Le responsable doit approuver les politiques et les pratiques de l’entreprise encadrant sa gouvernance à l’égard des renseignements personnels.
Votre entreprise est responsable de protéger les renseignements personnels qu'elle recueille, détient, utilise, communique et conserve.
La personne ayant la plus haute autorité dans l’entreprise, par exemple son dirigeant, est par défaut responsable de la protection des renseignements personnels. Elle exerce cette fonction en assurant le respect et la mise en œuvre de la Loi sur la protection des renseignements personnels dans le secteur privé.
Cette fonction peut cependant être déléguée par écrit, en tout ou en partie, à une personne en mesure d’assumer efficacement ce rôle. Dans ce cas, la Commission recommande de désigner une personne ayant les compétences requises et un pouvoir décisionnel important.
Même en cas de délégation, la personne ayant la plus haute autorité demeure imputable quant au respect et à la mise en œuvre de la Loi dans son entreprise. La personne ayant la plus haute autorité doit appuyer la personne à qui elle délègue ses fonctions en lui fournissant les ressources nécessaires pour assumer pleinement ses fonctions, que ces ressources soient :
Le titre et les coordonnées du responsable de la protection des renseignements personnels doivent être publiés sur le site Web de l’entreprise. En l’absence d’un site Web, l’entreprise doit en informer le public par tout autre moyen approprié. La Commission n’a pas à en être informée.
Le responsable doit approuver les politiques et les pratiques de l’entreprise encadrant sa gouvernance à l’égard des renseignements personnels.
Le responsable de la protection des renseignements personnels est chargé de recevoir et d’assurer le traitement des demandes d’accès ou de rectification de renseignements personnels, de même que des demandes d'accès, pour des motifs de deuil, aux renseignements personnels d'une personne décédée.
Les citoyens bénéficient de droits leur permettant de contrôler la diffusion de leurs renseignements personnels. Par conséquent, le responsable doit répondre aux demandes écrites des personnes exigeant :
Les personnes concernées peuvent faire ces demandes :
Le responsable doit répondre par écrit à cette demande, selon les mêmes modalités que les demandes d’accès et de rectification. S’il accepte la demande, sa réponse écrite doit attester de la cessation de diffusion des renseignements, de la désindexation ou de la réindexation de l’hyperlien.
Pour en savoir plus sur les droits des citoyens, consultez la page Vos droits en matière de renseignements personnels.
Le responsable de la protection des renseignements personnels doit participer à l’évaluation des facteurs relatifs à la vie privée (EFVP) concernant les projets d’acquisition, de développement et de refonte d’un système d’information ou de prestation électronique de services impliquant des renseignements personnels. Le responsable doit prendre part au projet du début à la fin.
À toutes les étapes, il peut suggérer des mesures de protection des renseignements personnels, comme :
Le responsable peut aussi participer aux autres évaluations des facteurs relatifs à la vie privée prévues par la Loi.
Pour tout savoir sur la démarche d'évaluation des facteurs relatifs à la vie privée, consultez la section Évaluation des facteurs relatifs à la vie privée.
Les mandataires ou les exécutants d’un contrat de service ou d’entreprise doivent aviser sans délai le responsable de la protection des renseignements personnels concernant :
Ils doivent alors permettre au responsable d’effectuer toute vérification concernant cette confidentialité.
Lorsqu'elle évalue le risque qu'un préjudice soit causé aux personnes concernées à la suite d'un incident de confidentialité, une entreprise doit consulter son responsable de la protection des renseignements personnels.
Pour en savoir plus, consultez la page sur les incidents de confidentialité.
À compter du 22 septembre 2024, le responsable devra répondre aux demandes de citoyens portant sur le droit à la portabilité de leurs renseignements personnels.
