Loi 25 : incidents de confidentialité, registre et délai de notification

La Loi 25 traite les incidents de confidentialité différemment du RGPD. Elle impose un registre pour *tout* incident, et une notification à la CAI et aux personnes concernées seulement lorsqu’il y a un risque de préjudice sérieux. Mais contrairement au RGPD, elle ne fixe pas un délai de 72 heures : la notification doit se faire « au plus tôt. » C’est cette absence d’horloge précise qui piège les PME — « au plus tôt » n’est pas « quand on a le temps. »

Les articles 3.5 à 3.8 de la Loi sur la protection des renseignements personnels dans le secteur privé, en vigueur depuis le 22 septembre 2022, encadrent la gestion des incidents de confidentialité. Le contenu ci-dessous est ancré dans le guide primaire Cybereco sur la Loi 25 ; le CAI publie également un schéma officiel de registre d’incident. Confirmez le libellé exact contre le texte officiel sur le site de la CAI et LégisQuébec avant de vous y appuyer juridiquement.

Ce qui constitue un incident de confidentialité

La Loi donne quatre situations qui peuvent se qualifier d’incidents de confidentialité :

1. L’accès non autorisé par la loi à un renseignement personnel. 2. L’utilisation non autorisée par la loi d’un renseignement personnel. 3. La communication non autorisée par la loi d’un renseignement personnel. 4. La perte d’un renseignement personnel ou toute autre atteinte à la protection d’un tel renseignement.

La portée est large. Un courriel contenant des renseignements personnels envoyé au mauvais destinataire, un employé qui consulte un dossier sans motif professionnel, un ordinateur volé contenant des données clients, une fuite de données depuis un serveur — chacun peut se qualifier. La qualification ne dépend pas de l’ampleur ; un incident mineur est un incident.

Le registre : obligatoire pour tout incident

La Loi exige qu’une organisation tende un registre de tout incident de confidentialité, communiqué à la CAI sur demande. Le registre n’est pas un document transmis proactivement — il est conservé et présenté lorsque la CAI le demande. C’est l’artefact d’imputabilité qui prouve que l’organisation a bien consigné chaque incident.

Le CAI publie un schéma officiel de registre (schéma d’incident de confidentialité). À défaut d’utiliser ce schéma exact, un gabarit simple — tableau ou chiffrier — qui capture les éléments requis par la Loi est suffisant. Les informations à capturer par incident incluent typiquement : la nature de l’incident, les renseignements personnels concernés, les personnes concernées, la date de découverte, l’évaluation du risque de préjudice sérieux, les mesures prises, et la décision de notification (aviser ou non, et qui).

L’erreur courante, signalée dans le pilier Loi 25, est de croire que seuls les ransomwares majeurs doivent être consignés. Tout incident doit être au registre — la décision de notifier est distincte de la décision de consigner.

La notification : conditionnée au risque de préjudice sérieux

La Loi impose une double notification — à la CAI et aux personnes concernées — seulement lorsqu’un incident présente un risque de préjudice sérieux. Le guide Cybereco donne des exemples de préjudice sérieux : une atteinte à la réputation, une atteinte au dossier de crédit, un vol d’identité, etc.

La logique est donc en deux étapes :

1. Tout incident est consigné au registre. Sans condition. 2. L’incident est évalué pour le risque de préjudice sérieux. Avec l’équipe légale et le responsable de la protection des renseignements personnels, l’organisation détermine si l’incident présente un risque de préjudice sérieux. 3. Si oui, notification à la CAI et aux personnes concernées. Si non, l’incident reste au registre sans notification externe — mais la décision et son motif sont documentés.

C’est l’évaluation du risque de préjudice sérieux qui est l’étape critique. C’est elle qui déclenche ou non l’obligation de notification, et c’est elle que la CAI examinera si un incident non notifié est par la suite découvert. Documentez l’évaluation.

Le délai : « au plus tôt », pas 72 heures

C’est ici que la Loi 25 diffère le plus du RGPD. Le RGPD (article 33) impose une horloge de 72 heures à compter de la prise de connaissance pour notifier l’autorité de contrôle. La Loi 25 ne fixe pas un délai chiffré. La notification doit se faire « au plus tôt » — sans délai indu.

