Que faire après une atteinte à la protection des données en vertu de la Loi 25

En vertu de la Loi 25, un « incident de confidentialité » désigne tout accès, utilisation ou communication non autorisés de renseignements personnels, ou leur perte. Cela couvre le rançongiciel, mais aussi le portable volé, le courriel mal adressé ou le compte d'un ancien employé jamais désactivé. Peu importe l'ampleur, les étapes sont les mêmes.

Étape 1 : Contenir

Arrêtez l'hémorragie d'abord. Désactivez les comptes compromis, isolez les machines touchées, révoquez les identifiants exposés, rappelez le courriel mal adressé si votre plateforme le permet. La Loi 25 exige explicitement des mesures raisonnables pour diminuer le risque de préjudice et éviter que l'incident se reproduise; le confinement n'est pas seulement une bonne pratique, c'est une obligation.

Préservez les preuves en même temps. Ne réinitialisez pas une machine compromise avant d'avoir capturé ce qui s'est passé; vous aurez besoin de la chronologie pour les étapes suivantes.

Étape 2 : Évaluer le risque de préjudice sérieux

La notification repose sur une question : l'incident présente-t-il un risque sérieux de préjudice pour les personnes concernées? La Loi 25 précise ce qu'il faut soupeser :

• La sensibilité des renseignements en cause : un NAS, un dossier médical ou une donnée bancaire pèse beaucoup plus lourd qu'une adresse courriel professionnelle
• Les conséquences appréhendées de leur utilisation : vol d'identité, fraude, humiliation, atteinte à la réputation
• La probabilité qu'ils soient réellement utilisés à des fins préjudiciables : des données volées lors d'une attaque ciblée risquent davantage d'être exploitées qu'un portable perdu au fond d'un lac

Impliquez votre responsable de la protection des renseignements personnels dans cette évaluation, et consignez le raisonnement, quelle que soit la conclusion. Un incident évalué à faible risque avec des motifs documentés est défendable. Le même incident sans trace écrite ne l'est pas.

Étape 3 : Aviser, si le risque est sérieux

Si vous concluez à un risque sérieux de préjudice, vous devez aviser la CAI et les personnes concernées, avec diligence et sans délai. Il n'y a pas de délai fixe de 72 heures comme dans le RGPD européen, mais attendre des semaines ne respecte pas la norme. La CAI fournit un formulaire de déclaration d'incident sur cai.gouv.qc.ca.

Il peut aussi être nécessaire d'aviser des tiers en mesure de réduire le préjudice, comme votre banque ou un service de surveillance du crédit. Si les systèmes d'une autre organisation sont en cause (votre fournisseur de paie, par exemple), coordonnez-vous pour que les avis soient cohérents.

Étape 4 : Consigner au registre des incidents

Chaque incident de confidentialité va au registre, y compris ceux qui n'atteignent pas le seuil du préjudice sérieux. Notez la date, ce qui s'est passé, les renseignements en cause, le nombre de personnes touchées, votre évaluation du risque et son raisonnement, qui a été avisé, et ce que vous avez changé par la suite. La CAI peut demander ce registre lors de toute enquête, et un registre bien tenu est votre meilleure preuve de bonne foi.

Étape 5 : Corriger la cause profonde

Une fois la poussière retombée, fermez la brèche qui a permis l'incident : imposez l'authentification multifacteur, corrigez le système exposé, resserrez les droits d'accès, formez la personne qui a cliqué. La Loi 25 exige des mesures pour éviter la récidive, et c'est ce suivi qui transforme un incident en posture de sécurité renforcée plutôt qu'en récidive annoncée.

Avant que ça n'arrive

Chaque étape ci-dessus va plus vite si la tuyauterie existe d'avance : un responsable désigné, un registre des incidents à jour, des copies de sauvegarde testées et un plan de réponse d'une page qui précise qui évalue, qui avise et qui parle aux clients. L'auto-évaluation vous dira en cinq minutes si ces éléments sont en place.