摘要
- Desjardins 之所以重要，是因为公开记录显示，一家金融机构的敏感会员信息通过看似合法但设计不安全的员工工作路径被复制。
- 加拿大隐私专员办公室表示，该事件最终影响了加拿大及海外近 970 万人，而 Desjardins 的首份公开声明称，最初发现有超过 290 万名会员的信息被泄露到组织外部。
- 问责问题是：谁实际控制了员工访问权限、共享驱动器工作流、数据最小化边界、监控、可移动介质暴露、会员通知、补救成本以及证明相同类型的复制无法再次发生的证据。
- Desjardins 的应对措施包括信用监控、身份保护、监管承诺、公开财务拨备以及集体诉讼和解程序；这些行动是必要的，但并未替代证明访问治理条件已经改变的证据。
- 本文以 Desjardins 的通知、加拿大隐私专员的调查结果、Desjardins 的财务报告、和解记录、隐私法、OSFI 指引以及安全治理框架为公开证据。本文不声称拥有私人警方档案、完整的员工日志、个人会员损失记录或后续内部审计资料。
为什么此案属于风险与问责档案
Desjardins 属于风险与问责档案，因为该数据泄露并非传统的外部入侵故事。公开证据描述了一起员工关联的金融身份记录提取事件，该机构的会员实际上无法检查访问设计或保留实践。Desjardins 在 2019 年 6 月 20 日的公开声明（https://www.newswire.ca/news-releases/desjardins-statement-concerning-unauthorized-access-to-some-member-information-806079260.html）称，拉瓦尔警方已联系 Desjardins，确认超过 290 万名会员的个人信息已被泄露到组织外部，包括 270 万名个人会员和 17.3 万名商业会员。该声明将事件归因于一名员工未经授权且非法使用内部数据，该员工已被解雇。
首次披露已经十分严重。后来的监管记录使其更加庞大且具有结构重要性。加拿大隐私专员办公室的调查结果（https://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2020/pipeda-2020-005/）指出，Desjardins 于 2019 年 5 月 27 日向联邦隐私办公室报告了一起安全防护漏洞，最终影响了加拿大及海外近 970 万人。泄露的信息包括姓名、出生日期、社会保险号码、住址、电话号码、电子邮件地址和交易历史。同一报告称，Desjardins 得出结论，一名员工在至少 26 个月的时间里持续窃取个人信息。
此案属于此档案，因为该证据将问题从“一名员工做错了事”转变为“该组织构建了一个数据环境，使一名员工能够制造大规模身份风险”。当敏感信息通过数据仓库、营销文件夹、工作站和可移动介质流动时，金融机构不能将内部暴露视为意外例外。如果该组织创建了员工角色可以查看、复制、聚合或导出大量会员身份数据的工作流，那么访问治理就是一种会员保护控制，而非管理偏好。
问责问题直接：谁实际控制了员工访问权限、数据最小化边界、监控、窃取检测、会员通知、补救成本以及证明金融身份数据无法在批准的工作流之外被复制的能力？Desjardins 的领导层控制着治理、投资和隐私保护的优先级。业务部门控制着营销和分析工作流是否需要广泛的身份文件。技术和安全团队控制着访问配置、共享驱动器架构、端点监控、日志记录和可移动介质控制。隐私和风险团队控制着保留政策、培训、事件响应和监管证据。会员几乎无法控制任何这些。他们提供身份信息是因为金融生活有此要求。
此案也符合数据主权与本地性原则，因为这些记录涉及加拿大及其他个人，由一家魁北克的合作金融机构持有，并受联邦和省级隐私监督。它符合安全自动化原则，因为控制失败部分涉及监控、自动数据移动以及异常复制能否在成为人口规模事件之前被检测和阻止。它符合公共部门连续性原则，因为金融身份记录将普通会员与税务系统、信用系统、福利、警方报告以及公共监管信心联系起来。一家私人合作社的数据泄露可能成为公民身份风险问题，一旦涉及社会保险号码、地址和交易历史。
