Guide sur la protection des renseignements personnels à l’intention des employés

Survol

Le présent guide résume les principaux éléments de la politique sur les renseignements personnels et l’accès à l’information (SG-9) de l’Université Concordia. Il a été conçu afin d’aider les personnes employées de Concordia (membres du corps professoral; membres du personnel; employés contractuels, à temps plein et à temps partiel) à comprendre leurs obligations et à se conformer aux règles entourant la protection de la vie privée dans leurs activités quotidiennes.

Qu’entend-on par renseignements personnels?

La loi québécoise sur la protection des renseignements personnels nous impose des obligations quant à la façon dont nous protégeons les renseignements personnels qui nous sont confiés.

Par « renseignement personnel », on entend tout renseignement qui, lorsqu’il est utilisé seul ou conjointement avec d’autres renseignements, permet d’identifier une personne.

Nos obligations s’appliquent à chaque étape du cycle de vie des renseignements personnels : collecte, utilisation, communication, conservation et destruction.

Dans ce guide, vous trouverez ce que vous devez avoir à l’esprit lorsque vous traitez des renseignements personnels dans le cadre de votre travail à Concordia, le tout étant présenté selon chaque étape du cycle de vie de ces renseignements.

Collecte de renseignements personnels

Est-ce que vous recueillez des renseignements personnels? Prenez connaissance des directives suivantes avant de commencer.

Ne recueillez que les renseignements personnels qui sont nécessaires à la réalisation de vos tâches.

Exemple de collecte de renseignements nécessaires : demander à des personnes si elles souffrent d’allergies lorsque de la nourriture est servie.
Exemple de collecte de renseignements non nécessaires : indiquer à des personnes étudiantes qu’elles peuvent ou non fournir leur numéro de téléphone. Si la personne n’est pas tenue de fournir cette information, c’est que vous n’en avez pas besoin pour effectuer vos tâches.

Évaluez si vous devez obtenir un consentement pour réaliser vos tâches :

Consultez les avis relatifs à la vie privée et la section sur le consentement de la boîte à outils sur la vie privée.
Assurez-vous que vos tâches correspondent aux missions fondamentales de l’Université, soit l’enseignement, l’apprentissage, la recherche et l’emploi.

Si vos tâches sortent de ce cadre, communiquez avec le Service de la protection des renseignements personnels pour obtenir des conseils sur les demandes de consentement et l’information à fournir aux personnes concernées.

Utilisation de renseignements personnels

Limitez votre utilisation des renseignements personnels aux fins précises pour lesquelles le consentement a été obtenu OU à celles nécessaires aux missions fondamentales de l’Université, soit l’enseignement, l’apprentissage, la recherche et l’emploi (vous trouverez des exemples dans les avis relatifs à la vie privée).

Veillez à ce que vos communications demeurent professionnelles et pertinentes. N’envoyez pas, par exemple, de courriel aux personnes étudiantes au sujet d’événements ou d’activités qui ne sont pas liés au cours ou à leurs études à Concordia.

Communication de renseignements personnels

Il est interdit de transmettre des renseignements personnels publiquement ou en privé, à moins que la personne concernée n’y ait consenti, ou dans certains cas exceptionnels. Par exemple, vous pouvez communiquer des renseignements personnels à des collègues de Concordia qui en ont également besoin pour effectuer leurs tâches.

Faites preuve de prudence :

Si vous communiquez des renseignements personnels lors d’un appel, faites-le dans un bureau fermé ou en utilisant un casque d’écoute.
Chiffrez les fichiers que vous transmettez à d’autres personnes.
Supprimez les renseignements personnels concernant un tiers avant d’envoyer un document.
Vérifiez l’adresse électronique du destinataire avant d’envoyer votre message.
Ne communiquez des renseignements personnels qu’avec le consentement de la personne concernée ou lorsque cela est nécessaire à des fins d’enseignement, d’apprentissage, de recherche ou d’emploi. Par exemple, n’affichez jamais de listes de matricules étudiants ni les notes obtenues par des personnes étudiantes.

Autres provinces

Communiquez avec le service de la protection des renseignements personnels avant de transmettre des renseignements personnels à l’extérieur du Québec, car il pourrait être nécessaire d’effectuer une évaluation des facteurs relatifs à la vie privée.

Conservation de renseignements personnels

Les documents doivent être conservés conformément au Plan de classification et de conservation des documents.

Par défaut, les renseignements personnels ne doivent être conservés que pendant la période visée par le consentement, soit le temps nécessaire pour accomplir les tâches pour lesquelles les renseignements ont été recueillis.

Il vous incombe de protéger les renseignements personnels en votre possession, qu’ils soient sous forme imprimée ou électronique:

Conservez les documents papier contenant des renseignements personnels dans un classeur et un bureau verrouillés.
Les documents contenant des renseignements personnels ne doivent pas quitter les locaux de l’Université à moins que vous ne deviez les apporter pour effectuer votre travail.
Utilisez un mot de passe et l’authentification multifacteur.
Assurez-vous que personne d’autre ne peut voir ce qui figure à votre écran quand vous consultez des renseignements personnels. Ne consultez pas ce type de renseignements dans un lieu public, comme un train, un restaurant ou un aéroport.
Vérifiez quelles fenêtres sont ouvertes sur votre ordinateur avant de partager votre écran avec quelqu’un.
Utilisez les outils électroniques approuvés par l’Université. Vous devez demander une évaluation des facteurs relatifs à la vie privée avant d’utiliser un autre type de logiciel ou un outil en ligne pour recueillir, traiter, conserver ou détruire des renseignements personnels.

Renseignez-vous sur la gouvernance et la protection des données

Destruction de renseignements personnels

Lorsque des renseignements personnels cessent d’être utiles et que la période de conservation est écoulée, les documents imprimés et électroniques qui contiennent ces renseignements doivent être détruits.

Les documents papier doivent être déchiquetés de façon sécuritaire. Ils peuvent être placés dans un bac sécurisé prévu à cette fin ou être envoyés au Service de la gestion des documents et des archives.

Les documents électroniques, y compris les courriels, doivent être supprimés de manière permanente des appareils et des systèmes de stockage en nuage.

Communiquez avec le Service de la gestion des documents et des archives en écrivant à records.management@concordia.ca pour organiser la destruction sécuritaire de renseignements se trouvant sur des supports comme les CD, DVD, microfiches et cartes d’identité.

Anonymisation de renseignements personnels : Au lieu de détruire les renseignements, il est aussi possible de les anonymiser afin de les utiliser à des fins d’intérêt public. L’anonymisation consiste à faire en sorte qu’il soit impossible d’identifier directement ou indirectement la personne à laquelle les renseignements sont liés. Ce processus doit être irréversible et être consigné dans un registre. Communiquez avec le Service de la protection des renseignements personnels pour connaître la marche à suivre.

Conseils applicables aux activités de recherche

Les règles québécoises en matière de consentement vont au-delà des exigences formulées dans la deuxième version de l’énoncé de politique des trois conseils. Elles précisent notamment la manière dont le consentement doit être demandé, et l’information qui doit alors être fournie.

Référentiels externes : Suivez les règles de prudence ci-dessous au moment d’utiliser les données provenant d’un référentiel externe ou d’y conserver des documents.

Au moment d’obtenir des données :

Traitez avec des fournisseurs réputés.
Choisissez des jeux de données qui ne permettent pas d’identifier des personnes à nouveau.
Lisez et comprenez les conditions d’utilisation du fournisseur.
Si vous souhaitez conserver vos données au moyen d’un tel service, obtenez d’abord le consentement des personnes concernées et veillez à dépersonnaliser vos données.

Communiquez avec le Service de la protection des renseignements personnels ou le Service de la recherche pour en savoir plus.

En cas de problème

Si vous croyez que des renseignements personnels ont été compromis, signalez cet incident touchant le respect de la vie privée immédiatement.

Exemples d’incidents touchant le respect de la vie privée :

Perte ou vol d’un appareil contenant des renseignements personnels.
Accès inapproprié ou sans raison valable à des renseignements personnels.
Courriel contenant des renseignements personnels envoyé au mauvais destinataire.

Problèmes de courriel

Avez-vous envoyé un courriel contenant des renseignements personnels au mauvais destinataire?

Dans Outlook, tentez de rappeler votre message avant qu’il soit lu.
Si le rappel ne fonctionne pas, informez le destinataire que vous lui avez envoyé un courriel par erreur et demandez-lui de le supprimer de sa boîte de réception et de son dossier Éléments supprimés.
Signalez cet incident touchant le respect de la vie privée au Service de la protection des renseignements personnels.

Si vous recevez par erreur un courriel contenant des renseignements personnels, informez-en l’expéditeur et supprimez le courriel de votre boîte de réception et de votre dossier Éléments supprimés.

Autres formations et ressources

Les employés peuvent trouver des informations plus détaillées dans Carrefour.