Gouvernance des données

Renseignement Confidentiel Renseignement Personnel Obligations Sécurité Valorisation

Valeur de l’information pour des tiers Argent et effort investis afin de collecter ou développer l’information Facilité avec laquelle un tiers pourrait acquérir ou dupliquer l’information par lui-même Étendue de la diffusion de l’information à - l’extérieur de l’entreprise - l’intérieur de l’entreprise Mesures de sécurité mise en place pour assurer la confidentialité de l’information

© 2015 KPMG s.r.l./ S.E.N.C.R.L., société canadienne à responsabilité limitée et cabinet membre du réseau KPMG de cabinets indépendants affiliés à KPMG International Cooperative (« KPMG International »), entité suisse. Tous droits réservés. 4 Conservation La personne responsable de l'accès à un document technologique qui porte un renseignement confidentiel doit prendre les mesures de sécurité propres à en assurer la confidentialité, notamment par -un contrôle d'accès effectué au moyen -d'un procédé de visibilité réduite ou -d'un procédé qui empêche une personne non autorisée -de prendre connaissance du renseignement ou, selon le cas, -d'avoir accès autrement -au document ou -aux composantes qui permettent d'y accéder.

© 2015 KPMG s.r.l./ S.E.N.C.R.L., société canadienne à responsabilité limitée et cabinet membre du réseau KPMG de cabinets indépendants affiliés à KPMG International Cooperative (« KPMG International »), entité suisse. Tous droits réservés. 6 Garde Le prestataire de services est tenu, durant la période où il a la garde du document, de voir à ce que les moyens technologiques convenus soient mis en place pour en assurer la sécurité, en préserver l'intégrité et, le cas échéant, en protéger la confidentialité et en interdire l'accès à toute personne qui n'est pas habilitée à en prendre connaissance. Il doit de même assurer le respect de toute autre obligation prévue par la loi relativement à la conservation du document.

© 2015 KPMG s.r.l./ S.E.N.C.R.L., société canadienne à responsabilité limitée et cabinet membre du réseau KPMG de cabinets indépendants affiliés à KPMG International Cooperative (« KPMG International »), entité suisse. Tous droits réservés. 7 Transmission Lorsque la loi déclare confidentiels des renseignements que comporte un document, leur confidentialité doit être protégée par un moyen approprié au mode de transmission, y compris sur des réseaux de communication. La documentation expliquant le mode de transmission convenu, incluant les moyens pris pour assurer la confidentialité du document transmis, doit être disponible pour production en preuve, le cas échéant.

collectésutiliséscommuniquésconservésdétruits Toute personne qui exploite une entreprise doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels…

…et qui sont raisonnables compte tenu, notamment, de leur… sensibilité finalité d’utilisation quantitérépartition support

© 2015 KPMG s.r.l./ S.E.N.C.R.L., société canadienne à responsabilité limitée et cabinet membre du réseau KPMG de cabinets indépendants affiliés à KPMG International Cooperative (« KPMG International »), entité suisse. Tous droits réservés. 12 La présente partie a pour objet de fixer, dans une ère où la technologie facilite de plus en plus la circulation et l’échange de renseignements, des règles régissant la collecte, l’utilisation et la communication de renseignements personnels d’une manière qui tient compte du droit des individus à la vie privée à l’égard des renseignements personnels qui les concernent et du besoin des organisations de recueillir, d’utiliser ou de communiquer des renseignements personnels à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances. « personne raisonnable estimerait acceptables »

© 2015 KPMG s.r.l./ S.E.N.C.R.L., société canadienne à responsabilité limitée et cabinet membre du réseau KPMG de cabinets indépendants affiliés à KPMG International Cooperative (« KPMG International »), entité suisse. Tous droits réservés. 14 Les mesures de sécurité doivent protéger les renseignements personnels contre perte vol consultation communication copie utilisation modification non autorisées

© 2015 KPMG s.r.l./ S.E.N.C.R.L., société canadienne à responsabilité limitée et cabinet membre du réseau KPMG de cabinets indépendants affiliés à KPMG International Cooperative (« KPMG International »), entité suisse. Tous droits réservés. 15 Nous avons déjà déterminé que TJX/WMI recueillait trop de données et les conservait trop longtemps. Durant l’enquête, nous avons tenté de déterminer si TJX avait bien évalué l’ensemble de ses systèmes et pleinement évalué leur vulnérabilité. Pour ce faire, nous avons tenté de déterminer si TJX a mis en place des mesures de protection « raisonnables » et si les risques en matière de sécurité étaient prévisibles. En outre, on a tenu compte de la probabilité des dommages, de la gravité du préjudice, du coût des mesures de prévention et des normes pertinentes relatives aux pratiques.

© 2015 KPMG s.r.l./ S.E.N.C.R.L., société canadienne à responsabilité limitée et cabinet membre du réseau KPMG de cabinets indépendants affiliés à KPMG International Cooperative (« KPMG International »), entité suisse. Tous droits réservés. 16 Perte d’un disque dur Données sur clients Noms, adresses, signatures, dates de naissance, numéros de comptes, numéros d'assurance sociale et autres 24 jours pour informer les policiers (trop) 33 pour avertir les clients (suffisant)

© 2015 KPMG s.r.l./ S.E.N.C.R.L., société canadienne à responsabilité limitée et cabinet membre du réseau KPMG de cabinets indépendants affiliés à KPMG International Cooperative (« KPMG International »), entité suisse. Tous droits réservés. 17 Gouvernance des données Obligation de moyen renforcée Présomption de faute de la part du débiteur de l’obligation Doit démontrer qu’il a pris toutes les mesures raisonnables pour éviter le préjudice subi D’où l’importance d’une documentation précise Mesures de sécurité, finalité de la collecte de renseignements personnels, traitement de ceux-ci, transfert, droit d’accès… Et de la conformité des pratiques de l’entreprise avec celle-ci

© 2015 KPMG s.r.l./ S.E.N.C.R.L., société canadienne à responsabilité limitée et cabinet membre du réseau KPMG de cabinets indépendants affiliés à KPMG International Cooperative (« KPMG International »), entité suisse. Tous droits réservés. 19

Merci! Dominic Jaar Associé & Leader National Services de Gestion de l’Information (514)

L'information publiée dans le présent document est de nature générale. Elle ne vise pas à tenir compte des circonstances de quelque personne ou entité particulière. Bien que nous fassions tous les efforts nécessaires pour assurer l'exactitude de cette information et pour vous la communiquer rapidement, rien ne garantit qu'elle sera exacte à la date à laquelle vous la recevrez ni qu'elle continuera d'être exacte dans l'avenir. Vous ne devez pas y donner suite à moins d'avoir d'abord obtenu un avis professionnel se fondant sur un examen approfondi des faits et de leur contexte. © 2015 KPMG s.r.l./ S.E.N.C.R.L., société canadienne à responsabilité limitée et cabinet membre du réseau KPMG de cabinets indépendants affiliés à KPMG International Cooperative (« KPMG International »), entité suisse. Tous droits réservés. KPMG, le logo de KPMG et le slogan « simplifier la complexité » sont des marques déposées ou des marques de commerce de KPMG International.