Notification des incidents de confidentialité

Depuis le 22 septembre 2022, toute entreprise québécoise doit notifier les incidents de confidentialité à la Commission d'accès à l'information (CAI) et aux personnes concernées lorsque l'incident présente un risque de préjudice sérieux. L'omission d'aviser est elle-même une violation de la loi, indépendamment de l'incident initial.

Ce chapitre décrit la procédure pas à pas, avec les délais et les outils à préparer avant qu'un incident ne survienne.

Qu'est-ce qu'un incident de confidentialité?#

L'article 3.6 de la LPRPSP définit un incident de confidentialité comme :

Pour l'application de la présente loi, on entend par « incident de confidentialité » :

1° l'accès non autorisé par la loi à un renseignement personnel;

2° l'utilisation non autorisée par la loi d'un renseignement personnel;

3° la communication non autorisée par la loi d'un renseignement personnel;

4° la perte d'un renseignement personnel ou toute autre atteinte à la protection d'un tel renseignement.

Exemples concrets que nous voyons régulièrement :

• Ordinateur portable volé contenant des dossiers clients non chiffrés.
• Clé USB perdue avec des exports RH.
• Courriel envoyé à la mauvaise personne contenant une pièce jointe avec des renseignements personnels.
• Accès non autorisé à une boîte Microsoft 365 après compromission de mot de passe.
• Rançongiciel ayant exfiltré des données avant chiffrement.
• Fichiers SharePoint mal partagés (lien public au lieu de lien privé).
• Employé qui consulte des dossiers auxquels il n'a pas droit (par curiosité, pour un tiers).

L'incident existe même si les renseignements n'ont pas été utilisés: le seul fait qu'ils aient été exposés suffit à enclencher les obligations.

La règle du « risque de préjudice sérieux »#

L'article 3.5 impose de notifier uniquement lorsque l'incident présente un risque de préjudice sérieux. Il faut donc procéder à une évaluation documentée dès la découverte.

Les trois facteurs à évaluer (art. 3.7) :

1. La sensibilité du renseignement: des renseignements de santé, financiers, biométriques ou d'identité (NAS, permis) présentent un risque plus élevé qu'une simple adresse courriel professionnelle.
2. Les conséquences appréhendées: vol d'identité, fraude financière, préjudice psychologique, atteinte à la réputation, perte d'emploi, discrimination.
3. La probabilité d'utilisation malveillante: incident accidentel (courriel mal adressé à un employé de confiance, destinataire contacté pour détruire) vs. incident malicieux (vol, rançongiciel, publication en ligne).

La loi et la CAI se limitent à énumérer ces trois facteurs, sans préciser de méthode de pondération ni fixer de seuil numérique : le test est qualitatif, pas quantitatif. En pratique, plusieurs conseillers juridiques appliquent une approche prudente selon laquelle un seul facteur particulièrement élevé (par exemple, des renseignements de santé rendus publics) peut à lui seul justifier une notification, mais il s'agit d'une interprétation courante chez les praticiens, et non d'une règle formulée explicitement par le texte de loi ou par la CAI.

L'article 3.7 impose aussi une quatrième obligation, distincte de ces trois facteurs : l'entreprise doit consulter son responsable de la protection des renseignements personnels dans le cadre de cette évaluation. Cette consultation est requise par la loi, peu importe l'issue de l'analyse, même si l'évaluation conclut à l'absence de risque de préjudice sérieux.

Exemple d'évaluation#

Un ordinateur portable chiffré disparaît d'un véhicule. Le chiffrement est valide, aucun mot de passe noté sur l'appareil, rapport de police déposé.

• Sensibilité : élevée (données RH de 120 employés).
• Conséquences : vol d'identité possible.
• Probabilité : faible (le chiffrement intact réduit fortement la probabilité d'utilisation préjudicielle, un des trois facteurs prévus à l'art. 3.7).

Conclusion : l'incident est consigné au registre mais ne déclenche pas de notification. Si le chiffrement avait été absent ou faible, la conclusion aurait été inverse.

Cette conclusion est illustrative : en pratique, l'évaluation du risque de préjudice sérieux et la décision de notifier ou non sont prises conjointement par le responsable RP et l'avocat de l'entreprise, sur la base des faits techniques documentés.

La notification à la CAI#

Quand un risque de préjudice sérieux est retenu, l'entreprise doit aviser la CAI avec diligence, comme l'exige l'article 3.5 de la loi (ni la loi ni la CAI ne chiffrent ce délai en jours, en heures ou en semaines, la CAI parle simplement de « s'empresser » d'aviser. Par prudence, nous recommandons à nos clients de viser un avis dans un délai de l'ordre de quelques jours, et non de semaines, suivant la conclusion de l'évaluation du risque).

