Registre des Incidents de Confidentialité : Vos Obligations sous la Loi 25

Qu'est-ce que le registre des incidents de confidentialité et qui doit en tenir un ? Le registre des incidents de confidentialité est un document que la Loi 25 oblige toute entreprise faisant affaire au Québec et traitant des renseignements personnels à tenir à jour, dans lequel elle consigne chaque incident de confidentialité survenu — qu'il ait été notifié à la Commission d'accès à l'information (CAI) ou non. Toute organisation soumise à la Loi 25 doit tenir ce registre, peu importe sa taille : il n'existe aucune exemption pour les petites entreprises.

Ce guide s'adresse aux propriétaires et gestionnaires de PME québécoises qui savent, en théorie, que la Loi 25 exige un registre des incidents de confidentialité, mais qui n'ont jamais vu à quoi ce document doit ressembler concrètement, quels champs il doit contenir, ni combien de temps ils doivent le conserver. Nous couvrons la définition précise d'un incident de confidentialité, qui doit tenir un registre, le contenu obligatoire de chaque entrée sous forme de tableau comparatif, un modèle de registre complet en format checklist, le délai légal de conservation de 5 ans, la distinction entre un incident à risque sérieux de préjudice et un incident mineur, trois cas pratiques fictifs mais réalistes de PME québécoises, un budget réaliste en dollars canadiens et les erreurs les plus fréquentes observées chez les PME. Nos techniciens certifiés appliquent cette même rigueur documentaire lorsqu'ils réalisent un audit de sécurité informatique ou déploient des mesures de cybersécurité en entreprise pour des PME à Montréal et ailleurs au Québec.

Qu'est-ce qu'un incident de confidentialité au sens de la Loi 25

Avant de constituer un registre, encore faut-il savoir précisément ce qui doit y figurer. La Loi 25 définit un incident de confidentialité de façon large : il s'agit de l'accès non autorisé, l'utilisation non autorisée, la communication non autorisée ou la perte de renseignements personnels. Cette définition couvre volontairement un spectre beaucoup plus vaste que le seul « piratage informatique » auquel pensent instinctivement la plupart des dirigeants de PME.

Concrètement, chacun des quatre scénarios suivants constitue un incident de confidentialité qui doit, à tout le moins, faire l'objet d'une réflexion documentée quant à son inscription au registre :

• Accès non autorisé — une personne, interne ou externe à l'entreprise, consulte des renseignements personnels sans en avoir le droit. Exemple : un employé consulte le dossier client d'un collègue par curiosité, sans lien avec ses fonctions.
• Utilisation non autorisée — des renseignements personnels collectés à une fin précise sont utilisés à une autre fin, sans consentement. Exemple : une liste de courriels clients collectée pour la facturation est réutilisée pour une campagne marketing sans consentement distinct.
• Communication non autorisée — des renseignements personnels sont transmis à un tiers qui n'aurait pas dû les recevoir. Exemple : un courriel contenant des données financières de clients envoyé au mauvais destinataire, ou un fournisseur TI étranger qui reçoit des données sans encadrement contractuel adéquat.
• Perte de renseignements personnels — des renseignements personnels deviennent inaccessibles ou disparaissent, que ce soit par vol, défaillance technique ou erreur humaine. Exemple : un ordinateur portable non chiffré contenant une base de données clients, volé dans un véhicule.

Il est essentiel de comprendre qu'un incident de confidentialité n'a pas besoin d'impliquer un pirate informatique sophistiqué pour être réel et devoir être consigné. Un dossier papier oublié dans une salle de conférence, une clé USB égarée, un courriel envoyé en copie conforme visible (« Cc » plutôt que « Cci ») révélant la liste complète des adresses courriel de clients, ou une erreur de configuration exposant temporairement une base de données sur Internet constituent tous des incidents de confidentialité au sens plein de la loi.

Qui doit tenir un registre des incidents de confidentialité

La Loi 25 impose cette obligation à toute entreprise faisant affaire au Québec et traitant des renseignements personnels, sans égard à sa taille, à son secteur d'activité ou à son chiffre d'affaires. Il s'agit du même principe d'application universelle qui régit l'ensemble de la Loi 25 : contrairement à certaines réglementations qui prévoient des seuils d'exemption pour les petites entreprises, le Québec n'a prévu aucune telle exemption pour l'obligation de tenir un registre des incidents.

