Registre des incidents Loi 25 : le vrai système pour PME

Cherchez « registre des incidents loi 25 pme » sur Google et huit fournisseurs québécois de conformité occupent le haut du classement. Chacun vend la même chose : un gabarit Excel, une politique de confidentialité type, une lettre de désignation du responsable à imprimer et à signer. Aucun ne vous montre comment remplir ce gabarit un vendredi soir, quand un employé perd un ordinateur portable dans le train, ou trois mois plus tard, quand votre fournisseur de paie change de plateforme sans que personne n’y pense.

La loi ne demande pas un document. Elle demande un registre tenu à jour, conservé cinq ans, produit sur demande de la Commission d’accès à l’information (CAI). Un document qu’on remplit une fois par année reste vide dès que la vraie vie s’en mêle. Un système qui capte chaque incident au moment où il se produit reste exact. C’est la différence entre les deux, et c’est celle que huit sites de conformité oublient de mentionner.

Ce que le registre doit contenir, et pourquoi le gabarit reste vide

Le règlement d’application de la Loi 25 fixe le contenu du registre des incidents de confidentialité. Chaque entrée doit préciser :

• une description des renseignements personnels visés, ou la raison pour laquelle cette description est impossible;
• une brève description des circonstances de l’incident;
• la date ou la période de l’incident;
• la date à laquelle l’entreprise en a pris connaissance;
• le nombre de personnes concernées, ou une approximation;
• les éléments qui mènent à conclure à un risque de préjudice sérieux, ou à son absence;
• les dates de transmission des avis à la CAI et aux personnes concernées, quand un avis est requis;
• les mesures prises pour réduire le risque.

Huit champs. Ça tient sur un tableau (CAI, 2023; LegisQuébec, LPRPSP art. 3.5 à 3.8). Et un tableau vide ne remplit rien tout seul.

La CAI peut aussi demander une copie du registre en tout temps, pas seulement après un incident déclaré. Une entreprise qui reçoit cette demande a besoin d’un registre complet le jour même, pas d’un après-midi pour reconstituer six mois d’histoire éparpillée entre trois boîtes courriel et un classeur.

Le problème n’est jamais la structure. C’est l’entrée. Personne ne se réveille en pensant « je devrais consigner un incident aujourd’hui ». Un incident se remarque en RH, au service à la clientèle, chez un sous-traitant, ou pas du tout. Sans un canal qui capte ce signal au moment où il apparaît et le pousse vers le registre, le gabarit reste blanc jusqu’au jour d’une vérification de la CAI, où il devient soudainement le problème le plus urgent de l’entreprise.

Chez Telos Machina, on bâtit ce canal : un point d’entrée unique pour signaler un incident, qui alimente le registre automatiquement plutôt que d’attendre qu’un humain s’en souvienne. Le gabarit n’a jamais été la partie manquante. La partie manquante, c’est le fil qui le relie à ce qui se passe réellement dans votre entreprise.

Un incident, ce n’est pas juste une cyberattaque

La loi définit l’incident de confidentialité de façon large : tout accès non autorisé à un renseignement personnel, toute utilisation ou communication non autorisée, la perte d’un renseignement, ou toute autre atteinte à sa protection (LegisQuébec, LPRPSP art. 3.6). Aucune mention de rançongiciel. Aucune mention de pirate informatique.

Un courriel envoyé au mauvais client avec la mauvaise pièce jointe est un incident. Un dossier papier oublié sur l’imprimante partagée en est un. Un employé qui consulte le dossier RH d’un collègue sans motif en est un. Un sous-traitant qui égare une clé USB en est un. La CAI est claire sur ce point : le registre couvre tous les incidents, y compris ceux qui ne présentent aucun risque de préjudice sérieux (CAI, 2023).

Beaucoup de PME construisent leur registre autour de leur pare-feu. Logique, mais incomplet. La majorité des incidents réels n’ont rien à voir avec un système informatique : ils passent par une personne, un formulaire papier, une boîte courriel, une conversation. Un registre qui ne surveille que le périmètre technique manque la portion la plus fréquente des incidents qu’il doit consigner.

