Un incident de confidentialité, ce n’est pas seulement un rançongiciel. Un courriel envoyé au mauvais destinataire en est un. Un portable perdu dans un taxi en est un. Un employé qui consulte le dossier d’un collègue sans raison en est un. La définition de la loi est volontairement large, et c’est ce qui surprend les PME au moment où ça arrive.
Cette page couvre ce qui compte comme incident, ce qu’il faut faire dans tous les cas, quand aviser la Commission d’accès à l’information, et le point technique qui décide de tout : la journalisation.
Réponse rapide : Un incident de confidentialité est un accès, une utilisation ou une communication non autorisée d’un renseignement personnel, ou sa perte. Dans tous les cas, il faut prendre des mesures raisonnables pour diminuer le risque et inscrire l’incident au registre. Si l’incident présente un risque qu’un préjudice sérieux soit causé, il faut aviser avec diligence la Commission d’accès à l’information et les personnes concernées.
1. Ce qui compte comme incident
L’article 3.6 donne une définition volontairement large. Un incident de confidentialité est :
- l’accès non autorisé par la loi à un renseignement personnel ;
- l’utilisation non autorisée par la loi d’un renseignement personnel ;
- la communication non autorisée par la loi d’un renseignement personnel ;
- la perte d’un renseignement personnel ou toute autre atteinte à la protection d’un tel renseignement.
Le quatrième point élargit beaucoup la portée. Il n’y a pas besoin d’un pirate. Un rançongiciel qui chiffre vos fichiers sans les exfiltrer est une atteinte à la protection des renseignements, donc un incident.
2. Ce qu’il faut faire dans tous les cas
L’article 3.5 impose une obligation qui s’applique dès que vous avez des motifs de croire qu’un incident s’est produit, avant même toute évaluation du risque : prendre les mesures raisonnables pour diminuer les risques qu’un préjudice soit causé et éviter que de nouveaux incidents de même nature ne se produisent.
Cela veut dire contenir, puis corriger la cause. Révoquer un accès, réinitialiser des mots de passe, isoler un poste, rappeler un courriel, changer une procédure.
L’article 3.8 impose aussi de tenir un registre des incidents de confidentialité. Le registre couvre tous les incidents, pas seulement ceux qui déclenchent une notification. Sur demande de la Commission, une copie du registre lui est transmise. La teneur exacte du registre et sa durée de conservation sont fixées par le Règlement sur les incidents de confidentialité, dont il faut vérifier la version à jour avant d’arrêter votre gabarit.
3. Quand aviser la Commission et les personnes
Le seuil est au deuxième alinéa de l’article 3.5 : si l’incident présente un risque qu’un préjudice sérieux soit causé. Dans ce cas, l’entreprise doit, avec diligence, aviser la Commission d’accès à l’information. Elle doit également aviser toute personne dont un renseignement personnel est concerné. À défaut, la Commission peut lui ordonner de le faire.
Notez la formulation : « avec diligence ». La loi ne fixe pas de délai en heures ou en jours. Ne cherchez pas la règle des 72 heures, elle vient du régime européen et n’apparaît pas dans le texte québécois. En pratique, cela signifie sans délai indu une fois que vous avez de quoi évaluer le risque.
L’entreprise peut aussi aviser toute personne ou tout organisme susceptible de diminuer le risque, en ne communiquant que les renseignements nécessaires à cette fin et sans le consentement de la personne concernée. Dans ce cas, le responsable doit enregistrer la communication. Une exception existe : une personne concernée n’a pas à être avisée tant que cela serait susceptible d’entraver une enquête menée par un organisme chargé de prévenir, détecter ou réprimer le crime.
4. Comment évaluer le préjudice sérieux
L’article 3.7 nomme les facteurs à considérer : la sensibilité du renseignement concerné, les conséquences appréhendées de son utilisation, et la probabilité qu’il soit utilisé à des fins préjudiciables. Le même article ajoute une obligation de procédure, celle de consulter votre responsable lors de cette évaluation.
Une grille de lecture simple, à documenter dans le registre :
- Sensibilité élevée : numéro d’assurance sociale, numéro de permis de conduire, données bancaires, données de santé, données biométriques, identifiants de connexion.
