21 octobre 2008
Dans l’exercice de son mandat aux termes de la Loi sur la protection des renseignements personnels et de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), le Commissariat à la protection de la vie privée (ci-après nommé le CPVP) recueille des renseignements sur des personnes comme le prévoit l’article 3 de la Loi sur la protection des renseignements personnels. En tant que gardien du droit à la vie privée des Canadiennes et des Canadiens en vertu de la Loi sur la protection des renseignements personnels et de la LPRPDE, le CPVP s’engage à respecter le droit à la vie privée de toutes les personnes au sujet desquelles il a recueilli des renseignements.
La Politique sur la protection des renseignements personnels du CPVP (la Politique) est l’expression de la volonté du CPVP d’adhérer non seulement aux dispositions de la Loi sur la protection des renseignements personnels relatives au traitement des renseignements personnels, mais également à son esprit. Son objectif consiste à concilier le besoin du CPVP de recueillir, de conserver, d’utiliser, de communiquer et d’éliminer des renseignements sur des personnes et le droit à la vie privée de ces personnes, et de s’assurer que toutes les personnes sont au courant des circonstances dans lesquelles leurs renseignements seront recueillis, conservés, utilisés, communiqués et éliminés par le CPVP.
Toutes les communications concernant la présente Politique seront conformes aux dispositions applicables de la Loi sur les langues officielles et aux politiques et lignes directrices connexes.
La présente Politique s’applique aux activités du CPVP liées à la gestion des renseignements personnels qu’il recueille dans l’exercice de son mandat aux termes de la Loi sur la protection des renseignements personnels et de la LPRPDE, de même que dans le cadre de ses activités administratives courantes. Elle se veut conforme aux exigences de la Loi sur la protection des renseignements personnels et de la Loi sur la Bibliothèque et les Archives du Canada, auxquelles le CPVP est assujetti depuis le 1er avril 2007.
Le CPVP s’engage à se conformer non seulement à la Loi sur la protection des renseignements personnels, à laquelle il est assujetti, mais également aux obligations énoncées à l’annexe I de la LPRPDE, dans la mesure du possible et dans la mesure où elles sont pertinentes.
La présente Politique ne s’applique pas aux renseignements des employés du CPVP, ces derniers étant traités dans la Politique sur la protection des renseignements personnels des employés du CPVP.
Le CPVP s’engage à protéger la confidentialité et la sécurité des renseignements personnels qu’il détient en respectant les exigences de la Loi sur la protection des renseignements personnels en ce qui a trait à la gestion des renseignements personnels. Il s’engage également à faire en sorte que tous les employés et agents du CPVP respectent ces obligations.
Toute violation de la présente Politique, commise intentionnellement ou par négligence, peut entraîner des mesures disciplinaires pouvant aller jusqu’au renvoi ou à l’annulation de l’association avec le CPVP. S’il y a lieu, des sanctions juridiques peuvent également être appliquées.
Le CPVP est responsable des renseignements personnels qu’il recueille par suite de son mandat aux termes de la Loi sur la protection des renseignements personnels et de la LPRPDE, et qu’il conserve, utilise, communique et détruit par la suite. Il a élaboré et mis en œuvre des politiques et des pratiques pour s’assurer que ces renseignements sont traités en stricte conformité avec la Loi sur la protection des renseignements personnels, et continuera à le faire. Le responsable de la protection de la vie privée du CPVP est chargé de surveiller l’application de ces politiques et pratiques pour en assurer le respect, notamment :
Le CPVP recueille des renseignements auprès de personnes à diverses fins, qui sont principalement liées à la tenue d’enquêtes sur les plaintes déposées en vertu de la Loi sur la protection des renseignements personnels et de la LPRPDE ou aux demandes de renseignements concernant ces lois. Il peut également recueillir des renseignements personnels à des fins administratives, p. ex. pour fournir des publications ou d’autres renseignements demandés, concernant le nom de participants à des conférences ou à d’autres événements.
Le CPVP s’engage à ne recueillir que les renseignements personnels qui se rapportent directement à une activité ou à un programme opérationnel du CPVP. Dans la mesure du possible, ces renseignements seront recueillis directement auprès de la personne concernée. La quantité et le type des renseignements recueillis se limiteront à ce qui est nécessaire à la ou aux fins déterminées.