可见触发点是员工，但控制系统更广泛
将 Desjardins 数据泄露描述为内部故事并止步于此是很有诱惑力的。但这将错过核心问责问题。加拿大隐私调查确实识别出一名恶意员工，并描述了将个人信息从共享驱动器复制到工作电脑再到 U 盘的过程。但同一报告描述了首先将敏感个人信息放入共享文件夹的业务工作流。报告称，员工将个人信息的自动传输从信用数据仓库执行到营销部门共享驱动器的用户文件夹，其他员工将机密个人信息从银行数据仓库复制到共享驱动器。恶意员工随后从这些共享位置复制信息，包括他通常无法访问的银行数据仓库中的信息。
这很重要，因为该员工无需攻破一个无懈可击的系统。该员工利用了一个已经将敏感记录带入可触及工作位置的系统。在问责方面，该组织必须解释为何足以产生长期身份风险的敏感数据被放置在广泛或保护不足的操作位置。它还必须解释为何检测和预防控制措施未能长时间中断复制行为。
“未经授权和非法使用”作为触发点是准确的，但治理不能止步于此。任何机构内部人员都可能违反信任。问责的问题是机构是否像可预见内部人员滥用那样设计了特权工作流。金融机构处理社会保险号码、姓名、地址、出生日期、账户相关信息和交易历史，正是为了支持受监管的信贷和银行业务。这种敏感性产生了限制谁可以查看数据、数据可以暂存何处、保留多久、是否可以复制到端点、是否阻止可移动存储以及异常移动是否产生警报的责任。
因此，Desjardins 的公开声明和隐私专员的调查结果应该一起阅读。最初的公开声明为会员提供了触发点并提供了即时保证路径。监管记录给出了控制的解剖结构。只阅读第一份声明的会员可能会想象一个拥有异常权限的流氓员工。阅读监管记录的读者会看到一个更广泛的治理问题：访问权限、共享驱动器设计、数据传输实践、保留、员工培训、监控以及事后缓解措施。
这就是责任叙述与控制叙述之间的区别。责任叙述寻找违反政策的人。控制叙述询问为何政策和技术环境允许违规行为达到如此规模。两者都很重要。员工的行为是事件的核心，但会员需要证据证明 Desjardins 改变了让该行为如此大规模发生的条件。
数据最小化并非抽象的隐私原则
数据最小化通常被视为法律语言。在此案中，它是一个实用的安全边界。金融机构只能丢失或泄露其收集、保留、复制、暂存并使其可访问的信息。加拿大隐私调查发现，部分泄露信息的陈旧性促使 OPC 审查 Desjardins 的数据销毁实践。报告发现与问责、保留期和安全防护相关的违规行为。报告还指出，Desjardins 没有在个人信息生命周期结束时销毁的程序，并且在事件发生数月后，仍无法确定已停用账户的保留期。
这是一个决定性的问责点。当记录包含可多年用于欺诈的身份信息时，保留政策并非记录管理的次要问题。社会保险号码和出生日期不会因账户停用而变得无害。地址、电话号码、电子邮件地址和交易历史可用于构建令人信服的假冒尝试。信息在目的结束后在可访问系统中保留的时间越长，泄露表面就越大。
《个人信息保护与电子文件法》（https://laws-lois.justice.gc.ca/eng/acts/P-8.6/index.html）为加拿大私营部门个人信息处理提供了联邦隐私法律框架。Desjardins 的调查结果将该法的问责、保护和安全原则应用于此次泄露。重要的实际教训是，隐私法与安全工程在生命周期控制中交汇。如果数据不再必要，就不应留在可共享位置以供复制。如果营销工作流需要聚合分析，就不应自动接收完整身份记录，除非用例要求且保护措施匹配风险。如果用户文件夹包含敏感副本，该文件夹就不是便利缓存，而是受监管的数据存储。
