Startup legal playbook•5 min read

Data governance strategies for founders

Authors

  • Torys’ Emerging Companies and VC Group

Read this if: you need a robust data governance plan in place for your startup

You might also like: How to build an IP strategy

Go deeper: Operating your startup

 
Your customers, investors and your board all want to be assured that you are managing data in a safe, efficient and transparent way. A strong data governance strategy requires organization, proactive defence measures and accountability. Your data governance framework should allow your team to be able to retrieve and leverage data as needed while safeguarding these assets from unauthorized access.

Keep these tips top of mind as you build out a data governance strategy.

Data protection should be built into the company culture

Build a data governance team.
  • Document who is responsible for different parts of managing data, from privacy and IT to HR and from the sales team to vendor management.
  • While most startups won’t have full-time data governance specialists, your designated data leads should work together to set out rules for interacting with data, identify helpful tools, mitigate risk and ensure your wider workforce is properly trained.
Train your employees on data ethics, privacy and cybersecurity.
  • Clearly describe data ethics, privacy and cybersecurity, and how your startup approaches each of these things, in accessible training materials.
  • In addition to conducting training during onboarding, have a structured plan to provide regular refreshers and ad hoc training.
  • Ensure your team knows who to go to if they have—or receive—questions on data security and privacy.

Follow the golden rules of data governance: quality, organization, security and accountability

Map a scalable data governance structure.
  • Identify exactly what data you have, where you get it, how you use it and who you share it with, as well as how long you need to keep it.
  • The processes for storing and managing this data should be scalable and should provide clear accountability, such as audit logs.
  • Data security is vital—limit access to various tiers of data and implement permission levels to keep it secure.
  • The data assets that you keep, such as customer profiles, financial records and employee compensation information, should be organized in an efficient and safe way with clear metadata and records of changes.
Identify your startup’s most valuable business assets and roadmap how your IT system interacts with them.
  • Map out what is considered your most valuable data, the channels from which it is collected and distributed, who has access to it and what it is used for.
  • Assess whether sufficient resources are given to protect the most sensitive data.
  • Review how different data sets are integrated—the goal is to have a snapshot of all relevant information presented in a clear way.
Regularly test data protection measures.
  • Designate an internal lead to regularly test technical and administrative safeguards around data, as well as whether data is updated and deleted on a defined schedule. 
  • Proactively audit the kinds of highly sensitive data you hold, and those who have access to it, to ensure only those with clear permission can view, edit and distribute it. 

Change is the one constant—so your data governance plan should adjust accordingly

Keep an open dialogue between your board and management about emerging cyber and data threats.
  • Proactively assess the industry you operate in, and the wider environment, for emerging strategies adopted by hackers, fraudsters and disgruntled employees. Identify how those strategies could be used to hurt your business.
  • Stay on top of the ever-evolving legislative landscape around data management, AI, IP and cybersecurity. Report on how those legal changes may affect your business or data strategy.
  • Inform your board of key risks to your company’s data and the proactive steps you are taking to mitigate those risks.
  • Engage external experts to educate and advise management and the board on data strategies and risk mitigation.
Consider how data plays a role in your major business decisions, such as M&A, partnerships and new product launches.
  • Analyze your data management processes to determine if they can be scaled to account for major business changes. 
  • Consider what company data may be requested by interested investors or partners as part of their due diligence and how you will present it securely, or how easily it can be integrated into another system.
  • Understand how the data you have informs your knowledge of the market and how it can be used to make sounder decisions around potential new products and their launches.

Prepare for the worst-case scenario

Have a crisis plan in place for incidents affecting business and personal data.
  • Build an incident response team and ensure all members clearly understand their roles.
  • Identify “hot spots” for potential breaches in your data assets and add additional security steps as needed.
  • Hire external legal, forensic, PR and governance advisors to help steer you through a crisis if it arises.
Make sure you have sufficient cybercrime insurance.
  • Take out insurance to protect the company from significant losses from data-related crime, such as ransomware, email account takeovers and fraudulent funds transfers.
  • Your insurer will likely ask for a summary of how you approach the data governance steps described above.

Le mois dernier, le Canada a publié sa première Stratégie industrielle de défense (la Stratégie), qui souligne l’engagement du Canada à développer une base industrielle de défense solide et à stimuler la croissance économique. Ces efforts pourraient aussi comprendre le renforcement de l’état de préparation à la biodéfense et aux contre-mesures médicales, ce qui pourrait constituer des débouchés pour le secteur canadien des sciences de la vie en raison de l’importance accordée aux capacités nationales en ce sens et de la nécessité d’atténuer les risques d’urgences sanitaires.

Développement de contre-mesures médicales au Canada

Comme indiqué dans les bulletins précédents, le quatrième pilier de la Stratégie est axé sur la « sécurisation des chaînes d’approvisionnement pour les intrants et les biens clés » par le renforcement de la production nationale et le stockage de ressources. L’accent est mis tout particulièrement sur les contre-mesures médicales, en précisant que nos « alliés ont établi un lien explicite entre l’état de préparation à la biodéfense et aux contre-mesures médicales et leur sécurité économique et nationale, en élaborant de nouvelles stratégies et de nouveaux mécanismes pour faire progresser ces travaux ». Les contre-mesures médicales désignent divers produits réglementés pouvant être utilisés pour protéger la population lors d’une situation d’urgence de grande ampleur, comme l’éclosion d’une maladie ou une attaque impliquant des armes chimiques, biologiques ou nucléaires. Il peut s’agir de vaccins, de médicaments thérapeutiques et produits biologiques, de dispositifs de tests diagnostiques, des équipements de protection individuelle ou industrielle, et d’autres dispositifs médicaux. Les contre-mesures médicales sont essentielles à la réduction et à l’atténuation des dommages lors d’une urgence de santé publique.

