Les termes clés de la protection de la vie privée, de la cybersécurité et du droit des données, expliqués simplement. Les définitions situent chaque notion pour le Canada et le Québec, et renvoient aux outils et aux guides du site.
Évaluation exigée par le RGPD avant un traitement susceptible de présenter un risque élevé pour les droits des personnes : elle décrit le traitement, juge sa nécessité, repère les risques et prévoit les mesures pour les réduire. Son équivalent québécois est l'EFVP.
À voir aussi : Article : la Loi 25 du Québec
Suite d'instructions qui permet à un logiciel de calculer un résultat ou de prendre une décision. En vie privée, les algorithmes de personnalisation exploitent les données de comportement pour cibler des publicités, trier des contenus ou attribuer des cotes (crédit, embauche).
À voir aussi : Article : la publicité ciblée
Transformation irréversible de renseignements personnels : on ne peut plus identifier la personne, même en croisant d'autres sources. Elle diffère de la pseudonymisation, qui reste réversible. La Loi 25 encadre strictement ce qu'on peut appeler « anonymisé » : le risque de réidentification doit être pratiquement nul.
À voir aussi : Article : l'anonymat en ligne
Vérification de l'identité par au moins deux preuves de nature différente : ce qu'on sait (mot de passe), ce qu'on possède (téléphone, clé de sécurité) ou ce qu'on est (empreinte, visage). Elle protège le compte même si le mot de passe est volé. Les applications d'authentification et les clés de sécurité résistent mieux à l'hameçonnage que les codes par texto.
À voir aussi : Guide : la sécurité des mots de passe · Outil : vérificateur de mot de passe
Identification ou authentification fondée sur une caractéristique du corps ou du comportement : empreinte digitale, visage, iris, voix, démarche. Ce sont des renseignements sensibles : on ne peut pas changer son visage comme un mot de passe. Au Québec, créer une banque de caractéristiques biométriques doit être déclaré à la CAI, et le consentement doit être exprès.
À voir aussi : Article : les données biométriques
Extension ou filtre DNS qui empêche l'affichage d'annonces et, surtout, bloque les traceurs de tiers qui alimentent les réseaux publicitaires. Il réduit le suivi d'un site à l'autre et accélère souvent le chargement des pages.
À voir aussi : Article : la publicité ciblée
Organisme qui surveille l'application de la loi sur l'accès à l'information et des lois québécoises sur la protection des renseignements personnels. Elle reçoit les plaintes et les déclarations d'incidents, peut enquêter, rendre des ordonnances et imposer des sanctions.
À voir aussi : Article : la Loi 25 du Québec
Transformation de données lisibles en données illisibles à l'aide d'une clé : seul le détenteur de la bonne clé peut les lire. On le trouve partout : pendant le transport (TLS), sur le disque (AES-256) et dans les messageries. Un chiffrement fort ne sert à rien avec un mot de passe faible ou une clé mal gardée.
À voir aussi : Article : les réseaux Wi-Fi publics
Chiffrement où seuls l'expéditeur et le destinataire détiennent les clés : même le fournisseur du service ne peut pas lire les messages. Il ne protège pas les métadonnées (qui parle à qui, quand) ni le contenu d'un téléphone déverrouillé.
À voir aussi : Article : l'anonymat en ligne
Identifiant sans mot de passe fondé sur une paire de clés cryptographiques : la clé privée reste sur l'appareil, déverrouillée par le visage, l'empreinte ou le NIP. Elle est liée au site légitime, donc inutilisable sur un faux site : elle résiste à l'hameçonnage.
À voir aussi : Guide : la sécurité des mots de passe
Accord libre, éclairé et donné à des fins précises pour que des renseignements personnels soient recueillis, utilisés ou communiqués. Au Québec, il doit être demandé pour chaque fin, en termes simples, et il peut être retiré. Une case précochée ou un consentement caché dans de longues conditions n'est pas valide.
