par Sara Bardovagni et Sabrina Bonilla Amaya, étudiantes à l’EBSI (Université de Montréal)
Le concept de l’information numérique est plutôt nouveau dans la société actuelle. Depuis 1969, un premier partage d’information numérique a été en mesure de se faire dans un milieu scientifique d’une université aux États-Unis lié aussi à la recherche militaire, ce qui a donné place, par la suite, à l’évolution informatique que nous connaissons aujourd’hui (Herrenschmidt, 2000). De nos jours, il est difficile de rester à jour avec autant d’informations. Cependant, un des problèmes majeurs auxquels fait face l’invention de l’Internet, c’est la protection de nos renseignements personnels. Actuellement, il est estimé qu’il y a 5,3 milliards de personnes qui utilisent le cyberespace (Radio-Canada, 2022). Non seulement la population utilise cet outil pour rechercher de l’information générale, mais le cyberespace a aussi évolué pour devenir une plateforme de communication et de partage. Il est possible de pratiquement tout faire avec une simple connexion Internet. Nos appareils électroniques nous permettent de naviguer sur Internet, de stocker nos informations et de nous divertir. Il n’y a réellement pas de limite à la quantité d’informations que nous pouvons partager en ligne. Toutefois, certaines personnes se posent des questions sur ces limites. Est-il possible d’assurer la protection des renseignements personnels numériques dans le contexte de la gestion de l’information infonuagique? Dans ce texte, il sera question de comprendre la technologie qui entrepose nos données, d’identifier les problèmes associés et de proposer des solutions selon les mesures d’archivistique et de technologie d’information numérique.
CC BY 2.0 SOURCE
Dans l’actualité, nos informations en ligne sont conservées de deux manières, soit par des systèmes de stockage ou encore par notre empreinte numérique. L’espace infonuagique est un système de stockage qui permet de stocker vos données en ligne. Ces données sont enregistrées dans un serveur qui ne sont accessibles que par Internet. Cette façon de sauvegarder les informations comporte plusieurs enjeux lorsqu’il s’agit d’informations personnelles. Il est possible, par exemple, d’enregistrer des photos dans des ordinateurs qui sont sécurisés et sauvegardés et il est même possible de louer de l’espace lorsque nécessaire. L’accès à vos données peut se faire de n’importe où et avec n’importe quel appareil (Peltière, 2019). Cependant, lorsqu’il s’agit des systèmes de stockage, il est important de s’informer sur la compatibilité des systèmes avec nos besoins. Que ce soit fait par une organisation publique ou privée, le problème est que la majorité de ces systèmes de stockage est gérée à l’extérieur du Canada. Par exemple, dans un article du centre de la sécurité des télécommunications, une évaluation de la sécurité des systèmes de stockage et de la gestion de l’information à été réalisée. D’une part, il est expliqué, selon les résultats, que l’intégrité et la disponibilité des données sont compromises puisque la majorité des systèmes de stockage est gérée à l’extérieur du Canada. En raison de cela, les lois d’un autre pays peuvent risquer la divulgation de données du gouvernement canadien (Centre de la sécurité des télécommunications, 2022). D’une autre part, par le biais de notre empreinte numérique, nos informations personnelles peuvent s’avérer compromises si elles sont piratées ou encore volées par des méthodes de fraude en ligne. L’empreinte numérique correspond à toutes les informations laissées derrière nous lorsqu’on navigue sur l’Internet (Centre canadien pour la cybersécurité, 2022). De l’importance de porter une attention particulière aux paramètres de confidentialité qui sont émis lors d’une navigation sur un site Internet. La confidentialité des données est définie par l’Office québécois de la langue française comme le « caractère des données dont l’accès et la diffusion doivent être limités, par des mesures de protection des données, aux seules personnes ou autres entités autorisées. » (OQLF, 2019) Toutefois, les informations, qu’elles soient confidentielles ou non, seront partagées par la plupart des applications à des tiers, et ce, une fois le consentement donné.
