| |
|
|
|
English | |
Contactez-nous | |
Aide | |
Recherche | |
Site du Canada |
|
|
|
|
|
|
|
|
|
|
|
|
|
Accueil | |
Carte du site | |
Quoi de neuf | |
Contexte | |
Inscription |
|
 Protection des renseignements en affaires
Foire aux questions
|
|||||||||||||
|
|
Foire aux questionsÀ propos de la LPRPDE :
Comment la LPRPDE affectera la collecte de renseignements personnels :
Comment la LPRPDE affectera vos pratiques commerciales :
Comment procéder à la mise en œuvre d'un programme de politique en matière de protection des renseignements personnels :
À propos de la LPRPDE :Quelles sont mes obligations en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques? La LPRPDE énonce un ensemble de dix principes concernant la cueillette, l'utilisation et la communication des renseignements personnels que les organisations doivent respecter dans le cadre de leurs activités commerciales. Ces principes sont les suivants :
Pour plus de renseignements sur les obligations des propriétaires/directeurs d'entreprise, veuillez consulter le Guide sur la Loi sur la protection des documents personnels et les documents électroniques à l'intention des entreprises et des organismes du Commissaire à la protection de la vie privée du Canada à : http://www.privcom.gc.ca/information/guide_f.asp.
Mon entreprise est-elle visée par la LPRPDE? La LPRPDE régit les « organisations », un terme qui comprend les personnes, associations, partenariats et organisations syndicales. Le terme « personnes » se rapporte aux sociétés ainsi qu'aux particuliers. Les organisations sont généralement assujetties à la Loi dans la mesure où elles recueillent, utilisent ou communiquent des renseignements personnels dans le cadre de leurs activités commerciales. À cet égard, même les petites entreprises doivent établir un programme de protection des renseignements personnels. La nature, la taille et la complexité des opérations variant d'une organisation à une autre, les entreprises doivent établir un régime de protection des renseignements personnels en fonction de leurs besoins. En fait, la LPRPDE est souple et permet aux organisations d'adapter ses principes à leurs propres activités et à la nature des renseignements recueillis. Les organisations qui ne se livrent pas à des activités commerciales ne sont pas visées par la Loi. Cependant, la vente, le troc ou la location de listes de donneurs, d'adhésion ou de collecte de fonds revêt un caractère commercial et les organisations qui s'y adonnent tombent sous le coup de la Loi.
La LPRPDE s'applique-t-elle uniquement au commerce électronique ou en ligne? La LPRPDE s'applique au commerce traditionnel sur papier, ainsi qu'aux transactions en ligne et au commerce électronique. Toutes les entreprises sont tenues de s'y conformer. Toute organisation qui recueille, utilise ou communique des renseignements personnels dans le cadre de ses activités commerciales est visée par la Loi, sans égard à l'utilisation qu'elle fait d'Internet.
Qu'est-ce qu'un renseignement personnel? Comment savoir si un renseignement est de nature délicate? La LPRPDE énonce certaines règles que les organisations doivent observer lorsqu'elles recueillent, utilisent ou communiquent des renseignements dans le cadre de leurs activités commerciales. Selon la LPRPDE, un renseignement personnel, c'est tout renseignement factuel ou subjectif qui concerne un individu identifiable, consigné ou non, notamment en format numérique ou papier. Par exemple, les renseignements suivants seraient considérés comme des renseignements personnels :
Les renseignements personnels ne comprennent pas le nom, le titre ni l'adresse ou le numéro de téléphone au travail d'un employé d'une organisation, soit les renseignements figurant sur une carte d'affaires. La Loi protège également les renseignements personnels de nature délicate, notamment, les dossiers ou les antécédents médicaux, l'origine raciale ou ethnique, les opinions politiques, les croyances religieuses, l'affiliation à une organisation syndicale, l'information financière et l'orientation sexuelle.