Lors de la tenue des enquêtes, une grande quantité de renseignements personnels sont recueillis directement auprès de la personne concernée; toutefois, le CPVP obtient également des renseignements personnels d’autres sources, dont des témoins, des employeurs, des dossiers et des fichiers gouvernementaux ou d’entreprises et d’autres tierces parties. Les renseignements personnels recueillis à des fins administratives sont souvent recueillis directement auprès des personnes concernées, mais peuvent également l’être auprès d’une tierce partie (p. ex. un adjoint administratif peut fournir des renseignements sur la participation de son ou de sa superviseur(e) à une conférence).
Les employés du CPVP qui recueillent des renseignements personnels au nom du CPVP devront pouvoir expliquer aux personnes concernées les fins auxquelles leurs renseignements sont destinés ou, s’ils ne peuvent le faire, les diriger vers un employé du CPVP qui le peut.
Pour une description complète des types de renseignements personnels recueillis par le CPVP et des fins auxquelles chaque type de renseignements est recueilli, veuillez consulter la publication du Secrétariat du Conseil du Trésor (SCT) intitulée Info Source – Sources de renseignements fédéraux (disponible au CPVP et à http://www.infosource.gc.ca).
Dans la mesure du possible, le CPVP s’engage à demander le consentement des personnes avant la collecte de leurs renseignements personnels. La forme du consentement peut varier selon les circonstances et le type de renseignements recherché. Le consentement peut être explicite ou implicite et peut être fourni directement par la personne ou par son représentant autorisé. Le consentement explicite des personnes est préférable et sera demandé dans la mesure du possible. Le consentement explicite peut être donné verbalement, électroniquement ou par écrit. Le consentement implicite peut raisonnablement être déduit de l’action ou de l’inaction d’une personne (c.-à-d. lorsqu’une personne donne son nom et son adresse pour recevoir une publication ou lorsqu’elle donne son nom et son numéro de téléphone pour obtenir la réponse à une question). En déterminant le type de consentement approprié, le CPVP tiendra compte de la sensibilité des renseignements personnels en cause, des fins auxquelles ils sont recueillis et des attentes raisonnables de la personne.
Dans le contexte des enquêtes menées en vertu de la Loi sur la protection des renseignements personnels ou de la LPRPDE, l’obtention du consentement d’une personne pour la collecte, l’utilisation ou la communication de renseignements personnels peut ne pas être possible, appropriée ou requise. De plus, tant la Loi sur la protection des renseignements personnels que la LPRPDE prévoient la communication de renseignements personnels dans le cadre d’une enquête lorsque cela est nécessaire pour la tenue d’une enquête en vertu de ces lois et/ou pour établir les motifs des conclusions et recommandations contenues dans le rapport de la commissaire à la protection de la vie privée.
Le CPVP n’exigera pas que les personnes aient recours à la Loi sur la protection des renseignements personnels pour corriger leurs renseignements personnels si cela n’est pas nécessaire (p. ex. pour mettre à jour l’adresse d’une personne dans une liste d’envoi). Dans certains cas, cependant, les personnes seront tenues de le faire (p. ex. lorsque la personne demande que des corrections soient apportées à ses renseignements personnels contenus dans un dossier d’enquête).
Les employés du CPVP devront diriger les personnes qui souhaitent officiellement corriger leurs renseignements personnels vers la section de l’accès à l’information et de la protection des renseignements personnels (AIPRP) du CPVP. Lorsqu’ils ne savent pas si une demande officielle de correction est requise, les employés du CPVP doivent consulter les responsables de la section de l’AIPRP ou diriger la personne vers cette section. On peut trouver des renseignements sur le CPVP et la Loi sur la protection des renseignements personnels sur le site Web du CPVP à www.priv.gc.ca.
À la réception d’une demande officielle de correction des renseignements personnels, la section d’AIPRP du CPVP répondra conformément à la Loi sur la protection des renseignements personnels. On peut également consulter le Guide de procédures et de conformité de l’AIPRP sur le site Web du CPVP à www.priv.gc.ca.
Le CPVP fera tout effort raisonnable pour s’assurer que les renseignements personnels utilisés dans le cadre d’une prise de décision qui touche directement la personne à laquelle ont trait les renseignements sont aussi exacts, à jour et complets que possible. Le CPVP fera également tout effort raisonnable pour s’assurer que les renseignements personnels communiqués à des tierces parties sont aussi exacts, à jour et complets que possible.
