Politique de confidentialité

1. Préambule

Depuis le 21 septembre 2021, la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25) modernise l’encadrement applicable à la protection des renseignements personnels dans diverses lois, dont la Loi sur la protection des renseignements personnels dans le secteur privé (Loi sur le privé). Ces modifications amènent le CALACS du Saguenay à se doter d’une série de politiques et procédures concernant le traitement et la conservation des renseignements personnels afin de se conformer aux modifications de la loi.

Les changements de la loi ont amené l’organisme à poser des actions pour répondre aux exigences en ce qui concerne, entre autres :

• Le traitement des incidents affectant la confidentialité des renseignements personnels ;
• L’exigence qu’une évaluation des facteurs relatifs à la vie privée soit réalisée en certaines circonstances, notamment à l’égard de tout projet d’acquisition, de développement et de refonte de système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels ;
• Le consentement requis préalablement à une collecte, une utilisation ou une communication de renseignements personnels ;
• L’obtention du consentement du titulaire de l’autorité parentale ou du tuteur pour une collecte, une utilisation ou une communication de renseignements personnels concernant un mineur de moins de 14 ans ;
• Le droit d’une personne d’accéder à certains renseignements personnels informatisés la concernant dans un format technologique structuré et couramment utilisé ou d’en exiger la communication à un tiers ;
• La conservation des renseignements personnels ;
• La formation d’un comité sur l’accès à l’information et la protection des renseignements personnels ;
• La fonction de responsable de la protection des renseignements personnels.

2. Rôle et responsabilités des responsables de la protection des renseignements personnels

Toute entreprise est responsable de la protection des renseignements personnels qu’elle détient. En principe, la personne ayant la plus haute autorité veille à assurer le respect et la mise en œuvre de la Loi sur le privé. Cependant, le conseil d’administration du CALACS du Saguenay doit s’assurer que la personne qui assume ces responsabilités aura les compétences et le temps nécessaires pour s’y consacrer. En date du 6 février 2024, conformément à l’article 3.1 de la Loi sur le privé, le conseil d’administration du CALACS du Saguenay nomme Sabrina Gauvreau, coordonnatrice de l’organisme, à titre de responsable de la protection des renseignements personnels (RPRP). Madame Gauvreau s’occupera des données liées aux ressources humaines, financières et aux autres volets de services et délègue Christine Tremblay, coordonnatrice clinique, comme responsable des données liées aux services d’aide directe.

En tant que RPRP, leur rôle est d’assurer la protection des renseignements personnels détenus par l’organisme et d’assurer la mise en œuvre de la loi ci-haut mentionnée.

Leurs principales responsabilités sont de :

• Mettre en place des règles de gouvernance en matière de protection des renseignements personnels au sein de l’organisme et de maintenir la conformité dans le temps ;
• Déterminer les responsabilités des membres du personnel en matière de protection des renseignements personnels ;
• Veiller à la formation et à la sensibilisation des employées et militantes quant à leur rôle et leurs responsabilités dans la protection des renseignements personnels et à l’application des règles de protection lors des traitements que peuvent subir les renseignements personnels tout au long de leur cycle de vie ;
• Intervenir pour faire des recommandations lors de l’instauration de nouveaux programmes automatisés impliquant des renseignements personnels ;
• Effectuer l’évaluation des facteurs relatifs à la vie privée lorsque requis par la Loi sur le privé ;
• Gérer les incidents de confidentialité ;
• Instaurer et chapeauter le processus de gestion des demandes et des plaintes dirigées envers le CALACS du Saguenay (personnes fréquentant l’organisme, partenaires, etc.).

3. Procédure de suivi des renseignements personnels (RP) pendant leur cycle de vie

3.1. Objectif

Cette section de la politique permet d’établir les mesures pour la conservation et la destruction des renseignements personnels (RP) conformément aux exigences de la Loi sur le privé. Elle couvre les informations importantes du cycle de vie des renseignements personnels, depuis leur collecte jusqu’à leur destruction. Elle concerne toutes les employées et parties prenantes impliquées dans la collecte, le traitement, la conservation, la communication et la destruction des renseignements personnels conformément aux exigences légales et aux bonnes pratiques en matière de protection de la vie privée.

