Politique de confidentialité

PROVINCE DE QUÉBEC

MRC DES BASQUES

POLITIQUE ADMINISTRATIVE CONCERNANT LES RÈGLES DE GOUVERNANCE EN MATIÈRE DE PROTECTION DES RENSEIGNEMENTS PERSONNELS DE LA MUNICIPALITÉ RÉGIONALE DE COMTÉ DES BASQUES

CHAPITRE I — APPLICATION ET INTERPRÉTATION

1. DÉFINITIONS

Aux fins de la présente politique, les expressions ou les termes suivants ont la signification ci-dessous énoncée :

CAI : Désigne la Commission d’accès à l’information créée en vertu de la Loi sur l’accès.
Conseil : Désigne le Conseil de la Municipalité régionale de comté des Basques.
Cycle de vie : Désigne l’ensemble des étapes d’existence d’un renseignement détenu par la MRC et plus précisément sa création, sa modification, son transfert, sa consultation, sa transmission, sa conservation, son archivage, son anonymisation ou sa destruction.
Loi sur l’accès : Désigne la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels, RLRQ c. A -2,1.
Personne concernée : Désigne toute personne physique pour laquelle la MRC collecte, détient, communique à un tiers, détruit ou rend anonyme, un ou des renseignements personnels.
Partie prenante : Désigne une personne physique en relation avec la MRC dans le cadre de ses activités et, sans limiter la généralité de ce qui précède, un employé ou un fournisseur.
Politique de gouvernance PRP : Désigne la politique administrative concernant les règles de gouvernance en matière de protection des renseignements personnels de la MRC.
PRP : Désigne la protection des renseignements personnels.
Renseignement personnel (ou RP) : Désigne toute information qui concerne une personne physique et qui permet de l’identifier directement ou indirectement, comme : l’adresse postale, le numéro de téléphone, le courriel ou le numéro de compte bancaire, que ce soit les données personnelles ou professionnelles de l’individu.
Renseignement personnel (ou RP) sensible : Désigne tout renseignement personnel qui suscite un haut degré d’attente raisonnable en matière de vie privée de tout individu, notamment en raison du préjudice potentiel à la personne en cas d’incident de confidentialité, comme l’information financière, les informations médicales, les données biométriques, le numéro d’assurance sociale, le numéro de permis de conduire ou l’orientation sexuelle.
Responsable de l’accès aux documents (ou RAD) : Désigne la personne qui, conformément à la Loi sur l’accès, exerce cette fonction et répond aux demandes d’accès aux documents de la MRC.
Responsable de la protection des renseignements personnels (ou RPRP) : Désigne la personne qui, conformément à la Loi sur l’accès, exerce cette fonction et veille à la protection des renseignements personnels détenus par la MRC.

2. OBJET ET PORTÉE

Sauf dans les cas prévus par la Loi, les renseignements personnels sont confidentiels et, par conséquent, ils doivent être protégés. La MRC est responsable de la protection des renseignements personnels qu’elle détient. Ainsi, la Politique a pour objectif de permettre aux membres du Conseil et aux membres du personnel de la MRC de connaître et comprendre les exigences légales ainsi que les principes de protection des renseignements personnels qui sont inhérents à l’exercice de leurs fonctions.

La Politique a également pour objectif de renseigner la population des renseignements personnels pouvant être détenus par la MRC ainsi que ses droits vis-à-vis des renseignements personnels qui les concernent.

La Politique s’applique à tous les renseignements personnels détenus par la MRC, incluant ceux visant son personnel.

Elle s’applique également à toute personne qui collabore ou est impliquée auprès de la MRC et qui aurait accès à des renseignements personnels dans le cadre de cette implication ou cette collaboration, ce qui inclut, sans s’y limiter, les membres du conseil de la MRC et les contractants.

CHAPITRE II — MESURES DE PROTECTION DES RENSEIGNEMENTS PERSONNELS

3. COLLECTE DES RENSEIGNEMENTS PERSONNELS

La MRC ne collecte que les RP nécessaires aux fins de ses activités.

