01
Le stock
Quoi
Les renseignements personnels que ton entreprise détient réellement : clients, employés, candidats, infolettre, formulaires. Y compris ceux que tout le monde a oubliés.
Et personne ne t'a dit par où commencer. Ce n'est probablement pas le gouvernement qui va te la faire découvrir. C'est un gros client qui exige ta politique de confidentialité avant de signer. Un assureur qui demande où sont stockées tes données. Un questionnaire de vingt pages, plein de mots que personne dans ton entreprise ne peut définir. Et là, tout bloque.
Ce que la loi te demande, en clair01
La Loi 25, c'est la loi québécoise sur la protection des renseignements personnels, et elle est pleinement en vigueur. Elle s'applique à toute entreprise qui détient des renseignements personnels, la tienne comprise, peu importe sa taille. Elle demande, entre autres, qu'un responsable soit désigné, que les incidents de confidentialité soient gérés et déclarés, que la collecte et le consentement soient encadrés, et que les renseignements soient détruits quand ils ne servent plus.
Tu as peut-être vu passer le chiffre de dix millions de dollars, ou de deux pour cent du chiffre d'affaires mondial. C'est vrai, c'est écrit dans la loi, et c'est calibré sur les multinationales : ton entreprise ne verra jamais ce montant-là. On te le brandit parce qu'un gros chiffre rond fait peur, et que la peur se vend bien. Le chiffre qui te concerne vraiment est plus bas, et bien plus sérieux. Pour une entreprise, l'amende pénale commence à 15 000 $. C'est le plancher, pas le plafond, et c'est déjà assez pour faire mal à une PME.
Autour de ça s'est bâtie une petite industrie de la peur : séminaires, trousses « clé en main », logiciels miracles. Mais voici ce que cette industrie ne te dit pas : tu ne peux protéger, encadrer ou détruire que ce que tu sais détenir. Et la plupart des PME ne le savent pas. Les courriels des clients dorment dans une vieille boîte, les CV reçus il y a huit ans traînent sur un poste, la base de données du site vit chez un hébergeur que personne n'a vérifié, et trois anciens prestataires ont encore des accès.
Tout le volet juridique de la loi repose sur une fondation technique : savoir quoi, où, et qui y touche. C'est cette fondation-là que je bâtis avec toi. Le reste, les politiques et les avis, se rédige cent fois mieux quand elle existe.
Ce que le Bilan met au jour
Les renseignements personnels que ton entreprise détient réellement : clients, employés, candidats, infolettre, formulaires. Y compris ceux que tout le monde a oubliés.
Où ils vivent, mesuré à la source : ton hébergeur, tes services en ligne, tes outils, les postes de travail. Pas ce que les pages de vente déclarent : ce que le réseau répond.
Qui y a accès aujourd'hui : les comptes actifs, les partagés, les anciens employés et prestataires jamais révoqués. C'est presque toujours là que ça fait mal.
Les fournisseurs qui touchent tes données : lesquels, pour quoi faire, et ce que leurs propres conditions disent de l'endroit où elles aboutissent.
Ce qui devrait être détruit et qui ne l'est pas : les sauvegardes éternelles, les exports qui traînent, les copies de copies.
Ce que tu serais capable de dire, techniquement, si un incident arrivait demain : ce qui a fui, quand, et qui est touché. Sans trace, pas de réponse.
Comment ça marche
Ce qui a déclenché la question : le client, l'assureur, le questionnaire. Envoie-le-moi tel quel si tu en as un.
Ce que tu détiens, où ça vit, qui y touche. Mesuré à la source, avec un accès nominatif que tu contrôles.
Les accès qui traînent, les copies inutiles, les données qui auraient dû mourir. Le risque baisse avant même le premier formulaire.
Un rapport en clair, utilisable par ton juriste, ton assureur ou ton client. Et la liste honnête de ce qui reste à faire, par qui.
Avant qu'on commence06
Si tu cherches un avis juridique, un sceau officiel ou une attestation de conformité à encadrer, je ne suis pas la bonne porte, et méfie-toi de quiconque prétend l'être sans être juriste. Si ton entreprise traite des données de santé ou des volumes massifs de renseignements sensibles, il te faut une équipe spécialisée, et je te le dirai dès le premier courriel.
Ce que je te promets, c'est la fondation : savoir enfin ce que tu détiens, où c'est, et qui y touche, avec des preuves plutôt que des impressions. C'est le morceau le moins vendeur de toute la démarche. C'est aussi celui sans lequel tout le reste est de la décoration.