Sécurité informatique municipale et règles de notification des violations à Surrey
Surrey, Colombie-Britannique, doit appliquer des attentes de confidentialité et de cybersécurité aux systèmes informatiques municipaux et aux données des résidents. Ce guide résume le cadre juridique applicable aux systèmes d'information de la Ville de Surrey, qui fait respecter les normes, comment signaler les violations et les étapes pratiques pour le personnel informatique et des archives afin de répondre et de réduire les risques. Il renvoie aux obligations provinciales en vertu de la Freedom of Information and Protection of Privacy Act (FIPPA) et aux orientations du Office of the Information and Privacy Commissioner lorsqu'elles s'appliquent aux organismes municipaux de Surrey et à leurs fonctions informatiques corporatives.[1]
Périmètre et droit applicable
Les systèmes informatiques municipaux exploités par la Ville de Surrey sont assujettis au droit provincial sur la protection des renseignements personnels (FIPPA) lorsqu'ils détiennent des renseignements personnels en tant qu'organisme public, ainsi qu'aux politiques corporatives locales et aux normes opérationnelles de sécurité maintenues par les services des technologies de l'information et du bureau de la protection de la vie privée de la Ville de Surrey. Les règlements municipaux ne définissent généralement pas de normes techniques précises; la conformité découle plutôt des obligations provinciales et des politiques municipales.[2]
Exigences minimales en matière de cybersécurité
- Évaluation des risques et classification des renseignements personnels.
- Contrôles d'accès, journalisation et privilèges basés sur les rôles pour le personnel municipal.
- Gestion des correctifs et normes de configuration pour serveurs et postes.
- Chiffrement au repos et en transit lorsque des renseignements personnels ou sensibles sont concernés.
- Plan d'intervention en cas d'incident avec calendriers et responsabilités de notification.
Réponse aux incidents et actions immédiates
Lorsqu'une violation suspectée se produit, les TI municipales doivent contenir l'incident, préserver les preuves et aviser le responsable désigné de la vie privée de la Ville et les conseillers juridiques. Si des renseignements personnels sont en cause, la Ville doit évaluer le risque de préjudice et préparer des notifications aux personnes concernées et au régulateur provincial selon les exigences de la FIPPA.[1]
Sanctions et application
L'application et les recours pour des manquements au traitement des renseignements personnels par des organismes publics en Colombie-Britannique sont principalement régis par la FIPPA et le Office of the Information and Privacy Commissioner (OIPC). Les montants précis des amendes ou pénalités par jour pour des défaillances de cybersécurité municipale ne sont pas indiqués sur les pages municipales citées; lorsqu'il existe des recours statutaires, ils sont mis en œuvre par les processus provinciaux.[1]
- Amendes monétaires : non précisées sur la page citée; consultez la FIPPA et l'orientation de l'OIPC pour connaître les résultats possibles des plaintes et les recours judiciaires.
- Escalade : examen administratif initial par l'OIPC, ordonnances possibles exigeant des mesures correctives; les détails sur les récidives ne sont pas précisés sur les pages municipales citées.[2]
- Sanctions non monétaires : ordonnances correctives, directions de modification des pratiques et mesures judiciaires si nécessaire.
- Autorité : Office of the Information and Privacy Commissioner pour les plaintes provinciales; en interne, les TI de la Ville de Surrey et le responsable corporatif de la vie privée gèrent l'exécution opérationnelle et la réponse aux incidents.[1]
- Recours et délais : plaintes à l'OIPC et, selon le cas, révision judiciaire devant les tribunaux de la C.-B.; les délais sont définis par la loi ou les procédures du régulateur et ne sont pas précisés sur la page municipale citée.
Demandes et formulaires
La Ville ne publie pas de formulaire public spécifique de "notification de violation" sur les pages citées; le signalement suit généralement les procédures internes et les plaintes formelles à l'OIPC si nécessaire. Pour les formulaires et procédures statutaires, consultez le site de l'OIPC et les pages de contact de la Ville de Surrey.[1]
Violations courantes et conséquences typiques
- Accès non autorisé à des renseignements personnels — enquête interne et possibilité de plainte à l'OIPC; montants monétaires non précisés sur les pages municipales citées.
- Mauvaises pratiques d'élimination des données — peut entraîner des ordonnances correctives.
- Omission de notifier les personnes affectées lorsque le préjudice est probable — peut déclencher la surveillance de l'OIPC et des ordonnances.
Comment faire
- Contenir l'incident : déconnecter les systèmes affectés du réseau en toute sécurité et préserver les journaux et images.
- Avertir l'équipe d'intervention interne et le responsable corporatif de la vie privée de la Ville immédiatement.
- Évaluer les dossiers concernés et la probabilité de préjudice pour les personnes.
- Si nécessaire, notifier les personnes concernées et préparer le contenu de la notification selon l'orientation de l'OIPC.[3]
- Déposer une plainte ou suivre le processus de l'OIPC si le problème n'est pas résolu ou pour un examen du régulateur.
FAQ
- Qui applique la cybersécurité et la notification des violations pour les TI de Surrey?
- Le Office of the Information and Privacy Commissioner applique les obligations en vertu de la FIPPA; l'application opérationnelle et la réponse aux incidents sont gérées par les TI de la Ville de Surrey et le responsable corporatif de la vie privée.[1]
- Existe-t-il des amendes fixes pour les violations de données municipales à Surrey?
- Il n'y a pas d'amendes municipales spécifiques indiquées sur les pages citées; les recours statutaires et les ordonnances du régulateur relèvent de la loi provinciale et des processus de l'OIPC.[2]
- Comment signaler une violation suspectée impliquant les systèmes de la Ville?
- Signalez immédiatement à votre superviseur, à l'équipe TI d'intervention de la Ville de Surrey et au responsable de la vie privée de la Ville, puis suivez les procédures internes et le signalement à l'OIPC si applicable.[1]
Points clés
- La FIPPA et l'orientation de l'OIPC déterminent les obligations de notification pour les organismes publics de Surrey.
- Les TI municipales doivent prioriser la containment, la préservation des preuves et la notification en temps opportun.
- Contactez tôt le responsable de la vie privée de la Ville et l'OIPC pour obtenir des conseils sur les notifications.
Aide et ressources
- City of Surrey - Privacy and Access to Information
- City of Surrey - Main site (IT contact and corporate policies)
- Office of the Information and Privacy Commissioner for BC
- Freedom of Information and Protection of Privacy Act (FIPPA) - BC