1795, Boul. Industriel, Magog, Québec J1X 5P2
Tel : (819) 847-3133
Table des matières
- OBJECTIF 3
- CHAMP D’APPLICATION 3
- PRINCIPES DIRECTEURS 3
3.1 Responsabilités 3
3.2 Nécessité 4
3.3 Consentement 4
3.4 Confidentialité 4
3.5 Droit d’accès et de rectification 4
3.6 Transparence 4 - DÉSIGNATION D’UNE PERSONNE RESPONSABLE 4
- RÔLES ET RESPONSABILITÉS 5
5.1 Directeur général 5
5.2 Ressources humaines 5
5.3 Coordonnateurs et gestionnaires 5
5.4 Membre du personnel 5 - COLLECTE 5
- UTILISATION 6
- RENSEIGNEMENTS PERSONNELS 6
- FICHIERS DE RENSEIGNEMENTS PERSONNELS 6
- CONSERVATION 7
10.1 Conservation 7
10.2 Qualité des renseignements personnels 7
10.3 Documents numériques 7
10.5 Mesures de sécurité 7 - ÉVALUATION DES FACTEURS RELATIFS À LA VIE PRIVÉE 8
- SANCTIONS APPLICABLES EN CAS DE NON-RESPECT DU PRÉSENT GUIDE 8
- PROCÉDURES PLAINTES ET INCIDENTS DE CONFIDENTIALITÉ 8
- COORDONNÉES DU RESPONSABLE DE LA PROTECTION DES RENSEIGNEMENTS PERSONNELS PAR ENTREPRISE 8
- ENTRÉE EN VIGUEUR DE LA POLITIQUE 8
- OBJECTIF
La protection des renseignements personnels (ci-après nommé renseignement) est une priorité pour Les Aciers Robond, la présente Politique sur la gestion des renseignements personnels précise le cadre de gouvernance concernant la gestion des renseignements personnels. La Politique de gouvernance sur la protection des renseignements personnels (ci-après « la Politique ») est adoptée en application de la Loi sur la protection des renseignements personnels dans le secteur privé, c. P-39.1 (ci-après « Loi sur le privé »).
Elle énonce les règles qui guident les pratiques des Aciers Robond dans la gestion des renseignements personnels qu’elle détient. Elle définit les rôles et les responsabilités du personnel des Aciers Robond à l’égard des renseignements personnels tout au long du cycle de vie des renseignements, de leur collecte à leur destruction.
- CHAMP D’APPLICATION
La Politique s’adresse à toute personne physique ou morale (partenaire régulier ou occasionnel) ayant accès aux renseignements personnels, et ce, sans égard au statut d’emploi, y compris les propriétaires, dirigeants, employés permanents ou occasionnels, administrateurs, fournisseurs, etc. en relation avec notre organisation.
Elle s’applique à tous les renseignements personnels détenus par les Aciers Robond, incluant ceux dont la conservation est assurée par un tiers, quel que soit le support sur lequel ils sont conservés, et ce, de leur collecte à leur destruction. Tout renseignement qui concerne une personne physique et permet de l’identifier directement ou indirectement est un renseignement personnel.
Elle s’applique également à toute personne à qui les Aciers Robond confient des renseignements personnels dans le cadre de l’exécution d’un mandat ou d’un contrat de service.
- PRINCIPES DIRECTEURS
Dans l’exercice de ses activités, Aciers Robond recueillent et traitent des renseignements personnels qui doivent protéger les renseignements personnels que l’entreprise détient. Pour ce faire, elle s’engage à prendre les mesures propres à assurer la protection de ces renseignements personnels. Ses pratiques en matière de protection des renseignements personnels reposent sur les principes suivants :
3.1 Responsabilités
Les Aciers Robond sont responsables des renseignements personnels qu’elle détient. Pour ce faire, l’entreprise:
• Met en œuvre des politiques et des pratiques pour respecter ses obligations en matière de protection des renseignements personnels et pouvoir le démontrer;
• Évalue les impacts sur la vie privée d’un projet d’acquisition, de développement ou de refonte d’un système d’information ou de prestation électronique de services impliquant des renseignements personnels, dès les premières étapes de conception;
• Évalue les impacts avant de communiquer un renseignement à l’extérieur du Québec;
• Sensibilise son personnel à la protection des renseignements personnels et met en place une procédure pour traiter les plaintes liées à la gestion des renseignements personnels qu’elle détient.
