À compter du 22 septembre 2022, les organisations devront aviser la Commission et les personnes concernées de tout incident de confidentialité impliquant un renseignement personnel qu’elles détiennent et présentant un risque de préjudice sérieux.
Les organisations devront également tenir un registre des incidents de confidentialité qui devra être communiqué à la Commission sur demande.