Version complète
1. Le préambule
Dans l'exercice de gestion, Garderie Imagine Inc, Garderie Imagine 2 Inc, Garderie Imagine des Collines et le Centre d'Éducation Préscolaire la Cité (dans le présent texte, nous ferons référence au groupe Garderie Imagine afin d'alléger le contenu) doivent recueillir, traiter et communiquer des renseignements jugés personnels. Dans ce cadre, Garderie Imagine désire mettre en place, en respect de la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre p-39.1, les processus, les méthodes, les règlements, les politiques pour assurer que le recueil, le traitement, la communication, la protection et la destruction des renseignements personnels soient conformes à la législation en vigueur dans ce domaine, et ultimement, assurer l'absence de tout incident de confidentialité et dans le cas contraire avoir en place les processus nécessaires pour minimiser ou éliminer les préjudices sérieux.
2. Les objectifs de la politique
La présente politique vise les objectifs suivants :
- Respecter la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre p-39.1 ;
- Protéger les renseignements personnels présents ;
- Réagir avec efficacité et démontrer la diligence de Garderie Imagine;
- Comprendre ce qu'est un renseignement personnel ;
- Définir clairement les responsabilités et les obligations de chaque intervenant dans l'organisation ;
- Avoir en place les politiques et pratiques pour protéger les renseignements personnels détenus par (nom de l'organisation);
- Établir les actions à entreprendre dans le cas d'un risque d'incident de confidentialité sans préjudice sérieux ;
- Établir les actions à entreprendre dans le cas d'un incident de confidentialité avec un risque de préjudice sérieux ;
- Établir les modes de destructions sécuritaires de renseignements personnels ;
- Établir les règles de conservation des renseignements personnels.
3. Les définitions importantes
- Employeur : Garderie Imagine, Garderie Imagine 2 Inc, Garderie Imagine des Collines, Centre d'Éducation Préscolaire la Cité
- Employé(e) : Personne qui travaille pour l'employeur moyennant rémunération.
- Cadre : Signifie toute personne qui supervise des employé(e)s sous sa responsabilité.
- Loi : Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1.
- Renseignement personnel : Tout renseignement qui concerne une personne physique et qui permet, directement ou indirectement, de l'identifier.
- CAI : Commission d'accès à l'information.
- Règlement : Règlement sur les incidents de confidentialité.
- Registre : Registre des incidents de confidentialité.
- Anonymiser : Processus irréversible par lequel les renseignements personnels sont traités de manière à rendre impossible l'identification directe ou indirecte de la personne concernée.
- Personne concernée : Personne physique qui est concernée par des renseignements personnels qui permettent, directement ou indirectement, de l'identifier.
- La personne responsable : Personne physique de qui relèvent les responsabilités de l'application et du respect de la Loi.
- ÉFVP : Évaluation des facteurs relatifs à la vie privée.
- Renseignement personnel sensible : Un renseignement personnel est considéré comme sensible étant donné sa nature, entre autres médicale, biométrique ou autrement intime ou en raison du contexte de son utilisation ou de sa communication. Il suscite un haut degré d'attente raisonnable en matière de vie privée.
- Préjudice sérieux : Un préjudice sérieux est un préjudice du fait de la sensibilité des renseignements personnels, des conséquences de leur utilisation et de la probabilité qu'ils soient utilisés, est préjudiciable envers la personne concernée.
- Incident de confidentialité : Un incident de confidentialité correspond à tout accès, utilisation ou communication non autorisée par la loi d'un renseignement personnel, de même qu'à la perte d'un renseignement personnel ou à toute autre atteinte à sa protection.
- Transaction commerciale : Une transaction commerciale est l'aliénation ou la location de tout ou d'une partie d'une entreprise ou des actifs dont elle dispose, d'une modification de sa structure juridique par fusion ou autrement, de l'obtention d'un prêt ou de toute autre forme de financement par celle-ci ou d'une sûreté prise pour garantir l'une de ses obligations.
- Liste nominative : Une liste nominative est une liste de noms, de numéros de téléphone, d'adresses géographiques, de personnes physiques ou d'adresses technologiques où une personne physique peut recevoir de la communication d'un document ou d'un renseignement technologique.
