Conformité à la Loi 25 avec Microsoft 365
La loi québécoise sur la protection des renseignements personnels s'applique à toutes les entreprises, peu importe leur taille. Nous traduisons ses exigences de sécurité en contrôles Microsoft 365 que vous pouvez démontrer à la CAI.
Parlons de la Loi 25La loi est pleinement en vigueur. La CAI l'applique.
La Loi 25 a modernisé la loi québécoise sur la protection des renseignements personnels dans le secteur privé en trois étapes, et toutes ses obligations s'appliquent depuis le 22 septembre 2024. Elle vise les entreprises de toutes tailles. La Commission d'accès à l'information (CAI) peut imposer des sanctions administratives pécuniaires allant jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial, et les amendes pénales atteignent 25 millions de dollars ou 4 %.
Une bonne partie de la loi relève de la gouvernance : un responsable de la protection des renseignements personnels, des politiques, le consentement. Mais une grande part retombe sur la TI. Les renseignements personnels doivent être protégés par des mesures de sécurité proportionnées, les incidents doivent être consignés, et vous devez savoir où les données sont stockées. Dans la plupart des PME, ces données se trouvent dans Microsoft 365.
Nous associons les obligations de la Loi 25 à des contrôles Microsoft 365, les configurons et conservons les preuves qu'un dossier de la CAI demande. Nous sommes un fournisseur TI, pas un cabinet d'avocats. Pour l'interprétation juridique, travaillez avec votre avocat ou un professionnel de la vie privée : nous nous occupons du volet technique avec eux.
C'est pour vous si :
- Vous recueillez des renseignements personnels de clients, de patients ou d'employés
- Ces renseignements se trouvent dans Outlook, SharePoint, OneDrive ou Teams
- Vous avez un responsable de la protection sur papier, sans contrôles techniques derrière
- Vous n'avez pas de registre des incidents, ou il n'a jamais servi
- Votre assureur cyber ou un client vous a posé des questions sur la Loi 25
Les contrôles derrière vos obligations
Accès et identités
Authentification multifacteur, accès conditionnel et connexions héritées bloquées, pour que seules les bonnes personnes accèdent aux renseignements personnels.
Étiquettes et prévention des pertes de données
Étiquettes de confidentialité Purview et règles DLP qui avertissent avant qu'un renseignement personnel quitte l'entreprise, puis bloquent une fois le personnel habitué.
Journaux d'audit
Le journal d'audit unifié activé avant d'en avoir besoin, avec eDiscovery pour les demandes d'accès et de portabilité.
Réponse aux incidents
Alertes de Defender pour les entreprises, procédure de confinement et registre des incidents conservé cinq ans, comme l'exige la loi.
Résidence des données
Une carte documentée de l'emplacement des données de chaque service Microsoft 365, prête pour vos évaluations des facteurs relatifs à la vie privée.
Conservation et destruction
Des politiques de conservation qui gardent les renseignements personnels le temps nécessaire et les éliminent ensuite, au lieu de les garder pour toujours.
Quand quelque chose tourne mal
La Loi 25 exige d'aviser avec diligence la CAI et les personnes concernées lorsqu'un incident de confidentialité présente un risque de préjudice sérieux. Il n'y a pas de délai fixe de 72 heures : cette règle vient du RGPD européen. Chaque incident, sérieux ou non, doit être consigné dans un registre conservé cinq ans, et la CAI peut demander à le consulter en tout temps.
La compromission d'identifiants est l'incident que nous voyons le plus souvent. Notre procédure couvre les premières heures : isoler l'appareil dans Defender, bloquer la connexion et révoquer les sessions dans Entra ID, extraire le journal d'audit, puis évaluer le risque de préjudice. Pour nos clients en services gérés, le registre et la procédure sont tenus à jour pour eux.
