la protection des données, la Commission d'accès à l'information du Québec, à faire respecter certaines exigences, telles que la réalisation d'évaluations d'impact sur la vie privée avant de transférer des données personnelles à l'extérieur de la province. Les autorités canadiennes ont mis en œuvre les exigences de la loi 25 en matière de protection des données par étapes en septembre 2022 et 2023, et des mesures supplémentaires devraient entrer en vigueur en septembre 2024.
Cet article examine les principales exigences de la loi 25 relatives à la protection des données de tiers et recommande les meilleures pratiques pour répondre à ces exigences.
Résumé de la loi 25 du Québec
Adoptée initialement en 2021, la loi 25 du Québec comprend des exigences qui régissent la collecte, l'utilisation et la communication des renseignements personnels. La loi :
- S'applique à toute entité établie au Québec et/ou exerçant des activités au Québec qui recueille, utilise ou divulgue des renseignements personnels de personnes situées dans la province.
- Exige la réalisation d'évaluations obligatoires des facteurs relatifs à la vie privée (EFVP) pour le transfert de renseignements personnels à l'extérieur du Québec.
- Inclut des dispositions obligatoires dans tous les contrats d'externalisation (par exemple, tiers)
- Applique des sanctions allant de 10 millions de dollars canadiens ou 2 % du chiffre d'affaires mondial à 25 millions de dollars canadiens ou 4 % du chiffre d'affaires mondial en cas d'infraction.
Les organisations exerçant leurs activités au Québec devraient évaluer leurs pratiques en matière de protection des données de tiers, de la même manière que ce qui est exigé des entreprises opérant à Singapour ou dans l'Union européenne.
Loi 25 du Québec Exigences en matière de gestion des risques liés aux tiers
Le tableau ci-dessous résume certaines dispositions de la loi n° 25 relatives à la protection des données de tiers.
Remarque : les informations présentées dans ce tableau constituent un résumé des exigences de la loi 25 et ne doivent donc pas être considérées comme des conseils juridiques exhaustifs. Veuillez consulter le texte intégral de la loi et le conseiller juridique de votre organisation afin de déterminer la meilleure ligne de conduite pour votre entreprise.
| Sélectionnez QuébecLaw 25 Exigences | Meilleures pratiques en matière de gestion des risques liés aux tiers |
|---|---|
| À compter du 22 septembre 2022 | |
| En cas d'incident lié à la confidentialité des informations personnelles :
a. Prendre des mesures raisonnables pour réduire les risques de préjudice pour les personnes concernées et empêcher que des incidents similaires ne se reproduisent. b. Informer la Commission et la personne concernée si l'incident présente un risque de préjudice grave. c. Tenir un registre des incidents, dont une copie doit être fournie à la Commission sur demande. |
Répondre, rendre compte et atténuer l'impact de incidents liés à la protection des données chez des fournisseurs tiers en gérant de manière centralisée les fournisseurs, en évaluant les événements, en notant les risques identifiés, en établissant des corrélations avec la surveillance cybernétique continue et en accédant à des conseils de remédiation. Les principales fonctionnalités de votre programme de réponse aux incidents tiers doivent inclure :
* Questionnaires de gestion des événements et des incidents continuellement mis à jour et personnalisables |
| Mettez en place des pratiques qui vous permettront de réagir de manière appropriée et rapide en cas d'incident lié à la confidentialité des informations personnelles (par exemple, plan d'intervention en cas d'incident et directive à l'intention du personnel). | Envisagez de structurer les pratiques de réponse aux incidents autour d'un cadre commun de bonnes pratiques industrielles pour la gestion des incidents, tel que le guide SP 800-61 du National Institute of Standards and Technology (NIST) sur la gestion des incidents de sécurité informatique. |
| Faites l'inventaire des informations personnelles détenues par votre entreprise (ou par un tiers agissant en son nom) et évaluez leur sensibilité. | Commencez par créer une carte afin d'identifier les relations entre votre organisation et les tiers, quatrièmes ou n-ièmes parties, afin de visualiser les chemins d'information et de déterminer les données à risque. |
| À compter du 22 septembre 2023 | |
| Effectuer une évaluation des facteurs relatifs à la vie privée (EFVP) lorsque la loi l'exige, par exemple avant de divulguer des renseignements personnels à l'extérieur du Québec. | Mener une enquête interne Évaluation des facteurs relatifs à la vie privée (EFVP) Cibler les données et les processus opérationnels les plus sensibles en matière de confidentialité et présentant le risque le plus élevé. Utiliser l'évaluation d'impact sur la vie privée (PIA) pour évaluer l'origine, la nature et la gravité du risque potentiel et formuler des recommandations visant à atténuer les risques identifiés et à garantir le respect des réglementations en matière de confidentialité.
