Protection des renseignements personnels

Obligations des agents de renseignements personnels

Votre première obligation consiste à vous inscrire auprès de la Commission :

• Formulaire pour vous inscrire auprès de la Commission (PDF, 383 Ko).

La demande d’inscription doit contenir :

• Votre nom et votre adresse et, si vous êtes une personne morale, l’adresse de votre siège et les noms et adresses des administrateurs;
• L’adresse et le numéro de téléphone de tout établissement situé au Québec;
• L’adresse et le numéro de téléphone de tout bureau permettant aux personnes concernées de consulter les renseignements les concernant ou d’en obtenir copie;
• Votre adresse de courrier électronique et celle de tout établissement vous appartenant;
• Le titre et les coordonnées du responsable de la protection des renseignements personnels;
• Les moyens pris afin de garantir que les renseignements que vous communiquez sont à jour et exacts et que ces communications sont effectuées conformément à la Loi sur le privé;
• Les règles de conduite permettant à toute personne concernée par un renseignement personnel d’y avoir accès, selon des modalités propres à en assurer la protection, et lui permettant de le faire rectifier, le cas échéant;
• Les autres mesures prises pour assurer la confidentialité et la sécurité des renseignements personnels conformément à la Loi sur le privé.

Vous devez aviser la Commission de toute modification de l’information fournie lors de votre inscription, dans un délai de 30 jours. Si vous prévoyez cesser vos activités d’agent de renseignements personnels, vous devez en informer rapidement la Commission.

La Commission tient à jour un registre des agents de renseignements personnels.

Informer le public de vos activités

Évaluation du crédit, recouvrement de créances, vérification d’antécédents judiciaires ou enquêtes de pré-emploi, etc. : les renseignements personnels que vous recueillez, détenez et communiquez concernent des décisions déterminantes pour les citoyens qui sont pourtant rarement au fait de vos activités et de vos pratiques. Pour cette raison, vous devez être transparent envers la population.

Dès que votre inscription auprès de la Commission est complétée, vous êtes tenu d'informer le public au sujet de vos activités sur votre site Web ou, si vous n'en avez pas, par tout autre moyen approprié. Votre avis au public doit indiquer :

• Le fait que vous détenez des renseignements personnels sur autrui, que vous communiquez à vos cocontractants des rapports de crédit au sujet du caractère, de la réputation et de la solvabilité des personnes concernées par ces renseignements et que vous recevez communication de renseignements personnels sur autrui;
• Les droits d’accès et de rectification que les personnes concernées peuvent exercer en vertu de la Loi sur le privé;
• Le titre et les coordonnées du responsable de la protection des renseignements personnels;
• Les moyens pris afin de garantir que les renseignements que vous communiquez sont à jour et exacts et que cette communication est effectuée conformément à la Loi sur le privé;
• Les règles de conduite permettant à toute personne concernée par un renseignement personnel que vous détenez d’y avoir accès, selon des modalités propres à en assurer la protection, et lui permettant de le faire rectifier, le cas échéant;
• Les autres mesures prises pour assurer la confidentialité et la sécurité des renseignements personnels, comme le prévoit la loi applicable.

Notez que la notion de « dossier » a été remplacée par celle de « renseignement personnel » dans la Loi, favorisant ainsi une portée plus large pour les obligations des agents de renseignements personnels.

Plus généralement, la Commission vous encourage à faire preuve d’une plus grande transparence envers les personnes concernées par les renseignements personnels que vous avez en votre possession. Par exemple :

• Diffusez des règles de conservation des renseignements personnels;
• Informez les personnes concernées des facteurs et des paramètres les plus importants pris en compte pour tout renseignement personnel calculé, comme la cote ou le pointage de crédit, et la liste des renseignements personnels utilisés pour ces calculs.

D’autres informations sur vos pratiques peuvent aussi être communiquées aux citoyens pour optimiser la transparence de vos activités d’agent de renseignements personnels.

Vous êtes aussi tenu de détruire un renseignement personnel recueilli il y a plus de sept ans. Notez que cette obligation ne s’applique pas à un renseignement contenu dans un dossier d’enquête constitué en vue de prévenir, de détecter ou de réprimer un crime ou une infraction à la loi.

Les citoyens doivent pouvoir exercer un contrôle sur l’exactitude des renseignements personnels qui les concernent, de même que sur leur circulation et leur utilisation à diverses fins.

C’est pourquoi vous êtes aussi tenu :

• D’établir et d’appliquer des règles de conduite permettant à toute personne concernée par un renseignement personnel que vous détenez d’y avoir accès, selon des modalités propres à assurer leur protection;
• D’établir et d’appliquer des règles de conduite permettant la rectification de ces renseignements.

Un agent de renseignements personnels est passible de sanctions administratives pécuniaires ou de sanctions pénales prévues par la Loi sur le privé s’il commet un des manquements suivants :

• Omettre de s’inscrire à la Commission;
• Invoquer le fait qu’il est inscrit à la Commission pour prétendre que sa compétence, sa solvabilité, sa conduite ou ses opérations sont reconnues ou approuvées;
• Omettre d’établir et d’appliquer des modalités permettant de garantir que les renseignements qu’il communique sont à jour et exacts et que cette communication est effectuée conformément à la Loi sur le privé;
• Omettre de transmettre l’information requise par la Loi sur le privé dans la demande d’inscription;
• Omettre d’informer la Commission de toute modification à l’information transmise lors de l’inscription dans un délai de 30 jours suivant la modification;
• Omettre d’établir et d’appliquer des règles de conduite ayant pour objet de permettre à toute personne concernée par un renseignement personnel qu’il détient d’y avoir accès selon des modalités propres à assurer la protection d’un tel renseignement et de le faire rectifier;
• Omettre d’informer le public de ses activités conformément à la Loi sur le privé;
• Omettre de détruire un renseignement personnel recueilli il y a plus de sept ans;
• Omettre d’informer la Commission avec diligence de la cessation de ses activités.