POLITIQUE DE GOUVERNANCE SUR LES MEILLEURES PRATIQUES VISANT À ENCADRER LA DÉTENTION DES RENSEIGNEMENTS PERSONNELS (RP)
Afin d’assurer le respect par les intervenants de la Fondation Véro & Louis de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels dans le secteur privé, aussi appelée Loi 25, nous vous proposons de valider et d’adapter au besoin les pratiques de la Fondation Véro & Louis en la matière. La Loi 25 apporte ainsi des modifications significatives aux dispositions de la Loi sur la protection des renseignements personnels dans le secteur privé (LP) à laquelle les organisations à but non lucratif au Québec étaient déjà assujettis.
Nous tenons à rappeler que les renseignements concernant les corporations de même que les coordonnées professionnelles des individus ne représentent pas des RP soumis à la Loi.
DÉFINITION D’UN RENSEIGNEMENT PERSONNEL :
Voici ce qui constitue un renseignement personnel :
• Le nom, la race, l’origine ethnique, la religion, l’état matrimonial et le niveau d’instruction
• L’adresse électronique, les messages de courriel et l’adresse IP (protocole Internet-cookie)
• L’âge, la taille, le poids, les dossiers médicaux, le groupe sanguin, l’ADN, les empreintes digitales et la signature vocale
• Les revenus, les achats, les habitudes de consommation, les renseignements bancaires, les données sur les cartes de crédit ou de débit, les rapports de prêt ou de solvabilité et les déclarations de revenus
• Le numéro d’assurance sociale (NAS) ou d’autres numéros d’identification
Voici donc certains éléments à considérer et à mettre en pratique pour favoriser le respect des dispositions législatives dont la plupart entreront en vigueur en septembre 2023.
1. COLLECTE DES RENSEIGNEMENTS PERSONNELS ET OBTENTION DU CONSENTEMENT
La Fondation Véro & Louis peut collecter des renseignements personnels pour la bonne gestion de ses relations et des services avec chaque personne concernée et limiter la collecte des informations à ce qui est requis à cette fin. Le consentement de la personne concernée est également nécessaire pour pouvoir légalement utiliser les renseignements personnels qu’il transmet à la Fondation Véro & Louis.
La Fondation Véro & Louis doit ainsi mettre en place un processus d’obtention du consentement de chaque personne de façon à documenter à quel moment et comment ce consentement a été obtenu ou renouvelé. La base de données de la Fondation Véro & Louis devrait donc prévoir et documenter le consentement obtenu ou renouvelé et sa date d’obtention ou renouvellement.
2. CONSULTATION ET UTILISATION DES RENSEIGNEMENTS PERSONNELS
La Fondation Véro & Louis doit s’assurer de respecter les paramètres suivants :
• Limiter l’accès aux renseignements personnels aux seules personnes ayant la qualité pour les recevoir au sein de l’entreprise lorsque ces renseignements sont nécessaires à l’exercice de leurs fonctions;
• Limiter l’utilisation des renseignements personnels : à moins d’une exception prévue par la loi, l’entreprise doit obtenir le consentement de la personne concernée pour utiliser ses renseignements une fois l’objet du dossier accompli.
• Mettre en place des mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits.
3. COMMUNICATION DES RENSEIGNEMENTS
Les renseignements personnels que la Fondation Véro & Louis détient sur un individu doit lui être transmis sur demande de sa part. Cette possibilité doit d’ailleurs figurer au site web de la Fondation Véro & Louis.
D’ailleurs, l’article 27 de la LP prévoit le droit à la portabilité des RP entrant en vigueur à compter du 22 septembre 2024. Si la personne concernée le demande, les organisations auront l’obligation de lui communiquer, dans un format technologique structuré et couramment utilisé, un renseignement personnel informatisé recueilli auprès d’elle. Cette communication pourra aussi se faire à une personne ou à un organisme autorisé à recueillir le renseignement, à la demande de la personne concernée.