À voir aussi : Article : la Loi 25 du Québec
Petit fichier qu'un site dépose dans le navigateur pour se souvenir d'informations entre deux visites. Les témoins de tiers, déposés par un autre domaine que celui visité, servent surtout au suivi publicitaire. Safari et Firefox limitent déjà le suivi intersites par défaut ; Chrome conserve les témoins de tiers et laisse le choix à l'utilisateur.
À voir aussi : Article : la publicité ciblée
Entreprise qui recueille, regroupe et revend des renseignements personnels tirés de sources multiples (registres publics, achats, réseaux sociaux, applications) pour le marketing, la vérification d'antécédents ou l'évaluation du risque. Vous pouvez en général demander l'accès à vos données et leur retrait, mais les démarches sont souvent longues.
À voir aussi : Article : la publicité ciblée · Article : le vol d'identité numérique
Organisme fédéral qui surveille l'application de la LPRPDE (secteur privé) et de la Loi sur la protection des renseignements personnels (organismes fédéraux). Il enquête sur les plaintes, mais n'a pas le pouvoir de rendre des ordonnances ni d'imposer des amendes.
Ensemble des pratiques et des technologies qui protègent les systèmes, les réseaux et les données contre les accès non autorisés et les attaques. Elle complète la protection de la vie privée : une faille de sécurité devient souvent un incident de confidentialité.
À voir aussi : Guide : les fuites de données
Décision prise uniquement par un traitement automatisé, sans intervention d'une personne (refus de crédit, tri de candidatures). Au Québec, l'organisation doit vous en informer au moment de la décision, et, à votre demande, vous dire quels renseignements ont servi et vous permettre de présenter vos observations à quelqu'un qui peut la revoir.
À voir aussi : Article : la Loi 25 du Québec
Personne désignée pour veiller au respect des règles de protection des données. Le DPO (délégué à la protection des données) est prévu par le RGPD ; au Québec, la Loi 25 exige depuis septembre 2022 un responsable de la protection des renseignements personnels (RPRP), dont le titre et les coordonnées doivent être publiés sur le site de l'entreprise.
À voir aussi : Article : la Loi 25 du Québec
Droit de demander qu'on supprime vos renseignements personnels, reconnu par le RGPD (article 17). Au Québec, la Loi 25 prévoit un droit voisin : faire cesser la diffusion d'un renseignement ou le faire désindexer lorsque sa diffusion cause un préjudice grave à la réputation ou à la vie privée, dans les conditions fixées par la loi.
À voir aussi : Article : le droit à l'oubli
Évaluation que la Loi 25 exige, depuis septembre 2023, avant d'acquérir, de développer ou de refondre un système d'information ou de prestation électronique de services qui touche des renseignements personnels, et avant de communiquer des renseignements à l'extérieur du Québec. Elle mesure les risques pour la vie privée et les mesures prévues.
À voir aussi : Article : la Loi 25 du Québec
Technique de suivi fondée sur la combinaison unique de caractéristiques techniques du navigateur et de l'appareil : taille d'écran, polices, fuseau horaire, langue, carte graphique. Contrairement à un témoin, elle ne se stocke pas sur l'appareil et ne s'efface donc pas. On peut mesurer la sienne avec l'outil du site.
À voir aussi : Outil : analyse d'empreinte du navigateur · Guide : l'empreinte du navigateur
Ensemble des traces laissées par vos activités en ligne : historique de navigation, publications, achats, localisation. L'empreinte active vient de ce que vous publiez ; l'empreinte passive est recueillie à votre insu (adresse IP, témoins, métadonnées). La réduire est l'un des gestes de base de l'hygiène numérique.
À voir aussi : Article : l'empreinte numérique
Divulgation, perte ou vol de données personnelles à la suite d'une cyberattaque, d'une erreur (base de données mal configurée) ou d'un geste interne. Si vos données sont touchées : changez les mots de passe concernés, activez l'authentification multifacteur et surveillez vos relevés et votre dossier de crédit.
