Procédure à suivre pour respecter les exigences légales prévues aux articles 63.8 à 63.11 de la Loi sur l’accès3
Les étapes qui suivent peuvent être réalisées simultanément.
1. Évaluer la situation. L’entreprise qui a des raisons de croire que s’est produit un incident de confidentialité impliquant un renseignement personnel qu’il détient doit notamment :
Cette évaluation doit se poursuivre tant que tous les éléments n’ont pas été identifiés.
2. Diminuer les risques. L’entreprise doit prendre rapidement les mesures raisonnables qui s’imposent afin de diminuer les risques qu’un préjudice, qu’il soit sérieux ou non, ne soit causé et pour éviter que de nouveaux incidents de même nature ne surviennent, par exemple :
3. Identifier la nature du préjudice. L’objectif consiste à déterminer s’il faut aviser la CAI 9Commission de l’accès à l’information) et les personnes concernées ainsi qu’établir les mesures à mettre en place pour diminuer les risques notamment :
Évaluation du préjudice
Lors d’un incident de confidentialité, STC Manufacturier doit évaluer s’il en découle un risque qu’un préjudice soit causé à une personne dont un renseignement personnel est concerné. Il doit alors considérer plusieurs facteurs, dont :
· Un vol d’identité;
· Une fraude financière;
· Une atteinte importante à la vie privée.
Un préjudice sérieux correspond à un acte ou à un événement susceptible de porter atteinte à la personne concernée ou à ses biens et de nuire à ses intérêts de manière non négligeable. Il peut conduire, par exemple :
4. Inscrire l’incident au registre, que le risque de préjudice soit qualifié ou non de sérieux.
5. S’il y a un risque de préjudice sérieux. L’organisme public doit :
Ce délai peut être nécessaire afin, par exemple, d’identifier les renseignements personnels impliqués, les personnes concernées, la faille de sécurité et pour colmater celle-ci ou pour éviter d’entraver une enquête en cours.
Ces avis sont obligatoires.
6. S’il y a un risque de préjudice sérieux : STC Manufacturier peut aussi aviser toute personne ou tout organisme susceptible de diminuer ce risque. À cette fin, il ne peut lui communiquer que les renseignements personnels qui sont nécessaires à la poursuite de cet objectif.
L’obtention du consentement de la personne concernée par les renseignements transmis n’est pas requise.
Toutefois, la personne responsable de la protection des renseignements personnels doit enregistrer la communication pour garder des traces documentaires de celle-ci comme :
2542, rue Dubose, Jonquière (Québec) G7S 1B4
Tél. : 418 699-0073
Télec. : 418 699-1118