Politique de gouvernance des renseignements personnels
1. OBJECTIFS ET CADRE LÉGAL
La présente politique s’applique aux activités d’Horizon Emploi liées à la gestion de tous les renseignements personnels dont l’organisme est responsable, sans égard à leur origine ou à leur support, afin qu’ils soient efficacement protégés et gérés.
Cette politique s’applique à tous les employés d’Horizon Emploi quant aux documents qu’ils créent, conservent ou dont ils sont responsables, ainsi qu’à leur utilisation pour le compte d’Horizon Emploi. La présente politique énonce les principes généraux qu’Horizon Emploi et ses employés doivent suivre pour se conformer au cadre légal et normatif de la protection des renseignements personnels, soit :
- Loi sur la protection des renseignements personnels dans le secteur privé, Chapitre P-39.1
- Loi 25 modernisant des dispositions législatives en matière de protection des renseignements personnels.
- Entente soutien financier entre Horizon Emploi et Service Québec, notamment les annexes B et C du formulaire EQ-6315.
La présente politique entre en vigueur le lundi 28 novembre 2024 et sera révisée annuellement par la suite.
2. DÉFINITIONS
CAI : La commission d’accès à l’information du Québec, organisme administratif chargé de l’application des lois en matière d’accès à l’information et de protection des renseignements personnels.
INCIDENTS DE CONFIDENTIALITÉ : L’accès, l’utilisation ou la communication non autorisés par le cadre légal et normatif d’un renseignement personnel. Il peut aussi s’agir de la perte ou de toute autre atteinte à la protection d’un renseignement personnel.
RENSEIGNEMENT PERSONNEL : Un renseignement personnel est tout renseignement qui concerne une personne physique et permet de l’identifier directement ou indirectement.
RENSEIGNEMENT PERSONNEL SENSIBLE : Un renseignement personnel est sensible lorsque, par sa nature notamment médicale, biométrique ou autrement intime, ou en raison du contexte de son utilisation ou de sa communication, il suscite un haut degré d’atteinte raisonnable en matière de vie privée.
3. ENGAGEMENT
Horizon Emploi est soucieux d’assurer la confidentialité et la protection des renseignements personnels qu’il détient. Horizon Emploi veillera à ce que les renseignements personnels dont il est responsable soient efficacement protégés et gérés. Pour ce faire, l’organisme évaluera les risques d’atteinte à la vie privée dans ses programmes et activités durant lesquelles des renseignements personnels sont recueillis, conservés, utilisés, divulgués ou détruits. Horizon Emploi mettra en place des mesures d’atténuation de ces risques.
4. RESPONSABLE DE LA PROTECTION DES RENSEIGNEMENTS PERSONNEL ET DE LA GESTION DES RENSEIGNEMENTS PERSONNELS
4.1 Personne responsable de la protection et de la gestion des renseignements personnels
Veille à assurer le respect et l’application de la présente politique.
S’assure que la présente politique a été diffusée et a été mise en œuvre au sein d’Horizon Emploi. Elle veille aussi à assurer le suivi des changements législatifs et à mettre à jour la politique, au besoin. Elle s’occupe aussi de traiter les demandes d’accès aux renseignements personnels, de s’assurer de l’exactitude des renseignements, de faire rectifier l’information, de gérer les incidents de confidentialité et de promouvoir les bonnes pratiques en la matière.
Rachel Aspirot, Directrice
Responsable de la protection et de la gestion des renseignements personnels rachel.aspirot@horizonemploi.com
L’adresse courriel de cette personne est également publiée sur le site internet d’Horizon Emploi.
5. RÔLES ET RESPONSABILITÉS DES MEMBRES DU PERSONNEL
Chacun des membres du personnel d’Horizon Emploi doit veiller à s’assurer que les renseignements personnels sont collectés, conservés, utilisés et détruits selon les meilleures pratiques et dans le respect du cadre légal et normatif de l’organisme. Lorsqu’un incident de confidentialité probable, appréhendé ou avéré est porté à la connaissance d’une personne membre de l’organisation, celle-ci doit le communiquer dès que possible aux personnes responsables de la gestion et de la protection des renseignements personnels.
