La LPRPDE et la signature électronique

La LPRPDE s’applique-t-elle à vous?

• La partie 1 de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) s’applique aux organisations qui recueillent, utilisent ou communiquent des renseignements personnels dans le cadre d’activités commerciales (article 4).
• L’Alberta, la Colombie-Britannique et le Québec ont leurs propres lois sur la protection des renseignements personnels dans le secteur privé, jugées essentiellement similaires à la LPRPDE. Selon le Commissariat à la protection de la vie privée du Canada (CPVP), les organisations visées par ces lois sont habituellement exemptées de la LPRPDE pour les renseignements personnels traités dans la province.
• La LPRPDE s’applique toujours aux organisations sous réglementation fédérale, comme les banques, les sociétés aériennes et les entreprises de télécommunications, ainsi qu’aux renseignements personnels qui franchissent les frontières provinciales ou nationales.

Partie 1 : les règles de protection des renseignements personnels

L’annexe 1 de la LPRPDE énonce dix principes. Quatre d’entre eux encadrent votre utilisation d’un service de signature électronique.

Consentement

• Il faut que la personne soit informée et qu’elle consente à la collecte, à l’utilisation ou à la communication de ses renseignements personnels, sauf lorsque cela ne serait pas approprié (principe 4.3).
• Le consentement n’est valable que s’il est raisonnable de s’attendre à ce que la personne comprenne la nature, les fins et les conséquences de ce à quoi elle consent (article 6.1).
• Déterminez les fins de la collecte au plus tard au moment où vous recueillez les renseignements (principe 4.2).
• N’exigez pas, comme condition du service, un consentement à une collecte qui dépasse ce que demandent les fins légitimes et précisées (principe 4.3.3). La règle voisine sur la limitation de la collecte demande de ne recueillir que ce qui est nécessaire (principe 4.4) : ne demandez donc pas aux signataires des pièces jointes ou des précisions inutiles.

Mesures de sécurité

• Protégez les renseignements personnels par des mesures de sécurité adaptées à leur degré de sensibilité, quel que soit leur format (principe 4.7).
• Ces mesures devraient être matérielles, administratives et techniques, par exemple un accès sélectif, l’usage de mots de passe et le chiffrement (principe 4.7.3).
• Déclarez au CPVP toute atteinte aux mesures de sécurité qui présente un risque réel de préjudice grave, avisez les personnes touchées et tenez un registre de toutes les atteintes (articles 10.1 et 10.3).

Responsabilité à l’égard des renseignements transférés

• Vous êtes responsable des renseignements personnels que vous avez en votre possession ou sous votre garde, y compris ceux confiés à une tierce partie aux fins de traitement, comme un fournisseur de signature électronique. Par voie contractuelle ou autre, assurez un degré comparable de protection pendant que le fournisseur les traite (principe 4.1.3).
• Désignez une personne qui veille au respect des principes (principe 4.1).
• Les lignes directrices du CPVP sur le traitement transfrontalier des données personnelles précisent qu’un transfert aux fins de traitement constitue une utilisation des renseignements, et non une communication. La LPRPDE n’interdit pas les transferts vers un autre pays, mais vous devriez en évaluer les risques, y compris les lois du pays où le fournisseur exerce ses activités.
• Selon ces mêmes lignes directrices, il faut indiquer clairement aux personnes que leurs renseignements pourraient être traités dans un pays étranger et que les tribunaux, les organismes d’application de la loi et les autorités de sécurité nationale de ce pays pourraient y accéder.

Transparence

• Rendez facilement accessibles des renseignements précis sur vos politiques et pratiques de gestion des renseignements personnels, sous une forme généralement compréhensible (principe 4.8).
• Indiquez notamment le nom ou le titre et l’adresse de la personne responsable de ces pratiques, ainsi qu’une description des renseignements personnels que vous détenez et de l’usage que vous en faites (principe 4.8.2).

Partie 2 : les documents électroniques et les lois fédérales

• La partie 2 prévoit des solutions électroniques lorsque les lois fédérales envisagent l’utilisation du papier (article 32). Elle ne change pas les règles qui découlent des lois provinciales; pour celles-ci, consultez la loi de votre province sur le commerce électronique.
• Une signature exigée par une loi fédérale peut être remplacée par une signature électronique seulement si la loi ou la disposition est inscrite à l’annexe 2 ou 3 de la LPRPDE et que les règlements applicables sont respectés (article 43).
• Certains usages exigent une « signature électronique sécurisée » : un document original (article 42), une déclaration sous serment ou une affirmation solennelle (article 44), une déclaration attestant que des renseignements sont véridiques, exacts ou complets (article 45), une signature devant témoin (article 46) et un sceau (article 39).
• Une signature électronique sécurisée doit résulter d’une technologie ou d’un procédé prévu par règlement (article 31). Le Règlement sur les signatures électroniques sécurisées prévoit une signature numérique appuyée par un certificat de signature numérique délivré par une autorité de certification reconnue par le président du Conseil du Trésor.

Liste de vérification

1. Confirmez la loi qui s’applique à vous : la LPRPDE, une loi provinciale, ou les deux.
2. Désignez la personne responsable de la protection des renseignements personnels et publiez son titre et ses coordonnées.
3. Dites aux signataires ce que vous recueillez, pourquoi, et qui traite les renseignements pour vous, y compris tout traitement à l’extérieur du Canada.
4. Ne recueillez que ce dont chaque entente a besoin.
5. Concluez avec votre fournisseur de signature électronique une entente écrite qui assure un degré comparable de protection.
6. Limitez le nombre de personnes de votre organisation qui peuvent consulter les documents signés.
7. Ayez un plan en cas d’atteinte : évaluer, déclarer et aviser lorsque c’est requis, et consigner chaque atteinte.
8. Pour un formulaire ou un dépôt fédéral, vérifiez si la loi est inscrite à l’annexe 2 ou 3 de la LPRPDE et si elle exige une signature électronique sécurisée.