Procédure de traitement des plaintes relatives à la PRP

Critères couverts

P16.01 P16.02 P16.04 P16.05

Objectif

La présente procédure établit le processus de réception, d'analyse, de traitement et de suivi des plaintes relatives à la protection des renseignements personnels afin d'assurer un traitement équitable, confidentiel et documenté.

Réception et qualification

Toute plainte relative à la protection des renseignements personnels reçue par courriel, téléphone, courrier, portail ou en personne est transmise au responsable de la protection des renseignements personnels (RPRP).

Une plainte peut être présentée par une personne concernée, son représentant autorisé ou toute personne souhaitant signaler un manquement présumé à la protection des renseignements personnels.

Le responsable distingue la plainte d'une demande d'accès ou de rectification, d'un incident de confidentialité ou d'une demande de soutien technique. Une même communication peut donner lieu à plusieurs traitements distincts lorsque la situation l'exige.

Accusé de réception

Un accusé de réception est transmis au plaignant et précise :

• la date de réception;
• le responsable du suivi;
• le moyen de communication retenu;
• les prochaines étapes du traitement.

L'accusé de réception ne confirme pas l'existence d'un dossier ni ne divulgue de renseignements personnels avant la vérification de l'identité prévue par P16.03-PROC-VERIFICATION-IDENTITE-PLAINTES.md.

Analyse

Le responsable PRP détermine notamment :

• les faits allégués;
• les renseignements personnels concernés;
• les traitements visés;
• les personnes devant être consultées;
• les journaux devant être préservés;
• le niveau de risque immédiat.

Les renseignements recueillis durant l'enquête sont limités à ce qui est nécessaire au traitement de la plainte et demeurent accessibles uniquement aux personnes participant à son analyse.

Si un incident de confidentialité est soupçonné, le processus de gestion des incidents est déclenché sans attendre la conclusion de la plainte.

Enquête et décision

Les éléments sont recueillis de façon minimale, impartiale et contradictoire.

La décision documente notamment :

• les faits retenus;
• les politiques, obligations légales ou réglementaires applicables;
• les conclusions;
• les mesures retenues;
• les limites de communication;
• les recours disponibles.

Une plainte visant le responsable PRP est confiée à la direction générale ou à une personne indépendante désignée afin d'assurer l'impartialité du traitement.

Le traitement est réalisé dans des délais raisonnables compte tenu de la nature et de la complexité de la plainte.

Mesures et fermeture

Les mesures correctives peuvent notamment comprendre :

• une correction de renseignements;
• une restriction d'accès;
• une modification d'une procédure;
• une formation;
• une correction technique;
• une notification lorsqu'elle est requise.

La fermeture exige :

• une réponse au plaignant;
• l'attribution d'un responsable pour chaque action résiduelle;
• une date de suivi, lorsque nécessaire.

Les plaintes font l'objet d'une analyse périodique afin d'identifier les tendances, les causes récurrentes et les possibilités d'amélioration des processus, des mesures de sécurité et de la formation du personnel.

Registre

Le registre des plaintes conserve notamment :

• un identifiant unique;
• les dates importantes;
• le canal de réception;
• la catégorie de plainte;
• le statut;
• les responsables;
• les décisions;
• les réponses transmises;
• les actions correctives.

Le registre ne reproduit pas inutilement le contenu clinique ni les pièces d'identité.

Il est conservé conformément à la politique de conservation et de destruction des renseignements personnels et demeure accessible uniquement aux personnes autorisées.