Registre des incidents Loi 25 : Guide pratique et modèle pour PME (2026)

Comment bâtir un registre d'incidents de confidentialité conforme à la Loi 25 sans logiciel coûteux. Critères de la CAI, architecture et modèles pour PME.

Au Québec, la Loi 25 impose à toutes les entreprises — peu importe leur taille — de tenir un registre des incidents de confidentialité. Pourtant, la majorité des gestionnaires et dirigeants de PME pensent à tort qu’un simple courriel interne ou une note informelle suffit.

En cas de vérification par la Commission d’accès à l’information (CAI) ou d'audit par votre assureur cyber, l’absence d'un registre structuré expose votre entreprise à des sanctions financières majeures et à un refus de renouvellement de couverture.

Voici exactement ce que la loi exige et comment déployer un registre conforme en utilisant vos outils déjà en place.

1. Qu’est-ce qu’un « incident de confidentialité » selon la loi ?

   1. Un incident ne se résume pas à une attaque de rançongiciel (ransomware) spectaculaire. Aux yeux de la CAI, trois situations constituent un incident :

      1. L’accès non autorisé à un renseignement personnel (ex. : boîte de messagerie compromise).

      2. L’utilisation non autorisée d’un renseignement personnel.

      3. La communication non autorisée (ex. : un état de compte envoyé au mauvais destinataire par erreur de saisie automatique Outlook).

      4. Tout événement de ce type doit être consigné au registre, même s’il ne présente aucun risque de préjudice grave.

2. Les 6 champs obligatoires exigés par la CAI

   1. Pour satisfaire aux exigences réglementaires, chaque entrée de votre registre doit comporter au minimum :

      1. La date ou la période où l’incident s’est produit (ou celle de sa constatation).

      2. La description précise des circonstances entourant l’incident.

      3. Le type et la sensibilité des renseignements personnels touchés (coordonnées d'affaires, dossiers bancaires, données RH, numéros d'assurance sociale).

      4. Le nombre de personnes visées (ou une estimation documentée).

      5. L’évaluation du risque de préjudice sérieux (analyse des conséquences pour les personnes concernées).

      6. Les mesures d'atténuation et de prévention appliquées pour neutraliser l'incident et empêcher sa récidive.

3. Le piège de l’évaluation du « préjudice sérieux »

   1. La question la plus critique lors d’un incident est la suivante : faut-il aviser la CAI et les personnes touchées ?

   2. La notification n'est obligatoire que si l'incident présente un risque de préjudice sérieux. Pour l'évaluer, vous devez analyser trois facteurs:

      1. La sensibilité des renseignements (un mot de passe ou des coordonnées bancaires présentent un risque immédiat supérieur à un simple nom d’affaires).

      2. Les conséquences appréhendées (vol d'identité, préjudice financier, atteinte à la réputation).

      3. La probabilité que les données soient exploitées à des fins malveillantes.

      4. Si ce risque est avéré, la notification à la CAI doit être transmise avec diligence via le formulaire officiel.

4. Bâtir son registre : Pourquoi éviter les fichiers Excel non sécurisés

   1. Gérer un registre sur une feuille de calcul Excel locale partagée par courriel pose deux problèmes majeurs :

      1. Absence d'audit log : Impossible de prouver qui a modifié une entrée ou à quelle date exacte l'incident a été clos.

      2. Vulnérabilité aux ransomwares : Si votre serveur de fichiers local est chiffré, votre registre d'incidents disparaît en même temps que vos données.

      3. L’approche recommandée pour une PME consiste à héberger le registre dans un environnement sécurisé et journalisé, comme une liste Microsoft Lists / SharePoint Online dotée d'une politique d'accès conditionnel et de sauvegardes immuables.

      
      

Prêt pour un audit sans perdre 40 heures de consultation ?

Ne laissez pas un souscripteur d'assurance ou un avis de conformité paralyser vos opérations.

Découvrez notre kit de conformité prêt à l'emploi par Turnkey IT : il inclut l'architecture complète du registre Microsoft Lists prête à déployer, la politique de gouvernance interne adaptée aux PME et la grille des 10 contrôles incontournables exigés par les assureurs cyber.