- Le droit de gérance : Droit de l'employeur à mettre en place des mécanismes lui permettant de contrôler la gestion à tous les niveaux des renseignements personnels, du recueil à la destruction des renseignements personnels.
- Processus disciplinaire (Les mesures disciplinaires) : Mesures imposées dans le but de corriger le comportement répréhensible d'un(e) employé(e). Le comportement répréhensible se manifeste notamment lorsqu'un(e) employé(e) ne se conforme pas aux devoirs de conduite inhérents aux fonctions et aux responsabilités du poste qu'il(elle) occupe, à une loi, à une politique ou à une directive en vigueur.
4. L'engagement de l'organisation
Garderie Imagine s'engage à assurer la protection des renseignements personnels qu'elle détient, acquiert, traite, transmet et détruit.
5. Le rôle et les responsabilités des membres du personnel et des cadres
Chaque membre du personnel et cadre ont la responsabilité de protéger et d'utiliser à bon escient les renseignements personnels accessibles dans le cadre du travail tout au long du cycle de vie des renseignements personnels.
En aucun temps, le membre du personnel ou le cadre ne recueillera, ne consultera, ne transmettra ou ne détruira des renseignements personnels sans avoir au préalable reçu la permission du responsable de la protection des renseignements personnels ou en cas d'absence, de son remplaçant.
Le non-respect de cette obligation pourrait engager un processus disciplinaire pouvant se traduire par un congédiement.
5.1 Le cycle de vie d'un renseignement personnel
Selon la Commission sur l'accès à l'information, le cycle de vie d'un renseignement personnel est le suivant :
a. Collecte du renseignement personnel b. Utilisation du renseignement personnel c. Communication du renseignement personnel d. Conservation du renseignement personnel e. Destruction du renseignement personnel
6. Le rôle et les responsabilités du responsable de la protection des renseignements personnels tout au long du cycle de vie des renseignements personnels
La personne responsable de la protection des renseignements personnels doit :
- Définir son rôle et ses responsabilités au sein d'une politique ;
- Faire l'inventaire des renseignements personnels détenus et évaluer leur sensibilité ;
- Mettre en place des mesures pour prévenir ou limiter les conséquences d'un incident de confidentialité impliquant un renseignement personnel ;
- Réaliser les évaluations des facteurs relatifs à la vie privée (ÉFVP). L'ÉFVP est un processus qui sert à déterminer l'incidence que pourrait avoir un programme ou un service sur la vie privée d'une personne ;
- Sensibiliser et former le personnel de l'entreprise ;
- Assurer la gestion des incidents de confidentialité et tenir un registre de ces derniers ;
- Connaître la nature des renseignements personnels que (nom de l'organisation) possède ;
- Détenir, traiter et communiquer les renseignements personnels selon les règles édictées par la Loi ;
- Savoir qui peut avoir accès à ces renseignements personnels et pour quels motifs ;
- S'assurer que les renseignements personnels dont les personnes ont accès sont exigés dans le cadre de leurs fonctions ;
- Produire et mettre en place des politiques et des pratiques qui encadrent la gouvernance des renseignements personnels ;
- Appliquer ou faire appliquer les politiques et pratiques en matière de renseignements personnels.
7. La sécurité des renseignements personnels recueillis par la technologie de l'information
7.1 La technologie de l'information
Garderie Imagine utilise les technologies de l'information pour supporter ses opérations. Les renseignements personnels recueillis servent à offrir des services conformes aux attentes des personnes concernées et à la déclaration des services de Garderie Imagine. Tous les renseignements personnels qui sont collectés sont conservés dans un environnement sécurisé rencontrant les obligations de la Loi.
7.2 Les employés
Tous les employés de Garderie Imagine ont l'obligation de suivre les indications prévues dans la présente politique et d'agir en tout temps pour préserver la sécurité des renseignements personnels détenus et traités par Garderie Imagine. Comme prévu aux présentes, la garderie doit mettre en place des mesures de sécurité et de gestion des accès adéquates, utiles et nécessaires selon le niveau de sensibilité des renseignements personnels recueillis et traités par la technologie de l'information.
