Politique sur la gestion et la protection des renseignements personnels

Mise à jour : 2024-03-01

1. OBJECTIFS

Soudure Brault (ci-après appelée l’entreprise) recueille, utilise et divulgue des renseignements pour mener à bien sa mission.

La présente politique vise à démontrer les pratiques de l’organisation en matière de cueillette, d’utilisation, de divulgation et de conservation des renseignements personnels, lesquelles assurent une gestion efficiente et sécuritaire de tous les renseignements personnels détenus au sein de l’entreprise, et ce, quel que soit le support utilisé.

Elle reflète la volonté de l’entreprise de se doter d’un système de gestion documentaire sécuritaire et uniforme.

Elle a également pour but d’assurer le respect des obligations législatives, tout particulièrement la Loi sur la protection des renseignements personnels dans le secteur privé1 (ci-après la Loi), ainsi que la durée de conservation des différents renseignements utilisés. Elle vise également à établir un mécanisme de traitement des plaintes.

2. CHAMP D’APPLICATION

Cette politique s’applique à l’ensemble des employé(e)s de l’entreprise. Elle englobe tous les renseignements personnels, qu’ils soient en format papier ou numérique, et qui présentent une valeur administrative, financière, légale ou historique. Ces renseignements doivent être détenus par un membre du personnel dans l’exercice de ses fonctions.

3. RÔLES ET RESPONSABILITÉS

3.1 Direction générale

• 3.1.1 Déployer les ressources nécessaires à l’application de la présente politique.
• 3.1.2 Désigner et soutenir la personne responsable de la protection des renseignements personnels.

3.2 Personne responsable de la protection des renseignements personnels

(Voir Annexe 1)

• 3.2.1 Assumer le rôle de responsable de la protection des renseignements personnels.
• 3.2.2 Gérer, appliquer et assurer le respect de la présente politique.
• 3.2.3 Autoriser le transfert, le tri, la destruction ou l’archivage des renseignements personnels conformément au calendrier de conservation.
• 3.2.4 Gérer les demandes d’accès aux renseignements personnels.
• 3.2.5 Tenir à jour un registre des incidents de confidentialité.
• 3.2.6 Aviser la Commission d’accès à l’information du Québec (ci-après nommée « la Commission ») ainsi que les personnes concernées en cas d’incident de confidentialité présentant un risque de préjudice sérieux.
• 3.2.7 Procéder à une évaluation des facteurs relatifs à la vie privée (ÉFVP) lorsque nécessaire.
• 3.2.8 Recevoir et traiter les plaintes relatives à la protection des renseignements personnels.
• 3.2.9 Informer l’ensemble du personnel de la présente politique.
• 3.2.10 Réviser la politique lorsque cela s’avère nécessaire.

3.3 Responsable de l’informatique (Consultant externe)

Dans le cadre de son contrat de service, il doit :

• 3.3.1 Collaborer à la sélection des outils informatiques permettant d’assurer le respect de la présente politique.
• 3.3.2 Mettre en place les mesures de sécurité requises pour appliquer la politique.

3.4 Employé(e)s

• 3.4.1 Aviser la personne responsable des renseignements personnels (voir Annexe 1) en cas d’incident de confidentialité.
• 3.4.2 Classer et enregistrer les documents selon les bonnes pratiques en vigueur.
• 3.4.3 Respecter les dispositions de la présente politique.

4. DÉFINITIONS

4.1 Calendrier de conservation

Un calendrier précisant les périodes pendant lesquelles les renseignements personnels doivent être conservés.

4.2 Cycle de vie

L’ensemble des étapes traversées par un renseignement personnel, incluant sa collecte, son transfert, sa consultation, sa transmission, son archivage et sa destruction.

4.3 Document

Toute information stockée sur un support papier ou numérique. Il peut contenir ou non des renseignements personnels.

4.4 Document actif

Document régulièrement consulté et utilisé à des fins administratives, financières ou légales.

