La Loi 25 impose-t-elle un délai de 72 heures pour aviser la CAI?

La Loi 25 exige d'aviser la Commission d'accès à l'information (CAI) et les personnes concernées avec diligence lorsqu'un incident de confidentialité présente un risque de préjudice sérieux. La référence des 72 heures est une bonne pratique opérationnelle largement recommandée pour agir vite, inspirée du RGPD, et non un délai fixe inscrit mot pour mot dans la loi québécoise. En pratique, traitez les 72 premières heures comme votre fenêtre d'action : contenez, évaluez et préparez les avis sans tarder.

Quand dois-je aviser les personnes concernées et la CAI?

L'obligation d'aviser la CAI et les personnes concernées se déclenche lorsque l'incident présente un risque de préjudice sérieux. Pour l'évaluer, vous tenez compte notamment de la sensibilité des renseignements, des conséquences appréhendées et de la probabilité qu'ils soient utilisés à des fins préjudiciables. Tout incident doit être inscrit à votre registre des incidents, même lorsqu'aucun avis n'est requis.

Qu'est-ce qu'un incident de confidentialité selon la Loi 25?

Un incident de confidentialité vise l'accès, l'utilisation ou la communication non autorisés d'un renseignement personnel, sa perte, ou toute autre atteinte à sa protection. Cela inclut un courriel envoyé au mauvais destinataire, un ordinateur portable perdu, un rançongiciel, ou un accès indu par un employé. La cause peut être externe ou interne, malveillante ou accidentelle.

Dois-je tenir un registre des incidents même sans préjudice sérieux?

Oui. La Loi 25 exige de tenir un registre des incidents de confidentialité. Chaque incident y est consigné, qu'il déclenche ou non un avis à la CAI et aux personnes concernées. La CAI peut demander une copie du registre. HelionAI fournit un registre des incidents pour consigner les faits, évaluer le risque de préjudice sérieux et générer les avis lorsqu'ils sont requis.

HelionAI gère-t-il un avis juridique en cas d'incident?

Non. HelionAI structure la gestion de l'incident, tient le registre et prépare les avis, mais l'information fournie est de nature générale et ne constitue pas un avis juridique. Pour un incident à fort enjeu, consultez un conseiller juridique qualifié et, au besoin, votre assureur en cyberrisque.

Incident Loi 25 : le mythe des 72 heures

HelionAI//

Law 25 privacy incidents: the 72-hour myth (English)

Under Quebec's Law 25, you must notify the Commission d'acces a l'information (CAI) and affected individuals with diligence when a confidentiality incident presents a risk of serious injury. Treat the first 72 hours as your action window: contain the incident, assess the risk of serious injury, log everything in your incident register, and prepare the notices. Every incident goes in the register whether or not a notice is required. HelionAI provides an incident register to log the facts, assess the risk, and generate the notices when required.

Not legal advice. HelionAI is a software tool, not a law firm. The information provided is general in nature and does not constitute legal advice. For a high-stakes incident, consult qualified legal counsel.