数据最小化还改变了成本模型。事件发生后，机构可能需支付信用监控、身份保护、沟通、法律程序、外部审计和运营修复等费用。Desjardins 2019 年第二季度财务报告（https://www.desjardins.com/ressources/pdf/d50-rapport-trimestriel-mcd-2019-2-e.pdf?resver=1565631033000）确认了因隐私泄露后的保护措施而产生的巨额费用和拨备。其 2019 年年度报告（https://www.desjardins.com/ressources/pdf/d50-rapport-annuel-mcd-2019-t4-e.pdf?resVer=1583954841000）及相关财务报表（https://www.desjardins.com/ressources/pdf/d50-etat-financier-mcd-2019-e.pdf?resVer=1583166109000）将事件响应与重大财务成本联系起来。这些成本表明为何最小化不仅仅是合规偏好。当控制失败时，多余保留的数据会变成有资金支持的负债。
因此，可问责的修复测试并非“机构是否制定了保留政策？”而是“机构能否证明陈旧和不必要的敏感信息已不再被普通员工、共享文件夹、笔记本电脑、分析工作流或可移动介质所触及？”没有销毁证据的政策只是承诺。没有监控的删除程序只是希望。会员需要数据最小化已经可操作的证明。
当业务便利与敏感记录相遇时，访问治理失败
访问治理是本案的核心。在许多金融组织中，业务团队合法需要产品管理、营销、风险建模、欺诈预防、运营、报告和服务改进的数据。这些需求可能是真实的。但用途合法并不意味着每条记录都应复制到广泛的工作区域。隐私调查描述了敏感信息从数据仓库移动到共享驱动器和用户文件夹，即使恶意员工通常无法访问原始银行数据仓库，他也能从中复制信息。这是一种典型的访问治理倒置：受保护的源在业务提取后可能变得保护更少。
问责问题并非营销部门永远不应使用会员数据。问题在于访问应在每个阶段遵循需求、目的、敏感性和可追溯性。如果提取离开仓库，它应继承控制。如果用户文件夹接收敏感数据，其权限应狭窄，使用应被记录，保留应短暂，且导出路径应受控。如果共享驱动器用作中间工作空间，它不应成为长期存在的影子数据仓库。如果不需要身份字段，应在提取离开受控系统前将其移除或标记化。
安全自动化与此相关，因为手动策略无法监控每一次复制。成熟的环境会寻找异常传输、敏感列的重复导出、从共享驱动器到端点的复制、可移动存储使用以及与角色或目的不一致的访问模式。它还会根据敏感度对文件进行分类，使得包含社会保险号码和交易历史的电子表格或数据提取与普通业务内容区别对待。端点控制应使得未经批准和记录的情况下难以将受监管的金融身份数据复制到 USB 设备。数据丢失防护工具可能不完美，但此类监控的缺失或薄弱会改变对无法自我保护免受内部导出的会员的负担。
OSFI 的技术与网络风险管理指引（https://www.osfi-bsif.gc.ca/en/guidance/guidance-library/technology-cyber-risk-management）并非对 Desjardins 2019 年控制的事后调查结果。它很有用，因为它表达了现代金融部门的期望，即技术和网络风险应按比例进行治理、管理、监控和恢复。内部数据移动直接处于该框架内。它不仅是隐私事件。它是人员、流程、技术和数据治理交汇的操作风险事件。
访问治理失败还具有制度信任维度。Desjardins 是一个合作金融集团。会员不仅仅是遥远系统中的零售账户持有人，他们是一个依赖信任、本地性和会员身份的合作关系的一部分。因此，涉及受信任员工的数据泄露冲击了该机构的社会契约。修复不能简化为“员工已离开”。机构必须表明会员信任不再依赖于每个拥有便利访问权的员工将永远正确行事的假设。
检测延迟改变了问责形态
