Objectifs
La présente politique énonce les principes généraux relatifs à la collecte, l’utilisation, la communication, la conservation et la destruction des renseignements personnels adoptés par l’organisation (CQCM) conformément aux lois applicables en matière de protection des renseignements personnels. Elle définit le partage des responsabilités des personnes appelées à mettre en œuvre les principes énoncés dans la politique.
Champ d'application
La politique s’applique à tous les employés, mandataires et fournisseurs de service de l’organisation. Elle s’applique plus particulièrement à ceux qui collectent, utilisent, communiquent, conservent ou détruisent des documents ou fichiers comportant des renseignements personnels dans le cadre de leur emploi, de leur mandat ou de leur contrat de service.
Définition
Aux fins de la présente politique, les expressions suivantes signifient :
« Lois sur la protection des renseignements personnels » signifie les lois et règlements applicables à la protection des renseignements personnels dans le secteur privé, incluant la Loi sur la protection des renseignements personnels dans le secteur privé (Québec) et les lois essentiellement similaires au Canada, ainsi que toute autre loi ou réglementation applicable régissant la collecte, l'utilisation, la communication ou tout autre traitement des Renseignements personnels.
« Renseignement personnel ou RP » signifie tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l’identifier. Cela inclut les renseignements sous toutes leurs formes, y compris le nom, l'âge, les numéros d'identification, l’état civil, les revenus, l'origine ethnique, les données de localisation, les adresses IP, les témoins de connexion, les opinions politiques, les croyances religieuses, les évaluations de rendement, les mesures disciplinaires, les dossiers des employés, les dossiers de crédit, les dossiers médicaux, etc.
Tout renseignement qui concerne l’exercice par la personne concernée d’une fonction au sein d’une organisation, tel que son nom, son titre et sa fonction, de même que l’adresse, l’adresse de courrier électronique et le numéro de téléphone de son lieu de travail est un Renseignement personnel à caractère public.
« Renseignement personnel sensible » signifie tout renseignement qui, par sa nature notamment médicale, biométrique ou autrement intime, ou en raison du contexte de son utilisation ou communication, suscite un haut degré d’attente raisonnable en matière de vie privée.
« Responsable de la protection des RP » désigne la personne ayant la plus haute autorité au sein de l’organisation ou la personne à qui elle a délégué cette fonction par écrit.
« Incident de confidentialité » signifie i) l'accès, ii) l'utilisation ou iii) la communication non-autorisée de renseignements personnels ainsi que iv) la perte présumée ou réelle de renseignements personnels, quel que soit le risque de préjudice pour les personnes concernées.
Principes généraux
Responsabilité à l’égard de la protection des renseignements personnels
L’organisation est responsable de la protection des renseignements personnels qu’elle collecte, utilise, communique, conserve et détruit dans le cadre de ses activités. Par conséquent, elle a adopté et mis en œuvre le Programme de gouvernance à l’égard des renseignements personnels.
Le Responsable de la protection des RP est chargé de soutenir l’organisation dans l’exercice de ses responsabilités et dans l’exécution de ses obligations en vertu des Lois sur la protection des RP.
L’organisation se doit d’inscrire dans ses communications, notamment via son site internet, le nom et les coordonnées de la personne qui est désignée responsable de la protection des renseignements personnels.
Collecte de renseignements personnels
L’organisation recueille uniquement les renseignements personnels qui sont nécessaires aux fins déterminées avant la collecte en raison d’un intérêt sérieux et légitime. La collecte de renseignements personnels se fait auprès de la personne concernée, à moins d’obtenir son consentement ou de bénéficier d’une exception prévue dans les Lois sur la protection des RP. Lors de la collecte, et par la suite sur demande, l’organisation lui transmet les informations requises conformément à la Directive sur la collecte, l’utilisation et la communication de renseignements personnels.
Utilisation de renseignements personnels
L’organisation utilise un renseignement personnel uniquement aux fins pour lesquelles il a été recueilli, à moins d’obtenir le consentement de la personne concernée ou de bénéficier d’une exception prévue dans les Lois sur la protection des RP. L’accès aux renseignements personnels est limité aux personnes pour qui l’utilisation de ces renseignements est nécessaire à l’exercice de leurs fonctions. En outre, l’organisation veille à ce que les renseignements personnels qu’elle détient sur autrui soient à jour et exacts au moment où elle les utilise pour prendre une décision relative à la personne concernée. L’organisation applique les règles d’utilisation et les exceptions énoncées dans la Directive sur la collecte, l’utilisation et la communication de renseignements personnels.