3.2. Définitions

Renseignements personnels (RP)

Toute information permettant d’identifier, directement ou indirectement, une personne physique. Les renseignements personnels qui concernent l’exercice par la personne concernée d’une fonction au sein d’une entreprise (tel que son nom, son titre et sa fonction, de même que l’adresse, l’adresse de courrier électronique et le numéro de téléphone de son lieu de travail) ne sont pas considérés comme étant des renseignements personnels.

Conservation

Stockage sécurisé des renseignements personnels pendant la durée requise.

Destruction

Suppression, anonymisation, élimination ou effacement définitif des renseignements personnels.

3.3. Cycle de vie des renseignements personnels

3.3.1. Collecte de renseignements personnels

Le CALACS du Saguenay recueille des renseignements personnels auprès des personnes qui utilisent les services (ex. : nouvelle demande de service et création d’un dossier), des militantes (ex. : formulaire d’adhésion) et des employées (ex. : dossier employée). Le CALACS du Saguenay respecte ses obligations afin de protéger tous les renseignements personnels en ayant déterminé la pertinence des renseignements personnels recueillis au sein de l’organisme. Les renseignements personnels sont collectés uniquement à des fins légitimes et pertinentes. L’organisme possède des documents internes qui sont rigoureusement appliqués par les employées et militantes. Chaque année, les employées et militantes doivent signer leur adhésion aux politiques internes de l’organisme.

Lors de collecte de renseignements personnels, les personnes sont informées de la finalité de leur utilisation et signent un formulaire de consentement¹.

Le CALACS du Saguenay s’est doté d’un guide d’utilisation des outils pour la tenue de dossier pour les travaux afin d’encadrer les pratiques pour respecter les normes et lois en vigueur. Les personnes utilisant nos services sont informées à l’aide du guide d’accueil remis lors de la première rencontre d’intervention des informations suivantes :

• Des fins auxquelles ces renseignements sont recueillis ;
• Des moyens par lesquels les renseignements personnels sont recueillis ;
• De son droit de retirer son consentement à la communication ou à l’utilisation des renseignements recueillis
• Ses droits d’accès et de rectification.

3.3.2. Durée de conservation

La durée de conservation des renseignements personnels a été catégorisée de la façon suivante :

• Renseignements concernant les employées de l’organisme ;
• Renseignements concernant les administratrices du conseil d’administration ;
• Renseignements concernant les membres de l’organisation (militantes) ;
• Renseignements concernant les personnes fréquentant nos services d’aide directe.

Sous réserve des autres obligations légales quant à la conservation des renseignements personnels, lorsque l’objet pour lequel un renseignement personnel a été recueilli est réalisé, l’organisation le détruit.

La durée de conservation spécifique dans certaines situations pour chacune des catégories ci-haut a été établie de la façon suivante :