Ces parties tierces, notamment les prestataires et leurs sous-contractants des services infonuagiques, peuvent détenir alors un grand contrôle sur la gestion de nos données confidentielles, dont une partie peut être composée des renseignements personnels des citoyens. Néanmoins, lorsque les organisations publiques et privées gérant des renseignements personnels sollicitent des services infonuagiques ils doivent assurer la mise en place des mesures de protection et de sécurité pour leurs données sensibles, et ce, au moins selon les lois applicables dans le territoire où ils exercent leurs activités. La législature du Québec exige en effet le respect de la vie privée de ses citoyens selon son Code civil à l’article 35, un droit qui est respecté et modulé en partie par des mesures de protection des renseignements personnels exigées par la Loi sur l’accès à l’information (LA) et la Loi sur la protection des renseignements (LP). Il n’existe pas de lois décrivant explicitement un usage responsable des services infonuagiques vis-à-vis la protection des renseignements personnels, encore moins une loi définissant l’infonuagique (Vermeys et al., 2014). Toutefois, les trois textes de lois mentionnés ci-dessus ainsi que la Loi concernant le cadre juridique des technologies de l’information (LLCJTI) encadrent l’usage des services infonuagiques par les organisations publiques et entreprises privées. Ainsi, les mesures de protection découlant de ces lois et découlant de pratiques exemplaires en archivistique et en cybersécurité peuvent minimiser des pertes de contrôle et de transparence dans la gestion des données sensibles avec l’usage d’un système infonuagique.
Le premier problème de sécurité posé plus tôt est l’emplacement physique des serveurs. Idéalement, les serveurs doivent se retrouver au Canada et au pays d’Europe, car leurs lois assurent une protection légale équivalente à celle du Québec (Vermeys et al., 2014). En fait, il est interdit selon l’article 70.1 de la LA de communiquer des renseignements personnels à l’extérieur du Québec sans assurance de protection légale équivalente pour les organisations publiques. Même si les entreprises privées ne sont pas restreintes ainsi selon l’article 17 de la LP, les risques d’usage des données personnelles non autorisées légalement augmentent lors de leur communication ou stockage dans des pays n’ayant pas les mêmes mesures de protection qu’au Québec.
Réellement, il n’est pas toujours possible pour qu’une organisation publique ou privée puisse ni respecter ni prévoir les usages autorisés des renseignements personnels par ces lois, car cela leur limite les recours possibles à d’autres prestataires infonuagiques à des prix compétitifs. Une mesure informatique puis une mesure archivistique peuvent alors être combinées à défaut des emplacements idéaux des serveurs, soient respectivement le chiffrement des données et l’anonymisation des renseignements (Secrétariat du Conseil du trésor, 2014b). Le chiffrement des données implique une mesure de gestion en plus de la part de l’organisation publique ou privée en raison des clés de chiffrement permettant la lecture des données. En fait, il est fortement recommandé que ce système de chiffrement habite séparément du réseau infonuagique du prestataire (Secrétariat du Conseil du trésor, 2014b). Malgré les ressources demandées, le chiffrement est une mesure sécuritaire fort avantageuse, car elle empêche l’usage non autorisé des renseignements personnels stockés dans des lieux moins sécuritaires ou inconnus, et ce, même lors de fuite ou de perte de données.
Quoique le chiffrement est valable pour tout le cycle de vie d’un renseignement personnel, l’anonymisation est applicable uniquement au stade inactif d’un renseignement personnel et peut donc y remplacer comme mesure sécuritaire à ce moment. En fait, un « renseignement est anonymisé lorsqu’il ne permet plus, de façon irréversible, d’identifier directement ou indirectement cette personne » (AAQ, 2020). Cette mesure pourrait être utilisée pour des renseignements d’une valeur patrimoniale, par exemple, mais n’est pas couramment permise (AAQ, 2021). Toutefois lorsqu’un organisme n’a pas procédé à la destruction des renseignements personnels n’ayant plus d’utilité, l’option d’anonymiser doit se présenter aux personnes concernées par ces renseignements selon l’article 155, alinéas 1 (6.3°) de la LA, puis l’article 90, alinéas 1 (3.2°) de la LP à partir du 22 septembre 2023. Malgré ce nouvel amendement, l’AAQ insiste que les critères d’application anonymisation et sa mise en œuvre sont absentes et nécessitent davantage de précisions et d’obligations pour les organismes publics et privés concernés (AAQ,2021).
Là où les lois sont lacunaires, les négociations contractuelles entre les prestataires et l’organisation-cliente doivent avoir lieu. Cela nous mène au second problème posé par l’utilisation de services infonuagiques : l’implication des parties tierces dans la gestion de données sensibles. Le cycle de vie d’un renseignement personnel se résume selon les activités de recueillement, d’accès autorisé au personnel, d’utilisation, de communication, de conservation ou de destruction, puis de diffusion (Secrétariat du Conseil du trésor, 2014a). Selon l’article 26 de la LCCJTI, le prestataire de services technologiques doit à son client l’intégrité et la confidentialité de ses données, qui peut se faire notamment en confiant au client le contrôle et la transparence de la gestion des renseignements à tout moment de leur cycle de vie (Secrétariat du Conseil du trésor, 2014a).
