Incident de confidentialité : que faire si un dossier client est exposé

Ceci n'est pas un avis juridique. Ce guide s'appuie sur les principaux changements présentés par la Commission d'accès à l'information (CAI). En cas d'incident, consultez les ressources de la CAI ou un professionnel du droit.

Qu'est-ce qu'un incident de confidentialité?

En termes simples : un renseignement personnel a été consulté, utilisé, communiqué ou perdu alors qu'il n'aurait pas dû l'être. Quelques exemples typiques dans une clinique ou un salon :

• un formulaire d'accueil envoyé par courriel à la mauvaise personne ;
• un ordinateur ou un téléphone volé qui contenait l'agenda et les dossiers ;
• un ancien employé qui a encore accès au logiciel ;
• un mot de passe partagé, et un dossier consulté sans raison.

Ce que la loi vous demande

La loi prévoit deux obligations :

• tenir un registre de tous les incidents de confidentialité, y compris ceux qui ne présentent pas de risque de préjudice sérieux ;
• aviser la CAI et les personnes concernées lorsqu'un incident présente un risque de préjudice sérieux.

C'est la personne responsable de la protection des renseignements personnels qui s'en occupe. Par défaut, dans votre entreprise, c'est la personne qui a la plus haute autorité.

Étape par étape

• Limitez les dégâts. Changez le mot de passe, retirez l'accès de l'ancien employé, demandez au destinataire d'un courriel envoyé par erreur de le supprimer.
• Faites le point. Quels renseignements? Combien de clients? Qui y a eu accès, et quand?
• Évaluez le risque. Un nom et un numéro de téléphone, ce n'est pas la même chose que des notes de séance. La sensibilité des renseignements pèse lourd dans l'évaluation.
• Avisez, si le risque est sérieux. L'avis à la CAI se fait par écrit, avec le formulaire qu'elle publie sur sa page sur les incidents de confidentialité. Les clients concernés doivent aussi être avisés.
• Inscrivez l'incident au registre, dans tous les cas.
• Corrigez la cause pour que ça ne se reproduise pas.

Savoir qui a consulté quoi

L'étape « faites le point » est la plus difficile quand on ne sait pas qui a ouvert quel dossier. C'est là qu'un journal des accès fait toute la différence : au lieu de deviner, vous lisez.

Tantôt tient un journal de chaque accès aux dossiers clients, consigne les consentements et chiffre les renseignements sensibles avec une clé propre à chaque entreprise. Si un incident survient, vous savez qui a consulté quel dossier, et quand. Voyez le détail sur la page Fonctionnalités.

Préparez-vous avant que ça arrive

• Désignez la personne responsable (ou confirmez que c'est vous).
• Créez votre registre maintenant, même vide : un simple tableau suffit pour commencer.
• Donnez à chaque employé son propre accès au logiciel, et retirez-le le jour de son départ.
• Relisez l'ensemble de vos obligations dans Loi 25 : ce que votre clinique ou votre salon doit faire avec les dossiers de ses clients.

Essayez Tantôt 14 jours

Sans carte de crédit et sans contrat. Votre page de réservation, votre agenda d’équipe et vos dossiers clients, réglés selon votre métier.

Essayez gratuitement dès aujourd’hui