POLITIQUE SUR LA PROTECTION DES RENSEIGNEMENTS PERSONNELS

1. Objectif

La présente politique (la « Politique ») énonce les principes généraux relatifs à la collecte, l’utilisation, la communication, la conservation et la destruction des renseignements personnels adoptés par L’Association des Normand d’Amérique (ci-après, « l’organisation ») conformément aux lois applicables en matière de protection des renseignements personnels. Elle définit le partage des responsabilités des personnes appelées à mettre en œuvre les principes énoncés dans la Politique.

2. Champ d’application

La Politique s’applique à tous les membres du conseil d’administration (ci-après, « CA ») et aux membres qui collectent, utilisent, communiquent, conservent ou détruisent des documents ou fichiers comportant des Renseignements personnels dans le cadre de leur mandat ou de leur implication bénévole.

3. Définitions

Les définitions suivantes s’appliquent à la Politique.

3.1 « Lois sur la protection des RP » signifie les lois et règlements applicables à la protection des renseignements personnels dans le secteur privé, incluant la Loi sur la protection des renseignements personnels dans le secteur privé (Québec) et les lois essentiellement similaires au Canada, ainsi que toute autre loi ou réglementation applicable régissant la collecte, l’utilisation, la communication ou tout autre traitement des Renseignements personnels.

3.2 « Renseignement personnel ou RP » signifie tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l’identifier. Cela inclut les renseignements sous toutes leurs formes, y compris le nom, l’âge, les numéros d’identification, l’état civil, l’origine ethnique, les données de localisation, les adresses IP, les témoins de connexion, etc.

Tout renseignement qui concerne l’exercice par la personne concernée d’une fonction au sein d’une organisation, tel que son nom, son titre et sa fonction, de même que l’adresse, l’adresse de courrier électronique et le numéro de téléphone de son lieu de travail est un Renseignement personnel à caractère public.

3.3 « Responsable de la protection des RP » désigne la personne ayant la plus haute autorité au sein de l’organisation ou la personne à qui elle a délégué cette fonction par écrit.

3.4 « Incident de confidentialité » signifie i) l’accès, ii) l’utilisation ou iii) la communication non-autorisée de Renseignements personnels ainsi que iv) la perte présumée ou réelle de Renseignements personnels, quel que soit le risque de préjudice pour les personnes concernées.

4. Principes généraux

4.1 Responsabilité à l’égard de la protection des Renseignements personnels

L’organisation est responsable de la protection des Renseignements personnels qu’elle collecte, utilise, communique, conserve et détruit dans le cadre de ses activités. Par conséquent, elle a adopté et mis en œuvre le Programme de gouvernance à l’égard des Renseignements personnels joint à l’Annexe 1.

Le Responsable de la protection des RP est chargé de soutenir l’organisation dans l’exercice de ses responsabilités et dans l’exécution de ses obligations en vertu des Lois sur la protection des RP.

4.2 Collecte de Renseignements personnels

L’organisation recueille uniquement les Renseignements personnels qui sont nécessaires aux fins déterminées avant la collecte en raison d’un intérêt sérieux et légitime. La collecte de Renseignements personnels se fait auprès de la personne concernée, à moins d’obtenir son consentement ou de bénéficier d’une exception prévue dans les Lois sur la protection des RP. Lors de la collecte, et par la suite sur demande, l’organisation lui transmet les informations requises conformément à la Directive sur la collecte, l’utilisation et la communication de Renseignements personnels jointe à l’Annexe 2.

4.3 Utilisation de Renseignements personnels

L’organisation utilise un Renseignement personnel uniquement aux fins pour lesquelles il a été recueilli, à moins d’obtenir le consentement de la personne concernée ou de bénéficier d’une exception prévue dans les Lois sur la protection des RP. L’accès aux Renseignements personnels est limité aux personnes pour qui l’utilisation de ces renseignements est nécessaire à l’exercice de leurs fonctions. L’organisation applique les règles d’utilisation et les exceptions énoncées dans la Directive sur la collecte, l’utilisation et la communication de renseignements personnels.

4.4 Communication de Renseignements personnels

L’organisation reconnaît que les Renseignements personnels sont confidentiels et qu’ils ne peuvent être communiqués à un tiers, à moins d’obtenir le consentement de la personne concernée ou de bénéficier d’une exception prévue dans les Lois sur la protection des RP. L’organisation applique les règles de communication et les exceptions énoncées dans la Directive sur la collecte, l’utilisation et la communication de renseignements personnels.

4.5 Conservation et destruction des Renseignements personnels

L’organisation veille à la destruction sécuritaire des Renseignements personnels lorsque les fins pour lesquelles ces renseignements ont été recueillis ou utilisés sont accomplies, sous réserve d’un délai de conservation plus long prévu par une loi. L’organisation applique les règles de conservation et de destruction énoncées dans la Directive sur la conservation et la destruction de renseignements personnels jointe à l’Annexe 3.