Crucialement, il y a l’étape de la destruction des données, qui est compliquée par la sauvegarde de plusieurs copies par les prestataires afin d’en assurer leur disponibilité (Vermeys et al., 2014). Néanmoins, le contrat doit clarifier les étapes de destruction complète des renseignements, et ce, même si aucune loi québécoise le requiert explicitement actuellement (AAQ, 2021). Cette mesure aurait pu éviter, par exemple, le vol de données personnelles des anciens clients lors de la fuite de données à Desjardins (AAQ,2021).
En somme, l’infonuagique est un outil adapté aux attentes du public à des services numériques instantanés, surtout en matière d’accès à l’information. Toutefois, il ne faut pas lâcher de vue les risques cyber-sécuritaires et de gestion de l’information qu’il pose à nos données sensibles et le besoin de mettre à jour les lois concernées. Les frontières entre les professions évoluent avec l’ère infonuagique et les archivistes possèdent dorénavant des aptitudes et des responsabilités jointes avec les professionnels en cybersécurité.
***
*Ce billet est une version rehaussée d’un travail qui a été réalisé à l’EBSI, Université de Montréal, dans le cadre du cours ARV1050 Introduction à l’archivistique donné au trimestre d’hiver 2022 par Virginie Wenglenski.
Références
Association des archivistes du Québec. (2020). Projet de loi 64 : Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, Analyse article par article. https://archivistes.qc.ca/wp-content/uploads/2020/09/Analyse_projet-de-loi-64.pdf
Association des archivistes du Québec. (2021). La Loi sur les archives dans le contexte de la transformation numérique de l’État québécois. https://studium.umontreal.ca/pluginfile.php/7813469/mod_resource/content/3/Memoire_AAQ.pdf
Centre canadien pour la cybersécurité. (2022). Empreinte Numérique. Gouvernement du Canada. https://www.cyber.gc.ca/fr/orientation/empreinte-numerique-itsap00133
Centre de la sécurité des télécommunications (Canada), Centre canadien pour la cybersécurité. (2022). Gérer les risques liés aux données du gouvernement du canada dans le contexte des services infonuagiques. Gouvernement du Canada. https://publications.gc.ca/collections/collection_2022/cstc-csec/D97-4-50-109-2022-fra.pdf
Code Civil du Québec. https://www.legisquebec.gouv.qc.ca/fr/pdf/lc/CCQ-1991.pdf
Herrenschmidt, C. (2000). L’internet et les réseaux. Le Débat, (3), 101-112. https://www.cairn.info/load_pdf.php?ID_ARTICLE=DEBA_110_0101&download=1&from-feuilleteur=1
Loi concernant le cadre juridique des technologies de l’information. Consulté le 1er mars 2023. https://www.legisquebec.gouv.qc.ca/fr/pdf/lc/C-1.1.pdf
Loi sur la protection des renseignements personnels dans le secteur privé. https://www.legisquebec.gouv.qc.ca/fr/pdf/lc/P-39.1.pdf
Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels. https://www.legisquebec.gouv.qc.ca/fr/pdf/lc/A-2.1.pdf
OQLF (2019). Confidentialité des Données. Gouvernement du Québec. https://vitrinelinguistique.oqlf.gouv.qc.ca/fiche-gdt/fiche/8364925/confidentialite-des-donnees
Peltière, F. (2019). Tout Savoir Sur Le Cloud Computing : Définition, comparatif, Acteurs, utilité. Astuces & Aide Informatique. https://www.astuces-aide-informatique.info/6840/cloud-definition
Radio-Canada. (2022). Le Tiers de la population mondiale n’a toujours pas accès à internet. Agence France-Presse https://ici.radio-canada.ca/nouvelle/1915773/onu-internet-international-connexion-mondial
Secrétariat du Conseil du trésor (2014). Guide de l’infonuagique, Volume 2 –Considérations en protection des renseignements personnels. Gouvernement du Québec https://www.tresor.gouv.qc.ca/fileadmin/PDF/ressources_informationnelles/architecture_entreprise_gouvernementale/AEG30_Infonuagique_v2_PRP_accessible.pdf
Secrétariat du Conseil du trésor (2014). Guide de l’infonuagique, Volume 3 – Considérations de contrôle et de sécurité. Gouvernement du Québec. https://www.tresor.gouv.qc.ca/fileadmin/PDF/ressources_informationnelles/architecture_entreprise_gouvernementale/AEG30_Infonuagique_v3_Securite_accessible.pdf
Nicolas VERMEYS, Julie M. GAUTHIER et Sarit MIZRAH. (2014). Étude sur les incidences juridiques de l’utilisation de l’infonuagique par le gouvernement du Québec. https://nicolasvermeys.openum.ca/files/sites/2/2014/07/Infonuagique.pdf
Convergence AAQ 