3.2 Nécessité
Les Aciers Robond ne recueillent que les renseignements personnels nécessaires à l’exercice de ses fonctions ou à la mise en œuvre de programmes dont elle a la responsabilité. Le personnel des Aciers Robond n’accède qu’aux renseignements personnels auxquels il a besoin pour s’acquitter de ses tâches.
3.3 Consentement
Chaque fois que la Loi sur l’accès l’exige, Les Aciers Robond s’assurent d’obtenir un consentement valide de la personne concernée par les renseignements personnels. Un consentement valide est manifeste, libre, éclairé et donné à des fins spécifiques. Il est demandé pour chacune de ces fins en des termes simples et clairs permettant ainsi à la personne concernée de comprendre la portée de ce qui lui est demandé.
3.4 Confidentialité
Les Aciers Robond assurent la confidentialité des renseignements personnels détenus. L’entreprise prend les mesures de sécurité nécessaires pour protéger les renseignements personnels, de leur collecte à leur destruction. Ces mesures tiennent compte de la sensibilité, de la finalité, de la quantité, de la répartition et du support des renseignements personnels. Elle met en place les mesures nécessaires afin de limiter l’utilisation et la communication de ces renseignements.
3.5 Droit d’accès et de rectification
Toute personne peut demander de consulter ou d’obtenir copie des renseignements personnels que l’entreprise détient à son sujet et de les faire rectifier, dans la mesure prévue par la Loi sur l’accès.
3.6 Transparence
Les Aciers Robond font preuve de transparence dans la gestion des renseignements personnels détenus. Lors de leur collecte, elle informe la personne concernée des buts poursuivis par cette collecte, de l’utilisation qui en sera faite et de plusieurs autres éléments requis par la loi.
- DÉSIGNATION D’UNE PERSONNE RESPONSABLE
Cette personne exerce la fonction de responsable de la protection des renseignements personnels; elle peut déléguer cette fonction par écrit, en tout ou en partie, à toute personne. Cette personne peut assumer efficacement ce rôle en ayant les compétences requises et un pouvoir décisionnel important.
Personne désignée : Francis Hamel, directeur général : 819-847-3133, poste 211
La loi lui confie des rôles spécifiques. En cas d’incident de confidentialité impliquant un renseignement personnel, notamment, il doit :
• Enregistrer les communications effectuées à toute personne ou tout organisme susceptible de diminuer le risque pour la personne concernée suivant l’incident;
• Prendre part à l’évaluation du préjudice causé par l’incident.
Si l’organisation a des motifs de croire que s’est produit un incident de confidentialité impliquant un renseignement personnel qu’elle détient, elle doit prendre des mesures raisonnables pour diminuer les risques qu’un préjudice soit causé et éviter que de nouveaux incidents de même nature ne se produisent.
- RÔLES ET RESPONSABILITÉS
5.1 Directeur général
• Approuve la politique.
• Agit à tire de responsable de la protection des renseignements personnels.
• Assure l’application de la présente politique.
• S’assure la protection des renseignements personnels des personnes concernées.
• Procède à l’évaluation des incidents de confidentialité et des facteurs relatifs à la vie privée avec la responsable des ressources humaines et du coordonnateur de l’informatique.
5.2 Ressources humaines
• S’assure que les renseignements personnels recueillies sont utilisés aux bonnes fins.
• S’assure que les renseignements personnels sont détruits lorsque la finalité de leur collecte est accomplie.
• Obtient un consentement valide pour chacune des fins visées au moment de la collecte.
• Assure la formation du personnel.
• Fait et maintient à jour l’inventaire des renseignements personnels.
• Soutient et effectue des recommandations à la personne responsable de la protection des renseignements personnels.
5.3 Coordonnateurs et gestionnaires
• Informent les membres de leurs équipes.
• Valident l’attribution et la portée des accès aux systèmes d’information dont ils sont responsables.
• Informent la direction générale avant d’entreprendre un projet d’acquisition, de développement et de refonte de système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels.
5.4 Membre du personnel
• N’accède qu’aux renseignements nécessaires à l’exécution de sa tâche et uniquement dans le cadre de ses fonctions.
