Incident, atteinte, ou ni l'un ni l'autre ? Le tri qui détermine votre obligation de déclaration

Trois questions, dans un ordre strict, déterminent vos obligations : y a-t-il eu accès non autorisé à des renseignements personnels ou perte de ceux-ci, cela crée-t-il un risque réel de préjudice grave, et un contrat ou un autre régime impose-t-il une obligation de toute façon. La plupart des organisations fondent ces questions en une seule conversation anxieuse et se trompent dans les deux sens : elles déclarent des broutilles et taisent ce qui comptait.

Menez-les dans l'ordre et la décision devient défendable même lorsqu'elle se révèle erronée.

Question un : s'agit-il d'une atteinte aux mesures de sécurité ?

Un incident, c'est tout ce qui est inattendu. Une atteinte, au sens de la LPRPDE, suppose un accès non autorisé à des renseignements personnels, leur communication non autorisée ou leur perte, résultant d'une défaillance de vos mesures de sécurité.

Des incidents qui ne sont généralement pas des atteintes : un courriel d'hameçonnage sur lequel personne n'a cliqué, un portable égaré puis retrouvé dans le même immeuble, une panne sans exposition de données, un employé consultant un dossier auquel il avait droit pour une raison qui vous déplaît. Ce dernier cas relève de la conduite et peut-être de la limitation de l'utilisation, mais ce n'est pas automatiquement une atteinte aux mesures de sécurité.

Ce que l'on écarte à tort : un courriel au mauvais destinataire, un lien de partage mal configuré, le compte encore actif d'un employé parti, une sauvegarde exposée sur un poste non sécurisé. Tous constituent un accès ou une communication non autorisés, et tous sont régulièrement écartés de la catégorie des atteintes.

Question deux : y a-t-il un risque réel de préjudice grave ?

C'est le critère de déclaration sous la LPRPDE, et il s'apprécie sur deux axes conjoints : la sensibilité des renseignements et la probabilité de leur utilisation abusive.

La sensibilité ne tient pas qu'aux noms de champs. Une liste d'adresses courriel est peu sensible isolément et très sensible s'il s'agit de la clientèle d'une clinique de traitement des dépendances. Le contexte fait l'essentiel du travail, d'où l'échec des grilles de notation et le succès d'une courte analyse écrite.

La probabilité d'utilisation abusive dépend de faits souvent établissables rapidement : l'exposition était-elle ciblée ou accidentelle, les données ont-elles été récupérées et par qui, combien de temps l'exposition a-t-elle duré, y avait-il chiffrement, existe-t-il une preuve d'accès ? Un courriel mal adressé à un destinataire connu qui confirme la suppression n'a pas la même probabilité qu'un lien public indexé par un moteur de recherche.

Notez la dernière ligne. L'absence de journaux n'est pas une preuve d'absence d'accès, et la traiter ainsi est la façon la plus courante de rater une évaluation.

Question trois : autre chose impose-t-il une déclaration ?

Même si le critère du préjudice n'est pas atteint, d'autres obligations peuvent s'appliquer. La Loi 25 du Québec comporte son propre régime d'incidents de confidentialité avec son propre registre. Les renseignements de santé relèvent du provincial, la PHIPA ontarienne imposant d'autres attentes aux dépositaires. Les contrats vous engagent fréquemment à aviser un client de tout incident de sécurité touchant ses données, sans seuil de préjudice et avec un délai compté en heures.

C'est ce délai contractuel qui piège les entreprises. Votre entente peut exiger un avis dans les vingt-quatre ou quarante-huit heures suivant la prise de connaissance, souvent plus vite que la conclusion de votre enquête interne. Lisez cette clause avant l'incident, pas pendant.

Qui prend la décision ?

Une personne nommée ayant le pouvoir de trancher, appuyée par deux autres, et jamais la personne à l'origine de l'incident.

Dans une petite entreprise, il s'agit habituellement du responsable de la vie privée, d'une personne technique capable d'établir les faits et d'une personne du métier qui comprend la relation touchée. L'essentiel est que la décision ne résulte pas d'un glissement consensuel un vendredi à seize heures. Nommez le décideur à l'avance et consignez la décision au moment où elle est prise.

Pourquoi consigner les incidents sans gravité ?

Parce que votre jugement n'est crédible que s'il s'exerce de façon constante, et parce que la LPRPDE exige la tenue d'un registre de toutes les atteintes aux mesures de sécurité, déclarables ou non.

Un registre des incidents contenant deux entrées, toutes deux déclarées, appelle une question évidente : est-ce vraiment tout ce qui s'est produit en trois ans ? Un registre de quarante incidents triés, dont trente-sept évalués comme ne créant pas de risque réel de préjudice grave avec un motif écrit et trois déclarés, démontre un processus qui fonctionne. La seconde organisation est bien mieux placée, et la différence tient uniquement à la tenue de dossiers.

Consignez aussi les quasi-incidents. C'est la source d'amélioration des contrôles la moins coûteuse qui existe, et il ne coûte rien de les inscrire dans un journal des incidents au moment où ils surviennent.

Pour la mécanique de déclaration une fois la décision prise, la déclaration des atteintes sous la LPRPDE traite de l'obligation, et comment rédiger un avis d'atteinte traite de l'avis.

Ceci est de l'information générale et non un avis juridique.

Valdra réunit les questions de tri, la justification écrite, le registre et le processus de notification, pour que la décision et sa preuve soient consignées au moment où elle est prise.