Politique sur l’encadrement de la gouvernance en matière de protection des renseignements personnels, ITL
DERNIÈRE MISE À JOUR : (2024-05-06)
La Politique d’encadrement de la gouvernance en matière de protection des renseignements personnels (ci-après la « Politique ») est adoptée en application de la Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P-39.1 (ci-après la « Loi sur le privé »).
Intégration – Travail Laurentides inc. (« ITL » ou « nous »), personne morale sans but lucratif œuvrant dans les services spécialisés en main d’œuvre, porte une attention particulière à la protection de la vie privée ainsi qu’à la protection des renseignements personnels. Cette Politique s’applique donc aux membres du personnel d’ITL, à ses administrateurs, bénévoles, partenaires financiers et autres.
Cette Politique s’applique tout au long du cycle de vie des renseignements personnels et vise tout usage de ceux-ci, notamment la collecte, leur transmission, leur communication, leur conservation, leur destruction et leur anonymisation.
ITL s’engage à publier les informations requises quant à la présente Politique sur son site Internet, en termes simples et clairs. En naviguant sur notre site Internet ou en utilisant nos systèmes ou nos services, vous reconnaissez avoir lu et compris la présente politique et consentez à ce que vos données et renseignements personnels soient traités en conformité avec cette dernière, le cas échéant.
Pour toute question relative au contenu de la présente Politique, veuillez nous contacter :
Mme Mylène Gauthier, Directrice générale
Responsable de la protection des renseignements personnels
mgauthier@i-tl.org
55, rue Castonguay
Saint-Jérôme (QC) J7Y 2H9
(450) 436-4024, poste 222
Table des matières
-
- Témoins et technologies similaires
- Incidents de confidentialité
- Processus de traitement des plaintes
- Évaluation des facteurs relatifs à la vie privée
- Communication de renseignements sans le consentement de la personne concernée
- Modifications à la Politique
- ANNEXE A – GRILLE D’ÉVALUATION DE LA SENSIBILITÉ DES RENSEIGNEMENTS
- ANNEXE B – MODÈLE D’AVIS AUX PERSONNES CONCERNÉES PAR UN INCIDENT DE CONFIDENTIALITÉ
1. Définitions
Aux fins de la présente Politique, les mots ont le sens qui leur est donné dans la Loi sur le privé.
2. Entrée en vigueur
La présente Politique s’applique à partir du 6 mai 2024.
La présente Politique remplace la Politique sur la protection de la vie privée.
3. Rôles et responsabilités des membres du personnel d’ITL
S’ajoutent aux rôles prévus par la présente section des rôles spécifiques prévus dans les sections subséquentes.
-
- La personne responsable de la protection des renseignements personnels (ci-après la «Personne responsable») doit s’assurer du respect et de l’application des principes énoncés à la présente Politique et de la Loi sur le privé. La personne responsable est également tenue de veiller à l’application du processus de traitement des plaintes énoncé à la section 10.
- Les coordonnées de la personne responsable et son titre sont les suivants :
Mme Mylène Gauthier, Directrice générale
Responsable de la protection des renseignements personnels
mgauthier@i-tl.org
55, rue Castonguay
Saint-Jérôme (QC) J7Y 2H9
(450) 436-4024, poste 222
- Les employés doivent protéger les renseignements personnels obtenus dans le cadre des opérations d’ITL. En cas d’incident de confidentialité, tout employé doit rapporter dans les plus brefs délais celui-ci à la Personne responsable, au moyen du formulaire « Déclaration d’un incident de confidentialité » prévu à cet effet.
- Les employés ne peuvent utiliser les renseignements personnels auxquels ils ont accès en vertu de leurs fonctions que pour l’exercice de celles-ci.
4. Le cycle de vie des renseignements personnels
-
-
- ITL doit, avant de collecter des renseignements personnels, offrir aux personnes les informations nécessaires pour qu’elles comprennent à quelles fins ils sont utilisés ou divulgués.
- Le consentement peut être retiré ou modifié quant à la communication et l’utilisation des renseignements personnels, sous réserve des restrictions légales applicables.
