Politique encadrant la gouvernance des renseignements personnels
GROUPE NORBEC INC. / NORBEC GROUP INC.
(« Norbec »)
1. Contexte et Champ d’application
Chez Norbec, le respect de la vie privée de nos clients et de nos employés est extrêmement important. À ce titre, nous avons adopté la présente Politique encadrant la gouvernance des renseignements personnels (« Politique »).
Cette Politique précise nos pratiques quant à la gouvernance des renseignements personnels que nous détenons et ce, afin de tenir compte du cadre juridique applicable au Québec, plus particulièrement la Loi sur la protection des renseignements personnels dans le secteur privé telle que modifiée par la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels.
La présente Politique s’adresse à tous les employés de Norbec, incluant les membres de la direction et du conseil d’administration, mais aussi les stagiaires et les contractuels lorsqu’ils recueillent, utilisent, communiquent, conservent ou détruisent des renseignements personnels dans le cadre de leurs fonctions ou lorsqu’ils ont autrement accès à des renseignements personnels détenus par Norbec, y compris ceux conservés par un tiers.
La présente Politique s’applique à tous les renseignements personnels détenus par Norbec, y compris ceux dont la conservation est assurée par un tiers, quel que soit le support sur lequel ils sont conservés, et ce, de leur collecte à leur destruction. En ce sens, la présente Politique s’applique également à toute personne avec qui Norbec fait affaire dans le cadre d’un mandat ou d’un contrat de service.
La présente Politique ne s’applique pas aux renseignements personnels détenus par nos membres à des fins personnelles, même s’ils sont conservés sur une plateforme technologique de Norbec.
2. Définitions et abréviations
a) Membres : Tout employé de Norbec, incluant les membres de la direction et du conseil d’administration, mais aussi les stagiaires et les contractuels.
b) PRP : Protection des renseignements personnels.
c) Renseignement personnel : Toute information détenue par Norbec qui concerne une personne physique et qui permet, directement ou indirectement, de l’identifier. Par exemple : votre identité, vos coordonnées (postale, électronique, téléphonique), votre date de naissance, votre numéro d’assurance sociale (pour les employés), vos détails de paiement (pour les clients).
d) RPRP : Responsable de la protection des renseignements personnels.
e) Tiers : Toute personne physique ou morale qui recueille, utilise, conserve, communique ou détruit des renseignements personnels pour le compte de Norbec ou qui assure autrement la gestion des renseignements personnels détenus par Norbec. Cela inclut également toute personne physique ou morale de qui Norbec obtient des renseignements personnels ou à qui elle en communique, sans être autrement liée à Norbec.
3. Rôles et responsabilités du personnel de l’entreprise à l’égard des renseignements personnels
a) La Direction :
i. Délègue la fonction de RPRP au RPRP et facilite son exercice
ii. Détermine les orientations en matière de PRP
iii. Adopte la présente Politique ainsi que les règles, procédures et directives en matière de PRP
iv. Approuve le programme de sensibilisation et de formations des membres de Norbec
b) Le Responsable de la protection des renseignements personnels
La fonction de RPRP est assurée par Brad Tomalty, Directeur des Ressources Humaines, lequel peut être rejoint à l’adresse suivante: infoprotection@norbec.com.
Le RPRP a pour responsabilité de veiller au respect et à la mise en œuvre des politiques et pratiques encadrant la gouvernance de Norbec à l’égard des renseignements personnels que nous détenons et ce, afin de répondre aux exigences découlant du cadre juridique applicable en la matière.
À ce titre, il doit, entre autres :
i. Veiller à assurer le respect et la mise en œuvre du cadre juridique applicable à Norbec en matière de PRP;
ii. Collaborer à l’élaboration et veiller à l’application de la présente Politique, notamment :
- en établissant des mesures de contrôle pour assurer le respect des règles de gouvernance;
- en réalisant régulièrement des évaluations du respect des règles de gouvernance par les unités administratives et des risques liés à la PRP;
- en recommandant, le cas échéant, des mesures correctives;
- en produisant des rapports périodiques sur le respect des règles de gouvernance et les risques liés à la PRP;
iii. Coordonner l’élaboration et la révision de l’inventaire des fichiers de renseignements personnels;
iv. Participer à l’évaluation du risque qu’un préjudice soit causé à une personne dont un renseignement personnel est concerné par un incident de confidentialité;
v. Tenir les registres de communications de renseignements personnels, incluant en cas d’incident de confidentialité;
vi. Participer à l’évaluation des facteurs relatifs à la vie privée;
vii. Répondre aux demandes d’accès aux renseignements personnels et, le cas échéant, aux demandes de rectification, de cessation de diffusion, de désindexation, de portabilité. Il doit aussi prêter assistance au demandeur à comprendre la décision de lui refuser – en tout ou en partie – l’accès ou la rectification d’un renseignement personnel;
viii. Répondre aux demandes de la Commission d’accès à l’information;
ix. Promouvoir la culture de la protection de la vie privée au sein de Norbec;
x. Concevoir et mettre en œuvre un programme de sensibilisation et de formation en matière de PRP.
