Définitions
La présente Politique de gestion des renseignements personnels a pour but de vous aider à comprendre nos pratiques en matière de cueillette, d’utilisation, de divulgation et de conservation des renseignements personnels. En nous fournissant des renseignements personnels, vous acceptez que ceux-ci soient traités conformément à ce qui est indiqué dans la présente politique, et vous autorisez la Concertation régionale des organismes communautaires de l’Abitibi-Témiscamingue (CROC-AT), ses tiers et ses fournisseurs de services à traiter vos renseignements personnels dans l’exercice de leurs fonctions.
La présente politique sur la protection des renseignements personnels ne s’applique pas aux sites Web de tiers auxquels il est possible d’accéder en cliquant sur des liens qui se trouvent sur le présent site Web, et la CROC-AT n’est nullement responsable à l’égard de tels sites Web de tiers.
« Date de fermeture de dossier ou d’un fichier »
La date à laquelle le responsable d’un dossier a déterminé que le dossier ou le fichier est terminé et à partir de laquelle il détermine la destruction du dossier.
« Date de destruction du dossier ou d’un fichier »
La date à partir de laquelle un dossier peut être détruit.
« Dossier ou fichier »
Un document ou dossier informatique ou matériel pouvant contenir des renseignements personnels.
« Employé·e »
Toute personne qui travaille pour la CROC-AT moyennant rémunération, incluant la coordination, ainsi que toutes personnes non rémunérées (administrateurs, stagiaires, bénévoles).
« Événement »
Tout événement que la CROC-AT gère ou organise.
« Formulaire de signalement »
Un formulaire signalant mis à la disposition de tout·e employé·e ou participant·e afin d’informer la personne responsable des renseignements personnels d’un incident de confidentialité.
« Incident de confidentialité »
Tout accès non autorisé par la loi à un renseignement personnel, à son utilisation ou à sa communication, de même que sa perte ou toute autre forme d’atteinte à sa protection.
« Participant·e »
Tout individu qui fournit des renseignements personnels à la CROC-AT en lien avec la réalisation d’un événement, la création d’une publication, la participation à une activité ou pour l’obtention d’un service.
« Publication »
Toute publication produite par la CROC-AT ou à laquelle la CROC-AT contribue, sous quelque forme que ce soit (verbal, écrit, audio, vidéo, informatisé, etc.).
« Registre des incidents de confidentialité »
L’ensemble des incidents de confidentialité dont la CROC-AT a fait l’objet, même de ceux qui ne présentent pas un risque de préjudice sérieux pour les personnes.
« Risque sérieux de préjudices »
L’évaluation du risque à la suite d’un incident de confidentialité qui pourrait porter préjudice aux personnes concernées.
« Renseignement personnel »
Tout renseignement fourni ou communiqué à la CROC-AT sous quelque support que ce soit (verbal, écrit, audio, vidéo, informatisé, etc.) qui concerne un·e participant·e ou un.e employé·e et qui peut être utilisé pour l’identifier, y compris :
- La race, l’origine ethnique, la religion, l’orientation sexuelle, l’identité de genre, l’état matrimonial et le niveau d’instruction
- L’adresse électronique personnelle, les messages de courriel et l’adresse IP (protocole Internet-cookie)
- L’âge, la taille, le poids, les dossiers médicaux, le groupe sanguin, l’ADN, les empreintes digitales et la signature vocale
- Les revenus, les achats, les habitudes de consommation, les renseignements bancaires, les données sur les cartes de crédit ou de débit, les rapports de prêt ou de solvabilité et les déclarations de revenus
- Le numéro d’assurance sociale (NAS) ou d’autres numéros d’identification
Certains renseignements permettant d’identifier directement des personnes sont publics. Les renseignements concernant l’exercice d’une fonction d’une personne au sein d’un organisme communautaire sont publics et ne sont pas soumis aux lois protégeant les renseignements personnels, dont le nom, le titre, la fonction, le courriel, l’adresse et le numéro de téléphone de son lieu de travail.
« Service ou activité »
Tout service que la CROC-AT rend à un individu à la demande de celui-ci, ou toute activité à laquelle il participe.
Photographies et enregistrements
2.1
Tout individu a le choix d’être photographié ou non, ou d’être enregistré (audio/vidéo) ou non.