1. Employées du CALACS du Saguenay² : la coordonnatrice du CALACS du Saguenay et l’agente administrative sont les personnes ayant accès aux dossiers des employées. Elles veillent à leur conservation durant la période établie par la loi.
   • L’article 4 du Règlement sur les dépenses de formations admissibles prévoit de conserver les informations quant aux formations qui ont été suivies pendant une durée de six (6) ans après la dernière année à laquelle des renseignements s’y rapportent.
   • La Loi sur le ministère du Revenu ainsi que la Loi de l’impôt sur le revenu prévoient de conserver le registre fiscal, ainsi que toutes les pièces à l’appui, pour une durée de six (6) ans après la dernière année à laquelle ils se rapportent ou six (6) ans après la production de la déclaration d’impôt.
   • La Loi sur l’assurance-emploi prévoit de conserver les relevés d’emploi et autres documents relatifs aux contributions, déductions ou réclamations pendant une période de six (6) ans après la fin de l’année à laquelle ils se rapportent jusqu’à ce qu’une décision soit rendue, y compris l’expiration du délai d’appel lors d’un litige en vertu des articles 90 et 91 de ladite loi.
   • Le Règlement sur la tenue d’un système d’enregistrement ou d’un registre, à son article 2, prévoit une conservation obligatoire de trois (3) ans des registres de paie ainsi qu’à tous les documents y étant reliés. Cependant, un délai minimum de quatre (4) ans après la fin de l’exercice de l’année de terminaison d’emploi est respecté, et ce, selon l’article 66 de la Loi sur le régime des rentes du Québec.
   • L’article 2925 du Code civil du Québec prévoit une prescription de trois (3) ans si nous mettons fin à l’emploi d’une employée. Les dossiers des employées ayant quitté l’organisation sont conservés pendant une période minimum de trois (3) ans à compter de la terminaison de l’emploi.
   • La Loi sur les assurances ne prévoit aucune durée obligatoire quant à la conservation de l’information dans les dossiers des employées ayant une assurance collective. Le CALACS s’assure de respecter le contrat d’assurance collective pour la durée de conservation desdits dossiers.
   • La Loi sur les accidents du travail et les maladies professionnelles prévoit de garder les dossiers médicaux des employées conservés pendant une durée de vingt (20) ans après la fin de l’emploi de l’employée ou une durée de quarante (40) ans après le début de son emploi, selon l’option la plus longue.
2. Administratrices : les membres de la collective, la coordonnatrice, l’agente administrative et la responsable de la lutte et de la vie associative sont les personnes ayant accès aux informations les concernant.
   • La conservation est variable en fonction du type de renseignement personnel.
3. Membres militantes : la coordonnatrice, l’agente administrative et la responsable de la lutte et de la vie associative sont les personnes ayant accès aux informations.
   • La conservation est variable en fonction du type de renseignement personnel.
4. Personnes fréquentant les services d’aide directe : la coordonnatrice clinique, les intervenantes sociales effectuant de l’aide directe et l’agente administrative au besoin ont accès aux dossiers et aux renseignements personnels.
   • La conservation des renseignements est variable en fonction du type de renseignement personnel. Selon les politiques internes mises en place, le dossier de chaque personne en suivi est conservé dans le classeur verrouillé de l’intervenante qui est attitrée à la situation lorsque celui-ci est actif. Seules l’intervenante au dossier ainsi que l’agente administrative connaissent l’emplacement de la clé pour y avoir accès. Il importe que l’agente administrative soit mise au courant de l’emplacement de la clé advenant un empêchement ou une urgence faisant en sorte que l’intervenante soit dans l’impossibilité de se présenter à la rencontre prévue. L’agente pourra donc prévenir la personne en ayant accès aux coordonnées pour la rejoindre. À l’exception d’urgences de la sorte, l’agente ne consultera pas les dossiers.
   • Suivant un délai de trois (3) mois d’inactivité, le dossier est considéré comme étant fermé et ce dernier est archivé dans un classeur commun verrouillé. Le dossier sera conservé au CALACS du Saguenay pendant une période de cinq (5) ans suivant le dernier contact, après quoi, il sera détruit de façon sécuritaire. Toutes les intervenantes du CALACS du Saguenay sont tenues de respecter la confidentialité au sujet des dossiers et de tout autre renseignement concernant les personnes qui fréquentent les services.

L’organisation s’est dotée d’un inventaire complet des renseignements personnels détenus où l’on retrouve les détails concernant les moyens de conservation des RP. L’inventaire des renseignements personnels permet de connaître l’endroit où se trouvent ceux-ci. Le degré de sensibilité de chacun de ces lieux de stockage a été établi. De plus, qu’ils soient papier ou numérique, ces lieux de stockage sont adéquatement sécurisés et l’accès à ces lieux de stockage a été restreint aux seules personnes autorisées.

3.3.3. Communication

À moins que la loi permette que le consentement n’ait pas à être obtenu, lorsque l’organisation doit communiquer des renseignements personnels à un tiers ou un nouvel intervenant, elle en informe la personne concernée afin d’obtenir son consentement explicite. Si une entente avec le tiers visé ne comprend pas les engagements requis par la Loi sur le privé afin de recevoir des renseignements personnels, l’organisation lui fait signer un formulaire d’engagement à la confidentialité.

3.3.4. Destruction

Pour les renseignements personnels sur papier, ils devront être totalement déchiquetés. Pour les renseignements personnels numériques, ils devront être totalement supprimés des appareils (ordinateur, téléphone, tablette, disque dur externe), des serveurs et des outils infonuagiques. Les RPRP sont tenues de s’assurer que le calendrier de destruction est appliqué. Les méthodes utilisées sont réalisées de manière que les renseignements personnels ne puissent pas être récupérés ou reconstitués. Dans le cadre de la présente politique, toute mention quant à la destruction de renseignements personnels emporte la faculté pour l’organisation d’anonymiser ceux-ci.

