Qu'est-ce qu'un incident de confidentialité?
Pour la Loi 25, c'est tout accès, toute utilisation ou toute communication d'un renseignement personnel qui n'est pas autorisé par la loi, ainsi que sa perte ou toute autre atteinte à sa protection (art. 3.6).
La définition est large, et c'est voulu : pas besoin d'un pirate informatique. Un employé qui consulte par curiosité un dossier qui ne le concerne pas, une boîte de documents jetée sans déchiquetage ou une clé USB perdue sont aussi des incidents.
Les 5 gestes, dans l'ordre
1. Limiter les dégâts
Dès que vous avez des raisons de croire qu'un incident s'est produit, la loi exige de prendre des mesures raisonnables pour diminuer les risques et éviter que ça se reproduise. Concrètement : demander au destinataire d'un courriel erroné de le supprimer, changer les mots de passe, désactiver un compte compromis, bloquer à distance un appareil volé.
2. Évaluer le risque de préjudice sérieux
Trois questions, en consultant le responsable de la protection des renseignements personnels : les renseignements sont-ils sensibles (santé, finances, numéro d'assurance sociale)? Quelles conséquences sont à craindre pour les personnes (fraude, vol d'identité, atteinte à la réputation)? Quelle est la probabilité qu'ils soient utilisés à mauvais escient?
3. Aviser, si le risque est sérieux
Si l'incident présente un risque de préjudice sérieux, vous devez aviser avec diligence la Commission d'accès à l'information (CAI) et les personnes concernées. Vous pouvez aussi aviser quiconque peut aider à réduire le risque, par exemple une institution financière. La Loi 25 ne fixe pas de délai en heures : le « 72 heures » souvent cité vient du RGPD européen.
4. Consigner l'incident au registre
Tous les incidents sont consignés, même ceux qui ne présentent pas de risque sérieux et n'exigent aucun avis. Le registre décrit les renseignements touchés, les circonstances, la date ou la période de l'incident, le nombre de personnes concernées, votre évaluation du risque et les mesures prises. Il est conservé au moins 5 ans et doit être transmis à la CAI si elle le demande.
5. Corriger la cause
Une fois l'urgence passée, traitez ce qui a rendu l'incident possible : une autocomplétion d'adresse à désactiver, un accès trop large à restreindre, un portable sans chiffrement, une formation à donner. Notez la correction au registre : c'est votre meilleure preuve de diligence.
Faut-il aviser la CAI? Quelques exemples
Chaque situation s'évalue au cas par cas. Ces exemples illustrent le raisonnement, ils ne remplacent pas votre évaluation.
Courriel interne envoyé au mauvais collègue, supprimé aussitôt
Destinataire de confiance, renseignements peu sensibles, aucune diffusion.
Liste de clients (noms et courriels) envoyée à un autre client
Peu sensible, mais diffusion hors de l'entreprise : le risque d'hameçonnage pèse dans l'évaluation.
Portable non chiffré volé avec les dossiers des employés
Renseignements sensibles (paie, NAS), aucune protection, appareil hors de votre contrôle.
Piratage de la boutique en ligne avec accès aux comptes clients
Accès malveillant : la probabilité d'une utilisation préjudiciable est élevée.
Questions fréquentes
Une PME doit-elle vraiment consigner les petits incidents?
Oui. L'obligation de tenir un registre vise tous les incidents de confidentialité, sans seuil de gravité. Un incident mineur consigné, avec les mesures prises, démontre votre diligence; un registre vide depuis des années est rarement crédible.
Que contient l'avis à la Commission d'accès à l'information?
Le Règlement sur les incidents de confidentialité précise son contenu, notamment : une description des renseignements touchés, les circonstances, la date ou la période de l'incident, le nombre de personnes concernées, l'évaluation du risque et les mesures prises ou envisagées. La CAI met un formulaire à votre disposition sur son site.
Peut-on être sanctionné à cause d'un incident?
Ce qui est sanctionnable, c'est surtout de mal le gérer : ne pas aviser quand le risque est sérieux, ne pas tenir de registre, ne pas prendre de mesures. Un incident bien géré et bien documenté est une situation très différente d'un incident caché.
La fuite a eu lieu chez mon fournisseur. Qui est responsable?
Votre entreprise reste responsable des renseignements qu'elle confie à un fournisseur. Le contrat qui vous lie doit prévoir les mesures de protection et l'obligation pour le fournisseur de vous aviser sans délai de tout incident. À vous ensuite d'évaluer le risque et d'aviser la CAI si nécessaire.
Articles cités : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), telle que modifiée par la Loi 25, et Règlement sur les incidents de confidentialité. Source officielle : Commission d'accès à l'information du Québec. Cette page est informative et ne constitue pas un avis juridique.
Un registre des incidents et un plan d'intervention, prêts à servir.
Loi 25 Facile tient votre registre des incidents et génère votre plan d'intervention : qui alerter, qui évalue, qui avise la CAI. Commencez par voir où en est votre site.
Scanner mon site gratuitement