Protection des données personnelles · · Par Stratechno
La Loi 25 exige-t-elle de faire de la sensibilisation en cybersécurité ou en PRP ?
Oui, mais pas de la même manière selon votre secteur : explicite pour les organismes publics (art. 63.3), elle découle des mesures de sécurité raisonnables pour les entreprises privées (art. 10).
Réponse courte
Oui, mais pas de la même manière selon votre secteur. Dans le secteur public, la Loi 25 est explicite : l’article 63.3 oblige l’organisme à inclure, dans ses règles de gouvernance en matière de protection des renseignements personnels (PRP), une description des activités de formation et de sensibilisation offertes à son personnel. Dans le secteur privé, la sensibilisation n’est pas nommée : elle découle de l’obligation de prendre des mesures de sécurité raisonnables pour protéger les renseignements personnels (article 10).
Autrement dit : une organisation privée peut ne pas avoir de « programme de sensibilisation » au sens formel, mais elle doit être capable de démontrer que son personnel sait protéger les renseignements qu’il manipule. Dans les faits, c’est la même exigence, avec un degré de formalisation différent.
Le tableau qui répond en 30 secondes
Texte applicable
Secteur public : Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (A-2.1). Secteur privé : Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1).
La sensibilisation est-elle nommée ?
Secteur public : oui, à l’article 63.3. Secteur privé : non.
Ce qui est exigé
Secteur public : des règles de gouvernance publiées qui décrivent les activités de formation et de sensibilisation offertes au personnel. Secteur privé : des mesures de sécurité raisonnables (art. 10) et des politiques de gouvernance (art. 3.2).
Où ça se voit
Secteur public : dans la politique ou les règles de gouvernance, accessibles sur le site Web. Secteur privé : dans les mesures réellement mises en œuvre et documentées.
Preuve attendue
Secteur public : la description figure dans la règle de gouvernance. Secteur privé : la capacité de démontrer l’adéquation et l’exécution des mesures.
Risque si absent
Secteur public : règle de gouvernance incomplète. Secteur privé : mesures jugées insuffisantes, surtout après un incident.
Ce que la Loi 25 a réellement changé
La Loi 25 n’a pas créé une nouvelle loi : elle a réformé les deux régimes existants - celui des organismes publics (A-2.1) et celui des entreprises (P-39.1) - avec une entrée en vigueur échelonnée entre 2021 et 2024. Les obligations de gouvernance les plus structurantes (personne responsable, politiques et pratiques, règles de gouvernance des organismes publics) s’appliquent depuis le 22 septembre 2023.
La conséquence pratique est simple : la sensibilisation n’est plus un sujet RH périphérique. Elle est devenue un objet de gouvernance - quelque chose que l’on documente, que l’on suit et que l’on peut montrer.
Secteur public : une obligation explicite (article 63.3)
L’article 63.3 de la Loi sur l’accès est sans ambiguïté. Il prévoit que les règles de gouvernance « […] doivent notamment prévoir les rôles et les responsabilités des membres de son personnel tout au long du cycle de vie de ces renseignements ainsi qu’un processus de traitement des plaintes relatives à la protection de ceux-ci. Elles incluent une description des activités de formation et de sensibilisation que l’organisme offre à son personnel en matière de protection des renseignements personnels. »
Deux précisions changent la lecture :
C’est la règle de gouvernance qui doit le contenir
Pas un plan RH interne, pas une note de service : la politique, la directive ou le guide publié sur le site Web de l’organisme.
Les règles doivent être approuvées et publiées
Elles sont approuvées par le comité sur l’accès à l’information et la protection des renseignements personnels, puis publiées.
Secteur privé : pas explicite, mais difficile à éviter (article 10)
Dans le secteur privé, aucun article de la Loi 25 n’écrit le mot « sensibilisation ». L’obligation est pourtant difficile à contourner, parce qu’elle découle de l’article 10 : « Toute personne qui exploite une entreprise doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits et qui sont raisonnables compte tenu, notamment, de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support. »
La loi ne dit pas quelles mesures prendre : elle fixe un standard de raisonnabilité et laisse à l’entreprise le soin de le démontrer. C’est précisément là que la sensibilisation entre en jeu.
Une seule mention expresse - et elle est révélatrice. Le mot « formation » apparaît une fois dans la Loi sur le privé, à l’article 3.4 (4°) : lors d’un projet d’acquisition, de développement ou de refonte d’un système d’information, le responsable de la protection des renseignements personnels peut notamment suggérer « la tenue d’activités de formation sur la protection des renseignements personnels pour les participants au projet ». Le mot « sensibilisation », lui, n’y figure nulle part. Le législateur traite donc la formation comme une mesure parmi d’autres, proposée au cas par cas - pas comme une obligation autonome.
Trois raisons rendent néanmoins l’argument difficile à écarter :
Le facteur humain est la première cause d’incident
Une politique de sécurité que personne n’applique n’est pas une mesure de sécurité ; c’est un document. La sensibilisation est ce qui transforme une règle écrite en comportement.
L’article 3.2 exige des rôles et responsabilités
Les politiques et pratiques de gouvernance doivent prévoir les rôles et responsabilités du personnel. Des rôles que le personnel ne connaît pas ne sont pas réellement attribués.
La CAI cite la sensibilisation parmi les mesures de sécurité
Son guide de prévention des incidents donne l’exemple d’une campagne de sensibilisation sur l’hameçonnage - et demande d’en mesurer l’effet pour déterminer si des améliorations sont requises.
Conclusion pour le secteur privé
La sensibilisation n’est pas une obligation nommée, mais une mesure raisonnable attendue pour toute organisation qui traite des renseignements personnels. Et comme toute mesure raisonnable, c’est la capacité à en démontrer l’existence et l’effet qui fait la différence - surtout après un incident, au moment où la question « qu’avez-vous mis en place ? » se pose.
