Qu’est-ce que la FIPPA de la C.-B.
Qu’est-ce que la FIPPA de la C.-B. (Freedom of Information and Protection of Privacy Act)?
La FIPPA de la C.-B. est la loi de la Colombie-Britannique sur la vie privée et l’accès à l’information dans le secteur public. Elle s’applique aux ministères, aux municipalités, aux autorités de la santé, aux conseils scolaires, aux universités, aux sociétés d’État et aux fournisseurs de services qui travaillent pour eux. Depuis le 1er février 2023, elle exige de tout organisme public qu’il mette en place un programme de gestion de la vie privée et qu’il signale les atteintes graves à la vie privée.
Associer vos contrôles de la FIPPA de la C.-B. Voir les composantes principales
RSBC 1996, c. 165 · programmes de gestion de la vie privée · avis d’atteinte depuis le 1er févr. 2023 · appliquée par l’OIPC de la C.-B.
Définition
La Freedom of Information and Protection of Privacy Act (FIPPA, parfois écrite FOIPPA) est la loi de la Colombie-Britannique qui régit la façon dont les organismes publics traitent les renseignements personnels et la façon dont le public peut demander leurs documents. Elle comporte deux volets : l’accès à l’information et la protection de la vie privée.
La FIPPA s’applique aux ministères provinciaux, aux municipalités et aux districts régionaux, aux sociétés d’État, aux conseils scolaires, aux autorités de la santé et aux hôpitaux publics, aux universités et aux collèges, à la police municipale et aux organismes professionnels autonomes. Les organisations privées de la C.-B. relèvent plutôt de la PIPA de la C.-B., et les banques provinciales de renseignements sur la santé désignées sont aussi régies par la BC E-Health Act.
La Loi a changé de façon importante en novembre 2021. Les modifications ont supprimé l’exigence générale de stocker les renseignements personnels au Canada, ont ajouté une exigence de programme de gestion de la vie privée et l’avis d’atteinte obligatoire (les deux en vigueur depuis le 1er février 2023) et ont créé de nouvelles infractions pour la collecte, l’utilisation et la communication non autorisées.
Le Bureau du commissaire à l’information et à la protection de la vie privée de la Colombie-Britannique (OIPC) surveille l’application de la FIPPA, enquête sur les plaintes et examine les décisions d’accès.
Composantes principales
Programme de gestion de la vie privée
Depuis le 1er février 2023, tout organisme public doit tenir un programme documenté : responsabilité en matière de vie privée, politiques, formation, évaluations des facteurs relatifs à la vie privée, réponse aux atteintes et examen régulier.
Avis d’atteinte obligatoire
Un organisme public doit aviser les personnes touchées et l’OIPC sans délai déraisonnable lorsqu’une atteinte pourrait raisonnablement causer un préjudice grave.
Évaluations des facteurs relatifs à la vie privée
Exigées pour toute initiative nouvelle ou modifiée qui met en jeu des renseignements personnels, avec une évaluation des risques documentée avant de stocker des renseignements personnels sensibles à l’extérieur du Canada.
Mesures de sécurité raisonnables
Les organismes publics doivent protéger les renseignements personnels contre des risques comme l’accès, la collecte, l’utilisation, la communication ou l’élimination non autorisés. En pratique, cela signifie un contrôle d’accès, une journalisation, l’application des correctifs et une surveillance dont vous pouvez fournir des preuves.
Fournisseurs de services
Les entrepreneurs qui traitent des renseignements personnels pour un organisme public, y compris les fournisseurs de services TI et de services gérés, sont liés par les règles de la FIPPA sur la vie privée, habituellement au moyen d’une annexe de protection de la vie privée dans le contrat.
Infractions et surveillance de l’OIPC
La collecte, l’utilisation ou la communication non autorisées, y compris la consultation indiscrète de dossiers, constituent une infraction passible d’amendes pouvant atteindre 50 000$ pour les particuliers et 500 000$ pour les sociétés. L’OIPC enquête sur les plaintes et examine les décisions d’accès.
Pourquoi c’est important
Pour les FSG et les fournisseurs TI qui servent des municipalités, des districts scolaires, des autorités de la santé et d’autres organismes publics de la C.-B., la FIPPA, c’est le contrat. Les équipes d’approvisionnement demandent une évaluation des facteurs relatifs à la vie privée, des preuves de mesures de sécurité, une détection des intrusions capable de satisfaire à l’obligation d’avis et une réponse claire sur l’endroit où les données sont stockées.
