La conformité Loi 25 ne se règle pas avec une politique publiée sur l’intranet. Elle exige de savoir où se trouvent les renseignements personnels, qui y accède, combien de temps ils sont conservés et comment ils sont détruits. SharePoint et Microsoft Purview couvrent l’essentiel de ces obligations — encore faut-il les configurer.
L’essentiel en bref
- La Loi 25 impose de démontrer vos pratiques, pas seulement de les déclarer.
- Les lecteurs réseau rendent presque impossible la traçabilité exigée.
- Étiquettes de confidentialité, journaux d’audit et calendrier de conservation forment le socle technique.
- Le droit à l’effacement suppose de pouvoir localiser un renseignement dans l’ensemble du parc documentaire.
Ce que la Loi 25 change pour vos documents
La Loi modernisant des dispositions législatives en matière de protection des renseignements personnels — la Loi 25 — a déplacé le fardeau vers la démonstration. Il ne suffit plus d’affirmer que les renseignements sont protégés; il faut pouvoir le prouver.
Concrètement, cela se traduit par quatre capacités que votre environnement documentaire doit posséder :
- Localiser — savoir dans quels sites, bibliothèques et boîtes se trouvent les renseignements personnels.
- Contrôler — restreindre l’accès selon le rôle et pouvoir réviser ces accès périodiquement.
- Tracer — conserver un journal fiable des consultations, modifications et partages.
- Disposer — appliquer un calendrier de conservation et répondre aux demandes d’effacement.
Un incident de confidentialité doit par ailleurs être consigné dans un registre. Sans traçabilité, ce registre repose sur des souvenirs.
Pourquoi les lecteurs réseau ne suffisent plus
Les serveurs de fichiers traditionnels n’ont jamais été conçus pour ce type d’exigence. Les limites deviennent évidentes dès qu’un audit ou une demande d’accès survient.
- Aucun journal exploitable de qui a ouvert ou copié un fichier.
- Des droits accordés à des groupes larges, jamais révisés, souvent hérités d’employés partis.
- Des copies éparpillées dans des dossiers personnels et des boîtes courriel.
- Aucune notion de cycle de vie : rien ne s’archive et rien ne se détruit.
Ajoutez à cela le contexte bilingue de nombreuses organisations québécoises, où les mêmes documents existent en deux versions, et le portrait devient rapidement ingérable.
Les fonctions SharePoint qui portent la conformité
Bibliothèques structurées et types de contenu
Plutôt qu’une arborescence unique, on définit des bibliothèques dédiées : contrats, dossiers d’employés, plaintes, incidents. Chacune porte ses métadonnées propres — catégorie de renseignement, unité responsable, niveau de sensibilité, date de référence.
Étiquettes de confidentialité
Elles appliquent le chiffrement, le marquage visuel et les restrictions de partage directement au document, où qu’il aille. Un fichier étiqueté « Confidentiel — renseignements personnels » conserve ses protections même téléchargé.
Journaux d’audit et découverte électronique
Microsoft Purview conserve l’historique des actions et permet de rechercher un contenu dans SharePoint, OneDrive, Teams et Exchange simultanément. C’est le mécanisme qui rend une demande d’accès réalisable en heures plutôt qu’en semaines.
Calendrier de conservation
Les étiquettes de rétention automatisent l’archivage et la destruction selon la catégorie de document. La conservation légale gèle le tout en cas de litige. Notre article sur les politiques de conservation Purview détaille la mise en place.
Le droit à l’effacement en pratique
C’est l’obligation qui met le plus de systèmes en difficulté. Répondre à une demande d’effacement suppose de retrouver toutes les occurrences d’un renseignement, d’évaluer si une obligation légale impose de le conserver malgré la demande, puis de documenter la décision.
Trois conditions rendent l’exercice réalisable :
- Une classification qui identifie les documents contenant des renseignements personnels.
- Une recherche transversale couvrant l’ensemble du locataire Microsoft 365.
- Un registre des demandes et des suites données, conservé comme preuve.
Sans ces trois éléments, chaque demande devient un projet manuel — et le délai légal de réponse devient difficile à respecter.
Une feuille de route réaliste
La mise en conformité ne se fait pas en un bloc. Une progression par phases donne de meilleurs résultats et évite de paralyser les opérations.
- Phase 1 — Diagnostic. Cartographier où vivent les renseignements personnels et repérer les dépôts à risque : lecteurs partagés, archives courriel, postes locaux.
- Phase 2 — Fondations. Structurer les bibliothèques prioritaires, déployer les types de contenu et activer la journalisation.
- Phase 3 — Automatisation. Étiquettes de confidentialité, calendrier de conservation, alertes et flux d’approbation.
- Phase 4 — Preuve. Tableaux de bord, registre des incidents, revue périodique des accès.
Chaque phase produit un résultat démontrable. C’est ce qui distingue une démarche de conformité d’une politique restée théorique.
Questions fréquentes
SharePoint suffit-il à assurer la conformité à la Loi 25 ?
SharePoint fournit les mécanismes techniques — contrôle d’accès, journalisation, conservation, découverte — mais la conformité reste une démarche organisationnelle. Il faut y ajouter un calendrier de conservation validé, des rôles définis et un registre des incidents.
Où sont hébergées les données dans Microsoft 365 pour une organisation québécoise ?
Microsoft offre la résidence des données au Canada pour les principales charges de travail, dont SharePoint et Exchange. La configuration doit être vérifiée au niveau du locataire, car elle dépend de la région choisie lors de sa création.
Comment démontrer la conformité lors d’un audit ?
Par les journaux d’audit Purview, le calendrier de conservation documenté, les rapports de révision des accès et le registre des incidents de confidentialité. L’objectif est de produire une preuve datée plutôt qu’une déclaration d’intention.