Nouvel espace évolutif visant à permettre à tous de mieux comprendre la nouvelle loi québécoise en matière de renseignements personnels

Le chien de garde du Québec en matière de protection des renseignements personnels, la Commission d’accès à l’information du Québec (la «CAI») lançait il y a quelques jours un portail visant à disséminer plus d’information quant aux suites du Projet de loi 64.

Comme on s’en souviendra, le Québec adoptait sa Loi modernisant des dispositions législatives en matière de protection des renseignements personnels plus tôt cet automne, laquelle représente une brisure substantielle avec la loi désuète de 1994, avec laquelle nous nous débrouillons de façon de moins en moins élégante depuis lors.

L’outil nommé «Espace évolutif – Projet de loi 64» vise en effet à démystifier la nouvelle mouture de la loi québécoise en matière de renseignements personnels. Pour ce faire, l’espace se décline en deux sections, à savoir une première section d’aperçu général de la nouvelle loi et une seconde visant à expliquer individuellement ses dispositions spécifiques, telles que regroupées par une trentaine de thèmes tels la biométrie, l’anonymisation des données, le droit à la désindexation, etc. La CAI affirme d’ailleurs qu’elle supplémentera graduellement le contenu de son espace en y ajoutant divers outils d’accompagnement et de sensibilisation.

Rappelons que la nouvelle mouture de la loi entrera progressivement en vigueur au cours des prochaines années, débutant le 22 septembre 2022 et s’échelonnant ensuite sur 2023 et 2024, avant d’être pleinement en vigueur. En attendant, il s’agit ici d’une bonne initiative afin de faciliter la compréhension du nouvel encadrement de la question au Québec, particulièrement pour les entreprises elles-mêmes, dont plusieurs peine à réaliser l’ampleur de ce qui est à se passer, au Québec, côté renseignements personnels. Cela ne peut pas faire de tord!

Le problème continu des rançongiciels: de pire en pire

J’assistais cette semaine à MAPLESEC, une conférence organisée par IT World Canada afin de parler de la cybersécurité au Canada, sur quelques jours. Super intéressant!

À ce sujet, on  apprenait cette semaine que dans la dernière année, la majorité des entreprises canadiennes qui ont été victimes d’une cyberattaque par l’entremise d’un rançongiciel («ransomware», en anglais) admettent avoir payé la rançon. Comme on peut l’imaginer aisément, cette tendance de payer les malfrats pour récupérer nos données et/ou empêcher leur dissémination s’avère très problématique. Si les victimes paient généralement, les cybercriminels sont incités par la loi du marché poursuivre leurs activités liés aux rançongiciels – c’est tout simplement trop tentant.

Un rapport récent de l’entreprise de cybersécurité Sophos révèle que près du tiers des sociétés interrogées auraient été victime d’une attaque de ce type au cours de la dernière année.

Avec des stats pareilles, pas étonnant qu’un expert en assurance entendu cette semaine à MAPLESEC nous disait que les assureurs sont actuellement en hémorragie à cause des coûts associés aux réclamations attribuables aux rançongiciels. Semble que le coût des primes d’assurance pour assurer ce genre de risque exploseront, afin de permettre aux assureurs de demeurer rentables. Le conseil de l’expert à ce sujet d’ailleurs, était de vous munir de la meilleur couverture d’assurance que vous pouvez vous payer, dès maintenant. N’attendez pas!

Pas très étonnant non-plus, dans un tel contexte, que certaines juridictions, dont les États-Unis, contemplent adopter des lois qui règlementerait le paiement des rançons liées à ce genre d’attaque. Le projet de loi américain déposé récemment (le Ransom Disclosure Act), par exemple, exigerait que les entreprises qui paient de telles rançons en divulguent les détails dans les 48 heures au Department of Homeland Security. On est pas à interdire carrément te tels paiements, mais c’est clair qu’on commence collectivement à y penser, incapable d’endiguer ce déferlement de cyberattaques du genre.

Pas de doute, ce problème continu de nous confronter collectivement avec la réalisation que la négligence collective par rapport à la cybersécurité nous a mené dans un cul-de-sac, dont il faudra maintenant essayer de s’extirper en améliorant considérablement comment on gère tous notre cybersécurité.

Le Québec adopte sa nouvelle loi quant à la protection des données personnelles

Eh bien, notre législateur provincial n’a effectivement pas tardé à adopté sa version révisée du Projet de loi 64, alors que la nouvelle loi en résultant était finalement adoptée la semaine dernière. La loi refondue visant à protéger les renseignements personnels au Québec est ainsi publiée en version finale. C’est donc maintenant fait, le Québec s’est mis à la page pour ce qui est de ses propres règles (dont sa Loi sur la protection des renseignements personnels dans le secteur privé) visant à renforcer la protection des données que manipulent les entreprises à l’intérieur de la province.

Comme le mentionnaient récemment les médias, le Législateur espère ainsi débarrasser le Québec de sa «culture de négligence» désinvolte par rapport aux pratiques d’entreprise en matière de renseignements personnels. Avec une loi datant de la préhistoire des données, le Québec faisait jusqu’ici figure de parent pauvre de la protection des données, la plupart des entreprises préférant ne pas entendre parler de ce sujet, fort de l’impression (réelle!) que la loi québécoise n’avait que très peu de chances de mener à de véritables sanctions, même si on finissait par se faire prendre les doigts dans le piège à souris.

La nouvelle loi comporte des dispositions modernisées inspirées du règlement européen (le fameux  Règlement général sur la protection des données, ou «RGPD»), assorties de réelles sanctions pour les entreprises jugées délinquantes. Avec des amendes éventuelles pouvait s’élevées à des millions de dollars, on croit que la loi québécoise a ce dont elle a besoin pour FINALEMENT attirer l’attention des dirigeants d’entreprises, incluant ceux de simples PME, jugeant souvent jusqu’ici ne pas réellement avoir à se préoccuper de ce genre de choses.

Eh oui, bien qu’on le sache depuis longtemps (en principe), toute organisation qui collecte, utilise, partage ou communique des données à caractère personnel de tiers DOIT se conformer aux règles en matière de protection des renseignements visés. La négligence (ou l’aveuglement volontaire) quant à ces règles pourra désormais coûter cher aux organisations délinquantes, bien que la Commission d’accès à l’information (la «CAI»), affirme qu’elle « prendra en compte la capacité de payer des entreprises » en faisant appliquer cette loi.

La loi vient notamment aussi réaffirmer clairement qu’un consentement explicite, libre et éclairé s’avère nécessaire AVANT toute utilisation de données personnelles, à l’instar de ce qui se fait par exemple en Europe.

Malgré son adoption formelle par le Québec, la majorité des dispositions de la nouvelle loi n’entreront réellement en vigueur (dont ses amendes éventuelles) que dans deux (2) ans, le 22 septembre 2023.

Par contre, un petit nombre de dispositions entreront, elles, en vigueur dès septembre 2022, dont les celles qui prévoient l’obligation pour les entreprises d’aviser les victimes (et la CAI) des incidents tels de piratage informatique et qui auraient exposés leurs données à des fuites. En vertu de la nouvelle loi, en effet, toutes les organisations ont l’obligation de déployer des mesures de sécurité appropriés afin de protéger le genre de renseignements personnels qu’elles détiennent quant à autrui.

D’ici là, la CAI et nos entreprises ont pas mal de devoirs à faire pour se préparer à cette nouvelle réalité.