Cela signifie qu'une clinique dentaire de Trois-Rivières avec quatre employés, un cabinet comptable unipersonnel de Laval, ou une boutique en ligne gérée depuis un sous-sol à Sherbrooke sont toutes légalement tenues de tenir un registre des incidents de confidentialité, exactement au même titre qu'une grande institution financière — seule la complexité et le volume du registre varieront selon la taille de l'organisation. Notre article sur la Loi 25 : Guide Pratique pour PME détaille l'ensemble des obligations générales de la loi, dont le registre des incidents constitue l'une des pièces maîtresses issues de la deuxième phase d'application.

Le contenu obligatoire d'une entrée de registre

La Loi 25 et le Règlement sur les incidents de confidentialité qui en découle précisent les renseignements minimaux que doit contenir chaque entrée du registre. Une entrée incomplète — par exemple, un simple courriel interne annonçant qu'un incident est survenu, sans documentation structurée — ne satisfait pas à l'obligation légale, même si l'incident a bel et bien été traité en coulisses. Voici les champs obligatoires que doit contenir chaque entrée :

Champ obligatoire	Ce qu'il doit contenir	Pourquoi c'est essentiel
Date ou période de l'incident	Date précise, ou fourchette estimée si la date exacte est inconnue, à laquelle l'incident s'est produit ou a été découvert	Sert de point de départ au calcul du délai de conservation de 5 ans et démontre la rapidité de réaction de l'organisation
Description des renseignements personnels concernés	Catégories précises de données touchées (noms, courriels, numéros de carte, données financières, données de santé, etc.)	Permet d'évaluer objectivement la sensibilité de l'incident et d'orienter l'analyse de risque
Nombre de personnes touchées	Nombre exact ou estimation raisonnable du nombre d'individus dont les renseignements ont été compromis	Facteur central dans l'évaluation du risque de préjudice sérieux et dans la décision de notifier
Circonstances de l'incident	Description factuelle de ce qui s'est produit : cause, système ou processus impliqué, comment l'incident a été détecté	Permet de comprendre la cause racine et d'éviter la répétition du même type d'incident
Évaluation du risque de préjudice sérieux	Analyse structurée de la sensibilité des données, des conséquences appréhendées et de la probabilité d'utilisation malveillante	Détermine si l'incident déclenche une obligation de notification à la CAI et aux personnes concernées
Mesures prises pour contenir l'incident	Actions immédiates entreprises dès la découverte (isolement d'un système, révocation d'accès, changement de mots de passe)	Démontre la diligence raisonnable de l'organisation en cas de vérification
Mesures correctives à plus long terme	Changements apportés aux processus, systèmes ou politiques pour prévenir un incident similaire	Réduit le risque de récidive et démontre une amélioration continue
Décision de notifier ou non la CAI	Indication claire de la décision prise et justification du raisonnement, même en cas de décision de ne pas notifier	Protège l'organisation en démontrant que l'analyse a bien été effectuée, plutôt qu'omise
Date de notification, le cas échéant	Date à laquelle la CAI et les personnes concernées ont été avisées, si applicable	Permet de vérifier que la notification a été faite « dans les meilleurs délais » comme l'exige la loi
Responsable du dossier	Nom de la personne, généralement le RPRP, responsable du suivi de cet incident	Assure l'imputabilité et facilite le suivi en cas de question ultérieure

Un registre qui omettrait systématiquement l'un de ces champs — par exemple, un registre qui ne documenterait jamais l'évaluation du risque de préjudice sérieux, se contentant de noter que « l'incident a été réglé » — ne répond pas à l'esprit ni à la lettre de l'obligation légale. C'est précisément ce type de registre incomplet qui expose une entreprise à un constat de non-conformité lors d'une vérification par la CAI, même si aucun incident majeur n'a jamais été dissimulé.