Sous réserve des exceptions prévues à la Loi sur l’accès, la MRC ne procède pas à la collecte de RP sans avoir préalablement obtenu le consentement de la personne concernée.
Le consentement doit être donné à des fins spécifiques, pour une durée nécessaire à la réalisation des fins auxquelles il est demandé. Le consentement de la personne concernée doit être :
- Manifeste : ce qui signifie qu’il est évident et certain.
- Libre : ce qui signifie qu’il doit être exempt de contraintes.
- Éclairé : ce qui signifie qu’il est pris en toute connaissance de cause.
Au moment de la collecte de tout RP, la MRC s’assure d’obtenir de façon expresse le consentement libre et éclairé de la personne concernée. La MRC doit notamment indiquer :
- Les fins auxquelles tout RP est requis.
- Le caractère obligatoire ou facultatif de la demande de collecte de RP.
- Les conséquences, pour la personne concernée, d’un refus de répondre à la demande.
- Les conséquences, pour la personne concernée, d’un retrait de son consentement à la communication ou à l’utilisation des RP suivant une demande facultative.
- Les droits d’accès et de rectification aux RP collectés.
- Les moyens par lesquels tout RP est recueilli.
- Les précisions nécessaires relativement au recours par la MRC à une technologie afin de recueillir tout RP, comprenant des fonctions qui permettent l’identification, la localisation ou le profilage de la personne concernée et aux moyens offerts, à la personne concernée, pour en activer ou désactiver les fonctions.
- Les précisions relatives à la durée de conservation de tout RP.
- Les coordonnées de la personne responsable de la PRP au sein de la MRC.

4. CONSERVATION ET UTILISATION DES RENSEIGNEMENTS PERSONNELS

La MRC restreint l’utilisation de tout RP aux fins pour lesquelles il a été recueilli et pour lequel la MRC a obtenu le consentement exprès de la personne concernée, le tout sous réserve des exceptions prévues par la Loi sur l’accès.
La MRC limite l’accès à tout RP détenu aux seules personnes pour lesquelles ledit accès est requis à l’exercice de leurs fonctions au sein de la MRC.
La MRC applique des mesures de sécurité équivalente, quelle que soit la sensibilité des RP détenus afin de prévenir les atteintes à leur confidentialité et à leur intégrité sous réserve des exceptions prévues à la Loi sur l’accès.
La MRC conserve les données et documents comportant des RP :
- pour la durée nécessaire à l’utilisation pour laquelle ils ont été obtenus, ou
- conformément aux délais prévus à son calendrier de conservation.
Lors de l’utilisation de tout RP, la MRC s’assure de l’exactitude du RP. Pour ce faire, elle valide son exactitude auprès de la personne concernée de façon régulière et, si nécessaire, au moment de son utilisation.
La MRC accorde le même haut taux d’attente raisonnable de protection, en matière de confidentialité et d’intégrité envers tout RP qu’elle collecte, conserve et utilise, que le RP soit sensible ou non.

5. FICHIER DE RENSEIGNEMENTS PERSONNELS

La MRC établit et maintient à jour un inventaire de ses fichiers de renseignements personnels. Cet inventaire doit contenir les indications suivantes :

La désignation de chaque fichier, les catégories de renseignements qu’il contient, les fins pour lesquelles les renseignements sont conservés et le mode de gestion de chaque fichier.
La provenance des renseignements versés à chaque fichier.
Les catégories de personnes concernées par les renseignements versés à chaque fichier.
Les catégories de personnes qui ont accès à chaque fichier dans l’exercice de leurs fonctions.
Les mesures de sécurité prises pour assurer la protection des renseignements personnels.

Toute personne qui en fait la demande a droit d’accès à cet inventaire, sauf à l’égard des renseignements dont la confirmation de l’existence peut être refusée en vertu des dispositions de la Loi sur l’accès.

6. COMMUNICATION À DES TIERS

La MRC ne peut communiquer à des tiers tout RP sans un consentement exprès de la personne concernée sauf exception prévue à la Loi sur l’accès.
La MRC indique, dans les registres exigés par la Loi sur l’accès, toutes les informations relatives à la transmission de tout RP à un tiers à quelques fins que ce soit.

