Pourquoi les organismes sans but lucratif canadiens repensent leur infrastructure de données sur les donateurs
Le CRM que vous utilisez pour gérer vos donateurs pourrait représenter votre plus grand risque en matière de conformité. À l’heure actuelle, les organismes sans but lucratif canadiens et les organisations non gouvernementales internationales ne sont généralement pas les premières organisations auxquelles pensent les organismes de réglementation lorsqu’ils parlent de sécurité des données. Toutefois, cette perception devient de plus en plus coûteuse.
Au cours des trois dernières années, de nombreux organismes de bienfaisance canadiens ont fait l’objet d’un examen approfondi de leur infrastructure de données. Plus précisément, les organisations qui reçoivent du financement des gouvernements fédéral ou provinciaux doivent maintenant démontrer la sécurité de leurs systèmes pour renouveler leurs subventions. Les donateurs institutionnels et les fondations posent des questions sur la gouvernance des données. La plupart des plateformes CRM standards ne permettent pas d’y répondre. Par conséquent, votre infrastructure de données représente à la fois un risque de gouvernance et un risque stratégique.
Pour demeurer concurrentielle dans l’obtention de financement, votre infrastructure technologique doit évoluer afin de respecter les normes modernes de sécurité des données des donateurs d’organismes sans but lucratif au Canada.
Ce que les lois canadiennes sur la protection de la vie privée exigent réellement des organismes sans but lucratif
La LPRPDE s’applique aux activités commerciales. Par conséquent, de nombreux organismes sans but lucratif supposent d’abord qu’ils en sont exemptés. Cette supposition est erronée pour deux raisons essentielles.
1. Le piège de l’« activité commerciale »
De nombreuses activités d’organismes sans but lucratif sont considérées comme commerciales aux termes de la LPRPDE. Cela comprend les campagnes de financement, le commerce électronique de produits de marque et les programmes payants. Toutes les données personnelles recueillies dans le cadre de ces activités sont entièrement assujetties à la loi. Si vous percevez 10 $ pour un t-shirt ou un billet, les données associées à cette transaction doivent respecter les règles de conformité à la LPRPDE pour les organismes sans but lucratif.
2. Lois provinciales
Les lois provinciales du Québec, notamment la Loi 25, et de la Colombie-Britannique, notamment la PIPA, s’appliquent explicitement aux organismes sans but lucratif. Elles s’appliquent, que l’activité soit commerciale ou non. Les organismes sans but lucratif du Québec sont maintenant assujettis aux exigences de gouvernance les plus strictes au Canada. Vous devez mettre en œuvre la minimisation des données, tenir des registres des activités de traitement et nommer une personne responsable de la protection des renseignements personnels. De plus, en vertu du projet de loi C-26, les exigences de notification en cas d’atteinte à la sécurité deviendront plus rigoureuses pour tous.
Le problème du financement gouvernemental
Les organismes subventionnaires fédéraux et provinciaux rehaussent leurs exigences. Des organisations comme Patrimoine canadien, Immigration, Réfugiés et Citoyenneté Canada (IRCC) et Emploi et Développement social Canada (EDSC) considèrent maintenant la gouvernance responsable des données comme une condition préalable à l’octroi de fonds publics.
Les organismes subventionnaires recherchent des preuves techniques précises. Ils veulent constater que votre infrastructure de données d’organisme de bienfaisance au Canada assure les éléments suivants :
- Souveraineté : preuve que les données sont stockées sur des serveurs canadiens.
- Traçabilité : environnements à accès contrôlé dotés de journaux d’audit détaillés.
- Gestion du cycle de vie : politiques documentées de conservation des données et de suppression automatisée.
- Isolation : protection contre les fuites de données entre locataires lorsqu’une infrastructure partagée est utilisée.
Si vous ne pouvez pas fournir ces preuves, le renouvellement de vos subventions risque de devenir plus difficile. Par conséquent, un CRM inadéquat peut entraîner directement une perte de financement.
Les risques propres aux plateformes CRM standards pour organismes sans but lucratif
La plupart des plateformes CRM destinées aux organismes sans but lucratif, comme Salesforce, Blackbaud ou HubSpot, ont été conçues pour être flexibles. Elles n’ont pas été créées en fonction des contraintes particulières auxquelles sont soumis les organismes sans but lucratif réglementés au Canada.
