Section 6 : Protection des informations sensibles
Dans cette section, vous apprendrez à :
Protection des informations sensibles
Votre association à but non lucratif collecte et utilise des informations pour mettre en œuvre ses programmes, accompagner ses bénéficiaires, gérer ses bénévoles et entretenir ses relations avec ses donateurs. Protéger ces informations implique de prendre des décisions réfléchies tout au long de leur cycle de vie : quelles données collecter, où les conserver, comment les utiliser et les partager, et quand les supprimer.
Les mesures de sécurité relatives aux comptes et aux appareils évoquées précédemment permettent d'empêcher tout accès non autorisé. Cette section porte sur la manière dont les utilisateurs gèrent les informations dans le cadre de leur travail quotidien, notamment pour éviter toute perte ou divulgation accidentelle.
Remarque concernant les exigences canadiennes en matière de protection de la vie privée
La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) Il s'agit de la loi fédérale canadienne relative à la protection de la vie privée dans le secteur privé. Elle s'applique généralement aux données à caractère personnel traitées dans le cadre d'activités commerciales. De nombreuses activités courantes des associations à but non lucratif, telles que la perception des cotisations et la collecte de fonds, ne relèvent pas de son champ d'application. Toutefois, le statut d'association à but non lucratif n'exempte pas automatiquement une organisation : certaines activités commerciales peuvent faire en sorte que le traitement des données relève de la LPRPDE.
Que la LPRPDE s'applique ou non, ses principes constituent un cadre utile : expliquer pourquoi les informations sont collectées, ne collecter que ce qui est nécessaire, limiter leur utilisation et leur partage, les protéger de manière appropriée et ne les conserver que le temps nécessaire. L'application de ces principes contribue à protéger les personnes que votre association à but non lucratif sert et à renforcer leur confiance en votre organisation. Des lois provinciales ou sectorielles en matière de protection de la vie privée, ainsi que des obligations contractuelles, peuvent également s'appliquer ; ces pratiques doivent donc venir en complément, et non se substituer, à la vérification des exigences spécifiques à votre organisation.
Identifier les sujets sensibles
Informations sur les clients et les participants
Coordonnées, historique des prestations, informations médicales ou circonstances susceptibles d'avoir une incidence sur la sécurité d'une personne
Informations sur les donateurs et les aspects financiers
Historique des dons, coordonnées bancaires, relevés de paiement et documents financiers
Informations concernant le personnel et les bénévoles
Dossiers de candidature, dossiers de sélection, fiches de paie et contacts en cas d'urgence
Photographies et communications
Images, messages ou listes de diffusion qui révèlent l'identité, la localisation ou l'affiliation d'une personne à un service
Informations confidentielles relatives à l'organisation
Contrats, plans internes, consignes d'accès et documents qui vous sont confiés par des partenaires
Ne prenez que ce dont vous avez besoin
Chaque information que vous collectez devient un élément qu'il faut gérer et protéger.
Avant d'ajouter une question à un formulaire, posez-vous la question suivante :
Par exemple, pour s'inscrire à un événement, il peut suffire de fournir une adresse e-mail pour recevoir des informations, sans qu'il soit nécessaire d'indiquer une adresse postale ou sa date de naissance complète.
Le Commissariat à la protection de la vie privée du Canada recommande d'évaluer la finalité et la nécessité de la collecte de renseignements personnels avant de procéder à celle-ci.
Expliquez comment les informations seront utilisées et respectez les exigences en matière de consentement ou d'autres autorisations applicables à votre organisation. Les informations fournies dans un but précis ne doivent pas être automatiquement mises à disposition pour des utilisations sans rapport avec celui-ci.
Choisissez des lieux agréés pour conserver vos informations
Définir où doivent être classés les différents types d'informations afin que le personnel et les bénévoles puissent retrouver et protéger les documents de travail.
