Demandez à votre comité de direction qui est votre RPRP. Silence, puis « quelqu'un aux TI ».
La réponse est fausse depuis septembre 2022. Sous la loi 25, il est déjà nommé : la personne qui exerce la plus haute autorité dans l'entreprise. Peut-être vous.
Le RPRP existe déjà, même si personne ne l'a nommé
Toute personne qui exploite une entreprise est responsable des renseignements personnels qu'elle détient, et la fonction revient à sa plus haute autorité. Elle peut être déléguée, en tout ou en partie, par écrit. Vous transférez le travail, pas le risque.
Trois étapes, détaillées par la Commission : le responsable et le registre des incidents en septembre 2022, la politique de confidentialité, les règles de consentement et les politiques de gouvernance en septembre 2023, la portabilité en septembre 2024.
Trois publications, pas une
Ce que les RH détiennent vraiment
Faites l'inventaire une fois : dossiers d'employés, évaluations de rendement, mesures disciplinaires, NAS, comptes bancaires, billets médicaux, résultats psychométriques, notes d'entrevue, CV non retenus, données de matrice de compétences, dossiers d'équité salariale, verbatims d'entrevues de départ.
Le test n'est pas l'utilité. La Commission écrit que la nécessité va au-delà de la simple utilité, et que c'est à vous de le démontrer à la personne concernée. Sinon, le droit à la vie privée l'emporte et la collecte ne se fait pas. La date de naissance sur un formulaire de candidature : nécessaire à quoi, à l'étape du tri ?
Finalité accomplie, il faut détruire de façon sécuritaire ou anonymiser, sauf si une loi impose un délai de conservation. 300 CV non retenus depuis 2021, ce n'est pas une banque de talents.
Le registre des incidents, et le mythe des 72 heures
Les 72 heures viennent du RGPD européen, pas du Québec. Ici, quand un incident présente le risque qu'un préjudice sérieux soit causé, l'entreprise doit s'empresser d'aviser la Commission et les personnes concernées. Aucun compte à rebours en heures, ce qui est plus exigeant, pas moins.
Un incident, c'est un accès non autorisé, une utilisation ou une communication non autorisée, une perte, ou toute autre atteinte à la protection. Le courriel de paie envoyé à la mauvaise personne compte.
Le registre, lui, contient tous les incidents, même ceux sans risque de préjudice sérieux, au minimum cinq ans après la prise de connaissance. La Commission peut en demander copie.
Trente jours, et la demande arrive un vendredi
Le RPRP traite les demandes d'accès et de rectification dans les 30 jours, à partir de la demande, pas du jour où quelqu'un s'en occupe. Depuis septembre 2024 s'ajoute la portabilité : les renseignements informatisés recueillis auprès de la personne, remis dans un format technologique structuré et couramment utilisé. En RH : l'employé qui vient de recevoir une lettre disciplinaire.
À régler ce mois-ci
- Écrire la délégation du RPRP, la signer, la dater.
- Publier le titre et les coordonnées sur une adresse fonctionnelle.
- Lister où vivent les données RH, Excel compris.
- Fixer et appliquer une durée de conservation des CV non retenus.
- Ouvrir le registre des incidents, même vide.
Ce que ça coûte de ne rien faire
Deux étages de sanctions :
Pour une entreprise de 200 personnes, le risque réel n'est pas l'amende. C'est la plainte d'un employé parti en mauvais termes, l'enquête, et le constat : ni registre, ni politique, ni responsable nommé. Chez Inlead RH (inleadrh.ca), le sujet arrive presque toujours par là.
Commencez par savoir ce que vous détenez. L'autodiagnostic RH et les autres outils gratuits prennent une quinzaine de minutes.
