Loi 25 : municipalité, clinique ou OBNL
La loi qui s'applique change avec le statut. Le travail à faire, lui, commence par les mêmes pièces : un responsable publié, un registre d'incidents, une évaluation avant de sortir les renseignements du Québec.
Quelle loi
- Municipalité, centre de services scolaire, établissement public de santé : la Loi sur l'accès aux documents des organismes publics, modifiée par la Loi 25.
- Clinique privée, cabinet, commerce, et OBNL qui exploite une entreprise auprès de clients, de membres, de donateurs ou d'employés : la Loi sur la protection des renseignements personnels dans le secteur privé.
- Un OBNL qui est aussi un organisme public suit la loi du secteur public. Le statut juridique tranche, pas le mot association sur le site.
Les pièces communes
1. Un responsable publié
Nommez la personne responsable de la protection des renseignements personnels et publiez son titre et ses coordonnées. Dans une entreprise, si personne n'est désigné, la personne ayant la plus haute autorité est responsable.
2. Un registre de tous les incidents
Accès, utilisation ou communication non autorisés, ou perte d'un renseignement. L'avis à la Commission et aux personnes vise le risque de préjudice sérieux. Le registre conserve aussi les autres incidents, au moins cinq ans.
3. Une évaluation avant de quitter le Québec
Un infonuagique dans une autre province est déjà hors du Québec. L'évaluation écrite précède la communication, avec une entente.
4. Une évaluation avant un système ou un service électronique
Projet d'acquisition, de développement ou de refonte d'un système d'information ou d'une prestation électronique qui touche des renseignements personnels : faites l'évaluation des facteurs relatifs à la vie privée avant de lancer.
Ce qui pèse plus lourd selon le milieu
Dans une clinique, le renseignement de santé est sensible : le consentement, lorsqu'il est le fondement, est exprès. Dans une municipalité, les fonctions qui identifient, localisent ou profilent un citoyen sont désactivées tant que la personne ne les active pas, et elle est informée du moyen de le faire. Dans un OBNL, la liste de membres ou de donateurs sert à la fin annoncée, et l'infolettre de collecte de fonds se demande à part.
Reliez ces pièces au secteur qui vous concerne. Le guide de politique et le gabarit d'évaluation de transfert servent dans les deux régimes.
Le même dossier, quel que soit le régime
CapGRC suit le responsable, les incidents, les évaluations et les preuves pour un organisme public comme pour une entreprise.