Un emplacement agréé peut être un service cloud d'entreprise, une base de données de programmes à accès restreint ou un classeur sécurisé. Son adéquation dépend des informations concernées, des mesures de protection disponibles et de la manière dont l'accès est géré.
Évitez les situations dans lesquelles des documents importants ne se trouvent que dans la boîte de réception personnelle d'un employé, sur son ordinateur portable ou dans une application de messagerie informelle.
Le stockage dans le cloud n'est pas automatiquement privé. Vérifiez qui peut accéder aux fichiers, comment fonctionne le partage et qui gère le compte.
N'oubliez pas non plus les documents papier. Les listes imprimées, les formulaires d'inscription et les comptes-rendus de réunion doivent être conservés et éliminés de manière appropriée.
Limiter les copies inutiles
Des copies peuvent s'accumuler dans les fichiers téléchargés, les pièces jointes aux e-mails, les feuilles de calcul et les documents imprimés. Elles peuvent rester accessibles même après la mise à jour ou la suppression du document d'origine.
Avant de faire une copie, demandez si quelqu'un pourrait plutôt travailler à partir de la source approuvée. Si une copie temporaire s'avère nécessaire, déterminez où elle pourra être conservée et quand elle devra être retirée.
Un bénévole qui doit contacter dix participants n'aura peut-être pas besoin d'une copie téléchargée de l'intégralité de la base de données des participants.
Partager de manière réfléchie
Avant d'envoyer des informations ou d'accorder un accès, vérifiez qui en a besoin, de quoi il s'agit et comment les transmettre.
Envoyer une pièce jointe
Ouvrez le fichier et vérifiez son contenu, puis vérifiez la liste des destinataires avant de l'envoyer.
Envoyer un e-mail à un groupe
Utilisez un outil d'envoi de courriers électronique certifié ou la fonction « Cci » (copie cachée) pour que les destinataires ne puissent pas voir les adresses des autres. Vérifiez attentivement les champs des destinataires.
Partager un lien vers un document
Limitez l'accès aux destinataires visés et choisissez les autorisations de consultation ou de modification adaptées à la tâche.
Rédaction d'un rapport destiné à un bailleur de fonds
Fournissez les informations requises ; utilisez des totaux ou des résumés lorsque les données individuelles ne sont pas nécessaires.
Travailler avec un partenaire
Vérifiez l'objet, l'autorisation, les informations requises et les modalités de traitement convenues.
Publier une photo ou le témoignage d'un client
Vérifiez que l'autorisation nécessaire a bien été accordée et réfléchissez à ce que ce contenu révèle sur la personne.
Un lien à accès restreint peut vous offrir davantage de contrôle qu’une pièce jointe, mais il nécessite tout de même des autorisations adaptées. Évitez de donner un accès de type “ toute personne disposant du lien ” aux informations sensibles.
Pour les divulgations particulièrement sensibles, prévoyez un deuxième contrôle. Il pourrait s'agir d'une autre personne habilitée chargée de vérifier la liste des destinataires et le contenu avant la diffusion.
Intégrer les informations saisies dans les outils d'IA
Le fait de coller du texte dans un chatbot IA, de télécharger une feuille de calcul ou d'activer un outil de synthèse de réunion peut entraîner la divulgation d'informations à un autre service.
Avant d'utiliser un outil de gestion de l'information au sein de votre organisation, assurez-vous que :
Un abonnement payant ou un paramètre limitant l'entraînement du modèle ne suffit pas, à lui seul, à garantir que chaque utilisation soit appropriée.
Utilisez des exemples fictifs ou supprimez les détails permettant d'identifier une personne lorsque cela est possible. La simple suppression des noms peut s'avérer insuffisante : la combinaison du lieu, des circonstances et d'autres détails pourrait tout de même permettre d'identifier quelqu'un.
Les autorités canadiennes chargées de la protection de la vie privée recommandent d'utiliser, dans la mesure du possible, des informations anonymisées ou dépersonnalisées, et de ne saisir des informations personnelles ou confidentielles qu'avec autorisation.