Quelle loi s'applique à mon entreprise, la loi fédérale ou provinciale? Qu'arrive-t-il si mon organisation exerce ses activités dans plusieurs provinces? Depuis le 1er janvier 2004, la LPRPDE s'applique à toutes les organisations du marché canadien. Cependant, les organisations dans les provinces qui ont, dans le domaine de la protection des renseignements personnels, adopté une loi essentiellement similaire sont assujetties à la loi provinciale plutôt qu'à la LPRPDE. Toute entreprise qui envoie des renseignements personnels à l'étranger dans le cadre d'une transaction commerciale tombe sous le coup de la LPRPDE. Une entreprise pourrait s'assurer qu'elle observe les dispositions de l'une ou l'autre loi en respectant la norme la plus élevée. « La meilleure pratique que nous puissions recommander est la suivante : toute entreprise qui exerce ses activités dans plus d'une compétence devrait respecter la norme la plus élevée qui ne nuit pas à ses activités commerciales. » - Jeffrey A. Kaufman, co-directeur national, Groupe national sur la « Protection de l'information et de la vie privée », Fasken, Martineau, Dumoulin LLP.
La LPRPDE s'applique-t-elle aux renseignements recueillis avant le 1er janvier 2004? Les renseignements personnels que votre société a recueillis dans le cadre de ses activités commerciales sont visés par la Loi. Comme les renseignements en question ont déjà été recueillis, vous n'avez pas à les recueillir de nouveau. Afin de pouvoir continuer de les utiliser ou de les communiquer, la Loi vous oblige maintenant à obtenir un consentement. Certaines organisations ont informé l'ensemble de leurs clients de l'utilisation qu'elles font des renseignements qui les concernent et des institutions auxquelles ils sont communiqués, tout en donnant à ces derniers la possibilité de s'opposer à ces utilisations ou communications systématiques.
Quels autres pays ont une législation semblable? Les pays membres de l'Union européenne (UE) ont adopté des lois exhaustives sur la protection des renseignements personnels. Des pays non européens ont promulgué récemment des lois relatives à la protection des données, applicables à leur secteur privé, notamment Hong Kong, la Nouvelle-Zélande et Taïwan. Les États-Unis n'ont actuellement pas de lois fédérales protégeant les renseignements personnels contre l'utilisation qu'on peut en faire dans le commerce. Pour plus de renseignements, visitez le site Web du ministère de la Justice : Lois et commissions internationales sur l'accès à l'information et protection des renseignements personnels.
Comment la LPRPDE affectera la collecte de renseignements personnels :La LPRPDE exige qu'une organisation informe la personne à propos de qui des renseignements personnels sont recueillis, utilisés ou communiqués dans le cadre d'une activité commerciale et obtienne son consentement. Une organisation doit informer ses clients des fins auxquelles les renseignements recueillis seront utilisés. Cette information doit leur être communiquée de façon claire et raisonnablement intelligible. Elle doit également obtenir leur consentement avant de communiquer leurs renseignements personnels à une tierce partie ou de les utiliser à d'autres fins. L'organisation doit obtenir le consentement de l'intéressé avant de recueillir ou d'utiliser ses renseignements personnels à des fins déterminées. Elle doit également obtenir le consentement de l'intéressé avant de communiquer ses renseignements personnels à une tierce partie ou de les utiliser à d'autres fins. La façon dont une organisation obtient le consentement peut varier selon la nature des renseignements recueillis. En général, l'organisation devrait chercher à obtenir un consentement explicite si les renseignements sont susceptibles d'être considérés comme sensibles. Lorsque les renseignements sont moins sensibles, un consentement implicite serait normalement jugé suffisant. Le consentement peut être donné de différentes façons : formulaire, case à cocher, oralement, etc.
Qu'est-ce qu'un énoncé des fins? Une organisation doit s'assurer que la personne est informée des fins auxquelles les renseignements recueillis seront utilisés; par exemple, ouverture de compte, vérification de solvabilité ou traitement d'un abonnement. La Loi énonce ce qui suit : « Il faudrait préciser à la personne auprès de laquelle on recueille des renseignements, avant la collecte ou au moment de celle-ci, les fins auxquelles ils sont destinés. Selon la façon dont se fait la collecte, cette précision peut être communiquée de vive voix ou par écrit. Par exemple, on peut indiquer ces fins sur un formulaire de demande de renseignements. »
Combien de renseignements devrais-je recueillir auprès d'un particulier? Les renseignements personnels ne doivent pas être recueillis à tort et à travers. On doit limiter la quantité et le type de renseignements recueillis à ce qu'exigent les fins définies. En réduisant la quantité de renseignements recueillis, vous pouvez réduire les coûts de la collecte, de l'emmagasinage, de la conservation et, en dernière analyse, de l'archivage des données. Le fait de recueillir moins de renseignements entraîne également une réduction des risques d'utilisation et de communications impropres.