- À moins qu’il ne s’agisse de renseignements personnels à caractère public, l’accès à des renseignements personnels est limité aux seuls employés qui doivent, dans le cadre de leurs fonctions, utiliser ces renseignements.
- En ce qui concerne les renseignements personnels contenus dans des dossiers physiques, la personne qui a la garde de ces dossiers s’assure que seules les personnes qui ont réellement besoin desdits renseignements aient accès aux dossiers.
- ITL adopte des pratiques appropriées pour le stockage et le traitement des données, ainsi que des mesures de sécurité pour assurer la protection contre les accès non autorisés aux renseignements personnels.
- Lorsque nous avons besoin de transmettre ou de donner accès à des renseignements personnels à des tiers, la personne responsable s’assure que les ententes écrites prévues par la Loi soient conclues. Elle s’assure également que les communications de renseignements personnels soient consignées conformément aux exigences de la Loi.
- Si nous voulons utiliser les renseignements personnels à une nouvelle fin, nous décrirons l’utilisation prévue et demanderons à nouveau le consentement.
- ITL conserve les renseignements personnels aussi longtemps qu’ils sont nécessaires aux fins pour lesquels ils ont été recueillis.
- Les principaux endroits où sont conservés les renseignements personnels sont les points de services dans lesquels Intégration Travail Laurentides possède des bureaux et des installations avec des serveurs contenant les données collectées par Intégration Travail Laurentides.
- Une fois la période de conservation expirée, les renseignements personnels sont détruits. Seuls les statistiques ou rapports contenant des données dépersonnalisées et anonymisées pourront être conservés pour des périodes de temps prolongées.
-
5. Objectifs de la collecte de données
- Les informations collectées le sont conformément aux finalités et objectifs fixés dans la présente politique de confidentialité. Voici certaines raisons pour lesquelles nous collectons vos renseignements personnels :
-
- Pour fournir nos services: Nous pouvons collecter et traiter les données et informations nécessaires pour remplir notre mission et nos obligations contractuelles.
- Pour assurer et améliorer ces services: Les données collectées lors de vos interactions avec nos services sont susceptibles d’être utilisées dans le but d’analyser et d’améliorer le fonctionnement de nos services.
- Pour proposer des services personnalisés: Le recueil et l’analyse des données générées par vos interactions avec nos services nous permettent de développer et créer des services qui soient pertinents pour toujours répondre au mieux à vos attentes en termes de besoins et de services, notamment afin de prévoir des mesures d’adaptation pour les clients le nécessitant.
- Pour évaluer les performances des services: Les données sont récoltées afin d’avoir des informations sur les avantages mais aussi les inconvénients de nos services afin de les évaluer et de les résoudre si nécessaire, notamment par le biais de sondages. Cela nous permet de nous assurer de la qualité de nos services.
- Pour protéger la vie privée de nos utilisateurs. Les données récoltées nous permettent de vérifier l’identité et de protéger la vie privée des personnes qui communiquent avec nous par téléphone, par voie électronique ou autrement.
- Pour satisfaire des obligations légales. Les données sont récoltées pour satisfaire à des obligations issues de lois et de règlements.
6. Inventaire des renseignements personnels détenus
- Les renseignements personnels visés sont ceux qui touchent une personne physique (être humain) et permettent de l’identifier. Les renseignements qui touchent une personne morale ne sont pas visés.
- Les renseignements personnels ne sont pas visés lorsqu’ils concernent l’exercice par une personne d’une fonction au sein d’une entreprise (ex. : nom, titre, fonction, adresse, adresse de courrier électronique, numéro de téléphone de son lieu de travail).
- Intégration Travail Laurentides peut collecter des renseignements personnels sous diverses formes, mais ne le fera que par des moyens licites et uniquement aux fins nécessaires qui vous ont été divulguées, comme décrit dans la présente politique, ou lorsque permis ou requis par la loi.
- Les renseignements personnels recueillis, ainsi que leur sensibilité, peuvent varier en fonction du contexte dans lequel se situent les interactions entre vous et Intégration Travail Laurentides. C’est pourquoi nous devons, en priorité vous informer de la nature des renseignements personnels que nous utilisons.
