Hébergement des données : les questions à poser pour votre OBNL

Choisir un environnement de gestion pour les renseignements personnels

Pour les associations et OBNL, l’emplacement des données n’est qu’un élément d’une démarche plus large. La protection des renseignements personnels repose aussi sur les accès, les processus internes, les ententes avec les fournisseurs et les responsabilités de l’organisation.

Questions à poser à un fournisseur

Avant de confier des renseignements personnels à un service, demandez des informations précises sur :

• L’emplacement où les données sont traitées et conservées.
• Les engagements contractuels, les sous-traitants et les modalités de restitution des données.
• Les pratiques de conservation, de suppression et de gestion des incidents.
• Les mécanismes que le fournisseur peut documenter pour protéger les renseignements.
• Les possibilités d’exporter vos données ou de mettre fin au service de façon ordonnée.

Structurer les pratiques de votre organisation

Un outil ne remplace pas les décisions de votre organisation. Il est utile de documenter les renseignements recueillis, les personnes qui y accèdent, les objectifs de leur utilisation et les processus à suivre lorsqu’un changement ou un incident survient.

Vous pouvez notamment :

• Clarifier les rôles de votre équipe et de vos fournisseurs.
• Limiter les accès aux personnes qui en ont besoin pour leurs tâches.
• Prévoir une marche à suivre pour les demandes d’accès ou de correction.
• Réviser périodiquement vos pratiques avec les personnes responsables dans votre organisation.

Une démarche à adapter à votre contexte

Les obligations et les risques varient selon les renseignements gérés, les activités de l’organisation et les ententes en place. Pour les décisions importantes, prenez le temps de consulter les ressources officielles pertinentes et, au besoin, une personne qualifiée.

Conclusion

L’évaluation d’un environnement de gestion des données demande des questions concrètes et une compréhension de vos propres pratiques. Aucun choix technique ne remplace la responsabilité de l’organisation envers les renseignements personnels qu’elle gère.

---

En bref : l’emplacement ne remplace pas la gouvernance des accès

Héberger au Québec est un critère parmi d’autres. La protection des renseignements personnels repose d’abord sur des décisions organisationnelles : comptes nominatifs, moindre privilège, revue régulière des accès et limites claires sur les renseignements sensibles. Un environnement canadien bien gouverné vaut mieux qu’un emplacement prestigieux mal accès.

Les cinq vérifications à faire avant de signer

1. Où les données sont-elles traitées et sous quelle juridiction ?
2. Qui, chez vous, aura accès à quelles fiches — et qui peut le révoquer ?
3. Comment une invitation est-elle émise, suivie et retirée ?
4. Quelles informations considérez-vous comme sensibles, et comment les limitez-vous ?
5. Qui tient le registre des incidents, même mineurs ?

Questions fréquentes

Par où commencer côté accès ? Par la réponse gestion des accès et de la sécurité et le guide gestion des accès.

Comment limiter l’accès à des renseignements sensibles ? Par les rôles et le moindre privilège, configurés selon votre projet. Voir données sensibles et rôles et permissions.

Qui doit suivre la conformité dans l’organisation ? La personne responsable de la protection des renseignements personnels ou un conseiller qualifié. Les repères généraux sont réunis dans notre page Loi 25.