Qualification et quantification de l'obligation de sécurité informationnelle dans la détermination de la faute civile

Abstract

L'obligation de sécurité informationnelle - c'est-à-dire la tâche qui incombe aux entreprises d'assurer l'intégrité, la confidentialité et la disponibilité de l'information découle, tant en droit québécois que dans une majorité de juridictions occidentales, d'une série de dispositions législatives imposant non pas l'adoption de comportements ou l'utilisation de technologies ou de procédés identifiables, mais bien l'implantation de mesures de sécurité «raisonnables », «adéquates », ou « suffisantes ». Or, dans un domaine aussi embryonnaire et complexe que celui de la sécurité informationnelle, domaine dans lequel les solutions disponibles sont multiples et où la jurisprudence est éparse, comment une entreprise peut-elle jauger avec justesse l'étendue de son obligation? Bref, comment établir ce que ferait une entreprise raisonnablement prudente et diligente dans un domaine où il n'existe actuellement aucune balise législative, jurisprudentielle ou même coutumière permettant de fixer avec justesse le niveau de diligence imposé par le législateur? L'absence de sécurité juridique offerte par une telle situation est patente et nécessite une reconfiguration du cadre opératoire de l'obligation de sécurité informationnelle afin d'en identifier les composantes et les objectifs. Cet exercice passera par la redéfinition de l'obligation de sécurité informationnelle comme obligation de réduire les risques qui guettent l'information à un niveau socialement acceptable. En effet, la sécurité pouvant être définie comme étant la gestion du risque, c'est donc le risque qui réside au cœur de cette obligation. Or, en analysant les risques qui guettent un système, soit en analysant les menaces qui visent à exploiter ses vulnérabilités, il est possible d'établir quelles contre-mesures s'avèrent utiles et les coûts associés à leur mise en œuvre. Par la suite, il devient envisageable, en recourant à la définition économique de la négligence et en prenant compte des probabilités de brèches de sécurité et des dommages escomptés, d'établir les sommes optimales à investir dans l'achat, l'entretien et la mise à jour de ces contre-mesures. Une telle analyse permet ainsi de quantifier avec un certain degré de précision l'étendue de l'obligation de sécurité informationnelle en offrant aux entreprises un outil s'inspirant de données matérielles auxquelles elles ont librement accès et s'intégrant aisément dans le contexte juridique contemporain.

In Quebec, as in most western jurisdictions, the duty to ensure information security, i.e. the obligation bestowed upon companies to protect the integrity, confidentiality and availability of information, stems from a series of legal dispositions which, rather than to impose a certain conduct, or the use of given technologies or processes, simply demand that "reasonable", "adequate", or "sufficient" security measures be applied. However, in a field an nascent and complex as information security, where available solutions are numerous, and where case law is sparse, how can a company reliably predict the full extend of its duty? In other words, how can one establish what a reasonably prudent and diligent company would do in a field where laws, case law, and even customs fail to dictate precisely what level of diligence is sought by the legislator? The lack of legal certainty offered in such a case is obvious, and requires us to reconfigure the framework associated with the duty to ensure information security in order to identify its components and objectives. Such an endeavour begins with redefining the duty to ensure information security as a duty to reduce information-related risk to a socially acceptable leve1. Since security stems from risk management, it can therefore be said that risk is at the core of said duty. By analysing risk, i.e. by identifying the threats that aim to exploit a system's vulnerabilities, it becomes possible to specify which counter measures could be useful and what costs they may entail. From that point, it's feasible, if using the economic definition of negligence (which is based on the probability of a security breach, and the damages incurred), to establish the optimal amount that should be invested in the purchasing, upkeep and replacement of these counter measures. This type of analysis will allow companies to quantify, with a certain degree of precision, the extend to which they need to ensure information security by giving them a set of tools based on easily accessible data. Furthermore, said tools appear to be fully compatible with the current legal landscape.