Conditions d’utilisation et politique de confidentialité

Préambule

Le cabinet est responsable de la protection des renseignements personnels qu’il détient. Les renseignements personnels sont confidentiels, sauf dans la mesure prévue par la législation applicable dans la province de Québec. Toute personne qui, dans le cadre de ses fonctions, a accès à un renseignement personnel détenu par le cabinet doit prendre les moyens nécessaires pour en assurer la protection et la confidentialité. La présente procédure détermine les mesures à prendre pour diminuer les risques qu’un préjudice soit causé, et dans de tel cas, d’éviter que de nouveaux incidents de même nature se produisent.

La présente politique ne s’applique pas aux sites Internet de tiers, incluant ceux auxquels il est possible d’accéder en cliquant sur des liens qui pourraient se trouver sur le site Internet. W Affaires n’est pas responsable à l’égard de tels sites. Si l’utilisateur consulte un site Internet de tiers, celui-ci disposera de ses propres politiques et le cabinet invite l’utilisateur à les consulter avant de soumettre ses renseignements personnels, le cas échéant.

1. Objectif et cadre normatif

La présente politique régit la collecte, l’utilisation et la divulgation de renseignements personnels et les démarches à effectuer lorsque le cabinet a des motifs raisonnables de croire que s’est produit un incident de confidentialité impliquant un renseignement personnel qu’il détient ou la procédure à suivre si un tel incident est avéré, et ce, conformément à la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1 et le Règlement sur les incidents de confidentialité.

2. Définitions

Les définitions à considérer pour l’application de la présente politique, lesquelles peuvent être complétées par tout autre règlement, politique, directive ou procédure y faisant référence, sont les suivantes :

Incident de confidentialité : accès, utilisation, communication d’un renseignement personnel non autorisé par la loi, de même que sa perte ou toute autre forme d’atteinte à sa protection. En voici quelques exemples :

• Un membre du personnel consulte des renseignements personnels non nécessaires à l’exercice de ses fonctions;
• Un pirate informatique s’infiltre dans un système;
• Une personne utilise des renseignements personnels d’une base de données à laquelle il a accès dans le cadre de ses fonctions dans le but d’usurper l’identité d’une personne;
• Une communication est effectuée par erreur à la mauvaise personne;
• Une personne perd ou se fait voler des documents contenant des renseignements personnels;
• Une personne s’immisce dans une banque de données contenant des renseignements personnels afin de les altérer.

Renseignement personnel : tout renseignement qui concerne une personne physique et qui permet de l’identifier. Le nom d’une personne, pris isolément, n’est pas un renseignement personnel. Cependant, lorsque ce nom est associé ou jumelé à un autre renseignement visant cette même personne, il devient alors un renseignement personnel. Voici des exemples de renseignement personnel :

• Le nom d’une personne et sa date de naissance;
• Le numéro d’assurance sociale;
• Le numéro de carte de crédit;
• Le numéro d’assurance maladie;
• Un renseignement de nature médicale ou financière;
• Le nom d’une personne et son numéro de téléphone personnel;
• Le nom d’une personne et son adresse de domicile.

Renseignement personnel sensible : un renseignement personnel est considéré comme sensible lorsque, par sa nature, notamment médicale, biométrique ou autrement intime, ou en raison du contexte de son utilisation ou de sa communication, il suscite un haut degré d’attente raisonnable en matière de respect de la vie privée.

Il peut s’agir, par exemple, de renseignements médicaux, biométriques, génétiques ou financiers, ou de renseignements sur l’origine ethnique, la conviction politique, la vie ou l’orientation sexuelle, les convictions religieuses, etc.

3. Collecte et utilisation de renseignements personnels

W Affaires s’engage à ne collecter que les renseignements personnels de ses employés, fournisseurs, clients et autres collaborateurs, nécessaires à l’exécution de ses activités. Dans ce contexte, le cabinet pourrait notamment collecter les renseignements personnels suivants :

• Le nom d’une personne et son adresse courriel ;
• Le nom de l’entreprise dirigée par une personne ;
• Le numéro de téléphone ;
• L’adresse civique d’une personne ;
• Des renseignements relatifs à la facturation comme l’adresse de facturation ou les données de paiement ;
• Des renseignements sur l’utilisation du site Internet et d’autres renseignements techniques recueillis au moyen de témoins et d’autres technologies de suivi, comme mentionné ci-dessus ;
• D’autres informations essentielles à l’octroi ou au maintien en emploi ainsi qu’à l’exploitation de l’entreprise.

