La Clinique Omicron Inc. prend très au sérieux la gestion des incidents de confidentialité afin de protéger les renseignements personnels qu’elle détient. Un cadre rigoureux est en place pour détecter, signaler, évaluer et traiter rapidement tout incident de manière à limiter ses impacts et à se conformer aux obligations légales.

12.1. Définition d’un incident de confidentialité

Un incident de confidentialité désigne tout événement impliquant :
– L’accès non autorisé à des renseignements personnels, que cet accès soit intentionnel ou accidentel.
– L’utilisation non autorisée de renseignements personnels à des fins non prévues ou non consenties.
– La communication non autorisée de renseignements personnels à des tiers sans le consentement requis ou en violation des lois applicables.
– La perte de renseignements personnels, y compris leur suppression accidentelle, leur vol, ou leur inaccessibilité temporaire ou permanente.

Exemples d’incidents de confidentialité :
– Envoi d’informations médicales à un mauvais destinataire.
– Piratage de systèmes informatiques contenant des données sensibles.
– Perte d’un ordinateur portable non sécurisé contenant des dossiers confidentiels.
– Accès non autorisé à des dossiers par un employé non habilité.

12.2. Procédures de signalement et de gestion des incidents

La Clinique Omicron a mis en place une procédure de gestion des incidents de confidentialité pour assurer une réponse rapide et efficace en cas d’incident. Cette procédure comprend les étapes suivantes :

– Détection et signalement de l’incident
– Tout employé, prestataire ou partenaire de la Clinique doit signaler immédiatement tout incident de confidentialité suspecté ou confirmé.
– Le signalement se fait directement auprès du Responsable de la protection des renseignements personnels (RPRP) par courriel à : protectionrenseignements@cliniqueomicron.ca
– Le rapport d’incident doit contenir une description détaillée de l’événement, y compris la date, l’heure, la nature des renseignements concernés, et les circonstances de l’incident.

– Évaluation de l’incident 
– Le RPRP procède à une analyse approfondie pour déterminer la nature de l’incident, les causes, l’étendue de l’impact, et le risque potentiel pour les personnes concernées.
– L’évaluation des risques prend en compte la sensibilité des renseignements compromis, la probabilité d’utilisation malveillante, et les conséquences possibles pour la vie privée des individus.

– Mesures correctives immédiates 
– Prise de mesures pour contenir l’incident (ex. : suspension des accès non autorisés, restauration des données, sécurisation des systèmes compromis).
– Mise en œuvre de solutions pour corriger les vulnérabilités identifiées et prévenir la récurrence de l’incident.
– Documentation complète de l’incident, des mesures prises et des résultats de l’évaluation des risques.

12.3. Obligation de notification aux personnes concernées et aux autorités

Lorsqu’un incident de confidentialité présente un risque sérieux de préjudice pour les personnes concernées, la Clinique Omicron a l’obligation de les informer ainsi que les autorités compétentes.

– Notification aux personnes concernées 
– L’avis est transmis dès que possible après la découverte de l’incident.
– Il comprend :
– Une description de l’incident et des renseignements personnels concernés.
– Les risques possibles pour la personne concernée.
– Les mesures prises pour atténuer les effets de l’incident.
– Les mesures que la personne concernée peut prendre pour se protéger (ex. : surveillance de crédit, modification de mots de passe).
– Les coordonnées du Responsable de la protection des renseignements personnels pour toute question.

– Notification aux autorités compétentes 
– La Commission d’accès à l’information du Québec (CAI) doit être informée lorsque l’incident présente un risque sérieux de préjudice.
– La notification inclut des détails sur la nature de l’incident, le type de renseignements touchés, les mesures prises, et le nombre de personnes concernées.

– Tenue d’un registre des incidents 
– La Clinique Omicron tient à jour un registre des incidents de confidentialité, documentant chaque incident signalé, qu’il ait ou non nécessité une notification formelle.
– Ce registre peut être exigé lors d’une vérification ou d’une enquête par la CAI.

La gestion rigoureuse des incidents de confidentialité reflète l’engagement de la Clinique Omicron à protéger la vie privée des personnes concernées et à réagir de manière proactive en cas de brèche de sécurité.