En septembre 2022, certaines dispositions protégeant la vie privée des Québécois.e.s entraient en vigueur dans le cadre de la loi 25. Cette nouvelle législation s'applique à toutes les organisations publiques et privées.
Qu'est-ce que ça implique pour les OCA?
Depuis le 22 septembre 2022, toute organisation doit:
- Nommer un.e responsable de la sécurité des données personnelles.
- Ajouter cette information sur le site internet de votre organisation, comme sur cette page.
- Prévoir un plan d’intervention en cas d’atteinte à la protection des données personnelles.
- En cas de violation de la confidentialité, prendre les mesures pour que cela n’arrive plus, avertir la Commission d’accès à l’information (formulaire d’avis d’incident) et la personne concernée en cas de préjudice et tenir un registre des incidents.
À partir du 22 septembre 2023, toute organisation devra:
Se doter d’une politique de confidentialité et la publier sur son site web.
Faire un processus d’évaluation des facteurs relatifs à la vie privée. Inventorier les données sensibles que vous avez en votre possession et évaluer si l’endroit où elles sont classées est sécuritaire.
Mettre en place des mesures de protection physiques, organisationnelles et technologiques.
Revoir le processus de consentement.
Revoir l’obligation de transparence et de traitement des données.
Revoir la rétention, destruction et anonymisation des données.
Quelques outils
Exemple d'une politique de confidentialité
La Commission d’accès à l’information du Québec fournit un exemple de politique de confidentialité.
Vous pouvez vous en inspirer, mais nous vous recommandons de valider les paramètres de sécurité avec le gestionnaire de votre site web avant de mettre en ligne votre politique.
Formulaire d'avis d'incident
La Commission d’accès à l’information fournit également un formulaire d’avis d’incident de confidentialité impliquant des renseignements personnels et qui présente un risque de préjudice sérieux.
Exemple de formulaire de consentement
Avant de transmettre des informations personnelles, vous devrez vous assurer d’avoir le consentement des personnes principalement concernées.
Voici un exemple de formulaire de lettre de consentement produit par l’INSPQ.