Dois-je conserver les renseignements personnels et pour combien de temps? Comment dois-je « disposer » des renseignements? Les organisations ne doivent conserver les renseignements personnels qu'aussi longtemps que nécessaire pour la réalisation des fins déterminées. Elles doivent également voir à la destruction sécuritaire des renseignements qui ne sont plus nécessaires. Pour de plus amples renseignements sur la protection des renseignements, prière de consulter le Guide de sécurité en ligne et de protection des reseignements personnels de l'Initiative canadienne pour le commerce électronique.
Comment la LPRPDE affectera vos pratiques commerciales :Qu'est-ce que la protection? Quelles mesures de sécurité dois-je adopter? La LPRPDE exige que les renseignements personnels soient protégés au moyen de mesures de sécurité correspondant à leur degré de sensibilité. Il vous incombe de protéger les renseignements personnels contre la perte ou le vol ainsi que contre la consultation, la communication, la copie, l'utilisation ou la modification non autorisée. Les organisations doivent protéger les renseignements personnels quelle que soit la forme sous laquelle ils sont conservés. Les méthodes de protection peuvent comprendre :
Le choix des méthodes de protection appropriées devrait être fondé sur les facteurs suivants :
Pour de plus amples renseignements sur la protection des renseignements, prière de consulter le Guide de sécurité en ligne et de protection des reseignements personnels de l'Initiative canadienne pour le commerce électronique.
Comment la Loi affecte-t-elle les transactions internationales de mon organisation? Depuis le 1er janvier 2004, la Loi s'applique à la collecte, à l'utilisation ou à la divulgation de renseignements personnels dans le cadre d'opérations commerciales effectuées au-delà des frontières provinciales ou nationales. Les organisations sont tenues d'appliquer les dispositions de la LPRPDE à ces transactions. Certains pays ou régions ont promulgué des règlements sur la protection des renseignements personnels qui s'appliquent au commerce international. Par exemple, la directive sur la protection des données de l'Union européenne, à laquelle sont assujettis tous les pays membres de l'UE, autorise le transfert de données personnelles uniquement aux pays tiers qui protègent adéquatement les renseignements personnels. Cependant, la Commission européenne ayant reconnu que la LPRPDE du Canada fournit une protection adéquate, le transfert de renseignements personnels entre l'UE et le Canada pourra se poursuivre sans interruption.
Puis-je impartir le traitement des renseignements personnels à une société externe? La LPRPDE affirme que les organisations sont responsables des renseignements personnels confiés à une tierce partie aux fins de traitement. L'organisation doit, par voie contractuelle ou autre, fournir un degré comparable de protection aux renseignements qui sont en cours de traitement par une tierce partie.
La LPRPDE s'applique-t-elle à la protection de la vie privée des employés? En vertu de la LPRPDE, les renseignements personnels ne comprennent pas le nom, le titre ni l'adresse ou le numéro de téléphone au travail d'un employé d'une organisation, soit les renseignements figurant sur une carte d'affaires. Cependant, elle protège les renseignements personnels des employés des organismes réglementés par le gouvernement fédéral.
Comment procéder à la mise en œuvre d'un programme de politique en matière de protection des renseignements personnels :Comment dois-je commencer à modifier mes activités afin d'observer la Loi? Tout d'abord, désignez une ou des personnes qui seront responsables d'élaborer des politiques en matière de protection des renseignements personnels pour votre organisation. Pour plus de renseignements, voir « Qui est responsable dans mon organisation? ». Votre organisation devrait faire l'inventaire de l'ensemble des pratiques relatives au traitement des renseignements personnels, y compris les activités en cours et les nouvelles initiatives, à l'aide de la liste de contrôle qui suit : Quels renseignements personnels recueillons-nous? Pourquoi les recueillons-nous? Comment les recueillons-nous? À quelles fins les utilisons-nous? Où sont-ils conservés? Qui y a accès? Dans quelle mesure sont-ils en sécurité? À qui sont-ils communiqués? Quand sont-ils éliminés? Après avoir fait l'inventaire, élaborez des politiques et des procédures fondées sur les dix principes de gestion des renseignements personnels. L'élaboration est un processus continu, évolutif qui comprend plusieurs étapes :
Pour de plus amples renseignements sur la protection des renseignements, prière de consulter le Guide de sécurité en ligne et de protection des renseignements personnels de l'Initiative canadienne pour le commerce électronique.
