Ley 25 de Quebec: lo que significa para las contraseñas de su pequeña empresa

Desde la reforma conocida como Ley 25, muchos propietarios de pequeñas empresas de Quebec se han preguntado si la ley exige ahora una longitud mínima de contraseña, una autenticación multifactor obligatoria (MFA) o un cambio de contraseña cada 90 días. La respuesta corta es no. La ley no establece reglas técnicas como éstas. En cambio, requiere que usted proteja la información personal que posee con medidas razonables, nombre a una persona a cargo, documente sus prácticas y maneje incidentes de confidencialidad.

En una empresa pequeña, gran parte de esa información personal se encuentra detrás de un puñado de cuentas: correo electrónico, software de contabilidad, nómina, almacenamiento en la nube y banca en línea. Asegurar esas cuentas es una de las formas más directas de cumplir con sus obligaciones.

Esta guía es información general, no asesoramiento legal. Para su situación específica, lea las fuentes oficiales que se enumeran a continuación o consulte a un abogado.

1. Qué es la Ley 25 y cuándo entró en vigor

“Ley 25” es el nombre común para la Ley para modernizar las disposiciones legislativas en materia de protección de datos personales (S.Q. 2021, capítulo 25). Para las empresas, su principal efecto fue modificar la Ley de protección de datos personales en el sector privado (capítulo P-39.1), supervisado por la Commission d’accès à l’information (CAI).

Las nuevas disposiciones entraron en vigor por etapas:

• 22 de septiembre de 2022: un responsable de la protección de la información personal, un registro de incidentes de confidencialidad y aviso al CAI y a las personas afectadas cuando un incidente presenta riesgo de lesiones graves.
• 22 de septiembre de 2023: la mayoría de las disposiciones restantes, incluido el deber de establecer y publicar políticas y prácticas de gobernanza.
• 22 de septiembre de 2024: el derecho a la portabilidad de los datos, que permite a una persona obtener su información informática en un formato tecnológico estructurado y de uso común.

Todas estas obligaciones se aplican hoy, sea cual sea el tamaño de su negocio.

2. Medidas razonables, no una receta fija

El artículo 10 de la Ley exige que cualquier persona que lleve a cabo una empresa adopte las medidas de seguridad necesarias para proteger la información personal. Esas medidas deben ser razonables teniendo en cuenta la sensibilidad de la información, los fines para los que se utiliza, su cantidad y distribución, y el soporte en el que se almacena.

En otras palabras, lo que se espera depende de lo que tengas. Una tienda que guarda únicamente las direcciones de correo electrónico de los clientes tiene un perfil diferente al de una empresa de contabilidad que almacena números de seguro social, extractos bancarios y declaraciones de impuestos. La Ley no proporciona una lista de controles técnicos. Depende de usted elegir medidas que pueda defender y explicar por qué se ajustan a su situación.

Para la mayoría de las pequeñas empresas, las contraseñas únicas, la MFA en cuentas confidenciales y la eliminación inmediata del acceso innecesario se encuentran entre las medidas más fáciles de justificar.

3. Los deberes que afectan a tus cuentas

Un responsable de la protección de datos personales.

Según el artículo 3.1, la persona que ejerce la máxima autoridad en la empresa actúa por defecto como responsable de la protección de la información personal. En una pequeña empresa, suele ser el propietario o el presidente. Podrá delegarse por escrito toda o parte de la función. El título y la información de contacto de la persona deben publicarse en el sitio web de la empresa o, si no hay un sitio web, ponerse a disposición por otros medios apropiados.

Para la seguridad de la cuenta, esta persona es quien toma las decisiones naturales: aprueba las reglas de acceso, las excepciones y la respuesta a los incidentes.

Políticas y prácticas de gobernanza

La Sección 3.2 requiere políticas y prácticas de gobernanza para la información personal. En particular, deben cubrir cómo se conserva y destruye la información, definir las funciones y responsabilidades del personal a lo largo del ciclo de vida de la información y establecer un proceso de manejo de quejas. Deben ser proporcionados a la naturaleza y alcance de sus actividades, aprobados por el responsable y descritos en un lenguaje sencillo y claro en su sitio web.

La ley no menciona una política de contraseñas por su nombre, pero encaja naturalmente en este marco: establece quién puede acceder a qué, cómo se protegen las cuentas y qué sucede cuando alguien se va.