À noter que W Affaires ne vend ni ne diffuse, n’échange ou ne communique d’aucune manière les renseignements personnels à des tiers à moins que la loi ne l’y contraigne, que la personne concernée n’en donne l’autorisation ou qu’une fusion n’ait lieu entre W Affaires et un autre cabinet d’avocats.

4. Protection des renseignements personnels

Le cabinet met en place des mesures de sécurité appropriées et raisonnables afin de protéger les renseignements personnels contre la perte ou le vol, et contre l’accès, la divulgation, la copie, l’utilisation ou la modification non autorisés par la loi. Seuls les membres du personnel qui doivent absolument avoir accès aux renseignements personnels dans le cadre de leurs fonctions sont autorisés à y accéder.

Les personnes membres du personnel du cabinet ou qui travaillent en son nom doivent, notamment :

• Faire des efforts raisonnables pour minimiser le risque de divulgation non intentionnelle de renseignements personnels ;
• Prendre des précautions particulières pour s’assurer que les renseignements personnels ne sont pas surveillés, entendus, consultés ou perdus lorsqu’elles travaillent dans des locaux autres que les bureaux du cabinet ; et
• Prendre des mesures raisonnables pour protéger les renseignements personnels lorsqu’elles se déplacent d’un endroit à l’autre.

5. Consentement

En fournissant volontairement ses renseignements personnels, ou en naviguant sur le site Internet, la personne concernée consent à la collecte, l’utilisation et la communication de ses renseignements personnels conformément à la présente politique. Si la personne concernée fournit des renseignements personnels d’un tiers, la personne concernée déclare détenir le consentement ou le pouvoir nécessaire pour permettre au cabinet de recueillir, utiliser et communiquer ces renseignements conformément à la présente politique.

Les renseignements personnels détenus par le cabinet ne sont utilisés que pour les fins auxquelles ils ont été recueillis et dans la mesure permise par la loi. Le consentement de la personne concernée sera requis pour la communication ou l’utilisation de ses renseignements personnels à des fins autres que celles pour lesquelles ils ont été communiqués, celles prévues à la présente politique ou celles permises par la loi.

La personne concernée peut, en tout temps, retirer son consentement à la communication et à l’utilisation de ses renseignements personnels par le cabinet.

6. Accès aux renseignements personnels

La personne concernée a le droit d’accéder aux renseignements personnels que W Affaires détient à son égard. Pour ce faire, elle devra communiquer avec le responsable de la protection des renseignements personnels afin d’en connaître le contenu, vérifier leur exactitude, demander des modifications ou encore la suppression. Pour demander la modification d’un renseignement inexact, incomplet ou équivoque, la personne concernée peut soumettre une demande par écrit au responsable de la protection des renseignements personnels.

7. Personne responsable des renseignements personnels : rôles et responsabilités

La personne responsable de la protection des renseignements personnels (la « PRPRP ») pour le cabinet est Me Victoria Vlaketic. Elle peut être jointe aux coordonnées suivantes :

• Courriel : vvlaketic@waffaires.ca
• Téléphone : 819-719-2129

Son rôle est notamment de :

• Contribuer à la mise en place du processus de gestion des incidents de sécurité de l’information;
• Tenir à jour le registre des incidents de sécurité de l’information ayant pu mettre en péril la sécurité de l’information et de documenter ces incidents;
• Contribuer aux analyses de risques de sécurité de l’information afin d’identifier les menaces et les situations de vulnérabilité et de mettre en place les solutions appropriées.

En cas d’incident de confidentialité, la PRPRP prend en charge le traitement de l’incident et s’associe avec toute autre personne utile selon la nature de l’incident.

À ce titre, la PRPRP :

