Politique sur les regles de gouvernance en matiere de protection des renseignements personnels — full text

This is an automated transcription (OCR) of the captured official document — minor recognition errors are possible; the source document governs. Snapshot 9c85270e2c1b · verified 2026-06-14 · original document · archived snapshot · unofficial consolidation, the official version is held by the municipal clerk.

des renseignements personnels. CONSIDÉRANT QUE pour s'acquitter des obligations prévues à la Loi sur l'accès, est instituée la présente politique administrative concernant les règles de gouvernance en matière de protection des renseignements personnels ; CONSIDÉRANT qu'en 2022, la Ville employait, en moyenne, 50 salariés ou moins, et qu'elle n'est donc pas assujettie à l'obligation de constituer un comité sur l'accès à l'information et la protection des renseignements personnels conformément au Règlement excluant certains organismes publics de l'obligation de former un comité sur l'accès à l'information et la protection CONSIDÉRANT QUE la Ville s'engage à protéger les renseignements personnels qu'elle collecte et traite dans le cadre de ses activités dans le respect des lois et règlements applicables ; CONSIDÉRANT QUE la Ville de Château-Richer (ci-après la « Ville ») est un organisme public assujetti à la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels, RLRQ c. A -2.1 (ci-après la « Loi sur l'accès ») ; Tous membres du conseil et formant quorum. Guylaine Lefrançois Alexandre Richard Maxime Roberge Christine Pleau Vincent Latour Éric Martineau ## LES MEMBRES DU CONSEIL : LE MAIRE : Gino Pouliot SEANCE ordinaire du conseil municipal de la Ville de Château-Richer, tenue à la salle du conseil sise au 2º étage du Centre Olivier-Le Tardif, situé au 277, rue du Couvent à Château-Richer, le lundi 2 octobre 2023 à 19 h 30, à laquelle étaient présents : ## POLITIQUE ADMINISTRATIVE CONCERNANT LES RÈGLES DE GOUVERNANCE EN MATIÈRE DE PROTECTION DES RENSEIGNEMENTS PERSONNELS DE LA VILLE DE CHÂTEAU-RICHER  ## MRC DE LA CÔTE-DE-BEAUPRÉ ## VILLE DE CHÂTEAU-RICHER ## PROVINCE DE QUÉBEC Responsable de la protection des renseignements personnels (ou RPRP) : Désigne la personne qui, conformément à la Loi sur l'accès, exerce cette fonction veille à la protection des renseignements personnels détenus par la Ville. Loi sur l'accès, exerce cette fonction et répond aux demandes d'accès aux documents de la Ville ; Responsable de l'accès aux documents (ou RAD) : Désigne la personne qui, conformément à la Renseignement personnel (ou RP) sensible : Désigne tout renseignement personnel qui suscite un haut degré d'attente raisonnable en matière de vie privée de tout individu, notamment en raison du préjudice potentiel à la personne en cas d'incident de confidentialité, comme l'information financière, les informations médicales, les données biométriques, le numéro d'assurance sociale, le numéro de permis de conduire ou l'orientation sexuelle ; personnelles ou professionnelles de individu ; le numéro de téléphone, le courriel ou le numéro de compte bancaire, que ce soit les données Renseignement personnel (ou RP) : Désigne toute information qui concerne une personne physique et qui permet de l'identifier directement ou indirectement, comme : l'adresse postale, - PRP : Désigne la protection des renseignements personnels; Partie prenante : Désigne une personne physique en relation avec la Ville dans le cadre de ses activités et, sans limiter la généralité de ce qui précède, un employé ou un fournisseur ; Politique de gouvernance PRP : Désigne la politique administrative concernant les règles de gouvernance en matière de protection des renseignements personnels de la Ville ; Personne concernée : Désigne toute personne physique pour laquelle la Ville collecte, détient, communique à un tiers, détruit ou rend anonyme, un ou des renseignements personnels ; Loi sur l'accès : Désigne la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels, RLRQ C. A -2,1 ; Cycle de vie : Désigne l'ensemble des étapes d'existence d'un renseignement détenu par la Ville et plus précisément sa création, sa modification, son transfert, sa consultation, sa transmission, Conseil : Désigne le conseil municipal de la Ville de Chateau-Richer; CAI : Désigne la Commission d'accès à l'information créée en vertu de la Loi sur l'accès; dessous énoncée : Aux fins de la présente politique, les expressions ou les termes suivants ont la signification ci- ## 1. DÉFINITIONS ## CHAPITRE 1 - APPLICATION ET INTERPRÉTATION ## EN CONSEQUENCE, LE CONSEIL DÉCRÈTE CE QUI SUIT : Les précisions nécessaires relativement (1) au recours par la Ville à une technologie afin de recueillir tout RP, comprenant des fonctions qui permettent l'identification, la localisation ou le profilage de la personne concernée et (2) aux Les moyens par lesquels tout RP est recueilli ; Les droits d'accès et de rectification aux RP collectés ; facultative ; Les conséquences, pour la personne concernée, d'un retrait de son consentement à la communication ou à l'utilisation des RP suivant une demande - Les conséquences, pour la personne concernée, d'un refus de répondre à la demande; - Le caractère obligatoire ou facultatif de la demande de collecte de RP; - Les fins auxquelles tout RP est requis ; indiquer: consentement libre et éclairé de la personne concernée. La Ville doit notamment 3.4. Au moment de la collecte de tout RP, la Ville s'assure d'obtenir de façon expresse le a) Manifeste : ce qui signifie qu'il est évident et certain ; b) Libre : ce qui signifie qu'il doit être exempt de contraintes; c) Éclairé : ce qui signifie qu'il est pris en toute connaissance de cause. de la personne concernée doit être : 3.3. Est entendu que le consentement doit être donné à des fins spécifiques, pour une durée nécessaire à la réalisation des fins auxquelles il est demandé. Le consentement concernée. 3.2. Sous réserve des exceptions prévues à la Loi sur l'accès, la Ville ne procède pas à la collecte de RP sans avoir préalablement obtenu le consentement de la personne 3.1. La Ville ne collecte que les RP nécessaires aux fins de ses activités. 3. COLLECTE DES RENSEIGNEMENTS PERSONNELS ## CHAPITRE II - MESURES DE PROTECTION DES RENSEIGNEMENTS PERSONNELS requis. traitement des RP et les mesures de PRP appliquées par la Ville et leur donner acces lorsque · Assurer la confiance du public en la Ville, faire preuve de transparence concernant le aux meilleures pratiques en cette matiere ; · Assurer la conformité aux exigences légales applicables à la PRP, dont la Loi sur l'accès, et · Protéger les RP recueillis par la Ville tout au long de leur cycle de vie ; · Énoncer les orientations et les principes directeurs destinés à assurer efficacement la PRP ; La Politique de gouvernance PRP vise les objectits suivants : 2. OBJECTIFS personnels. e) les mesures de sécurité prises pour assurer la protection des renseignements fonctions; d) les catégories de personnes qui ont accès à chaque fichier dans l'exercice de leurs fichier; les catégories de personnes concernées par les renseignements versés à chaque b) la provenance des renseignements versés à chaque fichier; chaque fichier; fins pour lesquelles les renseignements sont conservés et le mode de gestion de a) la désignation de chaque fichier, les catégories de renseignements qu'il contient, les 5. FICHIER DE RENSEIGNEMENTS PERSONNELS La Ville établit et maintient à jour un inventaire de ses fichiers de renseignements personnels. Cet inventaire doit contenir les indications suivantes : 4.6. La Ville accorde le même haut taux d'attente raisonnable de protection, en matière de confidentialité et d'intégrité envers tout RP qu'elle collecte, conserve et utilise que le RP soit sensible ou non. 4.5. b) conformément aux délais prévus à son calendrier de conservation. Lors de l'utilisation de tout RP, la Ville s'assure de l'exactitude du RP. Pour ce faire, elle valide son exactitude auprès de la personne concernée de façon régulière et, si nécessaire, au moment de son utilisation. ## Ou a) pour la durée nécessaire à l'utilisation pour laquelle ils ont été obtenus 4.4. La Ville conserve les données et documents comportant des RP : 4.3. La Ville applique des mesures de sécurité équivalente, quelle que soit la sensibilité des RP détenus afin de prévenir les atteintes à leur confidentialité et à leur intégrité sous réserve des exceptions prévues à la Loi sur l'accès. 