Le registre des incidents qu'exige la LPRPDE : chaque incident que vous devez consigner

Un ordinateur portable disparaît de la voiture d'un représentant commercial dans un stationnement de Mississauga. Il était chiffré, protégé par mot de passe, éteint. L'entreprise décide, raisonnablement, que personne ne court un risque réel de préjudice grave. Aucun signalement au Commissariat à la protection de la vie privée. Aucun avis aux personnes dont les données se trouvaient sur ce disque. Une décision défendable.

Voici ce que la plupart des propriétaires se trompent. Cette décision ne ferme pas le dossier. Vous devez tout de même consigner l'incident, conserver le registre pendant au moins deux ans et le remettre si le CPVP le demande un jour.

C'est la moitié discrète du régime des incidents de la LPRPDE, et elle prend bien plus d'entreprises au piège que ne le font les règles de signalement. Tout le monde a entendu dire que les incidents graves doivent être signalés. Presque personne n'a assimilé la deuxième phrase : vous consignez chaque incident, point final.

Ce que dit réellement la loi

L'obligation se trouve à l'article 10.3 de la LPRPDE et dans le Règlement sur les atteintes aux mesures de sécurité (DORS/2018-64), en vigueur depuis le 1er novembre 2018. Le libellé est court et sans pitié :

« L'organisation tient et conserve un registre de toute atteinte aux mesures de sécurité touchant des renseignements personnels dont elle a la gestion. »

Toute atteinte. Pas toute atteinte *à signaler*. Pas toute atteinte qui franchit un seuil de préjudice. Toutes.

La distinction compte parce que la LPRPDE applique deux tests distincts. Le premier est le test du risque réel de préjudice grave (RRPG) à l'article 10.1, qui détermine si vous signalez au CPVP et avisez les personnes. Préjudice corporel, humiliation, atteinte à la réputation, perte financière, vol d'identité, perte d'emploi ou d'occasion d'affaires : le régulateur soupèse chacun en fonction de la sensibilité des données et de la probabilité d'usage abusif. Franchissez le seuil et vous signalez « dès que possible ».

L'obligation de tenue de registre à l'article 10.3 est indépendante de ce test. Une atteinte qui échoue au test RRPG, que vous ne signalez correctement jamais, va tout de même au registre. L'ordinateur portable chiffré va au registre. Le courriel envoyé au mauvais client va au registre. Le dossier mal configuré qui a exposé trois enregistrements pendant une heure avant qu'on ne le remarque va au registre.

Pourquoi le registre des incidents qu'exige la LPRPDE existe

Si une atteinte est assez inoffensive pour que vous n'en avisiez personne, pourquoi Ottawa tient-il à ce que vous la consigniez?

Deux raisons, toutes deux liées à la capacité du CPVP de vérifier votre travail. Le registre des incidents qu'exige la LPRPDE donne au Commissaire un moyen de vérifier votre *jugement*, et pas seulement vos pires incidents. Le paragraphe 10.3(2) est sans détour : sur demande, vous devez donner au Commissaire accès au registre ou une copie de celui-ci. Aucun seuil, aucun mandat, aucune enquête préalable. Et le CPVP ne s'intéresse pas qu'aux atteintes que vous avez signalées. Il veut celles que vous avez décidé de *ne pas* signaler, afin de vérifier si vos évaluations RRPG tiennent la route.

Voilà le piège. Une entreprise qui ne signale rien peut être véritablement irréprochable, ou elle peut minimiser discrètement chaque évaluation de préjudice pour éviter la paperasse et le coup à sa réputation. Le registre est la façon dont le régulateur distingue les deux. Un registre vide chez une firme de 200 personnes manipulant des données de santé ou financières ne se lit pas comme de la prudence. Il se lit comme de l'inattention.

La seconde raison est la détection de tendances. Douze courriels « mineurs » mal acheminés en un trimestre ne sont pas douze événements anodins. Ce sont un seul processus défaillant, et un registre tenu fait ressortir cela bien avant que ça ne devienne une catastrophe à signaler.

Ce que chaque entrée doit contenir

Le règlement établit le plancher. Chaque enregistrement doit permettre au CPVP de vérifier que vous avez bien appliqué le test RRPG, ce qui en pratique signifie que chaque entrée doit comporter :

• La date ou la date estimée de l'atteinte, plus le moment où vous en avez pris connaissance (souvent une date différente)
• Une description des circonstances, ce qui s'est passé et comment
• La nature des renseignements en cause, les éléments de données réellement exposés
• Si l'atteinte a été signalée au Commissaire et si les personnes ont été avisées
• Votre évaluation du risque de préjudice, le raisonnement derrière la décision de signaler ou non

Ce dernier élément est celui qu'on néglige et celui auquel le CPVP tient le plus. « Décidé de ne pas signaler » n'est pas un enregistrement. « Portable chiffré AES-256 sur disque complet, éteint au moment de la perte, aucune preuve de compromission, contenu limité à des coordonnées publiques, RRPG non atteint » est un enregistrement. Le raisonnement est tout l'enjeu.

