Texte rédigé par Me Tarik-Alexandre Chbani, avec la collaboration de Mary-Ève Trudeau
Traduit de l’anglais par Thomas Laplante-Goulet, basée sur l’article From data breach to discipline: cyber incidents as a new regulatory risk | Lexpert
L’économie repose de plus en plus sur les mégadonnées. Les entreprises détiennent de grandes quantités d’informations confidentielles qui peuvent être exposées à des litiges ou à des atteintes à leur réputation en cas de cyberattaque. Imaginons, par exemple, une cyberattaque paralysant les serveurs d’une entreprise pendant 72 heures, ou encore une entreprise victime d’une fuite de données lorsqu’un un courriel d’hameçonnage est ouvert par un employé. Ces scénarios ne sont plus hypothétiques : ils se produisent régulièrement au Canada.
Toutes les organisations, même les mieux préparées, peuvent être vulnérables aux menaces extérieures.
Ce que les professionnels ne saisissent pas encore pleinement, c’est qu’un incident de sécurité informatique ne génère non seulement des coûts opérationnels ou des obligations de notification, mais peut également ouvrir la voie à des procédures disciplinaires. Ce changement, subtil mais bien réel, mérite un examen attentif.
Quand un incident devient une faute professionnelle
Les ordres professionnels n’ont pas attendu l’ère numérique afin d’exiger de leurs membres qu’ils protègent les informations confidentielles leur étant confiées. Cette obligation existait bien avant les rançongiciels. Ce qui a changé, c’est la nature des manquements en cause.
En pratique, les mesures de sécurités minimales exigées aujourd’hui comprennent : l’authentification à deux facteurs sur tous les systèmes contenant des données clients ; le chiffrement des données sensibles en transit et au repos ; la mise à jour régulière des logiciels et des systèmes d’exploitation ; ainsi que des formations périodiques du personnel sur les risques d’hameçonnage. Ces mesures ne sont plus considérées comme de simples bonnes pratiques facultatives ; elles deviennent la norme sur laquelle les manquements seront évalués.
Un incident cybernétique peut ainsi révéler, ou être le symptôme de, plusieurs défaillances potentielles :
- Violation de la confidentialité : Obligation fondamentale de tout professionnel réglementé en vertu de l’article 60.4 du Code des professions¹, qui établit le devoir du professionnel de préserver le secret de toute information confidentielle. La protection des informations des clients ou des patients peut être compromise par l’absence de pratiques de sécurité des données, bien avant toute attaque externe.
- Manque de compétence : Ignorer les pratiques minimales en matière de cybersécurité (authentification à deux facteurs, chiffrement des données, sauvegardes) pourrait être assimilé à une négligence professionnelle.
- Défaut de supervision : Un professionnel qui délègue la gestion de ses systèmes informatiques sans maintenir une surveillance adéquate peut être tenu responsable, même s’il n’est pas l’auteur direct de la violation.
La Loi 25² du Québec (modifications apportées à la Loi sur la protection des renseignements personnels dans le secteur privé) a considérablement renforcé les obligations en matière de gouvernance des données. Elle renforce la protection des renseignements personnels des citoyens en leur accordant un plus grand contrôle sur le traitement de leurs données et une meilleure compréhension des conséquences de leurs choix.
Les organisations sont également tenues de divulguer tout incident menaçant la confidentialité des renseignements personnels ou impliquant une cyberattaque à la Commission d’accès à l’information (CAI) pour le Québec, ou au Commissaire à l’information et à la protection de la vie privée de l’Ontario (CIPVP) pour l’Ontario. Elles doivent tenir un registre de tous les incidents liés à la protection de la vie privée, ce dernier devant être conservé pendant cinq ans à compter de la date à laquelle l’organisation a pris connaissance de l’incident.
La CAI dispose désormais d’un important pouvoir de sanction administrative. Elle peut imposer des pénalités substantielles aux organisations qui omettent de signaler un incident à la CAI ou aux personnes concernées. Ces organisations s’exposent à des sanctions pénales et à des amendes administratives pécuniaires sans précédent, pouvant atteindre 25 millions de dollars ou 4 % du chiffre d’affaires annuel³. Parallèlement, certains ordres professionnels ont commencé à intégrer des lignes directrices sur la gestion des technologies de l’information dans leurs règlements, politiques internes et recommandations.
Un régulateur enquêtant sur un incident cybernétique cherchera à déterminer; si les mesures de protection en place correspondaient aux normes minimales de la profession; si l’incident aurait pu être évité ou limité grâce à une diligence raisonnable; et si la réponse post-incident, notamment la communication aux personnes touchées, a été gérée avec transparence et sans délai.