- Conséquences appréhendées : vol d’identité, fraude financière, atteinte à la réputation, perte d’emploi, discrimination, harcèlement, humiliation.
- Probabilité d’usage préjudiciable : elle monte si la donnée est partie vers un inconnu, si l’incident est le fait d’un acte malveillant, si les données étaient en clair, si vous ne pouvez pas confirmer que la copie a été détruite. Elle baisse si le destinataire est identifié et de confiance, si les données étaient chiffrées avec une clé non compromise, si la récupération est confirmée par écrit.
Un doute raisonnable devrait faire pencher vers la notification. La loi punit l’omission de déclarer, elle ne punit pas la déclaration prudente.
5. Les 48 premières heures, en pratique
Heure 0 à 2. Contenir. Couper l’accès, isoler le poste ou le compte, changer les mots de passe compromis, activer la journalisation détaillée si elle ne l’était pas.
Heure 2 à 8. Constater. Qui a eu accès à quoi, quand, combien de personnes touchées, quelles catégories de renseignements, la donnée était-elle chiffrée. Cette étape exige des journaux. Sans journalisation, vous ne pourrez ni évaluer ni démontrer.
Heure 8 à 24. Évaluer avec le responsable, selon les trois facteurs de l’article 3.7. Consigner la décision et son motif, même si la conclusion est qu’il n’y a pas de risque de préjudice sérieux.
Heure 24 à 48. Notifier si le seuil est atteint. Avis à la Commission, avis aux personnes concernées. Préserver les preuves, ne pas écraser les images disque ni purger les journaux.
Ensuite. Corriger la cause, mettre à jour le registre, ajuster la politique et former le personnel si l’incident vient d’une erreur humaine.
6. La journalisation, point technique qui décide de tout
Une PME qui subit un incident se retrouve devant trois questions. Quelles données sont sorties. Vers où. Depuis quand.
Sans journaux d’audit conservés assez longtemps, on ne peut répondre à aucune des trois. Le résultat est qu’il faut présumer le pire et notifier largement, ce qui coûte plus cher en réputation et en travail que la journalisation elle-même.
C’est un travail d’infrastructure : journaux d’audit de la suite bureautique activés et conservés, journaux de pare-feu, journaux d’accès aux serveurs de fichiers, alertes de détection sur les postes, sauvegardes immuables permettant de comparer un état avant et après. C’est exactement le terrain couvert par nos services de cybersécurité et de sauvegarde.
Foire aux questions
Faut-il déclarer un courriel envoyé au mauvais destinataire ?
Il s’agit d’un incident de confidentialité au sens de l’article 3.6 et il doit être inscrit au registre. L’avis à la Commission et aux personnes concernées n’est requis que si l’incident présente un risque qu’un préjudice sérieux soit causé, ce qui s’évalue selon les trois facteurs de l’article 3.7.
La Loi 25 impose-t-elle un délai de 72 heures pour déclarer un incident ?
Non. Cette règle vient du régime européen. Le texte québécois exige d’aviser « avec diligence » lorsque le seuil du préjudice sérieux est atteint, ce qui veut dire sans délai indu une fois que l’évaluation est possible.
Un rançongiciel qui chiffre les fichiers sans les voler est-il un incident ?
Oui. La perte d’un renseignement personnel ou toute autre atteinte à sa protection entre dans la définition. L’incident doit être inscrit au registre et évalué comme les autres.
Se préparer avant l’incident, avec une équipe de la Mauricie
Le registre et la procédure s’écrivent en quelques heures. La capacité de répondre aux trois questions qui comptent, elle, se construit avant : journaux conservés, détection sur les postes, sauvegardes immuables et testées. Nos services informatiques gérés mettent en place ce socle pour des PME de Trois-Rivières et de partout au Québec. Pour préparer votre réponse aux incidents, écrivez par le formulaire de contact ou appelez au 450-231-3836.
Ce guide vulgarise des obligations légales. Il n’est pas un avis juridique et ne remplace pas la lecture du texte de loi ni les conseils d’un conseiller juridique. Les références légales renvoient à la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1), telle que modifiée par la Loi 25.