Affaires vedettes
Recent cases of note
Cyberattaque contre Toronto Public Library: importance des mesures de sécurité raisonnables et de la notification aux personnes concernées en vertu de la LAIMPVP
Une cyberattaque commise contre Toronto Public Library a révélé des vulnérabilités dans les systèmes de cet organisme, lesquels contenaient beaucoup de renseignements personnels concernant des particuliers. Lisez cette lettre de clôture du dossier pour découvrir comment cette affaire a été réglée au stade du règlement anticipé.
PI21-00001
Le Bureau du commissaire à l’information et à la protection de la vie privée de l’Ontario (le CIPVP) a reçu, aux termes de la Loi sur l’accès à l’information et la protection de la vie privée (LAIPVP ou la Loi), une plainte concernant le fait que l’Université McMaster (McMaster ou l’université) avait utilisé le logiciel de surveillance d’examens Respondus.
Décision 210 en vertu de la LPRPS
Un hôpital public a fait savoir au Bureau du commissaire à l’information et à la protection de la vie privée de l’Ontario (le CIPVP) qu’il y avait eu atteinte à la vie privée en contravention de la Loi de 2004 sur la protection des renseignements personnels sur la santé (la Loi) à la suite d’une cyberattaque commise contre l’hôpital. Après que l’hôpital a signalé cette atteinte à la vie privée, le CIPVP a ouvert un dossier et a reçu par la suite quatre plaintes de la part de personnes concernées.
Cyberattaque d'une entité prescrite : Le rapport du CIPVP met en évidence la réponse à une atteinte à la vie privée et détaille le processus de notification indirecte utilisée pour atteindre les personnes affectées
Une personne prescrite en vertu de la Loi sur la protection des renseignements personnels sur la santé a signalé une atteinte à la protection des renseignements personnels au CIPVP concernant une cyberattaque qui a entraîné la copie non autorisée de renseignements personnels sur la santé d’environ 3,4 millions de personnes, lesquels se trouvaient dans le serveur de transfert sécurisé de fichiers de la personne prescrite. Les auteurs de menace ont obtenu un accès non autorisé au serveur en exploitant une vulnérabilité de jour zéro dans le logiciel de transfert de fichiers, MOVEit, qui était installé dans ce serveur.
Prévention des atteintes à la vie privée dans le secteur de la santé : l’importance de la formation, des politiques et des ententes de confidentialité
En vertu de la Loi de 2004 sur la protection des renseignements personnels sur la santé (LPRPS), les dépositaires de renseignements sur la santé doivent protéger les renseignements personnels sur la santé de leurs patients. Ils doivent notamment adopter des politiques concernant l’utilisation de ces renseignements à des fins de formation et assurer le respect de ces politiques. Cette affaire souligne combien il est important d’adopter des politiques de confidentialité exhaustives, de fournir une formation annuelle sur la protection de la vie privée et de prévoir des ententes de confidentialité afin de prévenir l’accès non autorisé aux renseignements personnels sur la santé.