De plus, la loi prévoit que la Fondation Véro & Louis puisse transmettre des renseignements personnels d’un individu sur demande d’un tiers ou d’une organisation gouvernementale :
• À son procureur;
• Au directeur des poursuites criminelles et pénales si le renseignement est requis aux fins d’une poursuite pour infraction à une loi applicable au Québec;
• À un organisme chargé, en vertu de la loi, de prévenir, détecter ou réprimer le crime ou les infractions aux lois, qui le requiert dans l’exercice de ses fonctions, si le renseignement est nécessaire pour la poursuite d’une infraction à une loi applicable au Québec;
• À une personne à qui il est nécessaire de communiquer le renseignement dans le cadre d’une loi applicable au Québec ou pour l’application d’une convention collective;
• À un organisme public au sens de la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements publics et sur la protection des renseignements personnels qui, par l’entremise d’un représentant, le recueille dans l’exercice de ses attributions ou la mise en œuvre d’un programme dont il a la gestion;
• À une personne ou à un organisme ayant pouvoir de contraindre à leur communication et qui les requiert dans l’exercice de ses fonctions;
• À une personne à qui cette communication doit être faite en raison d’une situation d’urgence mettant en danger la vie, la santé ou la sécurité de la personne concernée;
• À des tiers en vue de prévenir un acte de violence, dont un suicide et lorsqu’il existe un motif raisonnable de croire qu’un risque sérieux de mort ou de blessures graves menace une personne ou un groupe de personnes identifiable et que la nature de la menace inspire un sentiment d’urgence;
• À un service d’archives dans certaines conditions et/ou après un certain délai;
• À une personne qui peut utiliser ce renseignement à des fins d’étude, de recherche ou de statistique conformément à l’article 21 ou à une personne qui est autorisée conformément à l’article 21.1 de la LP;
• À une personne qui, en vertu de la loi, peut recouvrer des créances pour autrui et qui le requiert à cette fin dans l’exercice de ses fonctions;
• À une personne si le renseignement est nécessaire aux fins de recouvrer une créance de l’entreprise;
• À toute personne ou tout organisme susceptible de diminuer un risque suivant un incident de confidentialité impliquant un renseignement personnel, en ne lui communiquant que les renseignements personnels nécessaires à cette fin;
• À son conjoint ou à l’un de ses proches parents dans le cas d’une personne décédée si ce renseignement est susceptible d’aider cette personne dans son processus de deuil, à moins que la personne décédée n’ait consigné par écrit son refus d’accorder ce droit d’accès;
• Au titulaire de l’autorité parentale ou du tuteur d’un mineur de moins de 14 ans, sauf lorsque cette collecte sera manifestement au bénéfice de ce mineur.
4. CONSERVATION DES RENSEIGNEMENTS PERSONNELS
La loi exige que la Fondation Véro & Louis mette en place des règles applicables à la conservation et à la destruction des renseignements personnels.
Dossiers matériels :
La Fondation Véro & Louis doit donc documenter où se retrouvent les dossiers matériels et papier contenant des informations personnelles et limiter l’accès à ces dossiers aux personnes ayant besoin de disposer de ses renseignements. Par exemple, la Fondation Véro & Louis pourrait réunir tous les dossiers comportant des renseignements personnels et les placer dans un ou plusieurs classeurs localisés dans une pièce à accès restreint et/ou barrés avec une serrure dont les seules personnes ayant besoin de les consulter peuvent disposer de la clé.
Dossiers informatiques :
La Fondation Véro & Louis doit également documenter où se retrouvent les dossiers informatiques contenant des informations personnelles et limiter l’accès à ces dossiers aux personnes ayant besoin de disposer de ses renseignements. Généralement, les dossiers se retrouvent au réseau informatique de la Fondation Véro & Louis.
Il faut alors définir qui autorise les permissions d’accès aux différents dossiers informatiques et qui paramètre matériellement l’accès aux différents dossiers.
Il faut ensuite effectuer l’inventaire des dossiers informatiques dans lesquels peuvent se retrouver des RP, redéfinir s’il y a lieu l’arborescence des dossiers informatiques et limiter l’accès aux dossiers informatiques dans lesquels se retrouvent des RP aux seules personnes ayant besoin d’accéder ou consulter ces informations dans le cadre de leurs fonctions.
EXEMPLE :
Personne autorisant les permissions d’accès ou les paramètres de permissions d’accès :
__Katty Taillon______________ Substitut en cas d’absence :_Stéphane Rochon____________
Personne paramétrant les permissions d’accès :
_Katty Taillon_________________ Substitut en cas d’absence :_ Stéphane Rochon __________
TYPE DE RENSEIGNEMENTS PERSONNELS LOCALISATION DES RP PERSONNES AYANT ACCÈS AUX RP JUSTIFICATION DE L’ACCÈS SÉCURITÉ DES RP
Base de données Prodon : Historique de l’ensemble des donateurs ou personnes sollicitées par L’ORGANISME Base de données externe ou infonuagique Direction de ORGANISME, Direction du développement, Préposé à la gestion de la base de données, Coordination aux communications Historique des transactions et communications, Informations sur le donateur Sauvegarde des données chaque semaine (quand), copie disponible auprès de Logilys à ses serveurs localisés à (endroit)
Liste des participants à l’événement x et leurs coordonnées Liste remise aux membres du comité de l’événement X Direction du développement et membres du comité de l’événement X Engagement de confidentialité et de destruction des listes signé par chaque membre du comité de l’événement X
Dossiers RH : CV des postulants à un poste, dossier personnel et contrat des membres du personnel, dossier d’information sur les bénévoles etc Serveur de la Fondation dans fichier à acces restreint Directrice générale, comptable Production des payes et relevés fiscaux Dossier sécurisé et accès aux personnes autorisées seulement
Autre
Localisation du ou des serveurs informatiques :
Comme le serveur informatique utilisé par la Fondation Véro & Louis est localisé dans ses locaux, la Fondation Véro & Louis doit s’assurer que l’accès au local concerné soit limité aux personnes devant avoir accès aux RP ou au personnel informatique chargé de l’entretien du serveur.