4.2. La Ville limite l'accès à tout RP détenu aux seules personnes pour lesquelles ledit accès est requis à l'exercice de leurs fonctions au sein de la Ville. 4.1. La Ville restreint l'utilisation de tout RP aux fins pour lesquelles il a été recueilli et pour lequel la Ville a obtenu le consentement exprès de la personne concernée, le tout sous réserve des exceptions prévues par la Loi sur l'accès. 4. CONSERVATION ET UTILISATION DES RENSEIGNEMENTS PERSONNELS Les coordonnées de la personne responsable de la PRP au sein de la Ville. Les précisions relatives à la durée de conservation de tout RP ; moyens offerts, à la personne concernée, pour en activer ou désactiver les fonctions; renseignements personnels (PRP) au sein de la Ville ; a) Définir et approuver les règles de gouvernance en matière de protection des Conformément au Règlement excluant certains organismes publics de l'obligation de former un comité sur l'accès à l'information et la protection des renseignements personnels (Décret 7442023, 3 mai 2023), la direction générale assume les tâches qui sont dévolues au Comité sur l'accès à l'information et la protection des renseignements personnels : La direction générale est responsable de la qualité de la gestion de la PRP et de l'utilisation de toute infrastructure technologique de la Ville à cette fin. ## 9. DIRECTION GÉNÉRALE responsabilités. c) Que le RPRP et le RAD puissent exercer de manière autonome leurs pouvoirs et b) Que la direction générale et les directeurs de service de la Ville fassent la promotion d'une culture organisationnelle fondée sur la protection des RP et des comportements nécessaires afin d'éviter tout incident de confidentialité ; en œuvre et au respect de la présente Politique ; a) De prendre les décisions nécessaires relevant de sa compétence pour voir à la mise Le conseil approuve la présente Politique et veille à sa mise en œuvre, notamment en s'assurant : ## 8. CONSEIL CHAPITRE III -- RÔLES ET RESPONSABILITÉS À L'ÉGARD DE LA PROTECTION DES RENSEIGNEMENTS PERSONNELS approuvée par le greffier. 7.4. Sur recommandation du RPRP, toute procédure d'anonymisation doit être 7.3. L'anonymisation vise une fin sérieuse et légitime et la procédure est irréversible. 7.2. La procédure de destruction devra être approuvée par le greffier et le RPRP afin de s'assurer notamment du respect des articles 87 et 88 de la Loi sur les cités et villes. 7.1. Lorsque des RP ne sont plus nécessaires aux fins pour lesquelles ils ont été recueillis et lorsque le délai prévu au calendrier de conservation est expiré, la Ville doit les détruire de façon irréversible ou les rendre anonymes. 7. DESTRUCTION OU ANONYMISATION 6.2. La Ville indique, dans les registres exigés par la Loi sur l'accès, toutes les informations relatives à la transmission de tout RP à un tiers à quelques fins que ce soit. 6.1. la personne concernée sauf exception prévue à la Loi sur l'accès. La Ville, ne peut communiquer à des tiers tout RP sans un consentement exprès de 6. ## COMMUNICATION À DES TIERS Toute personne qui en fait la demande a droit d'accès à cet inventaire, sauf à l'égard des renseignements dont la confirmation de l'existence peut être refusée en vertu des dispositions de la Loi sur l'accès. g) Veiller à ce que la Ville connaisse les orientations, les directives et les décisions formulées par la Commission d'accès à l'information (CAI) en matière de PRP; f) Formuler des avis sur les mesures particulières à