Modèle de registre : la checklist complète pour votre PME

Au-delà de la liste des champs obligatoires, il est utile de disposer d'une checklist concrète pour construire et maintenir un registre des incidents de confidentialité fonctionnel au quotidien. Voici un modèle en quinze points, que votre entreprise peut reprendre directement pour bâtir son propre registre, que ce soit dans un simple fichier structuré ou dans un outil dédié :

• ☐ Désigner une seule personne responsable de la mise à jour du registre (généralement le RPRP)
• ☐ Créer un modèle standardisé avec les dix champs obligatoires décrits plus haut, sous forme de colonnes ou de gabarit répété
• ☐ Établir une procédure interne claire indiquant à qui et comment un employé doit signaler un incident potentiel dès sa découverte
• ☐ Consigner chaque incident dans les 24 à 48 heures suivant sa découverte, même si l'analyse complète n'est pas encore terminée
• ☐ Documenter systématiquement l'analyse du risque de préjudice sérieux, incluant les trois facteurs d'évaluation (sensibilité, conséquences, probabilité)
• ☐ Consigner la décision de notifier ou non la CAI, avec le raisonnement qui la justifie, même pour les incidents jugés mineurs
• ☐ Conserver une copie de toute communication envoyée à la CAI ou aux personnes concernées, en pièce jointe ou en référence à l'entrée du registre
• ☐ Protéger l'accès au registre lui-même, puisqu'il contient des renseignements sensibles sur les failles passées de l'organisation
• ☐ Sauvegarder le registre de façon redondante (copie locale et copie infonuagique séparée) pour éviter sa perte accidentelle
• ☐ Réviser le registre à intervalle régulier (trimestriel recommandé) pour s'assurer qu'aucun incident signalé verbalement n'a été oublié
• ☐ Former les employés à reconnaître ce qui constitue un incident de confidentialité, incluant les cas non évidents (courriel mal adressé, document égaré)
• ☐ Ne jamais supprimer une entrée avant l'écoulement du délai légal de conservation de 5 ans, même après correction complète de l'incident
• ☐ Prévoir une procédure de transfert du registre en cas de changement du responsable RPRP, pour éviter une perte de continuité
• ☐ Documenter les mesures correctives réellement mises en œuvre à la suite de chaque incident, pas seulement les mesures prévues
• ☐ Intégrer une référence croisée au registre dans le plan de réponse aux incidents de sécurité informatique de l'entreprise

Le délai de conservation : 5 ans minimum

Une question revient constamment chez les PME qui découvrent cette obligation : pendant combien de temps faut-il conserver les entrées du registre une fois l'incident réglé ? La réponse, fixée par le Règlement sur les incidents de confidentialité, est claire : chaque entrée du registre doit être conservée pendant un minimum de 5 ans, à compter de la date ou de la période où l'organisation a pris connaissance de l'incident.

Ce délai de 5 ans s'applique uniformément, que l'incident ait été jugé suffisamment grave pour déclencher une notification à la CAI ou qu'il ait été consigné comme un incident mineur sans notification externe. Autrement dit, la décision de ne pas notifier un incident à la CAI n'a aucune incidence sur l'obligation de le conserver dans le registre pendant la période légale complète — les deux obligations sont indépendantes l'une de l'autre.

Type d'incident	Doit être consigné au registre	Délai de conservation
Incident à risque sérieux de préjudice (notifié à la CAI)	Oui, obligatoire	Minimum 5 ans à partir de la découverte
Incident mineur (non notifié à la CAI)	Oui, obligatoire	Minimum 5 ans à partir de la découverte
Incident soupçonné mais non confirmé après enquête	Recommandé, avec conclusion documentée	Minimum 5 ans à partir de la découverte, par prudence

En pratique, plusieurs PME conservent leurs registres au-delà du minimum légal de 5 ans, souvent pour des raisons de continuité historique ou parce que leur outil de gestion documentaire ne prévoit pas de purge automatique à échéance précise. Rien n'empêche une conservation plus longue — l'important est de ne jamais descendre sous le seuil minimal de 5 ans, sous peine de manquement en cas de vérification portant sur un incident relativement ancien.

