Le principe de diligence en cybersécurité: Votre meilleure défense légale
« Nous avons fait tout ce qu’il était raisonnable de faire. »
Cette phrase peut faire la différence entre une sanction sévère et une simple réprimande en cas d’incident de sécurité. Le principe de diligence raisonnable est votre bouclier légal — mais encore faut-il pouvoir le démontrer.
Qu’est-ce que la diligence raisonnable?
La diligence raisonnable (ou « due diligence ») est un principe juridique selon lequel une entreprise doit prendre les mesures qu’une personne prudente et raisonnable prendrait dans les mêmes circonstances pour prévenir un préjudice.
- En cybersécurité, cela signifie:
- Identifier les risques
- Mettre en place des protections appropriées
- Surveiller et améliorer continuellement
- Documenter le tout
Pourquoi c’est important
En cas d’incident (fuite de données, piratage), les autorités et les tribunaux évalueront:
- Avez-vous pris des mesures raisonnables pour prévenir l’incident?
- Ces mesures étaient-elles appropriées à votre contexte?
- Pouvez-vous démontrer ce que vous avez fait?
Si la réponse est oui, vous avez fait preuve de diligence raisonnable. Les sanctions seront réduites, voire évitées.
La Loi 25 et la diligence
La Loi 25 exige des entreprises qu’elles mettent en œuvre des « mesures de sécurité propres à assurer la protection des renseignements personnels ».
- Ce qui est « propre » dépend de:
- La sensibilité des renseignements
- La finalité de leur utilisation
- La quantité de renseignements
- Le support sur lequel ils sont conservés
- Les risques de préjudice
Pas de liste précise, mais un standard
La loi ne dit pas exactement quelles mesures prendre. Elle établit un standard de diligence que vous devez respecter selon votre contexte.
Une PME de 10 employés n’a pas les mêmes obligations qu’une banque. Mais les deux doivent démontrer qu’elles ont fait ce qui était raisonnable pour elles.
Les 4 piliers de la diligence en cybersécurité
Pilier 1: Identification des risques
Vous ne pouvez pas vous protéger de ce que vous ne connaissez pas.
- Actions à prendre:
- Inventaire des données personnelles détenues
- Cartographie des systèmes qui traitent ces données
- Évaluation des menaces et vulnérabilités
- Analyse d’impact potentiel
- Documentation à conserver:
- Registre des activités de traitement
- Rapport d’évaluation des risques
- Analyse d’impact relative à la vie privée (si applicable)
Pilier 2: Mise en place des mesures
Des mesures techniques et organisationnelles appropriées.
- Mesures techniques:
- Contrôles d’accès (qui peut accéder à quoi)
- Chiffrement des données sensibles
- Pare-feu et antivirus
- Sauvegardes régulières
- Mises à jour de sécurité
- Mesures organisationnelles:
- Politiques de sécurité documentées
- Formation des employés
- Procédures d’accès aux données
- Gestion des incidents
- Documentation à conserver:
- Politiques et procédures écrites
- Preuves de déploiement des mesures
- Registre des formations
Pilier 3: Surveillance et amélioration
La sécurité n’est pas un projet, c’est un processus continu.
- Actions à prendre:
- Surveillance des systèmes
- Tests de sécurité réguliers
- Revue périodique des mesures
- Correction des lacunes identifiées
- Documentation à conserver:
- Rapports de surveillance
- Résultats des tests/audits
- Plan d’amélioration
- Preuves de correction
Pilier 4: Documentation et traçabilité
Si ce n’est pas documenté, ça n’existe pas (aux yeux de la loi).
- Ce qu’il faut documenter:
- Toutes les décisions prises en matière de sécurité
- Les raisons derrière ces décisions
- Les mesures mises en place et quand
- Les incidents survenus et les réponses
Comment démontrer sa diligence
Le test de la « personne raisonnable »
Posez-vous la question: « Une personne raisonnable, dans ma situation, avec mes ressources, aurait-elle fait les mêmes choix? »
Si oui, vous êtes probablement diligent. Si non, vous avez du travail.
