Notes de terrain · Opérations de protection des renseignements
Assistant IA de cartographie des données
Cette page enseigne la cartographie des données pas à pas : ce qui compte comme dossier, combien de temps on le garde, et pourquoi le dessin échoue avant le logiciel. L'assistant plus bas fait la partie rapide. Il esquisse votre carte dans votre navigateur, et vous révisez chaque élément.
La question que personne n'a posée à l'outil
J'ai lu ce billet une centaine de fois. Pas le genre « le menu déroulant est brisé ». Le genre « est-ce qu'on cartographie le chiffrier », « la sauvegarde, c'est un système », « le marketing veut garder les courriels au cas où ». Le logiciel fonctionnait. Le modèle mental en dessous, non.
Ils ne portaient jamais sur l'outil. Personne n'écrivait pour dire que le menu déroulant était brisé. On m'écrivait pour demander : est-ce qu'on cartographie le chiffrier? La sauvegarde, c'est un système? Le marketing veut garder les courriels au cas où; est-ce que « au cas où » est une finalité? Le logiciel fonctionnait. Le modèle mental en dessous, non.
Alors voici la distinction, en trente secondes, parce que tout le reste en dépend. L'inventaire, c'est la liste : quels renseignements personnels vous détenez, où ils se trouvent, pourquoi vous les avez. La cartographie, c'est le dessin : comment ils circulent entre ces endroits. On ne peut pas dessiner le mouvement avant de lister les choses. Tous les projets de cartographie ratés que j'ai vus ont essayé de dessiner d'abord, ont produit un beau diagramme de rien, et sont morts dans un lecteur partagé.
La conversation que tout le monde évite
Demandez à une salle quand les données clients sont supprimées et quelqu'un répond toujours vite : sept ans, les finances l'ont dit. Posez la même question sur les sauvegardes et regardez la confiance s'évaporer. Les sauvegardes sont la conversation sur la conservation que tout le monde évite, parce qu'on ne peut pas ouvrir la bande du mois dernier pour en retirer un seul client sans retirer tout le monde.
La réponse honnête est moins satisfaisante et plus utile. Vous documentez la rotation. Vous laissez l'expiration suivre la rotation, d'habitude trente à quatre-vingt-dix jours, et vous l'écrivez dans le calendrier pour que, quand la CAI pose la question, la réponse soit un paragraphe, pas un haussement d'épaules.
Le simulateur ci-dessous est volontairement ennuyeux. Choisissez un dossier. Il traverse les quatre étapes que vit chaque dossier, plus la cinquième carte que personne ne dessine : les copies de sauvegarde. Touchez une pastille de loi pour lire la disposition réelle derrière chaque durée.
Le tableau, c'est le travail
Personne ne vous vendra un tableau de conservation, parce que le tableau, c'est la juridiction plus le secteur plus le contrat plus le contexte, et quiconque vous vend un chiffre unique vous vend un procès. Ce que vous pouvez avoir à la place : des fourchettes, la loi derrière chaque fourchette, et les mises en garde qui la modifient.
C'est le rôle des pastilles. Chacune nomme la disposition, donne son langage pratique, et lie le texte officiel quand il existe. Deux d'entre elles portent l'essentiel du poids au pays. La Loi 25, article 23, a fait de la conservation une obligation au Québec : une fois la finalité accomplie, détruisez le renseignement ou anonymisez-le. La LPRPDE, annexe 1, article 4.5, fixe le plancher fédéral : ne conservez les renseignements que le temps nécessaire, fixez des durées minimales et maximales, détruisez ce qui n'est plus nécessaire. Aucune ne vous donne un chiffre. Le chiffre vient de vos contrats, de vos délais de prescription, et de l'horloge de six ans de l'ARC, qui survit à presque tout le reste dans l'édifice.
Au crayon rouge : si votre calendrier de conservation affiche une durée fixe par dossier sans mise en garde, il a été écrit par quelqu'un qui n'a jamais rencontré vos contrats. Les fourchettes motivées survivent au contact du réel. Les chiffres fixes, non.
