Incident de confidentialité chez vous : ce que la loi oblige à faire, et à qui le déclarer

Un ordinateur volé, un fichier client piraté, une liste de courriels envoyée au mauvais destinataire : ces situations arrivent, et elles ne concernent pas seulement le service informatique. Dès qu'un renseignement personnel d'un client, y compris une information liée à un paiement, est exposé sans autorisation, une loi précise s'applique. Elle dit ce qu'un commerçant doit faire, dans quel ordre, et à qui il doit le signaler.

Ce que la loi appelle un incident de confidentialité

La Loi sur la protection des renseignements personnels dans le secteur privé, que la plupart des gens appellent la Loi 25, définit un incident de confidentialité de façon large. Selon la Commission d'accès à l'information du Québec, il s'agit de tout accès non autorisé, de toute utilisation ou communication non autorisée, de toute perte de renseignements personnels, ou de toute autre atteinte à leur protection. Un terminal volé, une liste de clients envoyée par erreur à la mauvaise personne, ou un dossier consulté par un employé qui n'en avait pas besoin pour son travail entrent tous dans cette définition.

Le test qui détermine si vous devez le déclarer

Tous les incidents ne se traitent pas de la même façon. La loi exige une déclaration formelle seulement lorsque l'incident présente un risque de préjudice sérieux pour les personnes concernées. Pour évaluer ce risque, la Commission indique trois éléments à considérer ensemble : la sensibilité du renseignement exposé, les conséquences que l'on peut raisonnablement anticiper de son utilisation, et la probabilité qu'il soit utilisé à des fins préjudiciables. Un numéro de carte exposé avec le nom et l'adresse d'un client pèse beaucoup plus dans cette évaluation qu'un simple nom sur une liste d'envoi promotionnelle.

Ce qu'il faut faire dès que vous vous en rendez compte

Une fois l'incident détecté, l'ordre des étapes compte autant que les étapes elles-mêmes. Il faut d'abord limiter les dégâts : isoler l'appareil ou le système touché, révoquer les accès compromis, récupérer ce qui peut encore l'être. Ensuite vient l'évaluation du risque selon les trois critères ci-dessus, à documenter par écrit à mesure que l'information arrive, plutôt qu'après coup.

Si cette évaluation conclut à un risque de préjudice sérieux, deux déclarations distinctes s'imposent :

• à la Commission d'accès à l'information, par écrit, au moyen du formulaire de déclaration prévu à cet effet sur son site
• à chaque personne dont les renseignements sont touchés, dans une communication qui explique ce qui s'est produit et ce qu'elle peut faire pour se protéger

La loi ne fixe pas un nombre précis de jours, mais elle exige d'agir sans délai une fois le risque constaté. Attendre que l'enquête interne soit entièrement terminée avant d'aviser qui que ce soit n'est pas une raison valable pour retarder cette étape.

Un registre, même quand rien ne semble grave

La Loi 25 va plus loin que la simple déclaration des cas graves. Elle oblige toute entreprise à tenir un registre de tous les incidents de confidentialité, y compris ceux qui ne présentent pas de risque de préjudice sérieux. Un portable volé puis retrouvé intact le lendemain, un courriel envoyé au mauvais destinataire mais rappelé à temps : ces cas entrent quand même dans le registre. La Commission peut demander à le consulter en tout temps, et son absence constitue elle-même un manquement, distinct de l'incident qui l'a déclenché.

Pourquoi ce n'est pas facultatif

La Commission d'accès à l'information peut imposer des sanctions administratives pécuniaires à une entreprise qui omet de déclarer un incident présentant un risque de préjudice sérieux, à elle ou aux personnes concernées. Ces sanctions administratives peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial de l'exercice précédent, selon le montant le plus élevé, et des poursuites pénales distinctes peuvent aller jusqu'à 25 millions de dollars ou 4 % de ce chiffre d'affaires. Ces plafonds visent d'abord les grandes organisations, mais la loi ne prévoit pas de seuil de taille pour l'obligation elle-même : un petit commerce y est assujetti au même titre qu'une grande chaîne.

Et si vos clients sont ailleurs au Canada

Un commerce qui vend en ligne à des clients d'autres provinces peut aussi être visé par la loi fédérale équivalente, la Loi sur la protection des renseignements personnels et les documents électroniques. Le Commissariat à la protection de la vie privée du Canada applique un test similaire mais distinct, celui du risque réel de préjudice grave, qui tient compte de la sensibilité de l'information, de qui y a eu accès, de la durée de l'exposition et de la présence d'une intention malveillante. Les deux régimes peuvent s'appliquer en même temps au même incident. Une déclaration à la Commission québécoise ne remplace pas, à elle seule, une déclaration fédérale si le test fédéral est aussi rempli, et l'inverse est également vrai.

Ce qu'il faut vérifier maintenant

Le meilleur moment pour lire ces règles n'est pas le jour où un appareil disparaît ou qu'un courriel part vers la mauvaise adresse. Vérifiez dès maintenant qui, dans votre commerce, serait responsable de constater un incident, d'évaluer le risque selon les trois critères de la Commission, et de remplir le formulaire de déclaration si le seuil est atteint. Un registre vide n'est pas une preuve qu'il ne s'est rien passé. C'est souvent seulement la preuve que personne n'a encore pris le temps de le commencer.