Beaucoup de dirigeants de PME cherchent qui nommer responsable de la protection des renseignements personnels. La question est mal posée. Tant que rien n’a été fait, la fonction est déjà attribuée, et elle l’est à la personne ayant la plus haute autorité dans l’entreprise.
Cette page explique qui est responsable par défaut, comment déléguer valablement, ce qu’il faut publier, et quelles tâches précises la loi confie à cette personne.
Réponse rapide : Par défaut, le responsable de la protection des renseignements personnels est la personne ayant la plus haute autorité dans l’entreprise, souvent le président ou le propriétaire. La fonction peut être déléguée, en tout ou en partie, mais uniquement par écrit. Le titre et les coordonnées du responsable doivent être publiés sur le site de l’entreprise.
1. Qui l’est par défaut
L’article 3.1 pose la règle. Toute personne qui exploite une entreprise est responsable de la protection des renseignements personnels qu’elle détient. Au sein de l’entreprise, la personne ayant la plus haute autorité veille à assurer le respect et la mise en oeuvre de la loi et exerce la fonction de responsable de la protection des renseignements personnels.
Autrement dit, si vous n’avez rien fait, le responsable est votre président, votre directeur général ou le propriétaire. Ce n’est pas une case vide en attente d’être remplie. C’est une fonction déjà attribuée, avec les obligations qui viennent avec.
2. Comment déléguer valablement
Le même article 3.1 permet la délégation : la personne ayant la plus haute autorité peut déléguer cette fonction par écrit, en tout ou en partie, à toute personne. Trois éléments à retenir.
- La délégation doit être écrite. Une mention dans un procès-verbal du conseil ou une lettre signée fait l’affaire. Un accord verbal ne satisfait pas le texte.
- Elle peut être partielle. Vous pouvez confier le traitement des demandes d’accès à une personne et la gestion des incidents à une autre.
- Elle peut viser toute personne. Le texte ne restreint pas à un employé, donc un consultant externe peut être désigné.
Attention toutefois : déléguer n’efface pas la responsabilité de l’entreprise prévue au premier alinéa de l’article 3.1.
3. L’obligation de publication
Le troisième alinéa de l’article 3.1 est celui qu’on vérifie en premier de l’extérieur. Le titre et les coordonnées du responsable sont publiés sur le site Internet de l’entreprise ou, si elle n’a pas de site, rendus accessibles par tout autre moyen approprié.
Le texte dit « le titre et les coordonnées ». Il ne dit pas « le nom ». Publier une ligne du type « Responsable de la protection des renseignements personnels, adresse courriel dédiée, numéro de téléphone » satisfait la lettre du texte et évite d’avoir à modifier le site chaque fois que la personne change. Le choix de publier ou non le nom relève d’une décision d’entreprise, à valider avec votre conseiller juridique.
Un point technique découle de cette obligation : l’adresse publiée doit être surveillée. C’est par elle qu’arrivent les demandes d’accès dont le délai de 30 jours court dès la réception, et les signalements d’incidents.
4. Ce que le responsable doit réellement faire
La loi lui attribue des tâches précises, éparpillées dans le texte.
- Il approuve les politiques et pratiques de gouvernance, selon l’article 3.2.
- Il est consulté dès le début de tout projet soumis à une évaluation des facteurs relatifs à la vie privée, selon l’article 3.3, et il peut suggérer des mesures de protection à toute étape du projet, selon l’article 3.4.
- Il est consulté lors de l’évaluation du risque de préjudice à la suite d’un incident de confidentialité, selon l’article 3.7.
- Il enregistre les communications faites sans consentement à une personne ou à un organisme susceptible de diminuer le risque après un incident, selon l’article 3.5.
- Il répond par écrit aux demandes d’accès et de rectification dans les 30 jours, selon l’article 32.
Rien dans cette liste n’exige un diplôme en droit. Tout dans cette liste exige de l’accès à l’information et de l’autorité pour agir.
5. Interne ou externe : comment choisir
Le critère utile n’est pas la compétence juridique. C’est l’accès à l’information et l’autorité pour agir.
Nommez une personne interne si elle connaît vos processus, si elle a l’autorité de bloquer un projet, et si elle peut mobiliser la direction en cas d’incident. Dans une PME, c’est souvent le directeur général, le directeur des finances ou le directeur des ressources humaines.
Faites appel à une ressource externe si personne à l’interne n’a le temps ou le recul. Prévoyez alors un répondant interne, parce qu’un consultant externe n’a ni accès aux systèmes ni autorité opérationnelle en pleine nuit.
Le mauvais réflexe fréquent est de nommer le responsable des TI. La fonction n’est pas technique. La personne aux TI, ou votre fournisseur de services informatiques gérés, est un appui indispensable pour l’inventaire, la journalisation et les preuves, pas le décideur.
6. La politique de gouvernance de l’article 3.2
C’est le document que le responsable approuve et que l’entreprise doit publier. L’article 3.2 en fixe le contenu minimal : l’encadrement applicable à la conservation et à la destruction des renseignements, les rôles et responsabilités des membres du personnel tout au long du cycle de vie des renseignements, et un processus de traitement des plaintes.
Ces politiques doivent être proportionnées à la nature et à l’importance des activités de l’entreprise. Le second alinéa impose la publication : des informations détaillées à leur sujet sont publiées en termes simples et clairs sur le site Internet de l’entreprise. La formulation retenue laisse place à une version publique plus courte que le document interne.
S’ajoute l’article 3.3, qui exige une évaluation des facteurs relatifs à la vie privée pour tout projet d’acquisition, de développement ou de refonte de système d’information. Le mot « acquisition » est celui qui surprend : changer de logiciel de paie, adopter un nouveau système de gestion des relations clients ou migrer vers un service infonuagique sont des acquisitions.
Foire aux questions
Qui doit être responsable de la protection des renseignements personnels dans une PME ?
Par défaut, la personne ayant la plus haute autorité, soit le président, le directeur général ou le propriétaire. La fonction peut être déléguée par écrit à une autre personne, interne ou externe, en tout ou en partie.
Faut-il publier le nom du responsable sur le site web ?
Le texte exige le titre et les coordonnées. Beaucoup d’entreprises publient une fonction et une adresse courriel dédiée plutôt qu’un nom, ce qui évite de modifier le site à chaque changement de personne. Faites valider ce choix par votre conseiller juridique.
Peut-on confier ce rôle à son fournisseur informatique ?
La loi permet de déléguer à toute personne, mais le rôle n’est pas technique. Un fournisseur TI fournit l’inventaire, la journalisation et les mesures de sécurité. Les décisions de gouvernance et les réponses aux demandes demandent une autorité interne.
Nommer, publier, puis outiller, en Mauricie comme ailleurs
Nommer un responsable prend une heure. Lui donner de quoi faire son travail prend un peu plus : inventaire des données, journaux d’accès, procédures de recherche, preuves de sauvegarde. C’est ce volet que couvrent nos services informatiques pour PME, depuis Trois-Rivières et partout au Québec. Pour en discuter, utilisez le formulaire de contact ou appelez au 450-231-3836.
Ce guide vulgarise des obligations légales. Il n’est pas un avis juridique et ne remplace pas la lecture du texte de loi ni les conseils d’un conseiller juridique. Les références légales renvoient à la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1), telle que modifiée par la Loi 25.