Politique de confidentialité

PRÉAMBULE

La Municipalité de Saint-Denis-sur-Richelieu reconnait l'importance de faciliter l'exercice du droit d'accès, tout en assurant la protection de la vie privée ainsi que la protection des renseignements personnels, sensibles ou confidentiels qu'elle détient. Le respect des obligations légales et réglementaires en matière d'accès aux documents et de protection des renseignements personnels est une responsabilité partagée, qui exige la participation active de tous les membres de la Municipalité de Saint-Denis-sur-Richelieu. La collaboration de chacun assure l'efficacité, l'uniformité et la conformité de l'application des dispositions légales et réglementaires.

L'usage du masculin pour le présent document a comme seul but d'alléger le texte.

DÉFINITIONS

Comité AIPRP

Le Comité sur l'accès à l'information et la protection des renseignements personnels de la Municipalité, exigé en vertu de la Loi.

Cycle de vie

Ensemble des étapes visant le traitement d'un renseignement personnel soit la collecte, l'utilisation, la communication, la conservation et la destruction de celui-ci.

Personne concernée

Désigne une personne physique à qui se rapportent les renseignements personnels.

Renseignement personnel

Renseignement qui concerne une personne physique, qui permet, directement ou indirectement, de l'identifier et qui n'a pas de caractère public au sens de la Loi.

Renseignement personnel sensible

Renseignement qui, de par sa nature notamment médicale, biométrique ou autrement intime, ou en raison du contexte de son utilisation ou de sa communication, suscite un haut degré d'attente raisonnable en matière de vie privée.

Renseignement confidentiel

Renseignement qui concerne un immeuble ou une personne morale et relatif à de l'information que son auteur ou son propriétaire estime confidentielle, étant de nature financière, commerciale ou stratégique, à moins que les lois applicables dans le secteur public prévoient, par exception, que cette information détenue par la Municipalité acquiert un caractère public.

CADRE NORMATIF

La Municipalité de Saint-Denis-sur-Richelieu s'engage à respecter les principes fondamentaux établis par les législations applicables. La présente politique fait appel à un comportement éthique et responsable et repose sur différents textes normatifs, notamment:

Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels (la Loi);
Loi concernant le cadre juridique des technologies de l'information;
Loi sur les archives;
Règlement décrétant des dispositions concernant le code d'éthique et de déontologie pour les élus municipaux;
Règlement décrétant des dispositions concernant le code d'éthique et de déontologie des employés municipaux;
Politique portant sur l'utilisation des ressources en technologie de l'information et de communication;
Politique en matière de gestion des documents et des archives;
Procédure de gestion des incidents de confidentialité;
Procédure de signalement des incidents de confidentialité.

OBJECTIFS

La présente politique témoigne de l'engagement de la Municipalité de Saint-Denis-sur-Richelieu à mettre en œuvre les mécanismes nécessaires pour faciliter l'accès aux documents et protéger les renseignements personnels, sensibles ou confidentiels qu'elle détient.

Elle vise à:

Énoncer les principes encadrant la gouvernance de la Municipalité à l'égard des renseignements personnels, tout au long de leur cycle de vie, et de l'exercice des droits des personnes concernées;
Prévoir le processus de traitement des plaintes relatives à la protection des renseignements personnels;
Définir les rôles et responsabilités en matière d'accès aux documents et de protection des renseignements personnels;
Décrire les activités de formation et de sensibilisation.

CHAMP D'APPLICATION

La présente politique s'applique aux documents et aux renseignements personnels détenus par la Municipalité et à toute personne qui traite des renseignements personnels ou qui produit ou détient des documents dans le cadre de ses fonctions.

TRAITEMENT DES RENSEIGNEMENTS PERSONNELS

La protection des renseignements personnels est assurée tout au long de leur cycle de vie dans le respect des principes suivants, sauf exception prévue par la Loi.

Collecte

La Municipalité ne recueille que les renseignements personnels nécessaires à la réalisation de sa mission et de ses activités. Avant de recueillir des renseignements personnels, la Municipalité détermine les fins de leur traitement et veille à ne recueillir que les renseignements personnels strictement nécessaires aux fins indiquées.

