Bases LPRPDE pour fournisseurs TI et MSP au service du Canada

Si vous fournissez des services TI au Canada — hébergement, sauvegarde, surveillance, helpdesk ou migration cloud — vous traitez presque certainement des renseignements personnels pour vos clients. La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) fixe les règles de base. Les fournisseurs TI sont souvent des sous-traitants dans la chaîne ; les contrats comptent autant que les pare-feu.

Qu’est-ce qu’un renseignement personnel ?

Toute information sur une personne identifiable : noms, courriels professionnels, adresses IP liées aux utilisateurs, billets helpdesk, dossiers RH, enregistrements d’appels et métadonnées de sécurité.

Principes à opérationnaliser

1. Responsabilité — désigner un responsable vie privée côté client ; documenter les sous-traitants
2. Finalités — expliquer pourquoi les données sont collectées (agents, EDR, filtrage courriel)
3. Consentement — distinct pour le marketing et pour les opérations TI
4. Limitation — collecter seulement les champs nécessaires dans les intégrations PSA/CRM
5. Garanties — chiffrement, MFA, moindre privilège, SLA de correctifs
6. Transparence — politique de confidentialité et liste de sous-traitants
7. Accès individuel — aider le client à répondre aux demandes d’accès dans les délais

Notification de violation

La LPRPDE exige de signaler au Commissariat à la protection de la vie privée et d’aviser les personnes lorsqu’il existe un risque réel de préjudice important. Le MSP doit avoir un playbook écrit : confinement, preuves, chaîne d’escalade client, modèles de communication.

Clauses contractuelles essentielles

• Résidence des données et transferts transfrontaliers permis
• Baseline sécurité (MFA, chiffrement, rétention)
• Approbation des sous-traitants et avis de changement
• Aide pour les demandes d’accès et enquêtes réglementaires
• Suppression ou retour des données en fin de contrat — y compris sauvegardes

Rappel Loi 25 (Québec)

Les clients québécois peuvent aussi relever de la Loi 25, plus stricte sur le consentement et le responsable de la protection des renseignements personnels.

Parlez à notre équipe sensibilisée à la conformité