Un registro de incidentes de confidencialidad

Según el apartado 3.6, un incidente de confidencialidad es el acceso, uso o comunicación de información personal no autorizada por la ley, o su pérdida o cualquier otra violación de su protección. La sección 3.8 exige que toda empresa lleve un registro de estos incidentes, incluidos aquellos que no presentan riesgo de lesiones graves. El Reglamento sobre incidentes de confidencialidad establece lo que contiene cada entrada: la información involucrada, las circunstancias, las fechas relevantes, el número de personas afectadas, la evaluación de riesgos, los avisos enviados y las medidas adoptadas. Las entradas deben mantenerse actualizadas y conservarse durante al menos cinco años después de que usted tuvo conocimiento del incidente. El CAI puede solicitar una copia.

Notificar al CAI y a las personas afectadas

Según la sección 3.5, tan pronto como tenga motivos para creer que ha ocurrido un incidente, debe tomar medidas razonables para reducir el riesgo de lesiones y prevenir incidentes similares. Si el incidente presenta un riesgo de lesiones graves, debe notificar de inmediato al CAI y a las personas cuya información está involucrada. Para evaluar ese riesgo, la sección 3.7 le pide que considere, en particular, la sensibilidad de la información, las consecuencias previstas de su uso y la probabilidad de que se utilice con fines perjudiciales, y que consulte a su responsable.

4. Lista de verificación: convertir la ley en medidas concretas

Los pasos a continuación no son una lista oficial. Son prácticas comunes que ayudan a una pequeña empresa a demostrar que ha tomado medidas razonables para sus cuentas.

1. Inventario de las cuentas que alcanzan información personal: correo electrónico, contabilidad, nómina, CRM, almacenamiento compartido y banca. Registre un propietario y el método de inicio de sesión para cada uno.
2. Utilice una contraseña única para cada servicio, almacenada en un gestor de contraseñas aprobado: la reutilización convierte una filtración en un sitio web en acceso a su buzón de correo. Crea secretos con el generador de contraseñas y detectar duplicados con el auditoría de contraseña local.
3. Active MFA primero para correo electrónico, contabilidad y banca: El correo electrónico suele ser la ruta de reinicio para todas las demás cuentas. Nuestro guía de autenticación de dos factores compara los métodos.
4. Eliminar el acceso el último día de alguien: deshabilite la cuenta, revoque sesiones y dispositivos, cambie las contraseñas compartidas que la persona conocía y transfiera la propiedad de sus archivos.
5. Planifique una entrada de registro para cada cuenta comprometida: una cuenta comprometida no es automáticamente un incidente de confidencialidad, pero se convierte en uno si se puede haber accedido, utilizado, comunicado o perdido información personal. En caso de duda, documente su evaluación.
6. Anota tu política de contraseñas: empezar con el generador de políticas de contraseñas y nuestro modelo de política para pequeñas empresas, luego haga que la persona a cargo lo apruebe.
7. Verifique las contraseñas expuestas: el comprobador de filtraciones muestra si una contraseña aparece en violaciones conocidas.

Para revisar otras medidas de referencia, consulte nuestra lista de verificación de seguridad para pequeñas empresas.

5. Cuando una cuenta está comprometida

Tomemos un ejemplo ficticio: el buzón del gerente de una empresa de ocho personas comienza a enviar mensajes de phishing. El buzón contiene facturas y registros de clientes.

1. Recupere el control a través del servicio real: establezca una nueva contraseña, revoque sesiones y verifique las reglas de reenvío y los métodos MFA registrados.
2. Cambie cualquier otra contraseña que sea igual o similar.
3. Averigüe qué información personal estuvo disponible y durante cuánto tiempo.
4. Con la persona a cargo, evalúe el riesgo de lesiones graves en función de la sensibilidad, las posibles consecuencias y la probabilidad de un mal uso.
5. Registre el incidente en el registro. Si el riesgo es grave avisar al CAI y a las personas afectadas. El CAI proporciona un formulario en línea para empresas.
6. Solucione la causa raíz, por ejemplo habilitando MFA en cada buzón, para que no vuelva a ocurrir el mismo tipo de incidente.

6. Fuentes oficiales

• El texto actual del Ley de protección de datos personales en el sector privado en LégisQuébec, en particular las secciones 3.1 a 3.8 y 10.
• La página del CAI en responsabilidades comerciales. En francés.
• La página del CAI en incidentes de confidencialidad y medidas de seguridad, que también enlaza con el formulario de notificación y guías de prevención. En francés.
• El Página en inglés del CAI, que enlaza con la Ley en inglés y con la información comercial completa en francés.

Estos textos pueden cambiar. Compruebe la versión vigente antes de confiar en ellas y obtenga asesoramiento jurídico si su situación implica información sensible, transferencias fuera de Quebec o un incidente en curso.