En français

Analyses

Des réflexions de praticien sur la protection des renseignements personnels, la sécurité et la gouvernance responsable de l'IA, ancrées dans la réalité canadienne. Traductions professionnelles des articles « Insights ».

Par Mohammad Movahedi · Toronto, Canada
Aussi disponible en anglais

62 articles, du plus récent au plus ancien.

Privacy
Quatre mois plus tard, le projet de loi C-34 n'a toujours pas de déclaration relative à la Charte. Ce silence en dit long.
Quatre mois après la première lecture du projet de loi C-34, Justice Canada n'a toujours pas déposé la déclaration relative à la Charte qu'exige la Loi sur le ministère de la Justice pour chaque projet de loi gouvernemental, alors que des projets de loi déposés après, comme le C-36, ont la leur. Ce que ce document manquant révèle sur le risque constitutionnel de l'interdiction des réseaux sociaux pour les moins de 16 ans, et ce que les équipes de protection des renseignements personnels devraient suivre de près.
11 octobre 20265 min de lecture
AI Governance
Le filigrane qui s'efface : à l'intérieur de textGrain d'OpenAI
La réponse d'OpenAI à la règle européenne sur la provenance des textes est textGrain, un filigrane statistique invisible dont les modes de défaillance sont publiés : 10 % de synonymes remplacés font passer la détection de 92 % à 66 %, 25 % la font tomber à 17 %. Comment fonctionne le mécanisme, ce que les chiffres disent vraiment, et les devoirs de conformité pour les équipes qui servent des utilisateurs européens.
10 octobre 202611 min de lecture
Privacy
Le Commissariat vient de nommer votre empreinte vocale pour ce qu'elle est : une donnée biométrique sensible. Vérifiez vos scripts d'appels.
Le 8 octobre, le Commissariat a mis à jour ses lignes directrices sur l'enregistrement des appels clients : les empreintes vocales sont désormais traitées comme des données biométriques sensibles, et il précise quand un consentement valable est requis. Le message générique « cet appel peut être enregistré » ne suffit plus. Ce que la mise à jour change pour vos scripts de SVI, vos flux d'inscription et vos contrats de centres d'appels.
9 octobre 20265 min de lecture
Privacy
Le test en quatre volets du Commissaire pour les enquêtes de sécurité (et l'enquête sur les polygraphes qui suit son cours)
Le 7 octobre, le commissaire à la protection de la vie privée Philippe Dufresne a déclaré au Parlement que les enquêtes de sécurité fédérales doivent répondre à quatre critères : nécessité, proportionnalité, efficacité et intrusion minimale. Il a ciblé les vérifications en sources ouvertes, les polygraphes et le maintien des cotes de sécurité. Si vous menez des vérifications d'antécédents, son test devient votre repère.
8 octobre 20265 min de lecture
Security
Enfin sur un site de fuite : ce que l'inscription de l'hôpital de Nipigon signifie pour les petits hôpitaux
Trois semaines après que l'hôpital Nipigon District Memorial a divulgué un incident de rançongiciel, un groupe identifié comme Storm l'a ajouté à son site de fuite. Pour les dépositaires de la santé en Ontario, la phase de publication est celle où la double extorsion coûte cher. Ce que la loi exige, et un plan de match pour les 72 premières heures.
7 octobre 20265 min de lecture
Privacy
Le verrou de 15 ans de la Nouvelle-Écosse : de bons chiffres, plus de secret
La nouvelle loi sur l'accès à l'information de la Nouvelle-Écosse entre en vigueur le 1er avril 2027 et rend obligatoire le refus d'accès à tous les documents du Conseil exécutif pendant 15 ans. Le commissaire affirme que rien ne justifiait ce changement. Ce que ces mécanismes signifient pour votre gestion des dossiers.
6 octobre 20265 min de lecture
Privacy
L'UE a classé les infonuages souverains par niveaux. Le virage européen du Canada en fait votre problème de fournisseurs.
