Gestion de crise et incidents

Le risque de préjudice sérieux

Quand un incident survient, le RPRP évalue s'il présente un risque de préjudice sérieux selon :

1. la sensibilité des renseignements concernés;
2. les conséquences appréhendées de leur utilisation;
3. la probabilité qu'ils soient utilisés à des fins préjudiciables.

Si le risque est sérieux

• aviser la CAI et les personnes concernées, avec diligence;
• prendre les mesures raisonnables pour réduire les risques et éviter qu'un incident semblable se reproduise;
• inscrire l'incident au registre (dans tous les cas, sérieux ou non), conservé 5 ans et remis à la CAI sur demande (art. 3.5 à 3.8).

Rôles pendant la crise

Bonne pratique SaaS : fixer un délai interne maximum de 4 h entre la détection et l'alerte à la direction et au RPRP, et préparer à l'avance des gabarits d'avis (voir la boîte à outils).