À voir aussi : Guide : les fuites de données · Outil : vérificateur de mot de passe
Détermination de la position d'un appareil par GPS, antennes cellulaires, réseaux Wi-Fi ou adresse IP. Les déplacements révèlent beaucoup : domicile, travail, lieu de culte, soins de santé. Refusez l'accès à la position aux applications qui n'en ont pas besoin, ou limitez-le à « pendant l'utilisation ».
Application qui crée, stocke et remplit des mots de passe longs, aléatoires et différents pour chaque service, derrière un seul mot de passe maître. C'est la façon la plus réaliste d'éviter la réutilisation de mots de passe, première cause de prise de contrôle de comptes.
À voir aussi : Guide : la sécurité des mots de passe · Outil : vérificateur de mot de passe
Message ou site frauduleux qui se fait passer pour une organisation de confiance (banque, Agence du revenu du Canada, livreur) afin de soutirer des identifiants ou de l'argent. Le harponnage cible une personne précise avec un message personnalisé ; le texto s'appelle « smishing » et l'appel « vishing ».
À voir aussi : Outil : détecteur d'arnaques · Article : la sécurité du courriel
Version sécurisée du protocole du web : elle chiffre les échanges entre le navigateur et le site (TLS) et vérifie l'identité du site. Le cadenas indique que la connexion est chiffrée, pas que le site est honnête : de nombreux faux sites utilisent HTTPS.
À voir aussi : Outil : détecteur d'arnaques
Image, voix ou vidéo fabriquée ou modifiée par intelligence artificielle pour imiter une personne réelle de façon convaincante. Il sert à l'arnaque (fausse voix d'un proche), à la désinformation et à l'atteinte à la réputation. Aucun détecteur n'est infaillible : vérifiez la source et rappelez la personne par un moyen connu.
À voir aussi : Outil : détecteur de contenu IA · Article : les hypertrucages
Code attribué à un appareil, à un compte ou à une personne pour la reconnaître d'une session à l'autre : identifiant publicitaire du téléphone, numéro de série, adresse MAC. Il permet de relier des activités qui semblent séparées ; les systèmes mobiles permettent de le réinitialiser ou de le désactiver.
À voir aussi : Article : la publicité ciblée
Terme de la Loi 25 : accès, utilisation ou communication de renseignements personnels non permis par la loi, perte, ou toute autre atteinte à leur protection. Quand il y a un risque de préjudice sérieux, l'organisation doit aviser la CAI et les personnes touchées avec diligence, et tenir un registre de tous les incidents.
À voir aussi : Article : la Loi 25 du Québec · Guide : les fuites de données
Manipulation psychologique pour amener une personne à livrer des renseignements ou à faire un geste qui compromet sa sécurité, en jouant sur la confiance, l'urgence, l'autorité ou la peur. L'hameçonnage en est la forme la plus répandue. La parade : ralentir, vérifier par un autre canal, ne rien faire sous pression.
À voir aussi : Outil : détecteur d'arnaques
Application installée en secret sur l'appareil d'une personne pour surveiller ses messages, sa position et ses activités, souvent par un conjoint ou un ex. Au Canada, l'installation sans consentement peut tomber sous des infractions du Code criminel (harcèlement criminel, utilisation non autorisée d'un ordinateur). Si vous craignez d'être surveillé, pensez d'abord à votre sécurité.
À voir aussi : Article : les logiciels espions intimes
Réforme québécoise de la protection des renseignements personnels, sanctionnée en 2021 et entrée en vigueur par étapes : 2022 (responsable, incidents), 2023 (la plupart des obligations : consentement, EFVP, transparence) et 2024 (portabilité). Les sanctions administratives peuvent atteindre 10 M$ ou 2 % du chiffre d'affaires mondial, et les amendes pénales 25 M$ ou 4 %.