Les modifications de 2021 ont facilité l’utilisation des services infonuagiques, mais ne les ont pas rendus automatiques. Un organisme public doit tout de même évaluer les renseignements sensibles stockés à l’extérieur du Canada, et bon nombre préfèrent encore l’hébergement canadien, car il abrège cette évaluation.
Les infractions de consultation indiscrète visent aussi les utilisateurs autorisés. Les journaux d’audit qui montrent qui a consulté quoi et les alertes sur les accès inhabituels font maintenant partie de la démonstration d’une sécurité raisonnable.
Comment Lavawall® aide pour la FIPPA de la C.-B.
Lavawall® inclut la FIPPA de la C.-B. comme cadre distinct, aux côtés de la BC E-Health Act (désignée BC HIA), de la PIPA de la C.-B., de la LPRPDE et de la loi albertaine sur la vie privée du secteur public. Les réponses alimentent des contrôles communs; les preuves recueillies une seule fois comptent donc pour chaque cadre dont un client a besoin.
La détection des intrusions dans Microsoft 365 et Google Workspace, la surveillance de l’accès aux fichiers et à SharePoint, l’application des correctifs et les évaluations de la configuration produisent les preuves de mesures de sécurité et de détection des intrusions que demandent l’approvisionnement et les programmes de gestion de la vie privée de la FIPPA.
Lavawall® est hébergé au Canada (AWS Montréal par défaut, puis chez un hébergeur canadien établi à Vancouver au quatrième trimestre de 2026), ce qui simplifie le volet hors Canada de l’évaluation des facteurs relatifs à la vie privée d’un organisme public.
Commencer l’association de vos contrôles de la FIPPA de la C.-B. →
Questions fréquentes
- Qu’est-ce que la FIPPA de la C.-B.?
- La Freedom of Information and Protection of Privacy Act (RSBC 1996, c. 165), la loi de la Colombie-Britannique sur la vie privée et l’accès à l’information dans le secteur public. Elle donne au public le droit de demander des documents aux organismes publics et fixe les règles que ces organismes doivent suivre lorsqu’ils recueillent, utilisent, communiquent et protègent des renseignements personnels. On l’écrit parfois FOIPPA.
- À qui la FIPPA de la C.-B. s’applique-t-elle?
- Aux organismes publics de la C.-B. : ministères provinciaux, municipalités, sociétés d’État, conseils scolaires, autorités de la santé, universités et collèges, police municipale et organismes professionnels autonomes. Les entrepreneurs et fournisseurs de services qui traitent des renseignements personnels pour eux, y compris les FSG, assument des obligations en vertu de la FIPPA par leurs contrats et par la Loi elle-même.
- La FIPPA de la C.-B. exige-t-elle un avis d’atteinte?
- Oui. Depuis le 1er février 2023, un organisme public doit aviser les personnes touchées et l’OIPC de la C.-B. sans délai déraisonnable lorsqu’une atteinte à la vie privée pourrait raisonnablement causer un préjudice grave.
- La FIPPA de la C.-B. exige-t-elle toujours que les données soient stockées au Canada?
- Non. Les modifications de 2021 ont supprimé l’exigence générale de conserver les renseignements personnels au Canada. Les organismes publics doivent tout de même réaliser une évaluation des facteurs relatifs à la vie privée pour chaque initiative, et une évaluation des risques documentée avant de stocker des renseignements personnels sensibles à l’extérieur du Canada.
- Qu’est-ce qu’un programme de gestion de la vie privée selon la FIPPA?
- Un programme documenté que tout organisme public doit tenir depuis le 1er février 2023. Il couvre la responsabilité en matière de vie privée, les politiques, la formation, les évaluations des facteurs relatifs à la vie privée, la réponse aux atteintes et l’examen régulier.
- En quoi la FIPPA de la C.-B. diffère-t-elle de la PIPA de la C.-B. et de la BC E-Health Act?
- La FIPPA couvre les organismes publics. La PIPA de la C.-B. couvre les organisations privées, y compris les cabinets de santé privés. La BC E-Health Act, souvent cherchée sous le nom BC HIA, couvre les banques provinciales de renseignements sur la santé désignées. Les trois sont appliquées par l’OIPC de la C.-B.