Pourquoi cela concerne le conseil
Les problèmes de technologie dans un OBNL sont rarement techniques. Ce sont presque toujours des problèmes de gouvernance : des comptes ouverts avec l'adresse personnelle d'un employé ou d'un bénévole, des abonnements qui s'additionnent sans jamais avoir été votés, des données sensibles dont personne ne sait où elles se trouvent, une personne qui « s'occupe de l'informatique » et dont tout dépend. Aucun de ces risques n'apparaît dans les procès-verbaux avant qu'il ne se réalise.
Dix questions à poser avant d'adopter une application
- Qui est responsable de cet outil? Une personne précise doit en répondre, avec un remplaçant désigné.
- À qui appartiennent les comptes et les noms de domaine? Ils devraient être au nom de l'organisme, pas d'une personne.
- Quels renseignements personnels l'outil contiendra-t-il? Membres, donateurs, bénévoles, participants, employés : savoir lesquels détermine le niveau de précaution.
- Où sont hébergées les données, et qui peut y accéder? Y compris le fournisseur et ses sous-traitants.
- Peut-on récupérer nos données? Dans un format lisible, si le fournisseur ferme, double ses prix ou change ses conditions.
- Combien cela coûte-t-il sur trois ans? Abonnement, formation, entretien et temps du personnel, pas seulement le prix de départ.
- Qui formera et soutiendra les utilisateurs? Un bon outil mal adopté ne règle rien.
- Qui approuve les changements? Nouveaux abonnements, nouvelles fonctions, nouveaux fournisseurs.
- Comment saura-t-on que ça fonctionne? Un ou deux indicateurs simples, fixés au départ.
- Que se passe-t-il si la personne qui s'en occupe part demain? L'organisme reprend-il le contrôle de ses comptes, et en combien de temps?
Qui décide quoi?
| Instance | Rôle en matière de technologie |
|---|---|
| Conseil d'administration | Approuve la politique d'utilisation des technologies et les engagements financiers récurrents importants, s'assure que la personne responsable de la protection des renseignements personnels est désignée et connue, et reçoit un rapport annuel sur les risques. |
| Direction générale | Choisit et déploie les outils dans le cadre approuvé, tient l'inventaire des comptes et des abonnements, gère les fournisseurs et rend compte au conseil. |
| Équipe et bénévoles | Utilisent les outils selon les règles d'accès et signalent rapidement tout incident ou comportement inhabituel. |
Un inventaire à faire ce mois-ci
- Dressez la liste des outils et des abonnements, avec le coût mensuel ou annuel de chacun.
- Pour chaque outil, notez qui détient les accès d'administrateur.
- Vérifiez sous quelle adresse courriel chaque compte essentiel a été ouvert.
- Repérez où se trouvent les renseignements sensibles (fichiers, courriels, applications).
- Demandez à quand remonte le dernier essai de restauration d'une sauvegarde. Une sauvegarde jamais testée est une hypothèse, pas une protection.
Ce que la Loi 25 change pour vos applications
La Loi 25 ne prévoit aucune exemption fondée sur la taille ni sur l'absence de but lucratif. Dès qu'un organisme recueille des renseignements personnels, les obligations suivantes touchent directement ses outils : désigner un responsable de la protection des renseignements personnels et publier son titre ou son nom, publier une politique de confidentialité en termes simples quand les renseignements sont recueillis par un moyen technologique, tenir un registre des incidents de confidentialité, et réaliser une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements hors Québec.
Ce guide ne remplace ni la loi ni un avis juridique. Pour vérifier une obligation, consultez les sources officielles : la Commission d'accès à l'information et le texte de la Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1).
Pour aller plus loin
- Grille d'autoévaluation de la gouvernance du CA (Cap Commun) : 36 énoncés répartis en six dimensions, dont la gouvernance des technologies.
- Les six dimensions de la gouvernance d'un OBNL (Cap Commun) : ce qu'un conseil devrait surveiller, dimension par dimension.
- Obligations de la Loi 25 pour un OBNL (Cap Commun) : chaque obligation avec sa source officielle.
- Remplacer Airtable ou Excel dans votre OBNL : quand et comment changer d'outil.