Trousse de conformité Loi 25

Comment décider si un incident présente un risque de préjudice sérieux

La loi ne définit pas l'expression préjudice sérieux et ne fixe aucun seuil. L'article 3.7 vous impose de considérer trois facteurs, soit la sensibilité du renseignement concerné, les conséquences appréhendées de son utilisation et la probabilité qu'il soit utilisé à des fins préjudiciables, puis de consulter votre responsable de la protection des renseignements personnels. Votre conclusion, positive ou négative, doit être écrite et conservée.

Le texte nomme les facteurs, il ne tranche pas pour vous

Lorsqu'elle évalue le risque qu'un préjudice soit causé à une personne dont un renseignement personnel est concerné par un incident de confidentialité, la personne qui exploite une entreprise doit considérer notamment la sensibilité du renseignement concerné, les conséquences appréhendées de son utilisation et la probabilité qu'il soit utilisé à des fins préjudiciables. Elle doit également consulter son responsable de la protection des renseignements personnels.

Article 3.7

Le mot « notamment » signifie que la liste n'est pas fermée, vous pouvez ajouter un facteur pertinent. Mais les trois nommés doivent y être. Et la décision vous appartient, ce qui veut dire qu'elle doit être défendable par écrit.

Facteur 1, la sensibilité, et celui-là est défini dans la loi

Beaucoup de pages ignorent que la loi définit le caractère sensible, au dernier alinéa de l'article 12.

Pour l'application de la présente loi, un renseignement personnel est [...] sensible lorsque, de par sa nature notamment médicale, biométrique ou autrement intime, ou en raison du contexte de son utilisation ou de sa communication, il suscite un haut degré d'attente raisonnable en matière de vie privée.

Article 12

Deux portes, donc. La nature du renseignement, ce qui couvre le médical, le biométrique et ce qui est autrement intime. Et le contexte, ce qui veut dire qu'un renseignement banal peut devenir sensible selon l'usage qu'on en fait. Une liste d'adresses courriel est ordinaire. La même liste, si elle est celle des participants à un programme d'aide aux employés, ne l'est plus.

Facteur 2, les conséquences appréhendées de l'utilisation

La question n'est pas de savoir si l'incident est embarrassant pour vous, mais ce qui peut arriver à la personne concernée. Le Règlement sur les incidents de confidentialité, à son article 3, demande d'ailleurs de décrire « les utilisations malveillantes possibles » des renseignements dans l'avis à la Commission, ce qui confirme l'angle d'analyse.

Nommez les conséquences concrètement plutôt qu'en termes généraux. Une fraude d'identité ouverte par un numéro d'assurance sociale et une date de naissance. Un hameçonnage crédible rendu possible par la connaissance d'une transaction récente. Une perte d'emploi ou de contrat si un diagnostic circule. Un risque physique si l'adresse d'une personne qui se cache devient connue.

Facteur 3, la probabilité d'une utilisation à des fins préjudiciables

Ce facteur porte sur l'usage, pas sur l'incident. La question est de savoir entre quelles mains le renseignement se trouve maintenant et ce qui rend un usage nuisible probable.

• Un courriel envoyé à un destinataire identifié, qui confirme par écrit l'avoir détruit, laisse une probabilité faible.
• Un fichier déposé sur un serveur accessible publiquement, sans journal d'accès, laisse une probabilité que vous ne pouvez pas qualifier de faible, puisque vous ne savez pas qui l'a pris.
• Un ordinateur portable volé dont le disque est chiffré et dont la clé n'a pas été compromise réduit la probabilité, à condition que vous puissiez le démontrer.

Le nombre de personnes touchées ne figure pas parmi les trois facteurs de l'article 3.7. Il doit tout de même être inscrit au registre et déclaré dans l'avis, selon le règlement. L'utiliser comme élément de contexte est une pratique recommandée, ce n'est pas un critère du texte.

La consultation du responsable est une obligation

La dernière phrase de l'article 3.7 n'est pas décorative. Vous devez consulter votre responsable de la protection des renseignements personnels. Si c'est vous, notez quand même que la fonction a été exercée et à quel moment, parce que c'est cette trace qui démontre le respect du texte.

La grille à remplir pour chaque incident

Recopiez ce tableau et remplissez-le au clavier, pas de tête. Sa forme est une pratique recommandée, son contenu reprend les éléments nommés aux articles 3.7 et 12 de la loi et à l'article 7 du règlement.

Le piège, la conclusion négative s'écrit aussi

L'article 7 du Règlement sur les incidents de confidentialité exige que le registre contienne la description des éléments qui vous amènent à conclure qu'il existe ou non un risque qu'un préjudice sérieux soit causé. Une décision de ne pas aviser est donc une décision documentée. Sans cette ligne, vous n'avez rien à opposer à une question posée deux ans plus tard. Les huit colonnes exigées sont détaillées dans le registre des incidents de confidentialité.

Trois raisonnements, pour voir la grille fonctionner

Les exemples qui suivent illustrent l'application des trois facteurs. Ils ne rapportent aucune décision de la Commission d'accès à l'information et ne constituent pas un avis juridique.

Infolettre envoyée avec les adresses visibles de 300 destinataires

Les renseignements sont des adresses courriel, ordinaires par leur nature. Le contexte compte, et s'il s'agit de la liste des clients d'un commerce général, l'attente de vie privée reste modeste. Les utilisations malveillantes possibles existent, un tiers peut constituer une liste de prospection. La probabilité d'un usage nuisible sérieux est faible, et les destinataires sont identifiés. Ce raisonnement conduit souvent à une conclusion négative, qui doit tout de même être écrite au registre. La réponse change si la liste est celle d'une clinique ou d'un service d'aide.

Fichier de paie envoyé au mauvais fournisseur

Les champs comprennent le numéro d'assurance sociale, la date de naissance et le salaire. La nature intime du salaire se discute, mais la combinaison ouvre la porte à la fraude d'identité, donc les conséquences appréhendées sont lourdes. Le destinataire est identifié, ce qui réduit la probabilité, mais une destruction confirmée par écrit est nécessaire pour l'affirmer. Sans cette confirmation, la conclusion penche vers un risque sérieux.

Notes médicales d'un employé consultées par un collègue

La nature médicale rend le renseignement sensible selon l'article 12. Les conséquences appréhendées touchent l'emploi et la réputation. La probabilité d'un usage préjudiciable dépend de ce que le collègue a fait ensuite, et vous ne la contrôlez pas. Les trois facteurs pointent dans la même direction.

Quand le doute subsiste

Le texte ne fournit aucun seuil, donc personne ne peut vous garantir une réponse. Deux faits encadrent votre choix. L'article 90.1 permet une sanction administrative pécuniaire à qui ne déclare pas un incident lorsqu'il y est tenu, et l'article 91 en fait aussi une infraction pénale. Les montants et la différence entre ces deux régimes sont expliqués dans combien coûtent vraiment les manquements à la loi 25.

Face à un doute qui persiste après avoir rempli la grille, aviser est le choix prudent. C'est une pratique recommandée et non une règle du texte. La marche à suivre complète, avec le contenu exigé des avis, est dans quoi faire quand un incident vient de se produire. La grille ci-dessus existe en version remplissable, avec un exemple complété, dans la trousse.

Articles cités, 3.5, 3.7, 12, 90.1, 91 de la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1, texte officiel, consulté le 7 novembre 2026.