7.3 L'accès aux renseignements personnels recueillis par la technologie de l'information
L'accès aux renseignements personnels obtenus par la technologie de l'information sera limité aux seules personnes ayant la qualité pour les recevoir au sein de l'organisation lorsque ces renseignements sont nécessaires à l'exercice de leurs fonctions.
8. La collecte de renseignements personnels
La collecte de renseignements personnels doit se faire en suivant les 3 règles suivantes :
- La règle du consentement ;
- La règle de l'intérêt sérieux et légitime et de la nécessité ;
- La règle de la cueillette directe.
8.1 La règle du consentement
Pour toute collecte de renseignements personnels, le consentement de la personne concernée est nécessaire. Les obligations suivantes doivent être respectées :
- Le consentement de la personne concernée doit être manifeste, libre et éclairé et donné à des fins spécifiques ;
- Le consentement ne vaut que pour la durée nécessaire à la réalisation des fins pour lesquelles il a été demandé ;
- Tout consentement devra être demandé pour chacune de ses fins, en termes simples et clairs ;
- Lorsque la demande de consentement sera faite par écrit, elle devra être présentée distinctement de toute autre information communiquée à la personne concernée ;
- Sauf exception prévue à la Loi, un renseignement personnel ne pourra être utilisé à une autre fin que celle prévue, à moins que la personne concernée n'y consente ;
- Le consentement doit être formulé de manière expresse avant d'utiliser un renseignement personnel sensible à une fin différente de celle prévue lors de la collecte.
De plus, pour respecter la notion de transparence prévue à la Loi lors de la collecte, les informations suivantes devront être transmises à la personne concernée :
- Les fins de la collecte ;
- Les moyens de la collecte ;
- Les droits d'accès et de rectification ;
- Le droit des personnes concernées de retirer leur consentement ;
- Du nom du tiers ou des catégories de tiers pour qui la collecte est faite ;
- Du nom des tiers à qui il est nécessaire de communiquer les renseignements ;
- De la possibilité, selon le cas, que les renseignements soient communiqués à l'extérieur du Québec.
- Si la personne concernée en fait la demande, les informations suivantes devront lui être transmises :
- Des renseignements personnels recueillis auprès d'elle ;
- Des catégories de personnes qui ont accès à ces renseignements au sein de l'organisation ;
- De la durée de conservation de ces renseignements ;
- Des coordonnées du responsable de la protection des renseignements personnels.
Le tout rédigé dans des termes simples et clairs sans considérer le moyen utilisé pour recueillir les renseignements.
8.2 La règle de l'intérêt sérieux et légitime et la notion de nécessité
La cueillette de renseignements personnels doit être faite dans un contexte d'un intérêt sérieux, légitime et lors de la constitution d'un dossier, l'objet doit y être inscrit.
8.2.1 La notion de nécessité
Les renseignements personnels qui peuvent être collectés sont ceux nécessaires à l'objet du dossier, c'est-à-dire uniquement si la finalité poursuivie est légitime, importante, urgente et réelle et si l'atteinte au droit à la vie privée consécutive à la collecte de chaque élément de renseignement est proportionnelle à cette finalité. La simple utilité d'un renseignement ne le rend pas nécessaire.
Spécifiquement, la nécessité est constatée si ces critères sont respectés :
- L'objectif poursuivi par la collecte de ces renseignements est réel, important et légitime.
- La collecte est rationnellement liée à cet objectif.
- Il n'existe pas d'autre solution raisonnable portant moins atteinte à la vie privée de la personne.
- L'effet utile est plus grand que le préjudice susceptible d'être causé à la personne.
8.2.2 En cas de doute sur la nécessité
En cas de doute sur sa nécessité, un renseignement personnel est réputé non nécessaire et ne doit pas être collecté.
8.3 La cueillette des renseignements personnels
8.3.1 La règle de la cueillette directe
Les renseignements personnels doivent être recueillis auprès de la personne concernée directement.
9. L'utilisation des renseignements personnels
9.1 L'utilisation
Les renseignements personnels ne peuvent être utilisés que pour la fin pour laquelle ils ont été collectés. Dans le cas où les renseignements personnels seraient utilisés pour une autre fin, l'autorisation de la personne concernée devra être donnée avant l'utilisation des renseignements personnels.