检测时机很重要，因为身份数据危害悄无声息地增长。被盗的支付卡可以更换。社会保险号码和出生日期对于未来的欺诈、假冒和社会工程仍有用。隐私调查称，与员工相关的窃取行为至少持续了 26 个月。这个长窗口期对问责至关重要，因为它表明控制系统在足够风险累积的长时间内没有注意到或阻止敏感信息的重复复制。
公开记录并未暴露 Desjardins 可用的每一个监控日志或内部警报，因此本文不应编造细节。证据支持一个更狭窄的结论：最终的检测和披露记录显示，现有保护措施不足以防止人口规模的暴露。OPC 新闻稿（https://www.priv.gc.ca/en/opc-news/news-and-announcements/2020/nr-c_201214/）描述了行政和技术弱点的结合。专员的声明（https://www.priv.gc.ca/en/opc-news/speeches-and-statements/2020/s-d_20201214/）表示，Desjardins 未能表现出保护敏感个人信息所需的适当关注，同时也指出该组织在发现泄露后反应良好。
这两点应放在一起。发现后的强有力响应很重要。它可以减少会员伤害、支持监管机构、资助补救并改进控制。但在外部发现后强有力的响应并不能抹去发现前的薄弱检测态势。对会员而言，相关风险不仅在于 Desjardins 在警方信息到达后是否采取行动，还在于 Desjardins 是否能在不等待外部信号的情况下检测到异常复制。
检测不是单个控制。它包括访问审查、数据分类、共享文件夹扫描、端点遥测、可移动介质监控、特权用户分析、基于角色的例外、警报路由和升级规则。它还包括停止过于宽泛的业务流程的权力。如果一个部门建立了定期将敏感数据放入共享驱动器的提取流程，检测必须询问该模式为何存在、是否已批准、是否仍然需要以及敏感字段是否可以抑制。仅仅记录事件而没有治理审查的监控是薄弱的证据。
长窗口期也改变了会员通知。如果数据可能在许多月之前就已离开机构，会员无法知道确切的未来欺诈风险。机构必须诚实沟通不确定性。它应确定所涉及的信息类别、可能受影响的人、可用的保护服务、正在进行的执法和监管程序，以及机构在身份盗窃后来出现时将采取的措施。通知不仅是法律步骤。它是将可操作的知识传递给未控制泄露的人。
补救成本显示身份风险超出事件
Desjardins 的补救记录是证据文件中一个有用的部分，因为它表明该机构将身份风险视为长期问题。Desjardins 身份保护（https://www.desjardins.com/en/security/desjardins-identity-protection.html）描述了欺诈保护、身份盗窃支持、身份恢复费用报销以及信用监控功能。Desjardins 的财务报告确认了与泄露保护相关的成本和拨备，2019 年联合会年度报告（https://www.desjardins.com/ressources/pdf/d50-rapport-annuel-fcdq-2019-t4-e.pdf?resVer=1583953623000）讨论了隐私泄露后实施 Desjardins 身份保护的费用。
该响应很重要，因为身份数据具有持久性。短期的信用监控可能有帮助，但受损害的标识符可能以后被使用。会员可能在事件发生多年后面临欺诈尝试，尤其是当数据与其他来源结合时。Desjardins 提供的更广泛身份保护和报销承认了损害模型可能超越新闻周期。