2.2
Les photographies ou enregistrements qui permettent d’identifier un individu comme employé.e de la CROC-AT ne constituent pas un renseignement personnel relatif à cet individu.
Obligation de confidentialité
3.1
Les employé·es sont tenu·es de signer l’entente de confidentialité avant d’exercer leurs fonctions ou d’exécuter leurs mandats auprès de la CROC-AT.
3.2
L’obligation de confidentialité s’applique à la durée de la relation d’un·e employé·e avec la CROC-AT et survit à la fin de cette relation.
Collecte et usage des renseignements personnels
4.1
La CROC-AT peut, au besoin, monter un ou des dossiers contenant des renseignements personnels concernant les employé·es. La constitution de tels dossiers a pour objet de :
- maintenir les coordonnées à jour ;
- documenter des situations de travail ou d’implication ;
- permettre, dans le cas des employé·es rémunéré·es, la réalisation des tâches administratives requises ou permises par la loi (impôt sur le revenu, assurances collectives, etc.).
4.2
La CROC-AT peut, au besoin, monter un ou des dossiers contenant des renseignements personnels concernant les participants·es. La constitution de tels dossiers a pour objet de permettre à la CROC-AT de réaliser un événement, une publication, de réaliser une activité ou de fournir un service.
4.3
La CROC-AT peut seulement recueillir les renseignements personnels qui sont nécessaires aux fins du dossier et peut utiliser les renseignements personnels seulement à ces fins.
4.4
La personne qui recueille des renseignements personnels sur autrui doit les recueillir auprès de la personne concernée, à moins que celle-ci ne consente à la cueillette auprès de tiers. Toutefois, elle peut, sans le consentement de la personne concernée, recueillir ces renseignements auprès d’un tiers si la loi l’autorise.
Gestion des renseignements personnels
5.1
La coordination, comme personne exerçant la plus haute autorité dans l’organisation, est la personne responsable d’assurer la protection des renseignements personnels. La coordination peut déléguer cette responsabilité par écrit. Le titre et les coordonnées de la personne responsable de la protection des renseignements personnels sont publiés sur le site Internet de la CROC-AT. La personne responsable s’assure de la tenue d’un Registre des incidents de confidentialité.
5.2
La personne responsable est autorisée à accéder à tout renseignement personnel que détient la CROC-AT. Les autres employé·es sont autorisé·es à accéder aux renseignements personnels dans la mesure où cet accès est nécessaire à la réalisation d’une tâche dans l’exercice de leurs fonctions.
5.3
Pour l’application des lois, un incident de confidentialité correspond à tout accès, utilisation ou communication non autorisé·es par la loi d’un renseignement personnel, de même qu’à la perte d’un renseignement personnel ou à toute autre atteinte à sa protection.
5.4
Lorsqu’un·e employé·e ou un·e participant·e constate un incident de confidentialité, il ou elle doit informer avec diligence la personne responsable de la protection des renseignements personnels afin qu’il soit inscrit au Registre des incidents de confidentialité. L’employé·e ou le/la participant·e doit, pour ce faire, remplir un formulaire de signalement et l’acheminer à la personne responsable de la protection des renseignements personnels. Le formulaire de signalement doit être conservé pour une période de cinq (5) ans.
5.5
La personne responsable de la protection des renseignements personnels et le comité concerné jugent si l’incident présente un « risque sérieux de préjudice ». Les renseignements ainsi que les mesures à prendre afin de diminuer le risque qu’un préjudice sérieux soit causé aux personnes concernées sont inscrits au Registre des incidents de confidentialité.
Si l’incident présente un risque sérieux de préjudice, la personne responsable avise la Commission d’accès à l’information et les personnes concernées.
5.6
Chaque employé.e de la CROC-AT est autorisé à accéder aux renseignements personnels que la CROC-AT détient en toute diligence.
Conservation des renseignements personnels
6.1
Les employé·es ayant accès aux dossiers s’obligent à :
- S’assurer que les renseignements personnels sont gardés à l’abri de tout dommage physique ou accès non autorisé ;
- S’assurer que tous les documents électroniques comportant des renseignements personnels, incluant ceux copiés sur un appareil de stockage portatif, sont protégés par des mots de passe. Ces mots de passe doivent être modifiés chaque fois que les personnes ayant accès aux dossiers concernés sont remplacées ;
- Garder les renseignements personnels en format papier dans des classeurs pouvant être verrouillés, verrouillés les classeurs à la fin de chaque journée de travail et gardées les clés des classeurs dans des endroits sûrs.
