Répondre aux demandes d'accès, de rectification et de portabilité
Une demande reçue par courriel n'est pas un dossier. Le délai court, l'identité se vérifie, et la portabilité ne couvre pas tout ce que vous détenez.
Une personne peut demander de consulter les renseignements personnels que vous détenez sur elle, de les faire corriger, et, depuis le 22 septembre 2024, d'en recevoir une copie portable lorsqu'ils sont informatisés et qu'ils ont été collectés auprès d'elle. Le délai habituel de réponse est de 30 jours à compter de la réception. Sans réponse dans ce délai, la personne peut s'adresser à la Commission d'accès à l'information comme si vous aviez refusé.
Un parcours simple, tenu par le responsable
1. Un seul point d'entrée
Publiez l'adresse du responsable de la protection des renseignements personnels, ou un formulaire. Une demande envoyée à un employé doit être transmise le jour même. Le délai ne recommence pas parce que le message a traîné dans une boîte personnelle.
2. Vérifier l'identité avant d'envoyer le dossier
Une pièce ou une question sur un fait que seul le titulaire connaît suffit souvent. N'envoyez pas un extrait complet à une adresse que vous n'avez pas confirmée. Si la personne passe par un mandataire, demandez le mandat.
3. Nommer le type de demande
Accès, rectification, portabilité, ou une combinaison. Le traitement n'est pas le même. L'accès vise ce que vous détenez. La rectification vise ce qui est inexact, incomplet ou équivoque. La portabilité vise un fichier structuré.
4. Répondre par écrit dans les 30 jours
Confirmez la réception, dites ce que vous communiquez, et ce que vous ne communiquez pas. La consultation est gratuite. Des frais raisonnables de reproduction ou de transmission peuvent s'appliquer. Annoncez-les avant de les facturer.
Ce que la portabilité couvre, et ce qu'elle ne couvre pas
Le droit vise les renseignements personnels informatisés que vous avez collectés auprès de la personne. Vous les communiquez dans un format technologique structuré et couramment utilisé, à la personne elle-même ou à une organisation autorisée par la loi à les collecter. Un score que vous avez calculé, une note interne ou un renseignement créé par votre analyse ne sont pas, en pratique, des renseignements collectés auprès de la personne. Si vous ne détenez pas l'information sous forme informatisée, vous n'avez pas à bâtir un nouveau système pour cette seule demande.
Un refus s'explique
Si vous refusez en tout ou en partie, la réponse écrite donne le motif et rappelle que la personne peut soumettre le désaccord à la Commission d'accès à l'information. Un silence ou une formule du type « nous ne pouvons pas donner suite » ne tient pas.
Tenir le registre des demandes
Notez la date de réception, le type de demande, la façon dont l'identité a été vérifiée, la décision, la date d'envoi et, s'il y a refus, le motif. Ce registre sert autant à respecter le délai qu'à répondre à la Commission si elle vous interroge.
Des demandes suivies jusqu'à la réponse
CapPRP enregistre les demandes d'accès, les échéances de 30 jours et les preuves envoyées à la personne.