Critères d’évaluation
Les autorités considèrent généralement:
Ce qui démontre la diligence
✅ Bon exemple:
> « Nous avons identifié que notre CRM contient des données sensibles. Nous avons donc activé le chiffrement, limité les accès aux employés autorisés, et formé l’équipe sur la confidentialité. Voici les preuves. »
❌ Mauvais exemple:
> « On n’a jamais eu de problème avant, donc on pensait que c’était correct. »
Cas pratiques de diligence
Cas 1: La PME de services
Contexte: Cabinet comptable de 15 employés, données financières de clients.
- Mesures raisonnables:
- Accès aux dossiers clients restreint au comptable assigné
- Mots de passe forts et MFA sur le logiciel comptable
- Sauvegarde chiffrée quotidienne
- Formation annuelle sur la confidentialité
- Politique de bureau net (pas de documents sensibles visibles)
Cas 2: Le commerce en ligne
Contexte: Boutique e-commerce, 5 000 clients, données de paiement.
- Mesures raisonnables:
- Conformité PCI-DSS (via processeur de paiement certifié)
- HTTPS sur tout le site
- WordPress et plugins à jour
- Politique de confidentialité claire
- Processus de suppression des données sur demande
Cas 3: Le cabinet médical
Contexte: Clinique privée, données de santé hautement sensibles.
- Mesures raisonnables:
- Logiciel de dossiers médicaux certifié
- Accès biométrique aux locaux
- Chiffrement des communications
- Formation renforcée du personnel
- Ententes de confidentialité avec tous les fournisseurs
- Évaluation des facteurs relatifs à la vie privée
Quand la diligence n’a pas été respectée
Signaux d’alarme
- Aucune politique de sécurité documentée
- Mots de passe partagés ou faibles
- Systèmes jamais mis à jour
- Aucune formation des employés
- Pas de sauvegardes
- Ignorer des avertissements de sécurité connus
Conséquences
- En cas d’incident sans diligence démontrée:
- Sanctions maximales possibles
- Responsabilité personnelle des dirigeants
- Dommages-intérêts plus élevés
- Atteinte majeure à la réputation
Plan d’action: Établir sa diligence
Étape 1: Évaluation initiale (Mois 1)
- Inventaire des données personnelles
- Cartographie des systèmes
- Évaluation des risques
- Identification des lacunes
Étape 2: Mise en place (Mois 2-3)
- Rédaction des politiques
- Déploiement des mesures techniques
- Formation du personnel
- Documentation du tout
Étape 3: Surveillance continue
- Revue trimestrielle des mesures
- Mise à jour annuelle de l’évaluation des risques
- Formation de rappel annuelle
- Tests de sécurité périodiques
Étape 4: Amélioration continue
- Correction des lacunes identifiées
- Adaptation aux nouvelles menaces
- Mise à jour des politiques
- Documentation des améliorations
Les erreurs qui coûtent cher
1. « On verra quand il y aura un problème »
La diligence est préventive, pas réactive. Après un incident, il est trop tard pour démontrer sa bonne foi.
2. « On est trop petit pour être ciblé »
La taille n’est pas une défense. Les obligations s’appliquent à toutes les entreprises, et les attaques automatisées ne font pas de distinction.
3. « On a fait ça il y a 3 ans »
La sécurité évolue. Des mesures adéquates en 2022 peuvent être insuffisantes en 2025. La diligence exige une mise à jour continue.
4. « Notre fournisseur s’en occupe »
Vous restez responsable des données de vos clients. La diligence inclut de vérifier que vos fournisseurs sont eux-mêmes diligents.
Conclusion
Le principe de diligence n’est pas une formalité bureaucratique — c’est votre assurance-vie légale en cas d’incident. Dans un monde où les cyberattaques sont inévitables, la question n’est plus « serez-vous attaqué? » mais « pourrez-vous démontrer que vous avez fait ce qu’il fallait? ».
Documentez, documentez, documentez. Et si vous ne savez pas par où commencer, faites-vous accompagner. Le coût d’un accompagnement est infiniment moindre que celui d’une sanction pour négligence.
Votre site web démontre-t-il votre diligence? Vérifiez sa conformité à la Loi 25 gratuitement.
