Quand déclarer un incident à la Commission d'accès à l'information

Depuis le 22 septembre 2023, une entreprise qui a connaissance d'un incident de confidentialité prend les mesures raisonnables pour diminuer les risques de préjudice et éviter qu'un incident de même nature se reproduise. Si l'incident présente un risque de préjudice sérieux, elle avise avec diligence la Commission d'accès à l'information et les personnes concernées.

Ce qui entre dans l'incident

Accès, utilisation ou communication non autorisés par la loi, ou perte d'un renseignement personnel. Un courriel envoyé au mauvais client, un portable égaré, une copie exposée sur un espace mal configuré : chacun est un incident, même si vous récupérez le fichier le jour même.

Le risque de préjudice sérieux

L'évaluation tient compte notamment de la sensibilité des renseignements, des conséquences appréhendées de leur utilisation et de la probabilité qu'ils soient utilisés à des fins préjudiciables. Le registre décrit aussi les utilisations malveillantes possibles. Une liste de courriels professionnels sans autre donnée ne se conclut pas comme un fichier médical ou biométrique. Écrivez les éléments qui mènent à oui ou à non : c'est cette description que la Commission pourra lire.

Qui reçoit l'avis

• La Commission, par écrit, lorsque le risque de préjudice sérieux est retenu.
• Les personnes concernées, avec diligence, pour qu'elles puissent diminuer le risque.
• Le registre, dans tous les cas. L'entreprise en transmet copie à la Commission sur demande.
• Les entrées restent à jour pendant au moins cinq ans après la prise de connaissance.

L'avis aux personnes dit ce qui s'est passé, les renseignements visés, les mesures prises et ce que la personne peut faire. Si vous ne pouvez pas joindre les personnes une par une, notez au registre si un avis public a été donné et pourquoi.

Gardez l'évaluation avec l'incident, pas dans un fil de courriel séparé. Le gabarit de registre reprend les champs à remplir.