respecter quant aux sondages qui collectent ou utilisent des RP, ou encore en matière de vidéosurveillance; déploiement et de refonte de systèmes d'information ou de toute nouvelle prestation électronique de services de la Ville nécessitant la collecte, l'utilisation, la conservation, la communication à des tiers ou la destruction des RP, et ce, tant au moment de la mise en place de ces initiatives que lors de toute modification à e) Formuler à la direction générale des avis sur les initiatives d'acquisition, de activités de formation des employés de la Ville en matière de PRP; d) Planifier et assurer, en collaboration avec la direction générale, la réalisation des règlements afférents ou l'interprétation des tribunaux, le cas échéant; c) Suggérer les adaptations nécessaires en cas de modifications à la Loi sur l'accès, à ses et leur destruction; b) Déterminer la nature des renseignements personnels (RP) devant être collectés par les différents services de la Ville, leur conservation, leur communication à des tiers PRP au sein de la Ville; a) Définir, en collaboration avec la direction générale, les orientations en matière de Notamment, le RPRP s'assure de : Le responsable de la protection des renseignements personnels (RPR), en collaboration avec le RAD, contribue à assurer une saine gestion de la PRP au sein de la Ville. Il soutient le conseil, la direction générale et l'ensemble du personnel de la Ville dans la mise en œuvre de la présente Politique. ## 10. RESPONSABLE LA PROTECTION DES RENSEIGNEMENTS PERSONNELS circonstances pour le non-respect de la présente Politique. d) Exerçant Son pouvoir d'enquête et appliquant les sanctions appropriées aux respect de la présente politique ; c) Apportant les appuis financiers et logistiques nécessaires à la mise en œuvre et au b) S'assurant que les valeurs et les orientations en matière de PRP soient partagées et véhiculées par tout gestionnaire et employé de la Ville ; a) Veillant a ce que le RPRP et le RAD puissent exercer de manière autonome leurs pouvoirs et responsabilités; À cet égard, elle doit mettre en œuvre la présente Politique en : initiatives que lors de toute modification à celles-ci. Formuler des avis sur les initiatives d'acquisition, de déploiement et de refonte de systemes d'information ou de toute nouvelle prestation électronique de services de la Ville nécessitant la collecte, l'utilisation, la conservation, la communication à des tiers ou la destruction des RP, et ce, tant au moment de la mise en place de ces b) Définir et approuver les orientations en matière de PRP au sein de la Ville ; que ceux-ci puissent être facilement retracés. Chaque responsable au sein d'un service susmentionné travaille en étroite collaboration avec le RPRP afin d'inventorier les diverses catégories de RP recueillies, détenues, communiquées à des tiers, le cas échéant, détruites ou rendues anonymes et de maintenir à jour cet inventaire. Le responsable doit également voir à ce que les employés du service obtiennent tout consentement requis de tout individu aux fins de collecter, détenir ou transférer à des tiers le cas échéant. Le responsable doit voir à la conservation et au classement des consentements recueillis de manière sein de leur service de certaines étapes de la vie des RP, c'est-à-dire la collecte et la détention. service au RPRP. Les employés de chaque service de la Ville ainsi désignés sont responsables au Chaque directeur de service de la Ville doit identifier le responsable de la PRP au sein de son ## 13. RESPONSABLE DE LA PRP AU SEIN DES DIFFÉRENTS SERVICES DE LA VILLE et responsabilités prévues à l'article 13. e) Dans le cas où aucun employé n'est désigné, le directeur de service assume les tâches d) Désigner, au sein de son service, le ou les employés dont la tâche inclue spécifiquement les fonctions de veiller à la collecte, la détention, la conservation ou la destruction des RP et leur protection ; c) Participer à la sensibilisation de