L’affaire Desjardins : une référence en matière de menaces internes
La décision canadienne la plus instructive sur les défaillances de sécurité organisationnelle demeure les conclusions du Commissaire à la protection de la vie privée du Canada dans le Rapport de conclusions de la LPRPDE no 2020-005 (14 décembre 2020)⁴, découlant d’une violation de données à la Fédération des caisses Desjardins du Québec, qui a compromis les renseignements personnels de près de 9,7 millions de personnes entre 2017 et 2019.
La violation n’a pas été causée par une cyberattaque externe. Un employé malhonnête a exfiltré des données personnelles sensibles dont des noms, des dates de naissance, des numéros d’assurance sociale et des historiques de transactions pendant au moins 26 mois, au moyen de clés USB. Le Commissariat à la protection de la vie privée du Canada a conclu que Desjardins avait violé trois principes fondamentaux de la LPRPDE⁵ : le principe de responsabilité (Principe 4.1)⁶, le principe de limitation de l’utilisation, de la communication et de la conservation (Principe 4.5)⁷, et le principe de protection des renseignements personnels (Principe 4.7)⁸.
Ce qui rend cette décision particulièrement pertinente pour les professionnels réglementés, c’est la conclusion du Commissaire selon laquelle les défaillances n’étaient pas d’ordre technique, mais organisationnel. Desjardins disposait de politiques écrites exhaustives. Le problème, c’est que ces politiques n’avaient jamais été correctement mises en œuvre. Les employés transféraient des données personnelles confidentielles vers des répertoires partagés accessibles à l’ensemble de l’équipe marketing, en violation directe des normes internes. Aucun système de surveillance actif n’était en place pour détecter les comportements anormaux. Et près de 3,9 millions de dossiers inactifs, certains remontant à des décennies, demeuraient dans le système sans aucune procédure de destruction.
Le Commissaire a conclu qu’une organisation ne peut satisfaire à ses obligations en vertu de la LPRPDE en adoptant des politiques seules. Elle doit vérifier que ces politiques sont respectées, former les employés à leurs obligations, mettre en place des contrôles d’accès empêchant techniquement les mouvements de données non autorisés, et déployer des outils de surveillance active proportionnels à la sensibilité des données qu’elle détient.
Pour un professionnel réglementé, la leçon est directe : l’existence d’une politique de gouvernance de l’information n’est pas une défense. Ce qui importe, c’est de savoir si cette politique a été mise en œuvre, surveillée et appliquée. Un comité de discipline ou une autorité réglementaire enquêtant sur un incident cybernétique posera les mêmes questions que le Commissaire à Desjardins — non pas ce que les règles prescrivaient, mais ce qui a été fait.
Pour les professionnels : anticiper plutôt que réagir
La meilleure défense disciplinaire se construit avant qu’un incident ne survienne. Plusieurs mesures concrètes s’imposent :
- Documenter la gouvernance de l’information. Politiques de sécurité, journaux d’accès, registres de formation du personnel : la documentation constitue la première ligne de défense contre les allégations de négligence.
- Préparer un plan de réponse aux incidents. Savoir quoi faire, qui contacter et quoi communiquer dans les 24 premières heures suivant un incident peut faire une différence considérable, tant sur le plan opérationnel que disciplinaire.
- Consulter rapidement un avocat en cas d’incident. La double nature des incidents cybernétiques, à la fois règlementaire et disciplinaire, justifie une analyse juridique immédiate. Les obligations de divulgation, les délais de notification et la gestion des communications sont autant de domaines où une erreur peut considérablement accroître l’exposition.
Pour les ordres professionnels : un risque à gérer de manière proactive
Émettre des lignes directrices claires, sensibiliser les membres aux risques propres à leur pratique et développer des outils d’autoévaluation contribueraient à réduire la fréquence des incidents et à établir les normes à l’aune desquelles les manquements futurs seront jugés.
Conclusion
La cybersécurité n’est plus exclusive aux départements informatiques. Pour les professionnels règlementés, elle est devenue une composante d’une pratique compétente et éthique. Ignorer ce changement, c’est risquer qu’un incident technique se transforme en crise disciplinaire.
Pour toute autre question en lien avec la cybersécurité en droit disciplinaire, n’hésitez pas à communiquer avec notre équipe.
¹ Code des professions, RLRQ c C-26, art 60.4.
² Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, L.Q. 2021, c. 25.
³ Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c P-39.1, art 91.
⁴ Commissariat à la protection de la vie privée du Canada, Rapport de conclusions de la LPRPDE no 2020-005 : Enquête sur la conformité de Desjardins à la LPRPDE à la suite de la violation de la sécurité des renseignements personnels entre 2017 et 2019, 14 décembre 2020, en ligne : <priv.gc.ca>.
⁵ Loi sur la protection des renseignements personnels et les documents électroniques, LC 2000, c 5 [LPRPDE].
⁶ Ibid, Annexe 1, Principe 4.1.
⁷ Ibid, Annexe 1, Principe 4.5.
⁸ Ibid, Annexe 1, Principe 4.7.