Le Responsable de la protection des renseignements personnels (RPRP)
Le RPRP est obligatoire pour toute entreprise. Sans désignation explicite, c'est automatiquement la personne ayant la plus haute autorité qui en est responsable.
Qui doit être RPRP?
Toute entreprise doit avoir un RPRP. À défaut de désignation explicite, la fonction revient automatiquement à la personne ayant la plus haute autorité (président, directeur général), même si cette personne n'en est pas consciente.
La fonction peut être déléguée par écrit, en tout ou en partie, à une autre personne — y compris une ressource externe (consultant, cabinet). C'est souvent la solution la plus réaliste pour une PME.
Les 5 responsabilités du RPRP
- Veiller au respect de la loi et à la mise en œuvre des politiques internes
- Approuver ou superviser les ÉFVP (chapitre 6) pour tout nouveau projet touchant des données personnelles
- Être le point de contact pour les personnes qui exercent leurs droits et pour la CAI
- Participer à la gestion des incidents de confidentialité (chapitre 7)
- Sensibiliser et former le personnel aux bonnes pratiques
Publier les coordonnées du RPRP sur le site web
Le titre et les coordonnées du RPRP doivent être publiés sur le site web de l'entreprise (ou rendus accessibles par un autre moyen approprié si l'entreprise n'a pas de site web).
RPRP interne ou externe?
| Critère | RPRP interne | RPRP externe |
|---|---|---|
| Coût | Salaire / temps existant | Honoraires consultant |
| Connaissance de l'entreprise | Élevée | À bâtir |
| Expertise légale et technique | Variable | Généralement élevée |
| Indépendance | Possible conflit de rôle | Forte |
| Adapté aux | Moyennes entreprises | TPE / PME sans expertise interne |
Modèle hybride PME recommandé : un RPRP interne désigné officiellement, appuyé ponctuellement par un conseiller externe pour les ÉFVP et les dossiers complexes.
✓ Checklist RPRP
- ☐ Un RPRP est-il désigné formellement, avec délégation écrite si applicable?
- ☐ Ses coordonnées sont-elles publiées sur le site web?
- ☐ A-t-il l'autorité réelle, le temps et les ressources pour exercer la fonction?
- ☐ Est-il formé sur les obligations de la Loi 25?