- Nous protégeons tous les renseignements personnels recueillis. Parmi les renseignements personnels susceptibles d’être recueillis et utilisés, nous accordons une attention particulière notamment aux :
-
- Nom et coordonnées : Prénom et nom de famille, adresse courriel, adresse postale, numéro de téléphone et autres données semblables servant à communiquer avec vous.
- Données vous concernant telles que votre âge, votre sexe, votre pays ainsi que votre langue de communication.
- Niveau d’instruction
- Situation financière, revenu
- Situation matrimoniale
- Numéro d’assurance sociale
- Diagnostics – rapport médicaux
- Plumitif si casier judiciaire
- Toutes informations personnelles sensibles
-
7. Modalités d’accès et de contrôle des renseignements personnels
- Vous avez le droit de demander accès à vos renseignements personnels aux fins de vérification et de demander une correction si ces derniers sont inexacts. Si vous croyez que vos renseignements personnels sont inexacts ou si vous souhaitez avoir accès à vos renseignements personnels, vous pouvez faire une demande à cet effet à la Personne responsable de la protection des renseignements personnels.
- Dans la mesure de nos moyens, nous vous fournirons un accès en temps opportun à vos renseignements personnels. Toutefois, par mesure de sécurité, il se peut que nous ayons besoin de vérifier votre identité.
8. Témoins et technologies similaires
- Intégration Travail Laurentides peut utiliser des fichiers témoins (« cookies »), des balises Internet, des pixels invisibles, des fichiers journal ou autres technologies pour collecter certains renseignements personnels relatifs aux visiteurs sur notre site Web. Les témoins sont des éléments d’information transmis par le serveur au navigateur lors d’une visite du site Internet et qui permettent d’identifier de façon unique la connexion en cours. Ces données peuvent inclure des informations telles que votre adresse Internet (IP), le type de navigateur, la version du navigateur, les pages de notre site que vous consultez, l’heure et la date de votre visite, le temps de consultation et toutes autres statistiques.
- Il est important de savoir que, l’activation de l’option témoins peut, selon la configuration choisie, permettre à d’autres serveurs d’installer des témoins sur votre système. Vous pouvez définir les paramètres de votre navigateur pour qu’il vous informe de la présence de témoins, vous laissant ainsi la possibilité de les accepter ou non.
- Veuillez noter que notre site web pourrait contenir des liens ou renvois vers des sites de tierces parties. La présente politique cesse de s’appliquer au moment de quitter notre site web et Intégration Travail Laurentides n’est pas responsable de la collecte ou du traitement de renseignements personnels par ces tiers ou via ces sources externes.
9. Incidents de confidentialité
-
- Pour l’application de la présente politique, on entend par « incident de confidentialité » :
- L’accès non autorisé par la loi à un renseignement personnel;
- L’utilisation non autorisée par la loi d’un renseignement personnel;
- La communication non autorisée par la loi d’un renseignement personnel;
- La perte d’un renseignement personnel ou toute autre atteinte à la protection d’un tel renseignement.
- Lorsque survient un incident de confidentialité ou qu’il existe des motifs de croire qu’un tel incident est survenu, l’employé qui le constate doit en informer immédiatement la Personne responsable.
- La Personne responsable inscrit l’incident de confidentialité dans le Registre des incidents de confidentialité. Elle doit également s’assurer que les mesures immédiates soient prises pour éviter que l’incident ne cause un préjudice, notamment en contactant toutes les personnes-ressources nécessaires pour traiter cet incident.
- La Personne responsable procède à une analyse de l’incident de confidentialité afin de déterminer le risque de préjudice sérieux ou non.
- Pour l’application de la présente politique, on entend par « incident de confidentialité » :
-
- Si elle conclut à l’absence de risque de préjudice sérieux, la Personne responsable de la consigne au Registre des incidents de confidentialité les recommandations pour éviter une répétition d’un tel incident.
- En cas d’incident ayant un risque de causer un préjudice sérieux, la Personne responsable informe la CAI, les personnes concernées et, s’il y a lieu, toute personne ou tout organisme susceptible de diminuer ce risque. Elle doit garder une copie au dossier de ces avis.
- La Personne responsable doit déterminer les autres mesures à prendre pour limiter les risques de préjudice et pour formuler des recommandations pour éviter une répétition.