chaque employé de son équipe aux enjeux de la PRP ; b) S'assurer que les mesures de sécurité déterminées et mises en place soient appliquées systématiquement à l'occasion de son emploi et de celui des employés qu'il dirige dans le service dont il est responsable ; a) Faire connaître la présente politique en matière de PRP aux employés de son service et s'assurer de son application et son respect par ceux-ci ; À ce titre, chaque directeur de service doit : Chaque directeur de service est responsable de veiller à la PRP au sein du service qu'il dirige ainsi que des infrastructures technologiques nécessaires à cette fin auxquelles les employés du service et lui ont accès dans le cadre de leurs fonctions a la Ville. ## 12. DIRECTEUR DE SERVICE de la Loi sur l'accès. b) Répondre aux requérants de l'accès à des documents en fonction des prescriptions a) Recevoir toutes les demandes qui sont de la nature d'une demande d'accès aux documents au sens de la Loi sur l'accès, y compris les demandes d'informations; Dans le cadre de cette fonction, le RAD doit : ## 11. RESPONSABLE DE L'ACCES AUX DOCUMENTS l'application de la présente politique. j) Faire rapport au conseil et à la direction générale, sur une base annuelle, quant à 1) Recommander au greffier de procéder à l'anonymisation de RP en lieu et place de la destruction de RP qui n'est plus utile à la Ville; Ville; h) Evaluer, en collaboration avec la direction générale, le niveau de PRP au sein de la 17.1. privée. Avant de procéder à l'acquisition, au développement ou à la refonte des systèmes de gestion des RP, la Ville doit procéder à une évaluation des facteurs relatifs à la vie PRESTATION ÉLECTRONIQUE 17. ACQUISITION, DÉVELOPPEMENT OU REFONTE D'UN SYSTÈME D'INFORMATION OU DE générale. Suivant cette évaluation, le RPRP devra faire des recommandations au conseil et à la direction renseignements personnels recueillis et de la finalité de leur utilisation. l'aspect éthique du sondage compte tenu, notamment, de la sensibilité des - la nécessité de recourir au sondage ; Avant d'effectuer, ou de permettre à une tierce partie d'effectuer un sondage auprès des personnes concernées pour lesquelles la Ville détient, recueille ou utilise des RP, le RPRP devra préalablement faire une évaluation des points suivants : 16. SONDAGES ## CHAPITRE IV - MESURES ADMINISTRATIVES des RP, le cas échéant. - Formation sur les mises à jour de la présente politique ou des mesures de sécurité - Formation aux employés utilisant un nouvel outil informatique impliquant des RP; - Formation à tous les employés sur la mise en œuvre de la présente politique ; travail; Les activités de formation ou de sensibilisation inclus notamment : - Formation à l'embauche sur l'importance de la PRP et les actions à prendre dans son Le RPRP établit le contenu et le choix des formations offertes à tous les employés de la Ville et détermine la fréquence à laquelle les employés doivent suivre toute formation établie. RENSEIGNEMENTS PERSONNELS ## 15. FORMATION DU PERSONNEL DE LA VILLE EN VUE DE LA PROTECTION DES f) Collaborer avec le RPRP et le RAD. matière de PRP ; e) Participer activement à toute activité de sensibilisation ou formation données en c) N'accéder qu'aux RP nécessaires dans l'exercice de ses fonctions ; d) Signaler au RPRP tout incident de confidentialité ou traitement irrégulier des RP ; b) Mettre tout en œuvre pour respecter le cadre légal applicable et les mesures prévues aux différentes politiques et directives de la Ville en lien avec la protection des RP; a) Prendre toutes les mesures nécessaires afin de protéger les RP ; ## Chaque employé doit : 14. EMPLOYÉS 19.1. Une plainte ne peut être considérée uniquement que si elle est faite par écrit par une personne physique qui s'identifie. Toute personne physique qui estime que la Ville n'assure pas la protection des RP de manière conforme à la Loi sur l'accès peut porter plainte de la manière suivante : ## 19. TRAITEMENT DES PLAINTES