Depuis l’entrée en vigueur complète de la Loi 25, toute organisation québécoise qui traite des renseignements personnels a l’obligation légale de tenir un registre des incidents de confidentialité — que l’incident soit majeur ou mineur.
Qu’est-ce qu’un incident de confidentialité
Il s’agit de tout accès, utilisation ou communication non autorisée de renseignements personnels — un courriel envoyé au mauvais destinataire, une fuite de données, un appareil perdu contenant des informations clients. Même un incident sans conséquence apparente doit être consigné.
Ce que le registre doit contenir
- La date et la description de l’incident
- La nature des renseignements personnels concernés
- Le nombre de personnes touchées, si connu
- Les mesures prises pour limiter les conséquences
- La décision motivée de déclarer, ou non, l’incident à la Commission d’accès à l’information (CAI)
Quand la déclaration à la CAI devient obligatoire
Lorsque l’incident présente un risque de préjudice sérieux pour les personnes concernées, l’entreprise doit non seulement le déclarer à la CAI, mais aussi aviser les personnes touchées, dans les meilleurs délais.
Un outil de protection, pas seulement une obligation
Au-delà de l’aspect légal, un registre bien tenu démontre une gouvernance sérieuse des données et devient un outil précieux en cas de vérification ou de litige.
Notre système de gestion Loi 25 inclut la mise en place de ce registre, adapté à la réalité opérationnelle de chaque entreprise cliente.