Protection des renseignements

La Loi 25 a modernisé les obligations québécoises de protection des renseignements personnels. Cette page distingue ces obligations des fonctions techniques visibles sur le site. Elle n’atteste pas qu’un audit de conformité ou une certification a été réalisé.

Une entreprise doit désigner un responsable et publier son titre et ses coordonnées. Elle doit également encadrer l’accès aux renseignements, leur conservation, leur destruction et le traitement des plaintes.

Chez AGR, la désignation du responsable et l’application de la suppression des demandes après un mois maximum restent à confirmer. Un formulaire protégé ne suffit pas, à lui seul, à démontrer la conformité de ces pratiques.

Avant de confier des renseignements à un système automatisé, le mandat doit préciser les sources, les accès, les finalités et les validations humaines. L’évaluation des facteurs relatifs à la vie privée applicable au projet, ainsi que l’encadrement des communications hors Québec, doivent être examinés avant le traitement concerné.

La présentation de notre méthode ne signifie pas qu’une telle évaluation a déjà été menée pour votre organisation.

Lorsqu’un incident de confidentialité survient, la loi prévoit des mesures pour limiter les risques et éviter une répétition. S’il présente un risque de préjudice sérieux, l’entreprise doit aviser avec diligence la CAI et les personnes concernées. Elle doit également tenir un registre des incidents.

Cette description rappelle les obligations applicables ; elle ne remplace pas une procédure interne validée. Pour signaler un problème touchant AGR, transmettez les faits utiles par courriel.