Exemple d’EFVP : un logiciel de paie et de RH hébergé en Ontario

Usinage Exemple, une entreprise manufacturière de 80 employés, remplace le logiciel de paie qu’elle utilise actuellement sur un poste de travail du bureau par une plateforme infonuagique de paie et de gestion des ressources humaines. Le projet vise trois fins : produire la paie et les relevés fiscaux, tenir les dossiers d’employés, et gérer les absences ainsi que les évaluations de rendement. La plateforme est offerte par un fournisseur canadien dont les serveurs se trouvent en Ontario, et le contrat type de ce fournisseur a été signé.

La présente évaluation porte sur les renseignements personnels des membres du personnel traités au moyen de cette plateforme pour les fins décrites ci-dessus, soit des renseignements d’identification, des renseignements financiers, des renseignements de santé liés aux absences et des renseignements relatifs à l’emploi. Elle couvre moins de 100 personnes. Les renseignements ne seront pas utilisés à une autre fin que celles pour lesquelles ils sont traités, et la plateforme ne sert pas à prendre de décisions fondées exclusivement sur un traitement automatisé. L’évaluation ne s’étend pas aux autres systèmes de Usinage Exemple ni à des usages qui dépasseraient ces trois fins.

Les renseignements traités concernent les membres du personnel de Usinage Exemple. Il s’agit du numéro d’assurance sociale, de la date de naissance et de l’adresse, du salaire, des retenues et des coordonnées bancaires, des motifs d’absence accompagnés des billets médicaux, ainsi que des évaluations de rendement. Les modalités précises de leur collecte, notamment la façon dont les billets médicaux sont transmis, ne sont pas détaillées dans les renseignements fournis et restent à confirmer. Les membres du personnel n’ont pas encore été informés du traitement de leurs renseignements au moyen de la nouvelle plateforme.

Une fois saisis, les renseignements sont hébergés et traités par le fournisseur de la plateforme, une entreprise canadienne dont les serveurs sont situés en Ontario, donc à l’extérieur du Québec. Une entente écrite, soit le contrat type du fournisseur, encadre cette relation. Chez Usinage Exemple, l’accès aux renseignements est limité aux membres du personnel qui en ont besoin dans l’exercice de leurs fonctions.

La durée de conservation des renseignements n’est pas définie, et celle des dossiers d’anciens employés n’a pas été discutée avec le fournisseur; ces durées restent à confirmer. En retour, la plateforme produit la paie et les relevés fiscaux, et les employés peuvent consulter leurs talons de paie à partir de leur téléphone.

L’évaluation a relevé deux constats. D’une part, la durée de conservation des renseignements n’est pas définie, y compris pour les dossiers d’anciens employés, et cette question reste à confirmer avec le fournisseur. D’autre part, les membres du personnel n’ont pas été informés du traitement de leurs renseignements au moyen de la nouvelle plateforme.

Compte tenu de la sensibilité élevée des renseignements, qui comprennent notamment le numéro d’assurance sociale, des coordonnées bancaires et des renseignements de santé, trois risques ont été cernés. La conservation des renseignements plus longtemps que nécessaire présente une gravité élevée et une probabilité moyenne. Le traitement des renseignements à l’extérieur du Québec sans protection adéquate et l’accès non autorisé aux renseignements présentent chacun une gravité élevée et une probabilité faible.

Pour répondre à ces constats et à ces risques, Usinage Exemple adopte les cinq mesures présentées dans le présent document.