La proposition de loi européenne sur le développement de l'infonuagique et de l'IA classerait les fournisseurs selon quatre niveaux d'assurance de souveraineté, et une fuite de la déclaration du sommet UE-Canada des 29 et 30 octobre laisse entrevoir un statut de pays associé pour le Canada. Ce que ces conditions changent pour votre diligence fournisseurs, votre résidence des données et l'adéquation canadienne.
5 octobre 20265 min de lecture
AI Governance
Votre fournisseur d'IA a des fournisseurs
J'ai cartographié les listes de sous-traitants de 87 entreprises technos, sur deux niveaux : 1 498 nœuds, 2 518 liens. Trois hyperinfonuagiques portent tout, les labos d'IA arrivent un étage plus bas, et 58 entreprises ne publient aucune liste utilisable.
5 octobre 2026
Security
L'avis de violation de la police de Kingston est honnête sur ses limites. Le vôtre devrait l'être aussi.
Le 2 octobre 2026, la police de Kingston a publié son avis final sur une violation de 160 Go découverte en janvier 2025. Le délai de 21 mois, le jeu de données légales corrompu et les limites de la surveillance du web clandestin offrent aux équipes de protection des renseignements personnels un exercice de réponse aux incidents à faire dès maintenant.
4 octobre 20265 min de lecture
AI Governance
Concevez en prévision du déraillement : ce que le manuel de sécurité des agents de Perplexity réussit
Le nouveau billet d'ingénierie de Perplexity décrit des incidents réels où des agents d'IA serviables ont franchi seuls des limites de sécurité, puis énonce trois règles de conception de défense en profondeur pour bâtir des agents qui échouent sans danger. Voici ce que ces règles exigent en pratique, et les questions que les équipes canadiennes de protection des renseignements personnels et de sécurité devraient poser à tout fournisseur qui leur vend un agent.
3 octobre 202611 min de lecture
Security
Mois de la cybersécurité 2026 : l'IA a rendu les arnaques plus futées, les défenses restent les classiques
Le Mois de la sensibilisation à la cybersécurité 2026 a commencé le 1er octobre sous le thème « Votre meilleure défense, c'est vous », avec un angle IA assumé. Voici comment les équipes de protection des renseignements personnels et de sécurité peuvent transformer les quatre thèmes hebdomadaires en vrai programme interne plutôt qu'en campagne d'affichage.
2 octobre 20265 min de lecture
AI Governance
Un agent d'IA a tenté de pirater Bibliothèque et Archives Canada. Votre modèle de menace vient d'accueillir un nouvel acteur.
La firme de recherche en IA Transluce a découvert des agents d'IA autonomes sondant Bibliothèque et Archives Canada avec des charges d'injection SQL ce printemps. Les sondes ont échoué, mais l'incident offre aux équipes de protection des renseignements personnels et de sécurité un nouvel acteur de menace : la machine qui agit à vitesse machine et ne répond à aucune entrevue.
1 octobre 20265 min de lecture
Privacy
Personne ne croit au compromis du projet de loi C-22 sur le chiffrement. Les équipes de protection des renseignements personnels devraient se préparer aux deux scénarios.
Le projet de loi C-22 se dirige vers le Sénat cet automne avec un compromis sur le chiffrement que les forces de l'ordre et les entreprises technologiques rejettent. Ce que les équipes de protection des renseignements personnels devraient faire maintenant : cartographier leurs fournisseurs face à la catégorie incertaine de « fournisseurs de services essentiels » et au mandat de conservation des métadonnées de six mois, avant que la réglementation soit rédigée.
30 septembre 20265 min de lecture
Privacy
Semaine du droit à l'information 2026 : trois paliers de transparence à copier
Le commissaire à la protection de la vie privée de la Colombie-Britannique a profité de la Semaine du droit à l'information 2026 pour réclamer trois paliers de transparence : l'ouverture par défaut, la diffusion proactive et un régime de demandes doté de ressources réelles. Avec les arriérés de demandes volumineuses et le délai de 30 jours de la Loi 25, les équipes de protection des renseignements personnels du secteur privé devraient s'inspirer du modèle.
