Signaler une atteinte au Commissariat à la protection de la vie privée : le critère du « risque réel de préjudice grave » expliqué

Lorsqu’une atteinte survient, une question détermine en grande partie la suite des événements : devons-nous la signaler au Commissariat à la protection de la vie privée du Canada (CPVP)? En vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), la réponse repose sur un seul critère : la question de savoir si l’atteinte crée un « risque réel de préjudice grave » pour une personne.

À qui cela s’applique-t-il

La LPRPDE s’applique aux organisations du secteur privé dans le cadre d’activités commerciales dans la majeure partie du Canada, ainsi qu’aux entreprises de compétence fédérale. Les entreprises québécoises suivent généralement la loi québécoise sur le secteur privé pour leurs activités au Québec, laquelle comporte son propre critère de « risque de préjudice sérieux », mais de nombreuses organisations exerçant leurs activités dans plusieurs provinces doivent composer avec les deux régimes. Les règles obligatoires en matière d’atteintes sont en vigueur depuis le 2018-11-01 (Règlement sur les atteintes aux mesures de sécurité).

Les trois obligations

S’il est raisonnable de croire, dans les circonstances, qu’une atteinte aux mesures de sécurité visant des renseignements personnels dont vous avez la gestion crée un risque réel de préjudice grave pour une personne, vous devez (LPRPDE, art. 10.1) :

1. en informer le Commissariat à la protection de la vie privée;
2. aviser les personnes concernées; et
3. aviser toute autre organisation ou institution gouvernementale susceptible de réduire le risque de préjudice, comme une banque ou un bureau de crédit (art. 10.2).

L’avis doit être donné « dès que possible » après que vous ayez déterminé que l’atteinte s’est produite.

Étape 1 : Y a-t-il un préjudice grave?

La loi définit le préjudice grave de façon large. Cela comprend les lésions corporelles, l’humiliation, l’atteinte à la réputation ou aux relations, la perte d’emploi, d’occasions d’affaires ou de possibilités professionnelles, la perte financière, le vol d’identité, les effets négatifs sur le dossier de crédit, ainsi que l’endommagement ou la perte de biens (art. 10.1(7)). Demandez-vous : si ces renseignements étaient utilisés à mauvais escient, l’un de ces préjudices pourrait-il survenir?

Étape 2 : Le risque est-il réel?

La loi mentionne deux facteurs (art. 10.1(8)) :

La sensibilité

Les données financières, les identifiants gouvernementaux, les renseignements médicaux, les mots de passe et la localisation précise sont généralement sensibles. Mais le contexte compte : une liste de noms peut être sensible si elle révèle que des personnes sont clientes d’une clinique ou d’un service en particulier.

La probabilité d’utilisation malveillante

Tenez compte de qui a eu accès, pendant combien de temps et dans quelle intention. Questions utiles :

• S’agissait-il d’une attaque malveillante ou d’une divulgation accidentelle à un destinataire connu et fiable?
• Y a-t-il des preuves que les renseignements ont été copiés, vendus ou publiés?
• Étaient-ils chiffrés avec des clés qui n’ont pas été compromises?
• Les renseignements ont-ils été récupérés ou leur suppression confirmée?
• Pourraient-ils être combinés à d’autres données pour causer un préjudice?

Ces deux facteurs sont évalués ensemble. Des renseignements hautement sensibles présentant une probabilité réelle d’utilisation malveillante répondront généralement au critère. Le CPVP propose un outil gratuit d’auto-évaluation du risque d’atteinte qui passe en revue ces questions, et publie des lignes directrices sur la déclaration obligatoire des atteintes.

Ce que le rapport doit contenir

Le règlement précise le contenu du rapport à transmettre au CPVP, notamment les circonstances et la cause de l’atteinte si elles sont connues, la date ou la période de l’atteinte, les renseignements personnels en cause, le nombre de personnes touchées, les mesures prises pour réduire le préjudice, la façon dont les personnes seront avisées et une personne-ressource. Les avis aux personnes concernées doivent décrire l’atteinte, les renseignements en cause, les mesures que vous prenez, ce qu’elles peuvent faire pour se protéger et comment vous joindre.

Conserver un registre de chaque atteinte

Qu’une atteinte réponde ou non au critère, vous devez en conserver un registre (art. 10.3) pendant 24 mois après avoir déterminé qu’elle s’est produite (règlement, art. 6), et le remettre au Commissariat sur demande. Le registre doit contenir suffisamment de renseignements pour permettre au CPVP de vérifier votre décision.

Conséquences d’une erreur d’évaluation

Le fait de sciemment omettre de signaler une atteinte, d’aviser les personnes concernées ou de conserver des registres constitue une infraction en vertu de la LPRPDE, passible d’une amende pouvant atteindre 100 000 $ sur déclaration de culpabilité par mise en accusation (LPRPDE, art. 28). La réforme fédérale proposée dans le projet de loi C-36, déposé le 2026-06-15 et toujours à l’étude au Parlement (LEGISinfo), augmenterait considérablement les sanctions potentielles (DLA Piper). Tant qu’il ne sera pas adopté, c’est le critère de la LPRPDE qui s’applique.

Se préparer avant d’en avoir besoin

• Rédigez une courte procédure de décision fondée sur les deux facteurs, et désignez qui prend la décision.
• Préparez à l’avance des modèles de rapport et d’avis, en français et en anglais.
• Testez vos mécanismes de détection et de journalisation pour être en mesure de déterminer précisément ce à quoi on a eu accès.

Les tests de sécurité d’Ubitrak contribuent à réduire le risque d’atteinte, et KW Consulting peut vous aider à élaborer un plan d’intervention en cas d’atteinte. Consultez nos pages LPRPDE et Loi 25, nos services de révision de la sécurité et de programme de confidentialité et de sécurité, ou contactez-nous.

Sources

• LPRPDE, articles 10.1 à 10.3
• LPRPDE, texte intégral (art. 28)
• Règlement sur les atteintes aux mesures de sécurité, DORS/2018-64 (Gazette du Canada)
• CPVP – Outil d’auto-évaluation du risque d’atteinte à la vie privée
• CPVP – Ce que vous devez savoir sur la déclaration obligatoire des atteintes
• LEGISinfo – Projet de loi C-36 (45-1)
• DLA Piper – Le Canada dépose le projet de loi C-36