Loi 25 et fournisseurs TI : liste de vérification pour cégeps et universités

Chaque nouvel outil SaaS qu'adopte un cégep ou une université, qu'il s'agisse d'une intégration à la plateforme d'apprentissage, d'une synchronisation d'horaires, d'un service de surveillance d'examens ou d'un agent conversationnel, transmet des renseignements personnels d'étudiants ou d'employés à une entreprise externe. Depuis l'entrée en vigueur progressive de la Loi 25, entre septembre 2022 et septembre 2024, ce transfert doit être évalué, encadré par contrat et documenté avant de commencer.

Les obligations se font sentir à des moments prévisibles : quand on rédige un appel d'offres, quand un projet pilote devient discrètement un service en production, quand un contrat arrive à renouvellement, et quand un enseignant s'inscrit à une application gratuite avec une liste de classe. Cette liste de vérification s'adresse aux directions des TI, aux responsables de l'approvisionnement et aux responsables de la protection des renseignements personnels des cégeps et des universités. Elle explique la loi en termes généraux. Ce n'est pas un avis juridique : validez les particularités de votre établissement avec votre responsable de la protection des renseignements personnels ou vos conseillers juridiques.

Qu'exige la Loi 25 quand un établissement achète un logiciel SaaS ?

La Loi 25, de son nom complet Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, a modifié les deux grandes lois québécoises en la matière : la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels, qui vise généralement les cégeps et les universités, et la Loi sur la protection des renseignements personnels dans le secteur privé, qui vise la plupart des fournisseurs. Pour un achat SaaS, six obligations comptent particulièrement.

• Une personne responsable de la protection des renseignements personnels. Dans un organisme public, ce rôle revient par défaut à la personne ayant la plus haute autorité, qui peut le déléguer par écrit. Cette personne, souvent avec le comité sur l'accès à l'information et la protection des renseignements personnels, devrait être associée à tout projet qui touche des renseignements personnels.
• Une évaluation des facteurs relatifs à la vie privée (EFVP). Un organisme public doit évaluer les facteurs relatifs à la vie privée de tout projet d'acquisition, de développement ou de refonte d'un système d'information ou d'une prestation électronique de services impliquant des renseignements personnels, et ce, dès le début du projet.
• Une évaluation avant toute communication hors Québec. Avant de communiquer des renseignements personnels à l'extérieur du Québec, y compris lorsqu'un fournisseur les héberge ou les traite ailleurs, l'établissement doit évaluer s'ils bénéficieront d'une protection adéquate. L'évaluation tient compte de leur sensibilité, de la finalité, des mesures de protection et du régime juridique applicable, et la communication doit faire l'objet d'une entente écrite.
• Des mesures contractuelles. Quand un fournisseur traite des renseignements personnels pour le compte de l'établissement, le contrat doit être écrit. Il doit préciser les mesures qui protègent la confidentialité, limiter l'usage des renseignements au contrat et garantir que le fournisseur ne les conserve pas après la fin du contrat. Le fournisseur doit signaler toute violation ou tentative de violation de la confidentialité, et l'établissement doit pouvoir faire des vérifications.
• La gestion des incidents de confidentialité. L'établissement doit prendre des mesures raisonnables pour diminuer les risques de préjudice, tenir un registre des incidents et, s'il y a un risque de préjudice sérieux, aviser avec diligence la Commission d'accès à l'information (CAI) et les personnes concernées.
• La conservation et la destruction. Les renseignements personnels ne sont conservés que le temps nécessaire à leur finalité, puis détruits ou anonymisés, conformément au calendrier de conservation de l'établissement.

La Loi 25 n'impose pas de format de journalisation. Mais ce sont les journaux qui permettent de répondre aux questions qu'elle soulève : qui a consulté ce dossier, qu'est-ce qui a changé, quand, et l'incident a-t-il créé un risque de préjudice sérieux ? Sans eux, l'évaluation d'un incident relève de la devinette.

Ce que coûte une erreur

• Des retards. Une EFVP lancée après le projet pilote peut renvoyer le projet à la planche à dessin, parfois quelques semaines avant le début de la session.
• Des incidents impossibles à évaluer. Si le fournisseur ne peut pas dire ce qui a été consulté et par qui, l'établissement ne peut pas juger du risque de préjudice sérieux. Il risque d'aviser trop largement, ou trop tard.
• Une exposition aux sanctions. La Loi 25 a renforcé les pouvoirs de surveillance de la CAI et les sanctions qui peuvent suivre un manquement à la loi.
• La confiance. Les étudiants et le personnel s'attendent à ce que leur établissement sache où se trouvent leurs données. Un incident chez un fournisseur reste, aux yeux du public, un incident de l'établissement.

Ce qui ne fonctionne pas

Se fier à un sceau de conformité. La mention « conforme à la Loi 25 » sur le site d'un fournisseur est un argument de vente. La conformité est une obligation de l'établissement pour un usage précis, et aucun fournisseur ne peut être conforme à votre place.

Confondre Canada et Québec. La règle de la Loi 25 porte sur les renseignements qui sortent du Québec. Un hébergement en Ontario, ou un soutien technique situé ailleurs avec accès aux données de production, constitue une communication hors Québec qui exige sa propre évaluation.

Accepter les conditions standards d'un clic. Les conditions d'utilisation en ligne prévoient rarement les mesures qu'attend la Loi 25 : usage limité au contrat, avis à votre personne responsable en cas de manquement, droit de vérification, destruction à la fin.

