1. ENGAGEMENT À L’ÉGARD DE LA PROTECTION DES RENSEIGNEMENTS PERSONNELS
Miller Thomson S.E.N.C.R.L., s.r.l et sa société de gestion, Gestion Miltom s.e.c. (collectivement, « Miller Thomson » ou « le cabinet »), s’engagent à protéger le secret, la confidentialité, l’exactitude et la sécurité des renseignements personnels qu’elles détiennent. La présente politique décrit la façon dont le cabinet recueille, utilise, communique et protège les renseignements personnels des personnes qui font affaire avec lui ou qui travaillent chez Miller Thomson.
On entend par « renseignements personnels » les données au sujet d’une personne identifiable ou qui permettent d’établir directement ou indirectement l’identité d’une personne, comme le nom, l’adresse postale ou courriel, l’âge, le genre, les données financières personnelles ou les numéros d’identification. Miller Thomson est un cabinet juridique d’envergure nationale qui possède des bureaux dans plusieurs villes canadiennes et qui est soumis à des lois fédérales et provinciales sur la vie privée. Ses obligations à cet égard sont en partie régies par les règles de déontologie qui s’appliquent à chacun de ses professionnels, notamment à tous les associés, employés, fournisseurs et mandataires, dans le cadre de la prestation de services juridiques. Ainsi, la plupart des renseignements personnels que le cabinet détient ou recueille sont protégés par le secret professionnel liant l’avocat à son client, et Miller Thomson honore cette obligation professionnelle.
Le cabinet s’engage à recueillir, à utiliser et à communiquer tout renseignement personnel de façon responsable, uniquement dans les limites du consentement donné et dans la mesure nécessaire pour servir ses clients et dans le cadre de ses activités professionnelles. Il tâche également de limiter la quantité de renseignements qu’il recueille sur les personnes ou les organisations à ceux qui sont nécessaires pour offrir des conseils et des services juridiques, pour suivre les instructions des clients et pour toute autre raison définie dans la présente politique.
2. NATURE DES RENSEIGNEMENTS PERSONNELS RECUEILLIS
Le cabinet recueille et traite différents types de renseignements personnels dans le cadre de la prestation et de la gestion de ses services juridiques, en fonction de divers facteurs et du contexte. En voici des exemples :
- coordonnées, nom, adresse postale ou courriel et numéro de téléphone;
- renseignements d’embauche (CV, scolarité, antécédents professionnels, titre de poste et nom de l’employeur);
- renseignements d’identification (copies de permis de conduire, données provenant de passeports et sources de financement);
- renseignements financiers et de facturation (données sur le crédit, compte bancaire et adresse de facturation);
- renseignements relatifs à un enjeu juridique (opinions, finances, possessions, emploi, famille, impôts et assurances);
- renseignements personnels sur un client, un fournisseur, un conseiller ou un sous-traitant, ainsi que sur ses administrateurs, dirigeants, actionnaires, cautions, employés ou parties adverses, témoins réels ou éventuels, autres avocats, médiateurs et arbitres;
- renseignements personnels sur l’administrateur, le dirigeant, l’actionnaire, la caution, l’employé ou le conseiller d’un client ou d’une partie adverse, d’un témoin réel ou éventuel, d’un autre avocat, d’un médiateur ou d’un arbitre;
- renseignements de marketing (mode de communication et domaine du droit privilégiés, inscription à des communiqués, des infolettres ou des séminaires, rétroaction et réponses à un sondage).
La majorité de ces renseignements sont recueillis directement auprès de la personne, mais certains sont obtenus indirectement auprès d’autres sources. Pour recueillir des renseignements personnels, le cabinet pourrait employer des technologies comportant des fonctions d’identification, de localisation et de profilage. Le profilage est une technique consistant à rassembler et à utiliser les caractéristiques d’une personne pour évaluer des traits particuliers la concernant. Le cabinet utilise par exemple des témoins, par les moyens décrits ci-après.
