Incident de confidentialité (Loi 25) : le plan avant l'incident

Une question que je pose en audit : « Montrez-moi votre registre des incidents de confidentialité. »

Elle n’est pas piégée. Le registre est une obligation légale au Québec depuis 2022 et il couvre tous les incidents, pas seulement ceux qui exigent d’aviser la Commission d’accès à l’information (CAI). Pourtant, c’est le document que la majorité des PME découvrent le jour où elles en ont besoin.

Le jour où un employé envoie la mauvaise pièce jointe ou qu’un rancongiciel chiffre votre serveur, vous n’aurez pas le temps de lire la loi. Il faut que les décisions soient déjà prises. Voici le plan.

Ce qu’est un incident de confidentialité

Selon la CAI, c’est tout accès, toute utilisation ou toute communication non autorisés par la loi d’un renseignement personnel, ainsi que la perte d’un renseignement personnel ou toute autre atteinte à sa protection.

Cela dépasse largement la cyberattaque. Un courriel envoyé au mauvais client, un employé qui consulte le dossier d’un collègue par curiosité, un portable volé dans une voiture : tout cela est un incident.

L’ampleur se lit dans les chiffres de la CAI. En 2024-2025, elle a reçu 514 avis d’incident, une hausse de 16 % sur un an. 80 % venaient du secteur privé. Les principales causes : 160 cyberattaques, 110 erreurs humaines et 106 rancongiciels. Un même avis peut indiquer plus d’une cause. Ces chiffres ne s’additionnent donc pas. L’erreur humaine pèse presque autant que la cyberattaque. Aucun coupe-feu ne la règle.

Ce que la loi vous demande de faire

Quand vous avez des motifs de croire qu’un incident s’est produit, quatre obligations s’enchaînent.

1. Diminuer les risques et éviter que cela se reproduise. Vous devez prendre des mesures raisonnables, tout de suite.
2. Évaluer le risque de préjudice sérieux. C’est ce jugement qui détermine la suite.
3. Aviser la CAI et les personnes concernées si le risque est sérieux. Avec diligence.
4. Inscrire l’incident au registre, dans tous les cas. Sérieux ou non.

Le point 4 est celui qu’on oublie. Un incident jugé sans risque sérieux n’a pas à être déclaré à la CAI, mais il doit être consigné avec l’analyse qui justifie cette conclusion.

Comment évaluer : la grille

La loi vous demande de considérer trois critères : la sensibilité des renseignements, les conséquences appréhendées de leur utilisation et la probabilité qu’ils soient utilisés à des fins préjudiciables.

Trois exemples pour calibrer votre jugement. La conclusion dépend toujours des faits précis.

• Une facture envoyée au mauvais client. Destinataire identifié, suppression confirmée par écrit. Probablement pas de risque sérieux. Registre seulement, avec l’analyse et la confirmation du destinataire en pièce jointe.
• Un portable volé dont le disque est chiffré. Données inaccessibles sans la clé. Probabilité d’utilisation faible, à condition de pouvoir prouver le chiffrement. Registre et conservation de la preuve de chiffrement.
• Un rancongiciel avec exfiltration de dossiers d’employés. Données sensibles entre les mains d’un criminel. Risque sérieux. Avis à la CAI et aux personnes.

Si vous hésitez, c’est déjà un signal. Documentez par écrit pourquoi vous concluez à l’absence de risque sérieux : c’est cette trace qu’on vous demandera.

Quand « appeler » la CAI

D’abord, on n’appelle pas : on dépose un avis écrit au moyen du formulaire en ligne de la CAI. On choisit « Entreprise ou organisation privée », puis « La déclaration d’un incident de confidentialité ». Pour une question générale, la section « Nous joindre » du site de la CAI indique les coordonnées et les heures d’ouverture.

Ensuite, quand? Dès que votre évaluation conclut à un risque de préjudice sérieux. Il n’y a pas de délai chiffré dans la loi québécoise (pas de « 72 heures » comme dans le RGPD européen). L’exigence est d’agir avec diligence. En pratique, cela veut dire que vous ne pouvez pas attendre d’avoir toutes les réponses. Si vous obtenez de nouvelles informations après l’envoi, vous devez les transmettre à la CAI.

Une conséquence concrète : notez l’heure et la date exactes où vous avez pris connaissance de l’incident. Cette date sert de point de départ pour juger de votre diligence et pour la conservation du registre.

Si vous ne déclarez pas alors que vous le deviez, la CAI peut vous ordonner de le faire.

Aviser les personnes concernées

L’avis aux personnes se fait aussi dans les plus brefs délais. Il doit contenir :

• une description des renseignements visés (ou la raison pour laquelle vous ne pouvez pas la donner);
• les circonstances de l’incident;
• la date ou la période approximative;
• les mesures prises pour diminuer les risques;
• les mesures que vous suggérez à la personne pour se protéger;
• une personne-ressource à joindre.

