Incident de confidentialité : ce que dit la Loi 25, et ce qu’il faut noter au registre

Ce qu’est un incident de confidentialité

La Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) définit l’incident à l’art. 3.6. Il y en a quatre formes :

• « l’accès non autorisé par la loi à un renseignement personnel » (art. 3.6, 1°) ;
• « l’utilisation non autorisée par la loi d’un renseignement personnel » (art. 3.6, 2°) ;
• « la communication non autorisée par la loi d’un renseignement personnel » (art. 3.6, 3°) ;
• « la perte d’un renseignement personnel ou toute autre atteinte à la protection d’un tel renseignement » (art. 3.6, 4°).

La Commission d’accès à l’information (CAI) donne deux exemples sur sa page consacrée aux incidents : « Lorsque l’entreprise est victime d’une cyberattaque : hameçonnage, rançongiciel, etc. » et le cas où « un membre du personnel communique des renseignements personnels au mauvais destinataire ».

Exemple fictif : une agence envoie par erreur la liste des abonnés d’une infolettre à une personne qui n’est pas cliente. Les noms et les adresses de courriel sont des renseignements personnels, et leur communication n’était pas autorisée. C’est un incident au sens de l’art. 3.6, que le résultat soit grave ou non.

Le Règlement sur les incidents de confidentialité (RLRQ, A-2.1, r. 3.1) s’applique, selon son art. 1, « à toute personne qui exploite une entreprise et qui est visée par la Loi sur la protection des renseignements personnels dans le secteur privé ». Il fixe le contenu des avis et du registre, vus plus bas.

Étape 1 : réduire le risque et éviter que ça recommence

L’art. 3.5, al. 1 s’applique dès que l’entreprise « a des motifs de croire » qu’un incident s’est produit, sans attendre d’en être certaine. Elle doit alors prendre les mesures raisonnables pour « diminuer les risques qu’un préjudice soit causé et éviter que de nouveaux incidents de même nature ne se produisent ».

La CAI propose une grille de six questions pour faire le point : qui est concerné et qui a pu avoir accès aux renseignements, combien, quoi, quand, où, et pourquoi (les causes et les mesures de sécurité qui étaient en place). Quatre d’entre elles sont citées ici :

• « Combien de personnes sont touchées par l’incident? »
• « Quelle est la nature des renseignements personnels visés par l’incident? »
• « Quand l’incident a-t-il eu lieu? Quand a-t-il été découvert? »
• « L’incident a-t-il eu lieu chez un tiers détenant des renseignements personnels pour le compte de l’entreprise (un mandataire, un fournisseur, etc.)? »

La CAI ajoute qu’on n’attend pas d’avoir toutes les réponses : « il est important de réagir rapidement ».

Aucun nombre d’heures ni de jours n’apparaît dans les art. 3.5 à 3.8 ni dans le règlement lus pour cette page. Le texte emploie « avec diligence » (art. 3.5, al. 2), sans autre précision. Ce que « avec diligence » représente en jours dans la pratique de la CAI : non vérifié.

Étape 2 : évaluer si le risque de préjudice est sérieux

L’art. 3.7 donne trois critères. Pour évaluer le risque, l’entreprise doit considérer notamment « la sensibilité du renseignement concerné, les conséquences appréhendées de son utilisation et la probabilité qu’il soit utilisé à des fins préjudiciables ». Elle doit aussi consulter son responsable de la protection des renseignements personnels : « Elle doit également consulter son responsable de la protection des renseignements personnels. » Le rôle de cette personne est décrit dans le guide sur le responsable.

Tout incident s’évalue. La CAI l’écrit ainsi : « Pour tout incident de confidentialité, l’entreprise doit évaluer la gravité du risque de préjudice pour les personnes concernées. » Si le risque n’est pas sérieux, elle n’avise pas la CAI, mais elle continue son travail : « Dans le cas contraire, elle doit tout de même poursuivre ses travaux pour réduire les risques et éviter qu’un nouvel incident de même nature se produise. » L’incident s’inscrit aussi au registre (voir plus bas).

La loi ne définit pas « préjudice sérieux » dans le texte lu et ne chiffre aucun seuil. Au-delà des trois critères de l’art. 3.7, la ligne entre un risque sérieux et un risque qui ne l’est pas : non vérifié. Cette page n’évalue le cas d’aucune entreprise.

Étape 3 : aviser la CAI

Quand l’incident présente un risque de préjudice sérieux, l’art. 3.5, al. 2 demande à l’entreprise de « avec diligence, aviser la Commission d’accès à l’information ». La CAI précise que l’entreprise doit « aviser la Commission par écrit ». L’avis se dépose par le formulaire de la CAI, nommé « La déclaration d'un incident de confidentialité » dans son portail de formulaires. La page de la CAI sur les incidents, citée dans les sources, donne le chemin vers ce formulaire.

