Leçon 2.1 : Le RPRP : désigner votre responsable de la protection
La première obligation concrète depuis septembre 2022
La Loi 25 impose à toute organisation du secteur privé de désigner formellement un Responsable de la Protection des Renseignements Personnels (RPRP). C’est le premier élément vérifié lors d’un audit de la CAI.
Qui est RPRP par défaut?
Sans désignation explicite, c’est automatiquement la personne à la plus haute autorité : PDG, président, propriétaire. La délégation est possible mais doit être :
- Écrite (résolution du conseil, lettre de mandat).
- À un membre de la haute direction, pas un stagiaire ni un consultant externe.
Un consultant externe peut faire le travail opérationnel, mais la responsabilité légale doit reposer sur un membre interne de la direction.
Ce qu’il faut publier sur le site web
- Nom complet du RPRP (ou titre fonctionnel).
- Titre professionnel dans l’organisation.
- Adresse courriel dédiée aux demandes de protection des données.
- Adresse postale de l’organisation.
Ces informations doivent figurer dans la politique de confidentialité et être facilement trouvables, pied de page ou page dédiée.
Responsabilités opérationnelles du RPRP
- Traiter les demandes d’accès (DSAR) dans 30 jours.
- Maintenir le registre des incidents de confidentialité.
- Superviser les ÉFVP avant chaque nouveau projet.
- Assurer la conformité de la bannière et de la politique de confidentialité.
- Former les employés sur la protection des données.
- Servir de point de contact avec la CAI.
Points clés
- Obligation en vigueur depuis septembre 2022.
- Par défaut : PDG/propriétaire. Délégation écrite possible à un membre de la direction.
- Coordonnées à publier sur le site web.
- RPRP responsable : DSAR, incidents, ÉFVP, formation, contact CAI.