29 septembre 20265 min de lecture
Privacy
Enfoui dans le projet de loi C-39 : un pouvoir de partage de données qui écarte neuf lois sur la confidentialité
Le projet de loi C-39, déposé le 21 septembre 2026, édicterait la Loi sur le commerce numérique habilitant, première loi fédérale canadienne sur les documents commerciaux électroniques. Son article 26 permettrait aux fonctionnaires fédéraux de partager les renseignements d'importation et d'exportation avec d'autres ministères, sans limitation des fins, sans consentement ni avis, écartant les dispositions de confidentialité de neuf lois. Le projet de loi est en première lecture : la fenêtre d'étude en comité est ouverte.
28 septembre 20265 min de lecture
Privacy
Le chien de garde ontarien ne peut pas faire exécuter ses propres ordonnances. Les équipes de protection des renseignements devraient s'en inquiéter.
Le 25 septembre 2026, CTV News rapportait que la commissaire à l'information et à la protection de la vie privée de l'Ontario constate une hausse du non-respect de ses ordonnances et ne peut pas saisir les tribunaux pour les faire exécuter. Regard sur ce que la LPRPDE (FIPPA) lui donne réellement, comparé à la Colombie-Britannique et au Québec.
27 septembre 20265 min de lecture
AI Governance
Testez votre pipeline RAG comme si un organisme de réglementation vous surveillait
Une mini-évaluation RAG sur des textes réglementaires canadiens : 12 questions, trois métriques Ragas, et un changement de segmentation qui a fait passer la fidélité de 0,95 à 1,00. Ce que la Directive sur la prise de décisions automatisée et la ligne directrice E-23 du BSIF exigent, en pratique.
26 septembre 20266 min de lecture
AI Governance
DraftKings entraîne son IA à repérer ses joueurs perdants. En Ontario, le régulateur veut que ces mêmes données les protègent.
Le 24 septembre 2026, l'EFF a rapporté que DraftKings entraîne des modèles d'apprentissage automatique sur les historiques de paris de ses clients pour repérer les joueurs les plus susceptibles de perdre, puis les cible avec des promotions. En Ontario, où DraftKings est un exploitant enregistré, le régulateur exige que ces mêmes données de surveillance servent à la réduction des méfaits, pas à la réactivation.
25 septembre 20265 min de lecture
AI Governance
La Colombie-Britannique poursuit OpenAI. Voici ce que cela change pour vos dossiers de fournisseurs.
Le 21 septembre 2026, la Colombie-Britannique a poursuivi OpenAI et Sam Altman devant un tribunal fédéral de San Francisco au sujet de la fusillade de l'école de Tumbler Ridge. La province allègue que les conversations ChatGPT signalées de l'assaillante auraient dû être transmises aux forces de l'ordre. La leçon opérationnelle porte sur l'escalade chez les fournisseurs : ce que vos fournisseurs d'IA font des signalements de contenu dangereux est maintenant une question de diligence raisonnable.
24 septembre 20265 min de lecture
AI Governance
La consultation fédérale sur la transparence de l'IA vient de se clôturer. Voici ce qui s'en vient.
La consultation fédérale sur la transparence de l'intelligence artificielle s'est déroulée du 23 juillet au 23 septembre 2026, couvrant cinq domaines, du signalement des incidents aux agents IA. Un mémoire publié par Michael Geist propose une loi sur la transparence de l'IA. Voici ce que ce processus signale pour les équipes canadiennes de protection de la vie privée et de gouvernance de l'IA.
23 septembre 20265 min de lecture
Privacy
Quand le lecteur à la porte devient la faille : le CPVP enquête sur IDScan.net
Le 21 septembre 2026, le commissaire Philippe Dufresne a ouvert une enquête du CPVP sur la fuite d'images de permis de conduire chez IDScan.net. La leçon opérationnelle concerne le risque lié aux fournisseurs : les pièces d'identité de vos clients vivent dans la base de données de quelqu'un d'autre, et c'est vous qui répondez des conséquences.
22 septembre 20265 min de lecture
Privacy
L'Europe vient de publier son guide de vérification de l'âge. Les équipes canadiennes de protection de la vie privée devraient le lire.
