Incidents et gestion des violations

Qu'est-ce qu'un incident?

Un incident est toute violation ou quasi-incident impliquant des données personnelles : accès non autorisé, perte, divulgation accidentelle, rançongiciel ou compromission de système. Les réglementations exigent une notification rapide lorsque le risque de préjudice existe.

Un parcours clair, étape par étape

Chaque incident suit les mêmes étapes — pour que l’équipe sache où en est le dossier :

• Brouillon → Enquête → Évaluation des risques → Notification → Fermé
• Le dossier avance quand une tâche est terminée ou qu’un délai arrive
• Les échéances légales restent visibles (ex. 72 h RGPD, délais Loi 25)

Double notation de risque

Chaque incident est évalué sur deux dimensions:

• Sévérité réglementaire: Atteint-il les seuils de notification sous Loi 25, LPRPDE ou RGPD?
• Impact organisationnel: Matrice de risque interne (volume de données, sensibilité, dommage réputationnel).

Les scores guident les prochaines actions mais ne remplacent pas le jugement juridique — les cas complexes nécessitent toujours une révision par le DPD ou un conseiller.

Exports réglementaires

Une fois l'enquête terminée, exportez les rapports d'incident vers la CAI (Québec), OPC (fédéral) ou autorités de surveillance RGPD. Les formats d'export incluent champs pré-remplis, chronologie, nombre de personnes affectées et étapes d'atténuation.

Sujets connexes