Le calendrier de destruction établit la durée de conservation pour chaque catégorie de renseignements personnels. Il documente les dates de destruction prévues.

3.4. Formation et sensibilisation du personnel

Une formation est fournie par une responsable des renseignements lors de l’intégration d’une nouvelle employée et d’une nouvelle administratrice. De plus, une formation est fournie chaque année sur la procédure de conservation et de destruction des renseignements personnels, ainsi que sur les risques liés à la violation de la vie privée. Cela inclut également la sensibilisation du personnel aux bonnes pratiques de sécurité des données et à l’importance du respect des procédures établies. Les RPRP sont chargées de fournir ou mandater une organisation pour offrir cette formation.

4. Procédure de demande d’accès aux renseignements personnels et de traitement des plaintes

4.1. Objectif

Le but de cette procédure est de garantir que toutes les demandes d’accès sont traitées de manière confidentielle, rapide et précise, tout en respectant les droits des individus concernés.

Puisqu’une personne peut demander à accéder aux renseignements personnels qu’une organisation détient sur elle, ou formuler une plainte, il est important d’avoir des balises prédéfinies pour répondre à ce type de demande.

4.2. Procédure de demande d’accès

4.2.1. Vous devez soumettre une demande écrite à la responsable de la protection des renseignements personnels du CALACS du Saguenay. La demande peut être envoyée par courriel, par courrier postal ou remise en main propre. Pour ce faire, vous devez utiliser le formulaire de l’organisme (Annexe 2).

4.2.2. Votre demande doit clairement indiquer qu’il s’agit d’une demande d’accès aux renseignements personnels et vous devez fournir des informations suffisantes pour vous identifier et pour préciser les renseignements recherchés. Ces informations peuvent inclure votre nom, votre adresse ainsi que toute autre information pertinente pour vous identifier de manière fiable.

4.2.3. Si votre identité ne peut pas être vérifiée de manière satisfaisante, le CALACS du Saguenay peut refuser de divulguer les renseignements personnels demandés. Si une demande d’accès aux renseignements personnels est incomplète ou excessive, la responsable de la protection des renseignements personnels va communiquer avec vous pour vous demander des informations supplémentaires ou des clarifications.

4.2.4. Une fois la demande reçue, un accusé de réception écrit vous sera envoyé pour confirmer que votre demande a été prise en compte. Cela pourra être fait via courriel, par courrier postal ou remis en main propre selon la situation.

4.2.5. Lorsque l’identité est vérifiée, la responsable de la protection des renseignements personnels procède à la collecte des renseignements demandés. Celle-ci consulte les dossiers pertinents pour recueillir les renseignements personnels demandés, en veillant à respecter les restrictions légales éventuelles.

4.2.6. Au moment où les vérifications sont terminées, les renseignements personnels vous sont communiqués dans un délai raisonnable, conformément aux exigences légales en vigueur. Les renseignements personnels peuvent être communiqués à la personne par voie électronique, par courrier postal sécurisé ou en personne, selon les préférences de la personne et les mesures de sécurité appropriées. Vous pouvez également consulter votre dossier sur place ou en demandant une copie de celui-ci ou une partie de celui-ci.

4.2.7. Veuillez noter que l’organisation se réserve le droit de refuser une demande si elle est manifestement abusive, excessive ou non justifiée. Un délai de 30 jours est prévu pour vous transmettre les renseignements personnels demandés ou pour refuser votre demande. À l’intérieur de ce même délai, nous vous transmettrons par écrit les motifs de ce refus si une raison devait nous y obliger.

4.2.8. Si un individu est insatisfait de la réponse à sa demande d’accès aux renseignements personnels, il doit être informé des procédures de réclamation et des recours disponibles devant la Commission d’accès à l’information. Les plaintes doivent être traitées conformément aux politiques et procédures internes en matière de gestion des plaintes (section suivante).

5. Procédure de traitement des plaintes

5.1. Objectif

Cette section permet de clarifier la marche à suivre pour le traitement d’une plainte.