Un exemple concret
Le Café Nord est fictif. Les erreurs ne le sont pas. Parcourez-le étape par étape : trois comptoirs de collecte, les systèmes qu'ils alimentent, les tiers qui touchent les données, les sauvegardes que personne n'a dessinées, et la destruction finale qu'exige la loi. Utilisez les boutons ou les flèches du clavier.
Trousse d'exportation
Chaque fichier porte son encadrement juridique à l'intérieur. Un CSV qui voyage sans ses mises en garde devient la politique de quelqu'un par accident.
Tout ce qui précède enseigne. Ceci fait. Répondez à quatre questions rapides, ou collez une recette, et l'assistant esquisse votre carte de données étape par étape, dans votre navigateur. Vous révisez chaque élément, corrigez ce qui cloche, et téléchargez le chiffrier brouillon. Le guide reste ouvert plus haut si vous devez vérifier une durée de conservation en chemin. Quand la session se termine, votre brouillon s'ouvre dans l'espace carte plus bas, prêt à placer à la main.
Vie privée : cette page ne charge aucun script tiers. L'outil surveille sa propre activité réseau et affiche le compteur à côté de cet avis : 0 requête envoyée. Le forfait hors ligne est la version la plus forte de cette promesse. Téléchargez-le, déconnectez-vous, et le flux complet fonctionne avec le wifi éteint. Seul le forfait hors ligne affirme sans réserve que rien ne quitte votre machine.
Votre espace carte
Votre brouillon s'ouvre ici à la fin de votre session. Faites glisser les nœuds pour les placer, faites un clic droit sur un nœud pour voir les options, et continuez à discuter avec l'assistant pour peaufiner le brouillon.
Pas encore de brouillon.
Terminez une session avec l'assistant ci-dessus, confirmez les éléments de révision, et votre carte s'ouvrira ici, prête à placer.
La partie que personne ne veut financer
Voici le fil que je laisse volontairement ouvert. Tout ce qui précède résout le dessin. Rien de ce qui précède ne résout le pourrissement. Six mois après l'atelier, le chiffrier a une nouvelle colonne, le marketing a acheté un nouvel outil, et personne n'a mis la carte à jour. Je n'ai jamais vu une entreprise régler ça avec un logiciel. Celles qui s'en approchent font quelque chose de peu glamour : elles mettent un humain sur une invitation récurrente au calendrier et lui donnent le pouvoir d'être tannant à ce sujet. Tout le reste, c'est de la décoration.
L'approbation que l'agent ne pouvait pas se donner
Le Café Nord est toujours fictif. Les erreurs, elles, continuent d'arriver. Tout est inventé dans ce chapitre : le restaurant, le partenaire, les dates, les empreintes. La loi est réelle, et le format du sceau vient de la spécification v0.1.
Vendredi soir, familier même dans la fiction. La salle est pleine, les téléphones n'arrêtent pas, et l'agent de commande fait ce pour quoi il a été construit : il lit la liste des réservations du lendemain et cherche un partenaire de livraison pour prépositionner des coursiers. Il en trouve un, nommé VéloExpress, fictif lui aussi. Un détail compte plus qu'il n'y paraît : les serveurs de répartition du partenaire sont en Ohio.
L'agent fait ce que les chapitres précédents réclamaient sans cesse. Il refuse de déplacer quoi que ce soit et rédige deux sceaux à la place. Le premier couvre le partage de la liste des réservations avec un nouveau fournisseur, action conséquente CA-01. Le second couvre le flux de conversion côté serveur que l'agent voulait joindre pour que le partenaire « optimise » les fenêtres de livraison. Celui-là, c'est CA-05, la ligne des traceurs. Les empreintes ci-dessous sont illustratives, non calculées : on ne brûle pas une vraie signature pour illustrer un propos.
- Système de réservation vers l'agent. Lecture seule de la liste des réservations : nom, téléphone, taille du groupe, heure, zone de ramassage. L'agent avait déjà cet accès.
