La protection des données personnelles, une préoccupation quotidienne

À l’occasion de la Journée mondiale de la protection des données, l’ATN s’est entretenue avec Virginie Ambrosino et Haythem Kouki, conseillère et conseiller en sécurité de l’information à la Direction des technologies de l’information de l’Université Laval, pour discuter de la sécurité des données en contexte professionnel et de la nouvelle loi n°64. 

La Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (loi 64) a été adoptée le 21 septembre 2021. Elle a pour but de réformer les obligations en matière de protection des renseignements personnels, autant pour les organismes publics que les entreprises du secteur privé. Elle impose notamment plus de contraintes sur la prise en charge et la gestion des incidents affectant la confidentialité de ceux-ci. Selon Haythem Kouki, cette loi correspond aux bonnes pratiques en matière de protection des renseignements personnels qui s’appliquent déjà en Europe depuis l’adoption du Règlement général sur la protection des données par l’Union européenne.  

Revenons à la Journée mondiale de la protection des données, qui a pour but de faire reconnaitre la valeur de celles-ci. Les renseignements personnels ont bien sûr une valeur monétaire, mais leur valeur s’applique aussi à d’autres sphères.  « L’aspect monétaire n’est qu’une partie de la valeur des renseignements personnels, a affirmé Virginie Ambrosino, c’est pourquoi la protection de la vie privée est quelque chose qu’il faut préserver pour nos clients ». Ils ont une valeur en lien avec la réputation et la dignité humaine, par exemple. 

Le Commissariat à la protection de la vie privée du Canada a d’ailleurs mené une consultation sur la réputation en ligne en 2016. Il a depuis publié un projet de position à ce sujet, qui vise la recherche d’un équilibre entre la liberté d’expression et la protection de la vie privée. Un des enjeux soulevés par cette consultation concerne le jugement que peuvent porter des gens face aux renseignements qu’ils consultent à propos d’autres personnes, qui ne sont pas nécessairement mis dans leur contexte. 

Selon les deux conseillers en sécurité de l’information, lorsque l’on travaille avec des données personnelles, il est nécessaire de se questionner systématiquement et d’évaluer l’impact de la perte de ces informations sur l’organisation et les personnes. Virginie Ambrosino ajoute : « Il faut se demander quels sont les pires scénarios qui pourraient arriver, car ils ne sont pas impossibles ». 

Un autre point important soulevé par Haythem Kouki concerne la nécessité de la formation continue : « Il est nécessaire d’élever la maturité des employés qui travaillent avec des renseignements personnels à propos de la protection de ceux-ci ». Il remarque que certaines personnes ont tendance à minimiser ce qu’est un renseignement personnel, c’est pourquoi une formule de formation en milieu professionnel est nécessaire.

Virginie Ambrosino a contribué en tant qu’experte de contenu à la formation Protection des renseignements personnels : de la collecte à la destruction, offerte par l’ATN. Cette formation a pour but de faire prendre conscience des responsabilités liées aux renseignements personnels et souligne les risques inhérents à leur mauvaise gestion à chaque étape de leur cycle de vie. Développée avant l’adoption de la loi n°64, cette formation se veut une introduction aux enjeux qui sont soulevés par celle-ci. 

La Semaine de la protection des données est soulignée durant la dernière semaine du mois de janvier et culmine cette année le 28 janvier avec la Journée mondiale de la protection des données. Cette initiative européenne commémore la signature du premier traité international portant sur la protection des renseignements personnels et des données en 1981. Selon le Commissariat à la protection de la vie privée du Canada, cette semaine thématique permet de mettre l’accent sur l’impact des technologies sur notre droit à la vie privée, de rappeler l’importance de la protection des données personnelles et de reconnaitre la valeur de ces données.