Où en êtes-vous avec la Loi 25?

1. Une personne responsable de la protection des renseignements personnels est désignée (par défaut, la personne ayant la plus haute autorité, ou une personne déléguée par écrit).

2. Le titre et les coordonnées de ce responsable sont publiés sur votre site web.

3. Vous avez des politiques encadrant la gouvernance des renseignements personnels (conservation, destruction, rôles et responsabilités, traitement des plaintes), approuvées par le responsable.

4. Ces politiques sont décrites en termes simples et clairs sur votre site web.

5. Vous savez quels renseignements personnels vous détenez, où ils se trouvent et qui y a accès.

6. Des mesures de sécurité raisonnables protègent ces renseignements (accès limités au besoin, authentification multifacteur, sauvegardes, chiffrement).

7. Les renseignements sont détruits ou anonymisés une fois accomplie la fin pour laquelle ils ont été recueillis.

8. Une politique de confidentialité claire est publiée pour toute collecte faite par un moyen technologique (site web, formulaire, application).

9. Au moment de la collecte, vous informez les personnes des fins visées et obtenez un consentement distinct pour chaque fin (exprès pour les renseignements sensibles).

10. Les produits ou services technologiques offerts au public sont réglés par défaut au plus haut niveau de confidentialité, et les fonctions permettant d'identifier, de localiser ou de profiler une personne sont désactivées par défaut.

11. Vous avez une procédure pour réagir à un incident de confidentialité : réduire le risque, évaluer le risque de préjudice sérieux et, au besoin, aviser la Commission d'accès à l'information et les personnes concernées.

12. Vous tenez un registre de tous les incidents de confidentialité, même ceux qui ne présentent pas de risque de préjudice sérieux.

13. Vous réalisez une EFVP avant tout projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services impliquant des renseignements personnels.

14. Vous réalisez une EFVP avant de communiquer des renseignements personnels à l'extérieur du Québec, y compris lorsqu'ils sont hébergés par un fournisseur infonuagique hors Québec.

15. Vous pouvez répondre dans les 30 jours à une demande d'accès, de rectification ou de portabilité (renseignements fournis dans un format technologique structuré et couramment utilisé).

16. Vos ententes avec les fournisseurs et mandataires qui reçoivent des renseignements personnels sont écrites et prévoient des mesures de protection et de confidentialité.