La collecte de renseignements personnels se fait auprès de la personne concernée. Au moment de la collecte, et par la suite sur demande, la Municipalité indique clairement les fins pour lesquelles les renseignements sont recueillis, l'utilisation qui en sera faite et les catégories de personnes qui y auront accès.

Lorsque la Loi exige l'obtention d'un consentement, celui-ci doit être manifeste, libre, éclairé et donné à des fins spécifiques. Le consentement est demandé à chacune de ces fins, en termes simples et clairs. Ce consentement ne vaut que pour la durée nécessaire à la réalisation des fins pour lesquelles il a été demandé.

Si la personne auprès de laquelle des renseignements personnels sont recueillis est une personne mineure de moins de 14 ans, le consentement doit être donné par son parent ou son tuteur.

Utilisation

La Municipalité n'utilise les renseignements personnels qu'aux fins pour lesquelles ils ont été recueillis. Cependant, la Municipalité peut modifier ces fins si la personne concernée y consent préalablement. Elle peut également utiliser les renseignements personnels à des fins secondaires, sans le consentement de la personne concernée, dans l'un ou l'autre des cas suivants, en conformité avec les modalités prévues dans la Loi :

Lorsque l'utilisation est à des fins compatibles avec celles pour lesquelles les renseignements ont été recueillis;
Lorsque l'utilisation est manifestement au bénéfice de la personne concernée;
Lorsque l'utilisation est nécessaire à l'application d'une loi au Québec, que cette utilisation soit ou non prévue expressément par la Loi;
Lorsque l'utilisation est nécessaire à des fins d'étude, de recherche ou de production de statistiques et que les renseignements sont dépersonnalisés.

La Municipalité établit et tient a Jour un inventaire des fichiers de renseignements personnels qu'elle recueille, utilise et communique. Cet inventaire contient minimalement:

Les catégories de renseignements qu'il contient, les fins pour lesquelles les renseignements sont conservés et le mode de gestion de chaque fichier;
La provenance des renseignements versés à chaque fichier;
Les catégories de personnes concernées par les renseignements versés à chaque fichiers;
Les catégories de personnes qui ont accès à chaque fichier dans l'exercice de leurs fonctions;
Les mesures de sécurité prises pour assurer la protection des renseignements personnels.

Communication

Sous réserve des exceptions prévues par la Loi, la Municipalité ne peut communiquer des renseignements personnels sans le consentement de la personne concernée. Le consentement doit être donné expressément lorsque des renseignements personnels sensibles sont en cause.

Lorsque des renseignements personnels sont communiqués à un mandataire ou un fournisseur de services dans le cadre d'un mandat ou d'un contrat de services, la Municipalité doit confier le mandat ou le contrat par écrit. Ce dernier doit contenir:

Les dispositions de la Loi qui s'appliquent aux renseignements communiqués;
Les mesures prises pour assurer la confidentialité des renseignements;
Les mesures prises pour que ces renseignements ne soient utilisés que dans le cadre du mandat ou l'exécution du contrat;
Les mesures prises pour assurer que les renseignements ne soient pas conservés après l'expiration du mandat ou du contrat;
Un engagement de confidentialité complété par toute personne à qui le renseignement peut être communiqué.

Le mandataire ou le fournisseur doit aviser sans délai le responsable de la protection des renseignements personnels de tout incident de confidentialité, peu importe sa teneur.

Lorsque les renseignements personnels sont communiqués à des tiers ou à des tiers hors Québec, la Municipalité procède selon les modalités prévues à la Loi.

Conservation et sécurité

La Municipalité met en place des mesures de sécurité raisonnables afin d'assurer la confidentialité, l'intégrité et la disponibilité des renseignements personnels recueillis, utilisés, communiqués, conservés ou détruits. Ces mesures tiennent compte du degré de sensibilité des renseignements personnels, de la finalité de leur collecte, de leur quantité, de leur localisation et de leur support. Seuls les usagers qui ont nécessairement besoin de ces renseignements dans l'exercice de leurs fonctions y ont accès et ils sont tenus d'en respecter la confidentialité et d'en assurer la protection, notamment lors de la transmission électronique de document contenant des renseignements personnels.

