Politique et procédure encadrant la gouvernance des renseignements personnels (confidentialité)

La personne responsable de la protection des renseignements personnels (ci-après « PRP ») pour Show Devant est madame Mélanie Gobeille. II peut être rejoint aux coordonnées suivantes :

• Courriel melanie.gobeille@showdevant.com
• Téléphone : 450 770-7007

Son rôle est notamment de :

• Contribuer à la mise en place du processus de gestion des incidents de sécurité de l'information ;
• Tenir à jour le registre des incidents de sécurité de l'information ayant pu mettre en péril la sécurité de l'information, de documenter ces incidents et d'en tenir informé la directrice ou le directeur de la sécurité de l'information ainsi que la secrétaire générale ou le secrétaire général ;
• Contribuer aux analyses de risques de sécurité de l'information afin d'identifier les menaces et les situations de vulnérabilité et de mettre en place les solutions appropriées.

En cas d'incident de confidentialité, la personne responsable de la protection des renseignements personnels prend en charge le traitement de l'incident et s'associe avec toute autre personne utile selon la nature de l'incident.

À ce titre, la PRP :

• Évalue le risque qu'un préjudice soit causé et en détermine le degré de sévérité. Lors de cette évaluation, sont considérées notamment la sensibilité du renseignement concerné, les conséquences appréhendées de son utilisation et la probabilité qu'il soit utilisé à des fins préjudiciables ;
• Avise, avec diligence, la personne dont un renseignement personnel est concerné par l'incident, lorsqu'il présente un risque qu'un préjudice sérieux soit causé, sauf lorsque cela serait susceptible d'entraver une enquête faite par une personne ou par un organisme qui, en vertu de la loi, est chargée de prévenir, détecter ou réprimer le crime ou les infractions aux lois. Cet avis doit contenir les renseignements suivants :

1. Une description des renseignements personnels visés par l'incident ou, si cette information n'est pas connue, la raison justifiant l'impossibilité de fournir une telle description ;
2. Une brève description des circonstances de l'incident ;
3. La date ou la période où l'incident a eu lieu ou, si cette dernière n'est pas connue, une approximation de cette période ;
4. Une brève description des mesures que l'organisation a prises ou entend prendre à la suite de la survenance de l'incident, afin de diminuer les risques qu'un préjudice soit causé ;
5. Les mesures que l'organisation suggère à la personne concernée de prendre afin de diminuer le risque qu'un préjudice lui soit causé ou afin d'atténuer un tel préjudice ;
6. Les coordonnées permettant à la personne concernée de se renseigner davantage relativement à l'incident.

• Avise, le cas échéant, toute personne ou tout organisme susceptibles de diminuer le risque, en ne lui communiquant que les renseignements personnels nécessaires à cette fin, sans le consentement de la personne concernée.
• Avise, avec diligence et par écrit, la Commission d'accès à l'information de l'incident de confidentialité lorsqu'il présente un risque qu'un préjudice sérieux soit causé. L'avis doit contenir les renseignements suivants :

1. Le nom de l'entreprise et le numéro d'entreprise du Québec qui lui est attribué en vertu de la Loi sur la publicité légale des entreprises ;
2. Le nom et les coordonnées de la personne à contacter au sein de l'entreprise relativement à l'incident ;
3. Une description des renseignements personnels visés par l'incident ou, si cette information n'est pas connue, la raison justifiant l'impossibilité de fournir une telle description ;
4. Une brève description des circonstances de l'incident et, si elle est connue, sa cause :
5. La date ou la période où l'incident a eu lieu ou, si cette dernière n'est pas connue, une approximation de cette période ;
6. La date ou la période au cours de laquelle Show Devant a pris connaissance de l'incident ;
7. Le nombre de personnes concernées par l'incident et, parmi celles-ci, le nombre de personnes qui résident au Québec ou, s'ils ne sont pas connus, une approximation de ces nombres ;
8. Une description des éléments qui amènent Show Devant à conclure qu'il existe un risque qu'un préjudice sérieux soit causé aux personnes concernées, tels que la sensibilité des renseignements personnels concernés, les utilisations malveillantes possibles de ces renseignements, les conséquences appréhendées de leur utilisation et la probabilité qu'ils soient utilisés à des fins préjudiciables ;
9. Les mesures que Show Devant prise ou entend prendre afin d'aviser les personnes dont un renseignement personnel est concerné par l'incident, de même que la date où les personnes ont été avisées ou le délai d'exécution envisagé ;
10. Les mesures que Show Devant a prises ou entend prendre à la suite de la survenance de l'incident notamment celles visent à diminuer les risques qu'un préjudice soit causé ou à atténuer un tel préjudice et celles visant à éviter que de nouveaux incidents de même nature ne se produisent, de même que le délai où les mesures ont été prises ou le délai d'exécution envisagé ;
11. Le cas échéant une mention précisant qu'une personne ou un organisme situé à l'extérieur du Québec et exerçant des responsabilités semblables à celles de la Commission d'accès à l'information à l'égard de la surveillance de la protection des renseignements personnels a été avisé de l'incident.

• Avise, avec diligence, les assureurs de l'entreprise, le cas échéant
• Inscris l'incident de confidentialité dans le registre prévu à cet effet.
• Sur demande de la Commission d'accès à l'information, transmets une copie de ce registre.