Un RP est sensible lorsque par sa nature, notamment médicale, biométrique ou autrement intime, ou en raison du contexte de son utilisation ou de sa communication, il suscite un haut degré d’attente raisonnable en matière de vie privée. Plus le degré est élevé, plus le RP doit être considéré comme sensible.

Un RP inclus dans les catégories suivantes doit généralement être considéré comme sensible :

• financiers ;
• concernant la santé ;
• concernant la vie sexuelle ou l’orientation sexuelle ;
• concernant les convictions religieuses ou philosophiques ;
• concernant les opinions politiques ;
• concernant l’origine ethnique ou raciale ;
• génétiques ou biométriques.

Il est important d’identifier les RP sensibles en vue de s’assurer des mesures nécessaires pour une protection accrue.

Source : Gouvernement du Québec

Un RP est dépersonnalisé lorsqu’il ne permet plus l’identification directe de la personne concernée. La dépersonnalisation consiste au retrait de tous les renseignements qui permettent une identification directe. Cependant, l’identification indirecte reste toujours possible à partir des renseignements dépersonnalisés.

La dépersonnalisation constitue un moyen de protection des renseignements qui demeurent des RP au sens de la Loi. Le fait de les dépersonnaliser est un bon moyen de diminuer les conséquences négatives sur la vie privée en cas d’incident de confidentialité.

Source : Gouvernement du Québec

Un renseignement est anonymisé lorsqu’il ne permet plus l’identification directe ou indirecte d’une personne. Il doit l’être de façon irréversible et il est raisonnable de penser qu’il n’y aura plus d’identification.

En pratique, l’accès à des renseignements anonymisés ne devrait, en aucun cas, permettre de faire un lien entre ces renseignements et la personne concernée.

L’anonymisation doit se faire selon les meilleures pratiques généralement reconnues, par une firme détenant cette expertise.

Source : Gouvernement du Québec

Oui. Si les notes permettent d’identifier directement ou indirectement la personne, elles sont considérées comme des RP. Il sera important d’obtenir un consentement explicite du jeune (ou de son parent/tuteur s’il a moins de 14 ans) pour collecter et conserver ces notes. C’est aussi le cas si le dossier prend une autre forme, par exemple un journal ou un cahier de bord.

Un moyen qui permet de dépersonnaliser le renseignement pourrait être d’attribuer un surnom ou un code. Toutefois, d’autres RP ne devraient pas s’y retrouver qui pourraient permettre d’identifier indirectement la personne. S’il y a d’autres RP qui permettent d’identifier indirectement la personne, les notes seront considérées comme des RP même si un surnom ou un code a été attribué.

Les personnes à l’emploi d’un organisme qui sont membres d’un ordre professionnel ont des obligations spécifiques à remplir lorsqu’ils tiennent des dossiers.

En général, pour toute personne, à l’exception des moins de 14 ans, le consentement doit être « manifeste, libre, éclairé et être donné à des fins explicites ».  

Il ne doit pas obligatoirement être écrit, mais doit être explicite. Par exemple, si une intervenante ou un intervenant demande à un jeune de 14 ans et plus des renseignements personnels le concernant, elle doit lui expliquer qu’il doit donner son consentement et à quelles fins les RP vont servir. Si le jeune consent verbalement, c’est suffisant.

Si l’intervenante ou intervenant a un endroit où le consigner, il est recommandé de le faire pour avoir l’information au besoin dans le futur, mais ce n’est pas obligatoire.  

Pour des RP sensibles, il est recommandé que le consentement soit écrit, mais ce n’est pas obligatoire non plus.

Pour les moins de 14 ans, le consentement doit être donné par le parent ou tuteur. Par conséquent, il devra être écrit généralement, mais il pourrait être verbal si le parent ou tuteur accompagne physiquement le jeune quand des RP sont collectés.

Source : CAI

Non. La loi n’a pas d’effet rétroactif relativement à l’obtention du consentement pour la collecte de renseignements personnels ayant été réalisée avant l’entrée en vigueur de la Loi 25.

Les nouvelles règles relatives au consentement sont entrées en vigueur à compter du 22 septembre 2023.

Sous réserve de quelques exceptions prévues par la loi, un organisme ne peut refuser un service ou la participation à une activité.

Par contre, il arrive que la communication de RP soit nécessaire à la réalisation d’un service ou à la participation à une activité ou encore lors d’une embauche. Dans ce cas, l’organisme se trouve dans son droit de refuser de fournir un service ou d’embaucher quelqu’un. L’organisation doit alors s’assurer de la nécessité de la collecte des RP dont l’accès a été refusé.

