Responsable de la protection des renseignements personnels : qui est-ce et quoi publier

Qui est le responsable quand personne n’a été désigné ?

La Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) pose d’abord le principe (art. 3.1, al. 1) : « Toute personne qui exploite une entreprise est responsable de la protection des renseignements personnels qu’elle détient. »

Elle désigne ensuite qui exerce la fonction de responsable. Au sein de l’entreprise, « la personne ayant la plus haute autorité veille à assurer le respect et la mise en oeuvre de la présente loi » et « Elle exerce la fonction de responsable de la protection des renseignements personnels » (art. 3.1, al. 2). Autrement dit, sans autre désignation, le responsable est la personne qui a la plus haute autorité dans l’entreprise.

Dans le texte lu pour cette page, aucune définition de la personne « ayant la plus haute autorité » ne précise qui est cette personne dans une société par actions, une société en nom collectif, une entreprise à propriétaire unique ou un travailleur autonome : non vérifié.

Déléguer la fonction

La même disposition prévoit la délégation : la personne ayant la plus haute autorité « peut déléguer cette fonction par écrit, en tout ou en partie, à toute personne » (art. 3.1, al. 2). Trois choses ressortent du texte :

• la délégation se fait par écrit ;
• elle peut viser toute la fonction ou une partie seulement ;
• le texte parle de « toute personne » et ne limite pas la délégation aux employés.

Ce que le texte lu ne dit pas : la forme que doit prendre l’écrit, sa durée, la situation d’une personne de l’extérieur de l’entreprise, et ce que la délégation change à la responsabilité de la personne qui exploite l’entreprise (art. 3.1, al. 1) : non vérifié. Aucun texte de la CAI sur la délégation n’a été lu pour cette page : non vérifié.

Ce que fait le responsable dans la loi

La loi donne au responsable plusieurs rôles précis. Ces cinq rôles viennent d’articles lus pour cette page ; ils ne forment pas une liste complète des mentions du responsable dans la loi.

1. Il approuve les règles de gouvernance. Les politiques et pratiques de l’art. 3.2 doivent « être approuvées par le responsable de la protection des renseignements personnels » (art. 3.2, al. 1).
2. Il est consulté dès le début d’un projet d’évaluation des facteurs relatifs à la vie privée. La personne qui exploite l’entreprise « doit consulter, dès le début du projet, son responsable de la protection des renseignements personnels » (art. 3.3, al. 2) ; le responsable peut « suggérer des mesures de protection des renseignements personnels applicables à ce projet » (art. 3.4).
3. Il est consulté sur un incident de confidentialité. Pour évaluer le risque de préjudice, l’entreprise « doit également consulter son responsable de la protection des renseignements personnels » (art. 3.7). Les étapes d’un incident sont dans le guide sur l’incident de confidentialité.
4. Il reçoit les demandes d’accès et de rectification. Une telle demande « est adressée au responsable de la protection des renseignements personnels » (art. 30, al. 2).
5. Il répond par écrit. Il « doit répondre par écrit à la demande d’accès ou de rectification, avec diligence et au plus tard dans les 30 jours de la date de réception de la demande » (art. 32).

Les cas où ce délai ne s’applique pas, les motifs de refus et les autres mentions du responsable dans la loi n’ont pas été lus pour cette page : non vérifié.

Ce qui doit être publié

L’art. 3.1, al. 3 demande de publier le titre et les coordonnées du responsable sur le site Internet de l’entreprise. Une entreprise qui n’a pas de site les rend accessibles par « tout autre moyen approprié ».

• Le titre : la fonction exercée dans l’entreprise, par exemple présidente ou directeur général.
• Les coordonnées : de quoi joindre le responsable. Le texte lu ne dit pas lesquelles (adresse postale, courriel, téléphone) : non vérifié.
• L’endroit : le site Internet de l’entreprise. Une entreprise sans site peut utiliser « tout autre moyen approprié » ; la loi ne nomme pas ces moyens dans le texte lu.

Le texte de la loi lu pour cette page parle du titre et des coordonnées, pas du nom. Le guide de la CAI sur la politique de confidentialité range le nom parmi les éléments facultatifs, sous « Vous pouvez aussi inclure ». Publier le nom est donc un choix de l’entreprise ; publier le titre et les coordonnées est la règle de l’art. 3.1.

L’art. 8, al. 3 ajoute une autre voie : sur demande, la personne dont l’entreprise recueille des renseignements est informée, entre autres, « des coordonnées du responsable de la protection des renseignements personnels ».

Le lien avec les politiques de l’entreprise

Trois publications se côtoient sur un site, et la loi les distingue :

• Le titre et les coordonnées du responsable (art. 3.1, al. 3), vus plus haut.
• Des informations sur les politiques et pratiques de gouvernance (art. 3.2). Le responsable approuve ces politiques, et des informations détaillées à leur sujet sont « en termes simples et clairs, publiées sur le site Internet de l’entreprise » (art. 3.2, al. 2).
• La politique de confidentialité (art. 8.2) : la personne qui recueille des renseignements personnels par un moyen technologique « doit publier sur le site Internet de l’entreprise, le cas échéant, et diffuser par tout moyen propre à atteindre les personnes concernées une politique de confidentialité rédigée en termes simples et clairs ».

Le texte lu ne dit pas que ces trois publications doivent être réunies sur une même page. Le guide de la CAI place le nom du responsable et ses coordonnées parmi les éléments que la politique de confidentialité peut inclure (§ 2.5) : les mettre dans la politique publiée est une façon de les publier sur le site, pas une exigence de la loi lue ici. Les autres obligations d’un site sont dans ce que la Loi 25 demande au site web d’une entreprise.

Ce que cette page ne dit pas

Cette page décrit ce que la loi prévoit ; elle ne dit pas qui une entreprise donnée doit désigner. Non vérifié, parce que non lu pour cette page : le sens de la plus haute autorité selon la forme juridique, la forme de la délégation écrite, ce que comprennent les coordonnées à publier, les moyens appropriés pour une entreprise sans site, les règlements pris en vertu de la loi, la position de la CAI sur la désignation et la délégation, et les sanctions liées à l’absence de publication.

Pour aller plus loin

• Loi 25 : résumé pour les PME : le responsable est le premier des neuf points.
• Loi 25 : les obligations des entreprises, article par article : les art. 3.1 à 3.8 en détail.
• Politique de confidentialité selon la Loi 25, avec un exemple : où le responsable paraît dans la politique.