Un incident touchant vos registres d'appels : ce que la Loi 25 exige

Sous la Loi 25, vous devez consigner chaque incident de confidentialité dans un registre, et aviser la Commission d'accès à l'information ainsi que les personnes concernées lorsque l'incident présente un risque de préjudice sérieux. Ces deux devoirs s'appliquent aux enregistrements, aux messages vocaux et aux journaux d'appels comme à n'importe quelle base de données. La Commission publie ses orientations sur les incidents de confidentialité et les mesures de sécurité à l'intention des entreprises privées.

Le registre est la partie qu'on oublie. Il couvre tous les incidents — pas seulement ceux qui sont assez graves pour être déclarés.

Ce qui constitue un incident

Un incident, c'est l'accès, l'utilisation ou la communication non autorisés de renseignements personnels, ou leur perte — y compris toute autre atteinte à leur protection. Pour un système téléphonique, la liste réaliste est plus banale qu'une fuite spectaculaire :

• une boîte vocale encore accessible à une personne qui a quitté l'entreprise
• un enregistrement envoyé à la mauvaise adresse
• un journal d'appels exporté puis laissé dans un espace partagé
• un softphone resté connecté sur un portable rendu
• un agent qui écoute des enregistrements qu'il n'avait aucune raison d'entendre

Ce dernier cas mérite qu'on s'y arrête. L'utilisation non autorisée constitue un incident même si rien n'est sorti de l'entreprise et qu'aucun attaquant n'est en cause.

Deux devoirs, pas un

Le registre s'applique toujours. Chaque incident y figure, quelle qu'en soit la gravité. Il consigne ce qui s'est produit, quand, quels renseignements étaient en cause, et ce que vous avez fait. C'est le document qu'un régulateur demande en premier, et il ne se reconstitue pas après coup.

L'avis s'applique conditionnellement — lorsque l'incident présente un risque de préjudice sérieux. Ce jugement tient compte de la sensibilité des renseignements, de l'usage qui pourrait en être fait et de la probabilité du préjudice. Lorsque le risque existe, vous avisez la Commission et les personnes concernées, avec diligence.

Un enregistrement est particulièrement sensible ici. Il porte une voix, et souvent des renseignements que l'appelant a livrés sans y penser — un détail de santé, un montant, une adresse dite à voix haute pour rendre service.

Ce qu'il faut avoir prêt avant d'en avoir besoin

• Savoir d'où les enregistrements peuvent être récupérés, y compris les exports faits il y a des mois
• Savoir qui a le droit de réécoute et pouvoir le restreindre rapidement
• Connaître votre conservation, car ce que vous ne détenez plus ne peut faire partie d'un incident
• Que le registre existe déjà. Le créer pendant un incident, c'est perdre des détails

La conservation mérite l'insistance. La réponse à incident la moins coûteuse consiste à ne pas détenir l'enregistrement du tout : une suppression planifiée réduit la surface de façon permanente, et c'est une décision de configuration, pas un projet.

Où en est Ringfully

Ringfully n'a pas encore de cycle de conservation automatisé pour les enregistrements. Rien ne les fait expirer selon un calendrier ; un enregistrement demeure jusqu'à sa suppression. C'est une lacune réelle, et du genre qui grandit en silence, parce que le stockage ne coûte rien à ignorer.

L'enregistrement est désactivé par défaut, la réécoute est soumise à une permission, et notre politique d'enregistrement énonce ce que le produit fait et ne fait pas. Ce que nous ne pouvons pas vous fournir, c'est un registre : celui-là vous appartient, parce que les incidents qu'il consigne sont les vôtres.

Description de ce que la loi demande ; ceci ne constitue pas un avis juridique. Déterminer si un incident présente un risque de préjudice sérieux est un jugement à porter avec un conseiller qualifié au Québec, et rapidement. À lire aussi : ce que la Loi 25 demande à un système téléphonique.