Par Me Nicolas Thiffault-Chouinard de LDB Avocats
Votre atelier recueille des renseignements sur vos clients : nom, adresse, téléphone, données du véhicule. Depuis la Loi 25, vous devez les protéger.
Un renseignement personnel touche toute information qui permet d’identifier une personne. Le nom, l’adresse, le téléphone ou le courriel d’un client en font partie. Dès que vous les recueillez, la loi s’applique.
Collecte et utilisation
Le renseignement suit un cycle de vie. Vous le recueillez d’abord pour une fin précise : réparer un véhicule, préparer une soumission, facturer ou encore assurer un suivi. La règle d’or est la suivante : Il faut limiter la collecte au strict nécessaire en vous demandant : « Pour quelles raisons ai-je besoin de cette information ? ».
Il faut utiliser l’information obtenue pour cette seule fin. Toute nouvelle utilisation, comme la sollicitation commerciale, exige le consentement. Ainsi, on ne peut pas utiliser l’adresse courriel d’un client pour lui transmettre des promotions après sa visite si l’objectif initial de la collecte était de lui transmettre une facture. Le client garde un droit de regard : il peut consulter son dossier et demander une correction.
Protéger au quotidien
Quelques réflexes réduisent vos risques. Verrouillez vos systèmes, protégez les accès par mot de passe et chiffrez vos données. Réservez chaque information aux employés qui en ont besoin : un technicien répare un véhicule; le courriel du client relève plutôt du comptoir. Formez votre personnel et rangez les dossiers papier.
Il faut aussi désigner un responsable de la protection des renseignements personnels. Par défaut, la loi confie ce rôle au dirigeant de l’entreprise. Cette personne sera responsable d’appliquer une politique interne connue de tous, c’est-à-dire des consignes pour la protection des renseignements.
Détruire au bon moment
Une fois la fin atteinte, la conservation du renseignement devient interdite. La loi vous oblige alors à le détruire ou à l’anonymiser. Respectez d’abord les délais imposés par d’autres lois, notamment fiscales. Tenez compte aussi de vos garanties et engagements contractuels.
Détruisez ensuite de façon sécuritaire. Déchiquetez les documents et effacez les supports numériques de manière fiable.
S’il n’y a plus de raison de conserver une information — obligation légale ou contractuelle — ou que l’on n’a pas obtenu l’autorisation du client pour le contacter à des fins de sollicitation — il faut détruire l’information.
Réagir à une brèche
Une perte ou un vol de données constitue un incident de confidentialité. Ainsi, si votre atelier est victime d’un vol d’équipement ou si des pirates informatiques réussissent à s’infiltrer dans vos systèmes, les renseignements de vos clients pourraient être en danger.
Agissez vite pour limiter le préjudice : évaluez le risque. S’il devient sérieux, avisez sans délai la Commission d’accès à l’information et les personnes touchées. Ainsi, une tentative de fraude qui aurait été détectée à temps et contrée par de bonnes pratiques sera moins sérieuse que le vol d’un ordinateur contenant des informations associant chaque client à un véhicule.
La loi exige que soient consignés dans un registre, conservé au moins cinq ans, tous les incidents de la sorte — qu’ils soient sérieux ou non.
Les sanctions peuvent atteindre 25 M$ ou 4 % du chiffre d’affaires. La rigueur devient votre meilleure assurance.
Crédit image : LDB Avocats