集体诉讼和解记录增加了另一个维度。Desjardins 2022 年 2 月的和解公告（https://www.desjardins.com/en/news/desjardins-settlement-agreement.html）称，已就与隐私泄露相关的集体诉讼与原告达成和解协议。2022 年 6 月的公告（https://www.desjardins.com/en/news/privacy-breach-settlement-agreement.html）称，魁北克高等法院批准了一项和解，允许向提出索赔的合格个人支付最高 200,852,500 加元的个人赔偿。和解网站（https://desjardinssettlement.com/）和集体律师材料（https://www.siskinds.com/class-action/desjardins-privacy-breach/）成为公开补救地图的一部分。
和解不等于技术调查结果。Desjardins 无需承认每一项指控才能和解。但和解是问责证据，因为它显示了泄露成本如何从控制失败转移到会员赔偿、索赔管理、法律豁免和机构支出。它也显示了事后金钱的局限性。收到赔偿的会员仍需面对身份数据无法收回的事实。最强的修复是预防和可验证的控制改进，而不仅仅是暴露后的报销。
因此，补救文件应询问资金和服务是否与控制证据相匹配。访问权限是否缩小？共享驱动器工作流是否重新设计？敏感提取是否分类并限时？USB 控制是否加强？监控警报是否改进？保留和销毁程序是否实施？外部审计师是否被要求证明正确的事情？监管进展报告是否足够有意义以证明变化？公开隐私记录称，Desjardins 同意了建议和外部审计报告。会员仍需要旧路径已关闭的实际保证。
监管建议将案件转变为证据测试
加拿大隐私调查结果很有价值，因为它们没有将泄露视为谜团。它们识别了弱点并提出了建议。OPC 表示，Desjardins 同意改进其个人信息保护与信息安全计划，每六个月提供进度报告，聘请外部审计师，并提交评估报告。OPC 新闻稿还称，Desjardins 同意了与数据销毁实践和计划改进相关的建议。
这是问责的支点。监管建议不仅仅是谴责。它创建了证据标准。Desjardins 必须证明控制已实施，外部审计师已审查相关计划，并已识别剩余风险。OPC 的调查结果列出了评估主题，如治理、资源、用于存储个人信息的平台、每个位置的敏感度、保护措施、保留、销毁、去标识化和剩余风险。这些是恰当的类别，因为泄露跨越了数据存储、访问、端点、保留和治理边界。
加拿大隐私专员办公室的商业泄露指南（https://www.priv.gc.ca/en/privacy-topics/business-privacy/safeguards-and-breaches/privacy-breaches/respond-to-a-privacy-breach-at-your-business/gd_pb_201810/）提供了响应和记录保存的有用控制词汇。它强调组织必须评估重大伤害的实际风险，报告某些泄露，通知受影响个人，保存记录，并采取措施减少伤害。在 Desjardins 案例中，挑战不仅仅是满足通知机制，而是证明保护措施变得与数据的敏感性和规模相称。
NIST 的网络安全框架（https://www.nist.gov/cyberframework）和 CISA 的默认安全材料（https://www.cisa.gov/resources-tools/resources/secure-by-design）是更广泛的参考，并非专门针对 Desjardins 的调查结果。它们仍然相关，因为它们表达了这个事件暴露的控制循环：识别敏感数据和业务流程，保护访问并限制移动，检测异常复制，通过清晰通知和补救响应，通过测试修复恢复信任，通过指定责任和证据治理整个系统。Desjardins 案例触及该循环的每个部分。
公共部门连续性要素在此出现。隐私监管机构、警方、法院、金融监管机构、信用机构、身份盗窃响应者和集体诉讼管理员都成为响应生态系统的一部分。大型金融身份泄露不会停留在企业边界内。公共机构必须处理投诉、调查、欺诈报告、法律程序和公众信心工作。收集数据的机构控制第一级保护；公共部门帮助承担第二级后果。
证据边界应保持可见
