Incident de confidentialité en pratique privée : le plan d’action du thérapeute

Un courriel clinique envoyé à la mauvaise personne. Un ordinateur portable oublié dans un café. Un compte compromis. Dans une pratique privée, un incident de confidentialité peut commencer par une erreur de quelques secondes, mais la réponse doit être structurée.

Au Québec, la Loi 25 demande notamment d’évaluer le risque de préjudice sérieux, de notifier les personnes concernées et la Commission d’accès à l’information lorsque le seuil est atteint, et de tenir un registre de tous les incidents de confidentialité. Voici un plan pratique pour agir sans aggraver la situation.

1. Stabiliser la situation immédiatement

La première priorité est de limiter la diffusion des renseignements, pas de trouver un coupable.

• Rappelez ou désactivez un lien partagé par erreur.
• Demandez au mauvais destinataire de ne pas ouvrir, copier ou transférer le document, puis de le supprimer.
• Déconnectez un appareil compromis du réseau sans l’effacer.
• Réinitialisez les identifiants touchés et activez la MFA si elle ne l’est pas.
• Préservez les journaux, courriels, captures d’écran et heures exactes.

Évitez de supprimer les preuves ou de communiquer une explication improvisée à tous les clients avant d’avoir établi les faits. Désignez une personne responsable de coordonner la réponse, même si vous êtes seul : vous pouvez inscrire ce rôle dans votre plan interne et prévoir un contact de secours.

2. Décrire les faits, sans spéculer

Créez une fiche d’incident avec une chronologie courte :

1. Quand l’incident a-t-il été découvert?
2. Quel système, appareil ou support est concerné?
3. Quels renseignements personnels pourraient être touchés?
4. Combien de personnes sont potentiellement concernées?
5. Qui a pu accéder aux renseignements et pendant combien de temps?
6. Quelles mesures de confinement ont déjà été prises?

Notez ce que vous savez et ce que vous devez encore vérifier. Un dossier utile peut contenir le nom du système, la catégorie de renseignements, les personnes avisées, les décisions prises et la date de fermeture de l’incident. N’inscrivez pas de détails cliniques inutiles dans les courriels de coordination.

3. Évaluer le risque de préjudice sérieux

La question n’est pas uniquement « y a-t-il eu une fuite? », mais « l’incident présente-t-il un risque de préjudice sérieux pour une personne? » Analysez au minimum :

• la sensibilité des renseignements, par exemple une note clinique, un diagnostic ou une information sur la violence;
• la probabilité qu’ils soient utilisés ou communiqués à mauvais escient;
• la nature de l’accès : mauvais destinataire connu, appareil volé, compte exposé ou attaque active;
• les mesures qui réduisent le risque, comme le retrait rapide d’un lien ou le chiffrement;
• la vulnérabilité particulière de la personne concernée.

Documentez votre raisonnement même si vous concluez qu’aucun avis n’est requis. Au Québec, le registre doit couvrir tous les incidents, pas seulement ceux qui atteignent le seuil de préjudice sérieux. Les obligations peuvent différer si votre pratique relève aussi d’un régime provincial ou fédéral : en cas de doute, obtenez un avis professionnel.

4. Aviser les bonnes personnes au bon moment

Si le risque de préjudice sérieux est établi, l’entreprise doit aviser la Commission d’accès à l’information et les personnes concernées avec diligence. L’avis devrait expliquer, dans un langage compréhensible, ce qui s’est produit, quels renseignements sont visés, quelles mesures ont été prises et ce que la personne peut faire pour se protéger.

Si la pratique est assujettie à la LPRPDE, le Commissariat à la protection de la vie privée du Canada exige aussi le signalement des atteintes qui présentent un risque réel de préjudice important, l’avis aux personnes touchées et la conservation d’un registre des atteintes. Le régime applicable dépend du contexte et de la province : ne présumez pas que le formulaire ou le délai d’un régime remplace l’autre.

N’envoyez jamais une liste de clients touchés en copie visible. Utilisez un canal sécurisé, vérifiez les coordonnées et faites relire l’avis par votre conseiller juridique ou votre assureur lorsque l’incident est important.

5. Corriger la cause, pas seulement l’erreur

Après le confinement, cherchez le contrôle qui manquait :

• double vérification obligatoire avant une pièce jointe;
• liens qui expirent et accès individualisés;
• MFA sur le courriel, le logiciel clinique et les appareils;
• chiffrement et verrouillage automatique;
• sauvegardes testées et séparées du réseau principal;
• procédure de départ pour retirer les accès;
• formation courte et répétée sur l’hameçonnage.

Le Centre canadien pour la cybersécurité recommande d’intégrer à un plan d’intervention les rôles, les communications, la sauvegarde et la récupération. Testez ce plan une fois par an avec un scénario réaliste : « un téléphone contenant une session ouverte est perdu » est suffisant pour révéler plusieurs lacunes.

6. La checklist à garder hors du logiciel

Conservez une version imprimée ou hors ligne de ces contacts et étapes :

• responsable de la protection des renseignements personnels;
• fournisseur du logiciel et procédure d’urgence;
• assureur responsabilité professionnelle et cyberassurance;
• conseiller juridique;
• CAI Québec et Commissariat fédéral, selon le régime applicable;
• procédure de réinitialisation des comptes;
• emplacement des sauvegardes et dernière date de test.

FYL.care aide à centraliser les dossiers administratifs et les suivis de pratique dans un espace structuré. Découvrez FYL.care pour réduire la dispersion de vos informations.

FAQ

Dois-je déclarer chaque courriel envoyé à la mauvaise personne?

Chaque incident doit être analysé et inscrit au registre. Un avis à la CAI et aux personnes concernées dépend ensuite du risque de préjudice sérieux et du régime de protection applicable.

Que faire si je ne sais pas si un fichier a été ouvert?

Conservez les journaux disponibles, demandez au fournisseur de confirmer les accès et documentez l’incertitude. Ne concluez pas automatiquement que l’absence de preuve signifie l’absence d’accès.

Puis-je gérer seul un incident dans une petite pratique?

Vous pouvez coordonner les premières mesures, mais prévoyez d’avance les recours à votre fournisseur, votre assureur et un conseiller spécialisé. La taille du cabinet ne supprime pas les obligations de protection.

Un registre d’incidents est-il obligatoire au Québec?

Oui. Les entreprises doivent tenir un registre des incidents de confidentialité impliquant des renseignements personnels et pouvoir le communiquer à la Commission sur demande.