• Ne révèle aucun renseignement personnel dont il aurait pris connaissance dans l’exercice de sa fonction sans y être dûment autorisé.
• Ne communique aucun renseignement personnel à des tiers.
• Conserve tous les renseignements personnels nécessaires à sa tâche uniquement dans les espaces fournis par Aciers Robond.
• Assure la protection de ces espaces à l’aide d’un mot de passe si nécessaire.
- COLLECTE
Dans tous les cas, Les Aciers Robond ne collectent des renseignements personnels que s’il a une raison valable de le faire. De plus, la collecte ne sera limitée qu’aux renseignements nécessaires dont il a besoin pour remplir les activités visées.
Les Aciers Robond limitent l’utilisation et la communication des renseignements personnels aux seules fins auxquelles la personne concernée a été informée lors de la collecte.
Toutefois, Les Aciers Robond peuvent communiquer à un tiers des renseignements personnels sans le consentement de la personne concernée lorsque la communication est due à une exigence réglementaire ou légale ou lorsque la Loi sur le privé ou toute autre loi le permet. Vos renseignements personnels ne peuvent être consultés que par certaines personnes autorisées, et ce, uniquement dans le cadre des tâches qui leur ont été attribuées.
- UTILISATION
Les Aciers Robond s’engagent à utiliser les renseignements personnels en sa possession uniquement aux fins pour lesquelles ils ont été recueillis et pour lesquels la loi l’autorise à les utiliser. Il peut toutefois les recueillir, les utiliser ou les divulguer sans le consentement de la personne visée lorsque cela est permis ou exigé par la loi. Dans certaines circonstances particulières, Les Aciers Robond pourraient recueillir, utiliser ou divulguer des renseignements personnels sans que la personne concernée en soit informée ou qu’elle n’ait donné son consentement. De telles circonstances sont réunies, notamment, lorsque, pour des raisons juridiques, médicales ou de sécurité, il est impossible ou peu probable d’obtenir son consentement, lorsque cette utilisation est manifestement au bénéfice de cette personne, lorsque cela est nécessaire pour prévenir ou détecter une fraude ou pour tous autres motifs sérieux. - RENSEIGNEMENTS PERSONNELS
Dans le cadre de ses activités, Les Aciers Robond peuvent recueillir et traiter différents types de renseignements personnels, dont voici quelques exemples, à titre illustratif :
• Des renseignements d’identité, comme un nom ou un prénom, âge, date de naissance, NAS, une adresse, une adresse électronique et un numéro de téléphone;
• des renseignements bancaire comme le nom de l’institution financière et le numéro de compte bancaire;
• Des renseignements relatifs aux membres du personnel et stagiaires des Aciers Robond notamment les dossiers du personnel, les certificats de formation, les permis de conduire, etc.;
• Les événements liés à la formation et au développement professionnel, à la santé et sécurité au travail, à sa performance et à la rémunération;
Cependant, le nom d’un individu, de même que ses coordonnées professionnelles, soit son titre, adresse, numéro de téléphone et adresse électronique professionnels ne sont pas des renseignements personnels.
- FICHIERS DE RENSEIGNEMENTS PERSONNELS
L’entreprise établit et maintient à jour un inventaire de ses fichiers de renseignements personnels. Cet inventaire doit contenir les indications suivantes:
• La désignation de chaque fichier, les catégories de renseignements qu’il contient, les fins pour lesquelles les renseignements sont conservés et le mode de gestion de chaque fichier;
• La provenance des renseignements versés à chaque fichier;
• Les catégories de personnes qui ont accès à chaque fichier dans l’exercice de leurs fonctions;
• Les mesures de sécurité prises pour assurer la protection des renseignements personnels. - CONSERVATION
10.1 Conservation
Dans le cadre de ses activités, l’entreprise doit conserver de nombreux documents comportant des renseignements personnels selon la durée établie dans l’inventaire des renseignements confidentiels.
10.2 Qualité des renseignements personnels
L’entreprise s’assure de la qualité des renseignements personnels qu’elle détient. En ce sens, les renseignements personnels conservés sont à jour, exacts et complets, selon l’information recueillie, pour servir aux fins pour lesquelles ils ont été recueillis ou utilisés. La mise à jour constante des renseignements personnels n’est pas nécessaire, sauf si cela est justifié par les fins pour lesquelles ce renseignement est recueilli. Cependant, si les renseignements doivent servir à une prise de décision, ils doivent être à jour au moment de celle-ci. Également, chaque personne qui a divulgué des renseignements personnels à Aciers Robond doit s’assurer de fournir une mise à jour de ces renseignements.
