Une atteinte à la vie privée survient lorsque des renseignements personnels sont perdus, volés, consultés sans autorisation ou divulgués à la mauvaise partie. Les scénarios d'atteinte courants dans l'assurance comprennent : un ordinateur portable avec des fichiers clients non chiffrés est volé, un document contenant des informations médicales est envoyé à la mauvaise adresse courriel, ou un dossier papier est laissé accessible dans un espace public.
En vertu de la LPRPDE (modifiée par la Loi sur la protection des renseignements personnels numériques, en vigueur depuis 2018), les organisations doivent :
- Évaluer si l'atteinte crée un risque réel de préjudice grave pour toute personne concernée
- Signaler l'atteinte au Commissariat à la protection de la vie privée du Canada si le seuil du risque réel de préjudice grave est atteint
- Aviser les personnes touchées dont les renseignements ont été impliqués dans l'atteinte lorsque le critère du risque réel est atteint
- Tenir un registre des atteintes à la vie privée pour toutes les atteintes, qu'elles atteignent ou non le seuil de risque, et conserver les dossiers pendant au moins 24 mois
Un préjudice grave comprend les atteintes corporelles, l'humiliation, les préjudices à la réputation ou aux relations, les pertes financières, le vol d'identité et les effets négatifs sur l'emploi ou la couverture d'assurance.
La Loi 25 du Québec impose des obligations supplémentaires, notamment d'informer la Commission d'acces a l'information du Quebec et les personnes touchées dans certaines circonstances.
Erreur fréquente : attendre de signaler une atteinte pendant l'enquête. L'obligation de notification court à partir du moment où l'atteinte est découverte, non à partir de la fin de l'enquête.
Rappel : Nommez les trois étapes qu'un agent ou son organisme doit prendre après une atteinte à la vie privée qui atteint le seuil du risque réel de préjudice grave.