Proposée le 17 septembre 2026, la loi européenne sur les enfants ferait de la vérification de l'âge le billet d'entrée des médias sociaux, des jeux et des agents conversationnels d'IA. Pour les équipes canadiennes, c'est un avant-goût de la direction prise par le projet de loi C-34 et de ce que l'effet Bruxelles exigera.
21 septembre 20264 min de lecture
CIPP/CFeatured
Prorogation du projet de loi C-27 et scission législative stratégique
C-27 est mort à la prorogation : la vie privée et l'IA suivent des voies séparées. Bâtissez sur la LPRPDE et la Loi 25 dès maintenant, sans attendre.
13 juillet 20265 min de lecture
SecurityFeatured
Les plateformes de sécurité de l'IA ne sont pas une catégorie de fournisseurs à ignorer
L'IA générative et agentique brise les contrôles SaaS. Les plateformes de sécurité de l'IA unifient découverte de l'IA fantôme, défense et identité.
10 juillet 20267 min de lecture
CIPP/CFeatured
R. c. Bykovets : les adresses IP et l'article 8 de la Charte
R. c. Bykovets (2024 CSC 6) : les adresses IP sont protégées par l'art. 8 de la Charte. Cartographiez collecte, conservation et divulgation aux policiers.
6 juillet 20265 min de lecture
SecurityFeatured
Supervision de l'IA agentique : traitez les agents comme des utilisateurs que vous ne pouvez pas interroger
L'IA agentique exige une identité de niveau utilisateur : moindre privilège, pistes d'audit et interrupteurs d'arrêt pour les agents qui agissent.
3 juillet 20267 min de lecture
CIPP/C
Del Giudice et les limites de l'intrusion dans la vie privée
Del Giudice limite l'intrusion dans la vie privée après un piratage : être victime n'est pas une intrusion intentionnelle. Revoyez vos cartes de risque.
29 juin 20265 min de lecture
Security
La volatilité réglementaire fait de la cyber une affaire de responsabilité personnelle
La cyber est devenue une affaire de responsabilité personnelle : règles multijuridictionnelles, devoirs du conseil et preuves des décisions.
26 juin 20267 min de lecture
CIPP/C
Clearview et la BCCA : l'application extraterritoriale de la protection des renseignements personnels
La BCCA confirme les ordonnances extraterritoriales : moissonner les images de Canadiens crée un lien réel et substantiel.
22 juin 20265 min de lecture
Security
Arrêtez d'apporter des crayons de cire à un combat de bilan
Les conseils financent des chiffres, pas des cartes thermiques. La quantification du cyberrisque transforme les cotes en fourchettes de pertes comparables.
19 juin 20267 min de lecture
CIPP/C
Utilisation interne abusive intentionnelle des données et recours collectifs en vie privée
Après Del Giudice, l'intrusion externe est plus dure, mais l'abus interne et les vérifications de crédit douces nourrissent encore les recours collectifs.
15 juin 20265 min de lecture
Security
CTEM : de la fatigue des analyses à la décision d’exposition
La CTEM remplace les PDF mensuels par des décisions continues d’exposition : cadrer, découvrir, prioriser, valider et mobiliser. Fini les arriérés.
12 juin 20267 min de lecture
CIPP/C
La LPPDC et le projet de loi C-36 : remplacer la LPRPDE pour une nouvelle ère de la vie privée
C-36 / LPPDC pourrait remplacer la LPRPDE : consentement, portabilité, suppression, anonymisation et recours privés comme cibles dès aujourd'hui.
8 juin 20265 min de lecture
Security
La DSPM explose parce que les données ont déjà quitté le périmètre
Le périmètre n’est plus la carte : la DSPM révèle où vivent vraiment les renseignements personnels, du SaaS aux copies en passant par les invites d’IA.
5 juin 20266 min de lecture
CIPP/C
La Loi 25 du Québec en plein régime : portabilité, paramètres par défaut et sanctions réelles
La Loi 25 est pleinement en vigueur : portabilité des données, confidentialité par défaut et sanctions de la CAI jusqu'à 4 % du chiffre d'affaires mondial.
