Par Eric Caouette, VP Développement des Affaires chez Coginov

Une cartographie technologique des renseignements personnels est un outil crucial pour votre organisation, afin de se conformer à des législations telles que la Loi 25 au Québec. Ce type de cartographie dite technologique, consiste à auditer via des solutions spécialisées tous les documents, fichiers, courriels, pièces jointes, etc. présents dans vos infrastructures numériques pour les identifier, les classer et les exploiter dans un but de conformité réglementaire.

Voici comment une cartographie des données personnelles peut être utilisée pour aider à vous conformer à vos obligations telles que le spécifie la Commission d’accès à l’information :

1. Identification des données personnelles : La cartographie technologique permet d’identifier où qu’ils se trouvent dans vos infrastructures numériques physiques ou infonuagiques, tous les types de renseignements personnels collectés, stockés et utilisés par la compagnie d’enquête de crédit. Cela inclut les informations de crédit, les rapports, les données d’identification, les historiques financiers, etc. Cette identification précise est cruciale pour assurer la conformité réglementaire en matière de protection des renseignements personnels.
2. Catégorisation et classification : Une fois identifiées, ces données peuvent être classées de multiple façon. Selon l’objectif déterminé, elles peuvent être présentées par exemple en fonction de leur nature, de leur sensibilité, de leur niveau de risque, et même de leur date de collecte. Les renseignements datant de plus de sept ans peuvent ainsi être catégorisés distinctement pour leur gestion ultérieure. La classification précise des données personnelles facilite leur gestion et leur traitement en conformité avec les exigences légales.
3. Gestion du cycle de vie des données : En utilisant la cartographie technologique, il est possible d’établir des protocoles de gestion du cycle de vie des données. Cela comprend des règles claires sur la durée de conservation des données personnelles, conformément aux exigences légales. Le respect du calendrier de conservation est essentiel pour assurer la conformité avec la loi 25 au Québec et garantir la protection des renseignements personnels.
4. Identification des données obsolètes : La cartographie technologique des renseignements personnels permet d’identifier aisément les données qui ont dépassé la période de conservation légale. Ainsi, la compagnie d’enquête de crédit peut procéder à leur destruction ou à leur anonymisation en toute conformité avec la loi. La détection et la suppression sécurisée des données obsolètes sont des étapes cruciales pour garantir la conformité réglementaire et la protection des renseignements personnels.
5. Mise en place de protocoles de suppression sécurisée : Une fois les données identifiées pour être détruites, des protocoles de suppression sécurisée peuvent être mis en place pour garantir que ces informations soient effacées de manière irréversible, en conformité avec les normes de sécurité et de protection des données. Ces protocoles doivent être rigoureusement suivis pour garantir la conformité aux exigences légales en matière de traitement des renseignements personnels.
6. Documentation et suivi : La cartographie technologique aide également à documenter le processus de destruction des données et à suivre méticuleusement chaque étape, offrant ainsi une traçabilité nécessaire pour démontrer la conformité aux réglementations. La documentation précise de toutes les actions entreprises concernant les données personnelles est essentielle pour prouver la conformité avec la loi 25 au Québec.

En plus de la destruction des renseignements personnels obsolètes, la Loi 25 peut également stipuler l’obligation pour une compagnie d’enquête de crédit d’établir et d’appliquer des règles de conduite concernant la rectification des renseignements personnels inexacts ou périmés. La cartographie technologique des renseignements personnels devient alors un outil crucial pour soutenir la conformité à cette exigence en permettant ce qui suit :

1. Identification des informations inexactes ou périmées : La cartographie technologique détaillée des données personnelles permet également d’identifier plus facilement les informations incorrectes ou dépassées. Cela peut inclure des données telles que des antécédents de crédit erronés, des adresses obsolètes, des numéros de téléphone périmés, etc. La précision dans l’identification des données périmées ou inexactes est essentielle pour assurer la conformité avec la loi 25 au Québec.
2. Établissement de processus de rectification : En utilisant la cartographie technologique comme base, votre entreprise peut établir des protocoles et des processus pour rectifier les renseignements inexacts ou obsolètes. Cela pourrait impliquer des mécanismes pour mettre à jour les dossiers, des canaux de communication pour recevoir des demandes de rectification, et des étapes claires à suivre pour effectuer ces rectifications. Les processus de rectification doivent être transparents et conformes aux exigences légales pour garantir la conformité avec la loi 25.
3. Documentation des demandes de rectification : Une partie importante de la conformité consiste à documenter toutes les demandes de rectification reçues et les actions entreprises pour les traiter. La cartographie technologique peut aider à suivre ces demandes et à enregistrer les modifications apportées aux données personnelles. La documentation précise de toutes les demandes de rectification est essentielle pour démontrer la conformité avec la loi 25 au Québec.
4. Formation du personnel : En se basant sur la cartographie technologique, votre entreprise peut former son personnel pour s’assurer qu’ils comprennent les règles et les processus établis pour la rectification des données. Cela garantit une réponse adéquate et rapide aux demandes de correction des renseignements personnels. La formation du personnel est essentielle pour garantir une gestion efficace et conforme des données personnelles selon les exigences de la loi 25 au Québec.

En intégrant la gestion des rectifications dans la cartographie technologique des renseignements personnels, votre société peut démontrer sa conformité avec les obligations légales, tout en assurant une exactitude et une actualisation constantes des données qu’elle détient, offrant ainsi un meilleur service aux individus concernés.

En résumé, la cartographie technologique des renseignements personnels est un outil essentiel pour aider une compagnie d’enquête de crédit à respecter la Loi 25, en particulier en ce qui concerne la suppression des données personnelles après la période légale de conservation.