Trousse de conformité Loi 25

Qui doit être le responsable de la protection des renseignements personnels dans votre entreprise

Par défaut, le responsable de la protection des renseignements personnels est la personne qui détient la plus haute autorité dans votre entreprise, donc vous si vous êtes propriétaire ou directeur général. Vous pouvez déléguer cette fonction par écrit, en tout ou en partie, à n'importe quelle personne. Dans les deux cas, le titre et les coordonnées du responsable doivent être publiés sur le site Internet de l'entreprise.

La loi a déjà désigné quelqu'un chez vous

Vous n'avez pas besoin de nommer qui que ce soit pour que l'obligation existe. L'article 3.1 attribue la fonction à la personne qui détient la plus haute autorité dans l'entreprise. Dans une PME, c'est le propriétaire, la présidente ou le directeur général. Si personne n'a reçu de délégation écrite chez vous, la fonction appartient à cette personne, avec les manquements qui s'y rattachent.

Toute personne qui exploite une entreprise est responsable de la protection des renseignements personnels qu'elle détient. Au sein de l'entreprise, la personne ayant la plus haute autorité veille à assurer le respect et la mise en oeuvre de la présente loi. Elle exerce la fonction de responsable de la protection des renseignements personnels; elle peut déléguer cette fonction par écrit, en tout ou en partie, à toute personne.

Article 3.1

Déléguer, oui, mais par écrit

Le texte permet la délégation en tout ou en partie, et à toute personne. Vous pouvez confier la fonction complète à votre directrice des finances. Vous pouvez aussi n'en confier qu'une partie, par exemple le traitement des demandes d'accès, et garder le reste. Deux exigences ressortent du texte. La délégation est écrite, et le titre et les coordonnées de la personne qui exerce la fonction sont publiés sur le site Internet de l'entreprise ou, à défaut de site, rendus accessibles par tout autre moyen approprié.

Voici une formulation que vous pouvez signer aujourd'hui.

En ma qualité de personne ayant la plus haute autorité au sein de [nom de l'entreprise], je délègue à [nom], [titre], la fonction de responsable de la protection des renseignements personnels prévue à l'article 3.1 de la Loi sur la protection des renseignements personnels dans le secteur privé. Cette délégation porte sur [la totalité de la fonction, ou la liste des volets délégués]. Elle prend effet le [date] et demeure en vigueur jusqu'à révocation écrite. Signature, date.

Ce modèle est une pratique recommandée, pas une exigence. L'article 3.1 demande un écrit, il ne prescrit ni forme ni mention obligatoire.

Ce que le responsable fait, article par article

La fonction n'est pas un titre honorifique. Le texte lui confie des gestes précis, répartis dans plusieurs articles.

Le délai de 30 jours de l'article 32 est le seul délai chiffré qui vise directement le responsable. Il mérite d'être connu de la personne qui ouvre le courrier et la boîte de courriels, parce que l'absence de réponse dans ce délai vaut un refus.

Le responsable de la protection des renseignements personnels doit répondre par écrit à la demande d'accès ou de rectification, avec diligence et au plus tard dans les 30 jours de la date de réception de la demande.

Article 32

Qui choisir dans une PME

L'article 3.1 n'exige aucun diplôme, aucune certification et aucune formation. Vous pouvez donc désigner la personne qui convient à votre organisation plutôt que celle qui possède un titre.

Les critères qui suivent sont une pratique recommandée et non une exigence de la loi. Choisissez quelqu'un qui a un accès direct à la direction, parce qu'une décision d'aviser la Commission se prend vite. Choisissez quelqu'un qui sait où se trouvent les renseignements, donc qui connaît la paie, le CRM, les dossiers d'employés et les sauvegardes. Évitez de confier la fonction à une personne qui quitte son poste dans six mois, puisque les coordonnées publiées devraient alors changer.

Une adresse de courriel de fonction, par exemple confidentialite@votreentreprise.ca, survit aux départs. C'est aussi une pratique recommandée.

Votre liste pour aujourd'hui

1. Écrivez le nom de la personne qui détient la plus haute autorité. Sans délégation écrite, c'est elle le responsable.
2. Si vous déléguez, signez la délégation et classez l'original. Un courriel ne remplace pas un document signé, mais il constitue un écrit.
3. Publiez le titre et les coordonnées. La page sur où publier le titre et les coordonnées du responsable indique l'endroit et la forme.
4. Donnez au responsable l'accès au registre des incidents de confidentialité, qui doit exister même si vous n'avez jamais eu d'incident.
5. Inscrivez au calendrier la révision annuelle de la délégation et des coordonnées publiées. Cette révision est une pratique recommandée, le texte n'impose aucune fréquence.

Si rien n'est encore fait chez vous et que cette page est votre première lecture sur le sujet, l'ordre des travaux est expliqué dans par où commencer quand rien n'est fait. Les gabarits de délégation, de politique et de registre sont rassemblés dans la trousse, pour ceux qui préfèrent partir d'un document existant plutôt que d'une page blanche.

Articles cités, 3.1, 3.2, 3.3, 3.4, 3.5, 3.7, 18.3, 32 de la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1, texte officiel, consulté le 7 novembre 2026.