Procédure en cas d'incident de confidentialité : réagir selon la Loi 25
Établissez une procédure claire pour réagir rapidement et efficacement en cas d'incident de confidentialité.
⭐ L'essentiel
Quand un incident de confidentialité survient, chaque heure compte. Une procédure écrite à l'avance évite d'improviser : qui alerter, comment contenir la fuite, comment évaluer le risque, qui avise la CAI et les personnes touchées.
La procédure opérationnalise les obligations des articles 3.5 à 3.8 de la loi P-39.1 : prendre des mesures raisonnables pour diminuer le risque de préjudice, consigner l'incident au registre, et notifier si le risque est sérieux.
Le pivot de la procédure est votre RPRP : c'est lui qui évalue le risque et décide des notifications.
📜 Ce que dit la loi
La Loi 25 exige que chaque entreprise dispose d'une procédure claire et documentée pour gérer les incidents de confidentialité.
Cette procédure doit :
- Définir ce qu'est un incident de confidentialité
- Indiquer comment détecter et signaler un incident
- Décrire les étapes à suivre pour limiter les dommages
- Déterminer qui doit être informé et dans quels délais
- Préciser les critères de notification à la CAI et aux personnes concernées
Une procédure efficace permet d'agir rapidement, de limiter les risques juridiques et de préserver la confiance des clients.
🏢 Pour une PME
Dans une petite entreprise, la procédure peut tenir sur une seule page claire et accessible à tous les employés. Elle doit indiquer :
- À qui signaler un incident (souvent le RPRP)
- Les actions immédiates à prendre (ex. déconnexion, suppression d'un courriel envoyé par erreur)
- La façon de documenter l'incident dans le registre officiel
- Les délais pour informer les autorités et les personnes concernées
Important à savoir
En cas d'incident présentant un risque sérieux de préjudice, vous devez notifier la CAI et les personnes concernées. Ne pas avoir de procédure claire peut retarder cette notification et aggraver les sanctions.
💡 Exemples concrets
Exemple 1 : Une clinique médicale adopte une procédure précisant que tout employé doit signaler immédiatement un incident au RPRP.
Le RPRP évalue la gravité, documente l'événement dans le registre, prend les mesures pour limiter les impacts, et, si nécessaire, envoie une notification à la CAI et aux patients concernés dans les 72 heures.
Exemple 2 : Une agence immobilière affiche près de chaque poste de travail une fiche résumant les 5 étapes à suivre en cas d'incident.
Chaque employé sait qu'il doit d'abord sécuriser les données, puis contacter immédiatement la directrice (RPRP), qui prend le relais pour le reste de la procédure.
🔎 Les quatre réflexes d'une bonne réponse à incident
1. Contenir : couper l'accès, récupérer le courriel, isoler le poste infecté. 2. Évaluer : quels renseignements, combien de personnes, quel risque de préjudice sérieux. 3. Consigner : tout au registre, incluant l'évaluation et les mesures prises. 4. Notifier s'il y a lieu : la CAI et les personnes concernées, avec diligence.
Testez la procédure une fois par année avec un scénario fictif (un portable volé, un courriel mal adressé). Une procédure jamais répétée est une procédure qui échouera le jour J.
🔎 Préparez votre trousse d'incident avant la crise
Le jour d'un incident, chaque minute passée à chercher un numéro de téléphone est une minute perdue. Préparez à l'avance : la liste des contacts (RPRP, soutien TI, assureur si vous avez une couverture cyber, conseiller juridique), un modèle d'avis aux personnes touchées prêt à personnaliser, et votre inventaire des renseignements à jour pour identifier immédiatement ce qui est compromis.
Rangez cette trousse à un endroit accessible même si vos systèmes sont hors service : un incident de type rançongiciel peut vous couper de vos propres documents.
📊 Les quatre phases d'une réponse à incident
| Phase | Actions clés | Qui agit |
|---|---|---|
| 1. Contenir | Couper l'accès, isoler le poste, tenter le rappel du courriel | L'employé qui découvre l'incident, avec le RPRP |
| 2. Évaluer | Renseignements visés, personnes touchées, risque de préjudice sérieux | Le RPRP |
| 3. Consigner | Tout documenter au registre des incidents, incluant l'évaluation du risque | Le RPRP |
| 4. Notifier | CAI et personnes concernées si le risque est sérieux, avec diligence | Le RPRP, direction informée |
⚠️ Erreurs à éviter
- Ne pas former les employés sur la procédure
- Ne pas préciser les délais d'action
- Oublier d'indiquer qui est responsable de chaque étape
- Avoir une procédure trop vague ou uniquement verbale
🛠️ Instructions pas à pas
✅ Checklist : Étape 6 complétée ?
- Ma procédure définit clairement ce qu'est un incident
- Les étapes à suivre sont documentées et claires
- Les responsabilités sont attribuées (qui fait quoi)
- Les délais de notification sont précisés
- Mes employés connaissent la procédure
- La procédure est accessible à tous
📄 Gabarits inclus dans le Kit Loi 25
- Modèle de Procédure interne en cas d'incident de confidentialité
❓ Questions fréquentes
Qui décide s'il faut aviser la CAI ?
Le RPRP, sur la base de l'évaluation du risque de préjudice sérieux. La décision et ses motifs doivent être documentés dans le registre des incidents.
Que faut-il dire aux personnes touchées ?
Ce qui s'est passé, quels renseignements sont visés, ce que vous avez fait pour limiter les risques, et ce qu'elles peuvent faire pour se protéger (changer un mot de passe, surveiller leurs comptes). La transparence limite le préjudice et préserve la confiance.
Faut-il aviser même si on n'est pas certain de la fuite ?
L'obligation s'applique dès que vous avez un motif de croire qu'un incident est survenu. En cas d'incertitude, documentez l'évaluation au registre; c'est précisément ce que la CAI voudra voir.