Au Québec, la collection et l'utilisation des données personnelles de clients par un tiers sont régis par la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) et au fédéral par le Personal Information Protection and Electronic Documents Act (PIPEDA) et plus récemment le Digital Electronic Act.
Nous pouvons auditer et vous aider à mettre en place un plan d'action pour assurer la protection des données personnelles du point de vue des critères suivants :
Responsabilité
Toute organisation est responsable des renseignements personnels qu'elle collecte et doit désigner un responsable qui devra protéger les données de ses clients dans le respect du cadre de la loi.
Fialité de la collecte de données
La finalité pour laquelle des renseignements personnels de clients doivent être recueillis doit être déclarées avant où au moment de la collecte.
Consentement du client
Toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire.
Limite de la collecte
L'organisation ne peut recueillir que les renseignements personnels nécessaires aux fins déterminées et doit procéder de façon honnête et licite.
Limite de l'utilisation, communication et conservation des données
Les renseignements personnels ne doivent pas être utilisés ou communiqués à des fins autres que celles auxquelles ils ont été recueillis, à moins que la personne concernée n'y consente ou que la loi ne l'exige. La durée de conservation des données personnelles doit être limité au strict nécessaire à l'atteinte de la finalité énoncée.
Exactitude
Les renseignements personnels doivent être aussi exacts, complets et à jour que l'exigent les fins auxquelles ils sont destinés.
Mesures de sécurité
Les renseignements personnels doivent être protégés au moyen de mesures de sécurité correspondant à leur degré de sensibilité.
Transparence de la politique de protection des renseignements personnels
L'organisation doit énoncer clairement ses politiques et ses pratiques concernant la gestion des renseignements personnels et les rendre facilement accessibles à toute personne.
Droit d'accès aux renseignements personnels
L'organisation doit informer toute personne qui en fait la demande de l'existence de renseignements personnels qui la concernent, de l'usage qui en est fait et des demandes d'accès exercées par des autorités légales. Tout individu a le droit de contester l'exactitude, le caractère intégral ou partiel des informations et et de demander la rectification des renseignements le concernant.
Réclamations et plainte
Toute personne peut se plaindre du non respect des principes de protection énoncées sur ses renseignements personnels. Il peut le faire auprès de l'organisation ou de l'autorité gouvernementale en place.
Droit à l'oubli
Possibilités de demander la suppression de données ou de liens anciens.
Registre des incidents
Conserver un registre des failles sur les données personnelles.
Privacy by design
Concevoir la protection des données personnelles à l'origine.
Déclaration du vol de données
Informer en cas de vol de données.
Analyse d'impact
Effectuer une analyse d'impacts sur les données des consommateurs et de prouver que les risques sont adressés.
Sécurité des sous-traitants
S'assurer de la sécurité auprès des fournisseurs et sous-traitants impliqués dans la gestion.
Responsabilité
Nommer un Chief Data Officer.
Sensibiliser
Former et sensibiliser le personnel à la protection des données.
Alors si vous craignez que les données de vos clients se retrouvent sur le Dark Web, il est temps de mettre en place un plan d'action.
Nous pouvons vous assister dans chacune des lignes d'action, identifier les mesures de protection des données personnelles, auditer vos fournisseurs, bâtir une politique de gouvernance des données, structurer les responsabilités, vous fournir des indicateurs pour mesurer le progrès.
Comments