• Évalue le risque qu’un préjudice soit causé et en détermine le degré de sévérité. Lors de cette évaluation, sont considérées notamment la sensibilité du renseignement concerné, les conséquences appréhendées de son utilisation et la probabilité qu’il soit utilisé à des fins préjudiciables.
• Avise, avec diligence, la personne dont un renseignement personnel est concerné par l’incident, lorsqu’il présente un risque qu’un préjudice sérieux soit causé, sauf lorsque cela serait susceptible d’entraver une enquête faite par une personne ou par un organisme qui, en vertu de la loi, est chargé de prévenir, détecter ou réprimer le crime ou les infractions aux lois. Cet avis doit contenir les renseignements suivants :
  • Une description des renseignements personnels visés par l’incident ou, si cette information n’est pas connue, la raison justifiant l’impossibilité de fournir une telle description;
  • Une brève description des circonstances de l’incident;
  • La date ou la période où l’incident a eu lieu ou, si cette dernière n’est pas connue, une approximation de cette période;
  • Une brève description des mesures que l’organisation a prises ou entend prendre à la suite de la survenance de l’incident, afin de diminuer les risques qu’un préjudice soit causé;
  • Les mesures que l’organisation suggère à la personne concernée de prendre afin de diminuer le risque qu’un préjudice lui soit causé ou afin d’atténuer un tel préjudice;
  • Les coordonnées permettant à la personne concernée de se renseigner davantage relativement à l’incident.
• Avise, le cas échéant, toute personne ou tout organisme susceptible de diminuer le risque, en ne lui communiquant que les renseignements personnels nécessaires à cette fin, sans le consentement de la personne concernée.
• Avise, avec diligence et par écrit, la Commission d’accès à l’information de l’incident de confidentialité lorsqu’il présente un risque qu’un préjudice sérieux soit causé. L’avis doit contenir les renseignements suivants :
  • Le nom du cabinet et le numéro d’entreprise du Québec qui lui est attribué en vertu de la Loi sur la publicité légale des entreprises;
  • Le nom et les coordonnées de la personne à contacter au sein du cabinet relativement à l’incident;
  • Une description des renseignements personnels visés par l’incident ou, si cette information n’est pas connue, la raison justifiant l’impossibilité de fournir une telle description;
  • Une brève description des circonstances de l’incident et, si elle est connue, sa cause;
  • La date ou la période où l’incident a eu lieu ou, si cette dernière n’est pas connue, une approximation de cette période;
  • La date ou la période au cours de laquelle le cabinet a pris connaissance de l’incident;
  • Le nombre de personnes concernées par l’incident et, parmi celles-ci, le nombre de personnes qui résident au Québec ou, s’ils ne sont pas connus, une approximation de ces nombres;
  • Une description des éléments qui amènent le cabinet à conclure qu’il existe un risque qu’un préjudice sérieux soit causé aux personnes concernées, telles que la sensibilité des renseignements personnels concernés, les utilisations malveillantes possibles de ces renseignements, les conséquences appréhendées de leur utilisation et la probabilité qu’ils soient utilisés à des fins préjudiciables;
  • Les mesures que le cabinet a prises ou entend prendre afin d’aviser les personnes dont un renseignement personnel est concerné par l’incident, de même que la date où les personnes ont été avisées ou le délai d’exécution envisagé;
  • Les mesures que le cabinet a prises ou entend prendre à la suite de la survenance de l’incident, notamment celles visant à diminuer les risques qu’un préjudice soit causé ou à atténuer un tel préjudice et celles visant à éviter que de nouveaux incidents de même nature ne se produisent, de même que le délai où les mesures ont été prises ou le délai d’exécution envisagé;
  • Le cas échéant, une mention précisant qu’une personne ou un organisme situé à l’extérieur du Québec et exerçant des responsabilités semblables à celles de la Commission d’accès à l’information à l’égard de la surveillance de la protection des renseignements personnels a été avisé de l’incident.
• Avise, avec diligence, les assureurs du cabinet, le cas échéant.
• Inscris l’incident de confidentialité dans le registre prévu à cet effet.
• Sur demande de la Commission d’accès à l’information, transmets une copie de ce registre.

8. Signalement d’un incident de confidentialité

Toute personne à laquelle le cabinet communique des renseignements personnels (collègues, fournisseurs, partenaires, experts incluant les sous-traitants) doit effectuer un signalement lorsqu’elle a un motif raisonnable de croire que s’est produit un incident de confidentialité impliquant un renseignement personnel détenu par le cabinet. Pour ce faire, ce signalement doit être effectué sans délai à la PRPRP.

Le membre du cabinet ou un membre du personnel qui a un motif raisonnable de croire que s’est produit un incident de confidentialité impliquant un renseignement personnel détenu par le cabinet doit aussi aviser son supérieur hiérarchique ou la PRPRP sans délai.

9. Registre des incidents de confidentialité

Le cabinet doit tenir un registre des incidents de confidentialité.

Les renseignements contenus au registre doivent être tenus à jour et conservés pendant la plus longue des deux périodes suivantes : pendant une période minimale de cinq ans après la date à laquelle le cabinet a pris connaissance de l’incident ou la période requise par le Barreau du Québec pour la conservation des dossiers.