3. RAISONS POUR LESQUELLES LE CABINET RECUEILLE, UTILISE ET COMMUNIQUE DES RENSEIGNEMENTS PERSONNELS
A. Généralités
Le cabinet peut recueillir, utiliser ou communiquer des renseignements personnels pour :
- vérifier s’il y a un conflit d’intérêts ou décider s’il s’engagera dans une relation professionnelle avec un client ou dans une relation commerciale avec un fournisseur ou un autre tiers;
- honorer ses obligations juridiques et professionnelles, comme les codes de déontologie des barreaux provinciaux concernant l’identification et la vérification des clients, et les exigences relatives à la lutte contre le blanchiment d’argent;
- communiquer avec un client, un fournisseur ou un tiers, lui offrir des services et gérer son dossier;
- utiliser des précédents;
- fournir des avis juridiques ou agir pour le compte d’un client dans le cadre d’une opération ou d’un litige;
- assurer la facturation et la gestion comptable de ses services;
- diffuser des infolettres, des cours et des séminaires (sur consentement, lequel peut être annulé à tout moment);
- communiquer avec un client et lui envoyer des cartes de souhaits ou d’autres salutations;
- effectuer les vérifications internes, externes et réglementaires;
- assurer sa sécurité et se préparer aux urgences (dans le cas des renseignements sur les visiteurs et les invités sur place);
- toute autre raison permise ou requise par les lois et les règlements applicables;
- toute autre raison à laquelle vous avez consenti.
B. Renseignements personnels sur un membre du grand public
La collecte de renseignements sur des membres du grand public est généralement accessoire et vise principalement à rassembler et à examiner des faits se rapportant au dossier d’un client ainsi qu’à fournir des conseils juridiques au client. Il arrive aussi au cabinet d’utiliser des renseignements fournis dans le cadre d’une opération ou d’un litige sur dans lequel il offre des conseils.
De plus, il peut recueillir, utiliser et communiquer des renseignements personnels auprès ou au sujet de tiers pour fournir au public de l’information sur des événements spéciaux (comme un séminaire ou une conférence) ou ses services juridiques.
C. Renseignements personnels sur des candidats ou des diplômés
Le cabinet recueille des renseignements personnels sur les candidats pour évaluer leur candidature en vue de leur embauche. Ces renseignements peuvent provenir de tiers, par exemple dans le cas des références professionnelles, de la vérification des antécédents et des services de présélection. Si le candidat n’est pas embauché, le cabinet conserve ses renseignements pour une période raisonnable dans l’éventualité qu’un autre poste se libère ou que le candidat postule à nouveau, sauf si la personne en demande la suppression. Les vérifications d’antécédents sont conservées au dossier pendant un an. Si le cabinet embauche le candidat, les renseignements sont ajoutés au dossier d’employé de ce dernier.
Le cabinet recueille et conserve aussi des renseignements personnels sur ses anciens employés, comme leur nom, leurs coordonnées ainsi que leur statut et leurs antécédents professionnels.
D. Renseignements personnels recueillis sur le site Web
Les serveurs Internet du cabinet recueillent automatiquement l’adresse IP, la date et l’heure de chaque visite du site Web, les pages consultées, les documents téléchargés, les recherches effectuées et le lien URL utilisé pour accéder au site. Ces renseignements servent au dépannage du site Web et à la correction des problèmes de fonctionnement.
Le cabinet utilise des témoins pour surveiller l’achalandage et l’utilisation du site et l’information connexe sur le site. Les témoins sont de petits éléments d’information qui sont stockés sur l’ordinateur pour permettre au navigateur de garder en mémoire certaines données à propos d’un site Web. La plupart des navigateurs acceptent automatiquement les témoins, mais peuvent être configurés pour les refuser ou signaler leur présence. Les témoins servent aussi à personnaliser l’interface pour accélérer la navigation et rendre l’expérience d’utilisation plus efficace. Sans témoins, ces fonctions sont impossibles. Quand un utilisateur accède à un site Web, un témoin permet de savoir si c’est sa première visite. Le cabinet utilise les témoins pour s’informer sur les fonctions du site les plus utilisées par un utilisateur et ainsi lui recommander d’autres fonctions semblables.