公开记录支持强有力的调查结果，但有局限性。它支持 Desjardins 披露了员工关联的会员信息泄露到组织外部，根据联邦隐私调查，事件最终影响了近 970 万人，敏感数据类别包括姓名、出生日期、社会保险号码、地址、联系信息和交易记录，以及 OPC 发现与问责、保留和保护措施相关的失败。它支持 Desjardins 资助了身份保护措施，并随后进入了法院批准的和解程序。
公开记录不支持声称每个受影响个人都遭受了身份盗窃。它不证明每条记录的具体下游用途。它不暴露所有警方证据、所有员工工作站日志、所有 USB 事件、所有内部访问审查、所有监管提交或每个外部审计工件。它不支持对每个 Desjardins 员工或部门的推测。严肃的问责档案必须保持这些边界可见，因为过度宣称会削弱分析。
正确的结论更狭窄且更强有力：持有持久身份数据的金融机构绝不能允许普通工作路径成为批量导出路径。内部人员滥用是可预见的。共享驱动器是可预见的。可移动介质是可预见的。用于营销或分析的数据提取是可预见的。保留漂移是可预见的。问责标准并非对未来每个员工的完美了解，而是系统限制一个角色可以复制的内容、检测异常移动、仅保留必要内容、并在控制失败时为受影响者提供有意义保护的证据。
此案也不应用于声称金融机构可以消除所有内部风险。它们不能。银行、信用合作社、保险公司和支付公司需要员工和承包商合法处理敏感信息。现实的标准是比例控制。高度敏感数据需要更强的权限、更窄的字段、目的绑定、审计追踪、隔离、端点保护和保留纪律。标识符越持久，对随意副本的容忍度就越低。
这一区别对公平性很重要。Desjardins 的公开响应包括会员保护和与监管机构的合作。该响应应被记录。但它不否定控制失败。问责档案应评估两者：机构发现后的修复和发现前让泄露达到如此规模的条件。
可验证修复所需的条件
Desjardins 的持久修复测试始于访问权限。从受控仓库到用户文件夹、共享驱动器、分析工作空间或端点的每一次敏感个人信息定期传输，都应有命名业务目的、数据所有者批准、字段最小化、保留限制、日志记录和审查日期。如果目的可以通过聚合或标记化数据实现，身份字段不应传输。如果身份字段必须传输，接收位置应被视为高风险数据存储，而非普通部门文件夹。
第二个测试是生命周期控制。Desjardins 需要知道其持有哪些个人信息、为何持有、存储位置、应保留多久以及如何在不再需要时销毁或去标识化。在拥有遗留系统、数据仓库、会员产品、保险活动、卡片、商业客户和分析功能的大型合作金融集团中，这并不容易。困难正是控制必须被治理的原因。无法映射到实际存储库的保留计划是不够的。
第三个测试是数据移动检测。现代金融机构应在敏感数据被批量复制、移动到共享文件夹、下载到工作站、写入可移动介质、压缩、通过电子邮件发送到外部或在正常角色模式之外被访问时生成证据。警报应路由至有权调查的人员。例外应过期。创建大型敏感提取的重复业务流程应由隐私、安全和数据所有者审查，而非因一直存在而被正常化。
第四个测试是端点和可移动介质控制。公开调查描述了从共享驱动器复制到工作电脑再到 U 盘的过程。可问责的响应应证明高风险个人信息无法被随意导出到可移动介质，或者任何批准的导出都受到严格控制、记录、加密、限时并与合法工作工单关联。控制还应涵盖打印、电子邮件转发、云同步、个人设备及其他实际窃取路径。
第五个测试是面向会员的缓解措施。身份保护服务、报销、欺诈支持、信用监控和补偿可以减少伤害，但它们应与数据类别和未来风险的清晰解释相关。会员不应为了了解发生了什么、应关注什么以及如果身份盗窃后来出现仍有可用帮助而解析法律文件。
第六个测试是外部证据。当监管机构要求进度报告和外部审计时，证据应足够具体以显示访问治理已改变。笼统地说政策改善并不能回答泄露问题。证据应显示数据清单进展、访问角色清理、共享驱动器减少、保留实施、监控指标、事件响应改进以及未解决的剩余风险。监管机构可能不公布每一个细节，但机构应能证明实质内容。
