Toute entreprise doit-elle tenir un registre des incidents de confidentialité?

Oui. La Loi 25 exige que toute entreprise visée tienne un registre des incidents de confidentialité, sans seuil de taille. Le registre consigne chaque incident, qu'il présente ou non un risque de préjudice sérieux. Le registre lui-même est distinct de l'obligation d'aviser la Commission d'accès à l'information et les personnes concernées, qui ne s'applique que lorsqu'un risque de préjudice sérieux est présent.

Que doit contenir le registre des incidents?

Le contenu est prescrit par le Règlement sur les incidents de confidentialité. Chaque entrée comprend une description des renseignements personnels visés, une description des circonstances de l'incident et sa nature, la date ou la période où il est survenu, la date où l'organisation en a pris connaissance, le nombre de personnes concernées, les éléments ayant mené à conclure ou non à un risque de préjudice sérieux, les dates des avis transmis lorsque ce risque est présent, et une brève description des mesures prises à la suite de l'incident.

Combien de temps faut-il conserver une entrée au registre?

Le Règlement sur les incidents de confidentialité prévoit qu'une entrée doit être conservée pendant au moins cinq ans après la date ou la période où l'organisation a pris connaissance de l'incident. Une politique de conservation qui purge trop tôt un incident consigné peut donc contrevenir à cette obligation.

La CAI peut-elle demander à voir le registre?

Oui. La Commission d'accès à l'information peut demander à une entreprise une copie de son registre des incidents de confidentialité. Un registre tenu à jour, complet et prêt à être communiqué est donc une preuve concrète de la conformité de l'organisation.

Comment HelionAI aide-t-il pour le registre des incidents?

HelionAI aide les organisations à organiser et documenter leur programme de conformité Loi 25 : consigner chaque incident avec les éléments prévus au règlement, suivre l'évaluation du risque et les avis, et conserver une preuve documentée. HelionAI est un outil logiciel, et non un cabinet d'avocats. L'information fournie est de nature générale et ne constitue pas un avis juridique.

Registre des incidents de confidentialité (Loi 25)

HelionAI//

The confidentiality incident register under Quebec's Law 25 (English)

Under Quebec's Law 25, every business in scope must keep a register of confidentiality incidents. Every incident is recorded in it, whether or not it presents a risk of serious injury, which sets the register apart from the separate duty to notify the Commission d'acces a l'information and affected individuals (that duty applies only when there is a risk of serious injury). The content of the register is prescribed by the Regulation respecting confidentiality incidents: a description of the personal information involved, the circumstances and nature of the incident, when it occurred, when the organization became aware of it, the number of individuals concerned, the factors that led it to conclude whether or not there is a risk of serious injury, the dates of any notices sent, and a brief description of the measures taken. Each entry must be kept for at least five years after the organization became aware of the incident, and the Commission d'acces a l'information can ask for a copy of the register. HelionAI helps organizations organize and document their Law 25 compliance program, including keeping the incident register.

Not legal advice. HelionAI is a software tool, not a law firm. The information provided is general in nature and does not constitute legal advice. For complex situations, consult qualified legal counsel.