LPRPDE et hébergement web : ce que les entreprises canadiennes doivent savoir

La LPRPDE, la Loi sur la protection des renseignements personnels et les documents électroniques, est la loi fédérale canadienne sur la protection des données du secteur privé. Si votre site web collecte des renseignements personnels de résidents canadiens, la LPRPDE régit la façon dont vous les collectez, utilisez et divulguez. Votre hébergeur fait partie de cette équation.

Les dix principes et lesquels touchent à l'hébergement

Le cadre de la LPRPDE est construit autour de dix principes équitables en matière d'information. Quatre d'entre eux impliquent directement vos décisions d'hébergement. Responsabilité : vous êtes responsable des renseignements personnels sous votre contrôle, y compris les informations détenues par des sous-traitants comme les hébergeurs. Mesures de sécurité : les renseignements personnels doivent être protégés par des mesures de sécurité appropriées à leur sensibilité. Transparence : vos pratiques de confidentialité doivent être accessibles aux utilisateurs sous une forme généralement compréhensible. Et accès individuel : les individus ont le droit d'accéder aux renseignements personnels que vous détenez à leur sujet.

L'obligation de transfert à un tiers

Lorsque vous envoyez des renseignements personnels à un hébergeur, vous les transférez à un tiers. La LPRPDE exige que vous preniez des mesures raisonnables pour assurer une protection comparable lorsque vous faites cela. Un hébergeur opérant sous la loi canadienne est simple à caractériser comme offrant une protection comparable. Un fournisseur américain soumis au CLOUD Act est plus difficile, car le CLOUD Act crée un mécanisme de divulgation des données que la LPRPDE ne contemple pas comme cohérent avec ses principes.

Ce que votre accord d'hébergement devrait prévoir

Au minimum, votre accord d'hébergement devrait : exiger du fournisseur qu'il protège les renseignements personnels à l'aide de mesures de sécurité appropriées ; restreindre le fournisseur au traitement des renseignements personnels uniquement aux fins que vous avez spécifiées ; exiger du fournisseur qu'il vous notifie en cas de violation de sécurité affectant vos données ; et traiter la conservation et la suppression des données à la fin de la relation. La plupart des conditions de service d'hébergement génériques n'incluent pas ces dispositions de manière significative.

LPRPDE vs Loi 25 du Québec : comprendre les différences

La LPRPDE est le plancher fédéral pour la vie privée du secteur privé au Canada. La Loi 25 du Québec est plus exigeante à plusieurs égards : elle exige des évaluations des facteurs relatifs à la vie privée obligatoires avant de déployer une nouvelle technologie impliquant des renseignements personnels, elle exige une notification des violations à la Commission d'accès à l'information du Québec, elle donne aux individus un droit à la portabilité des données, et les pénalités pour les violations sont plus élevées. Pour les entreprises opérant au Québec, les deux lois s'appliquent et vous devez satisfaire la plus exigeante des deux dans chaque domaine.