Dans votre entreprise de 30 employés, qui est responsable de la protection des renseignements personnels ? Si personne n'a rien signé, la réponse est simple : le président ou la présidente. L'article 3.1 de la Loi 25 confie ce rôle, par défaut, à la personne ayant la plus haute autorité. Beaucoup de dirigeants l'apprennent le jour d'un incident.
Dans d'autres PME, le rôle a été délégué en vitesse à l'adjointe administrative, « parce qu'elle s'occupe déjà des ordinateurs ». Son titre est sur le site Web, mais elle n'a ni budget ni autorité pour exiger la MFA du directeur des ventes.
Or la loi place ce responsable au centre de plusieurs décisions de sécurité. Voici ce que le rôle implique concrètement, et comment l'outiller.
En bref
- Par défaut, le responsable est la personne ayant la plus haute autorité; elle peut déléguer la fonction par écrit, en tout ou en partie (art. 3.1).
- Le titre et les coordonnées du responsable doivent être publiés sur le site Web de l'entreprise.
- Le responsable intervient dans l'EFVP (art. 3.3), l'évaluation du préjudice lors d'un incident (art. 3.7) et la réception des avis de violation des fournisseurs (art. 18.3).
- Déléguer ne transfère pas l'imputabilité : la haute direction reste responsable.
Qui est responsable par défaut, et comment déléguer
L'article 3.1 est clair : l'entreprise est responsable des renseignements personnels qu'elle détient, et la personne ayant la plus haute autorité veille au respect de la loi. Elle exerce la fonction de responsable, mais peut la déléguer par écrit, en tout ou en partie, à toute personne.
Deux nuances importantes, que la CAI souligne :
- même après délégation, la personne ayant la plus haute autorité demeure imputable du respect de la loi;
- elle doit appuyer la personne déléguée en lui fournissant les ressources humaines, techniques et financières nécessaires.
En pratique, déléguez à quelqu'un qui peut faire bouger les choses : obtenir un budget, imposer une règle à un gestionnaire, arrêter un projet. Une délégation sans autorité est une délégation de façade.
Les tâches du responsable qui touchent la sécurité
La loi et la CAI attribuent au responsable plusieurs fonctions. Celles-ci ont une dimension de sécurité directe :
| Tâche | Article | Ce que ça implique côté sécurité |
|---|---|---|
| Approuver les politiques de gouvernance | 3.2 | Valider les règles de conservation, de destruction et les rôles du personnel |
| Être consulté dès le début de tout projet de système | 3.3 | Poser les questions de sécurité avant l'achat, pas après |
| Évaluer le risque de préjudice lors d'un incident | 3.7 | Participer au triage avec les TI, souvent dans l'urgence |
| Enregistrer les communications faites pour réduire un risque | 3.5 | Garder la trace des renseignements transmis à une banque ou à un expert |
| Recevoir les avis de violation des fournisseurs | 18.3 | Être le point de contact nommé dans les contrats |
| Répondre aux demandes d'accès dans les 30 jours | 30 et 32 | Vérifier l'identité du demandeur pour ne pas créer soi-même un incident |
Ce dernier point est souvent négligé. Une fausse demande d'accès, envoyée par quelqu'un qui se fait passer pour un client, est une technique d'ingénierie sociale bien réelle. La loi exige d'ailleurs que la demande soit faite par écrit par une personne qui justifie de son identité (art. 30).
Responsable des renseignements personnels et TI : qui fait quoi
Le responsable n'a pas à configurer un pare-feu. Son rôle est de s'assurer que les bonnes décisions sont prises et documentées. Voici un partage réaliste dans une PME qui fait appel à un impartiteur TI :
| Activité | Direction | Responsable des RP | TI ou impartiteur |
|---|---|---|---|
| Choisir les mesures de sécurité | Finance | Valide selon la sensibilité des renseignements | Propose et chiffre |
| Configurer MFA, sauvegardes, accès | Informée | Vérifie que c'est fait | Exécute |
| Triage d'un incident | Décide des avis | Évalue le préjudice, tient le registre | Constate, contient, fournit les journaux |
| Formation du personnel | Soutient | Organise | Fournit le contenu technique |
Un conseil : évitez de nommer votre impartiteur TI responsable de la protection des renseignements personnels. Il se retrouverait à évaluer son propre travail.
L'article 18.3 donne d'ailleurs au responsable un levier méconnu. Tout fournisseur à qui vous confiez des renseignements personnels dans le cadre d'un mandat ou d'un contrat de service doit non seulement aviser sans délai le responsable de toute violation ou tentative de violation de la confidentialité, mais aussi lui permettre d'effectuer toute vérification relative à cette confidentialité (des exceptions existent, notamment pour les membres d'un ordre professionnel). Pour une firme d'ingénierie de Saguenay qui confie sa paie, ses dossiers RH et son infonuagique à trois fournisseurs différents, c'est un appui solide pour demander un rapport SOC 2, la liste des accès ou les résultats d'un test d'intrusion.