Le contenu est fixé par l’art. 3 du règlement. L’avis, dit le texte, « est fait par écrit et doit contenir les renseignements suivants » :

Plusieurs de ces éléments peuvent être inconnus au moment de l’avis : le règlement prévoit alors une raison ou une approximation, comme aux alinéas 3°, 5° et 7°. Après l’envoi, l’art. 4 demande de transmettre à la CAI « tout renseignement énoncé à l’article 3 dont elle prend connaissance après lui avoir transmis l’avis qui y est visé », et cette information complémentaire est « transmise avec diligence à compter de cette connaissance ».

Les champs, l’ordre et les pièces du formulaire de la CAI n’ont pas été lus pour cette page, parce que le formulaire demande une saisie : non vérifié. Cette page renvoie aux alinéas du règlement, pas aux champs du formulaire.

Étape 4 : aviser les personnes concernées

La même disposition prévoit l’avis aux personnes : l’entreprise « doit également aviser toute personne dont un renseignement personnel est concerné par l’incident, à défaut de quoi la Commission peut lui ordonner de le faire ». Une personne n’a pas à être avisée « tant que cela serait susceptible d’entraver une enquête » (art. 3.5, al. 3).

L’art. 5 du règlement fixe le contenu de cet avis, en six éléments :

Selon l’art. 6, « L’avis visé à l’article 5 est transmis à la personne concernée par l’incident de confidentialité. » Il existe trois cas où un avis public remplace cet envoi. La CAI les résume ainsi : « Seulement trois situations permettent d'émettre un avis public sans devoir transmettre un avis à la personne concernée ». Le règlement les nomme :

• « lorsque le fait de transmettre l’avis est susceptible de causer un préjudice accru à la personne concernée » ;
• « lorsque le fait de transmettre l’avis est susceptible de représenter une difficulté excessive pour l’organisation » ;
• « lorsque l’organisation n’a pas les coordonnées de la personne concernée ».

L’avis public peut aussi s’ajouter à l’envoi, pour agir rapidement et diminuer le risque. Dans ce cas, selon le règlement, « l’organisation demeure toutefois tenue de transmettre, avec diligence, un avis à la personne concernée », sauf si l’un des trois cas ci-dessus s’applique. Un avis public « peut être fait par tout moyen dont on peut raisonnablement s’attendre à ce qu’il permette de joindre la personne concernée » (art. 6, al. 4).

L’art. 3.5, al. 2 permet aussi d’aviser « toute personne ou tout organisme susceptible de diminuer ce risque », en ne leur communiquant que les renseignements nécessaires, et le responsable de la protection des renseignements personnels doit alors enregistrer la communication.

Le registre : tout incident, sérieux ou non

L’art. 3.8 est court : « La personne qui exploite une entreprise doit tenir un registre des incidents de confidentialité. » Sur demande de la CAI, « une copie de ce registre lui est transmise ». Le registre ne se limite pas aux incidents graves. La CAI écrit que l’entreprise doit y inscrire « également les incidents qui ne présentent pas de risque de préjudice sérieux ».

L’art. 7 du règlement fixe huit éléments à y consigner. Le tableau ci-dessous est un modèle vide : ses en-têtes reprennent le sens de ces huit éléments, et aucune ligne d’exemple n’y est remplie, pour ne pas laisser croire à un jugement sur le risque.

Sur un petit écran, faites glisser le tableau de côté pour voir toutes les colonnes.

Sur la durée, l’art. 8 du règlement demande que les renseignements du registre soient « tenus à jour et conservés pendant une période minimale de 5 ans après la date ou la période au cours de laquelle l’organisation a pris connaissance de l’incident ».

Quand l’incident arrive chez un fournisseur

Beaucoup de renseignements sont gardés ailleurs que dans l’entreprise : hébergeur, agence, outil d’infolettre. La CAI observe que « les entreprises confient des renseignements personnels à des tiers pour en assurer la conservation » et que l’entreprise demeure responsable de ses obligations même si l’incident survient chez le tiers : « mesures à prendre, registre à tenir et à mettre à jour, avis à émettre ». Le tiers a aussi ses propres devoirs. Dans son guide de prévention, la CAI s’adresse au détenteur des renseignements comme au sous-traitant : « vous devez adopter des mesures concrètes de protection des renseignements personnels ».

Ce que ni la loi ni les pages de la CAI lues pour cette page ne disent : qui rédige et envoie l’avis dans une relation entre une agence et son client, et selon quelle entente. Non vérifié. Ce point se règle par contrat et sort de ce guide.

Pour une agence, une pratique à envisager est de prévoir à l’avance comment elle alerte son client quand elle découvre un incident sur un site qu’elle gère. C’est une suggestion de pratique tirée de la lecture, pas une exigence que les textes lus énoncent.

