Réponse à un incident sous la LPRPDE : vos 72 premières heures

En vertu de la LPRPDE, vous devez déclarer un incident au Commissariat à la protection de la vie privée et aviser les personnes concernées « dès que possible » lorsqu'il crée un « risque réel de préjudice grave » — mesuré selon la sensibilité des renseignements et la probabilité qu'ils soient utilisés à mauvais escient. Il n'y a pas de compte à rebours fixe de 72 heures (ça, c'est le RGPD de l'Union européenne), mais les 72 premières heures décident si vous prenez de l'avance sur l'incident ou si vous passez des semaines à lui courir après.

Le jour où vous découvrez un incident de confidentialité est un bien mauvais jour pour commencer à apprendre ce que la LPRPDE attend de vous. Les obligations tombent immédiatement, les décisions arrivent vite, et les deux réflexes naturels — paniquer, ou minimiser en douce — mènent tous deux au mauvais endroit. Voici le plan qu'il vaut la peine d'avoir prêt avant même d'en avoir besoin.

D'abord, un mythe à déposer : la LPRPDE ne vous accorde pas 72 heures. Ça, c'est le RGPD de l'Union européenne. La règle de la LPRPDE, c'est que vous déclarez au Commissariat à la protection de la vie privée (CPVP) et avisez les personnes concernées « dès que possible » après avoir déterminé qu'un incident crée un risque réel de préjudice grave. Pas d'horloge — mais « dès que possible » n'est pas un permis d'attendre, et ces trois premiers jours sont ceux où vous prenez de l'avance sur l'incident ou du retard.

Le critère qui décide de tout : le risque réel de préjudice grave

Tous les incidents ne sont pas déclarés. Le déclencheur sous la LPRPDE, c'est une atteinte aux mesures de sécurité qui crée un « risque réel de préjudice grave » pour une personne. Réussissez cette seule évaluation et le reste de vos décisions se met en place derrière elle.

Le « préjudice grave » est défini largement. Il touche les lésions corporelles, l'humiliation, l'atteinte à la réputation ou aux relations, la perte d'emploi, d'occasions d'affaires ou professionnelles, la perte financière, le vol d'identité, un coup au dossier de crédit, et le dommage ou la perte de biens. C'est un large filet — l'atteinte à la réputation et l'humiliation s'y trouvent, pas seulement l'argent perdu.

Pour décider si le risque est « réel », la LPRPDE met en avant deux facteurs plus que les autres : la sensibilité des renseignements personnels, et la probabilité qu'ils aient été, soient ou soient un jour utilisés à mauvais escient. Une feuille de calcul de noms et de points de fidélité est basse sur les deux axes; un dossier de renseignements médicaux ou d'identifiants bancaires est haut. Vous soupesez les deux ensemble — des données très sensibles avec une mince chance d'utilisation abusive peuvent tout de même franchir le seuil, tout comme des données moyennes manifestement entre de mauvaises mains.

Que devriez-vous faire dans les 72 premières heures ?

En un coup d'œil, les trois premiers jours se répartissent ainsi :

Heures 0 à 4 : contenez, n'effacez pas. Arrêtez l'hémorragie — révoquez les accès, coupez le compte compromis, isolez le système touché. Simplement, ne détruisez pas les preuves ce faisant. Préservez les journaux; vous en aurez besoin pour cerner l'ampleur et pour défendre votre évaluation plus tard. Réunissez une petite équipe de réponse et confiez à une seule personne une responsabilité claire.

Heures 4 à 24 : établissez les faits. Quels renseignements étaient en cause, en quelle quantité, ceux de qui, et comment ont-ils été exposés ? Étaient-ils chiffrés ? Y a-t-il un signe qu'ils ont réellement été consultés ou utilisés à mauvais escient, ou seulement qu'ils auraient pu l'être ? Notez ce que vous savez — et, tout aussi important, ce que vous ignorez encore. Commencez le registre d'incident maintenant, pendant que les souvenirs sont frais.

Heures 24 à 48 : réalisez l'évaluation du risque réel de préjudice grave. Les faits en main, passez en revue la sensibilité et la probabilité d'utilisation abusive. Documentez votre raisonnement, car le CPVP — et, en cas de litige, un tribunal — se souciera autant de la manière dont vous avez raisonné que de l'endroit où vous avez abouti. Si le risque franchit le seuil, vous déclarez. Si c'est vraiment limite, penchez vers la déclaration; la sous-déclaration est l'erreur la plus dangereuse.

Heures 48 à 72 : avisez. Si le seuil est atteint, déclarez au CPVP et avisez les personnes concernées dès que possible. Le CPVP vous fournit un formulaire de déclaration d'atteinte; votre déclaration devrait décrire les circonstances, les renseignements personnels en cause, le nombre de personnes touchées si vous le connaissez, ce que vous avez fait pour réduire le préjudice et comment vous avisez les gens. L'avis aux personnes devrait être direct lorsque c'est possible, et doit leur donner de quoi saisir le risque et agir — surveiller leurs comptes, changer leurs mots de passe, ce genre de chose.

N'oubliez pas les avis que vous pourriez devoir à d'autres

La LPRPDE attend aussi que vous avisiez d'autres organisations ou institutions gouvernementales lorsque cela pourrait réduire le risque de préjudice — pensez à un processeur de paiement capable de signaler des cartes compromises, ou à la police en cas de vol. Et si votre incident touche les renseignements personnels de résidents du Québec, la Loi 25 comporte ses propres obligations de notification d'incident de confidentialité envers la Commission d'accès à l'information et les personnes concernées, selon ses propres modalités. Un même incident peut enclencher des obligations sous plus d'une loi à la fois.

Le registre que vous devez tenir dans tous les cas

Voici l'exigence qui prend les gens de court : en vertu de la LPRPDE, vous devez tenir un registre de toute atteinte aux mesures de sécurité — pas seulement de celles que vous avez déclarées. Le CPVP peut demander à consulter ce registre des incidents, et vous devez le conserver pendant une période déterminée. Consigner même les petits incidents rapporte deux fois : ça satisfait l'obligation légale, et ça bâtit la reconnaissance de tendances qui vous aide à éviter le prochain.

Une fois le feu éteint

Une fois les avis transmis, menez une véritable analyse post-incident — pas un exercice de cases à cocher. Qu'est-ce qui a permis l'incident ? Qu'est-ce que la réponse a bien fait, et où a-t-elle achoppé ? Mettez à jour vos mesures de sécurité et votre plan pour qu'ils suivent. Un incident bien géré et dont on tire vraiment des leçons se surmonte; l'atteinte à la réputation vient presque toujours d'une réponse lente, défensive ou malhonnête, et non de l'incident lui-même.

Les entreprises qui sortent d'un incident la crédibilité intacte sont presque toujours celles qui avaient décidé, à l'avance et au calme, exactement ce qu'elles feraient dans les 72 premières heures.

*Le présent article constitue de l'information générale et non un avis juridique; consultez un professionnel qualifié au sujet de votre situation particulière.*

Chez Canuckt, nous concevons des outils axés sur la vie privée pour les entreprises canadiennes, et Valdra vous offre un flux de réponse aux incidents et un registre des incidents bâtis autour du critère du risque réel de préjudice grave — tandis qu'une évaluation de préparation à la LPRPDE vous aide à combler les lacunes de sécurité avant qu'elles ne deviennent l'incident que vous devez déclarer.