6. COLLECTE DE RENSEIGNEMENTS PERSONNELS
Horizon Emploi a comme mission d’accompagner l’individu dans le développement de son potentiel afin de favoriser son insertion socioprofessionnelle, son intégration au sein de la communauté et l’atteinte de ses objectifs. Nous voulons construire une société où les talents sont pleinement utilisés pour créer un impact positif à la fois économique et social.
Horizon Emploi collecte les renseignements personnels des participants nécessaires à l’accomplissement de sa mission, et seulement ceux-ci. Un renseignement personnel ne peut être recueilli que si la personne concernée en a donné son consentement.
Horizon Emploi collecte les renseignements personnels de ses employés et du conseil d’administration nécessaires au bon fonctionnement administratif de l’organisme, et seulement ceux-ci.
Toute personne peut, sur demande écrite, se faire communiquer tous les renseignements personnels collectés et conservés par Horizon Emploi à son endroit, ainsi que les catégories de personnes qui ont accès à ces renseignements au sein de l’organisation.
Horizon Emploi doit veiller à communiquer ces informations à la personne concernée dans un délai de trente (30) jours maximums.
Horizon Emploi détient un registre du type de renseignements personnels recueillis. Ce registre détient également une analyse de la sensibilité, de la nécessité, de l’utilisation, du niveau de risque et de la conservation des renseignements personnels. À titre d’exemple, les renseignements personnels recueillis peuvent être nom, prénom, coordonnées, numéro d’assurance sociale, renseignements académiques, etc.
7. EXACTITUDE ET CORRECTION DES RENSEIGNEMENTS PERSONNELS
Horizon Emploi doit veiller, dans la mesure du possible, à ce que les renseignements personnels collectés, conservés et utilisés pour les dossiers actifs soient à jour, exacts et complets.
Ainsi, si un employé d’Horizon Emploi se rend compte que des renseignements personnels sont erronés ou incomplets, il lui incombe de vérifier les renseignements avec la personne concernée et d’apporter les corrections nécessaires.
De plus, Horizon Emploi doit corriger les renseignements personnels conservés lorsqu’une demande, écrite ou non, est faite par la personne concernée, et ce dans un délai de trente (30) jours au maximum. Des pièces justificatives peuvent être demandées au besoin. L’absence de réponse dans un délai de trente (30) jours équivaut à un refus. La personne concernée peut contester un refus ou une réponse jugée insatisfaisante en exerçant son droit de recours devant la CAI.
8. UTILISATION ET DIVULGATION DES RENSEIGNEMENTS PERSONNELS
Un renseignement personnel ne peut être utilisé qu’aux fins (ex. : recherches, statistiques, etc.) pour lesquelles il a été recueilli. Si le renseignement personnel doit être utilisé à d’autres fins, la personne concernée doit donner son consentement libre et éclairé.
Horizon Emploi doit alors expliquer en termes simples et clairs la nouvelle finalité à la personne concernée.
8.1 Participants aux services d’Horizon Emploi
Horizon Emploi met à contribution dans le cadre de la démarche proposée une équipe de professionnels qui comprend : conseillers(ères) en emploi, conseiller(ère) en orientation, agent(e) d’accueil des nouveaux arrivants, adjoint(e) administratif(ive) et directeur(trice). L’accompagnement des participants peut impliquer la participation de différents professionnels d’Horizon Emploi et ceux-ci auront à consulter des dossiers participants, si nécessaire.
Les participants aux services d’Horizon Emploi doivent consentir à ce que tout renseignement personnel qu’ils communiquent à l’organisme ou à l’un des professionnels impliqués dans leur démarche, ou qui aura été obtenu par ceux-ci dans le cadre de la démarche, puisse être divulgué aux autres professionnels impliqués. Cette divulgation ne pourra être faite que dans le cadre de la démarche du participant et sera limitée aux renseignements nécessaires pour chacun des professionnels.
Les participants aux services d’Horizon Emploi doivent consentir à ce que les renseignements personnels qu’ils communiquent à l’organisme ou à l’un des professionnels impliqués dans leur démarche puissent être transmis au ministère de l’Emploi et de la Solidarité sociale (MESS) et à d’autres tiers liés au dossier. Toute divulgation de renseignements personnels sera consignée au dossier de la personne concernée et celle-ci pourra en tout temps consulter son dossier sur demande écrite.
