Loi sur la protection des renseignements personnels et les documents électroniques

Agdex :	057
Date de publication :	Août 2005
Commande no.	05-050
Dernière révision :	Août 2005
Situation :	nouveau
Rédacteur :	Denise Edwards - spécialiste du développement organisationnel en agriculture/MAAARO

Table des matières

1. Introduction
2. Qu'est-ce qu'un renseignement personnel?
3. La loi s'applique-t-elle à votre organisation?
4. Principes de la LPRPDÉ
5. Comment se conformer à la LPRPDÉ
6. Rôle du conseil d'administration
7. Remerciements

• d'obtenir le consentement clair de toute personne avant de recueillir, d'utiliser ou de divulguer des renseigne­ments la concernant;
• de ne les utiliser qu'aux fins mises en avant quand la personne vous a donné son consentement;
• de les protéger contre tout accès ou utilisation non autorisée;
• de les tenir à jour et d'en assurer l'exactitude afin que des décisions ne soient pas prises à partir de renseigne­ments erronés;
• de les détruire dès que vous n'en avez plus besoin pour atteindre les fins mises en avant;
• de mettre en œuvre, dans votre organisation, des méca­nismes de responsabilisation pour assurer le respect des exigences énoncées ci-dessus.

• âge, nom, revenu, origine ethnique, religion ou type sanguin
• opinions, évaluation, commentaires, statut social ou mesures disciplinaires
• antécédents de crédit, antécédents d'emploi et dossier médical.

« activité commerciale : Toute activité régulière ainsi que tout acte isolé qui revêtent un caractère commercial de par leur nature, y compris la vente, le troc ou la location de liste de donneurs, d'adhésion ou de collecte de fonds. »

1. Responsabilisation. Une organisation est responsable des renseignements personnels dont elle a la gestion et doit désigner la personne qui devra s'assurer du respect des principes de la Loi. La personne chargée au pre­mier chef de la protection des renseignements per­sonnels dans une organisation doit maîtriser les poli­tiques et les méthodes en la matière et répondre aux plaintes.
2. Détermination des fins de la collecte des rensei­gnements. Les fins auxquelles des renseignements personnels sont recueillis doivent être déterminées par l'organisation avant la collecte ou au moment de celle-ci. Les organisations sont tenues d'énoncer ces fins par écrit.
3. Consentement. Toute personne doit être informée de toute collecte, utilisation ou communication à des fins commerciales de renseignements personnels qui la concernent et y consentir. Le consentement peut être explicite ou implicite. Cependant, le commissaire à la protection de la vie privée recommande que le consen­tement soit obtenu de façon explicite dans la majorité des cas. Voici des exemples de la forme que peut revêtir le consentement explicite :

• La personne remplit et signe un formulaire signifiant qu'elle consent à la collecte et à l'utilisation des ren­seignements à des fins précises et, le cas échéant, à leur communication à des tiers.
• La personne peut cocher une case pour exiger que les renseignements la concernant ne soient pas commu­niqués à des tiers.

4. Limitation de la collecte des renseignements. Une organisation ne peut recueillir que les renseignements personnels nécessaires aux fins déterminées et elle ne peut les utiliser qu'à ces fins. Il est interdit de recueillir des renseignements en trompant les personnes sur le but de cette collecte.
5. Limitation de l'utilisation, de la communication et de la conservation des renseignements. Les rensei­gnements personnels ne doivent pas être utilisés ou communiqués à des fins autres que celles qui ont été déterminées. On ne doit conserver les renseignements.

   personnels que pendant la période nécessaire pour atteindre les fins déterminées.
6. Exactitude. Les renseignements personnels doivent être exacts, complets et à jour.
7. Mesures de sécurité. L'organisation doit protéger les renseignements personnels contre la perte ou le vol ainsi que contre la consultation, la communication, la copie, l'utilisation ou la modification non autorisées. La nature des mesures de sécurité variera en fonction du degré de sensibilité des renseignements personnels recueillis. Les personnes qui ont accès à ces renseigne­ments doivent signer des ententes de confidentialité.

