Que consigner dans votre registre des incidents de confidentialité en vertu de la Loi 25 (et pendant combien de temps le conserver)

La plupart des entreprises québécoises savent désormais qu’elles doivent signaler les incidents de confidentialité graves. Peu nombreuses sont celles qui réalisent que l’obligation la plus large est plus discrète : tout incident de confidentialité doit être consigné par écrit, qu’il soit signalé ou non. Ce document, c’est le registre des incidents, et c’est souvent le premier document que la Commission d’accès à l’information (CAI) demande à consulter.

Le fondement légal

L’article 3.8 de la loi québécoise sur la protection des renseignements personnels dans le secteur privé exige que toute personne exploitant une entreprise tienne un registre des incidents de confidentialité et en transmette une copie à la CAI sur demande (Loi sur la protection des renseignements personnels dans le secteur privé, art. 3.8). Les détails sont précisés dans le Règlement sur les incidents de confidentialité, qui s’applique tant aux organismes publics qu’aux entreprises privées et qui est en vigueur depuis décembre 2022.

Selon la loi, un incident de confidentialité couvre largement tout accès, toute utilisation ou toute communication de renseignements personnels non autorisés par la loi, la perte de renseignements personnels, ou toute autre atteinte à leur protection. Un courriel envoyé à la mauvaise personne, un ordinateur portable perdu, un employé consultant des dossiers clients par simple curiosité ou une attaque par rançongiciel peuvent tous être concernés.

Ce que le registre doit contenir

L’article 7 du règlement énumère huit éléments pour chaque incident :

1. Une description des renseignements personnels concernés ou, si celle-ci est inconnue, les raisons pour lesquelles elle ne peut être fournie.
2. Une brève description des circonstances de l’incident.
3. La date ou la période à laquelle l’incident est survenu, ou une estimation.
4. La date ou la période à laquelle l’organisation en a pris connaissance.
5. Le nombre de personnes concernées, ou une estimation.
6. L’évaluation du risque qu’un préjudice sérieux soit causé, incluant la sensibilité des renseignements, leur utilisation possible, les conséquences anticipées et la probabilité qu’un préjudice soit causé.
7. Si l’incident présente un risque de préjudice sérieux, les dates auxquelles les avis ont été transmis à la CAI et aux personnes concernées, et si des avis publics ont été utilisés.
8. Une brève description des mesures prises pour réduire le risque de préjudice.

Le point 6 mérite une attention particulière. La loi elle-même précise les éléments à évaluer : la sensibilité des renseignements, les conséquences anticipées de leur utilisation et la probabilité qu’ils soient utilisés à des fins préjudiciables, et elle exige la consultation de votre responsable de la protection des renseignements personnels (art. 3.7). Consigner ce raisonnement, même brièvement, est ce qui permet de justifier une décision de ne pas notifier.

Combien de temps le conserver

L’article 8 du règlement prévoit que les renseignements consignés dans le registre doivent être tenus à jour et conservés pendant au moins cinq ans après la date ou la période à laquelle l’organisation a pris connaissance de l’incident. Une inscription au registre n’est pas « close » une fois l’incident maîtrisé : si vous apprenez plus tard que d’autres personnes ont été touchées, mettez à jour l’inscription.

Les incidents à ne pas oublier de consigner

Puisque le registre couvre tous les incidents, et pas seulement ceux devant être signalés, les événements mineurs doivent eux aussi y figurer. Voici des exemples courants qui sont souvent omis :

• Les courriels ou documents envoyés au mauvais destinataire, même si celui-ci confirme leur suppression.
• Les accès internes non autorisés, comme un employé consultant un dossier sans motif professionnel.
• Les incidents survenus chez un fournisseur de services détenant les renseignements de vos clients.
• Les appareils perdus ou volés, y compris ceux qui sont chiffrés (le chiffrement peut réduire le niveau de risque, mais l’événement s’est tout de même produit).
• Les documents papier laissés dans un lieu public ou jetés sans être déchiquetés.

Conseils pratiques pour un registre solide

• Utilisez un format structuré. Une ligne par incident, avec des champs correspondant aux huit éléments ci-dessus, facilite l’envoi d’une copie lorsque la CAI en fait la demande.
• Désignez un responsable. Le responsable de la protection des renseignements personnels devrait examiner chaque inscription, puisque la loi exige que cette personne soit consultée sur l’évaluation du risque.
• Faites un lien vers les preuves. Conservez les tickets d’incident, les courriels et les notes d’analyse dans un emplacement contrôlé, et renvoyez-y simplement depuis le registre plutôt que d’y coller des détails sensibles.
• Rédigez pour un lecteur qui n’était pas présent. Des descriptions courtes et factuelles résistent mieux au temps que le jargon interne.
• Analysez les tendances. Les lignes directrices de janvier 2026 de la CAI sur la prévention des incidents de confidentialité encouragent les organisations à cerner les risques et à mesurer l’efficacité des mesures de protection. Votre registre constitue une source toute désignée pour cette analyse.

Pourquoi c’est important

Le défaut de tenir le registre ou de signaler un incident lorsque requis peut exposer une entreprise aux sanctions administratives pécuniaires de la CAI, pouvant atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial, selon le montant le plus élevé (CAI, sanctions pour les entreprises). Au-delà des sanctions, un registre bien tenu démontre que votre programme de protection des renseignements personnels fonctionne réellement au quotidien, ce que les régulateurs, les clients et les auditeurs recherchent de plus en plus.

Par où commencer

Si vous n’avez pas encore de registre, créez-en un dès maintenant et consignez rétroactivement tout incident connu depuis l’entrée en vigueur de l’obligation. Si vous en avez déjà un, vérifiez qu’il respecte les huit éléments requis et la règle de conservation de cinq ans.

Accel GRC comprend un registre des incidents de confidentialité conforme à la Loi 25, conçu autour de ces exigences. Pour en savoir plus, consultez notre page sur la Loi 25, découvrez comment elle s’intègre dans un programme de confidentialité et de sécurité, explorez Accel GRC, parcourez nos exemples de documents, ou contactez-nous.

Sources

• Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c P-39.1)
• Règlement sur les incidents de confidentialité (RLRQ c A-2.1, r. 3.1)
• CAI – Sanctions pour les entreprises
• McCarthy Tétrault – Prévenir les incidents de confidentialité : nouvelles lignes directrices de la CAI (30-01-2026)