Faire l'EFVP après le projet pilote. À ce stade, les données ont déjà circulé, et l'évaluation devient une justification plutôt qu'une décision.

Oublier les outils gratuits. Une application gratuite à laquelle un enseignant s'inscrit avec une liste de classe implique quand même une communication de renseignements personnels. Votre politique doit en tenir compte.

La liste de vérification

Utilisez ces questions dans votre appel d'offres, votre questionnaire fournisseur et votre révision de contrat. Exigez des preuves, pas seulement des réponses.

Avant d'aller en appel d'offres

1. Dressez la liste des renseignements personnels en cause : numéros de matricule, noms, inscriptions, notes, horaires, photos, mesures d'accommodement.
2. Associez dès le départ votre responsable de la protection des renseignements personnels et, s'il y a lieu, votre comité sur l'accès à l'information et la protection des renseignements personnels.
3. Lancez l'EFVP pendant la rédaction des exigences, pour que ses conclusions puissent les orienter.

Questions à poser au fournisseur

4. Où exactement les données sont-elles hébergées, y compris les copies de sauvegarde, les journaux et la relève en cas de sinistre ? Une partie se trouve-t-elle hors Québec ?
5. Quels sous-traitants (hébergeur infonuagique, courriel, soutien, analytique) peuvent accéder aux données, et où sont-ils situés ?
6. Le produit conserve-t-il sa propre copie des renseignements personnels, ou lit-il et écrit-il dans vos systèmes ?
7. Qu'est-ce qui est journalisé (connexions, accès aux données, exports, changements de configuration), pendant combien de temps, et l'établissement peut-il consulter ses propres journaux ?
8. Les journaux sont-ils protégés contre l'altération, et évitent-ils de contenir des renseignements personnels en clair ?
9. Dans quel délai le fournisseur vous avisera-t-il d'un incident de confidentialité, et qui communiquera avec vous ?
10. Comment les vulnérabilités sont-elles gérées : délais de correction selon la gravité, tests d'intrusion indépendants, rapport consultable ?
11. Le programme de sécurité est-il certifié (ISO 27001 ou SOC 2, par exemple) ou simplement aligné sur un référentiel ? Les deux peuvent convenir ; sachez lequel vous obtenez.
12. Pouvez-vous exporter vos données dans un format technologique structuré et couramment utilisé ?

Dans le contrat

13. Usage des renseignements personnels limité aux services prévus au contrat.
14. Mesures de confidentialité et de sécurité décrites, pas seulement promises.
15. Avis de toute violation ou tentative de violation à votre personne responsable, dans un délai fixé.
16. Droit de vérification, ou de recevoir des preuves d'audit.
17. Destruction ou remise des renseignements personnels à la fin du contrat, avec confirmation écrite.
18. Entente écrite couvrant toute communication hors Québec relevée dans l'EFVP.

Après la mise en service

19. Révisez les droits d'accès et les journaux d'intégration au moins une fois par année.
20. Mettez l'EFVP à jour quand la portée change : nouveau module, nouveau champ de données, nouveau sous-traitant.

L'approche de LS2

LS2 Innovation est une entreprise montréalaise, et ses produits pour l'enseignement supérieur, Teameo, Classeo et Calendo, sont conçus pour répondre aux questions ci-dessus avec des documents plutôt qu'avec des slogans.

• Un hébergement au Québec. Teameo, Classeo et Calendo fonctionnent sur une infrastructure hébergée au Québec, et les journaux sont répliqués au Québec.
• Pas de deuxième copie des dossiers étudiants. Les produits lisent le SIE et écrivent dans le locataire Microsoft 365, le site Moodle ou les agendas de l'établissement. Ils ne conservent pas de copie persistante des données étudiantes à l'extérieur de ces systèmes.
• Un journal d'audit pour chaque action. Chaque classe créée, chaque inscription synchronisée, chaque changement de configuration et chaque archivage est horodaté et associé à l'utilisateur ou au service qui l'a effectué. Les journaux contiennent des identifiants techniques plutôt que des noms ou des notes, sont écrits en ajout seulement, et l'établissement peut consulter ses propres journaux d'intégration dans le panneau d'administration du produit. Les journaux de sécurité et d'audit sont conservés 24 mois, et les journaux de synchronisation 12 mois, une durée configurable par l'établissement.
• Des bases de sécurité. Les données des clients sont chiffrées au repos (AES-256) et en transit (TLS 1.2 au minimum), et l'authentification multifacteur est obligatoire pour tout accès à l'environnement de production.
• Des engagements sur les incidents et les vulnérabilités. Les politiques publiées de LS2 prévoient l'avis aux établissements touchés dans les 72 heures suivant la confirmation d'un incident, la coordination avec la CAI lorsque la Loi 25 l'exige, la correction des vulnérabilités dans des délais fixés selon leur gravité, et un test d'intrusion annuel par une firme indépendante, dont le rapport exécutif est offert aux clients sur demande.

Les documents de référence sont publiés sur ls2.io : la déclaration des bonnes pratiques en sécurité informatique, la politique de gestion des vulnérabilités, la politique de consignation des événements et la politique de confidentialité, qui porte sur le site Web ; l'utilisation des produits est régie par les ententes signées avec chaque établissement. Les produits sont conçus pour répondre à la Loi 25 et au RGPD. Pour situer ces étapes dans un déploiement, lisez De la signature au premier cours : un plan réaliste d'intégration au SIE.