Premier principe relatif à l’équité dans le traitement de l’information de la LPRPDE – Responsabilité

Révisé : Août 2020

Vos responsabilités

• Vous conformer aux dix principes relatifs à l'équité dans le traitement de l'information.
• Nommer une personne chargée de la conformité de votre organisation à la LPRPDE.
• Protéger tous les renseignements personnels détenus par votre organisation, y compris tout renseignement personnel que vous transférez à une tierce partie pour traitement.
• Élaborer et mettre en œuvre des politiques et des pratiques concernant les renseignements personnels.

Comment vous acquitter de vos responsabilités

Élaborez un programme de gestion de la protection de la vie privée

• Ce programme devrait être conçu, au minimum, pour être conforme à la Loi, y compris aux dix principes relatifs à l'équité dans le traitement de l'information.
• Il doit indiquer qui est le représentant désigné par votre organisation en matière de protection de la vie privée, et fournir son nom ou son titre à l'interne et à l'externe (p. ex. sur votre site Web ou dans une publication).
• Votre représentant désigné en matière de protection de la vie privée doit avoir le soutien de la haute direction ainsi que le pouvoir d'intervenir pour toute question relative à la protection de la vie privée.
• Procédez à une évaluation des facteurs relatifs à la vie privée et à une analyse des menaces découlant des pratiques de votre organisation relatives au traitement des renseignements personnels, qui tient compte des activités courantes, des nouvelles initiatives et des nouvelles technologies.
• En premier lieu, utilisez la liste de contrôle qui suit :
  • Quels renseignements personnels recueillons- nous? S'agit-il de renseignements sensibles? (Les renseignements sensibles pourraient exiger des mesures de sécurité supplémentaires.)
  • Pourquoi recueillons-nous ces renseignements?
  • Comment les recueillons-nous?
  • À quoi servent-ils?
  • Où les conservons-nous?
  • Comment sont-ils sécurisés?
  • Qui y a accès ou qui les utilise?
  • Avec qui les partageons-nous?
  • Quand sont-ils éliminés?
• Élaborez, documentez et mettez en œuvre des politiques et des procédures pour assurer la protection des renseignements personnels : 
  • Déterminez les fins de la collecte.
  • Obtenez un consentement valable.
  • Limitez la collecte, l'utilisation et la communication des renseignements personnels.
  • Assurez-vous que les renseignements sont exacts, complets et à jour.
  • Assurez-vous que les mesures de sécurité sont appropriées pour la protection des renseignements.
  • Élaborez ou mettez à jour un échéancier pour la conservation et la destruction des documents.
  • Élaborez et mettez en œuvre des politiques et des procédures de réponse aux plaintes, aux questions et aux demandes d'accès à des renseignements personnels.
  • Élaborez, documentez et mettez en œuvre des protocoles de gestion des incidents et des atteintes en matière de sécurité des renseignements personnels.
  • Documentez et mettez en œuvre des évaluations des risques.
  • Élaborez, documentez et mettez en œuvre des pratiques appropriées à l'intention des tiers qui fournissent des services.
  • Élaborez, documentez et offrez une formation appropriée sur la protection de la vie privée à l'intention de vos employés.
• Passez régulièrement en revue votre programme de gestion de la protection de la vie privée et corrigez toute lacune relevée.
• Soyez prêt à faire la preuve que vous avez des politiques et des procédures en place aux fins de la protection des renseignements personnels; que vous avez fourni à vos employés une formation appropriée en matière de protection de la vie privée; et que vous avez nommé une personne chargée de la gouvernance en matière de vie privée.
• Faites en sorte que vos clients et employés puissent accéder facilement à vos politiques et procédures en matière de protection de la vie privée (p. ex. dans des brochures et sur les sites Web).

Conseils

• Formez tous les membres du personnel afin qu’ils puissent répondre aux questions qui suivent :
  • Comment donner suite aux demandes de renseignements du public au sujet des politiques de l’organisation en matière de protection de la vie privée?
  • Qu’est-ce qu’un consentement valable? Quand et comment l’obtenons-nous?
  • Comment reconnaître et traiter les demandes d’accès aux renseignements personnels?
  • À qui devrais-je faire part de plaintes relatives à la protection de la vie privée?
  • Quelles sont les initiatives actuelles ou nouvelles de mon organisation en matière de protection des renseignements personnels?
• Au moment de transmettre des renseignements personnels à des tierces parties aux fins de traitement à l’extérieur du Canada :
  • évaluez les risques susceptibles d’avoir une incidence défavorable sur la protection des renseignements personnels lorsqu’ils sont transférés à des tiers fournisseurs de services exerçant des activités à l'extérieur du Canada;
  • veillez, par des moyens contractuels ou autres, à ce que la tierce partie fournisse un degré de protection des renseignements personnels qui est comparable à celui exigé dans la LPRPDE;
  • limitez l'utilisation des renseignements personnels par la tierce partie aux fins nécessaires à l’exécution du contrat;
  • faites preuve de transparence dans vos pratiques, notamment en informant les clients que leurs renseignements personnels pourraient être envoyés dans un autre territoire de compétence aux fins de traitement, et que les tribunaux, organismes d'application de la loi et autorités nationales de sécurité de ce territoire pourraient y accéder pendant que les renseignements s’y trouvent.