Le CPVP mettra à jour les renseignements personnels comme il convient pour réaliser les fins déterminées, soit directement en communiquant avec la personne à laquelle ont trait les renseignements, ou indirectement, d’autres sources, si le CPVP a la compétence voulue pour recueillir de tels renseignements d’une tierce partie.
Dans la plupart des cas, le CPVP s’en remettra à la personne pour s’assurer que les renseignements personnels factuels sont exacts, à jour et complets. Si une personne est en mesure de démontrer que ses renseignements personnels sont inexacts ou incomplets, le CPVP modifiera ces renseignements comme il se doit. S’il y a lieu, le CPVP enverra les renseignements modifiés aux tierces parties auxquelles les renseignements ont été communiqués.
Les demandes de correction d’opinions devraient normalement être acceptées lorsque ces opinions ont été exprimées par le requérant et qu’elles ne concernent pas une autre personne. Les opinions formulées par autrui sur la personne qui demande la correction ne peuvent normalement faire l’objet de corrections, à moins qu’il y ait des raisons de mettre en doute la fiabilité de leur source ou si la personne qui a exprimé l’opinion convient que l’opinion s’appuyait sur des renseignements erronés.
Lorsqu’une remise en question de l’exactitude des renseignements personnels n’est pas résolue à la satisfaction d’une personne, le CPVP ajoutera aux renseignements en question une note voulant qu’une correction a été demandée, mais n’a pas été apportée. La personne a le droit d’obtenir qu’un document résumant sa version des faits soit inclus dans le dossier approprié. S’il y a lieu, le CPVP fournira une copie de ce document aux personnes ou aux organismes à qui l’information en jeu a été communiquée afin que ces personnes ou ces organismes connaissent la version des faits de la personne à qui l’information se rapporte.
Le CPVP est responsable de s’assurer que tous les renseignements personnels sont traités selon un cycle de vie préétabli. En conformité avec la Loi sur la protection des renseignements personnels, le Règlement sur la protection des renseignements personnels et la Loi sur la Bibliothèque et les Archives du Canada, les renseignements personnels utilisés par le CPVP pour prendre une décision au sujet d’une personne seront conservés pendant au moins deux ans après la prise de décision. Cela permet à la personne d’exercer des recours judiciaires et garantit que cette personne a l’occasion d’exercer tous ses droits en vertu de la Loi sur la protection des renseignements personnels.
Le CPVP conservera les renseignements personnels pendant les périodes de conservation maximales établies dans la Loi sur la Bibliothèque et les Archives du Canada. Les périodes de conservation pour des types précis de renseignements personnels sont décrites dans la publication du SCT intitulée Info Source : Sources de renseignements fédéraux (disponible au CPVP et à http://www.infosource.gc.ca).
Le CPVP s’assurera qu’un soin particulier est accordé à la conservation, à l’élimination ou à la destruction des renseignements personnels afin de prévenir leur élimination prématurée et d’assurer leur élimination opportune. La conservation, l’élimination et la destruction des renseignements personnels seront faites en stricte conformité avec la Norme opérationnelle sur la sécurité matérielle de la Politique du gouvernement sur la sécurité.
Le CPVP élaborera des lignes directrices et mettra en œuvre des procédures ayant trait à la conservation et à la destruction des renseignements personnels.
Le CPVP n’utilisera pas de renseignements personnels sans le consentement de la personne à qui a trait l’information, sauf si cette utilisation sert les fins auxquelles l’information a d’abord été recueillie ou préparée, un usage compatible avec ces fins, ou une fin à laquelle l’information peut lui être communiquée en vertu du paragraphe 8(2) de la Loi sur la protection des renseignements personnels. Le CPVP s’engage à demander le consentement des personnes dans la mesure du possible. Le CPVP, lorsqu’il utilisera des renseignements personnels à de nouvelles fins, documentera ces nouvelles fins.
Le CPVP ne communiquera pas de renseignements personnels hors de son organisme sans le consentement de la personne à qui a trait l’information, sauf si cette utilisation est permise en vertu de l’article 8(2) de la Loi sur la protection des renseignements personnels. Dans le cas d’une communication autorisée, le CPVP tentera de ne communiquer que les renseignements précis qui sont nécessaires dans les circonstances et, dans la mesure du possible, informera la personne de la communication.