4.5 Document inactif

Document qui n’a plus d’utilité administrative, financière ou légale, mais qui est archivé conformément au calendrier de conservation.

4.6 Incident de confidentialité (*)

Tout accès, utilisation ou communication non autorisés d’un renseignement personnel, ainsi que toute perte ou atteinte à la protection de celui-ci, en violation des lois applicables.

4.7 Préjudice sérieux (*)

Niveau de gravité du risque pour les personnes concernées par un incident de confidentialité. Les facteurs à évaluer incluent :

• La sensibilité des renseignements concernés.
• Les conséquences potentielles de leur utilisation.
• La probabilité qu’ils soient utilisés à des fins préjudiciables.

4.8 Renseignements personnels (*)

Toute information concernant une personne physique qui permet de l’identifier. Ces renseignements sont confidentiels et ne peuvent être divulgués sans le consentement de la personne, sauf exceptions prévues par la loi.

4.9 Renseignements personnels sensibles (*)

Renseignements personnels qui, en raison de leur nature (médicale, biométrique ou autre) ou du contexte de leur utilisation ou communication, suscitent un haut niveau d’attente raisonnable en matière de respect de la vie privée.

4.10 Renseignements personnels dépersonnalisés (*)

Renseignements personnels modifiés pour qu’ils ne permettent plus d’identifier directement la personne concernée. Par exemple, cela inclut la suppression du nom, de l’adresse, du courriel, du NAS ou du numéro d’assurance maladie.
Note : La dépersonnalisation n’est pas une alternative à la destruction, mais constitue une mesure de protection pour une utilisation ou communication sans consentement, notamment à des fins de recherche ou de statistiques.

4.11 Renseignements personnels anonymisés (*)

Renseignements personnels modifiés de manière irréversible, rendant impossible toute identification directe ou indirecte de la personne concernée.

5. MODALITÉS OPÉRATIONNELLES

5.1 Cueillette des renseignements personnels

• Les articles 4 et 5 de la Loi autorisent l’entreprise à constituer un dossier sur une personne si elle justifie d’un intérêt sérieux et légitime.
• Les renseignements personnels doivent être utilisés uniquement pour les fins pour lesquelles ils ont été recueillis, en lien direct avec leur finalité initiale.
  • Exemple : Le numéro d’assurance sociale (NAS) recueilli pour le traitement de la paie d’un employé ne peut être utilisé à d’autres fins.
• L’utilisation des renseignements à d’autres fins est permise uniquement avec le consentement explicite de la personne concernée (voir Section 5.3).

5.1.1 Photos

• L’entreprise doit obtenir un consentement écrit via un formulaire prescrit avant d’utiliser des photos ou vidéos permettant d’identifier une personne.

5.1.2 Vidéosurveillance

• Objectifs : Protection contre le vol, sécurité des lieux et des employés.
• Emplacement des caméras sélectionné avec soin pour remplir ces objectifs. Des affiches signalent leur présence.
• Les images sont accessibles uniquement aux membres de l’administration et conservées pendant 30 jours dans un système sécurisé.
• Des exceptions s’appliquent en cas de recours légal, enquête ou accident.

5.2 Conservation

5.2.1 Accès aux renseignements personnels

• La liste des employés ayant accès aux renseignements figure dans le document « Inventaire des renseignements personnels ».
• L’accès est limité aux employés ayant un besoin justifié pour accomplir leurs fonctions, conformément à l’article 20 de la Loi.

5.2.2 Classement des renseignements personnels

• Support papier : Classé dans des classeurs verrouillés.
• Support numérique : Stocké dans des répertoires protégés.

5.2.3 Incident de confidentialité

• Tous les incidents doivent être déclarés à la personne responsable.
• Une évaluation doit être effectuée à l’aide du formulaire « Évaluation d’un incident de confidentialité ».
• Les incidents graves doivent être déclarés à la Commission d’accès à l’information ainsi qu’aux personnes concernées, via les formulaires et lettres prévus.

