Loi 25 et données financières : ce qu'un dirigeant doit savoir
Confier ses données comptables à un tiers engage votre responsabilité, pas seulement la sienne. Quatre questions à poser avant de signer.
Depuis l’entrée en vigueur complète de la Loi 25 au Québec, une entreprise reste responsable des renseignements personnels qu’elle confie à un fournisseur. Le mot important est reste : externaliser un traitement ne transfère pas la responsabilité.
Pour un dirigeant de PME qui envisage de donner accès à sa comptabilité, ça se traduit par quatre questions concrètes.
1. Quelles données sortent réellement de chez moi ?
La bonne réponse n’est pas « les données financières ». C’est une liste.
Un système comptable contient bien plus que des montants. QuickBooks stocke pour chaque client jusqu’à six types de coordonnées : adresse de facturation, adresse de livraison, courriel, téléphone, cellulaire, site web. Il stocke des notes libres. Il stocke des noms de personnes physiques dès qu’un de vos clients est un particulier ou un travailleur autonome.
Rien de tout ça n’est nécessaire à une analyse financière. Un fournisseur sérieux vous dira ce qu’il ne reprend pas, et pourra le démontrer.
De notre côté, la minimisation se fait à l’extraction : les coordonnées ne sont jamais reprises, les salaires individuels non plus. Ce qui reste, c’est le nom commercial des tiers, parce qu’un constat qui dit « deux fiches fournisseur en double » sans dire lesquelles n’est utile à personne.
2. Où vivent-elles physiquement ?
La Loi 25 n’interdit pas l’hébergement hors Québec, mais elle impose une évaluation des facteurs relatifs à la vie privée avant toute communication à l’extérieur. En pratique, pour une PME, la conversation est beaucoup plus simple si tout reste au Canada.
Demandez la région d’hébergement, pas le pays du siège social du fournisseur. Ce sont deux choses différentes, et c’est la première qui compte.
3. Qui, chez le fournisseur, peut voir mes chiffres ?
Question rarement posée, et pourtant la plus révélatrice. Trois sous-questions suffisent :
- Les données de vos clients sont-elles cloisonnées les unes des autres, ou vivent-elles dans une base commune avec un filtre applicatif ?
- Combien de personnes ont un accès technique aux données brutes ?
- Cet accès est-il tracé ?
Un cloisonnement par entreprise, avec un espace de stockage distinct par client, est une réponse structurelle. Un filtre dans le code est une réponse qui dépend de l’absence de bogue.
4. Que se passe-t-il quand j’arrête ?
C’est la question qu’on oublie parce qu’on la pose au mauvais moment, au début d’une relation qu’on espère longue. C’est pourtant la seule qui se règle uniquement à ce moment-là.
Deux points à faire écrire :
Le délai et la portée de la suppression. Toutes les copies, y compris les sauvegardes et les fichiers descendus sur des postes de travail.
Les obligations de conservation qui s’y opposent. Certaines pièces financières doivent être conservées plusieurs années, et cette obligation peut survivre à la fin du mandat. Mieux vaut en convenir au départ que de le découvrir au moment de partir.
Ce que ça implique pour nous
Nous appliquons ces quatre règles à nous-mêmes : minimisation à la source, hébergement au Canada, cloisonnement par entreprise, suppression sur demande avec les obligations de conservation discutées au départ.
Nous le mentionnons ici pour une raison précise : un fournisseur qui vous explique la Loi 25 sans vous dire comment il s’y conforme lui-même fait du marketing. Posez-lui les quatre questions.
Ce texte décrit notre lecture des obligations courantes et ne constitue pas un avis juridique. Pour une situation particulière, consultez un conseiller qualifié.