échéant. · Identifier et recommander l'application de mesures d'atténuation appropriées, le cas · Aviser la CAl et toute personne concernée par l'incident de confidentialité ; Ville ; · Inscrire l'information pertinente au registre des incidents de confidentialité de la de confidentialité et dans l'affirmative : - Le RPRP doit réviser l'information rapportée afin de déterminer s'il s'agit d'un incident possible au RPRP par toute personne qui s'en rend compte; - Tout incident de confidentialité avéré ou potentiel doit être rapporté le plus rapidement La Ville assure la gestion de tout incident de confidentialité conformément à la procédure de gestion des incidents de confidentialité dont font partie les règles suivantes : L'accès, l'utilisation ou la communication non autorisés de tout RP ou sa perte constituent un incident de confidentialité au sens de la Loi sur l'accès. ## 18. INCIDENTS DE CONFIDENTIALITÉ 17.4. La réalisation d'une évaluation des facteurs relatifs à la vie privée doit être proportionnée à la sensibilité des renseignements concernés, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support. 17.3. La Ville doit également s'assurer que dans le cadre du projet prévu à l'article 17.1, le système de gestion des renseignements personnels permet qu'un RP informatisé recueilli auprès de la personne concernée soit communiqué à cette dernière dans un format technologique structuré et couramment utilisé. la tenue d'activités de formation sur la PRP pour les participants au projet. une description des responsabilités des participants au projet en matière de PRP ; b) des mesures de PRP dans tout document relatif au projet, tel qu'un cahier des charges ou un contrat; PRP ; a) la nomination d'une personne chargée de la mise en œuvre des mesures de 17.2. notamment: Dans le cadre de la mise en œuvre du projet prévu à l'article 17.1, la direction générale peut, à toute étape, suggérer des mesures de protection des RP, dont générale. Aux fins de cette évaluation, la Ville doit consulter, dès le début du projet, la direction Adoption de la politique : 2 octobre 2023 Politique modifiée le : 4 mars 2024 ## Gino Pouliot, maire  ## Karine Hovington, greffière  La présente politique entre en vigueur dès son adoption par le conseil. 21. DISPOSITION FINALE Tout employé de la Ville qui contrevient à la présente Politique ou aux lois et à la réglementation en vigueur applicable en matière de PRP s'expose, en plus des pénalités prévues aux lois, à une mesure disciplinaire pouvant notamment mener à une mesure disciplinaire et pouvant aller jusqu'au congédiement. La direction générale, de concert avec le Service des Ressources humaines, est chargée de décider de l'opportunité d'appliquer la sanction appropriée, le cas échéant. La Ville peut également transmettre à toute autorité judiciaire les informations colligées sur tout employé, qui portent à croire qu'une infraction à l'une ou l'autre loi ou règlement en ## 20. SANCTIONS 19.8. Si le plaignant n'est pas satisfait de la réponse obtenue ou du traitement de sa plainte, il peut s'adresser par écrit à la CAL. 19.7. écrite et motivée. À l'issue de l'examen de la plainte, le RPRP transmet au plaignant une réponse finale 19.6. Dans le cadre du traitement de la plainte, le RPRP peut communiquer avec le 19.5. communication permettant de joindre ce dernier. Si le traitement de la plainte dans le délai prévu à l'article 19.4 de la présente Politique paraît impossible à respecter sans nuire au déroulement normal des activités de la Ville, le RPRP peut, avant l'expiration de ce délai, le prolonger d'une période raisonnable et en donne avis au requérant, par tout moyen de suivant la date de sa réception. 19.4. Le RPRP donne suite à une plainte avec diligence et au plus tard dans les vingt jours 19.3. 19.2. Telle demande est adressée au RPRP de la Ville. Le RPRP avise par écrit le requérant de la date de la réception de sa plainte et indique les délais pour y donner suite.