其他金融机构应学习的经验
Desjardins 案例对所有金融机构、信用合作社、保险公司、金融科技公司和数据处理商有一个通用教训：内部数据暴露并非普通治理之外的罕见类别。它是广泛访问、未管理提取、长期保留、弱端点控制和有限监控的自然失效模式。恶意员工只有在环境为该员工提供通往人口规模数据的路径时，才能制造人口规模身份风险。
董事会应要求证据，而非安慰。多少员工可以访问原始身份字段？多少次定期提取包含社会保险号码、出生日期、地址或交易记录？这些提取存储在哪里？保留多久？能否复制到笔记本电脑或可移动介质？如果用户复制了数十万条记录，哪些警报会触发？谁审查营销、分析、产品、欺诈、支持和运营角色的访问权限？例外多久被移除？旧的会员数据如何销毁？什么独立测试证明了答案？
安全团队应抵制“内部威胁”这一狭窄短语，如果它成为个体化设计问题的方式。内部风险治理是访问治理、数据分类、保留控制、监控、端点设计、培训、调查工作流和业务流程重新设计。它不是要求员工值得信任的海报活动。员工应接受培训，但培训不能替代限制单个员工可复制的敏感数据量。
隐私团队应将数据最小化视为安全架构。当隐私记录保留过长或复制过广时，安全团队继承更大的爆炸半径。当安全监控因正式授权而忽略业务提取时，隐私团队继承不受控的生命周期。两个学科在敏感数据是否应存在于其应在的位置、持续其应在的时长以及在与其未来危害相匹配的控制之下这一问题上交汇。
会员和客户应询问机构身份数据在离开原始应用程序后如何保护。许多组织在源头有强大的数据库访问控制，但在提取、报告、共享驱动器、电子表格和分析沙箱周围则有较弱的控制。危险的副本可能不是核心系统中的记录，而是为便利创建并被遗忘的导出。
最终的问责教训是实用的。Desjardins 并非因为员工行为不端而将内部访问变成治理测试。它成为治理测试是因为公开记录显示，金融身份数据可以通过普通工作系统以产生大规模风险的方式流动。在金融机构中，会员身份是基础设施。它必须像资金流动一样严肃治理，因为一旦身份数据离开机构，会员将承担多年的风险。
合作信任使举证责任更高
Desjardins 的合作结构使举证责任更高，而非更低。合作金融集团可以用会员制、本地服务、共同所有和社区承诺的语言说话。这些价值观只有通过证据表明会员数据在机构内受到保护才具有意义。如果相关控制隐藏在仓库、共享驱动器、端点工具和保留系统中，会员无法有意义地参与数据治理。因此，合作关系依赖于机构证据，而非会员假设。
该证据应在多个层面可读。董事会需要控制证据：数据清单、访问审查、监控指标、销毁进度、审计结果和剩余风险。监管机构需要足够细节以测试建议是否被实施，而非被吸收为通用政策语言。会员需要关于哪些数据涉及、哪些保护继续存在以及如何获得帮助的简单通知。员工需要实际护栏，使批准路径比不安全路径更容易。每个受众需要不同的表面，但都需要相同的基本事实：敏感身份数据不能再通过治理薄弱的工作路径大规模流动。
这也是公众信心成为连续性问题的原因。金融机构是日常生活的一部分。工资、贷款、卡片、税务记录、退休储蓄、小企业金融、保险和政府互动都依赖于稳定的身份和受信任的记录。当泄露涉及社会保险号码和联系信息时，修复负担超出单个机构的资产负债表。银行、信用机构、警方服务、税务机关、雇主和消费者帮助台都成为伤害管理环境的一部分。这就是为何本文将公共部门连续性作为一个受控主题，即使 Desjardins 不是政府机构。泄露触及了公共和私人参与者都依赖的身份基础设施。
因此，最有用的问责结论不是惩罚性言论，而是一条证据规则。如果机构收集持久的身份信息，它必须能够证明信息所在位置、谁可以使用、为何可以使用、信息在那里停留多久、移动时会发生什么、以及异常移动时会出现什么信号。如果机构在事件前无法回答这些问题，它将在事件后通过通知、拨备、集体诉讼、监管调查结果和会员焦虑来回答。Desjardins 使这一时机可见。