Lignes directrices en cas d'atteinte à la vie privée

Les lignes directrices ont pour but de fournir des directives aux organismes du secteur privé, petits et grands, en cas d'atteinte à la vie privée. Les organismes devraient prendre des mesures préventives en se dotant de politiques et de garanties procédurales raisonnables, et en offrant la formation nécessaire.

Critères d'admissibilité

LPour ce qui est des questions ayant trait aux renseignements personnels dans le secteur privé, la commissaire peut examiner toutes les plaintes déposées en vertu de l’article 11 de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDÉ), sauf dans les provinces qui ont adopté des lois essentiellement similaires à la loi fédérale en matière de protection des renseignements personnels, soit le Québec, la Colombie-Britannique et l’Alberta. L’Ontario se classe également dans cette catégorie en ce qui concerne les renseignements personnels sur la santé que détiennent les dépositaires de cette information en vertu de la loi ontarienne sur la protection des renseignements personnels sur la santé. Cependant, même dans les provinces qui ont adopté une loi essentiellement similaire, et partout ailleurs au Canada, la LPRPDÉ s’applique toujours à tous les renseignements personnels recueillis, utilisés ou communiqués par toutes les entreprises fédérales, y compris les renseignements personnels au sujet des employés de celles-ci. En outre, la LPRPDÉ s’applique à toutes les données personnelles qui circulent d’une province ou d’un pays à l’autre, dans le cadre d’activités commerciales impliquant des organisations assujetties à cette loi ou à une loi essentiellement similaire.

Sommaire

Les lignes directrices décrivent quelques-unes des principales mesures à prendre dans le cas d'une brèche dans les renseignements personnels, telle que comment contenir la brèche, évaluer les risques, informer les personnes visées et prévenir de futures brèches.

Une atteinte à la vie privée suppose l'accès non autorisé à des renseignements personnels ou la collecte, l'utilisation ou la communication non autorisée de tels renseignements. Ces activités sont « non autorisées » lorsqu'elles contreviennent aux lois applicables en matière de protection des renseignements personnels, telles que la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDÉ), ou aux lois provinciales similaires en matière de protection des renseignements personnels. Certains des cas les plus courants d'atteinte à la vie privée surviennent lorsque des renseignements personnels de clients, de patients ou d'employés, sont volés, perdus ou communiqués par erreur (p. ex., lorsqu'un ordinateur renfermant des renseignements personnels est volé ou que des renseignements personnels sont accidentellement transmis par courriel aux mauvaises personnes). Une atteinte à la vie privée peut également découler d’une erreur de procédure ou d'une défaillance opérationnelle.

Il y a quatre principales étapes à considérer en cas de brèche, présumée ou non, dans la protection des données :

• limitation de la brèche dans la protection des données et évaluation préliminaire;
• évaluation des risques associés à la brèche dans la protection des données;
• notification; et
• prévention.

Assurez-vous de prendre chaque cas au sérieux et d'amorcer immédiatement une enquête sur l'incident en question. Vous devez suivre les premières trois étapes simultanément ou rapidement l'une après l'autre. La dernière étape comprend des recommandations relatives aux solutions à long terme et aux stratégies de prévention. La décision sur la façon de réagir devrait être prise au cas par cas.

Comme supplément aux présentes lignes directrices, il existe une liste de contrôle que les organismes peuvent consulter pour s'assurer qu'elles ont pris en compte tous les éléments appropriés en cas d'atteinte à la vie privé.

Le Commissariat à la protection de la vie privée du Canada agit, en accord avec le mandat que lui confère le Parlement, à titre d'ombudsman, de défenseur et de gardien du droit à la protection de la vie privée au Canada. Pour plus de renseignements, visitez le site Web du Commissariat à la protection de la vie privé du Canada.

Personne(s)-ressource(s) - Manitoba :
Voir la personne-ressource - palier national.

---

Personne(s)-ressource(s) - palier national :
Commissaire à la protection de la vie privée du Canada
3e étage, Tour B
Place de Ville
112, rue Kent
Ottawa (Ontario)  K1A 1H3
Téléphone : 613-995-8210
Télécopieur : 613-947-6850
Sans frais (information) : 1-800-282-1376
ATS (malentendant) : 613-992-9190
Site Web : http://www.privcom.gc.ca/index_f.asp