Trousse de conformité Loi 25

Le registre des incidents de confidentialité, qui le tient et quoi mettre dedans

L'article 3.8 oblige toute personne qui exploite une entreprise à tenir un registre des incidents de confidentialité, et à en transmettre une copie à la Commission d'accès à l'information sur demande. Le registre couvre tous les incidents, y compris ceux qui ne présentent aucun risque de préjudice sérieux. Son contenu obligatoire, huit éléments, et sa conservation minimale de cinq ans viennent du Règlement sur les incidents de confidentialité.

L'obligation, en deux phrases du texte

La personne qui exploite une entreprise doit tenir un registre des incidents de confidentialité. Un règlement du gouvernement peut déterminer la teneur de ce registre. Sur demande de la Commission, une copie de ce registre lui est transmise.

Article 3.8

Trois conséquences pratiques se lisent directement dans ces phrases. Le registre doit exister avant le premier incident, puisque l'obligation de le tenir n'attend pas un événement. Il doit être produisible, puisqu'une copie peut être demandée. Et son contenu n'est pas laissé à votre jugement, puisqu'un règlement l'a fixé.

Le règlement qui fixe le contenu

Le règlement annoncé à l'article 3.8 existe. Il s'agit du Règlement sur les incidents de confidentialité, édicté par décret et publié à la Partie 2 de la Gazette officielle du Québec du 14 décembre 2022. Son article 1 précise qu'il s'applique à toute personne qui exploite une entreprise et qui est visée par la Loi sur la protection des renseignements personnels dans le secteur privé, en plus des organismes publics. Une PME québécoise y est donc assujettie.

Son article 7 énumère ce que le registre doit contenir, et son article 8 fixe la conservation.

Les renseignements contenus au registre doivent être tenus à jour et conservés pendant une période minimale de cinq ans après la date ou la période au cours de laquelle l'organisation a pris connaissance de l'incident.

Règlement sur les incidents de confidentialité, article 8

Les huit colonnes de votre registre

Le tableau suivant reprend les huit éléments de l'article 7 du règlement, dans l'ordre, avec ce que vous écrivez dans chaque colonne. Vous pouvez le recopier tel quel dans un chiffrier.

La colonne 6 est celle que les entreprises oublient. Le règlement demande la description des éléments qui vous amènent à conclure qu'il existe ou non un risque de préjudice sérieux. Autrement dit, quand vous décidez de ne pas aviser la Commission, cette décision et son raisonnement s'écrivent au registre. C'est votre seule trace si on vous demande plus tard pourquoi vous n'avez rien signalé. La façon de conduire ce raisonnement est détaillée dans comment décider s'il y a un risque de préjudice sérieux.

Tous les incidents, pas seulement les graves

L'article 3.8 ne limite pas le registre aux incidents qui déclenchent un avis. La Commission d'accès à l'information l'écrit aussi sur sa page destinée aux entreprises privées, où elle indique qu'il faut y inscrire également les incidents qui ne présentent pas de risque de préjudice sérieux.

Un incident de confidentialité est défini à l'article 3.6 par quatre cas, soit l'accès non autorisé par la loi à un renseignement personnel, son utilisation non autorisée, sa communication non autorisée, et la perte du renseignement ou toute autre atteinte à sa protection. Le courriel envoyé au mauvais client, la clé USB oubliée dans un taxi et le dossier papier retrouvé au recyclage entrent dans cette définition. Ils vont au registre même si vous concluez, en colonne 6, à l'absence de risque sérieux.

Qui le tient

L'obligation de l'article 3.8 appartient à la personne qui exploite l'entreprise, pas nommément au responsable de la protection des renseignements personnels. En pratique, confier la tenue du registre au responsable évite qu'il n'existe en trois versions. C'est une pratique recommandée, le texte ne le prescrit pas.

Quel support

Ni l'article 3.8 ni l'article 7 du règlement ne prescrivent de support ni de formulaire. Un chiffrier à huit colonnes, un document de traitement de texte ou un outil de billetterie font l'affaire, à condition de pouvoir en produire une copie lisible sur demande.

Les choix suivants sont des pratiques recommandées. Rangez le registre à un endroit dont l'accès est limité, puisqu'il contient la description d'incidents et parfois des renseignements sensibles. Ajoutez une colonne pour le nom de la personne qui a inscrit la ligne et la date d'inscription, ce qui aide à démontrer que le registre est tenu à jour. Et numérotez les incidents, de façon à pouvoir les citer dans un avis ou une note sans recopier leur description.

Ce que vous pouvez faire aujourd'hui

Le premier point découle de l'article 3.8, les trois autres sont des pratiques recommandées.

1. Créez le fichier avec les huit colonnes ci-dessus et enregistrez-le à un endroit stable.
2. Inscrivez les incidents dont vous vous souvenez pour les cinq dernières années, avec la mention que la reconstitution est approximative. Le règlement accepte explicitement une approximation pour les dates et le nombre de personnes.
3. Dites à votre équipe à qui signaler un incident. Sans ce réflexe, le registre reste vide pendant qu'il se passe des choses.
4. Fixez une date de révision annuelle pour vérifier que les lignes des cinq dernières années sont toujours là.

La suite immédiate, quand une ligne s'ajoute pour de vrai, est décrite dans quoi faire quand un incident vient de se produire. Un registre prêt à remplir, avec ses huit colonnes et un exemple rempli, fait partie de la trousse.

Articles cités, 3.6, 3.8 de la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1, texte officiel, consulté le 7 novembre 2026.