c) Les Gestionnaires
Les gestionnaires sont responsables des renseignements personnels dont ils ont la gestion en plus de :
i. Veiller au respect de la présente Politique;
ii. Collaborer à l’élaboration et à la révision des fichiers de renseignements personnels dont ils ont la gestion;
iii. Participer aux évaluations réalisées par le RPRP en fournissant toutes les informations demandées à cette fin.
d) Les Employés
Nos employés peuvent, dans l’exercice de leurs fonctions, avoir accès aux renseignements personnels détenus par Norbec. À ce titre, ils doivent :
i. Respecter la présente Politique;
ii. N’accéder qu’aux renseignements personnels nécessaires à l’exercice de leurs fonctions;
iii. Informer le RPRP de tout incident ou tentative d’incident lié à la PRP détenus par Norbec;
iv. Participer aux activités de formation et de sensibilisation mises à leur disposition par Norbec.
4. Protection des renseignements personnels
Nous prenons les mesures nécessaires pour faire en sorte que l’ensemble des personnes œuvrant au sein de Norbec adopte une attitude responsable tout au long du cycle de vie des renseignements personnels.
À ce titre, les pratiques de Norbec reposent sur les engagements suivants :
i. Ne collecter que les renseignements personnels nécessaires à la réalisation de ses activités et ce, que ce soit à l’égard de ses clients que de ses membres;
ii. Informer les personnes auprès de qui des renseignements personnels sont collectés des finalités de la collecte, notamment par le biais de la Politique de confidentialité;
iii. Obtenir le consentement des personnes concernées quant à l’utilisation et la communication à des tiers de leurs renseignements personnels, notamment par le biais des formulaires par lequel nous recueillons des renseignements personnels de nos clients ou employés ou encore par le bais du bandeau relatif aux fichiers témoins (« cookies ») s’affichant sur notre site Internet;
iv. Utiliser et communiquer les renseignements personnels que dans les limites prescrites par le cadre juridique applicable en la matière;
v. Prendre les moyens pour s’assurer que les renseignements personnels que nous détenons sont à jour, exacts et complets tant que nous les utilisons;
vi. Prendre les mesures de sécurité propres à assurer la protection des renseignements personnels compte tenu de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support;
vii. Prendre les mesures raisonnables pour diminuer les risques qu’un préjudice soit causé aux personnes dont les renseignements personnels sont visés par un incident de confidentialité et éviter qu’un incident de même nature ne se produise;
viii. Prendre des mesures raisonnables afin de respecter les exigences en matière de conservation et de destruction des renseignements personnels.
5. Demande d’accès ou de rectification des renseignements personnels – Demande de retrait du consentement à l’utilisation et à la communication des renseignements personnels
Si une personne souhaite connaître les renseignements personnels que Norbec détient sur elle, si elle veut procéder à une rectification de ceux-ci ou encore si elle souhaite retirer son consentement à l’utilisation et à la communication de ses renseignements personnelles, elle doit s’adresser, par écrit, au RPRP à l’adresse infoprotection@norbec.com.
Norbec s’engage à répondre dans les 30 jours qui suivent la réception d’une telle demande. Si la réponse ne convient pas au demandeur, Norbec s’engage à coopérer avec les instances auprès de qui un recours sera déposé.
6. Plainte relative à la protection des renseignements personnels
Advenant le cas où une personne souhaite déposer une plainte quant à la protection que Norbec accorde aux renseignements personnels que nous détenons, celle-ci peut le faire en contactant le RPRP à l’adresse infoprotection@norbec.com.
7. Responsable de l’application et de la mise à jour
Le responsable de la protection des renseignements personnels de Norbec est responsable de la mise en application et de la mise à jour de la présente Politique.
8. Entrée en vigueur / Mise à jour de la Politique
La présente Politique entre en vigueur après son adoption par la Direction. La présente Politique est révisée lors de modifications législatives.
Date de révision : 2 octobre 2024