Registre des incidents de confidentialité : le tenir sans s'enliser

Un employé envoie la liste de paie au mauvais destinataire. Une adjointe consulte le dossier d'un client par curiosité. Un portable de travail reste sur la banquette d'un taxi. Aux yeux de la Loi 25, ces trois banalités portent le même nom, incident de confidentialité, et déclenchent la même obligation, la plus concrète et la moins respectée de toutes celles que couvre notre résumé des obligations de la Loi 25 pour les PME : consigner l'incident dans un registre.

Depuis le 22 septembre 2022, toute entreprise québécoise doit tenir ce registre, peu importe sa taille. Beaucoup de PME n'en ont pas. Rarement par mauvaise volonté : plutôt parce qu'elles croient que l'obligation vise les piratages spectaculaires, pas le courriel mal adressé de mardi dernier, et parce que personne ne leur a montré un registre qui se tient en quinze minutes par incident.

Cet article règle les deux : ce qui compte comme un incident, ce qui va au registre, ce qui se déclare à la Commission d'accès à l'information (CAI), et le réflexe à installer dans une entreprise de quinze personnes.

La réponse courte, pour les pressés

Depuis le 22 septembre 2022, la Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25, impose deux obligations distinctes à toute entreprise québécoise. La première : consigner chaque incident de confidentialité dans un registre, même bénin. Un incident, c'est l'accès, l'utilisation ou la communication non autorisés par la loi d'un renseignement personnel, ou sa perte (article 3.6) : un courriel envoyé au mauvais destinataire suffit. Le Règlement sur les incidents de confidentialité précise huit éléments à consigner et exige de conserver chaque entrée au moins cinq ans après la prise de connaissance de l'incident. La seconde : si l'incident présente un risque de préjudice sérieux, aviser avec diligence la Commission d'accès à l'information, par son formulaire officiel, et chaque personne concernée. L'évaluation, menée avec le responsable de la protection des renseignements personnels, considère la sensibilité du renseignement, les conséquences appréhendées de son utilisation et la probabilité qu'il serve à des fins préjudiciables.

Un incident, c'est bien plus large qu'un piratage

L'article 3.6 de la loi définit l'incident de confidentialité en quatre volets : l'accès non autorisé par la loi à un renseignement personnel, son utilisation non autorisée, sa communication non autorisée, et sa perte ou « toute autre atteinte à la protection d'un tel renseignement ».

Relisez la liste en pensant à votre semaine plutôt qu'aux manchettes. Le courriel parti au mauvais destinataire est une communication non autorisée. L'employé qui fouille le dossier d'un client sans besoin professionnel commet un accès non autorisé, même si rien ne sort de l'entreprise. La clé USB égarée est une perte, qu'elle soit retrouvée ou non. Le rançongiciel qui chiffre votre serveur est une atteinte à la protection des renseignements, même sans preuve d'exfiltration. Et la définition ne contient aucun seuil de gravité : un renseignement personnel, une personne concernée, et l'incident existe.

C'est le premier déclic à faire. Une entreprise qui affirme n'avoir jamais eu d'incident de confidentialité n'a probablement pas une sécurité exceptionnelle : elle a une définition trop étroite. Les erreurs d'adressage et les accès de curiosité arrivent partout où des humains manipulent des dossiers.

Deux étages : tout consigner, déclarer rarement

La loi sépare la réponse en deux étages, et la confusion entre les deux explique la moitié des registres vides.

Premier étage, le registre (article 3.8) : chaque incident y entre, sans exception, y compris ceux qui ne présentent aucun risque sérieux. Deuxième étage, la déclaration (article 3.5) : seulement si l'incident présente « un risque qu'un préjudice sérieux soit causé », vous devez aviser la CAI avec diligence, puis chaque personne concernée.

Ce découpage a sa logique. Si tout devait être déclaré, la CAI croulerait sous les courriels mal adressés et les entreprises cesseraient de regarder. Si rien ne devait être consigné, chaque entreprise conclurait, dossier par dossier, que son cas n'était pas si grave. Le registre force la mémoire organisationnelle ; le seuil de déclaration réserve l'alerte aux cas qui la méritent. Et le registre a un lecteur externe : sur demande de la Commission, vous devez lui en transmettre une copie. C'est précisément ce qui rend le registre vide risqué. Une entreprise de quinze personnes qui présente, après trois ans, une page blanche ne démontre pas l'absence d'incidents : elle démontre l'absence de suivi.

Les sanctions donnent l'échelle. Omettre de déclarer un incident qui devait l'être figure explicitement parmi les manquements passibles d'une sanction administrative pécuniaire, jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial, et parmi les infractions pénales, de 15 000 $ à 25 millions ou 4 % (articles 90.1, 90.12 et 91). Personne n'imposera ces plafonds à une PME pour un courriel, mais le registre est la première chose qu'un enquêteur demandera.

Évaluer le « risque de préjudice sérieux »

Tout repose donc sur une évaluation, et la loi vous dit comment la mener. L'article 3.7 impose trois critères : la sensibilité du renseignement concerné, les conséquences appréhendées de son utilisation et la probabilité qu'il soit utilisé à des fins préjudiciables. Le même article impose aussi une méthode : consulter votre responsable de la protection des renseignements personnels. L'évaluation n'est pas censée se faire seule dans la tête du président, un vendredi à 17 h.

Les trois critères se combinent, et c'est ce qui rend l'exercice praticable. La liste de paie envoyée par erreur à votre comptable externe, qui confirme l'avoir supprimée : renseignements sensibles, mais destinataire connu et fiable, probabilité d'utilisation préjudiciable à peu près nulle. On consigne, on ne déclare pas, et on note au registre le raisonnement. Les mêmes données exfiltrées par un rançongiciel, avec numéros d'assurance sociale : sensibilité maximale, conséquences potentielles lourdes (fraude, vol d'identité), probabilité réelle. On déclare.