L’accès aux renseignements personnels au sein du CPVP sera limité aux employés qui, au CPVP, ont besoin des renseignements pour réaliser les fonctions précises de leur poste (p. ex. pour mener des enquêtes, répondre à des demandes de renseignements, envoyer des publications). Ces employés traiteront les renseignements de façon strictement confidentielle et ne donneront accès à ces renseignements à aucune personne non autorisée. Le niveau d’accès aux renseignements personnels sera déterminé par le CPVP en fonction du besoin de savoir qui sera mentionné dans les politiques et les lignes directrices pertinentes du CPVP.
Les employés du CPVP seront priés d’éviter toute discussion concernant des renseignements personnels dans les bureaux du CPVP ou dans tout espace public ou privé à l’extérieur du CPVP (comme les corridors, les ascenseurs, les restaurants, les salles de bain et les domiciles) où ces commentaires pourraient être entendus et pourraient entraîner la communication de renseignements personnels. Un tel geste posé sans raison légitime liée directement à une responsabilité de travail courante sera considéré comme une infraction à la présente Politique et pourrait constituer une infraction à la Loi sur la protection des renseignements personnels.
Toutes les personnes employées par contrat ou autrement par le CPVP pour réaliser des activités pour le CPVP ou en son nom devront se conformer aux dispositions de la Loi sur la protection des renseignements personnels en ce qui a trait à la protection et au traitement appropriés des renseignements personnels, ainsi qu’à la présente Politique et aux procédures internes. Toute violation d’une partie de l’entente contractuelle peut entraîner l’annulation du contrat.
Le CPVP protégera les renseignements personnels contre la perte ou le vol, l’accès, l’utilisation ou la communication non autorisés, la modification ou la destruction, par des mesures administratives, techniques et physiques appropriées de sécurité et de protection, peu importe le format des renseignements.
Le niveau de protection fourni variera en fonction du degré de sensibilité des renseignements personnels recueillis, de la quantité, de la répartition et du format des renseignements personnels ainsi que des méthodes de conservation. Le CPVP se conformera aux exigences de la Politique du gouvernement sur la sécurité et à toute autre directive ou à tout autre guide de sécurité fourni par le Secrétariat du Conseil du Trésor, la Gendarmerie royale du Canada et le Centre de la sécurité des télécommunications Canada sur la sécurité physique et la sécurité des technologies de l’information. Au minimum, les méthodes de protection comprendront ce qui suit :
Le CPVP s’assurera que des moyens contractuels ou autres sont utilisés pour fournir un degré de protection équivalent lorsque les renseignements personnels sont traités par une tierce partie.
Le CPVP n’exigera pas que les personnes aient recours à la Loi sur la protection des renseignements personnels pour obtenir l’accès à leurs renseignements personnels si cela n’est pas nécessaire. Les personnes ont néanmoins le droit de demander officiellement l’accès à leurs renseignements personnels en vertu de la Loi sur la protection des renseignements personnels. En vertu de la Loi sur l’accès à l’information, les personnes ont également le droit de demander officiellement l’accès à leurs renseignements personnels dans les dossiers du CPVP qui peuvent les contenir.
Les employés du CPVP devront diriger les personnes qui souhaitent officiellement accéder à leurs renseignements personnels vers la section de l’accès à l’information et de la protection des renseignements personnels (AIPRP) du CPVP. Lorsqu’ils ne savent pas si une demande officielle est requise, les employés du CPVP doivent consulter les responsables de la section de l’AIPRP ou diriger la personne vers cette section. On peut trouver des renseignements sur le CPVP, la Loi sur la protection des renseignements personnels et la Loi sur l’accès à l’information sur le site Web du CPVP à www.priv.gc.ca.
À la réception d’une demande officielle en vertu de la Loi sur la protection des renseignements personnels ou de la Loi sur l’accès à l’information, la section d’AIPRP du CPVP répondra conformément à la loi en vertu de laquelle la demande est faite. On peut également consulter le Guide de procédures et de conformité de l’AIPRP sur le site Web du CPVP à www.priv.gc.ca.
Dans les cas où l’accès peut être fourni sans recourir à la Loi sur la protection des renseignements personnels et à la Loi sur l’accès à l’information, le CPVP offrira aux personnes une occasion raisonnable d’examiner leurs renseignements personnels dans un délai respectable et, si des copies sont demandées, il les fournira dans la mesure du possible. Des explications des abréviations et des codes seront fournies.
