Communiquer des renseignements personnels hors du Québec
Le test ne vise pas seulement les États-Unis. Un hébergement en Ontario ou en Europe est déjà une communication hors du Québec.
Avant de communiquer des renseignements personnels à l'extérieur du Québec, l'entreprise fait une évaluation écrite. Elle peut communiquer seulement si cette évaluation montre que les renseignements bénéficieront d'une protection adéquate, notamment au regard de principes généralement reconnus. L'entente avec le destinataire tient compte du résultat, y compris des mesures qui réduisent les risques trouvés. Cette règle est en vigueur depuis le 22 septembre 2023.
Quand l'évaluation s'applique
Infonuagique hors du Québec
Une région AWS, Azure ou Google située aux États-Unis, en Ontario ou en Europe. Le fait que le fournisseur ait un bureau à Montréal ne change rien si les données sont traitées ailleurs.
Filiale ou équipe à l'extérieur
Une paie faite par le siège en Ontario, ou un soutien technique qui ouvre les dossiers depuis la France. La communication vers une autre société du groupe compte.
Sous-traitant du sous-traitant
Votre intégrateur est à Québec, mais son outil d'analyse est hébergé ailleurs. Demandez la chaîne. L'évaluation porte sur l'endroit où le renseignement aboutit.
Les quatre facteurs à écrire
L'évaluation reste dans le dossier. Elle n'est pas un paragraphe de la politique publique.
1. Sensibilité
Santé, finances, renseignements sur les employés, identifiants. Plus le renseignement est sensible, plus la protection attendue est élevée.
2. Fins d'utilisation
Hébergement seulement, ou aussi analyse, soutien, formation d'un modèle. Une fin plus large change le risque.
3. Mesures de protection
Chiffrement, contrôle d'accès, lieu des sauvegardes, engagement contractuel de ne pas utiliser les renseignements pour autre chose.
4. Régime juridique de l'État
Les règles qui s'appliquent là où le renseignement est reçu, y compris la possibilité pour une autorité d'y accéder. Un certificat du fournisseur ne remplace pas cette lecture.
L'entente écrite
Si l'évaluation conclut à une protection adéquate, l'entente reprend les mesures sur lesquelles vous vous appuyez. Elle limite l'usage aux fins prévues, prévoit l'avis en cas d'incident, et dit ce qui arrive aux renseignements à la fin du contrat. Si l'évaluation ne conclut pas à une protection adéquate, on ne compense pas par une phrase dans un bon de commande.
Le lien avec la politique
La politique de confidentialité indique que des renseignements peuvent être communiqués hors du Québec. Elle ne remplace pas l'évaluation. Gardez l'évaluation, sa date et la version de l'entente dans le dossier du traitement.
Une évaluation par traitement, pas un avis général
CapPRP conserve l'évaluation, l'entente et le lieu d'hébergement à côté du traitement concerné.