8. Transparence. L'organisation est tenue de mettre ses politiques sur la protection des renseignements per­sonnels à la disposition de quiconque en fait la demande.
9. Accès aux renseignements personnels. Toute per­sonne a le droit de savoir quels renseignements ont été recueillis à son sujet, de quelle manière ils sont utilisés et à qui ils sont communiqués; elle doit aussi pouvoir contester l'exactitude et l'intégralité de ces renseigne­ments et y faire apporter les corrections appropriées.
10. Possibilité de porter plainte à l'égard du non-respect des principes. Toute personne doit pouvoir s'adresser à la personne qui, dans une organisation, est chargée au premier chef de la protection des renseigne­ments personnels, afin de porter plainte pour non-respect de la LPRPDÉ.

| Haut de la page |

1. Assurez-vous de comprendre la Loi et les principes qu'elle énonce. Les sites Web indiqués à la fin de la présente fiche technique contiennent des liens menant à la version officielle de la Loi et à des commentaires et interprétations, formulées par des spécialistes, concer­nant les principes de la Loi. Demandez l'aide d'un conseiller juridique pour déterminer si votre organisa­tion est visée par certains points précis de la Loi.
2. Désignez la personne qui, dans votre organisation, sera chargée de veiller au respect de la Loi. Ce doit être quelqu'un qui occupe un poste d'autorité et qui peut interagir avec le public.
3. Faites le point sur les pratiques suivies actuellement dans votre organisation relativement aux renseigne­ments personnels qu'elle collecte et conserve. Réflé­chissez aux questions suivantes :

• Quels renseignements personnels recueillons-nous et à quelle fin?
• Comment les recueillons-nous?
• Quel usage en faisons-nous?
• Que faisons-nous pour voir à ce qu'ils ne soient utilisés qu'à cette fin?
• Comment vérifier que les intéressé(e)s ont consenti à la collecte et à l'utilisation des renseignements les concernant?
• Où conservons-nous ces renseignements à l'heure actuelle?
• Qui y a accès?
• Quelles mesures de sécurité appliquons-nous?
• Avec qui partageons-nous les renseignements?
• Qu'en faisons-nous quand nous n'en avons plus besoin?

4. À partir de votre constat, mettez en place une poli­tique de confidentialité et des mécanismes pour enca­drer l'obtention du consentement et l'instruction des plaintes.
5. Mettez à jour tous les formulaires (sur papier et élec­troniques) que vous utilisez pour recueillir des rensei­gnements personnels, par exemple, bulletins d'ins­cription des exposants à une foire) et tous les contrats que vous avez signés avec des employés, fournisseurs, agences de marketing, organisations de collecte de fonds et autres, et qui impliquent la collecte ou le transfert de renseignements personnels.
6. Créez un mécanisme pour éliminer de vos listes d'envoi les personnes ayant exigé d'en être rayées. Vous devez prendre garde de ne pas envoyer des demandes de dons à des personnes qui ont demandé à ne pas être sollicitées.
7. Mettez à jour vos systèmes de protection des données et vos méthodes de gestion des dossiers pour vous assurer que les renseignements personnels sont pro­tégés contre tout accès non autorisé.
8. Donnez la formation nécessaire à vos employés et à vos bénévoles. Ceux et celles qui ont accès à des ren­seignements personnels devraient signer une entente de confidentialité et être au courant de vos politiques et de vos pratiques. Ils devraient savoir qui, dans votre organisation, est chargé de répondre aux demandes d'information et de traiter les plaintes.
9. Veillez à rédiger par écrit votre politique et à la rendre facilement accessible à quiconque en fait la demande.

| Haut de la page |

• Veillez à ce que les membres du conseil d'adminis­tration reçoivent la formation nécessaire aux concepts de la confidentialité et à ce que certains soient com­pétents en la matière.
• Veillez à désigner au moins un responsable de la conformité de votre organisation à la LPRPDÉ.
• Si le responsable désigné est un membre du personnel, faites en sorte qu'il soit tenu compte de cette charge dans l'évaluation de son rendement et dans sa rémunération.
• Périodiquement, procédez à des auto-évaluations et à des vérifications auprès des membres du conseil d'ad­ministration sur la question du respect des rensei­gnements personnels et présentez un rapport au conseil d'administration.