Il serait recommandé que :
• La Fondation Véro & Louis se dote de mesures de sécurité encadrant l’accès aux serveurs informatiques;
• Le responsable du réseau informatique de la Fondation Véro & Louis évalue les risques associés à l’accès aux RP, à la sécurité du réseau et recommande toute mesure pour limiter et réduire tout accès non autorisé, notamment et sans limiter la généralité de ce qui précède, les tentatives d’intrusion externes, d’hameçonnage etc.
La loi exige par ailleurs que la Fondation Véro & Louis réalise une évaluation des facteurs relatifs à la vie privée (ÉFVP), notamment avant de communiquer des renseignements personnels à l’extérieur du Québec. Le responsable du réseau informatique de la Fondation Véro & Louis ou un consultant externe pourrait se voir confier cette évaluation.
5. DESTRUCTION DES RENSEIGNEMENTS PERSONNELS
La Fondation Véro & Louis doit définir les règles relatives à la destruction des renseignements personnels qu’elle détient sur un individu. Le consentement est également donné à des fins spécifiques et pour la durée nécessaire à la réalisation des fins pour lesquelles il a été demandé.
Comme les obligations d’un organisme de bienfaisance exige de conserver les informations reliées à l’émission des reçus pour fins d’impôt de ses donateurs pour une période de 6 ans, il est donc nécessaire de préserver ces renseignements personnels. Voici un rappel des renseignements devant se trouver au reçu pour fins d’impôt émis par un organisme de bienfaisance comportant certains renseignements personnels :
Les reçus officiels de dons émis aux fins de l’impôt sur le revenu doivent contenir les éléments suivants :
• Un énoncé précisant qu’il s’agit d’un reçu officiel aux fins de l’impôt sur le revenu;
• Le nom et l’adresse de la Fondation Véro & Louis de bienfaisance enregistré auprès de l’Agence du revenu du Canada (ARC);
• Le numéro d’enregistrement de la Fondation Véro & Louis de bienfaisance;
• Le numéro de série du reçu;
• Le lieu ou la région où le reçu a été remis;
• La date ou l’année où le don a été reçu;
• La date de remise du reçu si elle est différente de la date où le don a été reçu;
• Le nom et l’adresse du donateur, y compris son prénom et son initiale;
• Le montant du don;
• La valeur et la description de tout avantage reçu par le donateur;
• Le montant admissible du don;
• La signature d’une personne qui a été autorisée par la Fondation Véro & Louis de bienfaisance à reconnaître les dons;
• Le nom et l’adresse du site Web de l’ARC.
Chaque organisme doit donc définir la durée nécessaire du consentement obtenu de ses donateurs et intervenants selon la fin pour laquelle les RP ont été obtenus. La Fondation Véro & Louis considère qu’il conservera les RP obtenus de ses donateurs pour une durée maximale de 10 ans suivant la date de son dernier don ou son dernier consentement à l’utilisation de ses renseignements personnels, la date la plus récente ayant préséance.
Rappelons que ce consentement peut être renouvelé par les donateurs et les intervenants dans le cadre des liens et transactions effectuées avec la Fondation Véro & Louis qu’il faut définir un mécanisme de documentation des consentements obtenus.
Les personnes pour lesquelles la Fondation Véro & Louis détient des RP peuvent demander en tout temps que leurs renseignements personnels soient détruits, désindexés (art 28.1 de la LP) ou anonymisés (à l’exception des informations requises précédemment figurant aux reçus d’impôt pour une période de 6 ans).
6. ENGAGEMENTS DE CONFIDENTIALITÉ DES INTERVENANTS AYANT ACCÈS AUX RP
ENGAGEMENT DE CONFIDENTIALITÉ DE LA PART DU PERSONNEL, D’UN CONTRACTUEL ET DES BÉNÉVOLES AYANT ACCÈS À DES RENSEIGNEMENTS PERSONNELS
Il serait requis que toute personne pouvant avoir accès aux renseignements personnels d’un individu détenu par la Fondation Véro & Louis signe un engagement de confidentialité avec la Fondation Véro & Louis.