Résidence et souveraineté des données
Par défaut, les plateformes CRM standards stockent souvent les données sur des serveurs situés aux États-Unis. Les lois canadiennes sur la protection de la vie privée et certains bailleurs de fonds gouvernementaux l’interdisent souvent. Même si vous pouvez choisir une région « Canada », vos métadonnées pourraient tout de même traverser la frontière.
Lacunes dans l’isolation multilocataire
Utilisez-vous une instance CRM partagée entre plusieurs programmes? Si oui, vous êtes exposé à un risque. Les plateformes standards n’offrent souvent pas le niveau d’isolation des données requis. Idéalement, les données du programme A devraient être invisibles au personnel du programme B. Sans isolation stricte, une atteinte à la sécurité dans un service compromet l’ensemble de l’organisation.
Le problème des journaux modifiables
Les plateformes standards consignent les actions des utilisateurs. Toutefois, ces journaux ne sont généralement pas immuables. Un administrateur système peut souvent les modifier ou les supprimer. Pour les organisations soumises à des audits de subventions gouvernementales, il s’agit d’une lacune structurelle. Vous avez besoin d’un journal en « ajout seulement » qui permet de prouver qui a consulté quoi et à quel moment. Pour en savoir plus sur la création de ces couches de sécurité, consultez notre guide sur les solutions SaaS à vérification systématique pour les entreprises canadiennes réglementées : la stratégie complète.
À quoi ressemble une infrastructure adéquate de données sur les donateurs?
Une plateforme conçue pour répondre aux exigences canadiennes en matière de gouvernance repose sur trois piliers fondamentaux.
1. Isolation logique stricte
Chaque programme ou relation avec un bailleur de fonds devrait fonctionner dans un environnement de données isolé. Tout partage de données entre programmes doit être explicite et consigné. Il doit nécessiter une configuration volontaire, et non simplement un identifiant partagé. Cette approche empêche les « déplacements latéraux » lors d’un incident de sécurité.
2. Pistes d’audit cryptographiques
Dans le secteur sans but lucratif, vous devez être en mesure de suivre l’argent. Chaque versement de subvention et chaque affectation de dépense devraient être consignés dans une piste d’audit inviolable. Ainsi, lorsqu’un bailleur de fonds demande un rapport, vous pouvez fournir un historique immuable de chaque dollar dépensé.
3. Accès selon le principe du moindre privilège (RBAC)
Les travailleurs sur le terrain n’ont pas besoin de consulter les données financières des donateurs. Les équipes des finances n’ont pas besoin d’avoir accès aux notes médicales des bénéficiaires. Un système conforme utilise le contrôle d’accès fondé sur les rôles (RBAC) afin que les membres du personnel aient uniquement accès aux renseignements nécessaires à leurs fonctions précises. Cela réduit au minimum la portée des dommages causés par la compromission d’un compte.
L’avantage stratégique d’une infrastructure sur mesure
Le développement d’une solution SaaS sur mesure était autrefois considéré comme trop coûteux pour les organismes sans but lucratif. Toutefois, cette évaluation est en train de changer pour deux raisons.
- Coût total de possession : les licences de CRM standards et les « solutions de contournement » nécessaires à la conformité finissent par coûter cher. Sur une période de cinq ans, une solution conçue sur mesure devient souvent plus rentable.
- Avantage concurrentiel : les organisations qui disposent d’une solide gouvernance des données sont plus concurrentielles. Les fondations préfèrent financer les organisations capables de démontrer que leurs données sont en sécurité. Votre plateforme devient donc un actif stratégique pour votre équipe de collecte de fonds.
Votre infrastructure est-elle prête pour votre prochain audit?
La mise en conformité est un parcours. N’attendez pas le renouvellement d’une subvention pour découvrir les lacunes de votre architecture. Les raccourcis architecturaux pris aujourd’hui entraîneront des obstacles réglementaires susceptibles de freiner votre mission.
Chez Espace Info Tech, nous aidons les organismes sans but lucratif canadiens à s’y retrouver dans la LPRPDE et les lois provinciales sur la protection de la vie privée. Nous créons les fondations sécurisées et évolutives dont vous avez besoin pour répondre aux attentes des donateurs et des organismes de réglementation.
Communiquez dès aujourd’hui avec Espace InfoTech pour obtenir une évaluation de la gouvernance de vos données sur les donateurs. Nous vous aidons à créer des plateformes sécurisées et prêtes pour l’audit destinées au secteur canadien des organismes sans but lucratif.