Compter uniquement les incidents remontés par une équipe technique revient à mesurer une fraction du problème réel, et à croire, à tort, que le registre est complet.

Le bon réflexe n’est pas d’ajouter une case à cocher de plus. C’est de donner à chaque équipe, RH, ventes, service à la clientèle, un moyen simple de signaler qu’un renseignement personnel a mal circulé, sans devoir d’abord juger si c’est assez grave pour compter.

Déclencher l’EFVP automatiquement quand un outil entre dans la pile

L’évaluation des facteurs relatifs à la vie privée (EFVP) est obligatoire pour tout projet d’acquisition, de développement ou de refonte d’un système d’information ou de prestation électronique de services qui implique la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels (LegisQuébec, LPRPSP art. 3.3; CAI, Principaux changements de la Loi 25).

Traduit en langage de PME : adopter un nouveau CRM déclenche une EFVP. Activer un agent conversationnel hébergé hors Québec déclenche une EFVP. Changer de fournisseur de paie déclenche une EFVP. Ce ne sont pas des projets réservés à une équipe TI qui n’existe pas dans une PME de douze employés. Ce sont des décisions d’achat, prises par la personne qui gère les opérations, souvent en cinq minutes entre deux appels.

C’est là que le gabarit vendu en ligne devient inutile : il ne sait pas qu’un nouvel outil vient d’entrer dans votre pile. Personne ne le lui a dit. L’obligation existe dès le moment de la décision, pas après un incident qui force une révision.

Une EFVP faite après coup, une fois l’outil déjà déployé et les renseignements déjà en circulation, ne protège plus grand-chose. Elle documente un risque déjà pris plutôt que d’orienter le choix avant qu’il devienne difficile à défaire.

La bonne réponse n’est pas un formulaire EFVP de plus à remplir de mémoire, six mois trop tard. C’est un point de contrôle inséré au moment où un nouvel outil est proposé, avant la signature, pas après le déploiement. Le registre documente ce qui s’est déjà mal passé. Le point de contrôle EFVP empêche une partie de ce qui se serait mal passé. Les deux appartiennent au même système. Vendus séparément, en gabarits, ils ne se parlent jamais.

Consigner le consentement sans ralentir le formulaire

La CAI fixe huit critères de validité pour le consentement : manifeste, libre, éclairé, spécifique, temporaire, granulaire, compréhensible, distinct (CAI, Consentement; LegisQuébec, LPRPSP art. 14). Granulaire veut dire une case par finalité, jamais une case unique qui couvre trois usages différents. Distinct veut dire que la demande de consentement ne se cache pas dans un bloc de conditions générales.

Un formulaire web mal pensé viole trois de ces huit critères en une seule case précochée. Un formulaire trop prudent, avec dix cases à cocher pour un simple achat en ligne, tue le taux de conversion avant même que le client comprenne pourquoi. Les deux erreurs coûtent cher : la première expose l’entreprise à une sanction, la seconde expose le chiffre d’affaires.

Ce qui manque rarement, c’est la volonté de bien faire. Ce qui manque, c’est une trace. La CAI peut exiger la preuve qu’un consentement valide a été obtenu : la date, le texte exact affiché à ce moment, le mécanisme utilisé. Un « j’accepte » sans horodatage ni version conservée n’est pas une preuve, même si le consentement a réellement été donné.

Le registre de consentement n’est pas le registre des incidents. Mais les deux exigent la même discipline : consigner un événement au moment où il se produit, avec assez de détails pour le reconstituer six mois plus tard sans devoir demander à quelqu’un de se souvenir.

Cinq ans de conservation : ce que ça implique pour vos sauvegardes

Le contenu du registre doit être tenu à jour et conservé pendant une période minimale de cinq ans après la date où l’entreprise a pris connaissance de l’incident (LegisQuébec, LPRPSP art. 3.8; CAI, 2023). Cinq ans, ce n’est pas long à l’échelle d’un règlement gouvernemental. C’est long à l’échelle d’un fichier Excel sur le poste de travail d’un employé qui aura changé d’emploi trois fois d’ici là.

