1. Énoncé de la politique

Postes Canada reconnaît et accepte de longue date sa responsabilité en vue de protéger la vie privée de ses employés et de leurs renseignements personnels. Postes Canada s’est engagée à gérer les renseignements personnels de ses employés de manière responsable et professionnelle. La collecte, l’utilisation, la communication, la conservation et la destruction des renseignements personnels des employés, de même que les pratiques de protection de la vie privée énoncées dans la politique, ont été élaborées selon les exigences de la Loi sur la protection des renseignements personnels du Canada ainsi qu’en conformité avec celle-ci.

Les employés ont intérêt à consulter la Politique de Postes Canada sur la protection des renseignements personnels des clients pour consulter les normes qui régissent le traitement des renseignements personnels détenus par Postes Canada au nom de ses clients et partenaires commerciaux.

2. Renseignements supplémentaire sur la politique

Dans le cadre de ses activités quotidiennes, Postes Canada doit recueillir des renseignements personnels auprès de ses employés afin d’offrir des services, de prendre des décisions et d’appuyer ses opérations commerciales, ses programmes et ses activités. L’objet de la présente politique est de décrire l’engagement de Postes Canada afin de protéger les renseignements personnels des employés et de les gérer de la façon la plus responsable et judicieuse possible.

La présente politique s’applique à tous les employés de Postes Canada et régit la collecte, l’utilisation et la communication de tous les renseignements personnels des employés, que ceux-ci soient conservés en version imprimée ou numérique. La politique énonce les lignes directrices de façon que Postes Canada soit dotée des procédures et systèmes établis qui contribueront à protéger et à maintenir la confidentialité et la sécurité des renseignements personnels des employés. La politique vise à faire en sorte que Postes Canada offre aux employés le droit d’accès et de correction en ce qui concerne leurs renseignements personnels que la Société détient en leur nom et énonce la procédure de règlement des plaintes, dans la mesure où les employés soulèvent des inquiétudes au sujet de la protection de leurs renseignements personnels et de leurs droits d’accès à ceux-ci.

Outre l’engagement décrit dans la politique, Postes Canada doit rédiger un rapport annuel sur ses pratiques de protection de la vie privée pour le gouvernement du Canada et présenter la liste de ses fichiers de renseignements personnels compris dans InfoSource. Postes Canada a également pour pratique d’effectuer des évaluations des facteurs relatifs à la vie privée, de façon à intégrer les mesures de protection de la vie privée dans la conception des nouveaux systèmes ou services en cause dans la collecte, l’utilisation, la communication ou la conservation des renseignements personnels des employés.

2.1 Collecte des renseignements personnels

Postes Canada doit seulement recueillir les renseignements personnels des employés qui se rapportent directement à leur emploi et aux programmes ou activités d’emploi autorisés. Dans la mesure du possible, les renseignements personnels des employés utilisés lors du processus décisionnel sont recueillis directement auprès des individus auxquels les renseignements se rapportent, et ces derniers sont informés de l’objet de la collecte au moment où celle-ci est effectuée.

Les renseignements personnels des employés tirés des dossiers ou systèmes existants de Postes Canada doivent seulement être utilisés à une fin conforme à l’objet d’origine pour lequel les renseignements ont été recueillis, à moins d’autorisation contraire en vertu de la Loi sur la protection des renseignements personnels.

2.2 Utilisation et communication des renseignements personnels

Postes Canada doit seulement utiliser les renseignements personnels des employés ou les communiquer à des tiers pour les fins pour lesquelles les renseignements ont initialement été obtenus ou regroupés ou encore pour un usage conforme à ces fins. Il faut obtenir au préalable le consentement de l’employé afin d’utiliser ou de communiquer ses renseignements personnels à toute autre fin, à moins que la fin proposée soit autorisée en vertu de la Loi sur la protection des renseignements personnels.

Postes Canada doit rendre compte de toutes les utilisations et communications non indiquées dans la description pertinente des fichiers de renseignements personnels (FRP) en annexant des exemplaires de la demande de communication et de la réponse de Postes Canada au fichier duquel les renseignements personnels de l’employé sont tirés.