7. DESTRUCTION OU ANONYMISATION

Lorsque des RP ne sont plus nécessaires aux fins pour lesquelles ils ont été recueillis et lorsque le délai prévu au calendrier de conservation est expiré, la MRC doit les détruire de façon irréversible ou les rendre anonymes.
La procédure de destruction devra être approuvée par la personne agissant à titre de greffier de la MRC et le RPRP afin de s’assurer notamment du respect de l’article 199 du Code municipal.
L’anonymisation vise une fin sérieuse et légitime et la procédure est irréversible.
Sur recommandation du RPRP, toute procédure d’anonymisation doit être approuvée par la personne agissant à titre de greffier de la MRC.

CHAPITRE III — RÔLES ET RESPONSABILITÉS À L’ÉGARD DE LA PROTECTION DES RENSEIGNEMENTS PERSONNELS

8. CONSEIL

Le Conseil approuve la présente Politique et veille à sa mise en œuvre, notamment en s’assurant :

De prendre les décisions nécessaires relevant de sa compétence pour voir à la mise en œuvre et au respect de la présente Politique;
Que la direction générale et les directeurs de service de la MRC fassent la promotion d’une culture organisationnelle fondée sur la protection des RP et des comportements nécessaires afin d’éviter tout incident de confidentialité;
Que le RPRP et le RAD puissent exercer de manière autonome leurs pouvoirs et responsabilités.

9. DIRECTION GÉNÉRALE

La direction générale est responsable de la qualité de la gestion de la PRP et de l’utilisation de toute infrastructure technologique de la MRC à cette fin.

Conformément au Règlement excluant certains organismes publics de l’obligation de former un comité sur l’accès à l’information et la protection des renseignements personnels (Décret 744-2023, 3 mai 2023), la direction générale assume les tâches qui sont dévolues au Comité sur l’accès à l’information et la protection des renseignements personnels :

Définir et approuver les règles de gouvernance en matière de PRP au sein de la MRC;
Définir et approuver les orientations en matière de PRP au sein de la MRC;
Formuler des avis sur les initiatives d’acquisition, de déploiement et de refonte de systèmes d’information ou de toute nouvelle prestation électronique de services de la MRC nécessitant la collecte, l’utilisation, la conservation, la communication à des tiers ou la destruction des RP, et ce, tant au moment de la mise en place de ces initiatives que lors de toute modification à celles-ci.

Elle doit également mettre en œuvre la présente Politique en :

Veillant à ce que le RPRP et le RAD puissent exercer de manière autonome leurs pouvoirs et responsabilités;
S’assurant que les valeurs et les orientations en matière de PRP soient partagées et véhiculées par tout gestionnaire et employé de la MRC;
Planifiant et assurant la réalisation des activités de formation des employés de la MRC en matière de PRP;
Veillant à ce que la MRC connaisse les orientations, les directives et les décisions formulées par la CAI en matière de PRP;
Évaluant, le niveau de PRP au sein de la MRC;
Apportant les appuis financiers et logistiques nécessaires à la mise en œuvre et au respect de la présente politique;
Exerçant son pouvoir d’enquête et appliquant les sanctions appropriées aux circonstances pour le non-respect de la présente Politique.

10. RESPONSABLE DE LA PROTECTION DES RENSEIGNEMENTS PERSONNELS

Le PRPR, en collaboration avec le RAD, contribue à assurer une saine gestion de la PRP au sein de la MRC. Il soutient le conseil, la direction générale et l’ensemble du personnel de la MRC dans la mise en œuvre de la présente Politique.

Notamment, le RPRP s’assure de :

Définir, en collaboration avec la direction générale, les orientations en matière de PRP au sein de la MRC;
Déterminer la nature des RP devant être collectés par les différents services de la MRC, leur conservation, leur communication à des tiers et leur destruction;
Suggérer les adaptations nécessaires en cas de modifications à la Loi sur l’accès, à ses règlements afférents ou l’interprétation des tribunaux, le cas échéant;
Planifier et assurer, en collaboration avec la direction générale, la réalisation des activités de formation des employés de la MRC en matière de PRP;
Formuler à la direction générale, des avis sur les initiatives d’acquisition, de déploiement et de refonte de systèmes d’information ou de toute nouvelle prestation électronique de services de la MRC nécessitant la collecte, l’utilisation, la conservation, la communication à des tiers ou la destruction des RP, et ce, tant au moment de la mise en place de ces initiatives que lors de toute modification à celles-ci;
Formuler des avis sur les mesures particulières à respecter quant aux sondages qui collectent ou utilisent des RP, ou encore en matière de vidéosurveillance;
Veiller à ce que la MRC connaisse les orientations, les directives et les décisions formulées par la CAI en matière de PRP;
Évaluer, en collaboration avec la direction générale, le niveau de PRP au sein de la MRC;
Recommander à la personne agissant à titre de greffier de la MRC de procéder à l’anonymisation de RP en lieu et place de la destruction de RP qui n’est plus utile à la MRC;
Faire rapport au conseil et à la direction générale, sur une base annuelle, quant à l’application de la présente politique.

