Hébergement des données : les questions à poser pour votre OBNL

Choisir un environnement de gestion pour les renseignements personnels

Pour les associations et OBNL, l’emplacement des données n’est qu’un élément d’une démarche plus large. La protection des renseignements personnels repose aussi sur les accès, les processus internes, les ententes avec les fournisseurs et les responsabilités de l’organisation.

Questions à poser à un fournisseur

Avant de confier des renseignements personnels à un service, demandez des informations précises sur :

• L’emplacement où les données sont traitées et conservées.
• Les engagements contractuels, les sous-traitants et les modalités de restitution des données.
• Les pratiques de conservation, de suppression et de gestion des incidents.
• Les mécanismes que le fournisseur peut documenter pour protéger les renseignements.
• Les possibilités d’exporter vos données ou de mettre fin au service de façon ordonnée.

Structurer les pratiques de votre organisation

Un outil ne remplace pas les décisions de votre organisation. Il est utile de documenter les renseignements recueillis, les personnes qui y accèdent, les objectifs de leur utilisation et les processus à suivre lorsqu’un changement ou un incident survient.

Vous pouvez notamment :

• Clarifier les rôles de votre équipe et de vos fournisseurs.
• Limiter les accès aux personnes qui en ont besoin pour leurs tâches.
• Prévoir une marche à suivre pour les demandes d’accès ou de correction.
• Réviser périodiquement vos pratiques avec les personnes responsables dans votre organisation.

Une démarche à adapter à votre contexte

Les obligations et les risques varient selon les renseignements gérés, les activités de l’organisation et les ententes en place. Pour les décisions importantes, prenez le temps de consulter les ressources officielles pertinentes et, au besoin, une personne qualifiée.

Conclusion

L’évaluation d’un environnement de gestion des données demande des questions concrètes et une compréhension de vos propres pratiques. Aucun choix technique ne remplace la responsabilité de l’organisation envers les renseignements personnels qu’elle gère.