Ce cet article se concentre sur les exigences de notification des violations. Pour une comparaison plus générale de ces textes, veuillez consulter notre article complémentaire here.
|
PIPEDA |
Qu’événement déclenche l’obligation? | Une violation des mesures de sécurité impliquant des informations personnelles est soumise aux règles de signalement des atteintes à la vie privée. | Existe-t-il une norme de seuil lorsque la déclaration est obligatoire? | An organisation doit signaler toute violation des mesures de sécurité impliquant des renseignements personnels s’il est raisonnable de croire que l’atteinte crée un risque réel de préjudice important pour une personne. | Est-ce que la loi définit les facteurs qui influencent le risque ou le préjudice? | Definition: « les dommages importants comprennent les lésions corporelles, l’humiliation, les dommages à la réputation ou aux relations, la perte d’emploi, les opportunités commerciales ou professionnelles, la perte financière, le vol d’identité, les effets négatifs sur le dossier de crédit et les dommages ou la perte de biens. » Les facteurs indiquant un risque réel de préjudice important sont la sensibilité des renseignements personnels en cause dans l’atteinte; et la probabilité que les renseignements personnels aient été, soient ou seront utilisés à mauvais escient. |
Est-ce que la loi définit la rapidité avec laquelle on doit signaler? | La notification doit être donnée dès que possible après que l’organisation a déterminé que la violation s’est produite. | Reporting to the commissioner? | Yes, au commissaire fédéral à la protection de la vie privée (dans cette colonne, le « commissaire »). | Est-ce que la loi prescrit ce qui doit être signalé au commissaire? |
L’avis doit contenir : (a) une description des circonstances de la violation; (b) le jour où, ou la période au cours de laquelle, la violation s’est produite; (c) une description des renseignements personnels impliqués dans l’atteinte; (d) une estimation du nombre de personnes pour lesquelles il existe un risque réel de préjudice important; (e) une description de toutes les mesures que l’organisation a prises pour réduire le risque de préjudice; (f) une description de toutes les mesures que l’organisation a prises pour informer les individus de l’atteinte; et g) le nom et les coordonnées d’une personne qui peut répondre, au nom de l’organisation, aux questions du commissaire au sujet de l’atteinte. |
Qu’est-ce que la sanction prend si l’on ne fait pas rapport au commissaire? |
Le défaut de donner un avis au commissaire constitue une infraction et peut entraîner une amende pouvant aller jusqu’à 100 000 $ pour un organisme. La Cour peut ordonner à l’organisation : de corriger ses pratiques; et publier un avis de toute mesure prise pour corriger ses pratiques. |
Reporting to the individual? | An organisation doit aviser une personne de toute violation des mesures de sécurité mettant en cause les renseignements personnels de l’individu sous le contrôle de l’organisation s’il est raisonnable dans les circonstances de croire que l’atteinte crée un risque réel de préjudice important pour la personne. | Est-ce que la loi traite de la déclaration aux autres? | Une organisation qui avise une personne d’une violation des mesures de sécurité doit aviser toute autre organisation, y compris les institutions gouvernementales, de la violation si l’organisation notifiante croit que l’autre organisation concernée peut être en mesure de réduire le risque de préjudice. | Est-ce que la loi prescrit ce qui doit être signalé à l’individu? |
L’avis doit inclure :
|
L’avis doit inclure:
|
|
| Yes, à condition que la notification de la ou des personnes impliquerait un « effort disproportionné ». | Notification may be given to an individual indirectly if the Commissioner allows so. | |||||||||||||||||||||
|
La personne concernée a le droit de :
|
Le commissaire peut rendre toute ordonnance qu’il juge appropriée. La Cour peut ordonner à l’organisation de verser des dommages-intérêts au plaignant pour la perte ou le préjudice. |
|||||||||||||||||||||
| Le responsable du traitement doit documenter toute violation de données personnelles, y compris les faits relatifs à la violation, ses effets et les mesures correctives prises. Cette documentation permettra à l’autorité de surveillance de vérifier la conformité au RGPD. | PIPA n’impose aucune exigence spécifique pour conserver les enregistrements liés aux violations. | |||||||||||||||||||||
|
Un avis à la personne n’est requis dans aucune des circonstances suivantes :
|
L’organisation n’est pas tenue d’aviser le commissaire s’il n’y a pas de risque réel de préjudice important pour une personne en raison de la perte ou de l’accès ou de la divulgation non autorisés de renseignements personnels. L’organisation n’est pas tenue de donner un avis à la personne à moins que le commissaire ne l’ordonne. |
Si vous souhaitez en savoir plus sur ce que votre entreprise peut faire pour se préparer à une réponse obligatoire aux atteintes à la vie privée au Canada, les membres de notre équipe de confidentialité peuvent vous aider. Si vous souhaitez en savoir plus sur l’impact potentiel du RGPD sur votre entreprise, les membres de notre équipe de confidentialité peuvent vous aider et, le cas échéant, vous diriger vers des conseils européens expérimentés.