À voir aussi : Article : la Loi 25 du Québec · Questions fréquentes
Loi fédérale de 2000 qui encadre la collecte, l'utilisation et la communication de renseignements personnels dans le secteur privé, dans les provinces qui n'ont pas de loi jugée essentiellement similaire. Le Québec, l'Alberta et la Colombie-Britannique ont leur propre loi pour les activités à l'intérieur de la province. Un projet de réforme (C-27) est mort au feuilleton en janvier 2025.
Données qui décrivent d'autres données : pour un courriel, l'expéditeur, le destinataire, l'heure, l'adresse IP ; pour une photo, la date et parfois la position GPS. Même sans le contenu, elles révèlent des habitudes (avec qui, quand, à quelle fréquence).
À voir aussi : Article : l'empreinte numérique
Principe voulant qu'on ne recueille que les renseignements nécessaires à la fin déclarée, et qu'on les détruise ou les anonymise quand cette fin est atteinte. Il est inscrit dans le RGPD et dans la Loi 25. Il s'oppose au réflexe de tout collecter « au cas où ».
À voir aussi : Article : la Loi 25 du Québec
Secret qui sert à prouver son identité. Un bon mot de passe est long (une phrase de passe d'au moins 14 à 16 caractères), imprévisible et unique à chaque service. Vérifiez qu'il n'est pas déjà apparu dans une fuite, et activez l'authentification multifacteur.
À voir aussi : Outil : vérificateur de mot de passe · Guide : la sécurité des mots de passe
Numéro canadien utilisé pour l'impôt, l'emploi et certaines prestations. Son vol facilite l'usurpation d'identité. Ne le donnez qu'à qui la loi autorise à le demander (employeur, institution financière pour l'impôt) et jamais par courriel non chiffré ni à quelqu'un qui vous appelle.
À voir aussi : Article : le vol d'identité numérique
Mode du navigateur qui n'enregistre pas l'historique, les témoins ni les formulaires sur l'appareil à la fermeture. Il ne cache ni votre adresse IP, ni votre activité à votre employeur, à votre fournisseur d'accès ou aux sites visités.
À voir aussi : Guide : les VPN
Collecte et analyse d'informations publiques : réseaux sociaux, registres, archives du web, images. Les professionnels de la sécurité et les journalistes l'utilisent ; des escrocs aussi, pour préparer un message personnalisé. Réduire son empreinte publique réduit ce qu'on peut trouver sur vous.
À voir aussi : Article : l'empreinte numérique
Suivi de votre comportement sur plusieurs sites et applications pour construire un profil servant à la publicité ou à l'analyse. Il combine témoins de tiers, pixels espions, empreinte de navigateur et identifiants publicitaires.
À voir aussi : Article : la publicité ciblée · Outil : analyse d'empreinte du navigateur
Image invisible, souvent de un pixel, intégrée à une page ou à un courriel : quand elle se charge, elle signale à un tiers que vous avez ouvert le message ou visité la page, avec votre adresse IP et votre appareil. Bloquer le chargement des images distantes dans le courriel l'empêche de fonctionner.
À voir aussi : Article : la sécurité du courriel
Droit de recevoir les renseignements qu'on a fournis à une organisation dans un format structuré et courant, et de les faire transmettre à une autre. Prévu par le RGPD (article 20) et, au Québec, par la Loi 25 depuis septembre 2024.
À voir aussi : Article : la Loi 25 du Québec
Collecte et utilisation de renseignements sur une personne pour évaluer certains aspects de sa vie : goûts, comportement, situation financière, localisation. Au Québec, une technologie qui permet le profilage doit être désactivée par défaut, et la personne doit être informée avant de l'activer.
À voir aussi : Article : la publicité ciblée · Article : la Loi 25 du Québec
Remplacement des éléments qui identifient directement une personne par un code, les informations qui permettent de faire le lien étant gardées à part. Contrairement à l'anonymisation, elle est réversible : les données restent des renseignements personnels, mais le risque en cas de fuite est réduit.
