Un incident de confidentialité, c’est tout accès, utilisation ou communication non autorisé de renseignements personnels, ou leur perte. Si cela arrive dans votre PME, vous devez agir pour limiter les dommages, évaluer le risque de préjudice sérieux, aviser la Commission d’accès à l’information (CAI) si ce risque existe, et inscrire l’incident dans un registre. Mieux vaut préparer ce plan avant d’en avoir besoin.

Qu’est-ce qu’un incident de confidentialité ?

Selon la CAI, un incident est tout accès à un renseignement personnel non autorisé par la loi. L’utilisation ou la communication non autorisée d’un renseignement, sa perte et toute autre atteinte à sa protection en font aussi partie.

Quelques exemples concrets :

  • un courriel contenant des dossiers clients envoyé à la mauvaise personne ;
  • un ordinateur portable ou un téléphone d’entreprise perdu ou volé ;
  • un compte courriel piraté qui donnait accès à des pièces d’identité ou à des documents financiers.

Que devez-vous faire dès que vous soupçonnez un incident ?

Dès que vous avez des motifs de croire qu’un incident s’est produit, la CAI précise que vous devez prendre des mesures raisonnables pour réduire le risque de préjudice et éviter que de nouveaux incidents de même nature se produisent. Concrètement : changer les mots de passe touchés, couper un accès, récupérer un document envoyé par erreur.

Comment savoir si le risque est « sérieux » ?

La CAI indique que vous devez évaluer la gravité du risque de préjudice en tenant compte de trois éléments :

  1. la sensibilité des renseignements concernés ;
  2. les conséquences prévisibles de leur utilisation ;
  3. la probabilité qu’ils soient utilisés à des fins préjudiciables.

Une liste de clients avec leur numéro de téléphone n’a pas le même poids que des pièces d’identité ou des renseignements financiers. En cas de doute, notez votre raisonnement par écrit.

Qui devez-vous aviser ?

Si le risque de préjudice est sérieux, vous devez aviser la CAI avec diligence, ainsi que les personnes concernées. L’avis à la CAI se fait par écrit, au moyen du formulaire « Avis à la Commission d’accès à l’information concernant un incident de confidentialité » offert sur le site de la Commission.

L’avis aux personnes touchées doit décrire les renseignements en cause, les circonstances, la date ou la période, les mesures prises et ce que la personne peut faire pour se protéger. Des exceptions existent : consultez la page de la CAI pour les détails.

Le registre des incidents : obligatoire, même sans risque sérieux

Toute entreprise doit tenir un registre de tous les incidents de confidentialité, y compris ceux qui ne présentent pas de risque de préjudice sérieux. Selon la CAI, ce registre doit être tenu à jour, être fourni à la Commission sur demande et être conservé au moins cinq ans après le moment où l’entreprise a pris connaissance de l’incident. Le contenu et les modalités sont encadrés par le *Règlement sur les incidents de confidentialité*.

Par où commencer cette semaine

  1. Nommez une personne responsable des incidents (vous-même, si vous êtes seul).
  2. Créez un registre simple : date, ce qui s’est passé, renseignements touchés, risque évalué, mesures prises, avis envoyés.
  3. Écrivez en une page la marche à suivre : qui prévenir, qui coupe les accès, où se trouve le formulaire de la CAI.
  4. Activez l’authentification à deux facteurs sur vos courriels et outils principaux.

Un registre tenu dans un outil numérique, avec des modèles prêts à remplir, évite de chercher des papiers en pleine crise. Chez Axentra Technologies, nous concevons ce genre de suivi sur mesure et des automatisations dès 499 $ + taxes ; le diagnostic de 15 minutes est gratuit.

Cet article est informatif et ne constitue pas un avis juridique.