Loi 25 pour manufacturiers

Désigner le responsable et lui donner des moyens

Dans le secteur privé québécois, la personne ayant la plus haute autorité exerce par défaut la fonction de responsable de la protection des renseignements personnels. Elle peut déléguer cette fonction par écrit selon la loi. Le titre et les coordonnées du responsable doivent être publiés sur le site Internet ou, en l’absence de site, rendus accessibles par un moyen approprié. La désignation doit être claire pour que les demandes et les incidents ne restent pas sans interlocuteur.

Le responsable a besoin d’accès aux informations et d’un soutien de direction. Il ne suffit pas d’ajouter un nom à une politique pour assurer le fonctionnement. Dans une PME, les ressources humaines, les ventes, l’informatique et les opérations doivent connaître leurs rôles. Identifiez qui valide les accès, les fournisseurs et les réponses aux demandes. Les politiques et pratiques doivent être adaptées au traitement des renseignements, avec des responsabilités opérationnelles et des moyens pour examiner les changements.

Inventorier les données des employés et des contacts clients

Un renseignement personnel concerne une personne physique et permet de l’identifier, directement ou indirectement. Les dossiers RH, données de paie, évaluations et certaines traces d’activité peuvent donc être concernés. Un dossier client d’entreprise peut aussi contenir des coordonnées ou informations sur des personnes. Toutes les données d’une machine ne sont pas automatiquement personnelles, mais une association avec un opérateur peut changer l’analyse. Examinez les données réelles plutôt que classer tout l’ERP comme strictement industriel. La loi prévoit certaines exclusions, notamment pour des renseignements liés à l’exercice d’une fonction dans une entreprise ; vérifiez leur portée plutôt que traiter tous les contacts professionnels de façon identique.

Précisez les finalités, les lieux de stockage, les accès et les communications. La nécessité de la collecte doit être vérifiée ; le consentement ne justifie pas à lui seul une collecte inutile. Les conditions de consentement et les exceptions doivent être analysées selon le contexte, notamment en emploi. Définissez conservation et destruction ou anonymisation selon les règles applicables. Les obligations d’archives ou d’autres lois peuvent influencer les durées : aucune durée universelle de conservation n’est annoncée pour tous les dossiers d’usine.

Traiter les incidents et apprécier le risque

Un incident de confidentialité peut comprendre un accès, une utilisation ou une communication non autorisée, une perte ou une autre atteinte à la protection des renseignements. Un courriel RH envoyé au mauvais destinataire ou un accès indu à une sauvegarde mérite donc un examen. L’entreprise doit prendre des mesures raisonnables pour réduire les risques et prévenir un nouvel incident. Le responsable doit être mobilisé pour apprécier la situation et organiser les décisions.

L’analyse du risque de préjudice sérieux tient notamment compte de la sensibilité des renseignements, des conséquences anticipées et de la probabilité d’une utilisation préjudiciable. Si ce risque est présent, l’entreprise doit aviser avec diligence la CAI et les personnes concernées, sous réserve des exceptions prévues par la loi. Tous les incidents doivent être consignés au registre, pas seulement ceux qui entraînent un avis. La liste des éléments à documenter et les modalités doivent être vérifiées dans les ressources officielles. N’attendez pas de connaître une sanction pour organiser une réponse.

Évaluer les logiciels et les projets de systèmes

Une évaluation des facteurs relatifs à la vie privée, ou EFVP, est requise pour un projet d’acquisition, de développement ou de refonte d’un système d’information ou de prestation électronique de services impliquant des renseignements personnels. Le responsable doit être consulté dès le début du projet. L’analyse doit être proportionnée au contexte selon les exigences applicables. Elle ne se réduit pas à une case de sécurité cochée par l’éditeur ni à une promesse que le logiciel est conforme.

Pour un MES associant des actions aux opérateurs, examinez finalités, accès, visibilité des rapports et conservation. Pour un CRM, regardez les contacts et les communications prévues. Une communication de renseignements à l’extérieur du Québec appelle aussi une EFVP et les conditions légales pertinentes, même lorsqu’un fournisseur présente son service comme sécurisé. Vérifiez les lieux de traitement, l’accès du soutien et les engagements contractuels. Le chiffrement peut être une mesure utile, mais ne remplace pas l’analyse de nécessité et les obligations de gouvernance. Le transfert exige une protection adéquate et une entente écrite tenant compte de l’évaluation selon la loi.

Encadrer les prestataires et faire vivre les pratiques

Lorsqu’un prestataire reçoit les renseignements nécessaires à un mandat ou à un contrat de service dans le cadre prévu par la loi, un contrat écrit doit préciser les obligations requises. Vérifiez notamment les mesures de confidentialité, les usages permis, la fin du mandat et les informations à fournir en cas de problème. Les clauses exactes doivent être validées pour la situation. Une entente commerciale générale ou une déclaration marketing de conformité n’apporte pas automatiquement les garanties nécessaires.

Testez les pratiques : retirer l’accès d’un employé parti, répondre à une demande, contenir un incident et conserver ses éléments. Les accès doivent refléter les tâches et être réexaminés lorsque les rôles changent. Formez les personnes concernées aux situations qu’elles rencontrent, sans présenter une séance comme preuve de conformité totale. Les ressources de la CAI orientent la démarche ; un avis juridique adapté peut être nécessaire pour interpréter les obligations particulières. Ce guide fournit un cadre de préparation, pas une attestation légale de conformité de votre usine.

Sujets associés

• Normes ISO 9001, 14001, 17025, 22000

  ISO 9001 encadre le management de la qualité, ISO 14001 le management environnemental et ISO 22000 la sécurité des denrées alimentaires. ISO/IEC 17025 concerne la compétence des laboratoires d’essais et d’étalonnages, avec une reconnaissance par accréditation à distinguer d’une certification de système. L’implantation commence par le périmètre et les écarts, puis démontre le fonctionnement réel du système ; son délai dépend de la préparation de l’usine et de l’évaluation choisie.