La Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (ci-après Loi 25) modernise le cadre législatif en lien avec la protection des renseignements personnels d’une personne physique.
Au sein d’une entreprise, la personne ayant la plus haute autorité doit veiller à assurer le respect et la mise en œuvre de la Loi 25. À partir du 22 septembre 2022, cette personne exercera la fonction de responsable de la protection des renseignements personnels, à moins d’avoir délégué cette fonction par écrit en tout ou en partie à toute personne.
La protection des renseignements personnels implique de grandes responsabilités pour celui qui en a la charge. Il doit mettre en place des mesures et des pratiques pour protéger des personnes contre le vol d’identité et la fraude financière. De même, il doit prendre des mesures pour protéger l’entreprise contre une poursuite civile, pénale ou une sanction administrative pécuniaire. Aussi, il doit préserver la réputation de l’entreprise contre des atteintes à la protection des renseignements personnels.
Pour accomplir ses tâches avec succès, le responsable de la protection des renseignements personnels ne doit pas hésiter à s’entourer de personnes compétentes. Ses responsabilités sont nombreuses, notamment :
- Établir et mettre en œuvre des politiques et des pratiques encadrant la protection des renseignements personnels au sein de l’entreprise.
- S’assurer que la collecte, la détention, l’utilisation, la conservation, la destruction, l’anonymisation et la communication des renseignements personnels à l’égard des tiers respectent la loi.
- Prévoir l’encadrement applicable pour la conservation et la destruction des renseignements personnels.
- Prendre les mesures nécessaires pour sécuriser les systèmes informatiques.
- Prendre les mesures nécessaires pour éviter que des incidents de confidentialité se produisent et qu’ils ne se reproduisent, le cas échéant.
- Aviser la Commission d’accès à l’information et les personnes concernées d’un incident de confidentialité qui causerait un risque de préjudice sérieux.
- Assurer la tenue d’un registre des incidents de confidentialité.
- Prévoir les rôles et responsabilités du personnel de l’entreprise tout au long du cycle de vie des renseignements personnels.
- Procéder à une évaluation des facteurs relatifs à la vie privée lorsque celle-ci est requise par la loi.
- Traiter les plaintes relatives à la protection des renseignements personnels.
- Dispenser des formations en matière de protection des renseignements personnels.
Les renseignements personnels détenus peuvent se compter par milliers au sein d’une entreprise et impliquer plusieurs employés. Le responsable de la protection des renseignements personnels doit prévoir des rôles et des responsabilités envers les membres du personnel de l’entreprise. Le succès de la protection des renseignements personnels nécessite l’implication de tous.
Si vous avez des questions concernant la protection des renseignements personnels, nous vous invitions à communiquer avec les Services juridiques de l’APCHQ aux numéros suivants : 438 315-6888 ou 1 800 468-8160.
Pour en connaître davantage au sujet de la protection des renseignements personnels, vous pouvez consulter les articles suivants :
La protection des renseignements personnels : êtes-vous prêt à faire face à vos obligations?
Quels sont les types de renseignements prévus par la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels?
Quels sont les critères à respecter avant de collecter un renseignement personnel?
Quelles sont vos obligations lorsqu’un incident de confidentialité présente un risque de préjudice sérieux?
Registre des incidents de confidentialité : quels renseignements doit-il contenir?
Dois-je adopter des politiques et des pratiques en matière de protection des renseignements personnels?
Dois-je procéder à une évaluation des facteurs relatifs à la vie privée?
Loi 25 : obligation d’information en matière de renseignements personnels
Loi 25 : consentement et exceptions
Quelles sont les conditions pour communiquer un renseignement personnel sans le consentement de la personne concernée dans le cadre d’un mandat ou contrat?
Loi 25 : la politique de confidentialité