Comme il est prévu à la Loi, la collecte des renseignements personnels donne l'autorisation de la part de la personne concernée d'utiliser les renseignements collectés. Spécifiquement, les limites de l'utilisation des renseignements personnels sont les suivantes :
- Limiter l'accès aux renseignements personnels aux seules personnes ayant la qualité pour les recevoir au sein de l'organisation lorsque ces renseignements sont nécessaires à l'exercice de leurs fonctions ;
- Limiter l'utilisation des renseignements personnels : à moins d'une exception prévue par la loi, le consentement doit être obtenu de la personne concernée pour utiliser ses renseignements une fois l'objet du dossier accompli.
9.2 La sécurité lors de l'utilisation
Pendant l'utilisation des renseignements personnels, la personne qui en fait usage doit obligatoirement en assurer la protection. La personne doit, sans s'y restreindre :
- Ne pas donner accès aux renseignements personnels à une personne qui n'y est pas autorisée ;
- Dans le cas où la personne qui utilise les renseignements personnels quitte temporairement son espace de travail, les renseignements personnels doivent être disposés de manière à ne pas être à la vue des passants :
- Les renseignements personnels doivent être rangés dans un classeur ou tiroir barré ;
- L'écran de l'ordinateur doit être verrouillé.
10. La communication de renseignements personnels
10.1 Le consentement à la communication
Avant toute communication, qu'elle soit verbale ou écrite et par tous les moyen, téléphone, courriel, texto, lettre, rapport, site Web ou, etc., le consentement de la personne concernée est nécessaire sauf dans les cas prévus à la Loi.
Spécifiquement, les obligations suivantes doivent être respectées :
- Obtenir le consentement des personnes concernées pour communiquer leurs renseignements à un tiers (ex. : assureur ou prestataire de services), à moins d'une exception prévue par la Loi ;
- Respecter la règle du consentement (voir article 7.1) ;
- Respecter les obligations prévues par la Loi lorsqu'elle communique des renseignements personnels sans le consentement de la personne concernée ;
- Respecter les obligations particulières applicables à la communication de renseignements personnels à l'extérieur du Québec.
L'autorisation de collecter et d'utiliser les renseignements personnels ne permet pas la communication à un tiers des renseignements en question.
La personne concernée devra remplir et signer le formulaire pour le consentement à la communication.
11. Utilisation de renseignements personnels sans le consentement de la personne visée
La transmission de renseignements personnels sans le consentement de la personne concernée est possible dans les cas suivants :
- Au directeur des poursuites criminelles et pénales si le renseignement est requis aux fins d'une poursuite pour infraction à une loi applicable au Québec ;
- À un organisme chargé, en vertu de la loi, de prévenir, détecter ou réprimer le crime ou les infractions aux lois qui le requiert dans l'exercice de ses fonctions, si le renseignement est nécessaire pour la poursuite d'une infraction à une loi applicable au Québec ;
- À une personne à qui il est nécessaire de communiquer le renseignement dans le cadre d'une loi applicable au Québec ou pour l'application d'une convention collective ;
- À un organisme public au sens de la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements publics et sur la protection des renseignements personnels qui, par l'entremise d'un représentant, le recueille dans l'exercice de ses attributions ou la mise en œuvre d'un programme dont il a la gestion ;
- À une personne ou à un organisme ayant le pouvoir de contraindre leur communication et qui les requiert dans l'exercice de ses fonctions ;
- À une personne à qui cette communication doit être faite en raison d'une situation d'urgence mettant en danger la vie, la santé ou la sécurité de la personne concernée ;
- À des tiers en vue de prévenir un acte de violence, dont un suicide et lorsqu'il existe un motif raisonnable de croire qu'un risque sérieux de mort ou de blessures graves menace une personne ou un groupe de personnes identifiable et que la nature de la menace inspire un sentiment d'urgence ;
- À un service d'archives dans certaines conditions et/ou après un certain délai ;
- À une personne qui peut utiliser ce renseignement à des fins d'étude, de recherche ou de productions de statistiques conformément à l'article 21 ou à une personne qui est autorisée conformément à l'article 21.1 de la Loi ;
- À une personne qui, en vertu de la loi, peut recouvrer des créances pour autrui et qui le requiert à cette fin dans l'exercice de ses fonctions ;
- À une personne si le renseignement est nécessaire aux fins de recouvrer une créance de l'entreprise ;
- À toute personne ou tout organisme susceptible de diminuer un risque suivant un incident de confidentialité impliquant un renseignement personnel, en ne lui communiquant que les renseignements personnels nécessaires à cette fin ;
- Dans le cas d'une transaction commerciale ;
- Dans le cas d'une demande pour une liste nominative.