1 juin 20265 min de lecture
Security
Réduire l’écart visibilité-contrôle : quand la DSPM doit faire plus qu’analyser
Découvrir sans contrôler, c’est du bruit de billets. Une DSPM mature impose accès, quarantaine et politique aux données sensibles, pas que des analyses.
29 mai 20266 min de lecture
CIPP/C
Enquêtes conjointes et moissonnage par l'IA générative : public ne veut pas dire permis
Enquêtes conjointes canadiennes : le web public n'égale pas des données gratuites. Provenance, filtrage et contrats avant moissonnage ou affinage d'IA.
25 mai 20264 min de lecture
Security
L'IA fantôme : des données non structurées qui sortent par la porte d'entrée
L'IA fantôme est banale : le personnel colle des brouillons dans des modèles publics. Traitez-la comme de l'exfiltration de données non structurées.
22 mai 20267 min de lecture
CIPP/C
Les services bancaires axés sur le consommateur : API, consentement et fin du grattage d'écran
La Loi sur les services bancaires axés sur le consommateur remplacerait le grattage d'écran par des API consenties et auditables.
18 mai 20265 min de lecture
Security
Les données en cours d'utilisation, l'éternelle enfant du milieu : les TEE comblent l'écart
Chiffrer au repos et en transit laisse les données en clair en mémoire. Les TEE font enfin des données en cours d'utilisation un contrôle de premier ordre.
15 mai 20267 min de lecture
CIPP/C
Recours privé fédéral : quand les atteintes à la vie privée deviennent des recours civils
Le recours privé fédéral décentraliserait l'application de la LPRPDE. Préparez des preuves dignes d'un tribunal, pas seulement des lettres au commissaire.
11 mai 20264 min de lecture
Security
L'infonuagique souveraine n'est pas un menu déroulant de régions, surtout quand les algorithmes s'en mêlent
La résidence des données n'est pas un menu déroulant. L'infonuagique souveraine pour l'IA exige le contrôle des clés, des opérateurs et du traitement.
8 mai 20268 min de lecture
CIPP/C
Le projet de loi C-34 et la Commission de la sécurité numérique : le nouveau super-régulateur du Canada
C-34 créerait la Commission canadienne de la sécurité numérique : audits, ordonnances et SAP fondées sur le revenu.
4 mai 20265 min de lecture
Security
La cryptographie post-quantique n'est pas un projet futur, c'est un problème de remplacement
La récolte-maintenant-déchiffrement-plus-tard fait de la PQC un chantier d'inventaire crypto et de migration : cartographiez RSA/ECC, planifiez l'hybride.
1 mai 20267 min de lecture
CIPP/C
Des obligations de 24 heures pour le MESE et les images intimes non consensuelles : rapidité, processus et hypertrucages
C-34 imposerait des obligations de retrait en 24 heures pour le MESE et les images intimes non consensuelles, hypertrucages inclus.
27 avril 20265 min de lecture
Security
Informatique confidentielle GPU pour l’IA : ce que le matériel change vraiment
Le chiffrement au repos laisse les données d’IA exposées en mémoire GPU. GPU confidentiels et TEE ferment la brèche des données en cours d’utilisation.
24 avril 20266 min de lecture
CIPP/C
Le paradoxe de la vérification de l'âge : prouvez que vous avez 16 ans, puis faites-vous oublier
Le seuil des 16 ans du projet de loi C-34 crée un paradoxe : vérifier l'âge efficacement, puis détruire les données pour ne jamais créer un registre.
20 avril 20265 min de lecture
Security
Confiance vérifiable pour l'IA confidentielle : l'attestation est le contrôle, pas la conférence TED
La souveraineté de l'IA confidentielle sans attestation n'est qu'espoir. Attestation à distance, TEE et clés liées aux politiques la rendent vérifiable.
17 avril 20267 min de lecture
CIPP/C
L'application de la vie privée après C-27 : modèles de commission, pouvoirs d'ordonnance et la fusion sécurité
Après C-27, la réforme pousse toujours ordonnances, SAP et modèles de commission, plus une fusion sécurité qui chevauche les préjudices numériques.