Incident à risque sérieux de préjudice ou incident mineur : comment trancher

L'ensemble des incidents de confidentialité ne déclenche pas automatiquement une obligation de notification à la CAI et aux personnes concernées. La Loi 25 réserve cette obligation aux incidents qui présentent un risque sérieux de préjudice pour les personnes touchées. Les incidents qui ne franchissent pas ce seuil doivent tout de même être consignés au registre, mais sans déclencher de notification externe.

L'évaluation du risque de préjudice sérieux repose sur trois facteurs qui doivent être analysés ensemble, et non isolément :

La sensibilité des renseignements personnels touchés

Un nom et une adresse courriel isolés présentent généralement une sensibilité plus faible qu'un numéro d'assurance sociale, des données de santé, des informations financières détaillées ou des données biométriques. Plus les renseignements exposés permettent une usurpation d'identité ou une atteinte grave à la vie privée, plus la sensibilité — et donc le risque — est élevée.

Les conséquences appréhendées pour les personnes concernées

Il s'agit d'évaluer ce qui pourrait raisonnablement arriver aux personnes touchées si les renseignements exposés étaient effectivement utilisés à mauvais escient : fraude financière, vol d'identité, discrimination, atteinte à la réputation, préjudice psychologique. Un incident qui n'expose que des données déjà publiques présente généralement des conséquences appréhendées beaucoup plus limitées.

La probabilité que les renseignements soient utilisés à des fins malveillantes

Cette probabilité dépend notamment du contexte de l'incident : un document égaré et rapidement retrouvé, jamais consulté par un tiers, présente une probabilité d'utilisation malveillante bien plus faible qu'une base de données volée et déjà repérée en vente sur un forum clandestin.

Facteur	Risque plus faible	Risque plus élevé
Sensibilité des données	Nom seul, courriel professionnel générique	NAS, données de santé, données financières complètes
Conséquences appréhendées	Aucune atteinte concrète identifiable	Fraude, vol d'identité, préjudice financier direct
Probabilité d'utilisation malveillante	Document égaré, jamais consulté par un tiers	Données déjà en vente ou activement exploitées

Lorsque l'analyse conjointe de ces trois facteurs révèle un risque sérieux de préjudice, l'entreprise doit notifier la CAI ainsi que les personnes concernées « dans les meilleurs délais ». Lorsque ce n'est pas le cas, l'incident demeure néanmoins consigné au registre, avec une justification claire du raisonnement ayant mené à la décision de ne pas notifier — cette justification documentée constitue souvent l'élément le plus scruté lors d'une vérification ultérieure par la CAI.

Trois cas pratiques de PME québécoises (exemples fictifs)

Pour illustrer concrètement comment un registre des incidents fonctionne dans la réalité d'une PME, voici trois scénarios fictifs, construits à des fins purement pédagogiques et ne représentant aucune entreprise réelle, mais reflétant des situations typiques rencontrées par des PME québécoises.

Cas 1 — Cabinet comptable fictif de Laval : courriel mal adressé

Un cabinet comptable fictif, que nous appellerons « Comptables Deslauriers & Associés » et situons à Laval, a envoyé par erreur un relevé fiscal contenant les noms, adresses et numéros d'assurance sociale de 42 clients à un destinataire externe non autorisé, en raison d'une erreur de saisie dans le champ destinataire d'un logiciel de courriel. L'erreur a été détectée le lendemain matin par le destinataire lui-même, qui a signalé l'envoi erroné au cabinet.

Étant donné la présence de numéros d'assurance sociale — une donnée hautement sensible — et malgré la coopération rapide du destinataire accidentel, le cabinet a jugé, après analyse, que le risque de préjudice sérieux était suffisant pour justifier une notification à la CAI et aux 42 clients concernés. L'entrée du registre documente : la date de découverte, les 42 personnes touchées, la nature des données (nom, adresse, NAS), l'évaluation de risque concluant à un risque sérieux en raison de la sensibilité du NAS, la notification effectuée trois jours après la découverte, et les mesures correctives (ajout d'une confirmation obligatoire avant envoi de courriels contenant des pièces jointes fiscales). Coût estimé de gestion de l'incident pour le cabinet fictif : environ 4 200 $ CAD, incluant les honoraires juridiques pour la rédaction de la notification, le temps de gestion interne et l'achat d'un module de prévention de fuite de données pour la messagerie.