Il utilise aussi Google Analytics, Google Tag Manager et Google Ads. Enfin, les fournisseurs tiers peuvent utiliser des témoins pour proposer des annonces aux utilisateurs qui visitent le site du cabinet ou d’autres sites. Pour désactiver la publicité personnalisée de Google, visiter la page Réglages de Google Ads. Les témoins de tiers aux fins de publicité personnalisée peuvent également être désactivés sur leur site Web ou sur la page https://youradchoices.ca/fr/en-savoir-plus/.
Aucun renseignement personnel n’est extrait de ce processus, et ces données ne sont communiquées à aucun tiers.
En naviguant sur le site du cabinet, l’utilisateur consent à la collecte, à l’utilisation et à la communication des renseignements qui y sont recueillis à son sujet, conformément à la présente politique sur la protection des renseignements personnels, ou qu’il fournit lui-même sur ce site, comme ses coordonnées lors de son inscription à une infolettre.
Certaines pages du site, comme celle du paiement par carte de crédit, peuvent contenir des liens vers d’autres sites. Le cabinet ne peut être tenu responsable des pratiques de confidentialité des tiers et recommande fortement à l’utilisateur de lire la politique sur la protection des renseignements personnels de ces tiers avant de leur fournir des renseignements personnels.
Paiement par carte de crédit
Sur la page de paiement par carte de crédit, le client est invité à fournir des renseignements personnels, comme son nom, ses coordonnées, son numéro de dossier et ses données de paiement, qui serviront à associer son paiement en ligne aux services visés. Ce type de paiement est traité par Chase Merchant Services, le fournisseur de services de paiement par carte de crédit du cabinet. Miller Thomson ne recueille, ne conserve, ni ne consulte aucun renseignement (y compris les données de cartes de crédit) fourni à Chase Merchant Services.
4. AUTORISATION D’UTILISATION DES RENSEIGNEMENTS PERSONNELS
Lorsque quelqu’un transmet à Miller Thomson les renseignements personnels d’une autre personne, il déclare qu’il a préalablement obtenu l’autorisation de cette personne pour que le cabinet recueille, utilise et communique ses renseignements personnels aux fins prévues dans la présente politique, ou qu’il a le pouvoir juridique d’y autoriser le cabinet.
Dans bon nombre de situations, la législation relative à la protection des renseignements personnels oblige le cabinet à obtenir l’autorisation de toute personne pour recueillir, utiliser ou communiquer des renseignements personnels à son sujet. Ce consentement peut être donné oralement ou par écrit; il peut être explicite (dans un formulaire de consentement, par courriel, en personne ou au téléphone) ou implicite (par exemple, quand quelqu’un fournit des renseignements personnels dans le contexte d’une relation), selon les circonstances et le degré de confidentialité de l’information. Le consentement permet au cabinet d’utiliser les renseignements personnels de façon raisonnable dans le cadre de la prestation de services. Toute personne qui doit transmettre au cabinet des renseignements personnels sur quelqu’un d’autre (un employé, une personne à charge, etc.), est tenue de s’assurer, lorsque la loi l’exige et avant la transmission des renseignements, que cette autre personne autorise la communication de ses renseignements conformément aux fins expressément visées.