13 avril 20265 min de lecture
Security
La confiance zéro 2.0 exige une couche matérielle : les TEE contre l'infrastructure non fiable
La confiance zéro 1.0 a tué la confiance réseau. La 2.0 ajoute TEE et attestation quand l'hôte et l'admin infonuagique ne sont plus dignes de confiance.
10 avril 20267 min de lecture
CIPP/C
Intégration des données en Ontario (LAIPVP) : quand la gouvernance prédictive se heurte à la friction de la vie privée
UID ontariennes (LAIPVP) : l'analyse liée sous la partie III.1 exige désidentification rigoureuse et garde-fous contre la dérive prédictive.
6 avril 20265 min de lecture
Security
CISA Secure by Design : cessez de faire des clients la dernière ligne de défense
Secure by Design transfère la charge de sécurité aux fournisseurs : réglages sûrs par défaut, sûreté de la mémoire, fin du durcissement héroïque.
3 avril 20267 min de lecture
CIPP/C
Décision 298 sur la LPRPS : les premières SAP en santé de l'Ontario
Décision 298 (LPRPS) : premières SAP santé de l'Ontario pour usage commercial abusif du DSE, mobile économique et programmes faibles en cause.
30 mars 20264 min de lecture
Security
Wi-Fi 7 et WPA3 : pourquoi le 6 GHz a fermé la porte au WPA2
Le 6 GHz du Wi-Fi 7 exige WPA3, sans repli vers WPA2. Planifiez l'authentification Entreprise et la préparation des clients avant la migration forcée.
27 mars 20266 min de lecture
CIPP/C
La motivation économique comme facteur aggravant : 146 recherches et un pipeline commercial
Décision 298 : 146 recherches ciblées, un motif économique aggravant des PAP. L'accès clinique n'est pas un pipeline marketing.
23 mars 20264 min de lecture
Security
GCMP-256 et WPA3-Enterprise : quand « WPA3 » ne suffit pas pour le Wi-Fi 7
« WPA3 » ne suffit pas pour le Wi-Fi 7. GCMP-256 et les vraies suites WPA3-Enterprise comptent quand le haut débit relève la barre cryptographique.
20 mars 20265 min de lecture
CIPP/C
Décision 334 : 436 dossiers, un commis, et pourquoi l'hôpital a été épargné
Décision 334 (PHIPA) : furetage de 436 dossiers, PAP personnelle pour le commis; la réponse du CHEO a pesé. L'accès non autorisé n'exige aucun profit.
16 mars 20265 min de lecture
Security
PMF obligatoire + SAE au lieu du PSK : combler les brèches de désauthentification et de dictionnaire hors ligne
PMF obligatoire contre les désauthentifications usurpées; SAE remplace le PSK contre le dictionnaire hors ligne. Améliorations clés du WPA3 personnel.
13 mars 20266 min de lecture
CIPP/C
L'obligation de rendre compte démontrable : la preuve l'emporte sur les politiques papier
Décision 298 (PHIPA) : l'obligation de rendre compte démontrable est le test : formation, audits et preuves doivent montrer que les politiques marchent.
9 mars 20264 min de lecture
Security
Sécuriser le fonctionnement multi-liens (MLO) : quand un client utilise plusieurs radios à la fois
Le MLO du Wi-Fi 7 permet à un client d'utiliser plusieurs radios à la fois, les équipes de sécurité doivent repenser association, clés et surveillance.
6 mars 20266 min de lecture
CIPP/C
Confidentialité dans les règlements du personnel professionnel : l'agrément est un contrôle
Décision 298 (LPRPS) : les devoirs de confidentialité dans les règlements du personnel professionnel : l'agrément, un contrôle d'accès privilégié au DME.
2 mars 20265 min de lecture
Security
OWE / Enhanced Open : chiffrer le Wi-Fi invité sans mot de passe partagé
OWE / Enhanced Open chiffre le Wi-Fi invité sans mot de passe partagé : l'écoute passive disparaît, mais l'isolement et le portail restent essentiels.
27 février 20266 min de lecture