Publication Politique en protection des renseignements personnels de l’Office des personnes handicapées

Directeur général (DG)

Le directeur général est responsable et imputable du respect et la mise en œuvre de la Loi sur l’accès. Comme le stipule cette loi, il exerce la fonction de responsable de l’accès aux documents et celle de responsable de la protection des renseignements personnels. Ces fonctions peuvent être déléguées par écrit, en tout ou en partie. À l’Office, cette fonction est déléguée à un membre du personnel et le directeur général veille à en faciliter l’exercice.

Comité sur l’accès et la sécurité de l’information

Le comité sur l’accès et la sécurité de l’information (CASI) exerce notamment les fonctions prévues à l’article 8.1 de la Loi sur l’accès. Ce comité relève du directeur général et est coprésidé par celui-ci et par la gestionnaire de la Direction des services à la population et des services administratifs (DSPSA).

Le CASI constitue un mécanisme de coordination et de concertation qui, par sa vision globale, est en mesure de proposer des orientations et de faire des recommandations à l’organisation au regard de l'élaboration, la mise en œuvre et la mise à jour de mesures de protection des actifs informationnels. Il évalue les incidences sur l’accès et la sécurité de l’information en lien avec les nouveaux projets de l’organisation ou la révision de ceux existants.

Ce comité exerce également un rôle de leadership et contribue à la promotion d’une culture organisationnelle qui renforce la protection des renseignements personnels et favorise la transparence.

En plus de la coprésidence assumée par le directeur général et la gestionnaire de la DSPSA, le CASI est formé des personnes suivantes :

• Chef de la sécurité de l’information organisationnelle (CSIO);
• Gestionnaire du Secrétariat général, communications et affaires juridiques (SGCAJ);
• Responsable de la protection des renseignements personnels (RPRP);
• Conseiller ou conseillère en sécurité de l’information;
• Responsable de la gestion de l’information;
• Lorsque requis, de toute autre personne dont l’expertise est nécessaire.

Chef de la sécurité de l’information organisationnelle

Le CSIO collabore au traitement des incidents de confidentialité impliquant des renseignements personnels en conformité avec la Politique de gestion des évènements de sécurité et des incidents de confidentialité de l’Office. Il est le détenteur du registre des évènements de sécurité et des incidents de confidentialité de l’Office.

Gestionnaire du Secrétariat général, communications et affaires juridique (SGCAJ)

Le gestionnaire du SGCAJ voit à l’élaboration et à la mise à jour des politiques, procédures et directives afférentes à la protection des renseignements personnels, notamment en matière d’accès à l’information, de sondage et de traitement des plaintes. Il participe à l’évaluation des risques organisationnels et des évaluations des facteurs relatifs à la vie privée (ÉFVP). Il veille également à la sensibilisation et à la formation du personnel, y compris le personnel d’encadrement, sur les obligations et les bonnes pratiques en matière de protection des renseignements personnels. Il prend part à tout projet de l’Office dans lequel la protection des renseignements personnels devrait être prise en compte. Il formule des attentes spécifiques pour son personnel en matière de protection des renseignements personnels et offre du soutien aux employés dans la gestion des renseignements personnels auxquels ils ont accès dans l’exercice de leurs fonctions. Il est responsable de l’évaluation des activités sous sa responsabilité.

Enfin, il participe à la tenue d’un registre à jour des incidents de confidentialité impliquant un renseignement personnel et participe au traitement de ces incidents conformément à la Politique de gestion des évènements de sécurité et des incidents de confidentialité de l’Office.

Responsable de la protection des renseignements personnels (RPRP)

Le RPRP exerce une fonction stratégique dans le respect du droit à la vie privée reconnu par la Charte des droits et libertés de la personne. Pour ce faire, il conseille et soutien l’organisation dans la mise en œuvre des orientations et des stratégies en matière de protection des renseignements personnels et sur l’exercice des rôles et responsabilités à cet égard. Il collabore à la mise en place de mesures de sensibilisation et de formation pour le personnel et veille à la mise à jour de l’inventaire des fichiers de renseignements personnels et du registre des communications, le cas échéant. Il participe à l’évaluation des risques organisationnels et des ÉFVP. Il participe au traitement des incidents de confidentialité, le cas échéant. Selon les dispositions de la Loi sur l’accès, il consulte le directeur général au besoin. Enfin, conformément aux obligations qui lui sont dévolues, le RPRP tient à jour les divers registres prévus par la Loi sur l’accès.

Conseiller en sécurité de l’information

Le conseiller en sécurité de l’information collabore avec la personne RPRP pour s’assurer que les mesures de sécurité de l’Office sont adéquates afin de protéger les renseignements personnels. Il participe à la sensibilisation et à la formation du personnel sur les comportements sécuritaires. Il participe au traitement des incidents de confidentialité. Il effectue des analyses de risques de sécurité de l’information, identifie les menaces et les vulnérabilités et propose les mesures d’atténuation appropriées. Il s’assure que les systèmes, les réseaux et les actifs informationnels de l’Office respectent les politiques de sécurité de l’information et les exigences légales. Il participe à l’évaluation des risques organisationnels et aux ÉFVP.

Responsable de la gestion de l’information

Le responsable de la gestion de l’information élabore et tient à jour un plan de classification des documents ainsi qu’un calendrier de conservation. Il collabore avec l’ensemble des directions afin de rédiger les règles de conservation applicables à leurs documents et veille au respect de celles-ci.

Il soulève les enjeux, les problèmes et les préoccupations liant la gestion documentaire et la protection des renseignements personnels.

Gestionnaire de chaque direction

Les gestionnaires doivent transmettre aux employés qui relèvent d’eux les orientations et les obligations concernant la protection des renseignements personnels applicables à leurs activités. Ils s’assurent que ces orientations et ces obligations sont intégrées dans leurs pratiques et leurs relations avec les clientèles, le cas échéant.

Employés de l’Office

Les employés de l’Office contribuent au respect des obligations de l’Office et de ses engagements à l’égard des renseignements personnels en respectant la présente Politique. Ils s’assurent de signaler à leur gestionnaire, sans délai, tout incident de confidentialité constaté en application de la Politique de gestion des évènements de sécurité et des incidents de confidentialité. Ils veillent à ce que les renseignements personnels ne soient utilisés qu’aux fins pour lesquels ils ont été recueillis. Ils limitent l’accès aux renseignements personnels aux seules personnes autorisées qui en ont besoin dans l’exercice de leurs fonctions. Ils participent aux activités de formation à la sécurité de l’information et à la protection des renseignements personnels, lorsque demandé par leur gestionnaire.