Protéger les données des élèves : ce que la Loi 25 et la LPRPDE exigent

Les écoles détiennent parmi les renseignements les plus sensibles qui soient : notes médicales, situations familiales, statut d'immigration, dossiers de comportement, le tout au sujet de mineurs qui ne peuvent consentir pour eux-mêmes. Au Canada, le cadre de protection des renseignements personnels s'est resserré ces dernières années. Le présent article offre une information générale pour aider les équipes administratives à y voir clair; il ne constitue pas un avis juridique, et chaque établissement devrait valider ses obligations précises auprès d'un conseiller qualifié.

Le cadre canadien

Les renseignements personnels au Canada relèvent d'un cadre à plusieurs étages. Au fédéral, la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) encadre la façon dont les organisations recueillent, utilisent et communiquent les renseignements personnels dans le cours de leurs activités commerciales. Les provinces ajoutent leurs propres lois par-dessus.

Au Québec, la loi modernisée souvent appelée Loi 25 a marqué un tournant. Elle a renforcé les exigences de consentement, obligé de nombreuses organisations à désigner un responsable de la protection des renseignements personnels, et instauré la déclaration obligatoire des incidents de confidentialité. Partout au pays, les organismes publics et plusieurs autorités scolaires sont par ailleurs assujettis à des lois provinciales d'accès et de protection de type FIPPA.

Les détails varient d'une province à l'autre, mais une même colonne vertébrale les traverse :

• Le consentement : recueillir les renseignements pour une fin claire, avec le consentement approprié.
• La minimisation : ne collecter que ce dont on a réellement besoin.
• La conservation limitée : ne garder les données qu'aussi longtemps que la fin l'exige.
• Le droit d'accès : toute personne peut demander ce que vous détenez à son sujet.
• La notification d'incident : déclarer les incidents sérieux aux bonnes personnes et aux autorités compétentes.

Les obligations concrètes

Derrière ces principes se cachent des gestes très concrets. Sans entrer dans le détail propre à chaque province, on peut retenir cinq attentes que la plupart des cadres partagent.

• Consentement. Expliquer aux familles pourquoi vous recueillez chaque renseignement et obtenir leur accord pour cet usage précis.
• Minimisation. Réviser vos formulaires : chaque champ que vous cessez d'exiger est un champ que vous n'avez plus à protéger, ni à détruire un jour.
• Conservation limitée. Fixer une durée de vie pour chaque type de dossier et disposer des renseignements de façon délibérée à l'échéance.
• Droit d'accès. Être en mesure de retrouver, et de communiquer, ce que vous détenez sur une personne qui en fait la demande.
• Notification d'incident. Savoir d'avance qui prévenir, et comment, lorsqu'un incident de confidentialité survient.

Liste de vérification pour l'école

Nul besoin d'un service juridique pour progresser réellement. L'essentiel du risque, dans une école, tient à une poignée d'habitudes. Parcourir cette liste constitue un bon point de départ :

1. Appliquer l'accès selon les rôles. Tout le personnel n'a pas à voir tous les dossiers. L'accès doit suivre la fonction : un agent d'admission, un enseignant et un comptable ne voient pas les mêmes renseignements.
2. Chiffrer les données sensibles. Les fichiers devraient être chiffrés en transit et au repos, et conservés dans un espace privé plutôt que dans un dossier accessible à tous.
3. Tenir des journaux d'audit. Un registre indiquant qui a consulté, modifié ou téléchargé quoi, et quand, transforme le « on pense que tout allait bien » en quelque chose de vérifiable.
4. Choisir des fournisseurs conformes. Si une plateforme héberge les données de vos élèves, demandez où elles résident, qui peut y accéder et quelles sont ses mesures de sécurité. Leurs pratiques deviennent les vôtres.
5. Préparer un plan d'incident. Mettre par écrit, avant tout événement, qui est avisé, qui décide et comment vous communiquez. Un plan rédigé sous pression est rarement un bon plan.

La plupart des atteintes à la vie privée ne sont pas des intrusions spectaculaires venues de l'extérieur. Ce sont de petits raccourcis bien intentionnés que personne n'a jamais nettoyés.

Les pièges courants

Les risques qui rattrapent vraiment les écoles n'ont rien d'exotique. Ce sont les raccourcis du quotidien, qui grossissent en silence jusqu'à ce qu'un problème éclate.

• Les chiffriers partagés. Un seul fichier contenant des centaines de dossiers d'élèves, transmis par lien, copié sur des ordinateurs portables, sans trace de qui l'a ouvert. Pratique, et presque impossible à encadrer.
• Les courriels personnels. Une pièce jointe sensible transférée vers une boîte privée « juste pour terminer à la maison » échappe entièrement au contrôle de l'école : hors de ses règles de conservation, de ses accès et de ses protections.
• Les partages de fichiers non gérés. Un disque que tout le monde peut atteindre, où les dossiers s'accumulent pendant des années sans que personne ne sache plus qui y a accès, ni pourquoi.

Par où commencer cette semaine

La conformité peut sembler écrasante vue d'ensemble; elle devient gérable dès qu'on la découpe en gestes concrets. Trois actions, réalisables sans projet d'envergure, donnent déjà un élan :

• Faire l'inventaire. Dresser la liste des endroits où vivent des renseignements d'élèves : systèmes, chiffriers, disques partagés, boîtes courriel. On ne protège pas ce qu'on n'a pas recensé.
• Retirer un raccourci. Choisir une mauvaise habitude répandue (un chiffrier partagé, par exemple) et la remplacer par une option sécuritaire et plus simple.
• Nommer un responsable. Confier à une personne la cohérence de la démarche, plutôt que de la laisser à la bonne volonté générale.

Aucun de ces gestes ne découle d'une mauvaise intention. Ils naissent de personnes occupées qui règlent un problème avec l'outil le plus proche. Le remède consiste à faire du chemin sécuritaire le chemin le plus facile, pour que le personnel ne soit pas tenté de le contourner. Bien menée, la protection des données et la gestion d'un bureau plus serein se révèlent être un seul et même projet, et la confiance des familles suit naturellement.