Registre des incidents de confidentialité : le modèle Loi 25

Mars, en pleine période des impôts. Une adjointe d'un cabinet comptable de Trois-Rivières envoie le relevé T4 d'un client à un autre client qui porte le même nom. Le destinataire avertit gentiment le cabinet et supprime le courriel. Pas de risque de préjudice sérieux, pas d'avis à la CAI. Fin de l'histoire ?

Non. Cet incident doit être inscrit au registre des incidents de confidentialité. C'est l'obligation de la Loi 25 la plus souvent oubliée, justement parce qu'elle vise tous les incidents, même les plus banals.

Bonne nouvelle : un registre conforme tient dans un tableur. Voici ce qu'il doit contenir, un modèle prêt à copier et des exemples remplis.

Ce que la loi exige, et pour quels incidents

L'article 3.8 de la Loi sur la protection des renseignements personnels dans le secteur privé est court : l'entreprise doit tenir un registre des incidents de confidentialité, et en transmettre une copie à la CAI sur demande.

Tout repose sur la définition de l'article 3.6. Un incident de confidentialité, c'est :

1. l'accès non autorisé par la loi à un renseignement personnel;
2. son utilisation non autorisée;
3. sa communication non autorisée;
4. sa perte, ou toute autre atteinte à sa protection.

Concrètement, dans une PME : un courriel au mauvais destinataire, un employé qui consulte par curiosité le dossier d'un client, une clé USB perdue, un compte Microsoft 365 compromis, un rançongiciel. La CAI le précise : le registre contient aussi les incidents qui ne présentent pas de risque de préjudice sérieux.

Les huit éléments obligatoires

L'article 7 du Règlement sur les incidents de confidentialité (RLRQ c. A-2.1, r. 3.1) exige :

1. une description des renseignements personnels visés, ou la raison pour laquelle vous ne pouvez pas les décrire;
2. une brève description des circonstances;
3. la date ou la période de l'incident, ou une approximation;
4. la date ou la période où vous en avez pris connaissance;
5. le nombre de personnes concernées, ou une approximation;
6. les éléments qui vous font conclure qu'il existe ou non un risque de préjudice sérieux : sensibilité, utilisations malveillantes possibles, conséquences appréhendées, probabilité d'utilisation préjudiciable;
7. si le risque est sérieux, les dates des avis à la CAI et aux personnes concernées, et la mention de tout avis public avec sa raison;
8. une brève description des mesures prises pour diminuer les risques de préjudice.

Modèle de registre prêt à copier

Recréez ce tableau dans un tableur : une ligne par incident, une colonne par champ. Les champs numérotés sont exigés par le Règlement; les champs lettrés sont recommandés pour faciliter le suivi. L'exemple reprend l'incident du cabinet de Trois-Rivières.

Deux autres exemples d'entrées

Le même modèle s'applique à des incidents très différents. Le champ 6 est celui qui fait toute la différence.

Compte courriel compromis chez un courtier immobilier de Québec. Un attaquant accède pendant quatre jours à la boîte d'un courtier. Elle contient des copies de permis de conduire et des preuves de revenus d'environ 140 acheteurs. Champ 6 : renseignements sensibles, acteur malveillant, probabilité élevée de fraude d'identité, donc risque sérieux. Champ 7 : dates de l'avis à la CAI et des avis individuels. Champ 8 : réinitialisation, révocation des sessions, suppression d'une règle de transfert, MFA imposée.

Consultation par curiosité dans une clinique vétérinaire de Rimouski. Une employée ouvre le dossier d'un client qui est aussi son voisin, sans raison liée à son travail. Rien n'a été copié ni communiqué. Champ 6 : coordonnées et historique de facturation, aucune diffusion, probabilité faible : pas de risque sérieux. Champ 8 : rencontre avec l'employée, rappel de l'engagement de confidentialité, revue des droits d'accès.

Les journaux d'audit sont précieux pour remplir les champs 3 à 5 avec précision. Si vous n'êtes pas certain qu'ils sont activés, notre article sur l'audit de sécurité Microsoft 365 explique quoi vérifier.

Conservation et protection du registre

Les renseignements du registre doivent être tenus à jour et conservés au moins cinq ans après la date ou la période où vous avez pris connaissance de l'incident (Règlement, art. 8). Si une enquête révèle plus tard que 300 personnes étaient touchées au lieu de 40, mettez l'entrée à jour plutôt que d'en créer une nouvelle.

Si votre entreprise est aussi assujettie à la loi fédérale (LPRPDE), le Commissariat à la protection de la vie privée exige de conserver les dossiers d'atteintes pendant deux ans. Conserver cinq ans couvre les deux régimes.

Le registre est lui-même un document sensible. Décrivez les types de renseignements, sans recopier les NAS ou les dossiers. Limitez l'accès au responsable de la protection des renseignements personnels et à la direction, et incluez le fichier dans vos sauvegardes.

Vérifiez votre registre en cinq minutes

• Les incidents non déclarés à la CAI y figurent aussi.
• Le champ 6 justifie la conclusion, au lieu de simplement indiquer « faible ».
• La date de l'incident et la date de prise de connaissance sont distinctes.
• Les incidents survenus chez vos fournisseurs y sont inscrits.
• Aucun renseignement personnel n'y est recopié inutilement.
• Les entrées sont mises à jour quand l'enquête progresse.
• Une personne nommée est responsable de le tenir.

Pour savoir quand un incident doit aussi être déclaré, consultez notre guide pour déclarer un incident de confidentialité à la CAI. Le registre n'est qu'un volet : notre checklist cybersécurité Loi 25 couvre le reste.

Ce modèle est fourni à titre informatif et ne constitue pas un avis juridique : validez-le avec votre conseiller juridique avant de l'adopter. Si vous voulez qu'on vérifie votre registre et les mesures de sécurité qui l'entourent, notre accompagnement en conformité Loi 25 peut s'en charger.