Ce qu’un programme de sensibilisation doit traiter
Que vous soyez un organisme public ou une entreprise, un programme solide traite les mêmes six éléments.
Une politique qui nomme la sensibilisation
Dans le secteur public, la description exigée par l’article 63.3. Dans le secteur privé, la mesure prévue dans vos politiques et pratiques de gouvernance.
Une personne responsable identifiée
Responsable de la protection des renseignements personnels (art. 3.1) ou responsable désigné dans l’organisme public.
Un programme continu, pas un événement
Intégration à l’embauche, rappels courts et réguliers, simulations d’hameçonnage, contenus ciblés par rôle.
Des preuves mesurables
Taux de participation, taux de clic aux simulations, évolution dans le temps, dates et versions des contenus.
Une boucle d’amélioration
Les incidents, les signalements et les résultats des simulations nourrissent le contenu de l’année suivante.
Une revue annuelle documentée
Présentée à la direction ou au comité - c’est ce qui transforme une activité en gouvernance.
Les quatre erreurs qui coûtent cher
1. Une politique qui promet plus que le programme ne fait
Décrire des activités qui n’ont pas lieu est plus risqué que de n’en décrire aucune : l’écart est vérifiable en un coup d’œil.
2. La formation unique annuelle
Une session par année produit une conformité de façade. Les réflexes s’effacent, et les campagnes d’hameçonnage changent de forme plus vite que les calendriers de formation.
3. La sensibilisation sans trace
Sans registre de participation, sans rapport de simulation et sans version datée, il est impossible de démontrer que la mesure existe - donc impossible de démontrer qu’elle est raisonnable.
4. La sensibilisation réservée aux TI
Les renseignements personnels circulent surtout ailleurs : RH, finances, comptabilité, service à la clientèle, ventes. Ce sont ces équipes qui déclenchent le plus souvent un incident.
FAQ
La Loi 25 impose-t-elle un nombre d’heures de formation ?
Non. Ni la Loi 25 ni la CAI n’imposent un volume horaire. L’exigence est celle de mesures raisonnables et, dans le secteur public, d’une description des activités dans les règles de gouvernance. La fréquence et la durée doivent être proportionnées aux risques et aux renseignements traités.
Un OBNL ou une petite entreprise est-il visé ?
Un OBNL ou une PME qui exploite une entreprise est visé par le régime privé dès qu’il traite des renseignements personnels : il n’existe pas de seuil de taille. Le régime public vise plutôt les ministères, municipalités, écoles, établissements de santé et autres organismes publics. En cas de doute, faites qualifier votre statut.
Sensibilisation cybersécurité et formation PRP, est-ce la même chose ?
Non, mais elles se complètent. La formation PRP porte sur les règles et les droits prévus par la loi : consentement, accès, conservation, incidents. La sensibilisation cybersécurité porte sur les comportements qui protègent les données : hameçonnage, mots de passe, signalement. Un programme mature couvre les deux.
Que doit contenir la description dans une politique de gouvernance publique ?
Au minimum : les activités offertes, les personnes visées, la fréquence, les sujets couverts et le suivi de la participation. Une phrase générique ne suffit pas, car la règle doit permettre de comprendre ce que l’organisme fait réellement.
Comment démontrer qu’on a mis en place des mesures raisonnables (secteur privé) ?
Par des traces : politique datée et approuvée, registre de participation, rapports de simulation, incidents documentés et actions correctives. La démonstration compte autant que la mesure - une mesure non documentée est difficile à défendre.
Combien de temps faut-il pour mettre un programme en place ?
En s’appuyant sur des outils modernes, un programme de sensibilisation peut être déployé en quelques jours.
En résumé
Dans le secteur public, la réponse tient en un article : le 63.3 de la Loi sur l’accès. Si vos règles de gouvernance ne décrivent pas vos activités de sensibilisation, elles sont incomplètes - et c’est écrit noir sur blanc dans la loi.
Dans le secteur privé, la réponse tient à une question de preuve. La Loi 25 ne nomme pas la sensibilisation, mais elle exige des mesures de sécurité raisonnables, et la sensibilisation est la plus directe des mesures qui rendent les autres crédibles. Une entreprise qui ne peut pas démontrer que son personnel sait protéger les renseignements qu’il manipule s’expose à un jugement d’insuffisance - particulièrement après un incident.
Un programme de sensibilisation bien conçu ne sert donc pas seulement à « cocher une case ». Il produit la preuve que la gouvernance existe, et il réduit la probabilité de l’incident qui déclencherait l’examen.
Comment Stratechno peut vous aider
Notre service de sensibilisation à la cybersécurité
Stratechno conçoit et opère des programmes de sensibilisation à la cybersécurité pour les organisations québécoises, en français comme en anglais - simulations d’hameçonnage, formations courtes, test de connaissances sur vos propres domaines et rapport de maturité humaine. Consultez notre service pour voir comment cela s’articule avec vos obligations.
Sources
Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (A-2.1), article 63.3 - LégisQuébec
Texte officiel du régime public.
Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1), articles 3.1, 3.2 et 10 - LégisQuébec
Texte officiel du régime privé.
Règles encadrant la gouvernance des renseignements personnels - Gouvernement du Québec
Orientations gouvernementales pour les organismes publics.
Responsabilité des organismes publics et des entreprises - CAI
Pages de la Commission d’accès à l’information.
Prévenir les incidents de confidentialité - guide explicatif - CAI
Guide de la Commission d’accès à l’information.
Cet article présente une analyse générale et ne constitue pas un avis juridique. Les obligations applicables varient selon votre statut et vos activités.