Procédure en cas d'incident de confidentialité¶
Cette page résume ce que chacun doit faire quand un renseignement personnel a été vu, utilisé, communiqué ou perdu alors qu'il n'aurait pas dû l'être. Elle suit la Loi sur l'accès aux documents des organismes publics (art. 63.8 à 63.11) et le Règlement sur les incidents de confidentialité.
Votre organisme reste responsable de ses renseignements, même quand l'incident survient chez un fournisseur.
1. Tout employé : arrêter, puis signaler¶
Dès que vous constatez, ou soupçonnez, un incident :
- Limitez les dégâts, si vous le pouvez tout de suite :
- un document envoyé par MuniConnect Docs à la mauvaise personne : révoquez l'accès ;
- un document papier remis par erreur : demandez qu'il vous soit rendu ;
- un appareil perdu ou volé : prévenez tout de suite votre service informatique.
- Ne supprimez rien : ni courriel, ni document, ni trace. Ils serviront à comprendre ce qui s'est passé.
- Signalez l'incident dans MuniConnect Docs : menu Incidents, puis Signaler un incident (voir Signaler un incident). Dans le doute, signalez.
N'attendez pas d'être sûr
Ce n'est pas à vous de juger si l'incident est grave. Le signalement prévient aussitôt le responsable PRP.
2. Le responsable PRP : évaluer¶
Le responsable de la protection des renseignements personnels prend l'incident en charge, avec diligence (voir Les incidents de confidentialité).
- Il complète le signalement : circonstances, renseignements visés, dates, nombre de personnes concernées.
- Il prend les mesures pour réduire le risque de préjudice et éviter que l'incident se reproduise.
- Il évalue le risque de préjudice sérieux, selon la sensibilité des renseignements, les conséquences appréhendées et la probabilité d'une utilisation préjudiciable, en consultant au besoin la personne responsable de la sécurité de l'information. C'est une décision humaine : le logiciel ne tranche pas.
3. Si le risque est sérieux : aviser¶
Si le risque de préjudice est sérieux, l'organisme avise, avec diligence :
- la Commission d'accès à l'information ;
- les personnes concernées, ou le public si les aviser une à une n'est pas possible.
Le responsable PRP inscrit la date de chaque avis dans la fiche de l'incident.
4. Dans tous les cas : le registre¶
Chaque incident est inscrit au registre des incidents, même si le risque n'est pas sérieux. Le registre est tenu dans MuniConnect Docs et conservé au moins cinq ans. Une fois les mesures prises, le responsable PRP clôt l'incident ; il reste consultable au registre.
Un incident sur la plateforme elle-même¶
Si un incident touche MuniConnect Docs (le service, ses serveurs), JNJ Technologies avise votre organisme sans délai : l'incident est inscrit directement au registre de votre organisme, « signalé par JNJ Technologies », et votre responsable PRP le traite comme les autres.