Logiciel malveillant qui chiffre les données d'une victime et exige une rançon pour les rendre, souvent après en avoir copié une partie pour menacer de la publier. Les meilleures défenses sont des copies de sauvegarde hors ligne, les mises à jour et la prudence face aux pièces jointes.
À voir aussi : Guide : les fuites de données
Tout renseignement qui concerne une personne physique et permet de l'identifier, directement ou indirectement : nom, adresse, courriel, téléphone, identifiant en ligne, localisation, données de santé ou financières. Ne sont pas visées les données d'une entreprise ni les données réellement anonymisées.
À voir aussi : Article : la Loi 25 du Québec
Renseignement qui, par sa nature ou son contexte, suscite un haut degré d'attente raisonnable de vie privée : santé, finances, données biométriques ou génétiques, orientation sexuelle, convictions religieuses ou politiques. Il demande un consentement exprès et une protection renforcée.
À voir aussi : Article : les données biométriques
Règlement de l'Union européenne en vigueur depuis mai 2018. Il s'applique aux organisations qui traitent des données de personnes se trouvant dans l'Union, où qu'elles soient. Il accorde notamment l'accès, la rectification, l'effacement, la portabilité et l'opposition ; les amendes peuvent atteindre 20 M€ ou 4 % du chiffre d'affaires mondial. Il a inspiré la Loi 25.
À voir aussi : Article : la Loi 25 du Québec
Collecte systématique de données sur de larges populations par des gouvernements ou des entreprises, sans cible individuelle préalable. Les révélations d'Edward Snowden en 2013 ont fait connaître les programmes de collecte de métadonnées de l'agence américaine NSA. Au Canada, le SCRS et le CST exercent leurs pouvoirs dans le cadre fixé par leurs lois et soumis à une surveillance indépendante.
À voir aussi : Article : l'anonymat en ligne
Protocole de chiffrement des communications sur Internet. SSL est son ancêtre, abandonné ; TLS 1.3 est la version actuelle. Un certificat, délivré par une autorité de certification, permet de vérifier l'identité du serveur. C'est ce qui rend HTTPS possible.
Réseau d'anonymat qui fait passer le trafic par une série de relais gérés par des bénévoles, avec un chiffrement par couches, pour cacher qui visite quoi. Plus lent qu'un VPN, il protège mieux l'anonymat. Utilisé par des journalistes et des militants, mais aussi par quiconque veut éviter le suivi.
À voir aussi : Article : l'anonymat en ligne
Exigence d'expliquer, en termes compréhensibles, comment un système automatisé en arrive à une décision qui vous concerne. Elle rejoint le droit d'être informé d'une décision automatisée et de demander qu'une personne la revoie.
À voir aussi : Article : la Loi 25 du Québec
Approche formulée par Ann Cavoukian, ancienne commissaire à l'information et à la protection de la vie privée de l'Ontario : intégrer la protection de la vie privée dans la conception même des produits, au lieu de l'ajouter après coup. Elle repose sur sept principes, dont la protection par défaut et la transparence. La Loi 25 exige notamment des paramètres de confidentialité par défaut au niveau le plus élevé.
À voir aussi : Article : la Loi 25 du Québec
Terme du RGPD pour une atteinte à la sécurité qui entraîne la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles. Le RGPD exige de la notifier à l'autorité dans un délai de 72 heures ; l'équivalent québécois est l'incident de confidentialité, dont le délai est « avec diligence ».
À voir aussi : Guide : les fuites de données
Service qui chiffre votre trafic et le fait passer par un serveur intermédiaire : les sites voient l'adresse de ce serveur plutôt que la vôtre. Un VPN déplace la confiance vers son fournisseur, qui voit votre trafic : ce n'est pas un outil d'anonymat. Il est surtout utile sur un Wi-Fi public.
À voir aussi : Guide : les VPN · Article : les réseaux Wi-Fi publics