La notification se fait via le formulaire en ligne de la CAI et doit contenir, conformément à l'article 3 du Règlement sur les incidents de confidentialité :

1. Le nom de l'organisation touchée par l'incident et, le cas échéant, son numéro d'entreprise du Québec (NEQ).
2. Le nom et les coordonnées d'une personne à joindre au sein de l'organisation relativement à l'incident.
3. Une description des renseignements personnels visés par l'incident ou, si elle est impossible à fournir, les raisons de cette impossibilité.
4. Une brève description des circonstances de l'incident et, si elle est connue, sa cause.
5. La date ou la période à laquelle l'incident est survenu (ou une approximation), ainsi que la date à laquelle l'organisation en a pris connaissance.
6. Le nombre de personnes touchées par l'incident, incluant le nombre de personnes qui résident au Québec (ou une approximation de ces nombres).
7. Une description des éléments qui amènent l'organisation à conclure qu'il existe un risque qu'un préjudice sérieux soit causé (sensibilité des renseignements, conséquences appréhendées, probabilité d'utilisation préjudiciable), c'est l'élément central de l'avis, distinct de l'évaluation interne décrite plus haut.
8. Les mesures que l'organisation a prises ou entend prendre pour aviser les personnes dont un renseignement personnel est concerné.
9. Les mesures prises ou envisagées pour diminuer les risques de préjudice et pour éviter que d'autres incidents de même nature ne se produisent.
10. Le cas échéant, la mention qu'un organisme de protection des renseignements personnels situé à l'extérieur du Québec (ex. : le Commissariat à la protection de la vie privée du Canada) a été avisé de l'incident.

Important : une notification préliminaire peut être envoyée avec les informations disponibles, puis complétée au fur et à mesure de l'enquête. N'attendez pas d'avoir toute l'information avant d'aviser.

La notification aux personnes concernées#

Chaque personne dont les renseignements sont concernés doit être avisée, sauf exception (par exemple, si cela compromet une enquête criminelle en cours, art. 3.5, 3e alinéa).

L'avis doit contenir (art. 5 du Règlement sur les incidents de confidentialité, RLRQ c A-2.1, r. 3.1) :

• Une description des renseignements personnels touchés par l'incident (ou, si elle est inconnue, la raison pour laquelle elle ne peut être fournie).
• Une brève description des circonstances de l'incident.
• La date ou la période à laquelle l'incident est survenu (ou une approximation, si elle n'est pas connue).
• Une brève description des mesures prises ou envisagées pour atténuer le préjudice.
• Les mesures que la personne peut elle-même prendre pour réduire le risque de préjudice ou l'atténuer (changer son mot de passe, surveiller son crédit, etc.).
• Le nom et les coordonnées d'une personne à joindre chez vous pour plus d'information.

Le moyen doit être adapté : courriel si adresse connue, lettre postale pour dossiers anciens, avis public (site web + communiqué) si le volume est trop important ou les coordonnées inconnues.

Le registre des incidents (art. 3.8)#

L'entreprise doit tenir un registre des incidents de confidentialité pour tous les incidents, y compris ceux qui ne déclenchent pas de notification. Ce registre doit être mis à la disposition de la CAI sur demande (art. 3.8 de la Loi). Chaque entrée doit en outre être tenue à jour et conservée pendant un minimum de 5 ans suivant la date à laquelle l'entreprise a pris connaissance de l'incident (art. 8 du Règlement sur les incidents de confidentialité, RLRQ c A-2.1, r. 3.1).

Champs minimum à consigner pour chaque incident :

Champ	Exemple
Date et heure de la découverte	2026-04-20 08:14
Date et heure de l'incident (si connue)	2026-04-18 entre 22 h et 23 h
Description de l'incident	Vol de sacoche contenant un portable de travail
Catégories de renseignements	Identifiants + dossiers RH
Nombre de personnes touchées	~120
Niveau de sensibilité	Élevée
Évaluation du risque de préjudice sérieux	Faible (chiffrement AES-256 actif, mot de passe non noté)
Notification CAI	Non
Notification personnes	Non
Mesures prises	Rapport de police, révocation d'accès, audit Entra ID
Mesures préventives	Formation renouvelée, chiffrement vérifié sur l'ensemble du parc
Responsable du dossier	Responsable RP de l'entreprise, avec support technique HiloTech

Le registre peut être tenu dans un tableau Excel sécurisé, un outil GRC spécialisé ou un module de HaloPSA / ServiceNow, l'important est l'accessibilité, la traçabilité, la non-altération des entrées historiques et leur conservation pendant au moins 5 ans.