Pour vous préparer à répondre à ces nouvelles demandes, consultez l’aide-mémoire sur les nouvelles responsabilités des entreprises, les pistes d’action et les bonnes pratiques. (PDF, 223 Ko)
D’autres tâches peuvent être assumées par le responsable. Par exemple :
Le responsable joue un rôle crucial au sein de son entreprise. Il est donc aussi appelé à mettre en place des mesures préventives en matière de protection des renseignements personnels.
Les entreprises doivent établir et mettre en œuvre des politiques et des pratiques de gouvernance pour protéger les renseignements personnels.
Ces politiques et ces pratiques doivent minimalement prévoir :
Ces politiques et ces pratiques doivent être proportionnelles à la nature et à l’importance des activités de l’entreprise.
Les entreprises doivent faire connaître leurs politiques et leurs pratiques dans leur site Web. L’information publiée à ce sujet doit être détaillée et expliquée en termes simples et clairs.
En l’absence d'un site Web, l’entreprise doit informer le public par tout autre moyen approprié.
Dans certaines situations impliquant des renseignements personnels, une entreprise doit réaliser une évaluation des facteurs relatifs à la vie privée (EFVP). Cette obligation vise évidemment à mieux protéger le droit fondamental des citoyens à à la vie privée.
L'EFVP est une démarche préventive et évolutive visant à mieux protéger les renseignements personnels et à mieux respecter la vie privée des personnes. Ce droit fondamental est protégé par la Charte des droits et libertés de la personne.
Concrètement, l'EFVP est une analyse d’impact. Avant d’entamer un projet et au cours de celui-ci, cette démarche permet de considérer tous les facteurs ayant un effet positif ou négatif sur le respect de la vie privée des personnes concernées.
Ces facteurs sont :
L’EFVP a pour objectifs :
La réalisation d’une EFVP doit être proportionnée à la sensibilité des renseignements concernés, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support.
L’organisation réalisant une EFVP démontre qu’elle assume ses responsabilités quant à la protection des renseignements personnels.
En 2018, un sondage Léger Marketing réalisé pour la Commission a d’ailleurs révélé que 91 % des Québécois accordaient de l’importance à la protection de leurs renseignements personnels et auraient fait davantage affaire avec une entreprise possédant une bonne réputation en la matière. Plus récemment, en 2022-2023, un sondage mené par le Commissariat à la protection de la vie privée du Canada dévoilait que la grande majorité (93 %) des répondants sont préoccupés par la protection de leur vie privée.
Vous devez réaliser une EFVP dans trois situations. Au-delà de ces situations, la Commission recommande cette pratique à toute organisation ayant un projet mettant en cause des renseignements personnels.
Votre entreprise doit procéder à une EFVP avant de :
Consultez la section sur la communication de renseignements personnels à l’extérieur du Québec.
Une EFVP est requise pour tout projet lié à un système d’information ou de prestation électronique de services impliquant des renseignements personnels. Il peut s’agir d’un projet d'acquisition, de développement ou de refonte. Dès le début d'un tel projet, aux fins de l'EFVP, l’entreprise doit consulter son responsable de la protection des renseignements personnels.
Un système d’information peut revêtir de multiples formes. Il n’est pas nécessairement informatisé, quoique cela soit fréquent. Il peut s’agir entre autres d’un :
Un système de prestation électronique de services peut notamment prendre la forme :
La communication de renseignements personnels sans le consentement des personnes concernées à une personne ou à un organisme souhaitant utiliser ces renseignements à des fins d’étude, de recherche ou de production de statistiques est permise seulement si une EFVP conclut au respect de certains critères.
La communication doit être faite dans le cadre d’une entente écrite, transmise à la Commission. Cette entente entre en vigueur dans les 30 jours suivant sa réception.
Pour plus d'information, consultez la section sur la communication de renseignements personnels sans consentement à des fins de recherche.
Pour vous aider à réaliser votre EFVP et à mieux comprendre cette démarche, consultez le Guide d’accompagnement conçu par la Commission (PDF, 1 108 Ko). La Commission propose également un modèle générique de rapport (DOCX, 151 Ko) permettant de rendre compte des résultats d’une EFVP.