Loi 25 : que faire en cas d’incident de confidentialité
Au Québec, un accès non autorisé à des renseignements personnels entraîne des obligations précises. Les grandes étapes, et comment réduire le risque à l’avance.
Les obligations principales
- Prendre des mesures raisonnables pour diminuer le risque de préjudice et éviter que l’incident se reproduise
- Évaluer si l’incident présente un risque de préjudice sérieux
- Si oui, aviser la Commission d’accès à l’information (CAI) et les personnes concernées
- Tenir un registre de tous les incidents de confidentialité, même mineurs
Réagir techniquement
- Isoler les systèmes touchés sans effacer les traces
- Changer les mots de passe et révoquer les accès suspects
- Préserver les journaux (pare-feu, serveurs, courriel)
- Identifier la cause et la corriger avant de rétablir
Prévenir
Un test d’intrusion, une revue de configuration et la segmentation du réseau réduisent la probabilité et l’ampleur d’un incident. Ce guide résume des obligations générales ; il n’est pas un avis juridique. Consultez la CAI ou un conseiller juridique pour votre situation.
Faites l’auto-évaluation de votre cybersécurité
À lire aussi
Questions fréquentes
Faut-il déclarer un incident mineur ?
Il doit être consigné au registre ; l’avis à la CAI et aux personnes s’impose lorsqu’il y a un risque de préjudice sérieux.
Un projet de test d’intrusion ?
Décrivez votre contexte en quelques lignes ; un ingénieur vous rappelle rapidement. La visite et la soumission sont gratuites.
Demande de soumission
Gratuit et sans engagement. Réponse rapide d’un ingénieur, en français ou en anglais.
- Visite et soumission gratuites
- Un ingénieur, pas un vendeur
- 15+ ans d’expérience, partout au Québec
- Matériel en stock sur altea.io
Mis à jour le 2026-11-05