Déclaration des atteintes sous la LPRPDE : le mythe des 72 heures et ce qui déclenche réellement une déclaration

Il existe un mythe persistant dans les milieux de la protection de la vie privée au Canada selon lequel la LPRPDE vous donne 72 heures pour déclarer une atteinte. C'est faux. C'est le RGPD. Confondre les deux amène les entreprises soit à paniquer selon le mauvais échéancier, soit, pire, à se détendre selon le mauvais.

La norme réelle de la LPRPDE est à la fois plus indulgente et plus exigeante. Tâchons de bien la comprendre, car le moment qui suit la découverte d'une atteinte est le pire moment pour lire la loi pour la première fois.

Le déclencheur n'est pas une horloge — c'est un critère

En vertu de la LPRPDE, vous devez déclarer une atteinte aux mesures de sécurité au Commissariat à la protection de la vie privée du Canada (CPVP) et aviser les personnes concernées lorsque l'atteinte crée un « risque réel de préjudice grave » — connu dans le métier sous le sigle RRPG.

C'est tout le pivot. Pas de risque réel de préjudice grave, pas de déclaration obligatoire. Un risque réel de préjudice grave, et vous devez aviser « dès que possible ». Pas dans les 72 heures. Dès que possible — ce qui, pour une atteinte grave, peut signifier plus rapidement que 72 heures.

Ce qui constitue un « préjudice grave »

La LPRPDE est précise ici, et c'est plus large qu'on ne le pense. Le préjudice grave comprend :

• Les lésions corporelles
• L'humiliation
• L'atteinte à la réputation ou aux relations
• La perte d'un emploi, de possibilités d'affaires ou professionnelles
• La perte financière
• Le vol d'identité
• Des effets négatifs sur le dossier de crédit
• Le dommage aux biens ou leur perte

Si une atteinte pourrait plausiblement mener à l'une de ces conséquences, vous êtes en territoire de préjudice grave.

Ce qui rend le risque « réel »

Que le préjudice grave soit *possible* ne suffit pas — le risque doit être *réel*. La LPRPDE vous demande de soupeser deux facteurs :

La sensibilité des renseignements. Un numéro d'assurance sociale, des coordonnées bancaires ou un dossier médical divulgués sont intrinsèquement sensibles. Un simple prénom divulgué seul ne l'est généralement pas. Mais la sensibilité est contextuelle — une liste de noms à elle seule est anodine; les mêmes noms sur une liste de clients d'une clinique de désintoxication sont extrêmement sensibles.

La probabilité que les renseignements soient utilisés à mauvais escient. Les données étaient-elles chiffrées ? Ont-elles été récupérées ? Qui y a eu accès — un acteur malveillant, ou un employé qui a cliqué sur le mauvais bouton et l'a signalé immédiatement ? S'agissait-il d'une attaque ciblée ou d'une exposition aléatoire ? La probabilité d'une utilisation abusive réelle fait pencher la balance autant que les données elles-mêmes.

Vous évaluez les deux ensemble. Des données très sensibles avec une forte probabilité d'utilisation abusive sont un cas facile à trancher. Les cas difficiles se situent au milieu, et c'est précisément là qu'une évaluation documentée et reproductible compte.

Le registre que tout le monde oublie

Voici l'exigence qui piège même les entreprises prudentes : la LPRPDE vous oblige à tenir un registre de toutes les atteintes aux mesures de sécurité — pas seulement celles que vous déclarez. Celles qui sont déclarables et celles qui n'atteignaient pas le seuil du RRPG, tout y figure.

Le CPVP peut demander à consulter ce registre. Une organisation qui affirme « nous n'avons jamais eu d'atteinte digne d'être consignée » est, aux yeux d'un organisme de réglementation, une organisation qui ne regarde pas. Tenir le registre est aussi la façon de repérer des tendances — trois incidents « mineurs » dans le même système est un signal, pas une coïncidence.

À quoi ressemble réellement une bonne réponse aux atteintes

Lorsqu'une atteinte survient, la séquence est à peu près la suivante : la contenir, évaluer le RRPG et — si elle franchit le seuil — aviser le CPVP et les personnes concernées dès que possible, tout documenter et la consigner au registre dans tous les cas.

Les organisations qui gèrent bien cela ne sont pas celles qui ont le plus d'avocats. Ce sont celles qui ont décidé, lors d'un mardi tranquille, exactement comment elles dérouleraient cette séquence — qui évalue le risque, qui rédige l'avis, qui approuve — de sorte que le jour fatidique, elles exécutent un plan plutôt que d'en inventer un.

Où Valdra s'inscrit

C'est précisément ce flux de travail que Valdra automatise. Vous ouvrez un incident, la plateforme vous guide à travers une évaluation structurée du RRPG (sensibilité × probabilité) et, s'il franchit le seuil, elle génère le rapport au CPVP et les lettres d'avis aux personnes concernées — et consigne tout dans votre registre des atteintes automatiquement, y compris les incidents qui n'avaient pas à être déclarés.

Le délai entre la découverte et la soumission au CPVP, qui prend de une à deux semaines à la plupart des entreprises, peut se réduire à quelques heures, avec la piste documentaire qu'un organisme de réglementation attend déjà constituée.

Si votre plan d'intervention actuel se résume à « on se débrouillerait », voyez à quoi ressemble un vrai plan. Commencez par l'évaluation gratuite et bâtissez la réponse avant d'en avoir besoin. Le pire moment pour concevoir votre processus d'intervention, c'est au beau milieu d'une atteinte.