Your privacy incident register
Keeping the register of confidentiality incidents that Québec’s Law 25 and PIPEDA ask for: recording what happened, the risk assessment, the notices you sent yourself, closing or voiding a record, and the download you keep.
6 chapters · 2:59 · narrated in English · captions in English and French
Module 59 · 6 chapters · 2:59
Your privacy incident register
Keeping the register of confidentiality incidents that Québec’s Law 25 and PIPEDA ask for: recording what happened, the risk assessment, the notices you sent yourself, closing or voiding a record, and the download you keep.
Example store: Maple & Brass, a jewellery shop in Toronto. Names, addresses and figures are made up.
Transcript
01 Why keep a register
Québec’s Law 25 asks you to keep a register of every confidentiality incident, even one with no risk of harm, and PIPEDA asks for a record of every breach of security safeguards.
Keep it in “Privacy incidents” under “Settings”. Only owners and admins can open it; anyone else is asked to tell one of them, so they can record it.
The register keeps the record and notifies nobody: BestWebby does not report to the Commission or the Privacy Commissioner, or contact the people affected. You send those notices.
It is a record-keeping tool, not legal advice, and keeping it does not by itself make your store compliant.
02 Record what happened
Click “Record an incident”. Under “What happened”, give it a “Title”, describe the “Circumstances”, and choose the “Kind of incident” and “Where it happened”.
Tick the “Kinds of information” involved, or say why they are not known yet, and enter the “Number of people” and how many are in Québec, under “Of whom in Quebec”.
Write what happened and how many people, never who they are: the form refuses email addresses and phone numbers. A reference such as an order number is fine.
03 Dates, steps taken and the contact
Under “When”, enter when it happened, the day “You became aware”, and the day “You determined it happened”, which is the day you became aware unless you change it.
Under “What you did”, write the “Steps taken to reduce the risk of harm”, and what you did so it does not happen again.
The contact is filled in from the person in charge you named under “Legal” in Settings. Change it if someone else handles this one.
04 Assess the risk
Under “Risk assessment”, tick the “Laws that apply”, rate how sensitive the information is and how likely it is to be misused, and tick each “Possible harm”.
Write the “Reasons for your assessment”, then answer the question for each law you ticked: “Risk of serious injury (Quebec)” or “Real risk of significant harm (PIPEDA)”.
Click “Record incident”. It gets a number, and the list shows when you became aware, whether it is open, and the date to keep it until.
05 Record the notices you sent
Under “Notices”, record the date of each notice once you have sent it. The Commission’s line shows once Quebec is ticked and saved, the Privacy Commissioner’s once Federal is.
You can also record notice to the people affected, a public notice and why, other organisations you told, or that notice is held off because it could hamper an investigation.
06 Close, void and download
Click “Close incident” when it is dealt with. It closes only once your reasons are written and, after a yes to a risk question, the notices it calls for are recorded.
Nothing is deleted. A record made in error is voided with a reason and stays in the list and the download. “Download CSV” gives the whole register, oldest first.
Each record shows how long to keep it: five years after you became aware, or 24 months after you determined it happened, if that ends later.
Next: tax filing and customer tax exemptions.
Transcription en français
01 Pourquoi tenir un registre
La Loi 25 du Québec exige un registre de chaque incident de confidentialité, même sans risque de préjudice, et la loi fédérale demande de consigner chaque atteinte aux mesures de sécurité.
Tenez-le dans « Privacy incidents » sous « Settings ». Seuls propriétaires et admins l’ouvrent ; les autres sont invités à prévenir l’un d’eux pour qu’il le consigne.
Le registre garde la trace et n’avise personne : BestWebby ne signale rien à la Commission ni au Commissaire, et ne contacte pas les personnes touchées. C’est vous qui avisez.
C’est un outil de tenue de registre, pas un avis juridique, et le tenir ne rend pas à lui seul votre boutique conforme.
02 Noter ce qui s’est passé
Cliquez sur « Record an incident ». Sous « What happened », donnez un « Title », décrivez les « Circumstances », puis choisissez « Kind of incident » et « Where it happened ».
Cochez les « Kinds of information » touchés, ou dites pourquoi on l’ignore, puis le « Number of people » et combien au Québec, sous « Of whom in Quebec ».
Écrivez ce qui s’est passé et combien de personnes, jamais qui : le formulaire refuse courriels et numéros de téléphone. Une référence comme un numéro de commande convient.
03 Dates, mesures prises et contact
Sous « When », indiquez quand c’est arrivé, le jour « You became aware », et le jour « You determined it happened », celui où vous l’avez su sauf changement.
Sous « What you did », écrivez les « Steps taken to reduce the risk of harm », et ce que vous avez fait pour éviter que cela se reproduise.
Le contact est repris de la personne responsable nommée sous « Legal » dans les paramètres. Changez-le si quelqu’un d’autre s’occupe de cet incident.
04 Évaluer le risque
Sous « Risk assessment », cochez les « Laws that apply », évaluez la sensibilité des renseignements et le risque d’usage abusif, et cochez chaque « Possible harm ».
Écrivez les « Reasons for your assessment », puis répondez pour chaque loi cochée : « Risk of serious injury (Quebec) » ou « Real risk of significant harm (PIPEDA) ».
Cliquez sur « Record incident ». Il reçoit un numéro, et la liste montre quand vous l’avez su, s’il est ouvert, et la date jusqu’à laquelle le garder.
05 Noter les avis envoyés
Sous « Notices », notez la date de chaque avis une fois envoyé. La ligne de la Commission paraît une fois Québec coché et enregistré, celle du Commissaire une fois Fédéral coché.
Notez aussi l’avis aux personnes touchées, un avis public et sa raison, les autres organisations informées, ou un avis différé parce qu’il nuirait à une enquête.
06 Fermer, annuler et télécharger
Cliquez sur « Close incident » une fois réglé. Il ne se ferme que si vos raisons sont écrites et, après un oui à une question de risque, si les avis requis sont notés.
Rien n’est supprimé. Une fiche créée par erreur est annulée avec une raison et reste dans la liste et le téléchargement. « Download CSV » donne tout le registre, le plus ancien d’abord.
Chaque fiche indique sa durée de conservation : cinq ans après que vous l’avez su, ou 24 mois après avoir établi qu’il a eu lieu, si c’est plus tard.
Ensuite : déclaration des taxes et exemptions de taxe des clients.
Next on the path: Module 60, Tax filing and customer tax exemptions.
Narration is synthesised on our own servers from the script above, in a public-domain voice. Voice credits.