- L'agent vers VéloExpress. Bloqué. Aucun sceau n'existe pour ce fournisseur, donc aucune donnée ne bouge. C'est la ligne rouge de la section 04, tracée avant l'incident plutôt qu'après.
- Après le sceau signé. L'agent vers l'API de répartition du partenaire, un point d'accès américain : nom_haché, taille du groupe, plage de ramassage, zone de ramassage. Pas de numéros de téléphone, pas de courriels. La responsable les a retirés.
- Le flux refusé. Confirmations de réservation vers le point de mesure du partenaire : n'a jamais lieu. Le pixel ne part jamais.
Art. 18.3, le contrat écrit. Avant que le premier octet ne parte vers un nouveau fournisseur, le contrat est signé : ce que le partenaire peut faire de la liste, ce qu'il ne peut jamais faire, comment il la garde confidentielle, comment il la détruit à la fin. Une poignée de main n'est pas un contrat.
Art. 17, le volet transfrontalier. Le tableau de bord de répartition est hébergé aux États-Unis. Avant que des renseignements personnels ne franchissent une frontière, l'évaluation des facteurs relatifs à la vie privée, l'EFVP, est réalisée et déposée. Pas d'EFVP, pas de transfert. L'évaluation n'est pas le contrat; la responsable dépose les deux.
Art. 8.1, les traceurs. Les technologies de suivi restent désactivées par défaut et ne s'activent qu'avec un consentement exprès et distinct. Les clients ne l'ont jamais donné. Le silence n'est pas un consentement. Le Commissariat a déjà chiffré cette erreur exacte en 2023, quand les données d'achat hors ligne de Home Depot ont circulé vers Meta sans consentement valable. Le numéro de dossier : OPC-2023-001.
{
"stamp_metadata": {
"schema_version": "0.1.0",
"stamp_id": "0193d2e1-0000-7abc-0000-000000000001",
"created_at_utc": "2026-10-28T19:40:00Z",
"expires_at_utc": "2027-01-26T19:40:00Z"
},
"action_declaration": {
"consequential_action_row_id": "CA-01",
"summary": "Partager la liste des reservations du Café Nord fictif avec le partenaire de livraison fictif VéloExpress pour la repartition des coursiers.",
"least_privilege_scope": "act",
"target_system_identifier": "dispatch-api:VELOEXPRESS-FAKE01",
"data_categories_touched": [
"name_sha256",
"party_size",
"pickup_window",
"pickup_zone"
]
},
"cited_authority": {
"corpus_version": "v2026.12.0",
"statute_citations": [
"Loi 25 art. 18.3",
"Loi 25 art. 17"
],
"enforcement_case_ids": [
"OPC-2023-001",
"OPC-2019-004"
]
},
"execution_binding": {
"execution_parameters": {
"endpoint": "dispatch-api:VELOEXPRESS-FAKE01",
"fields": [
"name_sha256",
"party_size",
"pickup_window",
"pickup_zone"
],
"excluded_fields": [
"phone_number",
"email_address"
],
"dry_run": false
},
"execution_payload_sha256": "fictional-digest-3c1a90be42fd55aa17c2e8d04f9b36c7a51d02e4f6a83b9d1c5e7f08a2b4c6d"
},
"human_view_binding": {
"human_draft_sha256": "fictional-digest-8e7d21aa09c34bb56de90f12a4c68e3b75d01f29384756a1b2c3d4e5f607182",
"bound_approval_digest_sha256": "fictional-digest-44b19c0de2f7a86d53a10c9e8f42b6d7193c05a8e7d2b14f6c38a09d5e1f2b3"
},
"human_signoff": {
"approver_role": "responsable de la protection des renseignements personnels designe en vertu de l'art. 3.1 de la Loi 25",
"decision": "modified",
"signed_at_utc": "2026-10-28T20:05:00Z",
"attestation": "Approuve avec les coordonnees retirees : noms haches, taille du groupe, plage de ramassage et zone seulement. Aucun transfert avant la signature du contrat prevu a l'art. 18.3 et le depot de l'EFVP prevue a l'art. 17 pour le volet heberge aux Etats-Unis. Nouveau sceau dans 90 jours."
