أين أنتم من القانون 25؟

1. تم تعيين شخص مسؤول عن حماية المعلومات الشخصية (افتراضياً صاحب أعلى سلطة في المؤسسة، أو شخص مفوَّض كتابياً).

2. لقب هذا المسؤول وبيانات الاتصال به منشورة على موقعكم الإلكتروني.

3. لديكم سياسات تؤطّر حوكمة المعلومات الشخصية (الحفظ، الإتلاف، الأدوار والمسؤوليات، معالجة الشكاوى) ومعتمدة من المسؤول.

4. هذه السياسات موصوفة بلغة بسيطة وواضحة على موقعكم الإلكتروني.

5. تعرفون ما هي المعلومات الشخصية التي تحتفظون بها، وأين توجد، ومن يمكنه الوصول إليها.

6. تحمي هذه المعلومات تدابير أمنية معقولة (وصول محدود حسب الحاجة، مصادقة متعددة العوامل، نسخ احتياطية، تشفير).

7. تُتلف المعلومات أو تُجهَّل هويتها بمجرد تحقق الغرض الذي جُمعت من أجله.

8. سياسة خصوصية واضحة منشورة لكل عملية جمع تتم بوسيلة تقنية (موقع إلكتروني، نموذج، تطبيق).

9. عند الجمع، تُعلمون الأشخاص بالأغراض المقصودة وتحصلون على موافقة مستقلة لكل غرض (وموافقة صريحة للمعلومات الحساسة).

10. المنتجات أو الخدمات التقنية المقدَّمة للجمهور مضبوطة افتراضياً على أعلى مستوى من الخصوصية، والوظائف التي تتيح تحديد هوية شخص أو موقعه أو تنميطه معطّلة افتراضياً.

11. لديكم إجراء للتعامل مع حادث خصوصية: الحدّ من الخطر، وتقييم خطر الضرر الجسيم، وإبلاغ لجنة الوصول إلى المعلومات (CAI) والأشخاص المعنيين عند الحاجة.

12. تحتفظون بسجل لجميع حوادث الخصوصية، حتى تلك التي لا تنطوي على خطر ضرر جسيم.

13. تُجرون تقييماً للأثر على الخصوصية قبل أي مشروع لاقتناء أو تطوير أو إعادة تصميم نظام معلومات أو خدمة إلكترونية تتضمن معلومات شخصية.

14. تُجرون تقييماً للأثر على الخصوصية قبل نقل معلومات شخصية إلى خارج كيبيك، بما في ذلك استضافتها لدى مزوّد حوسبة سحابية خارج كيبيك.

15. يمكنكم الرد خلال 30 يوماً على طلب وصول أو تصحيح أو نقل للبيانات (بتقديم المعلومات بصيغة تقنية منظّمة وشائعة الاستخدام).

16. اتفاقياتكم مع المورّدين والوكلاء الذين يتلقّون معلومات شخصية مكتوبة وتتضمن تدابير للحماية والسرية.