Qui est responsable dans mon organisation? La LPRPDE exige qu'une organisation désigne un responsable de la protection des renseignements personnels, énonçant ce qui suit : « Une organisation est responsable des renseignements personnels dont elle a la gestion et doit désigner une ou des personnes qui devront s'assurer du respect des principes énoncés ci dessous. » Dans le cas d'une petite entreprise, ce serait généralement le propriétaire/directeur parce qu'il comprend le fonctionnement de l'entreprise, ses systèmes et procédures. Il serait utile que le propriétaire/directeur ou une autre personne responsable détermine si les systèmes qui emmagasinent les renseignements personnels ont la capacité de surveiller et de noter qui a accès à ces renseignements, à quelles fins et dans quelles circonstances. En outre, le responsable devrait déterminer si des renseignements personnels ont été confiés à une tierce partie aux fins de traitement et si celle-ci est tenue, par voie contractuelle ou autre, de protéger les renseignements personnels. Le responsable devrait s'acquitter des tâches suivantes :
Une organisation ayant des opérations interprovinciales ou internationales pourrait décider de nommer un responsable de la protection des renseignements personnels pour chaque territoire. Dans ce cas, elle devra prendre des mesures pour centraliser la planification et assurer l'observation de la Loi. Quoi qu'il en soit, le responsable de la protection des renseignements personnels devrait avoir les pouvoirs voulus, ou le soutien d'une personne ayant ces pouvoirs, pour intervenir dans toute question concernant la protection des renseignements personnels. Pour des motifs de transparence et d'accessibilité, communiquez le nom et le titre du responsable de la protection des renseignements personnels à l'interne et à l'externe (p. ex. dans les publications et les sites Web).
Qu'est-ce que mon personnel de première ligne doit savoir? Veillez à ce que les employés de première ligne connaissent leurs responsabilités et puissent répondre aux demandes de renseignements d'un particulier concernant l'utilisation des renseignements recueillis. Les employés devraient également être informés des politiques et des pratiques de gestion des renseignements personnels en vigueur dans votre organisation. Enfin, ils devraient pouvoir fournir les coordonnées de la personne responsable de l'observation de la LPRPDE de votre organisation.
Comment mon organisation devrait-elle traiter les plaintes? Votre organisation doit élaborer des procédures simples et faciles d'accès pour le dépôt des plaintes. Elle doit informer les plaignants des recours qui s'offrent à eux, notamment les procédures d'instruction des plaintes de votre organisation et celles du Commissaire à la protection de la vie privée du Canada. Instruisez toutes les plaintes reçues et, si une plainte est fondée, prenez les mesures qui s'imposent pour corriger les pratiques et les politiques de traitement des renseignements.
La façon dont votre organisation traite les plaintes déposées par les particuliers peut contribuer à préserver ou à rétablir la confiance de l'intéressé envers votre organisation.
Qui peut déposer une plainte auprès du Commissaire à la protection de la vie privée? Les plaintes sont confidentielles et peuvent provenir de n'importe quelle source - un concurrent, un client ou un employé. Les particuliers ont le droit de se plaindre de la façon dont une organisation respecte les dispositions relatives à la protection des renseignements personnels et toutes les plaintes sont instruites.
Quel est le rôle du Commissaire à la protection de la vie privée? Quelles sont les conséquences éventuelles de l'inobservation de la Loi? Le Commissaire a le pouvoir de recevoir les plaintes, de mener une enquête et de tenter de régler le différend. Toutes les plaintes doivent être instruites. L'étude d'une plainte débouche sur l'un ou l'autre des trois scénarios suivants :
Le Commissaire à la protection de la vie privée peut rendre publique toute information concernant les pratiques de gestion des renseignements personnels d'une organisation s'il estime que la mesure est dans l'intérêt du public.
|
|
|
|||
| Création : 2005-06-14 Révision : 2006-07-17 |
 Haut de la page |
Avis importants |
||
