La loi 25 entrera en vigueur en 3 étapes (septembre 2022, septembre 2023 et septembre 2024). Cette loi a pour fonction de mieux protéger les données personnelles que possèdent les entreprises (publics, privées, etc.) sur les citoyens en demandant à celles-ci de se conformer aux obligations ci-dessous.
1- Obligation de nommer une ou un responsable de la protection des renseignements personnels (PRP) en la personne qui détient la plus haute autorité dans l’entreprise, à moins que celle-ci ne délègue par écrit ses fonctions, en tout ou en partie, à toute autre personne.
La personne responsable à la protection des renseignements personnels est Mme Maria Di Martino, travailleuse sociale en pratique privée.
(Tél. : 514-726-0928 courriel : mariadimartinots@hotmail.com).
2- Obligation d’avoir un plan de gestion et un registre des incidents de confidentialité.
Un incident de confidentialité peut être la perte d’un renseignement personnel, l’accès, la communication ou l’utilisation de données personnelles sans l’autorisation ou le consentement du client.
Tout incident lié au bris de la confidentialité sera comptabilisé et documenté dans un registre qui décrit la date de l’incident, comment celui-ci s’est produit et les informations qui ont été utilisées, communiquées ou obtenues sans l’autorisation/consentement du client. Le registre sera conservé pendant 5 ans et pourra être communiqué sur demande à la commission d’accès à l’information par l’entremise de Mme Di Martino, personne responsable à la protection des renseignements personnels (PRP).
3- Obligation de divulguer tout incident menaçant la confidentialité de données confidentielles ou une cyberattaque. Toutes les personnes potentiellement touchées par la faille de sécurité devront donc être avisées de même que la Commission d’accès à l’information si un risque de préjudice sérieux est relié à l’incident touchant les renseignements personnels.
En cas d’incident lié au bris de la confidentialité, Mme Di Martino évaluera le risque de préjudice pour la personne concernée, avisera celle-ci dans les plus brefs délais (5 jours ouvrables), en l’informant des données qui ont pu être compromises, les circonstances et les moyens qui seront prises dans le futur pour éviter que la situation se reproduise.
Dans le cas d’un risque sérieux de préjudice pour la personne concernée, Mme Di Martino communiquera les informations pertinentes à la Commission d’accès à l’information.