11. RESPONSABLE DE L’ACCÈS AUX DOCUMENTS

Dans le cadre de cette fonction, le responsable de la conformité doit :

Recevoir toutes les demandes qui sont de la nature d’une demande d’accès aux documents au sens de la Loi sur l’accès, y compris les demandes d’informations;
Répondre aux requérants de l’accès à des documents en fonction des prescriptions de la Loi sur l’accès.

12. DIRECTEUR DE SERVICE

Chaque directeur de service est responsable de veiller à la PRP au sein du service qu’il dirige ainsi que des infrastructures technologiques nécessaires à cette fin auxquelles les employés du service et lui ont accès dans le cadre de leurs fonctions à la MRC.

À ce titre, chaque directeur de service doit :

Faire connaître la présente politique en matière de PRP aux employés de son service et s’assurer de son application et son respect par ceux-ci;
S’assurer que les mesures de sécurité déterminées et mises en place soient appliquées systématiquement à l’occasion de son emploi et de celui des employés qu’il dirige dans le service dont il est responsable;
Participer à la sensibilisation de chaque employé de son équipe aux enjeux de la PRP;
Désigner, au sein de son service, le ou les employés dont la tâche inclue spécifiquement les fonctions de veiller à la collecte, la détention, la conservation ou la destruction des RP et leur protection;
Dans le cas où aucun employé n’est désigné, le directeur de service assume les tâches et responsabilités prévues à l’article 13.

13. RESPONSABLE DE LA PRP AU SEIN DES DIFFÉRENTS SERVICES DE LA MRC

Chaque directeur de service de la MRC doit identifier le responsable de la PRP au sein de son service au RPRP. Les employés de chaque service de la MRC ainsi désignés sont responsables au sein de leur service de certaines étapes de la vie des RP, c’est-à-dire la collecte et la détention.

Chaque responsable au sein d’un service susmentionné travaille en étroite collaboration avec le RPRP afin d’inventorier les diverses catégories de RP recueillies, détenues, communiquées à des tiers, le cas échéant, détruites ou rendues anonymes et de maintenir à jour cet inventaire. Le responsable doit également voir à ce que les employés du service obtiennent tout consentement requis de tout individu aux fins de collecter, détenir ou transférer à des tiers le cas échéant. Le responsable doit voir à la conservation et au classement des consentements recueillis de manière que ceux-ci puissent être facilement retracés.

14. EMPLOYÉS

Chaque employé doit :

Prendre toutes les mesures nécessaires afin de protéger les RP;
Mettre tout en œuvre pour respecter le cadre légal applicable et les mesures prévues aux différentes politiques et directives de la MRC en lien avec la protection des RP;
N’accéder qu’aux RP nécessaires dans l’exercice de ses fonctions;
Signaler au RPRP tout incident de confidentialité ou traitement irrégulier des RP;
Participer activement à toute activité de sensibilisation ou formation données en matière de PRP;
Collaborer avec le RPRP et le RAD.

15. FORMATION DU PERSONNEL DE LA MRC EN VUE DE LA PROTECTION DES RENSEIGNEMENTS PERSONNELS

Le RPRP et/ou la direction générale établissent le contenu et le choix des formations offertes à tous les employés de la MRC et déterminent la fréquence à laquelle les employés doivent suivre toute formation établie.

Les activités de formation ou de sensibilisation incluent notamment :

Formation à l’embauche sur l’importance de la PRP et les actions à prendre dans son travail;
Formation à tous les employés sur la mise en œuvre de la présente politique;
Formation aux employés utilisant un nouvel outil informatique impliquant des RP;
Formation sur les mises à jour de la présente politique ou des mesures de sécurité des RP, le cas échéant.