• ARMA International
  http://www.arma.org/privacy/index.cfm
• 4-H Ontario
  http://www.4-hontario.ca/privacy.cfm
• Fonds mondial pour la nature Canada
  http://www.wwf.ca/AboutWWF/WhoWeAre/WhoWeAre.asp?page=security&lang=FR
• Compasstax Chartered Accountants
  http://www.compasstax.ca/priv_policy.php

• Application de la Loi sur la protection des renseignements personnels et les documents électroniques aux œuvres de charité et aux organismes sans but lucratif ». Fiche d'information. Commissariat à la protection de la vie privée du Canada. Mai 2004.
  http://www.privcom.gc.ca/fs-fi/02_05_d_19_f.asp
• Court Considers Application of PIPEDA ». The Canadian Association. Janvier 2005. Rachel Bumenfeld.
  http://www.axi.ca/tca/Jan2005/guestarticle_6.shtml
• Focus on Privacy - Does PIPEDA Apply to My Company? » McInnes Cooper. Septembre 2003. David T.S. Fraser.
  http://www.mcinnescooper.com/publications2.asp?id=56
• Donor Lists Protected as Charitable Property Under Canadian Law ». Charity Law Bulletin. N^o 15, 25 juillet 2002. Jacqueline M. Connor, Mervyn F. White et Terrance S. Carter.
  http://www.carters.ca/pub/bulletin/charity/2002/chylb15.htm
• Impact of the Personal Information Protection and Electronic Documents Act (PIPEDA) on Charitable and Non-Profit Organizations ». The Canadian Association. 2003. Mark Wong et coll.
  http://www.axi.ca/TCA/Jan2004/guestarticle_5.shtml
• The PIPEDA Privacy Principles: A Guide for Associations and Non-profit Organizations ». Association Xpertise Inc. 2001.
  http://www.axi.ca/ResDocs/Privacy_Guide.pdf
• Privacy 101: A Guide to Privacy Legislation for Fundraising Professionals and Not-For-Profit Organizations in Canada ». Version I. Rédigé par un groupe de travail intersectoriel représentant : l'Association of Fundraising Professionals (AFP), l'Association for Healthcare Philanthropy (AHP), l'Association of Professional Researchers for Advancement (APRA) et le Centre canadien de philanthropie (CCP).
  http://www.afptoronto.org/new_on_site/Privacy101.pdf
• Privacy and Boards of Directors: What You Don't Know CAN Hurt You ». Bureau du commissaire à l'information et à la protection de la vie privée/Ontario. Novembre 2003. Ann Cavoukian.
  http://www.ipc.on.ca/docs/director.pdf
• Privacy Compliance: What Churches and Charities Need to Do by January 1, 2004 ». The 2003 Annual Church and the Law Seminar. Présentation PowerPoint. Novembre 2003. Mark J. Wong.
  http://www.carters.ca/pub/seminar/chrchlaw/2003/mjw_priv.pdf
• Privacy Law and Governance in the Non-Profit Sector ». Charity Village News Week. 20 octobre 2003. Jeffrey H. McCully.
  http://www.charityvillage.com/cv/archive/acov/acov03/acov0334.html
  http://www.charityvillage.com/cv/archive/acov/acov03/acov0336.html
• Special Issue on Complying With the Personal Information Protection and Electronic Documents Act. » Nonprofit News from Nathan: Décembre 2003. Nathan Garber & Associates. Nathan Garber.
  http://garberconsulting.com/nonprofit_news_03_12.htm