6.2
Les dossiers constitués en vertu de cette politique sont la propriété de la CROC-AT.
Destruction des renseignements personnels
7.1
Les renseignements personnels sont conservés tant et aussi longtemps que l’objet pour lequel ils ont été recueillis n’a pas été accompli, à moins que l’individu concerné ait consenti à ce qu’il en soit autrement. Ces renseignements personnels sont ensuite détruits de façon que les données y figurant ne puissent plus être reconstituées. La date de destruction pour la plupart des dossiers doit être de sept (7) ans après la date de fin du service.
Divulgation de renseignements personnels à un tiers
8.1
Autre que dans les situations où la loi le requiert et sous réserve des autres dispositions de la présente Loi sur la protection des renseignements personnels dans le secteur privé, les renseignements personnels ne peuvent être divulgués à un tiers qu’après l’obtention du consentement écrit, manifeste, libre et éclairé de la personne concernée. Un tel consentement ne peut être donné que pour une fin spécifique et pour la durée nécessaire à la réalisation de cette dernière.
8.2
Les renseignements personnels peuvent être divulgués sans le consentement de la personne concernée si la vie, la santé ou la sécurité de celle-ci est gravement menacée. La divulgation doit alors être effectuée de la façon la moins préjudiciable pour la personne concernée.
8.3
Tel que permis par la loi, la CROC-AT peut divulguer des renseignements personnels nécessaires à sa défense ou celle de ses employé·es contre toute réclamation ou poursuite intentée contre la CROC-AT ou ses employé·es, par ou de la part d’un·e participant·e, d’un·e employé·e, ou de l’une de ses personnes héritières, exécutrices testamentaires, ayants droit ou cessionnaires, y compris toute réclamation émanant de l’assureur d’un·e participant·e ou d’un·e employé·e.
Communication de renseignements personnels à la personne concernée
9.1
Les participant·es et employé·es ont le droit de connaître les renseignements personnels que la CROC-AT a reçus, recueillis et conservés à leur sujet, d’avoir accès à de tels renseignements et de demander que des rectifications soient apportées à ceux-ci.
9.2
La CROC-AT doit restreindre l’accès aux renseignements personnels lorsque la loi le requiert ou lorsque la divulgation révélerait vraisemblablement des renseignements personnels au sujet d’un tiers.
9.3
Une demande d’un·e participant·e ou d’un·e employé·e doit être traitée dans un délai de 30 jours.
Manquement à l’obligation de confidentialité
10.1
Un·e employé·e manque à son obligation de confidentialité lorsque cette personne :
- communique des renseignements personnels à des individus n’étant pas autorisés à y avoir accès ;
- discute de renseignements personnels à l’intérieur ou à l’extérieur de la CROC-AT alors que des individus n’étant pas autorisés à y avoir accès sont susceptibles de les entendre ;
- laisse des renseignements personnels sur papier ou support informatique à la vue dans un endroit où des individus n’étant pas autorisés à y avoir accès sont susceptibles de les voir ;
- fait défaut de suivre les dispositions de cette politique.
10.2
Advenant un manquement à l’obligation de confidentialité, des mesures disciplinaires appropriées pouvant aller jusqu’à la résiliation du contrat de travail ou de toute autre relation avec la CROC-AT seront prises à l’égard de la partie contrevenante et des mesures correctives seront adoptées au besoin afin de prévenir qu’un tel scénario se reproduise.
Recours
11.1
S’il s’avère que les renseignements personnels d’une personne ont été utilisés de façon contraire à une disposition de cette politique, cette personne peut déposer une plainte auprès de la coordination de la CROC-AT, ou auprès du conseil d’administration de la CROC-AT si la plainte concerne la coordination.
11.2
Comme prévu par la loi, la personne s’étant vu refuser l’accès ou la rectification des renseignements personnels la concernant peut déposer sa plainte auprès de la Commission d’accès à l’information pour l’examen du désaccord dans les 30 jours du refus de la CROC-AT d’accéder à sa demande ou de l’expiration du délai pour y répondre.
Adoptée par le Conseil d’administration de la CROC-AT le 16 avril 2024