Renseignements personnels et Internet: définitions, subtilités et enjeux Journée WebÉducation Julie Boucher, ll.b., conseillère Direction de laccès à linformation et de la protection des renseignements personnels Le 14 octobre 2010

2 Plan de présentation Introduction Objectifs de la conférence Cadre juridique 1.Les renseignements personnels et lédition de contenu Web La notion La protection Les questions spécifiques aux moyens technologiques 2.Les renseignements personnels dans lactualité Facebook Google Cloud computing

3 Introduction Objectifs de la présentation Offrir une présentation complète et accessible des règles qui régissent la protection des renseignements personnels au sein des organismes publics Permettre aux participants de développer les réflexes appropriés en matière de protection des renseignements personnels afin quils bénéficient de cette plus-value dans lélaboration et la mise en place de leurs prochains projets

4 Introduction Cadre juridique Charte des droits et libertés de la personne Art. 5 et art. 44 Code civil du Québec Art. 35 à 41 Loi sur laccès aux documents des organismes publics et sur la protection des renseignements personnels Loi sur la protection des renseignements personnels dans le secteur privé Loi concernant le cadre juridique des technologies de l'information Règlement sur la diffusion des linformation et la protection des renseignements personnels

5 1.Renseignements personnels et édition de contenu Web 1.1 La notion de renseignement personnel Définition Applications Exemples Exceptions

6 1.1La notion de renseignement personnel La définition Un renseignement personnel est : « un renseignement qui concerne une personne et qui permet de lidentifier » Loi sur laccès aux documents des organismes publics et sur la protection des renseignements personnels (art. 54) Loi sur la protection des renseignements personnels dans le secteur privé (art. 2) Avant 2006, on parlait de « renseignement nominatif »

7 1.1La notion de renseignement personnel Applications Pour être visé par la protection, il doit donc sagir Dun renseignement Qui concerne une personne physique Qui permet de lidentifier Contenu dans un document

8 1.1 La notion de renseignement personnel Applications – le renseignement Il peut sagir dune information qui identifie directement la personne Le nom, le numéro dassurance-maladie Les photos ou vidéos Ou déléments qui ne sont pas significatifs mais qui renseignent sur la personne sils sont associés à son nom Comme lâge, le poids, le niveau de scolarité

9 1.1 La notion de renseignement personnel Applications – la personne physique Seuls les individus bénéficient de la protection des renseignements les concernant Les renseignements relatifs aux biens ou aux immeubles ne sont donc pas visés Les renseignements qui concernent les personnes morales (compagnies, entreprises, associations, etc.) ne sont donc pas considérés comme des renseignements personnels par la jurisprudence De même que lidentité des personnes qui représentent une personne morale

La notion de renseignement personnel Applications – qui permet didentifier Il nest pas nécessaire que le renseignement permette de nommer la personne, il suffit quil permette de la distinguer des autres Ce serait le cas notamment de lorientation sexuelle Lopinion personnelle exprimée sur un sujet ou une personne en particulier est également un renseignement personnel Il faut porter une attention particulière aux fichiers qualifiés «anonymes » Surtout si un moyen logique permet de reconstituer lidentité des personnes concernées

La notion de renseignement personnel Applications – contenu dans un document Pour bénéficier de la protection de la Loi, le renseignement doit être inscrit dans un document détenu par lorganisme Toutefois, la divulgation peut quant à elle être verbale Ex : références vs dossier de lemployé La forme du document ou le support choisi na pas dimportance Le support informatique ou Web est donc visé autant que la version papier

La notion de renseignement personnel Exemples On peut classer les renseignements personnels selon diverses catégories Renseignements didentification Renseignements de santé Renseignements financiers Renseignements relatifs au travail Renseignements relatifs à léducation ou à la formation Renseignements sociaux ou familiaux

La notion de renseignement personnel Exceptions Plusieurs types de renseignements relèvent dexceptions et ne bénéficient pas de la protection de la Loi Nom dune personne, sil est utilisé seul (art. 56 Loi sur laccès) Renseignements à caractère public prévus par la Loi ( art. 55 et 57 Loi sur laccès) ou dautres lois particulières Renseignements obtenus dans le cadre dune fonction juridictionnelle (art. 53 (2 o ) Loi sur laccès) Exceptions jurisprudentielles

14 1.Renseignements personnels et édition de contenu Web 1.2 La protection accordée aux renseignements personnels Principe Applications 1.2.3Cycle de vie 1.2.4Exceptions

La protection des renseignements personnels 1.2.1Principe Tout individu a droit au respect de la confidentialité des renseignements qui le concernent et qui sont détenus par les organismes publics, à tout moment du cycle de vie de ces renseignements. Ce droit découle notamment de la Charte des droits et libertés de la personne, art. 5.

