Que peuvent faire les organismes et entreprises avec vos renseignements personnels ?

Que font les organismes et les entreprises avec vos renseignements personnels? La loi encadre leurs pratiques. Ils doivent recueillir uniquement les renseignements nécessaires à leurs activités, vous expliquer pourquoi ils les collectent et prendre les moyens appropriés pour en assurer la sécurité.

Des lois québécoises obligent les organismes publics et les entreprises à respecter des règles pour protéger les renseignements personnels.

L’entreprise peut être, par exemple, une entreprise individuelle ou une société par actions.

Elle peut aussi être un organisme sans but lucratif (OSBL). Un organisme public peut être, par exemple :

• un ministère,
• une municipalité,
• un centre de services scolaire,
• un établissement de santé et de services sociaux.

Les règles à respecter

Les organismes publics et les organisations du secteur privé doivent respecter plusieurs obligations visant à protéger les renseignements personnels. Ces obligations s’appliquent à chaque étape de leur gestion, de la collecte à la destruction des renseignements.

Vous devez avoir des raisons sérieuses et légitimes de demander des renseignements personnels et collecter uniquement les renseignements nécessaires pour atteindre ces objectifs.

En principe, vous devez obtenir le consentement de la personne pour utiliser ses renseignements personnels ou les partager avec d’autres personnes et organisations. S’il s’agit d’un renseignement sensible, son consentement doit être explicite et ne laisser aucun doute sur sa volonté.

Vous devez également informer la personne des règles encadrant la gestion de ses renseignements personnels. Vous les expliquez souvent dans votre politique de confidentialité ou votre politique de protection personnels, accessible sur votre site Web, généralement dans le pied de page.

Vous devez désigner une personne responsable de la protection des renseignements personnels. Cette personne a notamment pour rôle de recevoir les demandes et les plaintes concernant les renseignements personnels.

Vous devez adopter des mesures de sécurité pour protéger les renseignements personnels contre la perte ou le vol.

Conservez les renseignements personnels seulement pendant le temps nécessaire. Ensuite vous devez les détruire ou les anonymiser, sauf si la loi vous oblige à les garder.

Combien de temps pouvez-vous conserver des renseignements personnels?

Au Québec, il n’existe pas de durée légale unique applicable à tous les renseignements personnels. Une organisation peut donc conserver des renseignements personnels seulement aussi longtemps qu’ils sont nécessaires pour atteindre les fins pour lesquelles ils ont été recueillis.

Une fois ces fins atteintes, l’entreprise doit détruire les renseignements de façon sécuritaire ou, dans certains cas, les anonymiser. Autrement dit, personne ne doit pouvoir remonter jusqu’à la personne concernée à partir de ces renseignements.

Une entreprise peut aussi devoir conserver certains renseignements plus longtemps lorsqu’une autre loi l’exige. Par exemple, certaines obligations fiscales, comptables ou liées à l’emploi imposent des périodes minimales de conservation.

Que faire en cas d’incident de confidentialité ?

Malgré vos précautions, des incidents de confidentialité peuvent survenir, par exemple :

• Envoyer un courriel à la mauvaise personne.
• Perdre des données à la suite d’une cyberattaque.
• Perdre un appareil informatique, comme une clé USB non sécurisée.

Si l’incident présente un risque qu’un préjudice sérieux soit causé à une personne (ex. : un vol d’identité), vous devez en principe l’en informer et aviser la Commission d’accès à l’information du Québec (la Commission).

Vous devez également prendre des mesures raisonnables pour prévenir de nouveaux incidents et minimiser les risques de préjudices à la vie privée.

Décision automatisée

Vous devez prévenir les personnes concernées lorsque vous prenez une décision entièrement automatisée en vous basant sur leurs renseignements personnels.

Une décision est automatisée lorsqu’elle est prise sans intervention humaine. Par exemple, une personne entre des renseignements dans un système informatique qui détermine automatiquement si elle est admissible à une couverture d’assurance. Il peut aussi s’agir d’un système qui analyse des candidatures et écarte automatiquement certaines personnes avant qu’un membre du personnel ne les examine.

Si cette personne vous en fait la demande, vous devez notamment lui indiquer quels renseignements ont été pris en compte ainsi que les raisons de la décision.

Une personne peut vous demander de rectifier les renseignements personnels utilisés pour rendre la décision. Elle peut également vous demander de réviser la décision. Vous devez alors lui permettre de présenter ses observations à une personne de votre organisation en mesure de réviser cette décision.