- La Personne responsable informe la CAI de tout incident de confidentialité impliquant un renseignement personnel qu’ITL détient et qui présente un risque de préjudice sérieux en remplissant le Formulaire d’avis concernant un incident de confidentialité impliquant des renseignements personnels et qui présente un risque de préjudice sérieux de la CAI.
- Les avis aux personnes concernées par un incident de confidentialité qui présente un risque qu’un préjudice sérieux soit causé sont rédigés selon le modèle prévu à l’annexe B.
10. Processus de traitement des plaintes
- Toute personne qui estime que ses renseignements personnels n’ont pas été adéquatement protégés par ITL peut formuler une plainte au moyen du formulaire prévu à l’annexe C des présentes.
- Le traitement des plaintes s’effectue de manière confidentielle.
- La Personne responsable doit analyser cette plainte et déterminer si :
- Un incident de confidentialité s’est produit auquel cas, la personne responsable enclenche la procédure en cas d’incident de confidentialité;
- La plainte révèle un possible manquement à une obligation d’ITL en vertu de la Loi sur le privé, d’un de ses règlements ou de la présente Politique.
- La plainte ne révèle aucun manquement à une telle norme;
- La plainte est frivole ou manifestement mal fondée.
- Pour analyser la plainte, la Personne responsable peut communiquer avec le plaignant, de même qu’avec tout employé susceptible de détenir des informations permettant d’analyser la plainte. Elle ne communiquera le nom du plaignant que si cette information est nécessaire aux besoins de l’analyse de la plainte.
- Lorsque l’analyse de la plainte est terminée, la Personne communique par écrit avec le plaignant pour l’informer du résultat de l’analyse de sa plainte.
11.Évaluation des facteurs relatifs à la vie privée
- La Personne responsable doit procéder à une évaluation des facteurs relatifs à la vie privée avant de poser une des actions suivantes :
a) Tout projet d’acquisition, de développement et de refonte de système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels;b) Communiquer des renseignements personnels sans le consentement des personnes concernées à une personne ou à un organisme qui souhaite utiliser ces renseignements à des fins d’étude, de recherche ou de production de statistiques;
c) Communiquer à l’extérieur du Québec un renseignement personnel. - La Personne responsable peut, à toute étape d’un projet visé à la section 11.1 a) de la Politique, suggérer des mesures de protection des renseignements personnels applicables à ce projet, telles que:
- La nomination d’une personne chargée de la mise en œuvre des mesures de protection des renseignements personnels;
- Des mesures de protection des renseignements personnels dans tout document relatif au projet;
- Une description des responsabilités des participants au projet en matière de protection des renseignements personnels;
- La tenue d’activités de formation sur la protection des renseignements personnels pour les participants au projet
- Si l’évaluation concerne la communication de renseignements personnels à des fins d’étude, de recherche ou de production de statistiques, la communication ne peut s’effectuer que si une évaluation des facteurs relatifs à la vie privée conclut que:
- L’objectif de l’étude, de la recherche ou de la production de statistiques ne peut être atteint que si les renseignements sont communiqués sous une forme permettant d’identifier les personnes concernées;
- Il est déraisonnable d’exiger que la personne ou l’organisme obtienne le consentement des personnes concernées;
- L’objectif de l’étude, de la recherche ou de la production de statistiques l’emporte, eu égard à l’intérêt public, sur l’impact de la communication et de l’utilisation des renseignements sur la vie privée des personnes concernées;
- Les renseignements personnels sont utilisés de manière à en assurer la confidentialité;
- Seuls les renseignements nécessaires sont communiqués.
