Loi 25 et votre organigramme

Votre organigramme, ce sont des renseignements personnels.

Cette phrase en dit plus long qu'il n'y paraît. Des noms, des courriels professionnels, des titres de poste, qui relève de qui, souvent des échelles salariales, parfois la ville de résidence ou le numéro d'employé. Au sens de la Loi 25 du Québec, il s'agit d'un dossier de renseignements personnels sur votre personnel, et vous en êtes responsable.

La plupart des entreprises ne voient jamais l'organigramme sous cet angle. Ça ressemble à un diagramme, pas à une base de données. Alors il est monté dans l'outil le plus proche, partagé par lien ou en PDF, et discrètement copié sur les serveurs d'un fournisseur, ailleurs.

Voici ce qui surprend les entreprises québécoises : pour la plupart des outils d'organigramme, cet « ailleurs » se trouve aux États-Unis.

Ce billet porte sur cette question précise. Ce que la Loi 25 demande vraiment d'un organigramme, pourquoi le lieu d'hébergement compte, et les cinq questions à poser à tout outil RH avant d'y téléverser votre liste de personnel. Nous fabriquons l'un de ces outils, alors lisez la dernière section en gardant ça en tête. Les cinq questions s'appliquent à nous aussi.

(Pour l'autre question québécoise, celle de la langue que parle votre logiciel, voyez un organigramme en français pour le Québec. Ce billet-là traite de la Loi 96 et de l'OQLF. Celui-ci porte sur la vie privée.)

Pourquoi la Loi 25 touche l'organigramme

La Loi 25 (anciennement le projet de loi 64) a été adoptée en 2021 et est entrée en vigueur par étapes au cours des trois années suivantes, transformant la façon dont les entreprises québécoises traitent les renseignements personnels. Trois de ses idées touchent directement l'organigramme.

Ce sont des renseignements personnels. La Loi 25 vise l'information qui concerne une personne identifiable. Un organigramme identifie des personnes par leur nom, leur rôle et leur lien hiérarchique. Il est donc visé. Les exportations et les liens de partage que vous en tirez le sont aussi.

Vous demeurez responsable quand vous le confiez à un fournisseur. Déposer votre liste de personnel dans un logiciel ne transfère pas la responsabilité qui vient avec. Votre entreprise en demeure responsable, et on s'attend à ce que vous sachiez ce que le fournisseur en fait.

Le communiquer à l'extérieur du Québec exige du travail au préalable. Depuis septembre 2023, avant de communiquer des renseignements personnels à l'extérieur de la province, une organisation doit réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) qui soupèse la sensibilité de l'information, l'usage qui en sera fait et le cadre juridique de l'endroit où elle aboutit. La communication doit aussi être encadrée par une entente écrite. C'est un vrai travail. C'est aussi l'étape qu'on saute discrètement quand quelqu'un s'inscrit à un outil avec une carte de crédit.

Rien de tout ça ne rend un organigramme interdit ni dangereux. Ça en fait un dossier dont vous devriez pouvoir rendre compte.

La question de la résidence des données

Alors, où vit vraiment votre organigramme ?

Pour la plupart des outils connus, la réponse est un centre de données américain. L'énoncé de sécurité de ChartHop le dit clairement : hébergé sur Amazon Web Services dans us-east-1, la région de la Virginie, avec ses bases de données de production dans la même région. Pingboard, maintenant vendu au sein de Workleap, et Lucidchart sont eux aussi des plateformes hébergées aux États-Unis.

Ce n'est pas un scandale, et ce n'est pas de la négligence. C'est simplement là où la majeure partie de l'infrastructure SaaS a été bâtie. Beaucoup d'entreprises québécoises utilisent tous les jours des logiciels hébergés aux États-Unis et le gèrent correctement.

Mais ça a un coût, et ce coût, c'est de la paperasse. Quand l'outil qui détient votre liste de personnel se trouve en Virginie, il s'agit d'une communication à l'extérieur du Québec : l'EFVP et l'entente écrite s'appliquent. Vous documentez la communication, vous examinez les protections en vigueur là où les données aboutissent, et vous restez prêt à expliquer la décision si on vous le demande. Multipliez ça par chaque outil de votre parc logiciel et vous comprendrez pourquoi les responsables de la protection des renseignements personnels d'entreprises de 40 personnes ont l'air fatigués.

Le raccourci n'est pas un meilleur argument juridique. C'est de choisir, quand c'est raisonnablement possible, des outils qui gardent les données au Canada dès le départ. Moins de communications, des évaluations plus courtes.

Les cinq questions à poser à tout outil RH

Peu importe l'outil que vous retenez, voici les questions à poser avant d'y déposer votre liste de personnel. Elles sont neutres, peu importe le fournisseur. Posez-les-nous, posez-les à tout le monde.