5.2. Procédure

5.2.1. Toute personne ayant des insatisfactions est invitée à s’adresser à la personne concernée par la situation. Si cette première démarche ne satisfait pas la personne, elle peut communiquer avec la présidente du conseil d’administration (418 545-6444, par courriel au info@calacsdusaguenay.ca ou par courrier au C.P. 8351 Chicoutimi, QC G7H 5C2) pour lui faire part de la situation. Un formulaire à cet effet se retrouve dans la déclaration des services.

5.2.2. Les plaintes frivoles, diffamatoires ou sans fondement évident peuvent être rejetées. Si tel est le cas, une justification vous sera fournie.

5.2.3. La présidente du conseil d’administration recevra et analysera chaque plainte de façon diligente pour évaluer sa pertinence et sa gravité. Elle communiquera avec vous pour vous tenir informées de l’avancement de l’enquête et de la résolution de la plainte ou pour plus de renseignements si nécessaire. La ou les personne(s) impliquée(s) ou concernée(s) pourront être contactée(s) également si nécessaire. Elle mènera une enquête approfondie en collectant des preuves, en interrogeant les parties concernées et en recueillant tous les documents pertinents. Elle maintiendra la confidentialité des informations liées à la plainte et veillera à ce que toutes les parties impliquées soient traitées équitablement.

5.2.4. Elle proposera des solutions appropriées pour résoudre la plainte dans les meilleurs délais. Les solutions peuvent inclure des mesures correctives, des compensations financières ou toute autre action nécessaire pour résoudre la plainte de manière satisfaisante.

5.2.5. Une fois la plainte résolue, la responsable de la plainte vous informera par écrit de l’issue de votre plainte, résumant les mesures prises et les solutions proposées.

5.2.6. Toutes les informations et documents relatifs à la plainte sont conservés dans un dossier confidentiel.

5.2.7. Le délai de traitement d’une plainte est de 30 jours à compter du jour de la transmission de l’avis de réception de la plainte.

5.2.8. Si la personne plaignante n’est pas satisfaite du résultat des démarches auprès de notre organisme, la RPRP lui fournira les informations sur la CAI ou le Commissaire régional aux plaintes et à la qualité des services, le cas échéant.

6. Procédure de gestion des demandes de modification, désindexation et de suppression des renseignements personnels

6.1. Objectif

Cette procédure se veut un mécanisme structuré pour gérer les demandes de modification, de désindexation et de suppression des renseignements personnels provenant des personnes recevant des services.

6.2. Définitions

Suppression des renseignements personnels

Action d’effacer complètement les données, les rendant indisponibles et irrécupérables.

Désindexation des renseignements personnels

Retrait des informations des moteurs de recherche, les rendant moins visibles, mais toujours accessibles directement.

6.3. Procédure

6.3.1. Vous devez soumettre une demande écrite (Annexe 3) à la responsable de la protection des renseignements personnels du CALACS du Saguenay. La demande peut être envoyée par courriel ou par courrier postal.

6.3.2. Avant de traiter la demande, votre identité sera vérifiée de manière raisonnable. Cela peut être fait en vous demandant des informations supplémentaires ou en vérifiant votre identité en personne. Si cela ne peut pas être fait de manière satisfaisante, le CALACS du Saguenay peut refuser de donner suite à votre demande.

6.3.3. La responsable doit examiner attentivement les demandes et les renseignements personnels concernés pour déterminer leur admissibilité à la modification, la désindexation ou à la suppression.

6.3.4. Il existe aussi des raisons parfaitement valables pour lesquelles nous pourrions refuser de supprimer ou de désindexer des renseignements personnels : pour continuer à vous fournir des biens et des services; pour des raisons d’exigence du droit du travail; pour des raisons juridiques en cas de litige.

6.3.5. La responsable prendra les mesures nécessaires pour modifier, désindexer ou supprimer les renseignements personnels conformément aux demandes admissibles.

6.3.6. La responsable est chargée de communiquer avec les demandeurs tout au long du processus, en fournissant des confirmations d’accusé de réception et des mises à jour régulières sur l’état d’avancement de leur demande. Tout retard ou problème rencontré lors du traitement des demandes vous sera être communiqué avec des explications claires.

