Québec publie un projet de règlement concernant la déclaration obligatoire des incidents

Introduction

Le 29 juin 2022, le gouvernement du Québec a publié un projet de règlement concernant le processus à suivre pour déclarer les atteintes à la confidentialité en vertu de la nouvelle loi sur la protection des renseignements personnels. Le règlement décrit les renseignements qui doivent être envoyés à la Commission d’accès à l’information (la CAI) et aux personnes concernées lorsqu’un incident de confidentialité remplit le critère relatif à la déclaration obligatoire ainsi que la période de conservation minimale des registres de tous les incidents de confidentialité.

Ce que vous devez savoir

• Si le Règlement est approuvé, le régime québécois différera du régime fédéral en ce qui a trait aux deux obligations suivantes :
  • fournir à la CAI un résumé des facteurs qui établissent un risque réel de préjudice sérieux (cette disposition correspond aux exigences existantes en Alberta);
  • conserver les registres des incidents de confidentialité pendant cinq ans (cette durée est plus longue que la période de deux ans prévue au fédéral).
• L’obligation de décrire les facteurs selon lesquels l’incident est jugé comme étant assujetti à la déclaration obligatoire peut poser problème quant au maintien du secret professionnel qui protège les consultations juridiques.
• Puisque le Règlement pourrait entrer en vigueur dès septembre 2022, les entreprises devraient mettre à jour leurs procédures internes pour assurer leur conformité.

Aperçu des mesures proposées

Comparaison avec le règlement fédéral

Même si la LPRPDE prévoit des obligations semblables en matière de déclaration des incidents, certaines dispositions du projet de règlement québécois sont plus strictes que celles du régime fédéral :

Secret professionnel et considérations transactionnelles

L’une des particularités du projet de règlement est que celui-ci oblige les organisations à décrire les éléments les ayant amenés à conclure qu’un incident remplit le critère de « risque de préjudice sérieux » relatif à la déclaration obligatoire. Le régime de l’Alberta prévoit une obligation semblable, alors que ce n’est pas le cas du régime fédéral. Cela peut poser des défis stratégiques pour les organisations qui, par prudence, souhaitent déclarer des incidents qui ne répondent pas clairement à ce critère, tout en réduisant les risques de litige et d’atteinte à la réputation. Les entreprises devraient rédiger leurs rapports d’incident en veillant à ce qu’ils satisfassent à cette exigence sans renoncer au secret professionnel qui protège les consultations juridiques sur la base desquelles le rapport a été produit et sans créer des admissions qui pourraient être utilisées contre elles dans le cadre de litiges liés à l’incident.

De même, les entreprises devraient tenir compte du secret professionnel de l’avocat lorsqu’elles établissent des registres internes des incidents de confidentialité et conserver les documents liés à la consultation juridique dans un dossier distinct, séparément des résumés factuels de l’incident. Une entreprise qui est en train de conclure une opération devrait s’attendre à devoir fournir ses dossiers relatifs aux atteintes à la sécurité des données dans le cadre du contrôle diligent, d’où l’importance de s’assurer qu’ils ne contiennent pas d’évaluations de risque ou des consultations juridiques protégées par le secret professionnel.

Préparation

Le gouvernement du Québec a proposé que le règlement entre en vigueur le 22 septembre 2022 pour le secteur privé. Les organisations devraient revoir leurs politiques d’intervention en cas d’incident, leurs modèles de rapport réglementaire, d’avis aux personnes concernées et de registre d’incident, les périodes de conservation des registres d’incident et les protocoles relatifs au secret professionnel pour s’assurer qu’ils sont conformes aux exigences québécoises.