L'entreprise doit-elle aviser tout le monde, même pour un petit incident ?

Selon l'article 3.5, l'obligation d'aviser la CAI et les personnes concernées vise l'incident qui présente un risque qu'un préjudice sérieux soit causé.

Puis-je obtenir des dommages-intérêts ?

Selon l'article 93.1, lorsqu'une atteinte illicite à un droit prévu par la loi cause un préjudice et qu'elle est intentionnelle ou résulte d'une faute lourde, le tribunal accorde des dommages-intérêts punitifs d'au moins 1 000 $.

Quels sont les premiers gestes à faire pour me protéger ?

Voyez appels frauduleux après une fuite de données et vol d'identité : que faire.

Guides

Fuite de données : qu'est-ce qu'une entreprise est obligée de faire au Québec ?

Mis à jour le 24 octobre 2026 · Par l’équipe Efface

Qu'est-ce qu'une entreprise doit faire après une fuite de données au Québec ?

Selon l'article 3.5 de la Loi sur la protection des renseignements personnels dans le secteur privé, elle doit prendre des mesures raisonnables pour diminuer les risques. Si l'incident présente un risque de préjudice sérieux, elle doit aviser avec diligence la Commission d'accès à l'information et les personnes concernées.

Vous croyez qu'une entreprise a perdu vos renseignements, mais elle ne vous a rien dit. Voici ce que la Loi sur la protection des renseignements personnels dans le secteur privé l'oblige à faire. Si vous avez déjà reçu un avis, lisez plutôt j'ai reçu un avis d'incident de confidentialité.

Ce qui compte comme un incident

Selon l'article 3.6, un incident de confidentialité est :

1l'accès non autorisé par la loi à un renseignement personnel;
2l'utilisation non autorisée par la loi d'un renseignement personnel;
3la communication non autorisée par la loi d'un renseignement personnel;
4la perte d'un renseignement personnel ou toute autre atteinte à sa protection.

Les obligations de l'entreprise

1Selon l'article 3.5, elle doit prendre les mesures raisonnables pour diminuer les risques qu'un préjudice soit causé et éviter que de nouveaux incidents semblables se produisent.
2Selon l'article 3.7, pour évaluer le risque, elle doit considérer notamment la sensibilité du renseignement, les conséquences appréhendées de son utilisation et la probabilité qu'il soit utilisé à des fins préjudiciables. Elle doit consulter son responsable de la protection des renseignements personnels.
3Selon l'article 3.5, si l'incident présente un risque de préjudice sérieux, elle doit aviser avec diligence la Commission d'accès à l'information (CAI) et toute personne dont un renseignement est touché. Sinon, la CAI peut lui ordonner de le faire.
4Selon l'article 3.8, elle doit tenir un registre des incidents de confidentialité et en transmettre une copie à la CAI sur demande.

Quand l'avis peut être retardé

Selon l'article 3.5, une personne touchée n'a pas à être avisée tant que cela serait susceptible d'entraver une enquête d'un organisme chargé de prévenir, détecter ou réprimer le crime.

Ce que la CAI peut faire

1Selon l'article 81.4, lorsqu'un incident est porté à son attention, la CAI peut ordonner toute mesure visant à protéger les droits des personnes concernées, notamment la remise ou la destruction des renseignements.
2Selon l'article 90.1, une sanction administrative pécuniaire peut être imposée à quiconque ne déclare pas un incident à la CAI ou aux personnes concernées lorsqu'il y est tenu.
3Selon l'article 91, omettre de déclarer un incident lorsqu'on y est tenu est aussi une infraction pénale.

Quoi faire, étape par étape

1Écrivez au responsable de la protection des renseignements personnels de l'entreprise. Selon l'article 3.1, son titre et ses coordonnées doivent être publiés sur le site de l'entreprise.
2Demandez si vos renseignements sont touchés et lesquels. Pour obtenir une copie de ce qu'elle détient, voyez demander une copie de vos renseignements personnels.
3Sans réponse satisfaisante, vous pouvez porter plainte à la CAI. Selon l'article 81, une plainte peut être déposée sous le couvert de l'anonymat.

Vérifier gratuitement

Faites la recherche gratuite d'Efface. Efface peut aussi faire retirer vos infos des sites de recherche de personnes. Premier mois gratuit, puis 14,99 $ par mois, taxes en plus.

Questions fréquentes

L'entreprise doit-elle aviser tout le monde, même pour un petit incident ?: Selon l'article 3.5, l'obligation d'aviser la CAI et les personnes concernées vise l'incident qui présente un risque qu'un préjudice sérieux soit causé.
Puis-je obtenir des dommages-intérêts ?: Selon l'article 93.1, lorsqu'une atteinte illicite à un droit prévu par la loi cause un préjudice et qu'elle est intentionnelle ou résulte d'une faute lourde, le tribunal accorde des dommages-intérêts punitifs d'au moins 1 000 $.
Quels sont les premiers gestes à faire pour me protéger ?: Voyez appels frauduleux après une fuite de données et vol d'identité : que faire.

Tout ça se fait sans nous. Le problème, c’est qu’il faut le refaire sur des centaines de sites, puis recommencer quand l’information réapparaît. C’est le travail qu’Efface fait à votre place.

Voir où votre nom apparaît, gratuitement