Atténuez les risques de confidentialité pour vos clients et votre organisation !

Qu'attendez-vous?

Vous n’êtes qu’à une conversation de mettre la puissance de Continuum GRC à votre service. 

Contactez-nous en utilisant le formulaire ci-dessous ou en nous appelant au 1-888-896-6207 pour une assistance immédiate.

À propos de la norme

La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) est la loi fédérale canadienne régissant la collecte, l'utilisation et la communication des renseignements personnels par les organisations du secteur privé dans le cadre de leurs activités commerciales. Vous trouverez ci-dessous un aperçu des principales exigences de conformité pour les organisations assujetties à la LPRPDE, basées sur les dispositions de la loi et les directives du Commissariat à la protection de la vie privée du Canada (CPVP).

Exigences clés de conformité

1. Responsabilité (Principe 1)
   • Désigner un responsable de la protection de la vie privée:Les organisations doivent nommer une personne chargée de veiller au respect de la LPRPDE, comme un responsable de la protection de la vie privée.
   • Mettre en œuvre des politiques et des pratiques:Élaborer et maintenir des politiques de confidentialité, des procédures et des formations pour protéger les renseignements personnels et traiter les demandes de renseignements ou les plaintes.
   • Contrats et surveillance: S’assurer que les tiers (p. ex., les fournisseurs ou les prestataires de services) qui traitent des renseignements personnels se conforment à la LPRPDE au moyen de contrats ou d’autres mesures de protection.
2. Identification des finalités (Principe 2)
   • Identifiez et documentez clairement les finalités de la collecte des renseignements personnels avant ou au moment de la collecte.
   • Communiquer ces objectifs aux individus de manière claire et compréhensible (par exemple, via des avis ou des politiques de confidentialité).
3. Consentement (Principe 3)
   • Obtenir un consentement éclairé:Recueillir des renseignements personnels uniquement avec le consentement éclairé de la personne, qui peut être exprès (écrit ou verbal) ou implicite, selon la sensibilité des renseignements.
   • Fournir des informations claires: Informer les individus sur les données collectées, pourquoi et comment elles seront utilisées ou partagées.
   • Autoriser le retrait du consentement:Les individus doivent pouvoir retirer leur consentement à tout moment, sous réserve de restrictions légales ou contractuelles, avec une information claire sur les implications.
4. Limitation de la collecte (Principe 4)
   • Recueillir uniquement les renseignements personnels nécessaires aux fins identifiées.
   • Évitez de collecter des données excessives ou non pertinentes.
5. Limitation de l'utilisation, de la divulgation et de la conservation (Principe 5)
   • Utiliser ou divulguer les renseignements personnels uniquement aux fins pour lesquelles ils ont été recueillis, à moins qu’un consentement supplémentaire ne soit obtenu ou que la loi ne l’exige.
   • Conserver les renseignements personnels uniquement aussi longtemps que nécessaire pour atteindre les objectifs identifiés ou pour satisfaire aux exigences légales.
   • Éliminez ou anonymisez en toute sécurité les informations personnelles une fois qu’elles ne sont plus nécessaires.
6. Exactitude (Principe 6)
   • Assurez-vous que les renseignements personnels sont exacts, complets et à jour, selon les besoins aux fins pour lesquelles ils sont utilisés.
   • Mettre à jour les informations lorsque la personne concernée est informée d’inexactitudes.
7. Garanties (Principe 7)
   • Protégez les renseignements personnels avec des mesures de sécurité adaptées à leur sensibilité (par exemple, cryptage, contrôles d’accès, sécurité physique).
   • Les mesures de protection doivent empêcher l’accès, la divulgation, la copie, l’utilisation ou la modification non autorisés.
   • Évaluer et mettre à jour régulièrement les mesures de sécurité pour faire face à l’évolution des risques.
8. Ouverture (Principe 8)
   • Rendre les politiques et pratiques de confidentialité facilement accessibles et compréhensibles pour le public.
   • Fournissez des détails sur la manière dont les renseignements personnels sont gérés, y compris les coordonnées du responsable de la protection de la vie privée désigné.
9. Accès individuel (Principe 9)
   • Sur demande, fournir aux personnes l’accès à leurs renseignements personnels détenus par l’organisation, sous réserve d’exceptions limitées (par exemple, privilège juridique ou renseignements de tiers).
   • Répondre aux demandes d’accès dans un délai de 30 jours (des prolongations peuvent s’appliquer dans des cas spécifiques).
   • Permettre aux individus de contester l’exactitude de leurs informations et de demander des corrections.
10. Contestation de la conformité (Principe 10)
    • Établir un processus clair pour recevoir et répondre aux plaintes concernant les pratiques de confidentialité.
    • Enquêter rapidement sur les plaintes et prendre des mesures correctives si nécessaire.
    • Les particuliers peuvent transmettre les plaintes non résolues au Commissariat à la protection de la vie privée du Canada.