Où les données sont-elles physiquement stockées ? Pas « où se trouve le siège social », qui est une autre question avec une autre réponse. Demandez la région. Une réponse franche ressemble à « Canada, région de Montréal » ou « États-Unis, us-east-1 ». Un fournisseur incapable de vous le dire rapidement vous dit quelque chose.
Qui peut voir les champs sensibles ? Le salaire est l'exemple évident. Si le salaire figure dans votre fichier de personnel, demandez s'il peut être masqué aux personnes qui ne devraient pas le voir, et s'il est masqué sur le serveur ou seulement dans l'interface. Ce sont deux choses très différentes. La minimisation des données est une idée de la Loi 25 : chacun devrait voir ce que son rôle exige, pas tout le contenu du fichier.
Qu'est-ce qui est accessible sans connexion ? Les liens de partage publics sont extrêmement utiles et sont aussi la façon la plus simple de laisser fuir un annuaire du personnel. Demandez ce qu'un lien de partage expose. Inclut-il les adresses courriel ? Les salaires ? Peut-on le désactiver ? Un lien qui transporte discrètement tous les champs est un problème qui attend sa capture d'écran.
Comment l'accès est-il cloisonné entre les organisations et entre les utilisateurs ? Dans un produit multilocataire, les données de chaque client résident dans une infrastructure partagée. Demandez comment les données d'une entreprise sont tenues à l'écart de celles d'une autre, et comment l'accès d'un employé est tenu à l'écart de celui d'un autre. La bonne réponse, c'est une isolation appliquée dans la base de données, pas seulement dans le code de l'application.
Que se passe-t-il à l'exportation et à la suppression ? Les exportations sortent du système. Un PDF de l'organigramme complet avec les salaires devient un fichier sur le portable de quelqu'un, hors de tous les contrôles que vous venez de passer en revue. Et quand vous quittez le fournisseur, demandez ce que la suppression veut dire concrètement et combien de temps elle prend.

Gardez cette liste. Elle est plus utile qu'une page de conformité de fournisseur, parce qu'elle les oblige à répondre par des précisions.

Comment OrgPlease y répond

Des réponses franches à nos propres cinq questions.

Où les données sont stockées. Le dépôt de données principal d'OrgPlease tourne à Montréal, dans la région canadienne d'AWS. Vos données de personnel sont stockées au Canada, chiffrées en transit et au repos. Nous les y avons déplacées délibérément, parce que « les données restent au Canada » est une phrase nettement plus simple à manier pour une entreprise québécoise que « les données sont en Virginie, et voici notre analyse de la communication ».

Champs sensibles. Le salaire et les autres colonnes sensibles peuvent être masqués, et ils sont filtrés sur le serveur avant l'envoi de l'organigramme, pas seulement dissimulés visuellement dans le navigateur. Une personne sans permission ne reçoit tout simplement pas le chiffre.

Ce qui est public. Un lien de partage affiche un organigramme en direct, en lecture seule, dont les champs sensibles ont été retirés, et il n'expose jamais les adresses courriel. Vous pouvez désactiver un lien. Il existe pour que vous puissiez envoyer l'organigramme à toute l'entreprise ou à un conseil d'administration sans donner d'accès à personne, et sans remettre le fichier sous-jacent.

Cloisonnement des accès. Les données de chaque organisation sont limitées à ses propres membres par une sécurité au niveau des lignes appliquée dans la base de données, de sorte que l'isolement ne dépend pas du fait que l'application pense à vérifier.

Exportations et la mise en garde honnête. Les exportations sont de vrais fichiers : un PDF vectoriel, un PowerPoint modifiable, une liste de personnel Excel. Une fois exportés, ils vivent là où vous les mettez, ce qui est vrai de tous les outils et mérite d'être dit tout haut. Et notre modèle de données repose sur le téléversement : l'organigramme est à jour jusqu'à votre dernier téléversement, plus les modifications que vous faites dans l'application. Nous n'avons pas de synchronisation SIRH en direct, et nous préférons vous le dire plutôt que de vous laisser le supposer.

Ce que ça fait, et ce que ça ne fait pas

Voici l'endroit où bien des pages de fournisseurs en font trop, alors soyons précis.

Utiliser OrgPlease ne rend pas votre entreprise conforme à la Loi 25. Aucun logiciel ne peut faire ça, et le fournisseur qui vous dit le contraire vous vend de la tranquillité d'esprit, pas de la conformité. La conformité est une posture qui engage toute l'entreprise : vos politiques, votre responsable de la protection des renseignements personnels, votre inventaire des renseignements personnels, vos évaluations, vos pratiques de conservation, vos procédures en cas d'incident. Un seul outil, c'est une ligne à l'intérieur de tout ça.

Ce que l'hébergement canadien et la confidentialité au niveau des champs vous procurent vraiment, c'est une conversation plus courte. Quand votre responsable de la protection des renseignements personnels demande où vit la liste de personnel, « Montréal » met fin à la question au lieu d'ouvrir une évaluation de communication. Quand quelqu'un demande qui peut voir les salaires, vous avez une réponse précise. Ce n'est pas de la conformité. C'est une exception de moins à expliquer, sur l'un des rares documents de l'entreprise que tout le monde voit.

Si votre responsable de la protection des renseignements personnels veut des détails pour une évaluation, demandez-nous. Nous tenons une documentation exactement pour ça.

En résumé

Deux lois québécoises ont discrètement transformé l'organigramme en document assorti d'obligations. La Loi 96 s'intéresse à la langue qu'il parle. La Loi 25 s'intéresse à l'endroit où il vit et à qui peut voir ce qu'il contient.

Le geste pratique n'est pas de paniquer devant un diagramme. C'est de poser les cinq questions à l'outil que vous utilisez, de noter les réponses, et de privilégier l'hébergement canadien quand une bonne option existe. Pour une entreprise québécoise de 25 à 200 personnes, c'est un court après-midi de travail qui rendra une future évaluation bien plus facile.

Ce billet est de l'information générale, pas un avis juridique. Pour vos obligations en vertu de la Loi 25, consultez votre conseiller juridique ou la Commission d'accès à l'information du Québec directement.

Essayez-le, gratuit jusqu'à 25 employés. Interface bilingue, données à Montréal, sans carte de crédit. Créez votre organigramme gratuit