Les organismes doivent toutefois permettre le refus de consentement pour toute collecte, utilisation ou communication qui répond à une finalité secondaire de son action, par exemple pour un projet de recherche.

Source : CAI

Non. Le consentement du parent ou tuteur n’est pas nécessaire pour recueillir son numéro de cellulaire à titre de contact d’urgence. C’est le cas parce que ce renseignement est recueilli dans l’intérêt de la personne concernée, soit le jeune, et il ne pourrait être recueilli en temps opportun, par exemple si le jeune avait un accident et si la situation nécessitait de contacter d’urgence le parent.

Dans le cas d’un mineur de moins de 14 ans, ce renseignement pourra aussi être recueilli lors de la demande de consentement adressée à son parent ou tuteur.

Source : Article 6 Loi sur la protection des renseignements personnels dans le secteur privé.

Si l’organisme n’a pas de site Web, la loi l’oblige à informer le public par tout autre moyen approprié. Il n’y a pas plus de précisions dans la loi.

Certaines firmes informatiques proposent de l’ajouter à la description de votre page Facebook ou tout autre réseau social utilisé par l’organisme.

Dans le cas d’un organisme dit « milieu de vie », cela pourrait être par l’affichage sur les lieux.

Source : CAI

Il n’y a pas de délai prévu par la loi applicable aux organismes, soit la Loi sur la protection des renseignements personnels dans le secteur privé. L’organisme doit juger de la nécessité de conserver les RP en fonction de leur utilité. Par contre, si des RP ont fait l’objet d’une demande d’accès ou de rectification, l’organisme devra les conserver le temps nécessaire pour que la personne concernée épuise ses recours prévus par la Loi.

La bonne pratique est de se doter d’une procédure de destruction des données en y précisant les délais fixés par l’organisme.

Cependant, des délais dans des lois spécifiques sont applicables à certaines catégories de RP. Par exemple :

• Les dossiers lorsque des employées et employés sont membres d’un ordre professionnel : 7 ans.
• Les renseignements sur les employées et employés nécessaires pour l’application des lois fiscales : 7 ans.

Source : CAI

La Commission d’accès à l’information ne propose pas de méthode de protection spécifique. On peut par exemple se munir de classeurs avec tiroirs verrouillables et limiter l’accès aux clés aux personnes autorisées.

Source : CAI

Oui. Mais des mesures de sécurité devraient être respectées. Notamment, l’accès est sécurisé par un code modifié à une fréquence régulière. Il est également modifié lorsqu’une personne quitte son emploi. Les adresses courriel personnelles ni les ordinateurs personnels ne devraient jamais être utilisés.

Oui. Vous devez donc obtenir leur consentement explicite pour le partager sur votre site Web, aux autres membres du personnel, aux jeunes ou aux parents par exemple.

Les services et logiciels ne sont pas tous égaux en termes de cybersécurité et il est important de vérifier les politiques de confidentialité de chacun de ses fournisseurs pour s’assurer que les renseignements personnels hébergés ne sont pas transmis à des tierces parties sans votre accord et que des mesures préventives sont en place pour assurer la protection des RP et éviter les incidents de confidentialité. L’organisme devrait voir à inclure dans ses contrats avec les fournisseurs de services technologiques une disposition prévoyant qu’il soit avisé de tout incident de confidentialité mettant en cause des RP qu’il a collectés.

Idéalement, les fournisseurs devraient avoir leur siège social au Québec et y héberger les données. Advenant la situation où il est nécessaire de faire affaires avec une entreprise située au Canada ou dans un autre pays, l’organisme devrait prendre tous les moyens raisonnables à sa disposition pour protéger les RP et s’assurer qu’ils ne soient pas utilisés à des fins non pertinentes. L’organisme devrait aussi rechercher une entreprise dont le siège social est au Québec pour obtenir les services requis.

Le jeune peut aussi demander l’accès à ses RP ou une rectification, à tout âge. Cependant, s’il est âgé de moins de 14 ans, il ne pourra pas avoir accès aux renseignements de nature médicale ou sociale à moins que la demande soit présentée par l’intermédiaire de son avocate ou avocat dans le cadre d’une procédure judiciaire.

Source : Article 38 Loi sur la protection des renseignements personnels dans le secteur privé