L’absence d’horloge précise n’est pas une permission de temporiser. « Au plus tôt » se lit en pratique comme un délai court, mesuré en jours, et l’organisation doit pouvoir démontrer qu’elle a notifié dès qu’elle avait les éléments nécessaires (identification de l’incident, évaluation du risque, personnes concernées). Une notification tardive non justifiée est un manquement. Le parallélisme avec le RGPD est traité dans l’article Loi 25 et RGPD : parallélisme — une PME soumise aux deux peut adopter le standard de 72 heures comme cible interne pour satisfaire les deux régimes.

Le contenu de la notification

La notification aux personnes concernées doit les informer de l’incident et des mesures qu’elles peuvent prendre pour se protéger (par exemple, surveiller leur dossier de crédit, changer un mot de passe). La notification à la CAI présente l’incident, les renseignements concernés, le nombre de personnes, l’évaluation du risque, et les mesures prises ou envisagées. Le registre, tenu à jour, fournit la majeure partie de ce contenu.

Le plan de réponse qu’une PME doit avoir avant l’incident

Comme pour le RGPD, le coût de la préparation se paie avant, non pendant :

1. Un canal de signalement interne. Tout employé qui soupçonne un incident doit savoir à qui le signaler — le responsable de la protection ou un point de contact désigné — et le signalement doit être immédiat. 2. Le gabarit de registre. Un tableau ou chiffrier avec les colonnes du schéma CAI, prêt à remplir. Ne le rédigez pas pendant l’incident. 3. La grille d’évaluation du préjudice serieux. Une liste de critères — nature des données (sensibles, identité, financier), nombre de personnes, possibilité d’usage malveillant — qui aide le responsable et l’équipe légale à statuer. Documentez la décision et son motif. 4. Le modèle de notification. Un modèle pour la CAI et un pour les personnes, pré-rempli avec le contact du responsable, à compléter avec les éléments de l’incident. 5. Le runbook de containment. Les mesures à prendre immédiatement — révoquer un accès, isoler un système, récupérer un appareil — qui apparaissent dans la section « mesures prises » de la notification.

Le lien avec le reste du programme

L’incident repose sur le responsable de la protection des renseignements personnels nommé en vertu de l’article 3.1 — c’est lui, avec l’équipe légale, qui mène l’évaluation du risque de préjudice sérieux. Le parallélisme avec le RGPD montre comment fusionner le registre Loi 25 et le registre des fuites RGPD en un seul artifact. La checklist de démarrage Loi 25 pour PME met le registre d’incidents dans les premières actions de la phase 1. Si l’organisation exploite aussi ISO 27001, le registre d’incidents est la vue Loi 25 de la procédure SMSI de réponse aux incidents (Annexe A.5.24–A.5.27).

Comment cela s’intègre dans la série

C’est le compagnon opérationnel du pilier Loi 25, la deuxième obligation de la phase 1. Il suppose que le responsable de la protection est nommé — c’est lui qui tient le registre et mène l’évaluation. Le parallélisme avec le RGPD traite la fusion des deux régimes d’incidents.

Que faire ensuite

Mettez en place le gabarit de registre d’incidents cette semaine — un tableau avec les colonnes du schéma CAI, stocké à côté des politiques de gouvernance. Rédigez la grille d’évaluation du préjudice serieux avec votre équipe légale. Préparez les deux modèles de notification (CAI et personnes). Et rappelez à l’équipe que tout incident — pas seulement les majeurs — se consigne au registre. La notification se fait « au plus tôt » ; le registre se tient pour tout.

Vous voulez un contrôle de préparation incidents Loi 25 ? Réservez un **démarrage de programme Loi 25** de 45 minutes — nous revoyons votre gabarit de registre contre le schéma CAI, testons votre grille d’évaluation du préjudice serieux, et préparons les modèles de notification. Bilingue FR/EN, sans engagement.

→ /loi-25-starter/ · téléchargez la checklist de démarrage Loi 25 pour PME