Exigences supplémentaires

• Notification de violation:Depuis le 1er novembre 2018, les organisations doivent :
  • Signalez au Commissariat toute violation des mesures de sécurité concernant des renseignements personnels qui pose un risque. risque réel de préjudice important (par exemple, vol d’identité, perte financière ou atteinte à la réputation).
  • Aviser les personnes concernées dès que possible, de la manière prescrite.
  • Conservez des enregistrements de toutes les violations, même celles qui n’atteignent pas le seuil de signalement, pendant au moins 24 mois.
• Transferts transfrontaliers de donnéesLors du transfert de renseignements personnels à des tiers (p. ex., pour traitement à l'extérieur du Canada), les organisations demeurent responsables d'assurer une protection équivalente. Cela peut impliquer des contrats, des audits ou d'autres mesures visant à assurer la conformité à la LPRPDE.
• Évaluations des incidences sur la vie privée (EIVP):Bien que cela ne soit pas explicitement obligatoire, les analyses d’impact sur la vie privée sont recommandées pour les nouveaux projets ou systèmes impliquant des informations personnelles afin d’identifier et d’atténuer les risques liés à la confidentialité.
• Exemptions et limitations:
  • La LPRPDE s’applique aux activités commerciales, mais pas aux fins personnelles ou domestiques, aux données des employés d’entreprises non réglementées par le gouvernement fédéral ou à certaines fins journalistiques, artistiques ou littéraires.
  • Les organisations des provinces ayant des lois sur la protection de la vie privée sensiblement similaires (p. ex., la Colombie-Britannique, l’Alberta et le Québec) peuvent être exemptées de la LPRPDE pour les activités intraprovinciales, mais y demeurent soumises pour les flux de données interprovinciaux ou internationaux.

Étapes pratiques pour la conformité

• Élaborer un programme complet de gestion de la confidentialité, comprenant des politiques, une formation du personnel et des évaluations des risques.
• Révisez et mettez à jour régulièrement les formulaires de consentement, les avis de confidentialité et les pratiques de traitement des données.
• Effectuez une cartographie des données pour comprendre quelles informations personnelles sont collectées, où elles sont stockées et comment elles sont utilisées ou partagées.
• Mettre en œuvre des mesures de cybersécurité robustes, telles que le cryptage et les contrôles d’accès, pour protéger les données.
• Préparez un plan de réponse aux violations pour traiter rapidement les incidents et vous conformer aux exigences de notification.
• Surveiller les mises à jour de la LPRPDE ou des règlements connexes, car des modifications (p. ex., le projet de loi C-27, qui propose la Loi sur la protection de la vie privée des consommateurs) peuvent introduire de nouvelles exigences.

Application et sanctions

• Le Commissariat enquête sur les plaintes et peut émettre des recommandations, mais il ne dispose pas de pouvoirs d’application directe en vertu de la LPRPDE.
• Le non-respect de ces règles peut entraîner des décisions de justice, des atteintes à la réputation ou, dans certains cas, des amendes en vertu des lois applicables.
• Les réformes proposées (par exemple, le projet de loi C-27) pourraient introduire des amendes importantes et une application plus stricte de la loi à l’avenir.

Ressources

Pour des conseils détaillés, les organisations peuvent se référer à :

• Le Principes relatifs à l'équité en matière d'information de la LPRPDE sur le site Web de l'OPC.
• Les outils OPC, tels que le Outil d'auto-évaluation de la LPRPDE de Continuum GRC, sont utilisés pour évaluer la conformité.