Le tableau de bord trimestriel du responsable
Une fois par trimestre, le responsable devrait pouvoir répondre à ces questions, preuves à l'appui :
- Quelle proportion des comptes est protégée par MFA ? (Cible : 100 %.)
- La liste des comptes administrateurs a-t-elle été revue ?
- Les comptes des employés partis ont-ils tous été désactivés ?
- À quand remonte le dernier test de restauration de sauvegarde réussi ?
- Les correctifs critiques sont-ils appliqués sur les postes et les serveurs ?
- Quelles nouvelles entrées figurent au registre des incidents, et les mesures promises ont-elles été réalisées ?
- Quels projets en cours exigent une EFVP ?
- Les nouveaux contrats fournisseurs contiennent-ils les clauses de sécurité et d'avis ?
- Quels sont les résultats de la dernière simulation d'hameçonnage ou formation ?
Présentez ce tableau à la direction. C'est aussi ce que la CAI attend d'un leadership engagé : approuver les mesures, en faire la promotion et fournir les ressources.
Modèle de délégation écrite
La loi exige une délégation écrite, sans en fixer la forme. Voici une base à adapter :
Je, nom, titre, à titre de personne ayant la plus haute autorité au sein de entreprise, délègue à nom, titre, à compter du date, la fonction de responsable de la protection des renseignements personnels prévue à l'article 3.1 de la Loi sur la protection des renseignements personnels dans le secteur privé, en totalité / pour les fonctions suivantes : …. Nom disposera des ressources suivantes : temps alloué, budget, accès à l'impartiteur TI. Il ou elle rendra compte à la direction chaque trimestre.
Signature et date.
Désignez aussi un suppléant pour les absences : un incident pendant les vacances de la construction n'attendra pas le retour de qui que ce soit. Conservez le document signé avec vos politiques de gouvernance.
Les pièges à éviter
- Déléguer à une personne qui n'a aucune autorité sur les gestionnaires ni sur le budget.
- Publier un courriel personnel ou un numéro de cellulaire au lieu de coordonnées de fonction.
- Oublier de mettre à jour le site Web et les contrats fournisseurs après un départ.
- Laisser le responsable découvrir les nouveaux logiciels une fois achetés.
- Considérer le rôle comme une tâche ponctuelle plutôt que comme une fonction continue.
Ce contenu vulgarise la Loi 25 et ne constitue pas un avis juridique : validez votre délégation et la répartition des rôles avec votre conseiller juridique. Si votre responsable a besoin d'un appui technique régulier, notre accompagnement continu en sécurité peut lui servir de bras droit.
Questions fréquentes
Le responsable de la protection des renseignements personnels doit-il avoir une certification ?+
Non, la loi n'exige aucun diplôme ni aucune certification. La CAI recommande toutefois de désigner une personne qui a les compétences requises et un pouvoir décisionnel important. Une formation en protection des renseignements personnels et des notions de base en sécurité de l'information sont de bons atouts.
Peut-on confier ce rôle à un consultant externe ?+
Oui. La loi permet de déléguer la fonction par écrit, en tout ou en partie, à toute personne, y compris externe. La personne ayant la plus haute autorité reste toutefois responsable de la mise en œuvre de la loi. Un responsable externe doit bien connaître vos activités et rester joignable rapidement en cas d'incident; faites valider l'entente par votre conseiller juridique.
Le dirigeant peut-il être poursuivi personnellement ?+
La loi prévoit que l'administrateur, le dirigeant ou le représentant d'une personne morale qui a prescrit ou autorisé l'acte constituant une infraction, ou qui y a consenti, est partie à l'infraction (art. 93). Il s'agit d'une responsabilité liée à une participation à l'infraction, pas d'une responsabilité automatique. Validez votre situation avec votre conseiller juridique.
Faut-il publier le nom du responsable sur le site Web ?+
La loi exige de publier son titre et ses coordonnées (art. 3.1), pas nécessairement son nom. Une adresse de fonction, comme [email protected], évite de devoir modifier le site à chaque changement de personne.
Sources
- 1.Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), art. 3.1 à 3.8, 18.3 et 93
- 2.CAI — Responsabilité des entreprises et fonctions du responsable de la protection des renseignements personnels
- 3.CAI — Prévenir les incidents de confidentialité : liste de contrôle pour les entreprises (janvier 2026)