Le consentement à la divulgation des renseignements personnels communiqués prendra fin avec la conclusion de la démarche de la personne concernée. De plus, un participant peut, en tout temps, retirer son consentement à la divulgation après discussion avec les intervenants impliqués. Horizon Emploi cessera dès lors tout échange ou transmission des renseignements personnels. Toutefois, Horizon Emploi pourra compléter son obligation de reddition de compte envers le MESS.
8.2 Employés d’Horizon Emploi, candidats et membres du conseil d’administration
Horizon Emploi utilisera les renseignements personnels de ses employés, candidats et membres du conseil d’administration dans le cadre de ses processus administratifs. Aucune divulgation de leurs renseignements personnels autre que les obligations légales de l’organisme n’est autorisée sans l’autorisation écrite de la personne concernée.
9. CONSERVATION, MESURES DE SÉCURITÉ ET DESTRUCTION DES RENSEIGNEMENTS PERSONNELS
Horizon Emploi doit conserver et détruire de manière sécuritaire les renseignements personnels collectés, et ce, uniquement pour la durée nécessaire lui permettant de remplir ses obligations. Sur demande, écrite ou non, Horizon Emploi doit notifier la personne concernée de la durée de conservation de ses renseignements personnels, et ce, dans un délai de trente (30) jours maximums.
Les renseignements personnels conservés par Horizon Emploi doivent être gardés confidentiels et protégés au moyen de mesures adaptées à leur degré de sensibilité. Les mesures de protection comprennent notamment, mais sans s’y limiter :
- Des mesures physiques comme le verrouillage des classeurs et la restriction de l’accès aux locaux;
- Des mesures technologiques comme l’utilisation de courriels sécurisés, de mots de passe et de l’authentification multifactorielle aux logiciels utilisés, d’une licence de protection informatique;
- Des mesures organisationnelles et éthiques comme l’autorisation d’accès aux serveurs aux personnes concernées seulement;
- Des mesures administratives comme le déchiquetage des dossiers physiques contenant des renseignements personnels en respect du cadre légal et normatif.
Conformément au cadre légal et normatif, Horizon Emploi détruira les renseignements personnels recueillis sur les participants à ses services sept (7) ans après la fermeture de leur dossier. Conformément au cadre légal et normatif,
Horizon Emploi détruira les renseignements personnels recueillis sur ses employés et les membres du conseil d’administration selon les différentes et nombreuses lois en lien, à la suite de leur départ de l’organisme (ex. : Loi sur les assurances, loi sur les accidents de travail et les maladies professionnelles, etc.)
Horizon Emploi détruira les renseignements personnels recueillis sur les candidats non retenus six (6) mois suivant la fin du processus d’embauche concerné.
10. INCIDENTS ET REGISTRE DES INCIDENTS
Horizon Emploi doit tenir un registre des incidents de confidentialité conformément au cadre légal et normatif. Sur demande de la CAI, une copie de ce registre lui est transmise. Lorsqu’Horizon Emploi a des motifs de croire que s’est produit un incident de confidentialité impliquant un ou des renseignements personnels qu’il détient, il doit alors prendre les mesures raisonnables pour diminuer les risques qu’un préjudice soit causé et éviter que de nouveaux incidents de même nature se produisent. Le cas échéant, si l’incident concerne un renseignement personnel sensible ou présente un risque de préjudice sérieux, Horizon Emploi doit aviser la CAI ainsi que la personne concernée conformément au cadre légal et normatif.
L’évaluation du risque de préjudice se fait en consultation avec la personne responsable de la protection et de la gestion des renseignements personnels et prend en compte la sensibilité du ou des renseignements concernés, les conséquences appréhendées de son utilisation et la probabilité qu’il soit utilisé à des fins préjudiciables. Les renseignements du registre doivent être mis à jour et conservés pour une période minimale de cinq (5) ans, après la date ou période de prise de connaissance de l’incident par l’organisation.
11. PROCESSUS DE TRAITEMENT DE PLAINTE
La personne responsable de la gestion et de la protection des renseignements personnels reçoit les plaintes relatives à la protection de ceux-ci. Lorsqu’une telle plainte est déposée, la personne responsable de la gestion des renseignements personnels en accuse réception auprès de la personne concernée, prend connaissance de son contenu, enquête sur les circonstances et peut formuler des recommandations à Horizon Emploi permettant d’améliorer la protection des renseignements personnels.
