Un incident en matière de sécurité des renseignements personnels (« Incident ») signifie :

1. l’accès non autorisé par la loi à un renseignement personnel;

2. l’utilisation non autorisée par la loi d’un renseignement personnel;

3. la communication non autorisée par la loi d’un renseignement personnel;

4. la perte d’un renseignement personnel ou toute autre atteinte à la protection d’un tel renseignement.

Cette politique a pour objectif de nous assurer, de façon raisonnable eu égard aux circonstances, que chaque Incident potentiel, appréhendé ou réel de sécurité des renseignements personnels soit détecté, identifié, signalé, contenu, documenté, analysé et qu’il y soit remédié rapidement, conformément aux exigences légales, de façon à limiter au mieux tout impact négatif.

Ainsi, tout Incident réel ou soupçonné doit être signalé à la personne responsable de la protection des renseignements personnels. Il pourra s’agir, par exemple, de l’accès aux renseignements personnels ou aux systèmes informatiques par une personne non autorisée, de l’accès physique à une zone sécurisée ou sensible, du partage non autorisé d’identifiant de connexion ou de mot 12

de passe, de la perte d’un appareil contenant des renseignements personnels, de piratage, d’un défaut de fonctionnement d’un logiciel ou du matériel, de l’envoi d’information à un mauvais destinataire, etc.

Un tel signalement déclenche la tenue d’une enquête qui permet de colliger toute l’information pertinente, d’évaluer la gravité de l’Incident et de prendre rapidement toutes les mesures correctrices raisonnables et appropriées nécessaires, le cas échéant, afin de contenir sans délai toute violation réelle ou potentielle de la sécurité des renseignements personnels.

Lorsque l’Incident est contenu et les renseignements personnels sécurisés, une évaluation de l’étendue et des répercussions de l’Incident est effectuée après enquête exhaustive et collecte des renseignements pouvant être recueillis. Lorsque la cause de l’Incident est identifiée, une stratégie de correction doit être planifiée et appliquée.

Cette politique porte également sur la manière dont les personnes touchées seront avisées. Ainsi, si certains renseignements personnels d’un client ou d’une cliente ont été compromis, un avis écrit lui sera transmis dans les meilleurs délais et conformément à la loi, en, fournissant notamment une description générale de l’Incident, la liste des renseignements personnels compromis, une description des mesures que nous avons prises pour protéger les renseignements personnels et éviter la survenance d’un Incident similaire et les coordonnées de la personne pouvant être contactée pour obtenir plus d’information. Un avis à la Commission d’accès à l’information sera également transmis lorsque l’Incident présente un risque sérieux qu’un préjudice soit causé.

Une personne dont un renseignement personnel est concerné par l’Incident n’a pas à être avisée tant que cela serait susceptible d’entraver une enquête faite par une personne ou par un organisme qui, en vertu de la loi, est chargé de prévenir, détecter ou réprimer le crime ou les infractions aux lois.