Chacun a le choix de fournir ou non des renseignements personnels au cabinet. Toute demande de service doit toutefois être accompagnée de certains renseignements pour que le cabinet soit en mesure de donner suite à la demande. Par conséquent, la personne autorise à cette fin le cabinet à recueillir et à utiliser ces renseignements, et à les communiquer à des tiers. Elle autorise également le cabinet à utiliser et à conserver les renseignements personnels pour aussi longtemps que nécessaire aux fins précitées. L’autorisation reste en vigueur même après la fin de la relation avec le cabinet, à moins que la personne ne la retire par écrit.
Le cabinet peut installer des caméras ou d’autres appareils d’enregistrement dans les zones publiques de ses installations, pour la protection de ses employés, de ses biens et des renseignements confidentiels des clients. Le cas échéant, il installera des affiches informant le public de l’existence de ces appareils et des motifs de leur utilisation. Les caméras sont statiques; elles sont équipées de détecteurs de mouvement et elles n’enregistrent aucun son. Seuls les administrateurs ont accès aux enregistrements vidéo, qui sont conservés de trois à douze mois, selon le débit de circulation.
Le cabinet peut aussi utiliser des renseignements personnels pour prendre une décision issue exclusivement d’un traitement automatisé de ces renseignements, par exemple à l’aide de l’intelligence artificielle.
La loi comporte certaines exceptions en vertu desquelles le cabinet n’est pas tenu d’obtenir d’autorisation ou d’expliquer ses raisons pour recueillir, utiliser ou communiquer des renseignements personnels. Ces exceptions comprennent les situations d’urgence mettant en danger la vie, la santé ou la sécurité d’une personne ou l’obligation de se conformer à une ordonnance d’un tribunal. Pour obtenir une liste plus exhaustive des exceptions, communiquer avec la personne responsable de la protection des renseignements personnels mentionnée ci-dessous.
Mis à part les exceptions prévues par la loi, les renseignements personnels sont uniquement utilisés aux fins pour lesquelles ils ont été recueillis. Si, pour quelque raison que ce soit, le cabinet doit utiliser ou communiquer des renseignements personnels à une fin autre que celle établie à l’origine, il entreprendra les démarches nécessaires pour obtenir un nouveau consentement ou un renouvellement du consentement de la part de la personne concernée.
Le cabinet conserve les renseignements de ses clients actuels et anciens pour faciliter la prestation de ses services. Toute personne qui ne souhaite plus recevoir d’information à propos des services du cabinet doit communiquer avec le responsable de la protection des renseignements personnels. La liste de contacts du cabinet sera mise à jour en conséquence.
5. COMMUNICATION DES RENSEIGNEMENTS PERSONNELS
Dans le cadre des services offerts, le cabinet pourrait devoir communiquer les renseignements personnels recueillis à des tiers, à d’autres fournisseurs de services ou à des mandataires qui agissent pour son compte. Il les communique à un tiers lorsque la personne a consenti à la communication à ce tiers en particulier pour une raison déterminée, lorsque le tiers agit pour le compte du cabinet à titre de mandataire ou de fournisseur de services (par exemple des fournisseurs de services informatiques, des hébergeurs ou des fournisseurs de solutions de marketing), uniquement aux fins de la prestation de ces services, ou lorsque les lois applicables l’exigent ou le permettent.
Des renseignements peuvent par exemple être communiqués à d’autres cabinets de services professionnels (en lien avec les services juridiques du cabinet) et à des fournisseurs de services de soutien (stockage, technologies, finances, comptabilité, ressources humaines, marketing, assurance, communications, logiciels et tout autre service qui appuie la pratique du droit ou s’y rapporte). Ces tiers pourraient stocker ou traiter des renseignements personnels pour le cabinet au Canada ou ailleurs (stockage et traitement de données, infonuagique, hébergement d’application, services administratifs, etc.).