La protection des renseignements personnels Applications Pour le bénéficiaire Il sagit dune protection universelle Elle est également automatique Quant au choix et à la mise en œuvre des mesures nécessaires à la protection des renseignements personnels Cette responsabilité incombe à lÉtat (art Loi sur laccès) Le choix des mesures diffère en fonction notamment de la sensibilité du renseignement

La protection des renseignements personnels Cycle de vie La détention dun renseignement personnel par un organisme procède par diverses étapes, qui ont chacune leurs règles propres Cueillette Conservation Utilisation Communication Destruction

La protection des renseignements personnels Cycle de vie - cueillette Le principe relatif à la cueillette des renseignements personnels est que lorganisme doit la limiter à ceux qui sont nécessaires ( art. 64 Loi sur laccès) Définition de la nécessité Nécessaire à ses attributions ou à un programme quil gère Collaboration avec un autre organisme pour la prestation de services ou une mission commune Obligations de lorganisme et transparence dans la cueillette (art. 65 Loi sur laccès)

La protection des renseignements personnels Cycle de vie - conservation Pendant la période de conservation des renseignements personnels, lorganisme doit sassurer de : Verser les renseignements dans un fichier de renseignements personnels (art. 71 ss Loi sur laccès) Établir et maintenir à jour linventaire de ces fichiers (art. 76 Loi sur laccès) Mettre en place et respecter des mesures de sécurité Tenir les renseignements personnels à jour, complets et exacts pour servir aux fins de leur cueillette (art. 72 Loi sur laccès)

La protection des renseignements personnels Cycle de vie - utilisation Les principales mesures à prendre lors de lutilisation des renseignements personnels pour assurer leur protection sont les suivantes : Limiter laccès aux renseignements personnels aux seules personnes autorisées au sein de lorganisme, et seulement dans lexercice de leurs fonctions (art. 62 Loi sur laccès) Ne permettre lutilisation des renseignements quaux seules fins pour lesquelles ils ont été recueillis (art Loi sur laccès)

La protection des renseignements personnels Cycle de vie - communication La communication dun renseignement personnel se définit par sa divulgation à un tiers, peu importe le moyen utilisé Renseignement communiqué verbalement ou par écrit Conditions nécessaires à la communication: consentement (art. 53 et 59 Loi sur laccès) et utilisation de moyens qui préservent la confidentialité Exceptions prévues à la Loi sur laccès (art. 59, 59.1, 61, 66, 67, 67.1, 67.2, 68 Loi sur laccès) Mesures particulières à la communication hors Québec (art Loi sur laccès) Tenue dun registre accessible au public (art et 67.4 Loi sur laccès)

La protection des renseignements personnels Cycles de vie - destruction La destruction doit être définitive, peu importe le type de support utilisé. Elle se fera soit : En conformité du calendrier de conservation Ou dès que les fins pour lesquelles ils ont été recueillis ou conservés sont accomplies (art. 73 Loi sur laccès)

La protection des renseignements personnels 1.2.4Exceptions Consentement Conditions de validité du consentement Interdiction dutiliser le consentement à lencontre du principe de nécessité Exceptions légales Utilisation à des fins compatibles (art Loi sur laccès) Utilisation au bénéfice de la personne concernée Nécessaire à lapplication dune loi au Québec

24 1.Renseignements personnels et édition de contenu Web 1.3 Les questions spécifiques à lutilisation des moyens technologiques Confiance des citoyens en lÉtat Distinction entre sécurité et protection des renseignements personnels La communication de renseignements personnels par courriel Utilisation dInternet Mise en ligne de contenu Web

Les questions spécifiques à lutilisation des moyens technologiques 1.3.1Confiance des citoyens en lÉtat Les responsables des services en ligne et de la mise en page des sites Internet du Gouvernement jouent un rôle de première ligne entre lÉtat et le citoyen La protection des renseignements personnels confiés à lÉtat est primordiale afin de sassurer que les citoyens continuent de faire confiance aux institutions gérées par lÉtat La prestation de service en ligne aux citoyens est également dépendante de cette confiance que les gens doivent avoir envers la protection accordée à leurs renseignements personnels

Les questions spécifiques à lutilisation des moyens technologiques 1.3.2Sécurité de linformation Il ne faut pas confondre la sécurité avec la protection des renseignements personnels La protection des renseignements personnels repose notamment sur la mise en place de mesures de sécurité: Mesures physiques: classeurs, serrures Mesures logiques: journalisation des accès, cryptage Garantie de disponibilité, intégrité et confidentialité (DIC)

Les questions spécifiques à lutilisation des moyens technologiques 1.3.3Communication par courriel Il est acquis que le courriel nest pas le mode de communication le plus sécuritaire Mesures de sécurité de base qui peuvent être utilisées Documents ou renseignements qui ne devraient pas faire lobjet dune communication par courriel

Les questions spécifiques à lutilisation des moyens technologiques 1.3.4Utilisation dInternet La possibilité de favoriser la circulation de linformation via lutilisation dInternet soulève certaines questions éthiques et de nouveaux enjeux reliés à la protection des renseignements personnels Réseau de la santé Organismes scolaires Municipalités Organismes publics

Les questions spécifiques à lutilisation des moyens technologiques 1.3.5Mise en ligne de contenu Web Chaque nouveau projet de mise en ligne de contenu Web devrait faire lobjet dune évaluation de ses impacts sur la protection des renseignements personnels, si de tels renseignements sont en cause Conformément au Règlement sur la diffusion de linformation et sur la protection des renseignements personnels (art. 7) Il faut que les webmestres développent le réflexe de demander une évaluation des risques datteinte dès les débuts du projet, dans létude de faisabilité Le responsable de laccès de lorganisme et son comité sur laccès sont vos alliers dans cette tâche

30 2.Les renseignements personnels dans lactualité 2.1 Facebook 2.2 Google 2.3 Cloud Computing

31 2.Les renseignements personnels dans lactualité 2.1 Facebook Problématique face aux renseignements personnels Situation au Canada Situation internationale

32 2.Les renseignements personnels dans lactualité 2.2 Google Problématique face aux renseignements personnels Situation au Canada Situation internationale

33 2.Les renseignements personnels dans lactualité 2.3 Cloud computing Problématique face aux renseignements personnels Situation au Canada Situation internationale

34 Des questions?