Politique d'encadrement de la protection des renseignements personnels

1. Objet

La présente politique établit le cadre de gouvernance applicable à la protection des renseignements personnels (RP) traités par Pivot DME.

Elle définit les politiques, processus, procédures et directives permettant d'assurer le respect :

• de la Loi sur la protection des renseignements personnels dans le secteur privé (Québec);
• de la Loi 25;
• des exigences de la certification TGV;
• des exigences internes de Groupe PivotDME inc.

2. Portée

La présente politique s'applique :

• à tous les employés;
• aux administrateurs;
• aux médecins utilisant Pivot DME;
• aux fournisseurs;
• aux consultants;
• aux stagiaires;
• à toute personne ayant accès aux renseignements personnels.

Elle couvre tout le cycle de vie des renseignements personnels :

• collecte;
• utilisation;
• communication;
• conservation;
• archivage;
• destruction.

3. Principes directeurs

L'organisation applique les principes suivants :

• responsabilité;
• transparence;
• minimisation des renseignements;
• nécessité d'accès;
• confidentialité;
• intégrité;
• disponibilité;
• traçabilité;
• protection dès la conception (Privacy by Design).

4. Documents d'encadrement

La protection des renseignements personnels est assurée notamment par les documents suivants :

Politiques

• Politique de protection des renseignements personnels
• Politique de sécurité de l'information
• Politique de gestion des accès
• Politique de gestion des fournisseurs
• Politique de conservation et destruction des renseignements
• Politique de télétravail
• Politique de gestion des incidents

Procédures

• Gestion des demandes d'accès
• Gestion des demandes de rectification
• Gestion des incidents de confidentialité
• Gestion des comptes utilisateurs
• Révision périodique des accès
• Sauvegarde et restauration
• Gestion des vulnérabilités
• Gestion des changements
• Destruction sécuritaire des renseignements

Directives

• Utilisation acceptable des systèmes
• Bureau propre et écran verrouillé
• Utilisation des appareils mobiles
• Utilisation des supports amovibles
• Télétravail sécurisé
• Développement sécurisé

Registres

• Registre des incidents
• Registre des accès privilégiés
• Registre des fournisseurs
• Registre des changements
• Registre des plaintes
• Registre des EFVP
• Inventaire des renseignements personnels

5. Gouvernance

Le responsable de la protection des renseignements personnels :

• supervise la conformité;
• approuve les processus;
• coordonne les EFVP;
• reçoit les plaintes;
• supervise les incidents;
• présente les recommandations à la direction.

Chaque gestionnaire est responsable de l'application quotidienne des mesures de protection.

Chaque employé doit respecter les politiques et signaler toute situation présentant un risque.

6. Révision

Les documents sont révisés :

• au minimum une fois par année;
• après tout changement législatif important;
• après un incident majeur;
• lors de changements technologiques importants.

7. Formation

Tous les membres du personnel doivent recevoir :

• une formation lors de leur embauche;
• une formation annuelle;
• des rappels périodiques de sensibilisation.

La participation est documentée.

8. Conformité

Des audits internes peuvent être réalisés afin de vérifier :

• l'application des politiques;
• le respect des procédures;
• l'efficacité des mesures de protection;
• la conformité réglementaire.

Toute non-conformité fait l'objet d'un plan de correction.

9. Références

• Loi sur la protection des renseignements personnels dans le secteur privé
• Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25)
• Critères TGV
• Politique de sécurité de l'information
• Politique de protection des renseignements personnels

10. Historique