L’organisation met en place les mesures de sécurité qui sont propres à assurer la protection des Renseignements personnels qu’elle collecte, utilise, communique, conserve et détruit pour s’assurer que seules les personnes autorisées y auront accès. Elle s’assure que ces mesures sont raisonnables compte tenu notamment de la sensibilité, de la finalité d’utilisation, de la quantité, de la répartition et du support des Renseignements personnels. L’organisation applique les mesures de sécurité physiques, techniques et organisationnelles décrites dans la Directive sur les mesures de sécurité des renseignements personnels jointe à l’Annexe 4

4.6 Protection du caractère confidentiel des Renseignements personnels

L’organisation met en place les mesures de sécurité qui sont propres à assurer la protection des Renseignements personnels qu’elle collecte, utilise, communique, conserve et détruit pour s’assurer que seules les personnes autorisées y auront accès. Elle s’assure que ces mesures sont raisonnables compte tenu notamment de la sensibilité, de la finalité d’utilisation, de la quantité, de la répartition et du support des Renseignements personnels. L’organisation applique les mesures de sécurité physiques, techniques et organisationnelles décrites dans la Directive sur les mesures de sécurité des renseignements personnels jointe à l’Annexe 4.

4.7 Évaluation des facteurs de vie privée de projets impliquant des Renseignements personnels

L’organisation procède à une évaluation des facteurs relatifs à la vie privée (« EFVP ») de tout projet d’acquisition, de développement et de refonte d’un système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de Renseignements personnels. Elle procède également à une EFVP avant de communiquer un Renseignement personnel à des fins d’étude, de recherche ou de production de statistiques sans le consentement des personnes concernées, ou avant de communiquer un Renseignement personnel à l’extérieur du Québec. L’EFVP est effectuée conformément aux règles énoncées dans la Directive sur la collecte, l’utilisation et la communication de renseignements personnels.

4.8 Gestion des demandes et plaintes relatives aux Renseignements personnels

Toute personne dont les Renseignements personnels sont collectés, utilisés, communiqués, conservés ou détruits par l’organisation possède des droits à l’égard de ceux-ci et doit pouvoir les exercer librement. L’organisation reçoit, analyse et répond à toute demande d’accès, de rectification et de désindexation d’un Renseignement personnels ainsi qu’à toute plainte formulée par une personne concernée ou autorisée en vertu des Lois sur la protection des RP. Toutes les demandes et les plaintes doivent être acheminées au Responsable de la protection des RP et traitées conformément à la Procédure de traitement des demandes et des plaintes relatives aux renseignements personnels jointe à l’Annexe 5.

4.9 Gestion des incidents de confidentialité

Lorsque l’organisation a des motifs raisonnables de croire qu’un Incident de confidentialité s’est produit, elle prend les mesures raisonnables pour diminuer les risques qu’un préjudice soit causé et éviter que de nouveaux incidents de même nature ne se produisent. Si l’Incident de confidentialité présente un risque de préjudice sérieux, l’organisation avise, avec diligence et par écrit, la Commission d’accès à l’information (CAI) ainsi que toute personne dont un Renseignement personnel est concerné. Tout signalement d’un Incident de confidentialité doit être acheminé au Responsable de la protection des RP et être traitées conformément à la Procédure de gestion d’un incident de confidentialité impliquant un renseignement personnel jointe à l’Annexe 6.

5. Rôles et responsabilités

5.1 Responsable de la protection des RP

i)  Assurer le respect et la mise en œuvre des Lois sur la protection des RP au sein de l’organisation;

ii) Approuver les politiques et pratiques encadrant la gouvernance des Renseignements personnels que l’organisation doit établir et mettre en œuvre pour assurer la protection de ces renseignements;

iii) Prescrire des mesures de sécurité des Renseignements personnels, en vérifier l’application et proposer que des correctifs soient apportés, le cas échéant;

iv) Recevoir, analyser et répondre aux demandes et plaintes relatives aux Renseignements personnels, et prêter assistance aux demandeurs au besoin;

v) Coordonner la gestion d’un Incident de confidentialité.

5.2 Membres du CA et membres qui traitent des Renseignements personnels

i) Veiller à la protection des Renseignements personnels en respectant la Politique et les pratiques mis en œuvre par l’organisation qui sont pertinentes à l’exercice de leurs fonctions;

ii) Acheminer sur réception au Responsable de la protection des RP les demandes et les plaintes relatives aux Renseignements personnels;

iii) Informer immédiatement le Responsable de la protection des RP lorsqu’il y a un motif de croire qu’un Incident de confidentialité s’est produit.

6. Annexes

Les annexes suivantes complètent la Politique :

i) Programme de gouvernance des renseignements personnels ;

ii) Directive sur la collecte, l’utilisation et la communication de renseignements personnels;

iii) Directive sur la conservation, la destruction et l’anonymisation de renseignements personnels;

iv) Directive sur les mesures de sécurité des renseignements personnels;

v) Procédure de traitement des demandes et des plaintes relatives aux renseignements personnels;

vi) Procédure de gestion des incidents de confidentialité impliquant un renseignement personnel.