},
"non_certification_disclaimer": "Ce sceau est un format de preuve ouvert pour consigner les approbations humaines des actions d'un agent. Il ne constitue pas un avis juridique et n'est pas une certification de conformite de movahedi.ca."
}Lisez-le comme un vérificateur. La portée est act : l'agent peut envoyer, mais seulement les champs nommés, seulement au point d'accès nommé, seulement jusqu'à l'expiration. Les catégories de données sont hachées ou grossières, jamais des valeurs brutes. L'attestation porte la modification en mots simples.
{
"stamp_metadata": {
"schema_version": "0.1.0",
"stamp_id": "0193d2e1-0000-7abc-0000-000000000002",
"created_at_utc": "2026-10-28T19:40:00Z",
"expires_at_utc": "2027-01-26T19:40:00Z"
},
"action_declaration": {
"consequential_action_row_id": "CA-05",
"summary": "Joindre un flux de confirmation de reservation cote serveur au point de mesure du partenaire de livraison fictif VéloExpress.",
"least_privilege_scope": "draft",
"target_system_identifier": "tag-manager:GTM-FAKE001",
"data_categories_touched": [
"reservation_event",
"email_sha256"
]
},
"cited_authority": {
"corpus_version": "v2026.12.0",
"statute_citations": [
"Loi 25 art. 8.1",
"Loi 25 art. 12"
],
"enforcement_case_ids": [
"OPC-2023-001",
"CAI-INTERFACES-TRUQUEES"
]
},
"execution_binding": {
"execution_parameters": {
"container_id": "GTM-FAKE001",
"feed": "server-side reservation confirmations",
"destinations": [
"partner measurement endpoint (third party)"
],
"dry_run": true
},
"execution_payload_sha256": "fictional-digest-91f04c2bd7a83e56a10d9c4b2e87f6a531d0c4b9e8f7a23d5c10b6e4f8a92d"
},
"human_view_binding": {
"human_draft_sha256": "fictional-digest-20aa17c8f493bd7e65d102a9f84c3b6e5710d2f84a6c9e1b3d5f708293a4c5",
"bound_approval_digest_sha256": "fictional-digest-67d3e8a1b90c4f52e817d3a6f0b59c2e84a1d7f30c6b95e4a2d18c3f7b6e20"
},
"human_signoff": {
"approver_role": "responsable de la protection des renseignements personnels designe en vertu de l'art. 3.1 de la Loi 25",
"decision": "rejected",
"signed_at_utc": "2026-10-28T20:05:00Z",
"attestation": "Rejete. Les technologies de suivi exigent un consentement expres en vertu de l'art. 8.1 de la Loi 25, et les clients ne l'ont jamais donne. Le flux est aussi une utilisation secondaire (art. 12). Proposez-le de nouveau apres consentement, ou ne le proposez plus."
},
"non_certification_disclaimer": "Ce sceau est un format de preuve ouvert pour consigner les approbations humaines des actions d'un agent. Il ne constitue pas un avis juridique et n'est pas une certification de conformite de movahedi.ca."
}Voici le refus. Un sceau rejeté n'est pas un échec du système; c'est le système qui fonctionne. L'agent a proposé, la responsable a dit non, et ce non figure au dossier dans le même format que tous les oui.
Crayon rouge : le sceau consigne l'approbation. Il ne crée pas le consentement. Un sceau signé sur le volet du partage dit que la responsable a accepté; il ne dit rien de ce que les clients ont accepté. Ce sont deux permissions différentes, et une seule vit dans ce chapitre.
Un fil reste ouvert, volontairement. Les coursiers du partenaire apprendront à lire les plages de ramassage et à profiler les délais de livraison. Personne n'a encore rédigé de sceau pour cette utilisation secondaire. Il en faudra un.