Notification d’incident de confidentialité
La notification d’incident de confidentialité est l’obligation légale de signaler à l’autorité et aux personnes touchées un incident de sécurité touchant des renseignements personnels lorsqu’il présente un risque sérieux de préjudice.
Sous la LPRPDE, une organisation victime d’une *atteinte aux mesures de sécurité* doit aviser le Commissariat à la protection de la vie privée du Canada et les personnes touchées *le plus tôt possible* dès que l’atteinte crée un risque réel de préjudice grave — vol d’identité, perte financière, humiliation ou atteinte à la réputation. Un registre de toutes les atteintes doit être tenu, même celles sous le seuil.
La Loi 25 du Québec encadre la même obligation autour de l’« incident de confidentialité » : s’il présente un risque de préjudice sérieux, vous devez aviser la Commission d’accès à l’information et les personnes concernées, et consigner l’incident dans un registre obligatoire.
Évaluez rapidement l’incident selon des facteurs comme la sensibilité des données et la probabilité d’utilisation malveillante. Les retards et l’absence de signalement peuvent entraîner des sanctions importantes sous les deux régimes.
