Loi 25 : tenir son registre des traitements
La Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) demande aux organisations de savoir précisément quels renseignements personnels elles traitent, pourquoi et comment. Le registre des traitements, aussi appelé RoPA, est l'outil central pour le démontrer.
Que doit contenir le registre ?
Pour chaque activité de traitement, documentez au minimum :
- la finalité du traitement ;
- les catégories de renseignements personnels concernées ;
- les destinataires et les catégories de destinataires ;
- les mesures de sécurité mises en place ;
- les durées de conservation ;
- les éventuels transferts hors Québec et leur encadrement.
Un registre vivant, pas un document mort
L'erreur classique consiste à produire un beau document une fois, puis à l'oublier. Or un registre n'a de valeur que s'il reflète la réalité. Chaque nouveau projet, chaque nouveau fournisseur, chaque nouvelle finalité devrait s'y retrouver.
Reliez le registre à votre inventaire
Dans Catégo, le registre des traitements s'appuie sur l'inventaire des actifs et des systèmes. Lorsque vous documentez une activité, vous la reliez aux actifs concernés : la catégorisation DICT et le registre se nourrissent mutuellement, et rien ne se perd.
Prêt à présenter
En cas de demande de la Commission d'accès à l'information (CAI), vous devez pouvoir présenter votre registre rapidement. Un export PDF à jour, généré en un clic, fait toute la différence entre une démarche maîtrisée et une improvisation.