- Si l’évaluation implique un cas où des renseignements sont communiqués, recueillis, utilisés, ou conservés à l’extérieur du Québec, ITL doit notamment tenir compte des éléments suivants:
1° La sensibilité du renseignement;
2° La finalité de son utilisation;
3° Les mesures de protection, y compris celles qui sont contractuelles, dont le renseignement bénéficierait;
4° Le régime juridique applicable dans l’État où ce renseignement serait communiqué, notamment les principes de protection des renseignements personnels qui y sont applicables.La communication peut s’effectuer si l’évaluation démontre que le renseignement bénéficierait d’une protection adéquate, notamment au regard des principes de protection des renseignements personnels généralement reconnus. - La Personne responsable doit s’assurer de suivre, notamment, les étapes suivantes
a) Réaliser un inventaire des renseignements personnels qui seront impliqués dans le cadre de l’action pour laquelle une évaluation est réalisée;
b) Identifier la nature, la sensibilité, la quantité et la finalité de ces renseignements personnels;
c) Identifier les personnes qui accèderont à ces renseignements personnels;
d) Identifier les moyens qui devront être mis en œuvre pour traiter et conserver les renseignements personnels, et pour les détruire ou les anonymiser;
e) Dresser la liste des obligations d’ITL quant au projet ou à l’action envisagée;
f) Considérer les facteurs relatifs à la vie privée :-
- i. La conformité du projet ou de l’action à la législation applicable en matière de protection des renseignements personnels et le respect des principes l’appuyant;
- ii. L’identification des risques d’atteinte à la vie privée engendrés par le projet ou l’action et l’évaluation de leurs conséquences;
- iii. La mise en place de stratégies pour éviter ces risques ou les réduire efficacement et leur maintien dans le temps.
- g) Déterminer si, à la lumière de l’évaluation, le projet ou l’action comporte trop de risques, malgré la mise en place de stratégies;
- h) Informer les hautes autorités d’ITL quant aux résultats de l’évaluation;
- i) Rendre compte de l’évaluation sous la forme d’un rapport écrit.
-
- La réalisation d’une évaluation des facteurs relatifs à la vie privée en application de la présente Politique doit être proportionnée à la sensibilité des renseignements concernés, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support. L’ampleur de l’évaluation à réaliser est nécessaire pour déterminer le nombre de personnes à impliquer dans celle-ci, le temps à investir et la documentation à élaborer.
12. Communication de renseignements sans le consentement de la personne concernée
-
- ITL peut, sans le consentement de la personne concernée, communiquer un renseignement personnel à :a) Toute personne ou tout organisme si cette communication est nécessaire à l’exercice d’un mandat ou à l’exécution d’un contrat de service ou d’entreprise qu’ITL confie à cette personne ou à cet organisme;
b) Un tiers lorsque la communication est nécessaire aux fins de la conclusion d’une transaction commerciale à laquelle ITL entend être partie;
c) Un service d’archives, si ce service d’archives est une personne qui exploite une entreprise qui a pour objet d’acquérir, de conserver et de diffuser des documents pour leur valeur d’information générale et si ce renseignement est communiqué dans le cadre d’une cession ou d’un dépôt des archives d’ITL.
d) Toute personne, si ce renseignement est dans un document qui date de plus de 100 ans ou si plus de 30 ans se sont écoulés depuis le décès de la personne concernée. Sauf si la personne concernée y consent, aucun renseignement relatif à la santé d’une personne ne peut cependant être communiqué avant l’expiration d’un délai de 100 ans de la date du document. - Dans l’éventualité où ITL communique, sans le consentement de la personne concernée, un renseignement tel qu’autorisé par la section 12.1 a) de la Politique, ITL doit :1° confier le mandat ou le contrat par écrit;
2° indiquer, dans le mandat ou le contrat, les mesures que le mandataire ou l’exécutant du contrat doit prendre pour assurer la protection du caractère confidentiel du renseignement personnel communiqué, pour que ce renseignement ne soit utilisé que dans l’exercice de son mandat ou l’exécution de son contrat et pour qu’il ne le conserve pas après son expiration.
Le paragraphe 2° du premier alinéa ne s’applique pas lorsque le mandataire ou l’exécutant du contrat est un organisme public au sens de la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (chapitre A-2.1) ou un membre d’un ordre professionnel.