Cas 2 — Boutique en ligne fictive de Sherbrooke : accès non autorisé à la base de données

Une boutique en ligne fictive de vêtements, « Atelier Nordika », basée à Sherbrooke, a découvert qu'une faille de configuration sur son site de commerce électronique avait rendu accessible, pendant environ 36 heures, une interface d'administration sans authentification suffisante. Les journaux techniques ont montré des accès provenant d'adresses IP inconnues, mais aucune preuve définitive d'extraction massive de données n'a pu être établie, bien que l'accès à une base de 1 100 profils clients (noms, adresses de livraison, historiques de commandes, quatre derniers chiffres de cartes de paiement) ait techniququement été possible durant cette fenêtre.

Faute de pouvoir exclure avec certitude un accès non autorisé réel, et compte tenu du volume de personnes potentiellement touchées, l'entreprise a opté pour une notification préventive à la CAI et à sa clientèle, par prudence, même en l'absence de preuve formelle d'exfiltration. Le registre documente cette incertitude explicitement : « Accès non autorisé possible mais non confirmé ; décision de notifier par prudence en raison du volume de personnes concernées et de l'impossibilité d'exclure un accès effectif. » Coût estimé pour cette PME fictive : environ 9 500 $ CAD, incluant un audit de sécurité d'urgence, la correction de la faille de configuration, les frais de notification à 1 100 clients et une perte de ventes estimée durant la semaine ayant suivi l'annonce publique de l'incident.

Cas 3 — Clinique fictive de Trois-Rivières : ordinateur portable volé

Une clinique de physiothérapie fictive de Trois-Rivières, « Clinique MotionPlus », a signalé le vol d'un ordinateur portable appartenant à une employée, dérobé dans son véhicule stationné. L'ordinateur contenait un fichier local de suivi de rendez-vous pour environ 180 patients, incluant noms, numéros de téléphone et notes cliniques sommaires — mais l'appareil était protégé par un chiffrement de disque complet activé et un mot de passe robuste, conformément à la politique interne de la clinique.

Après analyse, la clinique a conclu que le chiffrement complet du disque réduisait considérablement la probabilité d'accès effectif aux données par le voleur, ramenant le risque de préjudice sérieux à un niveau jugé insuffisant pour déclencher une notification obligatoire. L'incident a néanmoins été intégralement consigné au registre, avec le raisonnement détaillé justifiant l'absence de notification : présence du chiffrement, mot de passe fort, aucune indication d'utilisation subséquente des données. Coût estimé pour la clinique fictive : environ 1 800 $ CAD, principalement lié au remplacement de l'appareil et à une révision volontaire des politiques de chiffrement des appareils mobiles — un montant nettement inférieur aux deux cas précédents, précisément parce que la mesure préventive du chiffrement avait déjà limité l'ampleur réelle du risque.

Budget réaliste pour mettre en place un registre conforme (en dollars CAD)

Le coût de mise en place d'un registre des incidents de confidentialité conforme varie considérablement selon l'approche choisie par la PME. Voici trois scénarios budgétaires réalistes observés sur le marché québécois :

Approche	Coût estimé	Ce que ça comprend
Modèle interne (Excel ou document structuré)	0 $ à 500 $ CAD	Gabarit conçu à l'interne ou téléchargé, temps du RPRP pour structurer les champs obligatoires, aucun outil externe
Accompagnement d'un consultant en conformité	800 $ à 3 500 $ CAD	Révision des pratiques existantes, conception d'un registre sur mesure, formation de base du personnel désigné
Outil GRC (gouvernance, risque, conformité) dédié	50 $ à 400 $ CAD par mois	Plateforme logicielle avec rappels automatisés, pistes d'audit, gestion multi-utilisateurs et modèles de notification intégrés
Accompagnement complet (consultant + audit sécurité + outil)	3 000 $ à 10 000 $ CAD la première année	Mise en conformité complète incluant l'ensemble des obligations Loi 25, pas seulement le registre

Pour la grande majorité des petites PME québécoises avec un volume d'incidents faible (quelques cas par année tout au plus), un modèle interne bien structuré, révisé une fois par un professionnel pour en valider la conformité, représente souvent le meilleur rapport coût-bénéfice. Les entreprises avec un volume d'incidents plus élevé, plusieurs sites ou des équipes multiples bénéficient généralement davantage d'un outil GRC dédié, qui réduit le risque d'oubli et facilite les audits internes.