Il existe trois exceptions qui permettent un avis public à la place d’un avis individuel : si l’avis risque de causer un plus grand préjudice, s’il représente une difficulté excessive ou si vous n’avez pas les coordonnées de la personne. Un avis public peut aussi accompagner l’avis individuel, pour réduire le risque plus vite. Il ne le remplace que dans ces trois cas. Ces exceptions ne sont pas des échappatoires. Elles se documentent aussi.

La loi prévoit un autre cas, distinct : pas d’avis à la personne si cela risque d’entraver une enquête visant à prévenir, détecter ou réprimer le crime ou une infraction. Ce n’est pas une décision à prendre seul.

Le registre : le document qu’on vous demandera en premier

Tout incident y entre. Conservation : au moins cinq ans après la date ou la période de prise de connaissance. Le registre doit aussi être tenu à jour. La CAI peut vous en demander copie.

Voici un modèle de colonnes. Les huit premières reflètent le contenu exigé. Les autres sont des ajouts que je recommande pour la rigueur. Si vous ne pouvez pas décrire les renseignements visés, inscrivez pourquoi.

Pourquoi c’est un risque d’affaires, pas seulement un risque juridique

La CAI peut imposer des sanctions administratives pécuniaires allant jusqu’à 10 M$ ou 2 % du chiffre d’affaires mondial de l’exercice précédent. Sur le plan pénal, les amendes pour une entreprise peuvent atteindre 25 M$ ou 4 % du chiffre d’affaires mondial de l’exercice précédent. Dans les deux cas, le montant le plus élevé s’applique.

Ces plafonds sont rarement atteints, évidemment. Mais ils fixent le cadre. La CAI tient compte de la gravité, du nombre de personnes touchées et du caractère intentionnel du manquement. Une entreprise qui a un plan, un registre à jour et des traces d’exercices se trouve dans une position très différente de celle qui improvise.

La CAI a aussi publié en janvier 2026 un guide de prévention, avec un cycle en sept étapes : obligations, inventaire des renseignements, risques, mesures, déploiement, mesure de l’efficacité et révision. Son message : une sécurité informatique solide ne suffit pas, à elle seule, à protéger les renseignements personnels. La gouvernance, la limitation de la collecte et la transparence comptent aussi.

Le plan avant l’incident

1. Un responsable nommé, avec un suppléant. La loi prévoit une personne responsable de la protection des renseignements personnels. Vous devez la consulter pour évaluer le risque. Elle doit pouvoir être jointe en tout temps. Le suppléant doit savoir qu’il prend le relais.

2. Un canal de signalement interne sans punition. L’erreur humaine dépasse les 100 avis par année dans les dossiers de la CAI. Si vos employés ont peur de signaler, vous l’apprendrez trop tard. Définissez « incident » en langage de terrain (« j’ai envoyé quelque chose à la mauvaise personne », « j’ai perdu mon téléphone ») et dites où signaler.

3. Les contacts préparés d’avance. Avocat, firme de réponse aux incidents, fournisseur TI et assureur cyber. Vérifiez dans votre police si l’assureur exige un avis avant d’engager des frais.

4. Des clauses contractuelles avec vos sous-traitants. Un fournisseur qui héberge vos données peut subir un incident sans vous le dire. Vous restez responsable du registre et des avis, même si les renseignements sont chez lui. Exigez par contrat un avis rapide et la collaboration à l’enquête. Si une signature approche, l’EFVP est l’autre document à avoir prêt.

5. Des gabarits prêts. Le registre, un brouillon d’avis à la CAI et un brouillon d’avis aux personnes. Les rédiger sous stress est la meilleure façon d’oublier un élément.

6. Un exercice par année. Une heure de simulation (« un portable est volé, que faisons-nous? ») suffit pour découvrir que personne ne sait qui décide. Conservez le compte rendu : c’est une preuve de diligence.

Les premières 24 heures

• Contenir : couper l’accès, récupérer le message, isoler la machine.
• Préserver la preuve : n’effacez rien et ne réinstallez rien avant d’avoir conservé les journaux.
• Consigner : heure de prise de connaissance, qui a fait quoi.
• Évaluer : la grille ci-dessus, avec votre responsable.
• Décider : aviser ou non. Écrire pourquoi.

Bref, le moment de lire la loi n’est pas celui de l’incident. Le plan, le registre et la grille d’évaluation se préparent cette semaine. Le jour où on vous les demande, ils se défendent seuls. Votre registre existe-t-il déjà? Savez-vous qui le tient?

Vous voulez savoir où vous en êtes là-dessus? Parlons-en.

Références

• Loi sur la protection des renseignements personnels dans le secteur privé (LégisQuébec)
• Commission d’accès à l’information, incidents de confidentialité et mesures de sécurité
• Commission d’accès à l’information, formulaire de déclaration d’un incident de confidentialité
• Commission d’accès à l’information, Rapport annuel d’activités et de gestion 2024-2025
• Commission d’accès à l’information, Prévenir les incidents de confidentialité, guide pour les entreprises (janvier 2026)
• Commission d’accès à l’information, sanctions et poursuites