L’engagement suivant pourrait être souscrit par les intervenants de la Fondation Véro & Louis:
« Pendant la durée de mon implication auprès de la Fondation Véro & Louis et suite à la fin de mon implication auprès de la Fondation Véro & Louis, je m'engage et m'oblige à ne pas dévoiler ou divulguer à qui que ce soit, directement ou indirectement, tout renseignement personnel d’un individu détenu par la Fondation Véro & Louis et auquel je pourrais avoir accès. Un renseignement personnel représente notamment et sans limiter la généralité de ce qui précède :
• Le nom, la race, l’origine ethnique, la religion, l’état matrimonial et le niveau d’instruction;
• L’adresse électronique, les messages de courriel et l’adresse IP (protocole Internet-cookie);
• L’âge, la taille, le poids, les dossiers médicaux, le groupe sanguin, l’ADN, les empreintes digitales et la signature vocale;
• Les revenus, les achats, les habitudes de consommation, les renseignements bancaires, les données sur les cartes de crédit ou de débit, les rapports de prêt ou de solvabilité et les déclarations de revenus;
• Le numéro d’assurance sociale (NAS) ou d’autres numéros d’identification;
Je m'engage également à ne pas utiliser tout renseignement personnel pour des fins personnelles ou pour des fins autres que l’implication qui m’est requise par la Fondation Véro & Louis.
Nonobstant toute autre disposition du présent engagement, je ne serai pas en défaut ou en contravention en raison d'une divulgation de renseignement personnel, si je suis contraint par la loi de divulguer cette information pour autant que j’ai fait les meilleurs efforts pour aviser la Fondation Véro & Louis en temps opportun pour que la Fondation Véro & Louis puisse prendre les mesures appropriées afin d'empêcher cette divulgation s’il y avait lieu. »
Engagement de confidentialité de la part d’un tiers contractant ayant accès à des renseignements personnels
L’engagement suivant pourrait être souscrit par les intervenants de la Fondation Véro & Louis.
« Compte tenu que la Fondation Véro & Louis peut décider de confier divers mandats à d’autres organisations ou tiers et que l’exécution de ces contrats pourrait nécessiter le transfert et/ou l’accès par ceux-ci, à des renseignements personnels détenus par la Fondation Véro & Louis.
Compte tenu que ces organisations ou tiers s’engagent à prendre toutes les mesures requises pour assurer la protection et la confidentialité des renseignements personnels détenus par la Fondation Véro & Louis.
Il est convenu que le préambule fait partie intégrante du présent engagement.
Il est convenu que pendant la durée de mon contrat auprès de la Fondation Véro & Louis et suite à la fin de mon implication auprès de la Fondation Véro & Louis je m'engage et m'oblige à ne pas dévoiler ou divulguer à qui que ce soit, directement ou indirectement, tout renseignement personnel d’un individu détenu par la Fondation Véro & Louis et auquel je pourrais avoir accès. Un renseignement personnel représente notamment et sans limiter la généralité de ce qui précède :
• Le nom, la race, l’origine ethnique, la religion, l’état matrimonial et le niveau d’instruction;
• L’adresse électronique, les messages de courriel et l’adresse IP (protocole Internet-cookie);
• L’âge, la taille, le poids, les dossiers médicaux, le groupe sanguin, l’ADN, les empreintes digitales et la signature vocale;
• Les revenus, les achats, les habitudes de consommation, les renseignements bancaires, les données sur les cartes de crédit ou de débit, les rapports de prêt ou de solvabilité et les déclarations de revenus;
• Le numéro d’assurance sociale (NAS) ou d’autres numéros d’identification;
Je m'engage également à ne pas utiliser tout renseignement personnel pour des fins personnelles ou pour des fins autres que l’implication qui m’est requise par la Fondation Véro & Louis.
Nonobstant toute autre disposition du présent engagement, je ne serai pas en défaut ou en contravention en raison d'une divulgation de renseignement personnel, si je suis contraint par la loi de divulguer cette information pour autant que j’ai fait les meilleurs efforts pour aviser la Fondation Véro & Louis en temps opportun pour que la Fondation Véro & Louis prenne les mesures appropriées afin d'empêcher cette divulgation s’il y avait lieu.
Par ailleurs, je m’engage à ce que tout membre de mon personnel intervenant dans le cadre de ce contrat adhère au présent engagement. Cet engagement lie toute corporation et toute personne liée à la Fondation Véro & Louis ayant accès aux renseignements personnels transmis par la Fondation Véro & Louis.
À la fin du contrat, je m’engage à ce que les renseignements personnels transmis par La Fondation Véro & Louis et traités par moi et mon personnel soient retournés à La Fondation Véro & Louis et soient ensuite détruits sans copie de sauvegarde. »