La Municipalité veille à ce que les renseignements personnels qu'elle conserve sont à jour, exacts et complets pour servir aux fins pour lesquels ils sont recueillis ou utilisés. Les renseignementspersonnels sont conservés pour la période nécessaire à la réalisation des fins prévues par leur collecte et ils sont ensuite détruits dans les délais spécifiés au calendrier de conservation de la Municipalité.

REGISTRES

Conformément à la Loi, la Municipalité tient à jour un registre des incidents de confidentialité. Elle tient également à jour un registre dans lequel sont consignées :

Les communications de renseignements personnels sans le consentement d'une personne concernée, selon les dispositions prévues à la Loi;
Les ententes de collecte conclues aux fins de l'exercice des fonctions ou de la mise en œuvre d'un programme d'un organisme public avec lequel la Municipalité collabore pour la prestation de services ou la réalisation d'une mission commune;
Les utilisations de renseignements personnels au sein de la Municipalité à d'autres fins et sans le consentement de la personne concernée lorsque cette utilisation est compatible avec les fins pour lesquelles ils ont été recueillis, qu'elle est clairement à l'avantage de la personne concernée ou qu'elle est nécessaire à l'application d'une loi au Québec;
Les communications d'information concernant un incident de confidentialité à une personne ou à un organisme susceptible de réduire le risque de préjudice grave associé à un incident de confidentialité.

SYSTÈME D'INFORMATION ET PRESTATION ÉLECTRONIQUE DE SERVICES

Tout projet d'acquisition, de développement ou de refonte de système d'information ou de prestation électronique de services, incluant la vidéosurveillance et l'instauration d'une nouvelle technologie, impliquant la collecte, l'utilisation, la communication, la conservation ou la destruction de renseignements personnels, doit être analysé par le comité AIPRP. Ce dernier doit réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) et il doit évaluer et suggérer des mesures de protection des renseignements personnels.

ÉVALUATION DES FACTEURS RELATIFS À LA VIE PRIVÉE (EFVP)

La Municipalité réalise une EFVP, notamment dans le contexte des traitements suivants de renseignements personnels :

Avant d'entreprendre un projet d'acquisition, de développement et de refonte d'un système d'information ou de prestation électronique de services qui implique des renseignements personnels;
Avant de recueillir des renseignements personnels nécessaires à l'exercice des attributions ou à la mise en œuvre d'un programme d'un organisme public avec lequel elle collabore pour la prestation de services ou pour la réalisation d'une mission commune;
Avant de communiquer des renseignements personnels sans le consentement des personnes concernées à une personne ou à un organisme qui souhaite utiliser ces renseignements à des fins d'étude, de recherche ou de production de statistiques;
Lorsqu'elle entend communiquer des renseignements personnels, sans consentement des personnes concernées, conformément à l'article 68 de la Loi;
Lorsqu'elle entend communiquer des renseignements personnels à l'extérieur du Québec ou confier à une personne ou à un organisme à l'extérieur du Québec le soin de recueillir, d'utiliser, de communiquer ou de conserver de tels renseignements pour son compte.

En effectuant une EFVP, la Municipalité tient compte de la sensibilité des renseignements personnels à être traités, des fins de leur utilisation, de leur quantité, de leur distribution et de leur support, ainsi que de la proportionnalité des mesures proposées pour protéger les renseignements personnels.

De plus, lorsque les renseignements personnels sont communiqués à l'extérieur du Québec, la Municipalité s'assure que ceux-ci bénéficient d'une protection adéquate, notamment au regard des principes de protection des renseignements personnels généralement reconnus.

La réalisation d'une EFVP sert à démontrer que la Municipalité a respecté toutes les obligations en matière de protection des renseignements personnels et que toutes les mesures ont été prises afin de protéger efficacement ces renseignements.