5.3 Transmission

5.3.1 Consentement

• Le consentement de la personne concernée doit être libre, éclairé et spécifique avant toute transmission à un tiers.
• Des exceptions s’appliquent dans les cas prévus par la Loi, notamment pour les employés mentionnés dans la Section 5.2.1.

5.3.2 Accès aux renseignements personnels

• Les employés peuvent demander par écrit un accès à leurs propres renseignements.

5.3.3 Transmission électronique

• Les renseignements sensibles transmis par voie électronique doivent être protégés par un mot de passe.

5.3.4 Références d’emploi

• Seule la direction générale est autorisée à fournir des références, avec consentement.
• En l’absence de consentement, seules des informations limitées prévues par la Loi sur les normes du travail peuvent être communiquées.

5.3.5 Processus de deuil

• Des renseignements peuvent être transmis au conjoint(e) ou aux proches parents d’une personne décédée pour faciliter leur deuil, sauf en cas de refus explicite de la personne concernée.

5.3.6 Évaluation des facteurs relatifs à la vie privée (ÉFVP)

• Une ÉFVP est obligatoire avant toute transmission de renseignements sans consentement pour des fins d’étude, de recherche ou de statistiques.
• Exemples de projets impliquant des ÉFVP :
  • Acquisition ou fusion d’organisations.
  • Installation de systèmes de vidéosurveillance.
  • Utilisation de technologies telles que la géolocalisation ou la reconnaissance faciale.

5.4 Destruction

5.4.1 Généralités

• Les renseignements personnels doivent être détruits une fois leur finalité accomplie, sauf disposition contraire dans le calendrier de conservation (Annexe 2).
• Si leur conservation est nécessaire, les renseignements doivent être anonymisés.

5.4.2 Méthode de destruction

• La méthode de destruction doit être adaptée au support utilisé : déchiquetage, formatage sécurisé, destruction physique, etc.

6.1 Dépôt d’une plainte

• Une personne concernée peut déposer une plainte si elle estime que la Loi sur la protection des renseignements personnels dans le secteur privé n’a pas été respectée.
• La plainte doit être adressée à la personne responsable de la protection des renseignements personnels.
• Cette personne peut mandater une ressource externe pour gérer les fonctions liées au traitement des plaintes.

6.2 Objet de la plainte

La plainte peut concerner :

• La cueillette des renseignements personnels.
• Leur conservation.
• Leur utilisation.
• Leur communication.
• Leur destruction.

6.3 Réception et analyse de la plainte

• La personne responsable évalue si la plainte est recevable.
• La décision est communiquée à la personne concernée.

6.4 Enquête et résolution

• Si la plainte est jugée recevable, une enquête est menée pour déterminer s’il y a eu manquement à la Loi.
• Des recommandations peuvent être formulées pour :
  • Résoudre le problème.
  • Améliorer la gestion et la protection des renseignements personnels au sein de l’entreprise.
• Les conclusions de l’enquête sont transmises à la personne concernée.

6.5 Recours en cas d’insatisfaction

Si la personne concernée n’est pas satisfaite, elle peut contacter la Commission d’accès à l’information à l’adresse suivante :
cai.gouv.qc.ca

7. RÉVISION

Cette politique est révisée et mise à jour sur une base annuelle par la personne responsable des renseignements personnels, afin d’assurer sa conformité avec les exigences légales et les meilleures pratiques.

ANNEXE 1 – PERSONNE RESPONSABLE DES RENSEIGNEMENTS PERSONNELS

La personne désignée comme responsable des renseignements personnels, conformément aux rôles et responsabilités énoncés dans la section 3.2 de cette politique, est :

Éloïse Brault
Responsable des ressources humaines et de la qualité
Téléphone : (450) 295-2260
Courriel : ebrault@soudurebrault.com

En cas de départ de cette personne, les responsabilités seront automatiquement transférées à la personne occupant le poste de Responsable des ressources humaines et de la qualité.

