Une fuite de données touchant des résidents du Québec a été rapportée par un média local, sans que les circonstances exactes soient confirmées à ce jour. Ce type de situation, même incomplètement documenté, rappelle les obligations qui s’appliquent à toute organisation détenant des renseignements personnels au Québec.

L’essentiel

  • L’origine, l’ampleur et le type de données touchées par cet incident ne sont pas confirmés à ce jour selon les informations disponibles.
  • La Loi 25 impose un registre des incidents de confidentialité à toute organisation québécoise, peu importe sa taille.
  • Une notification à la Commission d’accès à l’information peut être requise lorsque le risque de préjudice sérieux est présent.
  • L’incertitude sur les détails d’un incident ne dispense aucune organisation de vérifier sa propre exposition.

Que sait-on réellement de cette fuite de données ?

Selon les informations rapportées par un média local, une fuite de données aurait touché des résidents du Québec. Ni l’origine de l’incident, ni le nombre de personnes concernées, ni le type de renseignements exposés n’ont été confirmés publiquement à ce jour, et aucune organisation visée n’a été identifiée.

Ce niveau d’incertitude est fréquent au stade initial de la couverture médiatique d’un incident de sécurité : les faits se précisent souvent progressivement, à mesure que des vérifications sont faites. Cela ne signifie toutefois pas que l’incident est mineur, ni qu’il est majeur. Nous nous en tenons ici à ce qui est rapporté, sans supposer une cause, une victime ou une ampleur qui ne sont pas confirmées.

Pourquoi le flou entourant les détails ne change rien à vos obligations légales ?

Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé oblige toute organisation à tenir un registre des incidents de confidentialité et à aviser la Commission d’accès à l’information lorsqu’un incident présente un risque de préjudice sérieux, que l’origine de cet incident soit connue ou non.

Cette obligation ne dépend pas de la couverture médiatique d’un cas précis. Elle s’applique en continu, dès qu’une organisation constate un incident touchant des renseignements personnels qu’elle détient, qu’il s’agisse de données de clients, de membres ou d’employés. Un incident rapporté ailleurs dans les médias sert surtout de rappel : il vaut la peine de vérifier que votre propre registre d’incidents existe et est à jour, indépendamment de ce cas particulier.

Comment une fuite de données se produit-elle habituellement ?

En général, une fuite de données résulte d’un accès non autorisé à un système contenant des renseignements personnels, qu’il découle d’une faille technique, d’une erreur humaine ou d’une manipulation par ingénierie sociale. Les renseignements sont ensuite extraits puis, dans certains cas, rendus publics ou revendus, sans que la victime en soit informée avant coup.

Ce schéma général ne préjuge en rien de ce qui s’est produit dans le cas rapporté ici, puisque les circonstances précises ne sont pas connues. Il illustre simplement pourquoi une organisation ne peut pas attendre la confirmation d’une cause précise pour agir : les points d’entrée possibles sont multiples, et la plupart des organisations n’ont pas une visibilité complète sur l’ensemble de leurs systèmes exposés.

Comment vérifier concrètement l’exposition de votre organisation ?

Le Centre canadien pour la cybersécurité propose une liste de contrôles de base pour les petites et moyennes organisations, couvrant la gestion des accès, la sauvegarde des données et la sensibilisation du personnel. Passer ces contrôles en revue permet de cibler les zones où votre organisation reste vulnérable, sans attendre qu’un incident survienne.

Une revue de ce type ne rend aucun scénario impossible, mais elle rend nettement plus difficile un accès non autorisé aux renseignements personnels que vous détenez. Elle permet aussi de documenter les mesures déjà en place, ce qui est utile pour votre registre d’incidents au sens de la Loi 25, même en l’absence de tout incident survenu chez vous.

FAQ

Mon organisation est-elle concernée par cette fuite précise ?

À ce stade, rien ne permet de savoir si une organisation en particulier est visée, puisque ni le nom d’une entité touchée ni l’origine de l’incident n’ont été rendus publics selon les informations disponibles. Il serait prématuré d’affirmer qu’une PME ou un OBNL précis est concerné tant qu’aucune confirmation officielle n’a été publiée. Cela dit, l’absence de nouvelles précisions ne signifie pas l’absence de risque : toute organisation qui détient des renseignements personnels de résidents québécois devrait profiter de ce type d’annonce pour revoir ses propres pratiques de sécurité, plutôt que d’attendre de savoir si elle figure parmi les organisations touchées.

La Loi 25 s’applique-t-elle même si mon organisation n’est pas liée à cet incident ?

Oui. La Loi 25 s’applique à toute organisation qui recueille, utilise ou conserve des renseignements personnels de résidents du Québec, peu importe sa taille ou son secteur, et indépendamment de tout incident précis rapporté dans les médias. Elle impose notamment la tenue d’un registre des incidents de confidentialité et l’évaluation, pour chaque incident interne, du risque de préjudice sérieux qui déterminera s’il faut aviser la Commission d’accès à l’information et les personnes concernées. Cette obligation existe en continu, qu’un incident externe fasse la nouvelle ou non, et elle s’applique aussi bien aux entreprises qu’aux organismes à but non lucratif qui gèrent des données de membres, de donateurs ou de clients.

Quelles sont les premières mesures à prendre si je soupçonne une fuite chez moi ?

Sans promettre de délai ni de résultat, la démarche générale consiste d’abord à confirmer l’ampleur réelle de ce qui a pu être exposé. Il faut ensuite évaluer si le risque de préjudice sérieux est présent, ce qui déterminera l’obligation d’aviser la Commission d’accès à l’information et les personnes concernées en vertu de la Loi 25. En parallèle, il est utile de resserrer les accès aux systèmes visés et de consulter des ressources de référence, comme les contrôles de base du Centre canadien pour la cybersécurité. Faire appel à des ressources externes spécialisées peut aider à structurer cette démarche, sans qu’aucun prestataire ne puisse garantir un résultat ou un échéancier précis.

Sources

Source : Francoischarron.com · https://news.google.com/rss/articles/CBMiogFBVV95cUxPbkRCZW5wdjZkMUYybzI4Y20tRUtXRmRUcEFOUzNidHBkTG95TGNiUGhHd2I0NzU0RlNFT2VUQ3gyTlIxT3ZidXdNV01rR0l6MXIwM1ZRZ0pVdHJmcU1HdW05WFBpNTNlT0EwN3U1alJCWERlaWlXc3RPdWdkN291YkF6RnJyRXcwUTlROXJlZnVPS2wzSmZQRmZLSHRrdFltNnc?oc=5