SONDAGE

Le comité AIPRP doit être consulté lorsque la Municipalité désire réaliser un sondage nécessitant la collecte et l'utilisation de renseignements personnels. Le comité doit procéder à l'évaluation de la nécessité du sondage et de son aspect éthique en tenant compte de la sensibilité, de la nature des renseignements personnels recueillis et de la finalité de leur utilisation. Il émet également des recommandations quant à la gestion des renseignements recueillis. Le rapport de sondage doit être soumis au responsable de l'accès aux documents et de la protection des renseignements personnels avant sa diffusion, tant à l'interne qu'à l'externe.

ÉTUDE, RECHERCHE OU PRODUCTION DE STATISTIQUE

Toute demande provenant d'une personne ou d'un organisme qui souhaite utiliser des renseignements personnels à des fins d'étude, de recherche ou de production de statistiques doit être transmise au responsable de l'accès aux documents et de la protection des renseignements personnels. Ce dernier s'assure de la conformité de la demande et le comité AIPRP effectue ensuite une EFVP, pour valider si les critères qui permettent ce type de communication sont respectés. Une entente répondant aux exigences de la Loi doit être conclue entre la Municipalité et la personne ou l'organisme à qui les renseignements seront transmis.

DROIT DES PERSONNES CONCERNÉES

Sous réserve de ce que prévoient les lois applicables, toute personne qui en fait la demande a droit d'accès aux renseignements personnels qui la concernent et qui sont détenus par la Municipalité. Elle peut demander à ce qu'ils soient corrigés, détruits ou qu'ils ne soient plus utilisés pour les fins pour lesquelles ils ont été recueillis, à moins d'exceptions prévues aux lois applicables ou d'obligations juridiques contraires. Toute demande d'accès ou de rectification doit être adressée au responsable de l'accès aux documents et de la protection des renseignements personnels, conformément à la Loi.

TRAITEMENT DES PLAINTES

Toute plainte relative aux pratiques de protection des renseignements personnels de la Municipalité ou de sa conformité aux exigences de la Loi qui concernent les renseignements personnels doit être transmise au responsable de l'accès aux documents et de la protection des renseignements personnels de la Municipalité.

INCIDENTS DE CONFIDENTIALITÉ

Tout incident de confidentialité impliquant un renseignement personnel est pris en charge conformément à la Procédure de gestion des incidents de confidentialité. La Municipalité prend alors les mesures raisonnables pour diminuer les risques qu'un préjudice soit causé et éviter que de nouveaux incidents de même nature ne se produisent. Si l'incident de confidentialité présente un risque de préjudice sérieux pour les personnes concernées, la Municipalité avise la Commission d'accès à l'information {CAi) et les personnes concernées. La Municipalité tient un registre de l'ensemble des incidents de confidentialité dont elle a fait l'objet, incluant ceux qui ne présentent pas un risque de préjudice sérieux.

FORMATION ET SENSIBILISATION

Tous les membres de la Municipalité reçoivent une copie de la présente politique et des procédures qui s'y rattachent et doivent signer un engagement de confidentialité. Des activités de formation et de sensibilisation sont tenues selon les besoins et adaptées selon les tâches, les types de renseignements personnels et les étapes du cycle de vie impliqués dans les processus. Des mises à jours sont effectuées lors de modifications aux lois, à la présente politique ou aux procédures qui en découlent.

RÔLES ET RESPONSABILITÉS

La protection des renseignements personnels que la Municipalité détient repose sur l'engagement de tous ceux qui traitent ces renseignements.

