# Cybersécurité des OBNL : petits budgets, vrais risques

Source : https://cybercaribou.com/blogue/cybersecurite-obnl-organismes · Cyber Caribou

> Bénévoles, comptes partagés, dons en ligne et Loi 25 : les priorités de cybersécurité d'un OBNL québécois, avec une checklist adaptée aux budgets serrés.

Une banque alimentaire de Sherbrooke : six employés, une soixantaine de bénévoles et une campagne de dons en ligne qui démarre en novembre. Le courriel « info@ » est partagé par huit personnes, le mot de passe est écrit sur un papillon adhésif près de la photocopieuse et une ancienne bénévole est toujours administratrice de la page Facebook.

Rien de tout ça ne vient d'une mauvaise volonté. Dans un organisme à but non lucratif, chaque dollar va à la mission, l'équipe change souvent et l'informatique est confiée à « celui qui s'y connaît ». Le problème, c'est que les OBNL détiennent souvent des renseignements parmi les plus sensibles qui soient : ceux de personnes vulnérables.

La bonne nouvelle, c'est que les mesures les plus efficaces coûtent peu ou rien. Voici par où commencer.

- La Loi 25 peut viser un OBNL : selon la Commission d'accès à l'information, il faut analyser au cas par cas s'il exerce une activité économique organisée.
- Les données des usagers, des donateurs et des bénévoles méritent la même protection que celles des clients d'une entreprise, et souvent davantage.
- Le roulement des bénévoles est le principal angle mort : comptes nominatifs, authentification multifacteur et révocation des accès au départ.
- Pour les dons, passez par une plateforme reconnue et publiez clairement vos canaux officiels pour nuire aux fausses campagnes.

## La Loi 25 s'applique-t-elle à votre OBNL ?

La loi sur le secteur privé (RLRQ, c. P-39.1), modernisée par la Loi 25, vise les renseignements personnels recueillis « à l'occasion de l'exploitation d'une entreprise » au sens de l'article 1525 du Code civil. Or, ce code définit l'exploitation d'une entreprise comme une activité économique organisée, « qu'elle soit ou non à caractère commercial », qui consiste notamment dans la prestation de services.

La Commission d'accès à l'information précise que la loi peut viser des OBNL, mais qu'une analyse au cas par cas est nécessaire pour déterminer si l'organisme exerce véritablement une activité économique organisée. Un organisme qui emploie du personnel, offre des services de façon structurée et gère des dons a tout intérêt à se préparer comme s'il était visé. Validez votre situation avec votre conseiller juridique.

Si c'est le cas, les obligations de base sont les mêmes que pour une PME : un responsable de la protection des renseignements personnels (par défaut, la personne ayant la plus haute autorité, qui peut déléguer cette fonction par écrit), des règles de gouvernance, un registre des incidents et la déclaration de ceux qui présentent un risque de préjudice sérieux. Notre [checklist Loi 25](https://cybercaribou.com/blogue/loi-25-checklist-cybersecurite) fait le tour.

## Ce que votre organisme détient vraiment

| Qui | Exemples de renseignements | Pourquoi c'est sensible |
|---|---|---|
| Usagers | Situation financière, santé, notes d'intervention, adresse | Des personnes souvent vulnérables ; une fuite peut leur causer un réel préjudice |
| Donateurs | Coordonnées, historique de dons, parfois données de paiement | Cible de choix pour la fraude et l'usurpation |
| Bénévoles | Coordonnées, disponibilités, parfois vérification des antécédents judiciaires | Très sensible lorsqu'une vérification a été faite |
| Employés | Paie, numéro d'assurance sociale, coordonnées bancaires | Les mêmes risques qu'en entreprise |
| Conseil d'administration | Procès-verbaux, décisions financières | Confidentialité et réputation |

Un exemple : un centre d'aide aux familles de Trois-Rivières découvre que ses notes d'intervention sont stockées dans un dossier infonuagique partagé « avec toute personne disposant du lien ». Le lien avait été transmis par courriel à un partenaire deux ans plus tôt. Personne ne savait qui l'avait encore.

## Bénévoles, roulement et comptes partagés

Les entreprises vivent des départs ; les OBNL vivent des saisons. Les bénévoles arrivent pour une campagne, repartent, reviennent l'année suivante. Trois habitudes posent problème :

- **Les comptes partagés.** Quand huit personnes utilisent « info@ », impossible de savoir qui a fait quoi, et impossible de couper l'accès d'une seule personne.
- **Les appareils personnels.** Des listes d'usagers téléchargées sur un portable familial y restent souvent pour de bon.
- **Les départs non gérés.** L'ancien trésorier a encore accès au compte bancaire en ligne ; l'ancienne coordonnatrice administre toujours la page Facebook.

Les solutions sont connues. Donnez un compte nominatif à chaque employé et à chaque bénévole régulier : les programmes pour OBNL de Google et de Microsoft offrent des licences gratuites ou à prix réduit, selon des conditions qui changent, alors vérifiez l'offre en vigueur. Pour les comptes qui doivent rester partagés, comme les réseaux sociaux ou la plateforme de dons, [déployez un gestionnaire de mots de passe](https://cybercaribou.com/blogue/deployer-gestionnaire-mots-de-passe-entreprise). Et appliquez une [checklist de révocation des accès](https://cybercaribou.com/blogue/depart-employe-revocation-acces-checklist) à chaque départ, bénévoles compris.

Une règle simple évite aussi bien des drames : chaque compte critique (nom de domaine, page Facebook, plateforme de dons, banque en ligne) doit avoir au moins deux administrateurs nommés, dont un membre de la permanence.

## Dons en ligne : protéger l'organisme et les donateurs

Les dons en ligne exposent l'organisme sur deux fronts.