CHAPITRE IV — MESURES ADMINISTRATIVES

16. SONDAGES

Avant d’effectuer ou de permettre à une tierce partie d’effectuer un sondage auprès des personnes concernées pour lesquelles la MRC détient, recueille ou utilise des RP, le RPRP devra préalablement faire une évaluation des points suivants :

La nécessité de recourir au sondage.
L’aspect éthique du sondage compte tenu, notamment, de la sensibilité des renseignements personnels recueillis et de la finalité de leur utilisation.

Suivant cette évaluation, le RPRP devra faire des recommandations au Conseil et à la direction générale.

17. ACQUISITION, DÉVELOPPEMENT OU REFONTE D’UN SYSTÈME D’INFORMATION OU DE PRESTATION ÉLECTRONIQUE

Avant de procéder à l’acquisition, au développement ou à la refonte des systèmes de gestion des RP, la MRC doit procéder à une évaluation des facteurs relatifs à la vie privée.
Dans le cadre de la mise en œuvre du projet, la direction générale peut, à toute étape, suggérer des mesures de protection des RP, dont notamment :
- La nomination d’une personne chargée de la mise en œuvre des mesures de PRP.
- Des mesures de PRP dans tout document relatif au projet, telles qu’un cahier des charges ou un contrat.
- Une description des responsabilités des participants au projet en matière de PRP.
- La tenue d’activités de formation sur la PRP pour les participants au projet.
La réalisation d’une évaluation des facteurs relatifs à la vie privée doit être proportionnée à la sensibilité des renseignements concernés, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support.

18. INCIDENTS DE CONFIDENTIALITÉ

L’accès, l’utilisation ou la communication non autorisés de tout RP ou sa perte constituent un incident de confidentialité au sens de la Loi sur l’accès.

La MRC assure la gestion de tout incident de confidentialité conformément à la procédure de gestion des incidents de confidentialité dont font partie les règles suivantes :

Tout incident de confidentialité avéré ou potentiel doit être rapporté le plus rapidement possible au RPRP par toute personne qui s’en rend compte.
Le RPRP doit réviser l’information rapportée afin de déterminer s’il s’agit d’un incident de confidentialité et dans l’affirmative :
- Inscrire l’information pertinente au registre des incidents de confidentialité de la MRC.
- Aviser la CAI et toute personne concernée par l’incident de confidentialité.
- Identifier et recommander l’application de mesures d’atténuation appropriées, le cas échéant.

19. TRAITEMENT DES PLAINTES

Une plainte ne peut être considérée que si elle est faite par écrit par une personne physique qui s’identifie.
Elle est adressée au RPRP de la MRC.
Le RPRP avise par écrit le requérant de la date de la réception de sa plainte et indique les délais pour y donner suite.
Le RPRP donne suite à une plainte avec diligence et au plus tard dans les vingt jours suivant la date de sa réception.

20. SANCTIONS

Tout employé de la MRC qui contrevient à la présente Politique ou aux lois et à la réglementation en vigueur applicable en matière de PRP s’expose à des sanctions disciplinaires pouvant aller jusqu’au congédiement.

CHAPITRE III — RÔLES ET RESPONSABILITÉS À L’ÉGARD DE LA PROTECTION DES RENSEIGNEMENTS PERSONNELS

8. CONSEIL

Le Conseil approuve la présente Politique et veille à sa mise en œuvre, notamment en s’assurant :

De prendre les décisions nécessaires relevant de sa compétence pour voir à la mise en œuvre et au respect de la présente Politique.
Que la direction générale et les directeurs de service de la MRC fassent la promotion d’une culture organisationnelle fondée sur la protection des RP et des comportements nécessaires afin d’éviter tout incident de confidentialité.
Que le RPRP et le RAD puissent exercer de manière autonome leurs pouvoirs et responsabilités.

CHAPITRE IV — MESURES ADMINISTRATIVES

21. DISPOSITION FINALE

La présente politique entre en vigueur dès son adoption par le Conseil.

Adoption de la politique : 20 novembre 2024