Un registre stocké sur un poste local disparaît quand l’ordinateur est remplacé. Un registre stocké dans un dossier partagé se fait écraser par erreur, ou perdre lors d’une migration vers un nouvel outil de gestion documentaire. Un registre modifiable par n’importe qui perd sa valeur de preuve : la CAI ne veut pas seulement un historique, elle veut un historique dont on peut démontrer qu’il n’a pas été retouché après coup.

Trois exigences pratiques découlent directement de la période de cinq ans : une copie de sauvegarde qui survit au roulement de personnel et au changement d’outil, un accès en écriture limité au responsable de la protection des renseignements personnels, et un journal des modifications qui montre qui a ajouté ou changé quoi, et quand. Aucun de ces trois éléments n’apparaît dans un gabarit Excel téléchargé. Ce sont des choix d’infrastructure, pas des cases à remplir.

Une entreprise qui répond « le fichier est quelque part sur le poste de l’ancienne coordonnatrice, partie en mars » n’a pas de registre au sens de la loi, même si le fichier existe encore quelque part sur un disque dur.

Un registre qui perd sa trace de modification à la première migration de serveur n’a jamais vraiment existé, même s’il a fière allure le jour où on le montre à un client.

Le point commun entre les cinq sections précédentes n’est jamais le champ manquant sur un formulaire. C’est l’absence d’un chemin qui relie l’événement, un incident, un nouvel outil, un consentement donné, au bon endroit dans votre entreprise, au bon moment, sans dépendre de la mémoire de qui que ce soit.

Huit fournisseurs vendent le même document parce que le document est la partie facile à vendre. Le registre qui tient debout pendant cinq ans, l’EFVP qui se déclenche avant l’achat plutôt qu’après l’incident, le consentement qu’on peut prouver six mois plus tard : ça, c’est un système. On le construit une fois, on le raccorde à ce qui se passe réellement dans l’entreprise, et il continue de tourner sans qu’on ait à s’en souvenir chaque vendredi.

Le Diagnostic Conformité (Bilan) de Telos Machina examine ces trois points avant de recommander quoi que ce soit : ce que votre registre couvre aujourd’hui, où l’EFVP devrait se déclencher dans votre processus d’achat, et si votre trace de consentement tiendrait devant la CAI. Le diagnostic dure une semaine. Le système qui en sort dure plus longtemps qu’un gabarit.

FAQ

Le registre des incidents Loi 25 est-il obligatoire pour une PME de moins de 10 employés?

Oui. La loi s’applique dès le premier renseignement personnel recueilli, sans seuil de taille ni de chiffre d’affaires. Un travailleur autonome avec dix clients est visé au même titre qu’une entreprise de 200 employés (CAI, Champ d’application de la Loi).

Faut-il inscrire un incident même s’il ne présente aucun risque de préjudice sérieux?

Oui. Le registre doit contenir tous les incidents de confidentialité, pas seulement ceux qui déclenchent un avis à la CAI. Chaque entrée reste conservée au moins cinq ans après la date où l’entreprise en a pris connaissance, même une petite entrée sans conséquence.

Quand faut-il aviser la Commission d’accès à l’information d’un incident?

Seulement quand l’incident présente un risque qu’un préjudice sérieux soit causé aux personnes concernées. L’entreprise doit alors aviser la CAI avec diligence, et aviser aussi les personnes touchées, à défaut de quoi la Commission peut lui ordonner de le faire.

Quelles sont les sanctions possibles si le registre n’existe pas?

Les sanctions administratives imposées par la CAI atteignent 10 000 000 $ ou 2 % du chiffre d’affaires mondial, selon le montant le plus élevé. Les poursuites pénales pour les manquements les plus graves, dont le défaut de déclarer un incident, peuvent atteindre 25 000 000 $ ou 4 % du chiffre d’affaires mondial.

Une PME risque-t-elle vraiment une sanction de plusieurs millions de dollars?

Rarement au montant plafond. La CAI applique une approche graduée qui tient compte de la taille de l’entreprise, de la gravité du manquement et de sa bonne foi. L’absence de registre reste toutefois le point de départ de toute enquête, peu importe la taille de l’entreprise qui la reçoit.