ANNEXE 2 – CALENDRIER DE CONSERVATION

Assurance collective

• Période obligatoire :
  Loi sur les assurances, LRQ c A-32.
  Aucune, sauf en présence de dispositions spécifiques au contrat.
• Période en vigueur :
  3 ans suivant la terminaison d’emploi (délai général de prescription – Code civil, article 2925).
  ou
  Plus de 3 ans si un litige est en cours.

Assurance-emploi (Relevés d’emploi, etc.)

• Période obligatoire :
  Loi sur l’assurance-emploi – articles 87(3) et 87(4).
  6 ans suivant la fin de l’année à laquelle les documents se rapportent, sauf autorisation écrite du ministre de s’en départir.
  ou
  Jusqu’à ce qu’une décision soit rendue (y compris l’expiration de l’appel) lors d’un litige.
• Période en vigueur :
  7 ans.

Comité santé et sécurité

• Période obligatoire :
  Règlement sur les comités de santé et sécurité du travail, article 31.
  5 ans.
• Période en vigueur :
  5 ans.

Coordonnées et historique de la clientèle

• Période obligatoire :
  s.o.
• Période en vigueur :
  Conservation illimitée.
  ou
  Destruction à la demande du client.

Nature des documents : Dossier employé

• Période obligatoire :
  Aucune.
• Période en vigueur :
  3 ans suivant la terminaison d’emploi (Code civil, article 2925).
  ou
  Plus de 3 ans si un litige est en cours.

Équité salariale

• Période obligatoire :
  Loi sur l’équité salariale, article 14.1.
  6 ans.
• Période en vigueur :
  6 ans.

Formation

• Période obligatoire :
  Règlement sur les dépenses de formation admissibles, RRQ, 1981, c D-8.3, r 3, art 4.
  6 ans.
• Période en vigueur :
  6 ans.

Paie

• Période obligatoire :
  Règlement sur la tenue d’un système d’enregistrement, article 2.
  3 ans.
• Période en vigueur :
  3 ans.

Registres des mesures d’échantillonnage en santé et sécurité au travail

• Période obligatoire :
  Règlement sur la santé et la sécurité au travail, articles 43, 48, 121, 141 et 307.
  5 ans.
• Période en vigueur :
  5 ans.

Relevés fiscaux

• Période obligatoire :
  Loi sur l’administration fiscale, article 35.1 et Loi de l’impôt sur le revenu, article 230 (4).
  6 ans suivant la fin du dernier exercice financier auquel les documents se rapportent.
• Période en vigueur :
  7 ans.

Recrutement

• Période obligatoire :
  Aucune.
• Période en vigueur :
  Destruction des candidatures lorsque le processus de recrutement est complété.

Vidéosurveillance

• Période obligatoire :
  Aucune.
• Période en vigueur :
  30 jours.

Régime de retraite

• Période obligatoire :
  Loi sur les régimes complémentaires de retraite, LRQ c R-15.1.
  Aucune.
• Période en vigueur :
  Minimalement 3 ans à compter de l’exigibilité du régime de retraite (décès de l’employé retraité).
  Permanent si l’employé est admissible.

Rentes du Québec

• Période obligatoire :
  Loi sur le régime des rentes du Québec, LRQ c R-9, art 66.
  Aucune.
• Période en vigueur :
  Minimalement 4 ans après la fin de l’exercice de l’année de terminaison d’emploi.

Réclamations en vertu de la Loi sur les accidents du travail et les maladies professionnelles

• Période obligatoire :
  Loi sur les accidents de travail et les maladies professionnelles, LRQ c A-3.001.
  Aucune.
• Période en vigueur :
  3 ans suivant la fin d’emploi.
  Plus de 3 ans si un litige est en cours.