Vous conservez chaque enregistrement pendant au moins 24 mois après le jour où vous déterminez que l'atteinte s'est produite. Vingt-quatre mois est le plancher, pas le plafond. Les plaintes en vertu de la LPRPDE et les recours collectifs peuvent refaire surface longtemps après les faits, alors conserver les registres bien au-delà du minimum est le réflexe le plus sûr.

La sanction que la plupart des gens ignorent

Omettre de signaler une atteinte qui doit l'être fait les manchettes. Mais omettre sciemment de tenir le registre en vertu du paragraphe 10.3(1) est en soi une infraction à l'article 28, une infraction punissable par mise en accusation passible d'une amende pouvant atteindre 100 000 $. Vous pouvez être irréprochable en matière de signalement, ne jamais subir un seul incident à signaler, et tout de même vous exposer à une sanction à six chiffres uniquement pour ne pas avoir tenu le registre.

Un détail à garder en tête : le CPVP n'impose pas cette amende lui-même. Il renvoie l'affaire au procureur général, et le directeur des poursuites pénales décide s'il y a lieu de poursuivre. Le mot *sciemment* établit une véritable barre, l'intention plutôt qu'un simple oubli honnête. Mais « nous n'avons jamais pris la peine de mettre en place un registre » commence à ressembler beaucoup à sciemment une fois que vous avez ignoré l'obligation pendant des années.

J'ai vu de petites entreprises traiter cela comme théorique. Ce ne l'est pas. Le CPVP a mené des inspections de registres d'incidents précisément pour vérifier si les organisations tiennent les registres tout court. Et la Loi sur la protection de la vie privée des consommateurs proposée dans le projet de loi C-27, si elle franchit un jour le Parlement, relève les plafonds dans les dizaines de millions ou un pourcentage du chiffre d'affaires mondial. Parier que le régime d'aujourd'hui est le plus strict qu'il sera jamais n'est pas un plan.

Le Québec applique une voie parallèle plus stricte

Un seul employé ou client au Québec et la LPRPDE n'est plus toute l'histoire. La Loi 25 comporte sa propre exigence de registre, appliquée par la Commission d'accès à l'information (CAI), et elle mord plus fort à deux endroits. Le registre des « incidents de confidentialité » doit être tenu et produit à la CAI sur demande. Le déclencheur de l'avis est un « risque de préjudice sérieux », soupesé en fonction de la sensibilité des données, des conséquences de leur usage et de la probabilité qu'elles servent à causer un préjudice.

La différence la plus marquée est la conservation. Le Québec exige que le registre des incidents soit conservé pendant cinq ans après que l'organisation prend connaissance de l'incident, soit plus du double des 24 mois fédéraux. Une entreprise exerçant dans les deux territoires ne peut pas tenir un seul registre et s'estimer quitte. Les champs se recoupent largement mais pas parfaitement, et un vérificateur québécois et un vérificateur fédéral poseront des questions différentes sur le même incident. Les organisations du secteur de la santé en Ontario superposent un troisième régime sous la LPRPS, le CIPVP s'attendant à sa propre documentation des atteintes touchant des renseignements personnels sur la santé.

Comment faire cela sans perdre la tête

Le mode d'échec que je vois constamment est un registre qui vit dans la tête d'une seule personne, ou dans une feuille de calcul égarée qu'elle met à jour quand elle y pense. Cela tient jusqu'à ce qu'elle parte, ou jusqu'à ce que le CPVP vous donne 30 jours pour produire deux ans de registres que vous n'avez jamais réellement consignés.

Un registre fonctionnel a besoin de trois choses. Un gabarit fixe, pour que chaque entrée saisisse les champs réglementaires. Un point d'entrée défini, pour que les incidents parviennent fiablement au registre au lieu d'être réglés par une conversation de corridor puis oubliés. Et une conservation automatique, pour que le compte à rebours de 24 mois (ou les cinq ans du Québec) ne dépende pas de la mémoire de quiconque. Le raisonnement derrière chaque décision de signaler ou non doit être écrit *au moment même*, et non reconstruit sous la pression d'une vérification une fois les souvenirs estompés.

Pour la plupart des entreprises canadiennes, celles sans consultant à 500 000 $ sous contrat, c'est l'obligation facile à reporter et coûteuse à ignorer. L'atteinte inoffensive que vous avez omis de consigner est celle au sujet de laquelle le CPVP s'enquiert. Si vous préférez que le registre se tienne tout seul, saisisse chaque incident avec les bons champs, exécute les évaluations RRPG et de la Loi 25 et conserve le tout pendant toute la période de conservation, laissez Valdra tenir votre registre des incidents pour vous.