Comité AIPRP

Approuve les règles de gouvernance de la Municipalité à l'égard des renseignements personnels;
Assure le suivi de ses activités auprès de la direction générale;

Définit et approuve les orientations en matière de protection des renseignements personnels;

Soutient la Municipalité dans l'exercice de ses responsabilités et dans l'exécution de ses obligations face à la Loi;
Met en œuvre la Procédure de gestion des incidents de confidentialité lorsque requis;

Soutientetencadre les services sur l'applicationdes mesures de protection des renseignements personnels;
Identifie les principaux risques en matière de protection de renseignements personnels et avise la direction générale, afin que des mesures correctives soient proposées;
Approuve toute dérogation aux principes généraux de protection des renseignements personnels établis;

Émet des directives et suggère des mesures de protection sur tout projet d'acquisition, de développement et de refonte d'un système d'information ou d'une prestation électronique de services impliquant des renseignements personnels, incluant la vidéosurveillance et l'instauration d'une nouvelle technologie, par le biais notamment d'une EFVP, lorsque requise;
Planifie et assure la réalisation d'activités de formation en lien avec l'accès et la protection des renseignements personnels;
Promeut les orientations, les directives et les décisions formulées par la CAi;
Exerce toute autre fonction permettant une meilleure gestion de l'accès et de la protection des renseignements personnels qui lui est attribuée par la direction générale.

Direction générale

Assure la diffusion, la mise en oeuvre et le respect de la politique auprès des employés et des membres du conseil;
Établit la composition et le mandat du comité AIPRP;
Assure la mise en application des recommandations du comité AIPRP et en assure le suivi auprès de lui.

Responsable de l'accès aux documents et de la protection des renseignements personnels

Assure la protection des renseignements personnels tout au long de leur cycle de vie, de la collecte à la destruction;
Agit à titre de conseiller en matière d'accès aux documents et d'accès et de protection des renseignements personnels;
Agit à titre de membre du comité AIPRP;
Voit à l'application de la Loi;
Traite les demandes d'accès aux documents et les demandes de rectification ou d'accès aux renseignements personnels, rend les décisions et prête assistance aux personnes concernées à la suite de leur demande;
Supervise la tenue des registres requis par la Loi;
Agit à titre d'interlocuteur auprès de la CAi.

Responsable des technologies de l'information

Soumet tout projet d'acquisition, de développement ou de refonte de système d'information ou de prestation électronique de services, incluant la vidéosurveillance et l'instauration d'une nouvelle technologie, au comité AIPRP pour fin d'analyse;
Assure la sécurité des renseignements numériques tout au long de leur cycle de vie;
Agit à titre de membre du comité AIPRP.

Toute personne qui traite des renseignements personnels détenus par la Municipalité, incluant les membres du conseil

Agit avec précaution et intègre les principes énoncés à la présente politique à ses activités;
Accède uniquement aux renseignements nécessaires à l'exercice de ses fonctions;
Assure la protection des renseignements personnels et confidentiels auxquels elle a accès dans le cadre de ses fonctions, entre autres en veillant à ce que seules les personnes autorisées y aient accès;
S'abstient de communiquer les renseignements personnels dont elle prend connaissance dans l'exercice de ses fonctions, à moins d'être dûment autorisée à le faire;
Collabore et assure, avec diligence, le traitement des demandes d'accès aux documents ou aux renseignements personnels qui lui sont adressées par le responsable de l'accès aux documents et de la protection des renseignements personnels;
Réfère, dès le début d'un projet d'acquisition, de développement et de refonte d'un système d'information ou d'une prestation électronique de services, au responsable des technologies de l'information;
Signale toute situation ou irrégularité qui pourrait compromettre de quelque façon la sécurité, l'intégrité ou la confidentialité des renseignements personnels ou confidentiels détenus par la Municipalité de Saint-Denis-sur-Richelieu, peu importe leur support;
Signale immédiatement tout incident de confidentialité, dès qu'elle a le motif de croire ou qu'elle constate qu'il s'est produit, et ce peu importe sa nature ou sa teneur, au responsable de l'accès au document et de la protection des renseignements personnels, conformément à la Procédure de signalement des incidents de confidentialité;
Participe aux activités de sensibilisation et de formation en matière de protection des renseignements personnels qui lui sont destinées;
S'abstient de conserver, à la fin de son emploi ou de son contrat, les renseignements personnels obtenus ou recueillis dans le cadre de ses fonctions et maintient ses obligations de confidentialité.

ADOPTION ET RÉVISION

La présente politique est adoptée le 6 novembre 2023 par la résolution portant le numéro 2023-11-270