Si la conclusion est « risque sérieux », la mécanique est balisée. L'avis à la CAI passe par son formulaire officiel (formulaire.cai.gouv.qc.ca) et son contenu est fixé par règlement : identification de l'entreprise, description des renseignements visés, circonstances et cause si elle est connue, dates, nombre de personnes concernées dont les résidents du Québec, votre analyse du risque, les mesures prises et celles à venir. Vous n'avez pas à tout savoir avant d'aviser : le règlement prévoit que les informations obtenues après coup sont transmises au fur et à mesure, avec diligence. L'avis aux personnes concernées, lui, doit leur donner de quoi se protéger : ce qui a fui, dans quelles circonstances, ce que vous avez fait, ce qu'elles peuvent faire, et un point de contact. Dans certains cas, un avis public peut remplacer l'avis individuel, notamment quand vous n'avez pas les coordonnées des personnes ou que l'avis individuel représenterait une difficulté excessive.

Le registre tient dans un tableur

Aucun logiciel spécialisé n'est requis. Le Règlement sur les incidents de confidentialité exige huit informations par incident, ni plus ni moins : la description des renseignements visés (ou la raison pour laquelle vous l'ignorez), une brève description des circonstances, la date ou la période de l'incident (ou son approximation), la date où vous en avez pris connaissance, le nombre de personnes concernées (ou son approximation), les éléments qui vous amènent à conclure qu'il existe ou non un risque de préjudice sérieux, les dates des avis à la CAI et aux personnes concernées s'il y a eu déclaration, et les mesures prises pour réduire les risques.

Autrement dit : un tableur à huit colonnes, une ligne par incident. La sixième colonne est la plus importante, parce que c'est elle qui documente votre jugement : deux phrases sur la sensibilité, les conséquences et la probabilité suffisent souvent. Le règlement ajoute deux exigences de tenue : garder l'information à jour, et conserver chaque entrée au moins cinq ans après la prise de connaissance de l'incident. Cinq ans, c'est plus long que la mémoire de l'équipe et que l'ancienneté moyenne de bien des employés : le fichier doit survivre aux départs, ce qui plaide pour un emplacement partagé et connu, pas le poste de travail d'une seule personne.

Quinze minutes par incident, honnêtement. Le coût réel n'est pas le temps d'écriture : c'est d'installer le réflexe de signalement.

Le réflexe des 48 heures à quinze employés

Dans une PME, personne ne porte le titre de « chef de la réponse aux incidents ». Il faut donc un scénario simple, connu de tous, qui tient sur une page.

Premier geste, dans l'heure : celui qui constate l'incident le signale au responsable de la protection des renseignements personnels. Pour que ce geste survienne, il faut l'avoir dit clairement à l'équipe : signaler un courriel mal adressé relève de la procédure, pas de l'aveu de faute. Une culture qui punit le messager garantit un registre vide et des surprises tardives.

Deuxième geste, le jour même : contenir. Rappeler ou faire supprimer le courriel, révoquer l'accès, changer les mots de passe, isoler le poste touché. Contenir est d'ailleurs une obligation légale en soi : l'article 3.5 exige des « mesures raisonnables » pour diminuer les risques de préjudice et éviter que des incidents de même nature se reproduisent. La loi permet même d'aviser, sans consentement, un tiers capable de réduire le risque, votre banque par exemple, en ne lui communiquant que le nécessaire ; le responsable consigne alors cette communication.

Troisième geste, dans les 48 heures : ouvrir la ligne du registre pendant que les faits sont frais, puis trancher la question du préjudice sérieux avec le responsable, critères de l'article 3.7 en main. Si le doute persiste, penchez vers la déclaration : un avis prudent à la CAI coûte une heure de formulaire, une omission peut coûter une sanction. Ensuite seulement, corriger la cause : la saisie semi-automatique qui choisit le mauvais destinataire, l'accès jamais retiré à l'ex-employé, la sauvegarde qui manquait.

Par où commencer

Trois gestes cette semaine. Créez le tableur à huit colonnes et déposez-le à un endroit partagé, avec une première ligne rétroactive si un incident vous revient en mémoire. Désignez le responsable de la protection des renseignements personnels si ce n'est pas fait, et écrivez le scénario des 48 heures sur une page. Puis dites à l'équipe, en cinq minutes de réunion, ce qu'est un incident et à qui le signaler.

Le registre vit ensuite au rythme de vos outils. Votre site web fait partie des sources d'incidents possibles, un formulaire qui fuit, une extension compromise, et c'est une des raisons pour lesquelles la conformité s'entretient en continu dans nos abonnements web plutôt qu'en chantier ponctuel. Ce que vos visiteurs voient de tout cela, c'est votre politique de confidentialité ; le registre, lui, est la pièce qu'on ne montre qu'à la Commission, et le jour où elle la demande, vous serez content qu'elle existe.

Si vous voulez mettre le réflexe en place sans y passer un mois, parlons-en : on installe ce genre de mécanique avec nos clients, registre, scénario et formation express compris.

→ Parlez-nous de votre situation

Ce texte vulgarise des obligations légales pour aider une PME à poser les bonnes questions ; il ne constitue pas un avis juridique. Les textes de la Loi sur la protection des renseignements personnels dans le secteur privé, du Règlement sur les incidents de confidentialité et les positions de la Commission d'accès à l'information font foi : pour une situation particulière, consultez un juriste.