12. L'incident de confidentialité
12.1 La procédure en cas d'incident de confidentialité
Dans le cas où un incident de confidentialité avec ou sans risque de préjudice sérieux, la procédure portant le nom de Procédure en cas d'incident de confidentialité, doit être suivi.
13. Le traitement des plaintes relatives à la protection des renseignements personnels
13.1 Le traitement des plaintes
Le traitement adéquat, uniforme et diligent des plaintes est une priorité chez Garderie Imagine. Toute personne insatisfaite du processus de collecte, d'utilisation, de communication ou de destruction de renseignements personnels peut déposer une plainte à la personne responsable de la protection des renseignements personnels.
13.2 Le processus de traitement d'une plainte
Dans le cas où une plainte est déposée, le responsable de la protection des renseignements personnels doit suivre les étapes prévues à la Procédure de traitement d'une plainte. Il bénéficie de 30 jours pour le faire. Les étapes suivantes devront être suivies :
a) Réception de la plainte b) Analyse de la recevabilité c) Si la plainte est non recevable
- i. Lettre à la personne plaignante et arrêt du processus d) Si la plainte est recevable
- ii. Lettre à la personne plaignante et enquête e) Enquête f) Résultat de l'enquête g) Avis écrit à la personne plaignante sur le résultat de l'enquête h) Mise en place des solutions
La personne responsable prendra toutes les actions pour protéger au maximum les renseignements personnels détenus, traités et communiqués.
13.3 Les mesures de sécurité
La personne responsable devra mettre en place des mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits.
Ces mesures sont raisonnables compte tenu notamment de la sensibilité, de la finalité, de la quantité, de la répartition et du support des renseignements personnels.
14. La conservation des renseignements personnels
Le responsable de la protection des renseignements personnels verra à la conservation des renseignements personnels. La conservation consiste en la période de temps pendant laquelle sont conservés les renseignements personnels, sous quelque forme que ce soit, et ce, peu importe que les renseignements soient activement utilisés ou non.
14.1 Les règles de conservation
Il s'agit spécifiquement :
- Assurer la mise à jour et l'exactitude des renseignements personnels détenus au moment où ils sont utilisés pour une décision relative à la personne concernée ;
- Mettre en place et respecter les mesures nécessaires pour assurer la sécurité des renseignements personnels ;
- Conserver les renseignements personnels jusqu'à l'atteinte de la finalité pour laquelle ils ont été collectés ou selon les modalités déterminées par une loi ;
- Conserver les renseignements personnels dans un endroit sécuritaire et prévu à cette fin ;
- Permettre l'utilisation des renseignements personnels lorsque la finalité pour laquelle ils ont été collectés est accomplie, qu'avec le consentement de la personne concernée, sous réserve du délai prévu par la loi ou par un calendrier de conservation établi par règlement du gouvernement.
14.2 La fin de la durée de conservation
À la fin de la durée de conservation des renseignements personnels, soit à l'arrivée de la finalité pour laquelle ils ont été collectés, (nom de l'organisation) s'assurera :
- De les détruire de manière sécuritaire et comme prévu à la présente politique ;
ou
- De les anonymiser (c'est-à-dire qu'ils ne permettent plus d'identifier la personne concernée ni d'établir un lien entre la personne concernée et les renseignements personnels) et ce de manière irréversible dans le but de les utiliser à des fins sérieuses et légitimes.
14.3 Le temps de conservation
Le temps de conservation est la durée nécessaire à la réalisation des fins pour lesquelles il a été demandé ou celui prévu au document sur le temps de conservation des renseignements personnels ou celui prévu à une loi en vigueur.