La procédure à avoir prête (avant l'incident)#

La pire situation : un incident se produit un vendredi à 17 h et personne ne sait quoi faire. Une procédure écrite, testée et connue est la différence entre une heure de gestion propre et trois jours de panique.

Procédure type (à adapter à votre réalité)#

Heure 0, Détection : qui signale? À qui? Par quel canal (téléphone dédié, adresse dédiée, alerte EDR)?

Heure 0 à +2 h, Confinement :

• Isolation du poste / du compte / du réseau affecté.
• Changement immédiat des mots de passe des comptes à risque.
• Préservation des traces (logs Entra ID, NinjaOne, Defender, Bitdefender).

Heure +2 h à +24 h, Évaluation :

• Qui : responsable RP + TI (interne ou HiloTech) + direction + avocat.
• Quoi : quels renseignements, combien de personnes, quelle sensibilité, quelle probabilité d'utilisation.
• Document : fiche d'évaluation du risque de préjudice sérieux.

Heure +24 h à +72 h, Décisions :

• Notifier la CAI? (formulaire en ligne)
• Notifier les personnes? (moyen, libellé)
• Police? (vol physique, rançongiciel, menace)
• Assurance cyber?

Jour +3 à +30, Exécution et suivi :

• Envoi des notifications.
• Mesures correctives (techniques + organisationnelles).
• Entrée au registre des incidents.
• Post-mortem avec l'équipe.

Notre rôle côté TI#

Chez HiloTech, nous participons à la préparation (rédaction du playbook IT, configuration des outils de détection, exercices de simulation) et à l'exécution (confinement, préservation des traces, restauration, audit post-incident). Une sauvegarde immuable et hors-site (règle 3-2-1) limite l'impact d'un rançongiciel et facilite la restauration sans négocier avec l'attaquant. La décision de notifier et la rédaction des avis officiels sont prises par le client et son avocat, nous apportons les faits techniques qui étayent la décision.

Liste de contrôle rapide#

• Nous avons une procédure écrite de gestion d'incident de confidentialité.
• La procédure inclut les coordonnées 24/7 du responsable RP et du fournisseur TI.
• Nous tenons un registre des incidents, accessible à la CAI sur demande.
• Nos portables, téléphones et clés USB sont chiffrés.
• Les logs Microsoft 365 / Entra ID / EDR sont conservés au moins 6 mois (bonne pratique de sécurité recommandée par HiloTech, la Loi 25 et son règlement n'imposent aucune durée de conservation pour les journaux techniques; seul le registre des incidents doit être conservé un minimum de 5 ans, art. 8 du Règlement sur les incidents de confidentialité).
• Nous avons un modèle d'avis aux personnes concernées, validé par notre avocat.
• Notre équipe sait qui appeler en premier en cas de soupçon.

Erreurs fréquentes#

• « On attend de comprendre avant d'aviser la CAI. »: La loi exige une notification avec diligence (art. 3.5). Une notification préliminaire, même incomplète, est attendue.
• « Ce n'est pas grave, c'était juste un courriel mal adressé à un collègue. »: C'est tout de même un incident qui doit être consigné au registre. L'évaluation du risque peut conclure qu'aucune notification n'est requise, mais l'analyse doit exister.
• « On n'a pas de procédure écrite, on verra le moment venu. »: Le moment venu, c'est un vendredi soir. Une procédure préparée est l'investissement le plus rentable.
• Ne pas documenter les chiffrements.: Si un portable chiffré est volé, vous devez pouvoir prouver que le chiffrement était actif (BitLocker + politique Intune). Sans preuve, la CAI peut considérer l'incident comme s'il n'y avait pas de chiffrement.

Questions à poser à votre conseiller juridique#

• Quelle version du modèle d'avis aux personnes concernées correspond à notre secteur?
• Dans quelles circonstances pouvons-nous retarder une notification pour ne pas compromettre une enquête policière?
• Devons-nous aviser également d'autres autorités (CAI fédérale via PIPEDA, autorités américaines si clients non-québécois touchés)?
• Quel est notre niveau d'exposition au recours civil de l'art. 93.1 (dommages punitifs de 1 000 $ minimum) en cas de fuite?