Exploiter les voies réglementaires mises en place lors de la pandémie de COVID-19

Pendant et après la pandémie de COVID-19, le Canada a mis en place plusieurs nouvelles voies réglementaires comme mécanismes d’accélération des approbations de produits médicaux, ce qui pourrait offrir au gouvernement des options pour déployer des contre-mesures médicales afin de faire face aux risques pour la santé publique. Au début de la pandémie, Santé Canada a émis diverses ordonnances provisoires pour permettre l’importation et la vente de médicaments et de dispositifs médicaux qui n’avaient pas eu l’approbation des voies réglementaires traditionnelles. Or, Santé Canada a plutôt fait confiance aux voies d’approbation réglementaire et de l’exemption de certaines exigences en homologation de produits des pays impliqués dans la transaction. Beaucoup de ces règles provisoires ont depuis été officiellement intégrées à la réglementation en vertu de la Loi sur les aliments et drogues et ont été appliquées bien après la COVID-19. Conformément au Règlement sur les aliments et drogues, Santé Canada tient à jour la Liste des maladies qui menacent la santé publique et utilisera une procédure d’autorisation modifiée pour les médicaments d’urgence de santé publique pouvant traiter les affections figurant sur la liste. De même, le Règlement sur les instruments médicaux a établi une liste d’instruments médicaux répondant à un besoin urgent de santé publique, ce qui permet à Santé Canada d’autoriser la commercialisation de ces instruments de manière accélérée. Ces outils réglementaires sont utilisés automatiquement quand une situation médicale présente un grand risque pour la santé publique au Canada et nécessite une action immédiate pour contrer ce risque.

Le rôle de la Stratégie dans le renforcement du régime réglementaire de la santé au Canada

La stratégie prévoit que le Canada adoptera une approche proactive en matière de planification en amont des crises sanitaires. Le gouvernement entend s’assurer que les produits médicaux sont déjà disponibles au Canada afin qu’ils puissent être distribués rapidement en cas d’urgence. D’autres modifications récentes au Règlement sur les aliments et drogues permettent de prépositionner au Canada tous les médicaments d’urgence en santé publique, ce qui signifie qu’ils peuvent être importés dans des installations d’entreposage canadiennes avant que leur mise sur le marché n’ait été autorisée. La Stratégie s’appuie sur ces fondements, en faisant référence à l’organisme existant Préparation aux crises sanitaires Canada (PCSC), un organisme opérationnel spécial au sein d’Innovation, Sciences et Développement économique Canada (ISDE), et à un nouveau Fonds des sciences de la vie, lesquels « collaborent avec des partenaires internationaux et de soutenir l’élaboration et la production de contre-mesures médicales ». PCSC supervise la Stratégie en matière de biofabrication et de sciences de la vie du Canada, qui vise à développer un secteur national des sciences de la vie fort et compétitif doté de capacités de biofabrication de pointe, en mettant l’accent sur la capacité à se préparer et à faire face aux futures priorités et crises sanitaires. Dans cette optique, il y aura des occasions pour les fabricants de nouer des collaborations de recherche et des accords commerciaux ou d’approvisionnement liés aux contre-mesures médicales financées par des programmes fédéraux.

Étroitement lié aux capacités nationales, le pilier III de la stratégie implique « Investissement ciblé pour renforcer un secteur canadien de la défense novateur », avec la promesse que le gouvernement fédéral « soutiendr[a] la recherche et le développement, protéger[a] la propriété intellectuelle, soutiendr[a] les petites et moyennes entreprises, investir[a] dans les compétences et la formation, et encourager[a] les exportations afin de créer un secteur de la défense agile et concurrentiel à l’échelle mondiale ». La nécessité de favoriser le développement de la propriété intellectuelle (PI) et la conservation des droits du Canada est mentionnée à plusieurs reprises dans la Stratégie. Par exemple, la Stratégie prévoit l’établissement de partenariats officiels avec l’industrie canadienne qui « [assureront] la propriété et le contrôle nationaux de la propriété intellectuelle (PI) et des capacités essentielles. » La Stratégie reconnaît l’immense talent des établissements canadiens et la précieuse recherche qui y est menée actuellement et qui est déjà financée par des subventions de recherche d’organismes tels que le Conseil de recherches en sciences naturelles et en génie et les Instituts de recherche en santé du Canada, et fait aussi référence à l’engagement de 1,6 milliard de dollars pour de nouveaux fonds de recherche dans le budget de 2025. Cette prise de conscience de la nécessité de promouvoir et de soutenir l’innovation au Canada laisse présager des possibilités de financement, notamment dans les domaines où le Canada accuse un retard en matière de production nationale et où des engagements d’investissement et de fabrication au Canada peuvent être pris.

Prochaines étapes

Dans les prochains mois, nous prévoyons que le gouvernement du Canada publiera d’autres directives et des mesures de suivi. L’équipe de défense des conservateurs poursuivra sa couverture de perspectives sur la défense au Canada en publiant une analyse supplémentaire pour donner des précisions sur l’incidence de la Stratégie sur de multiples secteurs.

Get to know our ECVC practice