Hyperlawbase de données juridique hypertexte Règlement sur les atteintes aux mesures de sécurité à jour au 2019-06-21

DORS-2018-64 Règlement sur les atteintes aux mesures de sécurité

À jour au 2019-06-21 · dernière modification 2018-11-01

Table des matières
Disposition

Sur recommandation du ministre de l’Industrie et en vertu du paragraphe 26(1) a de la Loi sur la protection des renseignements personnels et les documents électroniques b, Son Excellence la Gouverneure générale en conseil prend le Règlement sur les atteintes aux mesures de sécurité, ci-après. L.C. 2015, ch. 32, art. 21 L.C. 2000, ch. 5

Définition

art. 1 — Définition de Loi

Dans le présent règlement, Loi s’entend de la Loi sur la protection des renseignements personnels et les documents électroniques.

Déclaration au commissaire

art. 2 — Contenu et modalités de la déclaration
art. 2(1)

La déclaration d’atteinte aux mesures de sécurité visée au paragraphe 10.1(2) de la Loi est faite par écrit et contient les renseignements suivants :

art. 2(1)(a)

les circonstances de l’atteinte et, si elle est connue, la cause de l’atteinte;

art. 2(1)(b)

la date ou la période où il y a eu atteinte ou, si elle n’est pas connue, une approximation de la période;

art. 2(1)(c)

la nature des renseignements personnels visés par l’atteinte, pour autant qu’elle soit connue;

art. 2(1)(d)

le nombre d’individus visé par l’atteinte ou, s’il n’est pas connu, une approximation de ce nombre;

art. 2(1)(e)

les mesures que l’organisation a prises afin de réduire le risque de préjudice à l’endroit des intéressés qui pourrait résulter de l’atteinte ou afin d’atténuer un tel préjudice;

art. 2(1)(f)

les mesures que l’organisation a prises ou qu’elle entend prendre afin d’aviser les intéressés de toute atteinte en application du paragraphe 10.1(3) de la Loi;

art. 2(1)(g)

le nom et les coordonnées d’une personne qui peut répondre au nom de l’organisation aux questions du commissaire au sujet de l’atteinte.

art. 2(2) — Nouveaux renseignements

L’organisation peut transmettre au commissaire tout nouveau renseignement visé au paragraphe (1) dont elle prend connaissance après avoir fait la déclaration.

art. 2(3) — Moyen de communication

La déclaration peut être transmise au commissaire par tout moyen de communication sécurisé.

Avis à l’intéressé

art. 3 — Contenu de l’avis

L’avis donné par l’organisation, en application du paragraphe 10.1(3) de la Loi à l’intéressé, relativement à l’atteinte aux mesures de sécurité, contient les renseignements suivants :

art. 3(a)

les circonstances de l’atteinte;

art. 3(b)

la date ou la période où il y a eu atteinte ou, si elle n’est pas connue, une approximation de la période;

art. 3(c)

la nature des renseignements personnels visés par l’atteinte, pour autant qu’elle soit connue;

art. 3(d)

les mesures que l’organisation a prises afin de réduire le risque de préjudice qui pourrait résulter de l’atteinte;

art. 3(e)

les mesures que peut prendre tout intéressé afin de réduire le risque de préjudice qui pourrait résulter de l’atteinte ou afin d’atténuer un tel préjudice;

art. 3(f)

les coordonnées permettant à l’intéressé de se renseigner davantage au sujet de l’atteinte.

art. 4 — Avis direct — modalités

Pour l’application du paragraphe 10.1(5) de la Loi, l’avis est donné directement à l’intéressé en personne, par téléphone, par courrier, par courriel ou par tout autre moyen de communication qu’une personne raisonnable estimerait acceptable dans les circonstances.

art. 5 — Avis indirect — circonstances
art. 5(1)

Pour l’application du paragraphe 10.1(5) de la Loi, l’avis est donné indirectement par l’organisation dans l’une ou l’autre des circonstances suivantes :

art. 5(1)(a)

le fait de donner l’avis directement est susceptible de causer un préjudice accru à l’intéressé;

art. 5(1)(b)

le fait de donner l’avis directement est susceptible de représenter une difficulté excessive pour l’organisation;

art. 5(1)(c)

l’organisation n’a pas les coordonnées de l’intéressé.

art. 5(2) — Avis indirect — modalités

Pour l’application du paragraphe 10.1(5) de la Loi, l’avis est donné indirectement par une communication publique ou par toute mesure similaire dont on peut raisonnablement s’attendre à ce qu’elle permette de joindre l’intéressé.

Tenue du registre

art. 6 — Registre — modalité
art. 6(1)

Pour l’application du paragraphe 10.3(1) de la Loi, l’organisation conserve le registre de toute atteinte aux mesures de sécurité pendant vingt-quatre mois après la date à laquelle elle conclut qu’il y a eu atteinte.

art. 6(2) — Conformité

Le registre visé au paragraphe 10.3(1) de la Loi contient tout renseignement qui permet au commissaire de vérifier la conformité aux paragraphes 10.1(1) et (3) de la Loi.

Entrée en vigueur

*7 — L.C. 2015, ch. 32

Le présent règlement entre en vigueur à la date d’entrée en vigueur de l’article 10 de la Loi sur la protection des renseignements personnels numériques ou, si elle est postérieure, à la date de son enregistrement.[Note : Règlement en vigueur le 1 er novembre 2018, voir TR/2018-32.]