Il se peut que des renseignements personnels ne puissent être fournis parce qu’ils ont été détruits, effacés ou rendus anonymes en vertu des obligations de conservation des renseignements. Dans la mesure du possible, le CPVP fournira à la personne les raisons pour lesquelles les renseignements personnels n’existent plus.
Puisqu’il serait inapproprié pour le CPVP d’enquêter sur ses propres mesures d’application de la Loi sur la protection des renseignements personnels, les plaintes déposées contre le CPVP en vertu de la Loi sont examinées par le commissaire spécial à la protection de la vie privée – une personne dont le mandat est d’enquêter de manière indépendante sur ces plaintes déposées contre le CPVP. Étant donné qu’un mécanisme officiel de traitement des plaintes est en place en ce qui concerne la Loi, cette section de la politique traite uniquement des questions ou des préoccupations qui peuvent être soulevées au sujet de la gestion des renseignements personnels par le CPVP.
De telles questions ou préoccupations peuvent être portées à l’attention de tout employé du CPVP en mesure de traiter l’affaire. Si l’employé ne peut le faire, ou en cas de circonstances particulières, l’employé peut adresser l’affaire à son superviseur immédiat ou à un membre de la direction. Lorsqu’une personne est insatisfaite du résultat des mesures pouvant avoir été prises par le CPVP pour corriger la situation ou des explications fournies, la personne se verra informée de son droit de déposer une plainte en vertu de la Loi sur la protection des renseignements personnels auprès du commissaire à la protection de la vie privée spécial, et recevra des directives sur la façon de le faire.
Employés : tous les employés du CPVP sont tenus de s’informer au sujet de leurs obligations en vertu de la présente Politique et de la Loi sur la protection des renseignements personnels. Les employés doivent rapporter toute violation de la Politique ou de la Loi à leur gestionnaire ou à l’AIPRP.
Gestionnaires et superviseurs : en plus des responsabilités énoncées ci-dessus, les gestionnaires et les superviseurs doivent donner des instructions (au besoin) à leurs employés afin d’assurer la conformité à la présente Politique et à la Loi. Ils doivent également examiner ou enquêter sur toute question portée à leur attention au sujet de la Politique ou de la Loi. Au besoin, les gestionnaires et les superviseurs doivent aviser le directeur des Ressources humaines ou l’agent de la sécurité ministérielle, travailler de concert avec lui ou lui transmettre certaines questions.
Responsable de la protection de la vie privée du CPVP : le responsable de la protection de la vie privée du CPVP offrira des conseils et des directives à la haute direction, aux gestionnaires, aux superviseurs et aux employés du CPVP en ce qui concerne le traitement des renseignements personnels au sein du CPVP. Il servira également de premier point de contact pour les personnes cherchant à obtenir de l’information sur le traitement de leurs renseignements personnels par le CPVP ou qui ont des inquiétudes à cet égard. Aux fins de cette politique, le responsable de la protection de la vie privée est le directeur de l’AIPRP, et il relève de la commissaire à la protection de la vie privée du Canada.
Directeur de l’AIPRP : dans le contexte de la présente Politique, et en plus des responsabilités énoncées dans les paragraphes précédents, le directeur est responsable de la mise en œuvre appropriée de la Loi sur la protection des renseignements personnels et des politiques en ce qui a trait aux renseignements personnels des personnes et à leurs demandes d’accès à leurs renseignements personnels en vertu de la Loi.
La mesure de la conformité à la présente Politique constituera une partie du programme de vérification interne du CPVP, qui procédera à des vérifications périodiques au sein de tous les programmes et services du CPVP. Les résultats des vérifications internes seront transmis à la commissaire à la protection de la vie privée.
La présente Politique a été conçue de façon à respecter la Loi sur la protection des renseignements personnels et les principes de justice naturelle, de même que pour exprimer l’engagement du CPVP à se conformer à la Loi sur la protection des renseignements personnels.
Les lois, politiques et lignes directrices suivantes devraient être lues parallèlement à la présente Politique :
Pour toute demande de renseignements au sujet de la présente Politique, pour obtenir plus d’informations ou pour formuler des inquiétudes au sujet de la gestion par le CPVP des renseignements personnels qu’il recueille, veuillez communiquer avec :
La responsable de la protection de la vie privée du CPVP est Andréa Rousseau. Vous pouvez la joindre à Andrea.Rousseau@priv.gc.ca ou au (613) 995-3503.