Les incidents de confidentialité¶
Le registre des incidents répond aux obligations de la Loi 25 et du règlement sur les incidents de confidentialité : chaque incident y est inscrit, avec les éléments que le règlement exige, l'évaluation du risque de préjudice, les avis donnés et les mesures prises. Le registre est tenu par le responsable PRP.
Un incident est signalé par un employé (voir Signaler un incident), par vous-même, ou par JNJ Technologies s'il concerne la plateforme.
Être prévenu¶
Un incident à prendre en charge s'annonce sur votre tableau de bord, et par un compteur à côté de Incidents dans le menu.
Le registre¶
Incidents ouvre le registre : tous les incidents de l'organisme, avec leur numéro, leur état et leur date.
Traiter un incident¶
Ouvrez l'incident, puis cliquez sur Prendre en charge : votre nom et la date sont inscrits.
La fiche suit l'ordre du registre. Remplissez chaque section, puis cliquez sur son bouton Enregistrer (« Enregistré. » le confirme).
1. Signalement¶
Les éléments 1 à 5 du registre : les circonstances et la cause si elle est connue, les renseignements personnels visés, la nature de l'incident, les systèmes ou supports concernés, les dates de l'incident et de la prise de connaissance, et le nombre de personnes concernées (dont au Québec). Cochez « approximatif » quand une date ou un nombre n'est pas certain.
Sous la section, Dossiers concernés relie l'incident aux dossiers en cause.
2. Évaluation du risque¶
L'élément 6 : ce qui fait conclure, ou non, à un risque de préjudice sérieux — la sensibilité des renseignements, les utilisations malveillantes possibles, les conséquences appréhendées, la probabilité d'une utilisation préjudiciable.
Puis décidez : Oui (aviser la Commission et les personnes concernées), Non (aucun avis exigé ; l'incident reste au registre), ou Pas encore décidé. Consultez au besoin la personne responsable de la sécurité de l'information.
3. Avis¶
Si le risque est sérieux, inscrivez la date de l'avis à la Commission d'accès à l'information et la date de l'avis aux personnes concernées (ou l'avis public, s'il y a lieu).
MuniConnect Docs n'envoie pas les avis
Les avis à la Commission et aux personnes se font selon la procédure de votre organisme. La fiche garde leur date, comme le registre l'exige.
Les mesures¶
Les mesures prises, ou à prendre, pour réduire le risque et éviter que l'incident se reproduise. Écrivez la nouvelle mesure, choisissez à qui elle est confiée, puis cliquez sur + Ajouter la mesure. La personne la voit dans son écran Incidents et la marque comme faite.
Clore l'incident¶
Quand tout est fait, cliquez sur Clore l'incident. L'incident reste au registre, consultable, avec toute son histoire.
Le rapport interne¶
Le lien Rapport interne, en haut de la fiche, met l'incident en page pour l'imprimer ou l'enregistrer en PDF : pour la direction, pour le dossier, ou pour préparer l'avis à la Commission.
