En attente thefireman.fyi · séance du conseil
0:00 / 0:00 Conseil·Conseiller Manifeste Dépêches EN · FR Projet de loi C-36
Gouvernance préalable à l'incident · Pour le conseil

Avant l'incendie.

Une nouvelle obligation ne devient pas un problème de TI le jour de son entrée en vigueur. Elle devient un problème de conseil d'administration lorsque personne n'a décidé, d'avance, comment la responsabilité, le consentement, l'identité, l'accès, la conservation et la vérifiabilité allaient réellement fonctionner.

La question n'est pas de savoir si vous avez une politique. Le conseil peut-il démontrer que l'organisation a été conçue pour la respecter?
Lecture~7 min PublicConseils · Contentieux · DPI ClasséGouvernance
Écouter · Séance du conseil Lue par le conseil et son conseiller Deux voix · fond sonore · écouteurs recommandés
État du dossier

Le projet de loi C-36 n'est pas adopté. C'est là toute l'occasion.

C-36 · Loi visant à protéger la vie privée et les données des consommateurs 45e législature, 1re session
Dépôt
15 juin 2026, première lecture à la Chambre des communes. Édicterait la Loi visant à protéger la vie privée et les données des consommateurs et remplacerait la partie 1 de la LPRPDE, la loi fédérale sur la protection des renseignements personnels dans le secteur privé depuis vingt-cinq ans.
Où il en est
Toujours à la première lecture. La Chambre reprend ses travaux le 21 septembre 2026; la deuxième lecture et l'étude en comité sont attendues durant la session d'automne. Des amendements sont probables.
Entrée en vigueur
Il n'y a aucune date d'entrée en vigueur fixée. Celle-ci est laissée à un décret, de sorte que la période de transition demeure une décision que le gouverneur en conseil n'a pas encore prise.
Tentatives antérieures
Troisième tentative fédérale en six ans. Les projets de loi C-11 (2020) et C-27 (2022) sont tous deux morts au Feuilleton. Honnêtement lu, cela tranche dans les deux sens : ce projet-ci pourrait ne pas être adopté non plus, et la direction est demeurée constante sur trois gouvernements et trois versions.
Pourquoi maintenant
Les obligations ci-dessous ne sont pas encore en vigueur et ne doivent pas être traitées comme une exposition juridique. Elles constituent la meilleure description disponible de ce que le conseil devra démontrer, au moment le moins coûteux pour le concevoir.
La fenêtre de gouvernance

La loi arrive.
L'architecture devrait déjà exister.

Exigences
législatives
Décisions
du conseil← vous êtes ici
Politique +
responsabilité
Contrôles
techniques
Preuve
vérifiable
Prévention des incendies

Gouverner avant l'incident.

Avant

Cartographier les données, l'autorité, les fournisseurs, le consentement, l'identité, la conservation et l'accès. Nommer le responsable. Définir les exceptions avant que quelqu'un en ait besoin.

Pendant

Faire en sorte que les contrôles techniques appliquent la décision. L'accès exceptionnel et la repersonnalisation exigent une autorité, une finalité et une trace vérifiable.

Après

Reconstituer ce qui s'est passé sans faire de l'archéologie : quelle règle s'appliquait, qui détenait l'autorité, ce que le système a fait et quelle preuve l'établit.

Du conseil au système

La gouvernance doit se compiler.

Douze mots qu'un conseil peut prononcer. Chacun se résout en une disposition que quelqu'un doit construire, doter en personnel et documenter.

Responsabilitéart. 8, art. 9
Consentementart. 18
Identitéart. 2(1)
Accèsart. 63
Anonymisationart. 2(1)
Repersonnalisationart. 75
Conservationart. 52
Vérifiabilitéart. 9
Autorité fournisseurart. 11(2)
Voies d'exceptionart. 18, art. 75
Titulaire de décisionart. 8(1)
Preuve d'incidentart. 114, art. 132
Ce que la loi exigerait

Sept blocs, tels que déposés.

Les renvois visent le projet de loi C-36 tel que déposé le 15 juin 2026 et peuvent changer en comité. Chaque bloc associe l'obligation légale à la capacité opérationnelle qui en produit la preuve.

01

Responsabilité

  • art. 8(1)L'organisation doit désigner une ou plusieurs personnes chargées des questions relatives à ses obligations sous le régime de la loi.
  • art. 9(1)Un programme documenté de politiques, de pratiques et de procédures, proportionné au volume et à la sensibilité des renseignements détenus, communicable à la Commission sur demande.
Contrepartie opérationnelleUn rôle nommé, doté d'une autorité permanente et du budget pour l'exercer, et un programme tenu comme un registre vivant. Un cartable monté après la demande a déjà échoué à l'épreuve.Pratiques Gestion de la main-d'œuvre et des talents · Gouvernance (système de valeur des services)
02

Consentement et exceptions

  • art. 18(2)Collecte et utilisation sans consentement pour des activités d'affaires définies, dont la fourniture d'un produit ou d'un service demandé par la personne et les fins de sécurité de l'information.
  • art. 18(3)Utilisation lorsque l'organisation a un intérêt légitime qui l'emporte sur tout effet préjudiciable raisonnablement prévisible pour la personne.
Contrepartie opérationnelleLa mise en balance est une évaluation des risques avec un auteur, une date et un dossier. Une exception qui n'existe que dans le souvenir de quelqu'un ne se produit pas deux ans plus tard.Pratiques Gestion des risques · Analyse d'affaires
03