10.3 Documents numériques
Les renseignements personnels sont conservés dans divers systèmes informatiques ou de ses fournisseurs de services.
Dans l’éventualité où Les Aciers Robond désirent détruire les documents originaux à la suite de leur numérisation, il respecte les conditions suivantes :
• L’information contenue dans les documents numérisés n’a pas été altérée et elle a été maintenue dans son intégralité;
• La numérisation, ainsi que le support pour conserver les documents numérisés, doit assurer la stabilité et la pérennité des documents. L’entreprise choisit un support ou une technologie sur lequel il conserve ses documents qui lui permet de respecter ces conditions.
10.5 Mesures de sécurité
Les Aciers Robond mettent en place des mesures de sécurité afin que les renseignements personnels demeurent strictement confidentiels et soient protégés contre la perte ou le vol et contre tout accès, communication, copie, utilisation ou modification non autorisée, et ce, dans la mesure du possible.
Ces mesures de sécurité peuvent notamment comprendre des mesures organisationnelles telles que la restriction des accès à ce qui est nécessaire; la sauvegarde et l’archivage des données au moyen d’un système externe, etc.); et mesures technologiques comme l’utilisation de mots de passe, le cas échéant.
La destruction des documents d’origine contenant des renseignements personnels ou confidentiels doit faite de façon sécuritaire. L’entreprise utilise des techniques de destruction définitive de documents adaptées au niveau de confidentialité du document à détruire.
- ÉVALUATION DES FACTEURS RELATIFS À LA VIE PRIVÉE
Les Aciers Robond doivent procéder à une évaluation des facteurs relatifs à la vie privée (ÉFVP) pour tout projet d’acquisition, de développement et de refonte de système d’information ou de prestation électronique de services impliquant des renseignements personnels et avant de communiquer un renseignement à l’extérieur du Québec. L’évaluation des facteurs relatifs à la vie privée réalisée devra être proportionnée à la sensibilité des renseignements concernés, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support. L’entreprise peut s’aider du guide développé par la Commission d’accès à l’information « Guide d’accompagnement – Réaliser une évaluation des facteurs relatifs à la vie privée » pour réaliser l’évaluation des facteurs relatifs à la vie privée, le cas échéant. - SANCTIONS APPLICABLES EN CAS DE NON-RESPECT DU PRÉSENT GUIDE
Le non-respect du présent guide pourrait entraîner des mesures administratives et/ou disciplinaires pouvant aller jusqu’au congédiement. La nature, la gravité et le caractère répétitif des actes reprochés doivent être considérés au moment de déterminer une sanction. - PROCÉDURES, PLAINTES ET INCIDENTS DE CONFIDENTIALITÉ
Toute personne concernée par l’application de la présente Politique peut porter plainte concernant l’application de la présente Politique ou, plus généralement, concernant la protection de ses renseignements personnels.
Pour l’application des lois, un incident de confidentialité correspond à tout accès, utilisation ou communication non autorisés par la loi d’un renseignement personnel, de même qu’à la perte d’un renseignement personnel ou à toute autre atteinte à sa protection.
Par exemple, un incident de confidentialité pourrait se produire lorsque :
• un membre du personnel consulte un renseignement personnel sans autorisation;
• un membre du personnel communique des renseignements personnels au mauvais destinataire;
• l’organisation est victime d’une cyberattaque : hameçonnage, rançongiciel, etc.
Document référence : Procédure de gestion et traitement des plaintes-incidents relatives à la protection des renseignements personnels
- COORDONNÉES DU RESPONSABLE DE LA PROTECTION DES RENSEIGNEMENTS PERSONNELS PAR ENTREPRISE
Il est possible de communiquer avec le Responsable de la protection des renseignements personnels des Aciers Robond par courriel à l’adresse : vieprivee@robond.com - ENTRÉE EN VIGUEUR DE LA POLITIQUE
La Politique entre en vigueur le 21 septembre 2023. La Politique a été approuvée par le Directeur général des Aciers Robond.
Responsable de la protection des renseignements personnels
Directeur général