Lorsque le cabinet communique des renseignements personnels à des tiers (par exemple, à un fournisseur de services d’archivage) ou à des services de tiers liés aux services offerts aux clients, il conclut des ententes avec ces tiers stipulant les utilisations autorisées et comprenant un engagement des tiers à offrir un niveau de protection des renseignements personnels comparable à celui du cabinet. Les résidents du Québec doivent noter que leurs renseignements personnels peuvent être communiqués à l’extérieur du Québec ou du Canada, pour les fins décrites précédemment, comme la collecte, l’utilisation, la communication ou la conservation. Le cabinet ne vend, ne loue, ni n’échange des listes de clients ni aucun autre renseignement personnel.
Certaines circonstances pourraient par contre l’obliger à fournir des renseignements personnels à des tiers à des fins juridiques ou réglementaires.
Les avocats sont tenus de protéger les renseignements personnels des clients en considération de la responsabilité professionnelle qui leur incombe. Les règles régissant le secret professionnel liant l’avocat à son client protègent également ces renseignements, qu’un avocat ne doit jamais communiquer sans avoir préalablement obtenu des instructions du client. La législation en vigueur relativement à la protection des renseignements personnels ne porte aucunement atteinte au secret professionnel, mais précise plutôt qu’aucune disposition de la loi ne l’affecte. Par conséquent, le cabinet protégera tout renseignement personnel couvert par le secret professionnel.
À la demande d’un client, il a l’obligation professionnelle de lui indiquer quels renseignements sont contenus dans son dossier.
6. EXACTITUDE DES RENSEIGNEMENTS
Il est important que les renseignements personnels sur chaque client soient exacts et complets. Le cabinet pourra ainsi offrir le meilleur service possible. Sauf certaines exceptions, les clients peuvent consulter, confirmer ou modifier leurs renseignements personnels. et aider le cabinet à maintenir ces données à jour en mentionnant tout changement (par exemple, une nouvelle adresse ou un nouveau numéro de téléphone).
Malgré tous les efforts déployés, les renseignements peuvent comporter certaines inexactitudes. Si une personne constate que certaines données détenues à son sujet ne sont plus valides, ou sont incorrectes ou incomplètes, elle peut demander qu’elles soient corrigées. Le cabinet apportera les corrections nécessaires rapidement et fera tous les efforts raisonnables pour communiquer ces modifications aux autres parties auxquelles il pourrait avoir envoyé par mégarde des renseignements personnels incorrects.
7. CONSERVATION ET SUPPRESSION DES RENSEIGNEMENTS PERSONNELS
La période de conservation des renseignements personnels dépend des services offerts et de la nature des renseignements. La politique du cabinet sur la conservation des dossiers veut que les dossiers clients soient conservés pour les périodes fixées par les barreaux compétents. Ces périodes prescrites durent entre sept (7) et quinze (15) ans (selon l’endroit) après la date de clôture du dossier. De plus, la politique prévoit une période de conservation plus longue pour certains types de dossiers (par exemple, ceux concernant un testament), en raison de leur nature. Lorsque des renseignements personnels ne sont plus requis par le cabinet ou par la loi, le cabinet les supprime ou les détruit conformément à ses politiques et procédures en vigueur.
8. MESURES DE PROTECTION DES RENSEIGNEMENTS PERSONNELS
Le cabinet conserve dans un dossier les renseignements personnels de chacun. Ce dossier est conservé au bureau de Miller Thomson qui correspond aux services fournis, au lieu de résidence de la personne et à sa relation avec le cabinet, ainsi qu’en format électronique dans le système de gestion de documents et dans les technologies de tiers que le cabinet utilise pour gérer ses dossiers. Pour savoir où se trouve un dossier, il suffit de communiquer avec l’agent de protection de la vie privée nommé ci-dessous.
Miller Thomson utilise toutes les mesures physiques, électroniques et procédurales appropriées pour protéger ses systèmes et l’ensemble des renseignements personnels qu’il détient contre les utilisations ou accès non autorisés. Toutes les mesures de sécurité sont adaptées au degré de confidentialité des renseignements recueillis.