- ITL peut, sans le consentement de la personne concernée, communiquer un renseignement personnel à :a) Toute personne ou tout organisme si cette communication est nécessaire à l’exercice d’un mandat ou à l’exécution d’un contrat de service ou d’entreprise qu’ITL confie à cette personne ou à cet organisme;
- Dans l’éventualité où ITL communique, sans le consentement de la personne concernée, un renseignement tel qu’autorisé par la section 12.1 b) de la Politique, ITL doit conclure avec l’autre partie une entente préalable, stipulant notamment que cette dernière partie s’engage:
1° à n’utiliser le renseignement qu’aux seules fins de la conclusion de la transaction commerciale;
2° à ne pas communiquer le renseignement sans le consentement de la personne concernée, à moins d’y être autorisée par la présente loi;
3° à prendre les mesures nécessaires pour assurer la protection du caractère confidentiel du renseignement;
4° à détruire le renseignement si la transaction commerciale n’est pas conclue ou si l’utilisation de celui-ci n’est plus nécessaire aux fins de la conclusion de la transaction commerciale.
13. Modifications à la Politique
- Nous apportons des modifications à la présente Politique lorsque requis. Toute diminution de vos droits dans le cadre de la présente politique de confidentialité ne saurait être appliquée sans votre consentement explicite. Nous indiquons toujours la date à laquelle les dernières modifications ont été apportées et vous permettons d’accéder aux versions archivées en vue de les consulter. Si les modifications sont significatives, nous publions un avis mis en évidence sur notre site web (y compris, pour certains services, par le biais d’une notification par courriel).
14.ANNEXE A – GRILLE D’ÉVALUATION DE LA SENSIBILITÉ DES RENSEIGNEMENTS
ÉCHELLE D’ÉVALUATION DE LA SENSIBILITÉ | ||
Niveau | Qualification | Caractéristiques |
0 | Données publiques | · Ces données sont accessibles au public, soit localement, soit sur Internet.
· Elles nécessitent peu de sécurité, et leur divulgation n’entraînerait pas de violation de la conformité. |
1 | Faible | · Les personnes concernées par une divulgation n’en subissent pas de préjudice important. |
2 | Moyenne | · Les personnes concernées par une divulgation pourraient connaître des conséquences, mais elles les surmonteront en rencontrant peu de difficultés. |
3 | Haute | · Les personnes concernées par une divulgation pourraient connaître des conséquences significatives ou irrémédiables, qu’elles ne surmonteront pas ou avec difficulté. |
15. ANNEXE B – MODÈLE D’AVIS AUX PERSONNES CONCERNÉES PAR UN INCIDENT DE CONFIDENTIALITÉ
Monsieur, Madame,
Intégration – Travail Laurentides Inc. accorde une grande importance à la protection et à la confidentialité des renseignements personnels détenus dans le cadre de ses activités. Bien que des mesures de sécurité soient mises en place afin de protéger ces renseignements, nous vous informons de la survenance d’un incident de confidentialité impliquant des renseignements personnels qui présente un risque de préjudice sérieux.
Le [insérer la date], un incident [description de l’incident en langage clair et simple, y compris la date de l’incident]. Puisque vos renseignements personnels étaient concernés [description des renseignements personnels visés par l’incident], nous avons jugé essentiel de vous aviser de cette situation et des mesures mises en place pour y remédier.
En effet, dès que nos services ont eu connaissance de cette situation, ils ont pu [préciser ce qui a été fait pour mettre fin à l’incident].
Nous avons rapidement mis en place des mesures, afin de [maîtriser, voire contenir], les risques d’éventuelles conséquences néfastes. Nous avons ainsi activement [Description des mesures prises pour remédier à la violation ainsi que des mesures de prévention].
De votre côté, vous pouvez également réduire les risques en [Description des mesures que les personnes concernées pourraient prendre pour réduire le risque de préjudice qui pourrait résulter de l’Incident ou pour atténuer ce préjudice].
La Commission d’accès à l’information du Québec a également été avisée.
Nous sommes conscients des perturbations que cette situation pourrait vous occasionner. Pour cette raison, nous vous adressons nos plus sincères excuses. Soyez assuré que le respect de la confidentialité des renseignements personnels est une priorité pour nous et que nous renforcerons nos mesures pour empêcher qu’un tel incident ne se reproduise.
Si vous avez des questions, veuillez nous contacter à l’adresse suivante :
Mme Mylène Gauthier, Directrice générale
Responsable de la protection des renseignements personnels
mgauthier@i-tl.org
55, rue Castonguay
Saint-Jérôme (QC) J7Y 2H9
(450) 436-4024, poste 222