La Loi 25 vous oblige à publier les coordonnées de votre responsable. Pas à les offrir aux fraudeurs.

La plupart de ce qui s'écrit sur la Loi 25 vient d'avocats et de consultants en vie privée. Ce texte-ci vient d'ailleurs. Je travaille dans le domaine des courriels depuis 30 ans, surtout à combattre le pourriel, et LastSpam, notre entreprise de filtrage, existe depuis 2002. De notre point de vue, une petite obligation de la loi a un effet secondaire dont personne ne semble parler.

Ce que la loi demande vraiment

L'article 3.1 de la Loi sur la protection des renseignements personnels dans le secteur privé dit :

Le titre et les coordonnées du responsable de la protection des renseignements personnels sont publiés sur le site Internet de l'entreprise ou, si elle n'a pas de site, rendus accessibles par tout autre moyen approprié.

Deux détails comptent :

• Par défaut, ce responsable est la personne qui a la plus haute autorité dans l'entreprise. Le même article confie ce rôle à cette personne, souvent le propriétaire ou le directeur général, qui peut le déléguer par écrit.
• La loi demande un titre et des coordonnées. Elle ne demande pas le nom de la personne, et elle ne dit pas que ces coordonnées doivent être une adresse personnelle.

La question n'est donc pas s'il faut publier. Il le faut. La question, c'est comment.

Le Québec n'est pas seul. En Europe, le RGPD (art. 37(7)) oblige les organisations qui doivent nommer un délégué à la protection des données à publier ses coordonnées. Au Brésil, la LGPD (art. 41) exige que l'identité et les coordonnées du responsable soient publiques, de préférence sur le site Web. À Singapour, la PDPA (art. 11(5)) exige que les coordonnées professionnelles d'au moins une personne responsable soient accessibles au public. Le même risque de récolte et d'usurpation existe partout où ces adresses sont publiées.

Ce que nous avons trouvé sur 38 sites québécois

Nous avons examiné 38 sites d'entreprises québécoises qui publient leur responsable : cabinets d'avocats, cabinets comptables, firmes de conformité, agences Web et cliniques. C'est un petit échantillon, pas un recensement, et nous ne nommons personne. La tendance est quand même claire :

Vingt-huit sites sur 38 affichent l'adresse en texte clair. Les sept qui la « cachent » ne font pas beaucoup mieux : le masquage de Cloudflare arrête les robots les plus paresseux, mais quiconque veut l'adresse peut la décoder en quelques lignes de code. Donc 28 sites sur 38 donnent l'adresse à n'importe quel robot qui lit la page, et 7 de plus à quiconque écrit un court script.

Pourquoi une adresse publiée pose problème

Une adresse sur une page Web publique ne reste pas sur cette page. Des robots parcourent le Web toute la journée pour récolter des adresses, et une fois récoltée, une adresse est copiée, vendue et réutilisée pendant des années. Après 30 ans de lutte contre les pourriels, je peux vous le dire : la retirer de la page plus tard ne la retire pas de ces listes.

Et ce n'est pas n'importe quelle adresse. Le responsable est la personne dont le travail consiste à ouvrir les courriels d'inconnus et à y donner suite : demandes d'accès, plaintes, « voici une copie de ma pièce d'identité », « nous croyons que les données de vos clients ont fui ». Un fraudeur ne pourrait rêver meilleure cible, et le site de l'entreprise lui dit qui c'est et comment la joindre.

Ce qui rend tout ça bien pire : p=none

Maintenant, ajoutez à cette adresse publiée le domaine de courriel de l'entreprise.

Si votre domaine n'a aucun enregistrement DMARC, ou s'il est à p=none, n'importe qui peut envoyer un courriel qui dit venir de [email protected], et personne n'a reçu la consigne de le refuser. Avec le nom et l'adresse que vous avez publiés, il peut écrire au nom de votre président à toute votre entreprise : chaque employé, votre comptabilité, même vos clients. (Pourquoi p=none n'arrête rien)

Le fraudeur a donc :

1. l'adresse exacte de la personne qui traite les demandes sensibles, publiée par vous;
2. souvent, l'adresse du patron lui-même, puisque par défaut le patron est le responsable;
3. et un domaine où un faux message « de la direction » a bien plus de chances de joindre n'importe qui dans l'entreprise.

C'est tout ce qu'il faut pour un faux « envoie-moi le dossier du client » ou « paie aujourd'hui cette facture d'intervention après la fuite » qui a l'air crédible, et qui semble venir de l'intérieur de votre propre entreprise. Ce n'est pas un cas rare. Dans notre étude de 296 organisations québécoises, 24 % n'avaient aucun enregistrement DMARC ou étaient à p=none.

Comment vous conformer sans vous exposer

Pas besoin d'enfreindre la loi pour vous protéger. Il s'agit de remplir l'obligation d'une façon qui limite les dégâts.

• Utilisez une adresse de fonction, pas celle d'une personne. [email protected] ou [email protected], redirigée vers la personne qui occupe le rôle. Elle sera quand même récoltée; elle ne cache rien. Ce qu'elle protège, c'est la personne : la boîte du patron reste hors des listes, l'adresse survit aux changements de personnel, et vous pouvez la filtrer sévèrement sans toucher à la boîte personnelle de qui que ce soit. La loi demande un titre : une adresse liée au titre y répond tout naturellement.
• Ou utilisez un formulaire protégé contre les robots, avec un numéro de téléphone à côté. C'est la seule option qui garde une adresse hors des listes. Trois des 38 sites le font déjà.
• Ne comptez pas sur le masquage seul. Cacher l'adresse dans le code ralentit quelques robots, mais aucun de ceux qui tiennent vraiment à l'adresse.
• Filtrez cette boîte comme si elle allait être ciblée, parce qu'elle le sera. Ouvrir des pièces jointes d'inconnus fait partie de ce travail : c'est donc la boîte qui a le plus besoin d'un filtrage sérieux.
• Sortez votre domaine de p=none. C'est l'étape qui compte le plus. Avec p=quarantine ou p=reject, un message usurpé en votre nom est envoyé aux courriels indésirables ou refusé, y compris ceux qui visent votre propre personnel. Une adresse récoltée ne sert alors qu'à du pourriel ordinaire, pas à entrer chez vous.

Nous ne sommes pas avocats, et ceci n'est pas un avis juridique. Si vous hésitez sur la formulation de votre page de confidentialité, demandez à votre conseiller juridique. La loi fixe l'obligation; la façon de la remplir vous appartient.

Vérifiez où vous en êtes

Ça prend une minute et c'est gratuit : vérifiez votre domaine ici. Si le résultat indique aucun DMARC ou p=none, l'adresse publiée de votre responsable est plus facile à exploiter qu'elle ne devrait l'être. Pour voir exactement quels systèmes envoient du courriel en votre nom avant de resserrer la politique, essayez notre testeur de courriel.