Communication de renseignements personnels
L’organisation reconnaît que les renseignements personnels sont confidentiels et qu’ils ne peuvent être communiqués à un tiers, à moins d’obtenir le consentement de la personne concernée ou de bénéficier d’une exception prévue dans les Lois sur la protection des RP. L’organisation applique les règles de communication et les exceptions énoncées dans la Directive sur la collecte, l’utilisation et la communication de renseignements personnels.
Conservation et destruction des renseignements personnels
L’organisation s’assure que les renseignements personnels qu’elle conserve soient à jour, exacts et complets. Elle veille à la destruction sécuritaire des renseignements personnels lorsque les fins pour lesquelles ces renseignements ont été recueillis ou utilisés sont accomplies, sous réserve d’un délai de conservation plus long prévu par une loi. Alternativement, elle se réserve le droit d’anonymiser le renseignement personnel pour l’utiliser à des fins sérieuses et légitimes. L’organisation applique les règles de conservation et de destruction énoncées dans la Directive sur la conservation, la destruction et l’anonymisation de renseignements personnels.
Protection du caractère confidentiel des renseignements personnels
L’organisation met en place les mesures de sécurité qui sont propres à assurer la protection des renseignements personnels qu’elle collecte, utilise, communique, conserve et détruit pour s’assurer que seules les personnes autorisées y auront accès. Elle s’assure que ces mesures sont raisonnables compte tenu notamment de la sensibilité, de la finalité d’utilisation, de la quantité, de la répartition et du support des renseignements personnels. L’organisation applique les mesures de sécurité physiques, techniques et organisationnelles décrites dans la Directive sur les mesures de sécurité des renseignements personnels.
Évaluation des facteurs de vie privée de projets impliquant des renseignements personnels
L’organisation procède à une évaluation des facteurs relatifs à la vie privée (« EFVP ») de tout projet d’acquisition, de développement et de refonte d’un système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels. Elle procède également à une EFVP avant de communiquer un renseignement personnel à des fins d’étude, de recherche ou de production de statistiques sans le consentement des personnes concernées, ou avant de communiquer un renseignement personnel à l’extérieur du Québec. L’EFVP est effectuée conformément aux règles énoncées dans la Directive sur la collecte, l’utilisation et la communication de renseignements personnels.
Gestion des demandes et plaintes relatives aux renseignements personnels
Toute personne dont les renseignements personnels sont collectés, utilisés, communiqués, conservés ou détruits par l'organisation possède des droits à l'égard de ceux-ci et doit pouvoir les exercer librement. L’organisation reçoit, analyse et répond à toute demande d’accès, de rectification et de désindexation d’un renseignement personnels ainsi qu’à toute plainte formulée par une personne concernée ou autorisée en vertu des Lois sur la protection des RP. Toutes les demandes et les plaintes doivent être acheminées au responsable de la protection des RP et traitées conformément à la Procédure de traitement des demandes et des plaintes relatives aux renseignements personnels.
Gestion des incidents de confidentialité
Lorsque l’organisation a des motifs raisonnables de croire qu’un incident de confidentialité s’est produit, elle prend les mesures raisonnables pour diminuer les risques qu’un préjudice soit causé et éviter que de nouveaux incidents de même nature ne se produisent. Si l’Incident de confidentialité présente un risque de préjudice sérieux, l’organisation avise, avec diligence et par écrit, la Commission d’accès à l’information (CAI) ainsi que toute personne dont un Renseignement personnel est concerné. Tout signalement d’un Incident de confidentialité doit être acheminé au responsable de la protection des RP et être traitées conformément à la Procédure de gestion d’un incident de confidentialité impliquant un renseignement personnel.
Rôles et responsabilités
Conseil d’administration
Comité d’audit et de gestion des risques
Responsable de la protection des RP
Employés, mandataires et fournisseurs de service
Contacter le responsable à la protection des données
Si vous êtes résident du Québec, conformément à la loi 25, vous bénéficiez de droits spécifiques concernant vos données personnelles:
Vous avez le droit de vous opposer à l’utilisation de vos données et de les retirer. Pour exercer ces droits, contactez notre responsable de la protection des données personnelles :
Denis Tremblay
Directeur Services administratifs et Responsable de la protection des renseignements personnels
1500, rue Métivier, bureau 210
Lévis, Québec G6V 0P6
denis.tremblay@cqcm.coop
418 835-3710
La loi 25 précise que les personnes de moins de 14 ans sont considérées comme des mineurs aux fins de la collecte de données. Leurs renseignements personnels ne pourront être recueillis auprès de celui-ci sans le consentement du titulaire de l’autorité parentale ou du tuteur, sauf lorsque cette collecte sera manifestement au bénéfice de ce mineur.
Notre politique de confidentialité a été mise à jour le 26 février 2025.