Ce que les entreprises doivent savoir en matière de protection des renseignements personnels

 » La Commission d’accès à l’information du Québec rappelle aux entreprises et aux organismes publics l’entrée en vigueur, aujourd’hui, de certaines dispositions de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels dans le secteur privé, aussi appelée Loi 25. Cette réforme modernise les règles protégeant les renseignements personnels au Québec afin qu’elles soient mieux adaptées aux nouveaux défis posés par l’environnement numérique et technologique actuel. « 

extrait du Site officiel du gouvernement du Québec

Les nouvelles responsabilités et obligations des entreprises en quelques mots :

• Obligation de nommer une ou un responsable de la protection des renseignements personnels (PRP)
• Obligation d’avoir un plan de gestion et un registre des incidents de confidentialité
• Des informations détaillées au sujet de ces politiques et de ces pratiques doivent, en termes simples et clairs, être publiées sur le site Internet de l’entreprise ou, si elle n’a pas de site, rendues accessibles par tout autre moyen approprié.
• Obligation de divulguer tout incident menaçant la confidentialité de données confidentielles ou une cyber-attaque
• Constituer un registre des incidents de confidentialité où seront inscrits tous les incidents, même ceux ne présentant pas un risque de préjudice sérieux
• Une organisation qui omet de signaler un incident de confidentialité à la CAI ou à toute personne concernée pourrait s’exposer à des sanctions pénales et administratives pécuniaires.

Les bonnes pratiques à avoir :

• S’assurer de former son personnel afin qu’il développe les bons réflexes en matière de protection des renseignements personnels.
• Mise en place de méthodes permettant d’identifier des incidents potentiels et les règles à mettre en place pour en réduire les risques et les impacts sur l’entreprise.
• La loi vous demande de tenir un registre des incidents de confidentialité. Pour ce faire, il faut être en mesure de détecter ces fameux incidents. Voici quelques pistes de solution: sensibiliser les employés à déclarer spontanément lorsqu’ils ont accès à des informations qui ne les concernent pas.
• L’identifier les emplacements où les informations sensibles doivent se trouver, éviter d’en faire des copies et d’éviter de les communiquer par courriel

Dans la mesure du possible, dotez-vous d’un système de détection et de réponse aux incidents de cybersécurité. Ces services sont plus abordables qu’on le croit. Assurez-vous que votre fournisseur de services détecte les incidents, prend en charge la remédiation et vous communique sur une base régulière les incidents, incluant ceux concernant la confidentialité.

CONSULTATION GRATUITE