Comment rédiger un avis d'incident de confidentialité conforme à la LPRPDE

Un fournisseur de services de paie de Mississauga a découvert une base de données exposée un vendredi après-midi. Des noms, des numéros d'assurance sociale et des renseignements de dépôt direct pour environ 4 000 employés répartis dans une douzaine d'entreprises clientes. Le lundi suivant, ils avaient rédigé une lettre. Elle faisait deux paragraphes, s'excusait longuement et ne disait à personne ce qui s'était réellement passé ni quoi faire à ce sujet. Lorsque le Commissariat à la protection de la vie privée a demandé cette lettre durant son enquête, elle est devenue la preuve la plus claire que l'entreprise n'avait pas pris l'atteinte au sérieux.

C'est la partie de la réponse à une atteinte que presque tout le monde sous-estime. La criminalistique attire la panique et le budget. La lettre destinée aux personnes dont les données ont fuité est rédigée en vingt minutes par celui qui est le moins occupé. Cet ordre est inversé. L'avis est la seule partie de votre réponse que les personnes touchées verront jamais, et c'est la partie qu'un organisme de réglementation lit le plus attentivement au moment de décider si vous avez géré l'incident comme une organisation qui s'en soucie.

Ce que la loi vous oblige réellement à inclure

Depuis le 1er novembre 2018, la section 1.1 de la LPRPDE et le *Règlement sur les atteintes aux mesures de sécurité* ont rendu l'avis obligatoire dès qu'une atteinte crée un risque réel de préjudice grave (souvent abrégé RRPG). Cette expression a du poids. Le préjudice comprend les lésions corporelles, l'humiliation, le tort à la réputation ou aux relations, la perte d'emploi ou de possibilités d'affaires, la perte financière, le vol d'identité et les effets négatifs sur le dossier de crédit. Franchissez ce seuil et vous devez aviser les personnes touchées dès que possible. La LPRPDE ne fixe aucun nombre d'heures précis au fédéral; la norme est la promptitude, et tout délai est une chose sur laquelle le CPVP vous interrogera.

Le contenu requis se trouve à l'article 2 du Règlement, et non à l'article 6 (l'article 6 est la règle de tenue de registres, sur laquelle je reviendrai). Ces éléments sont obligatoires, pas des suggestions. Un avis d'atteinte conforme à la LPRPDE doit contenir :

• Une description des circonstances de l'atteinte et de sa cause si elle est connue
• Le jour ou la période durant laquelle l'atteinte s'est produite
• Une description des renseignements personnels en cause
• Les mesures que votre organisation a prises pour réduire ou atténuer le risque de préjudice
• Les mesures que la personne peut prendre pour réduire ou atténuer son propre risque de préjudice
• Les coordonnées que la personne peut utiliser pour obtenir de plus amples renseignements
• L'information sur votre processus de plainte interne et sur le droit de la personne de déposer une plainte auprès du commissaire en vertu de la Loi

Ce dernier élément est celui dont les gens oublient l'existence. La plupart des lettres déficientes que je revois omettent deux ou trois éléments, habituellement la cause, les mesures de protection concrètes et la mention du droit de porter plainte. Une lettre qui dit « nous avons subi un incident de sécurité touchant certains de vos renseignements » et qui s'arrête là échoue d'emblée. Elle ne décrit pas les renseignements, ne dit pas ce que vous avez fait et ne donne au lecteur rien sur quoi agir.

Remarquez ce qui n'est *pas* requis : une clause de déni de responsabilité, trois paragraphes sur l'importance que vous accordez à la vie privée, une signature marketing. Ces éléments diluent le message ou agacent le destinataire. Coupez-les.

Soyez précis sur ce qui a fuité

L'instinct le plus difficile à combattre est l'envie d'atténuer. « Certains renseignements personnels pourraient avoir été consultés » est le genre de phrase que les avocats adorent et dont les organismes de réglementation se méfient. Si vous savez que des NAS se trouvaient dans le fichier, écrivez NAS. Si c'étaient des noms, des adresses courriel et des mots de passe hachés, énumérez exactement ces trois éléments et précisez que les mots de passe étaient hachés. La précision est ce qui permet à une personne d'évaluer son propre risque, ce qui est toute la raison pour laquelle vous l'informez.

Il y a aussi un avantage pratique. Une exposition de NAS et une exposition de liste de diffusion appellent des réactions complètement différentes. Enterrez les deux sous « renseignements personnels » et vous forcez chaque destinataire à supposer le pire, ce qui inonde une ligne de soutien que vous n'avez probablement pas dotée en personnel et brûle la bonne volonté que vous essayez de conserver. Dites aux gens ce que vous savez. Si l'enquête est en cours et que la portée pourrait s'élargir, dites-le clairement et engagez-vous à un suivi.

Les mesures de protection, c'est là que vous gagnez la confiance

Les deux éléments relatifs aux mesures sont le cœur de la lettre, et la partie que les entreprises sautent le plus. Il y a une séparation nette. D'abord, ce que *vous* avez fait : contenu le serveur, réinitialisé les identifiants, engagé une firme de criminalistique, signalé au CPVP. Ensuite, ce qu'*elles* devraient faire : changer un mot de passe, surveiller leurs relevés, placer une alerte à la fraude auprès d'Equifax et de TransUnion, ou, pour une exposition de NAS, communiquer avec Service Canada au sujet de la protection de leur numéro.

