Le 30 janvier 2026, la Commission d’accès à l’information (« CAI ») a publié de nouvelles orientations visant à renforcer la manière dont les organisations préviennent les incidents de confidentialité impliquant des renseignements personnels.
Les incidents de confidentialité figurent parmi les risques les plus importants en matière de protection de la vie privée auxquels font face les organisations aujourd’hui.
Au Québec, ces incidents sont régis par plusieurs lois, notamment la Loi sur la protection des renseignements personnels dans le secteur privé et la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels. Ces lois imposent non seulement des obligations aux organisations pour prévenir et gérer de tels événements, mais prévoient également des amendes lorsque les mesures mises en place sont jugées insuffisantes.
Les orientations de la CAI s’inscrivent dans une tendance plus large en matière de réglementation de la protection de la vie privée, qui exige de plus en plus que les organisations prennent des mesures proactives pour comprendre et atténuer les risques avant qu’un incident ne survienne. À mesure que l’environnement réglementaire québécois évolue sous le régime des lois québécoises en matière de protection de la vie privée, ces lignes directrices peuvent aider les entreprises à :
- réduire la probabilité et l’impact des incidents de confidentialité ;
- démontrer leur diligence raisonnable et leur responsabilité en matière de protection des renseignements personnels ;
- renforcer la confiance des clients, des employés et des partenaires.
Cette nouvelle publication comprend deux outils pratiques :
- un guide explicatif ;
- une liste de vérification visant à aider les entreprises à mettre en œuvre une approche proactive de la protection des renseignements personnels.
Le guide explicatif
Le guide présente une approche structurée pour les organisations. Il commence par définir ce qui constitue un incident de confidentialité selon le droit québécois :
- l’accès, l’utilisation ou la communication non autorisés de renseignements personnels ;
- l’envoi de renseignements personnels à un mauvais destinataire ;
- la perte de renseignements personnels en raison d’une erreur humaine ou d’une cyberattaque.
Le guide souligne que toutes les organisations qui recueillent, utilisent ou détiennent des renseignements personnels, directement ou indirectement (par exemple par l’intermédiaire de fournisseurs de services), sont exposées à des risques et doivent mettre en place des mesures de protection appropriées.
La CAI y présente également des mesures clés de prévention :
- comprendre les obligations de l’organisation dans le cadre du régime québécois de protection de la vie privée ;
- recenser et inventorier les renseignements personnels détenus et évaluer leur sensibilité ;
- cerner les risques, les conséquences potentielles et les mesures préventives appropriées ;
- former le personnel à reconnaître les incidents potentiels ;
- intégrer la protection de la vie privée aux processus opérationnels et de gouvernance ;
- évaluer et surveiller l’efficacité des efforts de prévention ;
- réexaminer et mettre à jour régulièrement les mesures de sécurité et de protection de la vie privée.
La liste de vérification
En complément du guide, la liste de vérification propose des éléments concrets que les organisations peuvent utiliser pour évaluer leur niveau de préparation et leur posture préventive :
- vérifier que les politiques et procédures internes sont conformes aux exigences légales ;
- confirmer que les rôles et responsabilités en matière de protection des renseignements personnels sont attribués ;
- évaluer les mesures administratives, techniques et organisationnelles mises en place ;
- s’assurer que des processus de contrôle et de révision sont en place.
Face à l’augmentation des menaces et aux attentes réglementaires croissantes, les nouvelles orientations de la CAI contribuent à traduire les obligations légales en mesures concrètes que les entreprises peuvent adopter pour réduire les risques, protéger les renseignements personnels des individus et démontrer leur conformité. Les organisations devraient intégrer ces outils à leurs programmes de protection de la vie privée et de sécurité de l’information.
