Procédure à suivre pour respecter les exigences légales prévues

Procédure à suivre pour respecter les exigences légales prévues aux articles 63.8 à 63.11 de la Loi sur l’accès3

Les étapes qui suivent peuvent être réalisées simultanément.

1. Évaluer la situation. L’entreprise qui a des raisons de croire que s’est produit un incident de confidentialité impliquant un renseignement personnel qu’il détient doit notamment :

• Établir les circonstances de l’incident;
• Identifier les renseignements personnels impliqués;
• Identifier les personnes concernées;
• Trouver le problème, que ce soit une erreur, une vulnérabilité, etc.

Cette évaluation doit se poursuivre tant que tous les éléments n’ont pas été identifiés.

2. Diminuer les risques. L’entreprise doit prendre rapidement les mesures raisonnables qui s’imposent afin de diminuer les risques qu’un préjudice, qu’il soit sérieux ou non, ne soit causé et pour éviter que de nouveaux incidents de même nature ne surviennent, par exemple :

• Cesser la pratique non autorisée;
• Récupérer ou exiger la destruction des renseignements personnels impliqués;
• Corriger les lacunes informatiques.

3. Identifier la nature du préjudice. L’objectif consiste à déterminer s’il faut aviser la CAI 9Commission de l’accès à l’information) et les personnes concernées ainsi qu’établir les mesures à mettre en place pour diminuer les risques notamment :

• Inscrire une note dans les dossiers visés par un risque de vol d’identité;
• Exiger des vérifications supplémentaires.

 

Évaluation du préjudice

Lors d’un incident de confidentialité, STC Manufacturier doit évaluer s’il en découle un risque qu’un préjudice soit causé à une personne dont un renseignement personnel est concerné. Il doit alors considérer plusieurs facteurs, dont :

• La sensibilité des renseignements personnels tels un renseignement financier ou un renseignement d’identité;
• Les conséquences appréhendées de l’utilisation de ces renseignements comme :

· Un vol d’identité;

· Une fraude financière;

· Une atteinte importante à la vie privée.

• La probabilité que ces renseignements puissent être utilisés à des fins préjudiciables.

Un préjudice sérieux correspond à un acte ou à un événement susceptible de porter atteinte à la personne concernée ou à ses biens et de nuire à ses intérêts de manière non négligeable. Il peut conduire, par exemple :

• À l’humiliation;
• À une atteinte à la réputation;
• À une perte financière;
• À un vol d’identité;
• À des conséquences négatives sur un dossier de crédit;
• À une perte d’emploi.

4. Inscrire l’incident au registre, que le risque de préjudice soit qualifié ou non de sérieux.

5. S’il y a un risque de préjudice sérieux. L’organisme public doit :

• Aviser la CAI dès que possible, même s’il n’a pas colligé l’ensemble des informations relatives à l’incident, et remplir la déclaration par la suite. Il peut ainsi aviser la CAI de l’incident et, plus tard, confirmer le nombre de personnes concernées.
• Aviser toute personne dont un renseignement personnel est concerné par l’incident, à moins que cet avis ne soit susceptible d’entraver une enquête. Un délai peut s’appliquer entre le moment où l’entreprise prend connaissance de l’incident et celui où il en avise les personnes concernées.

Ce délai peut être nécessaire afin, par exemple, d’identifier les renseignements personnels impliqués, les personnes concernées, la faille de sécurité et pour colmater celle-ci ou pour éviter d’entraver une enquête en cours.

Ces avis sont obligatoires.

 

6. S’il y a un risque de préjudice sérieux : STC Manufacturier peut aussi aviser toute personne ou tout organisme susceptible de diminuer ce risque. À cette fin, il ne peut lui communiquer que les renseignements personnels qui sont nécessaires à la poursuite de cet objectif.

L’obtention du consentement de la personne concernée par les renseignements transmis n’est pas requise.

Toutefois, la personne responsable de la protection des renseignements personnels doit enregistrer la communication pour garder des traces documentaires de celle-ci comme :

• À qui ces renseignements sont communiqués;
• Dans quelles circonstances;
• Quels renseignements ont été transmis;
• Quels sont les objectifs de cette démarche.