Déterminez la durée de conservation des informations
Conserver toutes les données indéfiniment engendre une charge de travail inutile et expose l'entreprise à des risques. Supprimer des informations trop tôt peut également nuire au bon fonctionnement des services ou à l'exécution des obligations.
Mettez en place un calendrier de conservation simple :
Exemple : dossiers d'admission des clients
Exemple : pour fournir des services et suivre la participation des clients.
Exemple : conserver ces données tant que le client bénéficie des services, puis pendant la durée prévue par la loi.
Exemple : coordinateur de programme
Vérifiez les exigences légales, contractuelles, financières et opérationnelles applicables avant de fixer les délais de conservation. Conservez les documents faisant l'objet d'une enquête ou pour lesquels une autre obligation de conservation s'applique.
Prévoyez des copies temporaires dans votre organisation. Renseignez-vous auprès des prestataires sur le fonctionnement de la suppression, notamment sur le sort réservé aux sauvegardes conservées. La section suivante abordera plus en détail la planification des sauvegardes.
Éliminer les informations de manière appropriée
La suppression d'un fichier visible n'entraîne pas nécessairement la suppression des copies, des droits d'accès partagés ou des informations récupérables sur un appareil.
Utilisez des méthodes d'élimination adaptées au type d'informations et à leur mode de stockage :
Attribuer les responsabilités afin que l'élimination soit menée à bien et consignée, le cas échéant.
Signalez les erreurs sans tarder
Si quelqu'un envoie un fichier erroné, divulgue une liste de diffusion, égare des documents papier ou rend un dossier accessible à tous, il doit le signaler sans tarder, même s'il n'est pas certain que quelqu'un l'ait vu.
Suivez la procédure d'intervention mise en place par l'organisation pour restreindre l'accès ou demander une suppression définitive, le cas échéant. Consignez les faits plutôt que de partir du principe que le fait de rappeler un e-mail ou de supprimer un lien a permis de remédier à la fuite d'informations.
La section 9 abordera la gestion des incidents et expliquera comment évaluer les besoins en matière de notification.
Une proposition de règle de politique générale
Les informations doivent être collectées dans un but précis, conservées dans des emplacements agréés et accessibles uniquement aux personnes autorisées qui en ont besoin. Leur partage doit s'effectuer selon des méthodes approuvées et ne porter que sur les informations nécessaires. Les informations personnelles ou confidentielles ne peuvent être saisies dans des outils d'IA que dans le cadre d'utilisations autorisées. Leur conservation et leur destruction doivent respecter le calendrier de l'organisation, et toute perte ou divulgation éventuelle doit être signalée sans délai.
Avant d'adopter cette règle, identifiez les lieux autorisés, les modalités de partage, les utilisations de l'IA, les modalités de conservation des données et la personne à contacter pour tout signalement.
Suivre une seule source d'informations
Choisissez un document que vous connaissez bien, comme un formulaire d'admission, une demande d'engagement bénévole ou une liste de donateurs. Suivez son parcours, de sa collecte à son élimination.
Ce qu'il faut retenir
À la fin de cette section, vous devriez être en mesure de :
- Informations identifiées dont le traitement doit faire l'objet de restrictions.
- Il a été convenu de l'emplacement de ces informations et des modalités de leur partage.
- Définition des attentes concernant les copies et les outils d'IA.
- A chargé le suivi de la conservation et de l'élimination.
Vous allez ensuite vous intéresser aux sauvegardes et à la restauration, qui permettent de récupérer des informations importantes en cas de perte, de détérioration ou d'indisponibilité.
Section 7 : Sauvegarde et exercices de restauration
Les sauvegardes permettent à votre association de récupérer des informations importantes en cas de perte de données, de panne d'appareil ou de cyberattaques, en garantissant la disponibilité de copies récupérables et en désignant une personne chargée de leur restauration.
English 
French 
Chinese 
Spanish 
Ukrainian 