- Aviser la CAI et les personnes concernées en cas de risque de préjudice sérieux
- Consigner chaque incident dans un registre conservé cinq ans
- Évaluer la sensibilité, les conséquences et la probabilité d'utilisation malveillante
- Garder les journaux d'audit actifs pour savoir ce qui a été consulté
Communications hors Québec et évaluations des facteurs relatifs à la vie privée
Avant que des renseignements personnels quittent le Québec, y compris vers une autre province, la Loi 25 exige une évaluation des facteurs relatifs à la vie privée (EFVP). Elle tient compte de la sensibilité des renseignements, de la finalité, des mesures de protection et du régime juridique applicable à destination, et la protection doit reposer sur une entente écrite.
Pour les environnements canadiens, les données Microsoft 365 sont répliquées entre Québec et Toronto : elles quittent donc déjà le Québec. Entra ID, Intune et Microsoft Forms stockent des données aux États-Unis. Nous documentons chaque service pour que votre évaluation reflète le fonctionnement réel de votre environnement.
Des écarts Loi 25 aux contrôles documentés
Analyse des écarts
Nous comparons votre environnement aux exigences de sécurité de la Loi 25 : accès, étiquettes, journalisation, conservation et gestion des incidents.
Correctifs prioritaires
L'authentification multifacteur, l'accès conditionnel et la journalisation passent en premier, parce que ce sont eux qui comptent le plus en cas d'incident.
Protection des données
Types d'informations sensibles, étiquettes et règles DLP sont déployés en mode avertissement, puis appliqués.
Preuves et suivi
Le registre, la procédure et les dossiers de configuration sont tenus à jour, prêts pour une demande de la CAI.
La Loi 25 exige aussi de publier sur votre site Web le nom, le titre et les coordonnées de votre responsable de la protection des renseignements personnels. Cela prend quelques minutes et s'oublie facilement.
Services connexes
Cybersécurité
La couche de sécurité qu'attend la Loi 25 : postes, courriel et surveillance.
En savoir plusSauvegarde Microsoft 365
Conservation et récupération des données que la Loi 25 protège.
En savoir plusTous les services Microsoft 365
Sécurité, appareils, sauvegarde et conformité sur une même base.
En savoir plusDécouvrez vos écarts face à la Loi 25
Expliquez-nous comment votre entreprise traite les renseignements personnels et nous vous montrerons quels contrôles Microsoft 365 manquent, avec un devis pour combler les écarts.
Questions fréquentes
La Loi 25 s'applique-t-elle aux petites entreprises ?
Oui. La Loi 25 s'applique à toute entreprise qui recueille des renseignements personnels au Québec, peu importe sa taille. Toutes ses obligations sont en vigueur depuis le 22 septembre 2024.
Y a-t-il un délai de 72 heures pour déclarer une fuite ?
Non. Le délai de 72 heures vient du RGPD européen. La Loi 25 exige d'aviser avec diligence la CAI et les personnes concernées lorsqu'un incident présente un risque de préjudice sérieux, et de consigner chaque incident dans un registre.
Quelles sont les sanctions prévues par la Loi 25 ?
La CAI peut imposer des sanctions administratives pécuniaires allant jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé. Les amendes pénales peuvent atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial, et doublent en cas de récidive.
Stocker des données dans Microsoft 365 est-il conforme à la Loi 25 ?
Ce peut l'être, avec les bons contrôles et la bonne documentation. Les données des environnements canadiens sont répliquées entre Québec et Toronto, et certains services stockent des données aux États-Unis : une évaluation des facteurs relatifs à la vie privée est donc requise. Des mesures comme l'authentification multifacteur, les étiquettes et les journaux d'audit doivent aussi être en place.
Quel forfait Microsoft 365 faut-il pour la Loi 25 ?
Business Premium couvre les contrôles essentiels : étiquettes de confidentialité, protection contre la perte de données, accès conditionnel et journalisation d'audit. Entreprise E5 ajoute la découverte électronique avancée et la gestion des risques internes, dont la plupart des PME n'ont pas besoin.
Qui devrait être notre responsable de la protection des renseignements personnels ?
Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise, comme le propriétaire ou le président. La fonction peut être déléguée par écrit, et le nom, le titre et les coordonnées du responsable doivent être publiés sur votre site Web. Nous soutenons le responsable avec les contrôles techniques, les registres et la gestion des incidents.