Qu'est-ce que le responsable de la protection?
C'est la personne qui veille, dans votre entreprise, au respect de la loi sur la protection des renseignements personnels (art. 3.1). Toute entreprise en a un, qu'elle le sache ou non.
La loi ne crée pas un nouveau poste. Elle désigne d'office la personne qui a la plus haute autorité dans l'entreprise, et lui permet de confier la fonction à quelqu'un d'autre. Dans une PME, le rôle tient en quelques heures par année : répondre aux demandes, approuver quelques règles, être consulté sur les projets et les incidents.
Les 4 étapes pour être en règle
1. Décider qui exerce le rôle
Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise : le propriétaire, le président ou le directeur général. Vous n'avez rien à faire pour qu'elle le soit. Si vous préférez confier la fonction à quelqu'un d'autre, passez à l'étape suivante.
2. Déléguer par écrit, si vous le souhaitez
La fonction peut être déléguée, en tout ou en partie, à toute personne : une adjointe administrative, un directeur des opérations, ou même une ressource externe. La délégation doit être faite par écrit. Une lettre ou une résolution datée et signée suffit; conservez-la avec vos documents de conformité.
3. Publier le titre et les coordonnées
Le titre de la personne et un moyen de la joindre doivent être publiés sur le site Web de l'entreprise, ou par tout autre moyen approprié si vous n'avez pas de site. Le nom n'est pas obligatoire : « Responsable de la protection des renseignements personnels — vie-privee@votreentreprise.ca » respecte la loi.
4. Lui donner les moyens d'agir
La personne désignée doit savoir qu'elle l'est, connaître les demandes qui lui arriveront et disposer d'une adresse qu'elle consulte. Une boîte générique (vie-privee@…) évite de tout refaire au prochain départ d'un employé.
Ce que le rôle exige concrètement
Quatre responsabilités ressortent de la loi. Aucune n'exige une formation juridique.
Approuver les politiques et pratiques de gouvernance
Les règles internes sur la conservation, la destruction, les rôles et le traitement des plaintes sont approuvées par le responsable.
Être consulté dès le début de tout projet d'EFVP
Pour un nouveau système ou une refonte qui touche des renseignements personnels, l'évaluation des facteurs relatifs à la vie privée se fait avec lui, dès le départ.
Évaluer les incidents de confidentialité
Il est consulté pour juger si un incident présente un risque de préjudice sérieux et s'il faut aviser la Commission d'accès à l'information.
Recevoir les demandes d'accès et de rectification
Les demandes des personnes lui sont adressées. La réponse doit être donnée dans les 30 jours suivant la réception.
Questions fréquentes
Faut-il publier le nom du responsable?
Non. La loi exige de publier son titre et ses coordonnées. Indiquer le nom est permis, mais une fonction et une adresse générique suffisent, et ont l'avantage de rester valides si la personne change.
Le propriétaire d'une petite entreprise peut-il être son propre responsable?
Oui, et c'est même la règle : sans délégation écrite, c'est automatiquement la personne qui a la plus haute autorité dans l'entreprise. Pour un travailleur autonome ou une très petite PME, c'est généralement la solution la plus simple.
Peut-on confier le rôle à une personne de l'extérieur?
Oui. La délégation peut viser toute personne, y compris un consultant ou un fournisseur. L'entreprise reste toutefois responsable de la protection des renseignements qu'elle détient : la délégation transfère la fonction, pas l'obligation.
Depuis quand cette obligation est-elle en vigueur?
Depuis le 22 septembre 2022. C'est la première obligation de la Loi 25 entrée en vigueur, et l'une des plus simples à respecter.
Notre site ne mentionne pas de responsable. Sommes-nous en défaut?
Si le titre et les coordonnées du responsable ne sont publiés nulle part, oui : la désignation existe peut-être à l'interne, mais l'obligation de publication n'est pas remplie. La correction prend une trentaine de minutes.
Articles cités : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), telle que modifiée par la Loi 25. Source officielle : Commission d'accès à l'information du Québec. Cette page est informative et ne constitue pas un avis juridique.
Votre responsable est-il visible sur votre site?
Le scan gratuit de Loi 25 Facile lit votre site comme le ferait un visiteur et vous dit si le titre et les coordonnées du responsable y sont publiés, avec la politique de confidentialité et le consentement aux témoins.
Scanner mon site gratuitement