Ressources gouvernementales et institutionnelles pour votre PME

Plusieurs organismes québécois et canadiens offrent des ressources ou du soutien aux PME dans leur démarche de conformité à la Loi 25, incluant la mise en place d'un registre des incidents de confidentialité :

• Commission d'accès à l'information (CAI) — le régulateur responsable de l'application de la Loi 25 au Québec, dont le site web (cai.gouv.qc.ca) publie des guides pratiques, des modèles et des outils d'autoévaluation destinés spécifiquement aux entreprises, incluant des indications sur la tenue du registre des incidents.
• Banque de développement du Canada (BDC) — offre du financement et de l'accompagnement conseil aux PME canadiennes, y compris pour des projets de mise à niveau technologique et de conformité réglementaire qui peuvent inclure la mise en place de processus de gestion des incidents de sécurité.
• Investissement Québec — propose des programmes de soutien financier et d'accompagnement stratégique aux entreprises québécoises, notamment pour des projets de transformation numérique qui englobent souvent, en pratique, la mise à niveau des pratiques de protection des renseignements personnels.

Consulter ces ressources avant d'entreprendre un projet de mise en conformité permet souvent à une PME de découvrir des programmes de financement ou d'accompagnement dont elle ignorait l'existence, réduisant d'autant le coût net de la démarche.

Les erreurs les plus fréquentes des PME avec leur registre

Après avoir accompagné de nombreuses PME québécoises dans leur démarche de conformité, certaines erreurs reviennent de façon récurrente et méritent une attention particulière :

Ne pas consigner les incidents mineurs

La croyance selon laquelle « ce n'était pas assez grave pour être écrit » constitue l'erreur la plus fréquente. Or, l'obligation légale ne fait aucune distinction de gravité pour l'inscription au registre — seule la gravité influence la décision de notifier, pas celle de consigner.

Aucun responsable clairement désigné

Dans plusieurs PME, personne n'est formellement chargé de la mise à jour du registre, ce qui mène à des oublis, des incohérences ou des entrées incomplètes rédigées dans la précipitation par différentes personnes au fil du temps.

Absence de politique de conservation formelle

Certaines entreprises suppriment des entrées « nettoyées » après la correction de l'incident, sans réaliser que le délai légal de conservation de 5 ans s'applique indépendamment de la résolution du problème sous-jacent.

Le registre existe seulement dans une boîte de courriel

Un registre dispersé entre plusieurs fils de discussion par courriel, sans document centralisé et structuré, ne répond pas aux exigences de la loi et rend pratiquement impossible une réponse rapide et cohérente lors d'une vérification par la CAI.

Aucune analyse documentée du risque de préjudice sérieux

Plusieurs registres se limitent à décrire l'incident sans jamais documenter formellement le raisonnement ayant mené à la décision de notifier ou non — c'est pourtant cette analyse qui protège l'entreprise en cas de contestation ultérieure.

Registre non protégé contre les accès non autorisés

Un registre des incidents contient, par nature, une cartographie complète des failles passées de l'organisation. Le laisser accessible sans contrôle d'accès adéquat constitue paradoxalement un risque de confidentialité en soi.

Pour approfondir les autres volets de la conformité Loi 25, consultez également notre guide complet sur la Loi 25 au Québec pour PME, notre analyse des amendes Loi 25 et de leurs montants réels, ainsi que notre guide spécifique pour les cabinets comptables et d'avocats, deux secteurs particulièrement exposés au risque d'incidents de confidentialité. Nos équipes accompagnent également la mise en œuvre technique de ces obligations à travers nos services d'audit de sécurité informatique et de cybersécurité en entreprise à Montréal.

Questions fréquentes — Registre des incidents de confidentialité Loi 25