« Souvent, on ne veut pas admettre qu’on a été victime d’une brèche ou qu’on a payé la rançon demandée par les malfaiteurs. C’est une honte et on ne veut pas en parler pour ne pas nuire à notre réputation, mais il faut en parler et demander de l’aide des experts pour bien gérer la crise. »
Catherine Bertheau, cheffe du développement des affaires chez Aon pour les cybersolutions dans l’est du Canada, a résumé en cette phrase ce que plusieurs dirigeants d’entreprise ressentent lorsqu’ils font face à une cyberattaque.
Jonathan Lacoste-Jobin, associé chez Lavery Avocats, souligne que prendre des mesures en prévision d’une brèche est ce qu’il y a de mieux pour une entreprise si elle veut être capable d’agir rapidement an cas de crise.
« Il faut établir un plan de communication en prévision d’une brèche. Il faut aussi consulter des avocats pour gérer les réclamations potentielles et les avis à envoyer. Il y a des obligations légales prévues en matière d’atteinte à la vie privée. On doit les connaitre et on doit y impliquer les avocats », a-t-il expliqué lors de la Journée de l’assurance de dommages 2020.
Quand il y a une fuite de données, il y a risque de préjudice grave. Lésions corporelles, humiliation, atteinte à la réputation, perte financière, perte d’occasion d’affaires, affectation du dossier de crédit en sont quelques-uns, a énuméré M. Lacoste-Jobin.
Pour définir s’il s’agit d’un risque réel de préjudice, on doit regarder le degré de sensibilité des informations dérobées et la probabilité que les renseignements personnels puissent être utilisés par les fraudeurs. « Il n’y a pas vraiment de jurisprudence sur le sujet au Québec. Toutefois, lors d’une telle atteinte, il y a plusieurs obligations pour les entreprises en vertu de la loi, soit aviser les personnes intéressées, nécessairement les clients, et le commissaire à la vie privée malgré le stigma qui entoure ce genre d’événements », poursuit-il.
Les entreprises sont ainsi dans l’obligation de tenir un registre de toutes les atteintes pour une période de deux ans. Le registre pourrait aussi être utilisé en matière de vérification diligente.
