27 mai 2025
Arrêt de la diffusion de la liste de déclarations d’incidents de confidentialité
La Commission cesse la diffusion de la liste des organismes publics et des entreprises (organisation) ayant déclaré à la Commission des incidents de confidentialité. Cette décision vise une protection accrue des renseignements personnels des citoyens touchés par les incidents de confidentialité.
Cette orientation vise à :
- Minimiser le risque de préjudice aux citoyens;
- Éviter de dévoiler l’existence d’une vulnérabilité informatique ou des enjeux de cybersécurité;
- Éviter de nuire à la gestion de l’incident par l’organisation;
- Préserver l’exercice des fonctions et des pouvoirs en surveillance de la Commission, notamment en matière d’enquête, en cours ou à venir.
En matière de protection des renseignements personnels, la Commission rappelle que lorsqu’une organisation a des motifs de croire qu’un incident de confidentialité s’est produit, elle doit prendre les mesures raisonnables pour diminuer les risques qu’un préjudice soit causé et éviter que de nouveaux incidents de même nature ne se produisent.
Si l’incident présente un risque de préjudice sérieux, l’organisation a l’obligation d’aviser la Commission avec diligence. De plus, elle doit aviser toute personne dont un renseignement personnel est concerné par l’incident. À défaut, la Commission peut lui ordonner de le faire.
La Commission continuera de diffuser des données statistiques sur les déclarations d’incidents de confidentialité qu’elle reçoit.
Pour plus d’information sur les incidents de confidentialité, sur les règles générales en matière d'incidents de confidentialité, sur les obligations des organisations en cas d'incident de confidentialité et sur la prévention des incidents de confidentialité :