Trousse de conformité Loi 25

Un incident de confidentialité vient de se produire, voici quoi faire dans l'ordre

Le premier geste exigé par l'article 3.5 n'est pas d'aviser qui que ce soit, c'est de prendre les mesures raisonnables pour diminuer les risques qu'un préjudice soit causé et pour éviter que l'incident se répète. Vous évaluez ensuite s'il existe un risque de préjudice sérieux, et c'est seulement dans ce cas que vous devez aviser la Commission d'accès à l'information et les personnes concernées, avec diligence. Dans tous les cas, l'incident s'inscrit à votre registre.

Le texte dicte l'ordre

L'article 3.5 est construit en deux temps, et l'ordre compte. Le premier alinéa s'applique dès que vous avez des motifs de croire qu'un incident s'est produit, sans égard à sa gravité. Le deuxième ne s'applique que si l'incident présente un risque qu'un préjudice sérieux soit causé.

Une personne qui exploite une entreprise et qui a des motifs de croire que s'est produit un incident de confidentialité impliquant un renseignement personnel qu'elle détient doit prendre les mesures raisonnables pour diminuer les risques qu'un préjudice soit causé et éviter que de nouveaux incidents de même nature ne se produisent.

Article 3.5

Il n'existe aucun délai de 72 heures dans cette loi

Le texte dit « avec diligence ». Il ne fixe aucun nombre d'heures et aucun nombre de jours pour l'avis à la Commission. Le délai de 72 heures que l'on voit circuler vient du règlement européen sur la protection des données et n'a pas d'équivalent dans la loi québécoise. Si un fournisseur ou un conseiller vous parle de 72 heures en invoquant la loi 25, il se trompe de texte.

Cela ne vous donne pas de marge confortable. « Avec diligence » se juge après les faits, et la seule chose qui vous protégera est une suite de gestes datés. D'où l'intérêt de noter l'heure de chaque étape pendant qu'elle se produit.

Étape 1, contenir, dans l'heure qui suit

Les gestes suivants sont des pratiques recommandées, le texte exige seulement des « mesures raisonnables ». Révoquez l'accès compromis ou changez le mot de passe. Rappelez le courriel si votre service de messagerie le permet et demandez au destinataire par erreur de le détruire, par écrit. Débranchez le poste ou le serveur touché plutôt que de l'effacer, parce qu'un appareil effacé ne vous dira plus ce qui est sorti. Récupérez le document papier et notez où il a été retrouvé.

Notez en même temps six choses, pendant qu'elles sont fraîches. La date et l'heure où vous avez appris l'incident, la personne qui vous l'a signalé, ce qui est sorti ou a été consulté, combien de personnes sont touchées, ce que vous avez fait pour contenir, et l'heure de chacun de ces gestes.

Étape 2, inscrire au registre

L'article 3.8 oblige à tenir un registre des incidents de confidentialité, et il ne le limite pas aux incidents graves. Ouvrez la ligne tout de suite, avec les informations connues, et complétez-la ensuite. Les huit colonnes exigées sont détaillées dans le registre des incidents de confidentialité.

Inscrire l'incident n'équivaut pas à le déclarer. Le registre reste chez vous, sauf demande de la Commission.

Étape 3, évaluer le risque de préjudice sérieux

L'article 3.7 vous impose de considérer la sensibilité du renseignement concerné, les conséquences appréhendées de son utilisation et la probabilité qu'il soit utilisé à des fins préjudiciables. Il vous impose aussi de consulter votre responsable de la protection des renseignements personnels.

Cette évaluation est un écrit, pas une impression. La méthode et les pièges sont dans comment décider s'il y a un risque de préjudice sérieux.

Étape 4, aviser, seulement s'il y a un risque sérieux

Si l'évaluation conclut à un risque de préjudice sérieux, deux avis deviennent obligatoires, et un troisième devient possible.

L'avis à la Commission doit contenir, selon l'article 3 du règlement, le nom de votre entreprise et son numéro d'entreprise du Québec, le nom et les coordonnées de la personne à contacter chez vous, la description des renseignements visés, les circonstances et la cause si elle est connue, la date ou la période de l'incident, la date où vous en avez pris connaissance, le nombre de personnes concernées et parmi elles le nombre de résidents du Québec, les éléments qui vous font conclure au risque de préjudice sérieux, les mesures prises ou envisagées pour aviser les personnes, les mesures prises ou envisagées après l'incident, et le cas échéant une mention indiquant qu'une autorité hors Québec a été avisée.

L'avis à une personne concernée doit contenir, selon l'article 5, la description des renseignements visés, une brève description des circonstances, la date ou la période de l'incident, une brève description des mesures que vous avez prises ou entendez prendre pour diminuer les risques, les mesures que vous lui suggérez de prendre, et les coordonnées permettant de se renseigner davantage.

La Commission demande que l'avis lui soit transmis par écrit au moyen de son formulaire, et elle le précise sur sa page destinée aux entreprises privées. L'article 4 du règlement ajoute que tout renseignement de la liste dont vous prenez connaissance après l'envoi doit lui être transmis avec diligence.

Si vous avisez un tiers pour diminuer le risque, l'article 3.5 précise que votre responsable de la protection des renseignements personnels doit enregistrer cette communication. C'est un geste de deux lignes, souvent oublié.

Les deux exceptions prévues par le texte

L'article 3.5 permet de retarder l'avis à une personne concernée tant que cet avis serait susceptible d'entraver une enquête menée par une personne ou un organisme chargé par la loi de prévenir, détecter ou réprimer le crime ou les infractions aux lois. C'est une suspension, pas une dispense.

L'article 6 du règlement permet de remplacer l'avis individuel par un avis public dans trois cas, soit lorsque la transmission de l'avis risque de causer un préjudice accru à la personne, lorsqu'elle représenterait une difficulté excessive pour l'entreprise, et lorsque vous n'avez pas les coordonnées de la personne. Un avis public peut aussi servir à agir rapidement, mais dans ce cas l'obligation d'aviser individuellement subsiste.

Étape 5, fermer la boucle

1. Complétez les colonnes du registre, y compris les dates d'envoi des avis.
2. Écrivez la mesure qui empêche la répétition. Le premier alinéa de l'article 3.5 l'exige au même titre que la réduction du risque.
3. Si un fournisseur est en cause, relisez votre contrat. L'article 18.3 oblige le mandataire ou l'exécutant du contrat à aviser sans délai votre responsable de toute violation ou tentative de violation, et à vous laisser vérifier.
4. Conservez les preuves, courriels, captures et journaux d'accès, au même endroit que la ligne du registre. Ce classement est une pratique recommandée, le texte ne l'exige pas.

Sur ce que coûte une déclaration omise, et sur la différence entre les deux régimes de sanctions, lisez combien coûtent vraiment les manquements à la loi 25. Les gabarits d'avis à la Commission et d'avis à une personne concernée, avec les onze et les six éléments déjà en place, sont dans la trousse.

Articles cités, 3.5, 3.6, 3.7, 3.8, 18.3 de la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1, texte officiel, consulté le 7 novembre 2026.