P02.01 - Role et responsabilites du responsable de la protection des renseignements personnels

Objet

Le present document definit les responsabilites du responsable de la protection des renseignements personnels (RPRP) de Groupe PivotDME inc.

Le RPRP veille a la conformite des activites de l'entreprise relativement a la protection des renseignements personnels, conformement aux lois applicables du Quebec et aux exigences de la certification TGV.

Designation

La direction generale designe officiellement un RPRP. Dans Pivot DME, cette designation correspond a l'unique profil actif auquel le role Responsable de la protection des renseignements personnels est attribue.

Le nom, le prenom, le prefixe, le suffixe et le courriel professionnel proviennent du profil de cet usager. Le courriel professionnel est lu dans profiles.professional_email; profiles.email, reserve au canal personnel de securite et a la 2FA, n'est pas utilise. L'organisation, le telephone et l'adresse professionnelle proviennent de la clinique par defaut associee au profil. Aucune adresse personnelle n'est utilisee.

Responsabilites generales

Le RPRP est responsable de :

• superviser le programme de protection des renseignements personnels;
• recommander et approuver les politiques, procedures et pratiques de gouvernance;
• conseiller la direction lors des decisions impliquant des renseignements personnels;
• participer aux projets ayant un impact sur la protection des renseignements personnels;
• superviser les evaluations des facteurs relatifs a la vie privee lorsque requises;
• coordonner la gestion des incidents de confidentialite;
• assurer les communications avec les autorites competentes lorsque la loi l'exige;
• coordonner le traitement des demandes d'acces, de rectification, de portabilite et de desindexation;
• assurer la sensibilisation du personnel.

Responsabilites concernant l'inventaire des renseignements personnels

Le RPRP :

• approuve l'inventaire des renseignements personnels;
• verifie que les categories, finalites, sources de collecte et niveaux de sensibilite sont documentes;
• verifie que les emplacements de stockage sont recenses;
• examine toute divergence detectee entre le manifeste structurel et le schema MariaDB;
• examine toute nouvelle zone de stockage ou constante de chemin detectee;
• valide les mecanismes de conservation et de destruction;
• approuve toute modification importante de l'inventaire.

Revision de l'inventaire

L'inventaire est revise :

• avant toute mise en production introduisant une nouvelle collecte, utilisation, communication ou zone de stockage de renseignements personnels;
• lors d'une modification importante de l'architecture applicative;
• apres un incident de confidentialite susceptible de modifier la comprehension des traitements;
• au minimum une fois par annee.

Chaque revision indique la date, le responsable, les modifications examinees et la decision du RPRP.

Collaboration avec l'equipe technique

L'equipe de developpement implante les changements techniques. Lorsqu'un changement touche la collecte, l'utilisation, la communication, la conservation ou la destruction de renseignements personnels, le RPRP est consulte avant la mise en production.

Le RPRP peut demander les informations necessaires, exiger une correction et suspendre le deploiement d'un changement qui presente un risque non traite pour les renseignements personnels.

Conservation et revision

Le present document est conserve dans la documentation officielle de gouvernance. Il est revise annuellement ou lors d'une modification importante des responsabilites du RPRP.