Tous les cabinets inscrits ainsi que tous les représentants, dont les courtiers, font face à des obligations à l’égard de la protection des renseignements personnels.
Rappelons qu’un renseignement personnel est un renseignement qui concerne une personne physique et qui permet de l’identifier (par exemple, ses nom et adresse, une adresse courriel, etc.).
En plus de se conformer aux dispositions prévues à la Loi sur la distribution des produits et services financiers (LDPSF), les cabinets, leurs employés dont les courtiers, sont tenus de respecter les obligations dictées par toutes les lois applicables, dont notamment la Loi sur la protection des renseignements personnels dans le secteur privé. Cette loi prévoit entre autres les dispositions à prendre pour recueillir, conserver, utiliser, communiquer et détruire des renseignements personnels sur ses clients.
Au-delà des renseignements personnels que le cabinet détient sur ses clients et employés, il détient des renseignements sensibles sur sa clientèle, ses employés, ses partenaires, ses fournisseurs et même ses opérations. Dans le cadre des bonnes pratiques, les renseignements sensibles devraient également faire l’objet de protection.
Voici quelques rappels à haut niveau et non exhaustifs des obligations face aux entreprises qui entreront en vigueur progressivement, entre septembre 2022 et septembre 2024 :
- Désigner une personne responsable de la protection des renseignements personnels et définir son rôle et ses responsabilités
- Tenir un registre des délégations de tâches.
- Rédiger une politique de protection des renseignements personnels et confidentialité
- Mettre en place un environnement propice à la protection des renseignements personnels
- Mettre en place un registre des incidents de confidentialité et un processus de notification
- Inventorier les renseignements sous la garde, évaluer le degré de sensibilité, l’accès accordé et mettre en place les mesures de protection appropriées
- Évaluer les risques en matière de vie privée lors de certaines utilisation et communication de renseignements personnels
- Obtenir les consentements nécessaires à la cueillette, l’usage et la communication du renseignements personnels
- Sensibiliser et former le personnel sur la protection des renseignements personnels
- Modifier la politique de traitement des plaintes pour y inclure le sujet de la protection des renseignements personnels
- Publier les éléments clés des règles de gouvernance encadrant la protection des renseignements personnels sur le site Web de l’entreprise, dont le nom de personnel responsable
- Documenter le processus de conservation, destruction ou rendre anonymes les renseignements personnels dans certaines circonstances
- Divulguer tout incident portant atteinte à la protection des renseignements personnels et tenir un registre de des incidents, le cas échéant
Le plan de continuité des activités devrait prévoir un volet, notamment un plan d’action, sur l’atteinte à la protection des renseignements personnels ainsi qu’adresser les divulgations à effectuer, le cas échéant.
Comme mentionné précédemment, des références pertinentes sont disponibles à la fin de la section.
Enfin, un aide-mémoire est disponible pour soutenir les membres dans leur démarche de protection des renseignements personnels.