Vous offrez une surveillance du crédit? Nommez le fournisseur, indiquez la durée et expliquez l'inscription en une ligne. Ne forcez pas les gens à chercher. Une atteinte impliquant un NAS sans offre d'au moins un an ou deux de surveillance tend à attirer un suivi pointu du CPVP sur l'adéquation de votre atténuation.

Écrivez comme une personne désolée, pas comme un service de presse

L'organisme de réglementation veut la conformité. Le destinataire veut se sentir comme un être humain à qui on a dit la vérité. Vous pouvez satisfaire les deux, et le ton, c'est la clé.

Utilisez un langage simple. Des phrases courtes. Adressez-vous au lecteur en disant « vous ». Une vraie excuse en haut, avant de leur demander quoi que ce soit, atterrit bien mieux qu'une excuse défensive enfouie au bas. Comparez ceci :

« Nous regrettons tout inconvénient que cet incident a pu causer et demeurons engagés envers la protection de vos renseignements personnels. »

« Nous sommes désolés. Vos renseignements se trouvaient dans un fichier qui aurait dû être sécurisé et qui ne l'était pas. Voici exactement ce qui s'est passé et ce que nous faisons à ce sujet. »

La première est du raclement de gorge corporatif. La seconde dit la vérité et respecte l'intelligence du lecteur. Les organismes de réglementation lisent le ton comme un indicateur de l'attitude organisationnelle. Une lettre froide et juridique signale une entreprise qui gère les apparences. Une lettre directe signale une entreprise qui gère le vrai problème.

Quelques règles de ton que je remets à chaque client. N'enterrez pas l'essentiel; le destinataire devrait savoir dans les deux premières phrases que ses données ont été touchées. Ne blâmez pas un tiers même lorsqu'un fournisseur en est la cause, parce que pour la personne, *vous* êtes l'organisation qui a recueilli ses données. Et ne promettez pas que « cela ne se reproduira plus jamais ». Personne ne le croit, et cela peut être utilisé contre vous plus tard.

Le Québec, les données de santé et les régimes qui changent les règles

La LPRPDE est le plancher, pas le plafond. Si vous avez des clients ou des employés au Québec, la Loi 25 impose son propre devoir d'aviser les personnes touchées et la Commission d'accès à l'information lorsqu'un incident de confidentialité présente un risque de préjudice sérieux. La CAI s'attend à un avis prompt. Les lettres québécoises doivent être disponibles en français, et pas un français traduit à la machine qui se lit comme un menu de réglages de téléphone. Pour les Québécois, la version française est celle que la plupart liront réellement. Les sanctions rendent l'enjeu concret : la Loi 25 permet des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, et des amendes pénales qui peuvent être plus élevées.

Les renseignements de santé ajoutent une couche. En vertu de la LPRPS de l'Ontario, un dépositaire doit aviser la personne touchée à la première occasion raisonnable lorsque ses renseignements personnels sur la santé sont volés, perdus, utilisés ou divulgués sans autorisation, et doit aviser le commissaire à l'information et à la protection de la vie privée de l'Ontario dans les circonstances que la loi et le règlement prescrivent, comme un vol ou une utilisation non autorisée par une personne qui aurait dû savoir. Le CIPVP publie des statistiques sur les atteintes et n'a pas plus de patience pour les avis vagues que le CPVP. Si votre atteinte touche des données financières réglementées, des obligations envers CANAFE peuvent s'appliquer en parallèle, bien qu'il s'agisse de rapports à l'organisme de réglementation, et non de lettres aux personnes.

Le modèle dans tous les cas tient : des faits précis, un ton honnête, des prochaines étapes concrètes, une vraie personne-ressource. Réussissez bien la lettre fédérale et les autres deviennent des variations sur un modèle plutôt que des inventions distinctes.

Conservez le registre, parce que la lettre est une preuve

L'article 6 du Règlement vous oblige à conserver un registre de chaque atteinte pendant 24 mois, pas seulement de celles que vous avez signalées, et à remettre ces registres au commissaire sur demande. L'avis d'atteinte est la pièce maîtresse de ce dossier. Conservez la version que vous avez envoyée, la date, la liste des destinataires et votre analyse du RRPG démontrant pourquoi vous avez conclu que l'avis était requis ou non. Lorsque le CPVP ouvre une enquête, l'organisation qui peut produire un dossier propre, daté et raisonné se trouve dans une position très différente de celle qui reconstitue les événements de mémoire.

Rédiger un solide avis d'atteinte conforme à la LPRPDE sous échéance, en deux langues, pendant que la criminalistique est encore en cours, est véritablement difficile. C'est le moment où la plupart des équipes produisent leur pire travail, et le moment qui fait l'objet d'un examen minutieux. Si vous préférez disposer d'un projet conforme, en langage simple et bilingue, construit à partir des détails de votre atteinte en quelques minutes plutôt que d'agoniser sur la formulation à 23 h, Valdra génère vos avis d'atteinte pour vous.