15. Les règles de destruction des renseignements personnels
Le responsable de la protection des renseignements personnels doit s'assurer que la destruction des renseignements personnels se fasse de manière sécuritaire. De plus, si l'organisation désire garder les renseignements personnels, le responsable de la protection des renseignements personnels devra en assurer l'anonymisation et l'utilisation à des fins sérieuses et légitimes.
15.1 Le moment de la destruction
Le responsable de la protection des renseignements personnels devra faire en sorte et prendre les mesures nécessaires lorsque la finalité pour laquelle les renseignements personnels ont été collectés est accomplie, sous réserve du délai prévu par la loi ou par un calendrier de conservation établi par règlement du gouvernement (ex. pour des obligations fiscales), qu'ils soient détruits.
15.2 Les méthodes de destruction
Une méthode de destruction est un processus qui permet de détruire de manière permanente et irréversible des renseignements personnels. Il peut s'agir de déchiqueter, formater, réécrire, destruction physique, broyage, démagnétisation, écrasement d'information. Les pratiques sont prévues au document Méthode de destruction de renseignements personnels.
15.3 Les méthodes d'anonymisation
Une méthode d'anonymisation est un processus irréversible par lequel les renseignements personnels sont traités de manière à rendre impossible l'identification directe ou indirecte de la personne concernée.
16. L'accès et la rectification des renseignements personnels
16.1 Le droit à un accès aux renseignements personnels
En tout temps, à la suite d'une demande, les personnes concernées peuvent demander l'accès au responsable de la protection des renseignements personnels à leurs renseignements personnels détenus par Garderie Imagine. Pour ce faire, la personne concernée devra remplir le formulaire de Demande d'accès aux renseignements personnels et le faire parvenir au responsable de la protection des renseignements personnels.
Une lettre informant la personne concernée lui sera envoyée l'informant de l'acceptation de sa demande d'accès à ses renseignements personnels (Lettre d'acceptation de la demande d'accès).
16.2 La décision quant à l'accès aux renseignements personnels
Le responsable de la protection des renseignements personnels devra donner suite à la demande d'accès en acceptant ou en refusant la demande dans les 30 jours de la date de réception du formulaire d'accès aux renseignements personnels. L'absence de réponse de la part du responsable de la protection des renseignements personnels, à l'expiration du délai, équivaut à un refus.
16.2.1 Le droit de refuser l'accès
Le droit d'accès n'est pas absolu et comporte certaines restrictions.
De manière générale, le responsable de la protection des renseignements personnels peut refuser à la personne concernée d'avoir accès à ses renseignements personnels lorsque la divulgation de ces renseignements risquerait vraisemblablement :
- De nuire à une enquête ;
- D'avoir un effet sur une procédure judiciaire dans laquelle l'une ou l'autre de ces personnes a un intérêt ;
et
- Lorsque la divulgation révélerait un renseignement personnel sur un tiers ou encore l'existence d'un tel renseignement et que cette divulgation serait susceptible de nuire sérieusement à ce tiers ;
De plus,
- La personne responsable de la protection des renseignements personnels doit refuser de communiquer un renseignement personnel :
- Au liquidateur de la succession,
- Au bénéficiaire d'une assurance-vie ou d'une indemnité de décès,
- À l'héritier ou au successible de la personne concernée par ce renseignement,
à moins que cette communication ne mette en cause les intérêts et les droits de la personne qui le demande à titre de liquidateur, de bénéficiaire, d'héritier ou de successible.
Une lettre informant la personne concernée lui sera transmise l'informant du refus (voir Lettre de refus d'accès aux renseignements personnels).
16.3 Le droit à la rectification
Toute personne concernée a le droit de demander au responsable de la protection des renseignements personnels une rectification des renseignements personnels la concernant (Demande de rectification ou suppression des renseignements personnels par la personne concernée).
Le responsable de la protection des renseignements personnels devra faire parvenir une réponse à la personne concernée de manière diligente, dans les 30 jours de la réception de la demande de rectification soumise par celle-ci.
L'absence de réponse dans ce délai équivaut à un refus.
16.4 L'application de la politique
Le responsable de la protection des renseignements personnels a la responsabilité d'interpréter et d'appliquer la politique.
16.5 Révision de la politique
La présente politique sera révisée tous les 3 ans.
16.6 La date d'entrée en vigueur
La politique entrera en vigueur le 22 septembre 2023.