6.3.7. Il est à noter que l’intervenante n’est pas tenue de modifier son opinion professionnelle ou ses recommandations sur simple demande de la personne aidée. Si elle effectue les corrections ou les modifications demandées, vous aurez une copie (sans frais) du document modifié et une attestation que vos commentaires écrits sont au dossier.

6.3.8. Elle doit aussi acheminer (sans frais) une copie du document modifié à toute personne qui lui a transmis ou à qui elle a transmis ces renseignements. Toutes ces démarches seront inscrites au dossier. Si le dossier est informatisé ou si des messages échangés par courrier électronique comportent des renseignements pour lesquels vous demandez des rectifications, les mêmes procédures s’appliquent.

7. Procédure de gestion des incidents de sécurité et violations des renseignements personnels

7.1. Objectif

Le but de cette procédure est de s’assurer que l’organisation est prête à intervenir en cas de cyberincident de manière à pouvoir reprendre rapidement ses activités. La portée de cette procédure inclut tous les réseaux et systèmes, ainsi que les parties prenantes (clients, partenaires, employées, sous-traitants, fournisseurs) qui accèdent à ces systèmes. Un registre d’incidents a été mis à place dans l’organisation et les lois seront appliquées si un incident lié à des renseignements personnels a lieu.

7.2. Reconnaître un cyberincident

Un incident de cybersécurité peut ne pas être reconnu ou détecté immédiatement. Toutefois, certains indicateurs peuvent être les signes d’une atteinte à la sécurité, qu’un système a été compromis, d’une activité non autorisée, etc. Un incident de confidentialité peut prendre les formes suivantes :

• L’accès non autorisé par la loi à un renseignement personnel;
• L’utilisation non autorisée par la loi d’un renseignement personnel;
• La communication non autorisée par la loi d’un renseignement personnel;
• La perte d’un renseignement personnel ou toute autre atteinte à la protection d’un tel renseignement.

Les situations décrites ci-dessous constituent des exemples concrets d’incidents de confidentialité :

• Activité excessive ou inhabituelle de la connexion et du système, notamment à partir de tout identifiant d’utilisateur (compte d’utilisateur) inactif ;
• Accès distant excessif ou inhabituel dans votre organisation. Cela peut concerner le personnel ou des fournisseurs tiers ;
• Une activité inhabituelle liée à la présence de logiciels malveillants, de fichiers suspects ou de fichiers et programmes exécutables nouveaux ou non approuvés ;
• Ordinateurs ou appareils perdus, volés ou égarés qui contiennent des données de cartes de paiement, renseignements personnels ou d’autres données sensibles.

7.3. Coordonnées des personnes-ressources

Rôle	Nom	Téléphone	Adresse de courriel
Responsable de la protection des renseignements personnels	Sabrina Gauvreau	418 545-6444 poste 207	sabrina.gauvreau@calacsdusaguenay.ca

7.4. Atteinte à la protection des renseignements personnels – Intervention spécifique

S’il a été confirmé qu’un incident de sécurité lié à une atteinte à la protection des renseignements personnels s’est produit, il faudra effectuer les étapes suivantes :

1. Compléter le registre d’incidents de confidentialité pour documenter l’incident ;
2. Examiner l’atteinte à la protection des renseignements personnels pour déterminer si des renseignements personnels ont été perdus en raison d’un accès ou d’une utilisation non autorisé, d’une divulgation non autorisée ou de toute atteinte à la protection de ces renseignements personnels et qu’il existe un risque de préjudice sérieux pour les personnes concernées. Dans un tel cas :
   1. Le signaler à la Commission de l’accès à l’information au Québec ;
   2. Le signaler aux personnes dont les renseignements personnels sont visés par l’incident ou lorsque cela n’est pas possible, transmettre un avis public.
   3. Si des tiers doivent être contactés afin de mitiger les dommages pouvant découler de l’incident, la personne responsable de la protection des renseignements personnels s’assurera de communiquer uniquement les renseignements personnels nécessaires à cette fin ainsi que d’enregistrer cette commun

Notes

1. Pour les personnes utilisant les services, le document interne se nomme « Attestation de réception d’information et consentement ». Pour les militantes, le document se nomme « contrat d’engagement – membre militante ». Pour les nouvelles employées, le document se nomme « Accueil et intégration RH ». ↩
2. Pourquoi conserver les dossiers de vos employés? (groupetcj.ca) ↩