Dépersonnalisation et anonymisation

  • art. 2(1)Dépersonnaliser : modifier des renseignements personnels de façon qu'une personne ne puisse être directement identifiée, « bien qu'un risque d'identification demeure ».
  • art. 2(1)Anonymiser : modifier « de façon irréversible et permanente » afin qu'il n'existe aucun risque raisonnablement prévisible d'identification.
  • art. 75Interdiction d'utiliser des renseignements dépersonnalisés pour identifier une personne, sous réserve d'exceptions étroites, dont la mise à l'essai de l'efficacité de ses propres mesures de protection.
Contrepartie opérationnelleLes deux mots ne sont pas synonymes et la distinction porte tout le poids. La plupart des organisations disent « anonymisé » et détiennent du dépersonnalisé. La repersonnalisation exige une autorité, une finalité déclarée et une inscription faite sur le moment, non après coup.Pratiques Facilitation des changements · Validation et test des services · Gestion de la sécurité de l'information
04

Conservation et destruction

  • art. 52(1)Les renseignements ne peuvent être conservés plus longtemps que nécessaire aux fins pour lesquelles ils ont été recueillis.
  • art. 54Destruction sur demande écrite de la personne, sous réserve des exceptions énumérées.
Contrepartie opérationnelleLa conservation est une question d'actifs et de configuration avant d'être une question juridique : on ne peut pas détruire sur demande ce qu'aucun inventaire n'indique détenir. La destruction sur demande est une voie d'admission avec une file, un responsable et un délai mesurable.Pratiques Gestion des actifs informatiques · Gestion de la configuration des services · Gestion des demandes de service
05

Fournisseurs et frontières

  • art. 11(2)Le fournisseur de services devient assujetti aux obligations lorsqu'il utilise ou communique les renseignements transférés à des fins autres que celles du transfert.
  • art. 57(1)Une évaluation des facteurs relatifs à la vie privée, et des mesures d'atténuation des risques relevés, avant toute communication ou tout transfert de renseignements personnels à l'extérieur du Canada.
Contrepartie opérationnelleUne gestion des fournisseurs dont les clauses contractuelles correspondent à l'évaluation réellement effectuée. En pratique, la plupart des transferts hors du Canada résultent du réglage de région par défaut d'un fournisseur, c'est-à-dire de personne.Pratiques Gestion des fournisseurs · Gestion des risques · Gestion de l'architecture
06

Décisions automatisées

  • art. 63(4)-(5)Sur demande, une explication d'une prédiction, d'une recommandation ou d'une décision d'un système automatisé, dont le type de renseignements personnels utilisés, leur source et les motifs.
Contrepartie opérationnelleL'explicabilité est une exigence de conception, non de reddition de comptes. Elle ne s'ajoute pas après coup à un système qui n'a jamais consigné pourquoi. C'est l'obligation de cette page la plus susceptible d'exiger du code qui n'existe pas encore.Pratiques Développement et gestion des logiciels · Gestion de la configuration des services
07

Application et preuve

  • art. 85(1)La surveillance passe à la Commission de la sécurité numérique et de la protection des données du Canada, dirigée par un commissaire à la vie privée et aux données des consommateurs.
  • art. 114Sanctions administratives pécuniaires. Tel que déposé, jusqu'au plus élevé de 10 millions de dollars ou de 3 % du revenu brut mondial.
  • art. 145Infractions. Tel que déposé, jusqu'au plus élevé de 25 millions de dollars ou de 5 % du revenu brut mondial.
  • art. 132Un droit d'action privé en dommages-intérêts à la suite d'une contravention établie.
Contrepartie opérationnelleMesure et reddition de comptes, à une cadence que le conseil voit réellement. L'exposition qui compte est rarement l'incident lui-même. C'est l'incapacité de montrer ce qui a été décidé, par qui, en vertu de quelle autorité et quand.Pratiques Mesure et rapports · Amélioration continue
La distinction · ITIL

Rétablir le service n'est pas supprimer la cause.

ITIL trace cette ligne à dessein. La gestion des incidents se mesure à une seule chose : le rétablissement du fonctionnement normal du service, le plus vite possible. La gestion des problèmes se mesure à tout autre chose : réduire la probabilité et l'incidence des incidents en cernant et en supprimant leurs causes. Des personnes différentes, des horloges différentes, des définitions du succès différentes.

Presque toutes les organisations financent le premier et improvisent le second. C'est abordable tant que le seul coût d'une défaillance récurrente est celui de la réparer encore. Ça cesse de l'être quand une loi rattache une sanction et un droit d'action privé à la récurrence, et demande au conseil de produire le registre de ce qu'il a décidé d'avance.

L'essai sous-jacent : Le Pompier, sur la gestion des incidents →

Ne nous engagez pas pour combattre l'incendie. Engagez-nous pour établir pourquoi l'immeuble peut prendre feu, à qui appartient l'extincteur, et s'il fonctionne avant que quiconque en ait besoin.
Séance d'information du conseil

Utiliser la fenêtre de mise en œuvre.

Ce que produit le mandat

Obligations → décisions → responsabilité → contrôles techniques → preuve.

Un examen de gouvernance préalable à l'incident, à l'échelle du conseil, au regard du projet de loi C-36 dans son état actuel, ainsi que des obligations demeurées inchangées à travers C-11 et C-27 et qui sont donc les plus sûres à bâtir dès maintenant. L'objectif n'est pas un autre cartable. C'est une organisation capable de démontrer que les risques de gouvernance prévisibles ont été relevés, attribués, conçus et surveillés avant de devenir des incidents.

Demander une séance
board@firemen.fyi