Ce qui arrive si l’on n’avise pas

La CAI peut intervenir : elle peut « ordonner à toute personne, après lui avoir fourni l’occasion de présenter ses observations, l’application de toute mesure visant à protéger les droits des personnes concernées » (art. 81.4, al. 1). Si l’incident présente un risque de préjudice sérieux, elle peut aussi ordonner à l’entreprise « d’aviser les personnes concernées si celle-ci ne l’a pas fait alors qu’elle était tenue de le faire ».

L’art. 90.1 prévoit qu’une sanction administrative pécuniaire peut être imposée à quiconque « ne déclare pas à la Commission ou aux personnes concernées, lorsqu’il y est tenu, un incident de confidentialité ». L’art. 90.12 en donne le plafond : « Le montant maximal de la sanction administrative pécuniaire est de 50 000 $ dans le cas d’une personne physique et, dans les autres cas, de 10 000 000 $ ou du montant correspondant à 2% du chiffre d’affaires mondial de l’exercice financier précédent si ce dernier montant est plus élevé. »

Le volet pénal est à l’art. 91, qui vise quiconque « omet de déclarer, s’il est tenu de le faire, un incident de confidentialité à la Commission ou aux personnes concernées ». L’auteur de cette infraction « est passible d’une amende de 5 000 $ à 100 000 $ dans le cas d’une personne physique et, dans les autres cas, de 15 000 $ à 25 000 000 $ ou du montant correspondant à 4% du chiffre d’affaires mondial de l’exercice financier précédent si ce dernier montant est plus élevé ». Selon la CAI, une poursuite pénale peut être intentée « dans les cinq ans suivant une infraction ».

Ce sont les maximums écrits dans la loi. Ce qu’une petite entreprise paierait en pratique, et la façon dont la CAI les applique : non vérifié.

Le lien avec la politique de confidentialité

La politique de confidentialité publiée et la procédure d’incident sont deux choses. Les art. 3.5 à 3.8 ne mentionnent pas la politique, et la politique publiée ne tient pas lieu de registre ni d’avis. Voici ce que la politique peut dire de la sécurité :

• Le guide de la CAI sur la rédaction d’une politique range la description des mesures de sécurité parmi les éléments facultatifs (§ 2.4). Ces mesures relèvent de l’art. 10, qui demande à l’entreprise de prendre « les mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits ».
• L’art. 8, al. 2 prévoit que, le cas échéant, la personne dont on recueille des renseignements est informée du nom des tiers, ou de leurs catégories, à qui il est nécessaire de les communiquer. Ces tiers sont aussi des endroits où un incident peut survenir (voir plus haut).
• Selon l’art. 8.2, l’entreprise « doit publier sur le site Internet de l’entreprise, le cas échéant, et diffuser par tout moyen propre à atteindre les personnes concernées une politique de confidentialité rédigée en termes simples et clairs ».

Aucune obligation de décrire la procédure d’incident dans la politique n’a été lue pour cette page : non vérifié. Notre générateur propose la rubrique facultative sur les mesures de sécurité, décrite dans le guide sur le contenu d’une politique. Il ne rédige ni avis d’incident ni registre.

À faire avant qu’un incident arrive

Ces points se déduisent des articles ci-dessus. Aucun n’est cité d’un texte comme une obligation distincte.

• Décider qui reçoit un signalement dans l’entreprise, et comment il rejoint le responsable de la protection des renseignements personnels.
• Choisir où le registre est tenu et qui l’alimente.
• Garder à portée de main les coordonnées de la CAI, du responsable et des fournisseurs qui détiennent des renseignements.
• Savoir quels renseignements l’entreprise détient et où. La CAI place cette étape en premier dans sa démarche de sécurité : « Faire l’inventaire des renseignements personnels détenus et en évaluer la sensibilité ».

La CAI publie aussi un guide de prévention des incidents, cité dans les sources. Sa liste de mesures n’est pas reprise ici.

Ce que cette page ne dit pas

Cette page décrit ce que les textes prévoient ; elle ne dit pas si un incident donné présente un risque sérieux ni ce qu’une entreprise donnée doit faire. Non vérifié, parce que non lu pour cette page : les champs et l’ordre du formulaire d’avis de la CAI, le sens de « préjudice sérieux » au-delà des trois critères de l’art. 3.7, le partage des rôles entre une entreprise et son sous-traitant, les obligations d’autres autorités ou de l’assureur d’une entreprise, la pratique de la CAI et les montants réellement imposés, le nombre d’incidents au Québec et leurs coûts.

Pour aller plus loin

• Loi 25 : les obligations des entreprises, article par article : les art. 3.5 à 3.8 dans l’ensemble des obligations de la loi.
• Responsable de la protection des renseignements personnels : qui est-ce et quoi publier : le rôle du responsable lors d’un incident (art. 3.7).
• Politique de confidentialité selon la Loi 25, avec un exemple : la rubrique facultative sur les mesures de sécurité.
• Loi 25 : résumé pour les PME : les neuf points de la loi, dont la gestion des incidents.