Les obligations détaillées de l'entreprise

La loi exige que l'organisation établisse et mette en œuvre des politiques et pratiques encadrant la gouvernance des renseignements personnels. Concrètement :

• Définir les rôles et responsabilités des membres du personnel tout au long du cycle de vie de la donnée
• Prévoir un processus de traitement des plaintes relatives à la protection des renseignements
• Décrire les mesures de conservation et de destruction des renseignements
• Adapter ces politiques à la taille et à la nature de votre organisation

Distincte de la politique de gouvernance interne, la politique de confidentialité s'adresse au public. Elle doit être rédigée en termes simples et clairs et expliquer :

• Quelles données vous recueillez et pourquoi
• Comment vous les utilisez et à qui vous les communiquez
• Combien de temps vous les conservez
• Comment exercer ses droits

Voir le gabarit de politique de confidentialité (chapitre 13).

Lorsqu'une organisation recueille un renseignement personnel, elle doit informer la personne :

1. Des fins de la collecte
2. Des moyens utilisés pour recueillir
3. De ses droits d'accès et de rectification
4. De son droit de retirer son consentement
5. Le cas échéant, du fait que le renseignement pourrait être communiqué hors Québec
6. Des tiers à qui les données pourraient être communiquées
7. De l'usage de technologies d'identification, de localisation ou de profilage — lesquelles doivent être désactivées par défaut

• Minimisation : ne recueillez que les renseignements nécessaires aux fins déterminées. Si vous n'avez pas besoin d'une donnée, ne la collectez pas.
• Finalité : n'utilisez les renseignements que pour les fins pour lesquelles ils ont été recueillis, sauf nouveau consentement ou exception légale.

Lorsque les fins de la collecte sont accomplies, la loi exige de détruire le renseignement ou l'anonymiser pour l'utiliser à des fins légitimes (statistiques, etc.). Vous ne pouvez pas conserver des données « au cas où » indéfiniment.

La loi exige de prendre les mesures de sécurité raisonnables compte tenu de la sensibilité, de la finalité, de la quantité, de la répartition et du support des renseignements. La loi n'impose pas une technologie précise — elle impose le résultat. Voir le volet technique (chapitre 10).

• Le consentement à des fins de marketing ou de profilage doit être distinct
• Les outils de profilage, localisation et identification doivent être désactivés par défaut (privacy by default)