**Vos données de paiement.** Passez par une plateforme de dons ou un fournisseur de paiement reconnu, et ne conservez jamais de numéros de carte dans un chiffrier, un courriel ou un formulaire maison.

**Votre nom.** Le Centre antifraude du Canada décrit le scénario : un fraudeur sollicite un don au nom d'un organisme de bienfaisance qui n'existe pas, ou auquel il n'est pas associé, en mettant de la pression pour obtenir un don sur-le-champ. Il met aussi en garde contre les fausses campagnes de sociofinancement. Pour limiter les dégâts :

- Publiez sur votre site la liste de vos seuls canaux de dons officiels.
- Protégez votre domaine contre l'usurpation avec SPF, DKIM et DMARC ; notre [vérificateur DMARC](https://cybercaribou.com/outils/verificateur-dmarc-spf-dkim) vous montre où vous en êtes.
- Rappelez à vos donateurs que les organismes de bienfaisance enregistrés peuvent être vérifiés auprès de l'Agence du revenu du Canada.

Méfiez-vous enfin de la [fraude au président](https://cybercaribou.com/blogue/fraude-president-courriel-affaires-compromis) version OBNL : un courriel du « président du CA » qui demande à la trésorière un virement urgent ou l'achat de cartes-cadeaux.

## Un plan réaliste pour un budget serré

La plupart des mesures ci-dessous ne coûtent que du temps :

- [ ] Authentification multifacteur sur le courriel, la plateforme de dons, les réseaux sociaux, la banque en ligne et le logiciel comptable.
- [ ] Un compte par personne pour les employés et les bénévoles réguliers.
- [ ] Un gestionnaire de mots de passe pour les comptes qui doivent rester partagés.
- [ ] Mises à jour automatiques sur tous les ordinateurs, y compris le vieux portable de l'accueil.
- [ ] Sauvegarde des dossiers essentiels, avec une copie hors ligne testée.
- [ ] Partages de fichiers revus : aucun dossier d'usager accessible « à toute personne disposant du lien ».
- [ ] Inventaire des comptes critiques, avec deux administrateurs nommés pour chacun.
- [ ] Tout virement ou achat de cartes-cadeaux demandé par courriel confirmé de vive voix.
- [ ] Une formation de 30 minutes pour les bénévoles : hameçonnage, confidentialité, quoi faire en cas de doute.
- [ ] Un registre des incidents de confidentialité, même pour une liste envoyée au mauvais destinataire.
- [ ] Un point « cybersécurité » à l'ordre du jour du conseil d'administration au moins une fois par année.

Pour aller plus loin sans budget, le Centre canadien pour la cybersécurité publie gratuitement des guides et des contrôles de base conçus pour les petites organisations.

Un regard externe n'a pas à coûter une campagne de financement. Notre équipe peut faire le point sur vos comptes, vos partages et vos procédures dans le cadre d'un [audit de cybersécurité](https://cybercaribou.com/services/audit-cybersecurite) adapté à la taille de votre organisme. Si vos locaux sont dans le Grand Montréal, un expert peut aussi [vous rencontrer sur place](https://cybercaribou.com/rencontre-sur-place), avec votre direction ou votre trésorerie.

## FAQ

**Un OBNL entièrement bénévole est-il visé par la Loi 25 ?**
Ça dépend. Selon la Commission d'accès à l'information, la loi sur le secteur privé peut viser des OBNL, mais il faut analyser au cas par cas si l'organisme exerce véritablement une activité économique organisée. Validez votre situation avec un juriste. Même si votre organisme n'est pas visé, protéger les renseignements de vos usagers reste une question de confiance.

**Les bénévoles peuvent-ils utiliser leur propre ordinateur ou téléphone ?**
Oui, à certaines conditions : authentification multifacteur, verrouillage de l'écran, travail dans les applications infonuagiques de l'organisme plutôt que dans des fichiers téléchargés, et retrait des accès au départ. Évitez que des dossiers d'usagers soient enregistrés sur un appareil personnel.

**Comment empêcher qu'on usurpe notre organisme pour solliciter des dons ?**
Publiez clairement sur votre site vos seuls canaux de dons officiels, protégez votre domaine de courriel avec SPF, DKIM et DMARC, et surveillez les pages qui utilisent votre nom sur les réseaux sociaux. Signalez toute fausse campagne à la plateforme concernée et au Centre antifraude du Canada, qui conseille aux donateurs de vérifier l'enregistrement des organismes de bienfaisance auprès de l'ARC.

**Existe-t-il des logiciels gratuits ou à rabais pour les OBNL ?**
Oui. Google for Nonprofits accepte notamment, au Canada, les organismes de bienfaisance enregistrés auprès de l'ARC et les organismes sans but lucratif constitués au fédéral ou au provincial. Microsoft offre aussi des programmes pour les OBNL. Les conditions de ces offres changent régulièrement : vérifiez-les sur le site de l'éditeur avant de bâtir votre budget.

## Sources

- [Commission d'accès à l'information : Champ d'application de la Loi sur le privé](https://www.cai.gouv.qc.ca/protection-renseignements-personnels/information-entreprises-privees/champ-application-loi_entreprises)
- [LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1)](https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1)
- [LégisQuébec : Code civil du Québec (art. 1525)](https://www.legisquebec.gouv.qc.ca/fr/document/lc/CCQ-1991)
- [Centre antifraude du Canada : Charité et dons](https://antifraudcentre-centreantifraude.ca/scams-fraudes/charity-donation-charite-fra.htm)
- [Google for Nonprofits : conditions d'admissibilité](https://support.google.com/nonprofits/answer/3215869)
- [Centre canadien pour la cybersécurité](https://www.cyber.gc.ca/fr)