Loi 25 | Protection des renseignements personnels : des réponses à vos questions

Les renseignements personnels sont ceux qui portent sur une personne physique, par exemple vos clients et vos employés, et qui permettent de l’identifier. Ils sont confidentiels.

Non. Ces obligations découlent d’une loi qui s’applique à toutes les entreprises du Québec. La Commission d’accès à l’information (site web) est responsable de son application.

Vous devez aviser la Commission d’accès à l’information lors d’un incident de confidentialité qui peut causer un préjudice sérieux à une personne physique. Toutefois, vous n’avez pas à transmettre le nom de votre responsable de la protection des renseignements personnels.

Non.

Si vous souhaitez que le responsable soit la personne ayant la plus haute autorité au sein de l’entreprise, ou si vous êtes seul dans votre entreprise, vous devez seulement publier le nom, le titre (la fonction) et les coordonnées du responsable sur votre site Internet ou rendre cette information disponible par tout autre moyen approprié.

Si vous souhaitez déléguer cette responsabilité à une autre personne, vous devez le faire par délégation écrite. Le but est d’avoir un document qui désigne officiellement la personne comme responsable à l’interne au sein de l'entreprise. Ce document doit être conservé, mais il n’a pas à être transmis. Vous devrez cependant publier le nom, le titre (la fonction) et les coordonnées du responsable sur votre site Internet ou rendre cette information disponible par tout autre moyen approprié.

Selon la Loi, la responsabilité de la protection des renseignements personnels peut être déléguée à toute personne. Cependant, la Commission d’accès à l’information recommande de désigner une personne pouvant assumer efficacement ce rôle. Par exemple, elle devrait avoir les compétences requises et un pouvoir décisionnel. Il est important que le responsable soit appuyé par les ressources humaines, techniques et financières nécessaires pour assurer la conformité à la Loi.

• Conserver les documents papier qui contiennent des renseignements personnels dans des classeurs ou des bureaux barrés.
• Choisir un mot de passe à toute épreuve pour se connecter aux ordinateurs et à l’infonuagique (mot de passe long qui inclut des majuscules, des minuscules, des chiffres et des caractères spéciaux).
• Utiliser l’authentification multifacteur lorsque possible.
• Limiter l’accès aux renseignements personnels des clients aux seules personnes qui en ont vraiment besoin pour leur emploi, comme vous le faites probablement déjà pour vos dossiers d’employés.
• Ne pas utiliser une adresse courriel à laquelle tous les employés ont accès pour échanger des renseignements personnels.
• Ne pas laisser de documents avec des renseignements personnels dans les véhicules.
• Sélectionner les paramètres de sécurité les plus élevés pour les logiciels, l’infonuagique, etc.
• Sécuriser les documents envoyés par courriel en exigeant un mot de passe pour les ouvrir.