Responsable de la protection des renseignements personnels : rôle et désignation
Depuis le 22 septembre 2022, ne pas nommer quelqu'un ne laisse pas le poste vide. La personne qui a la plus haute autorité est alors responsable.
La Loi 25 oblige l'entreprise à désigner une personne chargée de la protection des renseignements personnels. Son titre et ses coordonnées sont publiés sur le site, ou rendus disponibles par un autre moyen si l'entreprise n'a pas de site. Les demandes d'accès, les incidents et les questions de la Commission passent par cette personne.
Qui peut être désigné
Un cadre, le conseiller juridique, ou une personne à l'externe qui exerce la fonction. Dans une petite organisation, c'est souvent la direction générale. L'important est que les courriels soient lus, pas que le titre sonne bien.
Ce que la personne fait vraiment
Elle reçoit les demandes d'accès, de rectification et de portabilité. Elle est associée au signalement des incidents de confidentialité. Elle veille à ce que la politique publiée corresponde aux traitements. Elle n'a pas à rédiger seule chaque évaluation, mais elle doit savoir où elles sont.
Ce qu'il faut publier
Le titre et un moyen de la joindre, sur le site, dans un endroit stable. Une adresse du type vieprivee@entreprise.ca suffit si quelqu'un la traite. Un nom sans coordonnées, ou une page introuvable, ne remplit pas l'obligation.
Le défaut le plus fréquent
Laisser le président comme responsable par omission, sans qu'il le sache, et sans que les employés sachent à qui transmettre une demande. Écrivez la désignation, publiez-la, et dites à l'équipe vers qui envoyer un courriel reçu.
Un responsable qui voit les demandes et les incidents
CapPRP regroupe les demandes des personnes, les incidents et le registre, pour la personne que vous avez désignée.