Un courriel parti au mauvais destinataire, un portable perdu, un compte compromis : voici ce que la loi exige, dans l'ordre, avec les articles - et ce qu'il vaut mieux ne pas faire.
À jour au 10 août 2026 Dernier changement du droit couvert 22 septembre 2024
En une réponse : trois gestes. D'abord, limiter - prendre les mesures raisonnables pour diminuer les risques et éviter que l'incident ne se reproduise (Loi 25, art. 3.5). Ensuite, évaluer avec votre responsable de la protection des renseignements personnels s'il y a risque de préjudice sérieux (art. 3.7). Si oui : aviser avec diligence la Commission d'accès à l'information ET les personnes concernées. Dans tous les cas, même sans préjudice sérieux : inscrire l'incident au registre, conservé au moins 5 ans.
Les trois obligations de l'article 3.5, dans l'ordre où elles servent
Un incident de confidentialité, c'est quatre situations (art. 3.6) : l'accès, l'utilisation ou la communication non autorisés d'un renseignement personnel, ou sa perte - « ou toute autre atteinte à la protection d'un tel renseignement ». Le courriel au mauvais destinataire compte. La clé USB perdue compte. Dès que vous avez « des motifs de croire » qu'un incident s'est produit :
Le contenu des avis est prescrit par règlement - rien à deviner
La Commission d'accès à l'information (CAI) - par écrit, avec le contenu prescrit (règlement sur les incidents de confidentialité, art. 3) : votre organisation et son NEQ, la personne-ressource, les renseignements visés, les circonstances et la cause si connue, les dates de l'incident et de sa découverte, le nombre de personnes concernées, ce qui fonde votre conclusion de risque sérieux, et vos mesures. La CAI publie le formulaire d'avis sur sa page des incidents - et toute information nouvelle doit lui être transmise ensuite.
Les personnes concernées - un avis chacune (règlement, art. 5) : ce qui est touché, les circonstances, la date, vos mesures, les gestes que vous leur suggérez pour se protéger, et où se renseigner. L'avis public remplace l'avis individuel dans trois cas seulement : préjudice accru, difficulté excessive, ou coordonnées inconnues (art. 6) - et un avis public rapide peut précéder les avis individuels, qui restent dus.
Votre assureur, si vous avez une police cyber : l'aviser est une exigence de votre contrat, pas de la loi - mais une police qui n'est pas avisée à temps est une police qui ne paie pas. Et si l'incident relève du crime (intrusion, rançongiciel), la loi prévoit même qu'une personne concernée n'a pas à être avisée tant que ça entraverait une enquête policière (art. 3.5, 3e al.).
Les quatre réflexes qui aggravent un incident
L'information procédurale, pas l'avis juridique
Cette page décrit les obligations et leurs sources - elle ne remplace pas un avis juridique. Si l'incident expose des données très sensibles, touche beaucoup de personnes, ou si une réclamation ou une mise en demeure arrive : un avocat, tôt. Les décisions prises dans les premières heures - quoi dire, à qui, par écrit ou non - sont celles qu'on ne peut pas reprendre.
Il restera à prouver que c'est réglé et que ça ne se reproduira pas : le registre tenu selon la teneur réglementaire, la marche à suivre écrite, la politique à jour. L'audit gratuit dit où votre site en est; le dossier complet - registre des incidents, marche à suivre, politique personnalisée - est compris dans les plans.
Ce que les dirigeants demandent en plein incident
Non. L'avis à la Commission et aux personnes concernées n'est obligatoire que si l'incident présente un risque qu'un préjudice sérieux soit causé (art. 3.5). Le registre, lui, se tient dans TOUS les cas, même quand vous concluez à l'absence de risque sérieux - votre conclusion et ses motifs s'y inscrivent (règlement, art. 7).
Non. La loi québécoise dit « avec diligence » (art. 3.5), sans délai chiffré - le « 72 heures » qui circule vient du RGPD européen, pas d'ici. Diligence veut dire : dès que votre évaluation conclut au risque sérieux, l'avis part, sans attendre d'avoir tout élucidé - le règlement prévoit justement qu'on transmet ensuite toute nouvelle information.
La loi impose trois critères d'évaluation : la sensibilité du renseignement concerné, les conséquences appréhendées de son utilisation et la probabilité qu'il soit utilisé à des fins préjudiciables (art. 3.7). L'évaluation se fait avec votre responsable de la protection des renseignements personnels - la loi exige cette consultation.
Au moins 5 ans après la date où l'organisation a pris connaissance de l'incident, et les renseignements du registre doivent être tenus à jour (règlement sur les incidents de confidentialité, art. 8). Son contenu est prescrit : huit éléments, dont votre conclusion sur le risque et les dates des avis envoyés.
Tout ce qui est cité ici est vérifiable gratuitement