Ensuite, évaluez les contrôles de confidentialité des données des fournisseurs à l'aide d'une enquête spécifique à la loi 25. L'enquête doit être conçue de manière à identifier les risques et à les mettre en correspondance avec les contrôles afin d'obtenir une vision claire des points sensibles potentiels. |
| Détruisez les informations personnelles lorsque leur objectif de collecte est atteint ou anonymisez-les pour les utiliser à des fins sérieuses et légitimes, sous réserve des conditions et de la période de conservation prévues par la loi. | Automatiser procédures de départ réduire les risques liés à l'exposition post-contractuelle de votre organisation. Recherchez des solutions qui vous permettent :
* Planifiez des tâches pour examiner les contrats afin de vous assurer que toutes les obligations ont été respectées. |
| Étant donné que l'inventaire des renseignements personnels évolue, il est important de le tenir à jour afin de tenir compte des changements qui ont pu survenir au sein de votre entreprise (p. ex. nouvelle collecte de renseignements personnels pour un projet) et de vous assurer que vous planifiez vos actions de manière adéquate et que vous vous conformez à toutes vos obligations. | Surveillez en permanence les violations de données par des tiers. Identifiez les types et les quantités de données volées, les problèmes de conformité et de réglementation, et les notifications en temps réel des violations de données par les fournisseurs. |
| Évaluer la conformité du projet avec les lois sur la protection de la vie privée. | Respectez les réglementations en matière de confidentialité des adresses en cartographiant les risques et les réponses aux contrôles, en obtenant des notes de conformité en pourcentage et en générant des rapports spécifiques aux parties prenantes. |
| Mettre en œuvre des stratégies et des mesures pour éviter ces risques ou les réduire efficacement. | Automatisez l'identification des risques en fonction de seuils établis et renforcez les pratiques grâce à des workflows qui transmettent les risques identifiés aux parties prenantes concernées pour examen et traitement immédiats.
Recommander des mesures correctives spécifiques ou être prêt à accepter des contrôles compensatoires lorsque des lacunes sont identifiées dans les pratiques de confidentialité des données. |
Les organisations qui doivent se conformer à la loi 25 doivent s'assurer que les tiers qui traitent les informations personnelles des citoyens québécois ont mis en place des contrôles pour protéger ces données. Prevalent fournit une plateforme évolutive de gestion des risques liés aux tiers qui traite les risques liés à la protection des données. La plateforme Prevalent :
- Établit une base solide pour la protection des données tierces dans le cadre d'un programme complet de gestion des risques liés aux tiers (TPRM).
- Permet aux équipes d'élaborer et d'appliquer des dispositions relatives à la protection des données dans les contrats, et mesure en permanence le respect de ces dispositions tout au long du cycle de vie du fournisseur.
- Offre une visibilité sur l'emplacement des données, leur flux et les personnes qui y ont accès.
- Évalue et surveille en permanence les risques liés à la confidentialité des données tierces conformément aux normes courantes du secteur.
- Accélère l'identification des risques et la remédiation, atténue les coûts des violations et les atteintes à la réputation.
- Génère des rapports ciblés pour les régulateurs, les fournisseurs et les parties prenantes internes.
- Surveille en permanence les violations et accélère la réponse aux incidents afin d'atténuer le risque d'un incident de sécurité des données préjudiciable et coûteux.
Avec Prevalent, vos équipes chargées de la sécurité et de la confidentialité disposent d'une plateforme collaborative unique pour réaliser des évaluations de confidentialité et atténuer les risques liés à la confidentialité des données, tant externes qu'internes.
Téléchargez le guide de conformité à la confidentialité des données tierces pour en savoir plus sur la manière dont Prevalent peut vous aider à relever vos défis en matière de conformité à la confidentialité des données. Vous pouvez également planifier une démonstration pour discuter de la manière dont nous pouvons répondre à vos besoins spécifiques.
Note de l'éditeur : cet article a été publié à l'origine sur Prevalent.net. En octobre 2024, Mitratech a fait l'acquisition de la société Prevalent, spécialisée dans la gestion des risques liés aux tiers et basée sur l'IA. Le contenu a depuis été mis à jour pour inclure des informations alignées sur nos offres de produits, les changements réglementaires et la conformité.