Le contrat que les fournisseurs de services et les mandataires concluent avec Miller Thomson comporte l’obligation de protéger la confidentialité des renseignements fournis par les clients et l’interdiction d’utiliser ces données à des fins non autorisées.
Les employés sont soumis à des normes et à des politiques sévères afin que les renseignements personnels soient protégés et traités avec soin et respect. Ces politiques et pratiques prévoient des mesures de protection pour tout le cycle de vie des renseignements personnels, donnent des directives sur la conservation et la destruction de renseignements, définissent les responsabilités des membres du personnel du cabinet et établissent un processus pour le traitement des plaintes liées à la sécurité des renseignements. Le cabinet rappelle à ses membres l’importance de préserver la confidentialité des renseignements personnels et fait régulièrement de la sensibilisation à ce sujet.
Le cabinet prend toutes les mesures appropriées pour protéger les renseignements personnels. Il y a toutefois des risques inhérents à l’échange ou à la protection de données au moyen de toute forme de communication (électronique ou autre), y compris l’utilisation de logiciels et services commerciaux ou publics (souvent appelés l’« infonuagique »). Tout envoi de renseignements personnels peut être intercepté, accidentellement ou délibérément, par des tiers.
Le cabinet décline toute responsabilité à l’égard des préjudices découlant du mauvais usage de renseignements confidentiels lors d’un tel échange. Miller Thomson privilégie les communications par courriel et, à moins d’indication contraire par écrit, il pourrait utiliser du texte non chiffré.
Ses serveurs sont au Canada, mais il peut utiliser des logiciels et services commerciaux et publics hébergés ailleurs pour stocker, envoyer ou traiter certaines données. Quand les données sont conservées ailleurs qu’au Canada, il se peut que des forces de l’ordre, des gouvernements ou des tribunaux étrangers y aient accès.
9. COORDONNÉES DES PERSONNES-RESSOURCES
Toute personne peut communiquer avec le responsable de la protection des renseignements personnels du cabinet pour obtenir de plus amples renseignements au sujet des politiques et des procédures à cet égard, pour demander l’accès à certains renseignements personnels que le cabinet pourrait détenir à son sujet, ou pour toute question ou préoccupation. Le cabinet se réserve le droit de demander des renseignements personnels à toute personne pour vérifier son identité. Il peut aussi demander des frais raisonnables pour le traitement des demandes d’accès à l’information. Le cas échéant, il en fournit une estimation préalable et peut demander le paiement d’une partie ou de la totalité des frais à titre de dépôt.
La personne qui estime que le cabinet ne s’acquitte pas de ses responsabilités en matière de protection des renseignements personnels peut porter plainte au responsable de la protection des renseignements personnels. Le cabinet répondra rapidement et fera tous les efforts pour remédier aux problèmes soulevés. Il pourrait alors communiquer avec le plaignant pour obtenir des renseignements supplémentaires nécessaires à son examen et pour lui faire part de ses conclusions. Si l’examen conclut que la plainte est fondée, le cabinet prendra les mesures appropriées pour corriger la situation. Il est aussi possible de déposer une plainte ou de poser des questions au Commissariat à la protection de la vie privée du Canada (1 800 282-1376 ou [email protected]) ou au commissaire à la protection de la vie privée de la province compétente, selon le cas.
Parfois, le cabinet n’est pas en mesure de fournir certains renseignements personnels, car le droit d’accès à l’information n’est pas absolu. Il ne pourra, par exemple, fournir une information qui révélerait des renseignements personnels sur une autre personne, des renseignements commerciaux confidentiels ou des données protégées par le secret professionnel liant l’avocat à son client ou par le privilège relatif au litige. S’il n’est pas possible de fournir les renseignements demandés, le cabinet en informe la personne par écrit, lui explique pourquoi et lui indique les recours possibles.
Responsable de la protection des renseignements personnels du cabinet
Personne-ressource : Pascale Cloutier, associée et avocate générale, [email protected]