Certains FRP des employés, tels que les enquêtes menées par les organismes d’enquête fédéraux, sont interdits de communication en vertu de la Loi sur la protection des renseignements personnels, y compris les FRP renfermant des renseignements personnels sur les employés :

• dont la communication pourrait raisonnablement causer préjudice à la conduite des affaires internationales, à la défense du Canada ou d’un État allié ou associé au Canada;
• qui ont été obtenus ou préparés dans le cadre d’enquêtes légitimes portant sur :
1. la détection, la prévention ou la suppression de la criminalité,
2. l’application de toute loi fédérale ou provinciale,
3. les activités soupçonnées de constituer une menace à la sécurité du Canada, selon le sens de la Loi constituant le Service canadien de renseignement de sécurité.

2.3 Conservation et destruction des renseignements personnels

Postes Canada conserve et détruit les renseignements personnels de ses employés en conformité avec sa Politique sur la gestion des documents, qui est fondée sur le calendrier énoncé dans la Loi sur la protection des renseignements personnels et le Règlement y afférent ainsi que sur d’autres lois applicables (p. ex., la Loi sur la Bibliothèque et les Archives du Canada). Le calendrier de gestion des documents renfermant les renseignements personnels des employés prévoit une période minimale de conservation de deux ans en ce qui a trait aux documents administratifs utilisés dans la prise de décisions qui touchent directement un individu, à moins d’indication contraire dans une convention collective.

La destruction des renseignements personnels, y compris les rebuts renfermant des renseignements personnels, doit se faire de manière sécurisée, notamment par le déchiquetage ou l’incinération.

2.4 Exactitude des renseignements personnels

Postes Canada prend toutes les mesures raisonnables pour faire en sorte que les renseignements personnels des employés soient les plus exacts, complets et à jour possible afin de réduire la probabilité que des renseignements inappropriés soient utilisés pour prendre des décisions au sujet des employés.

Sur présentation d’une demande écrite, les individus peuvent avoir accès aux renseignements compris dans leur dossier personnel et demander que soit corrigé tout renseignement inexact ou incomplet. Toutefois, certaines restrictions peuvent s’appliquer.

Les modifications substantielles des renseignements personnels existants des employés ou la création de nouveaux renseignements personnels des employés doivent être effectuées en consultation avec le DG, chef de file de la protection des renseignements personnels – coordonnateur général de la protection de la vie privée. Le coordonnateur doit être en cause aux premières étapes de la conception et de la reconception d’un programme, d’un service ou d’une activité touchant les renseignements personnels des employés qui comportent leur collecte, utilisation et communication.

2.5 Protection des renseignements personnels

Les renseignements personnels des employés sont classés « PROTÉGÉ » selon la pratique de classification de l’information de Postes Canada et sont protégés contre l’accès, l’utilisation, la communication, le retrait, la modification, la suppression ou la destruction non autorisé en conformité avec la Politique sur la sécurité de l’information de Postes Canada.

Les renseignements personnels des employés ne doivent pas être communiqués par téléphone à moins de vérifier à la fois l’identité du demandeur et la raison de la demande. En outre, ils ne doivent pas être affichés ou être visibles par d’autres moyens par le grand public ou les employés, à l’exception des individus qui doivent en prendre connaissance légitimement pour remplir leurs fonctions officielles. Il faut dépersonnaliser les renseignements en supprimant le nom ou l’identificateur personnel (tel le numéro d’employé) des fichiers de données lorsque l’identité d’un individu n’est pas requise pour un usage particulier.

Les renseignements personnels des employés transmis par la poste doivent être scellés dans une enveloppe double, et l’enveloppe intérieure doit être estampillée « PROTÉGÉ » et le destinataire prévu identifié.

Les systèmes informatiques renfermant des renseignements personnels des employés doivent comprendre des mesures de protection spéciales, p. ex., des mots de passe, pour faire en sorte que seulement les utilisateurs autorisés y aient accès en mode lecture ou écriture. Les rapports imprimés d’entrée-sortie doivent être produits sur des imprimantes sécurisées. De plus, les ordinateurs de bureau doivent être placés afin d’empêcher leur observation accidentelle et être mis hors tension lorsqu’ils sont sans surveillance. La transmission électronique des données personnelles, y compris par télécopie, doit être effectuée entre points d’accès contrôlés à des endroits sécurisés.

Postes Canada peut faire appel à des fournisseurs de services ou à des agents extérieurs pour recueillir ou utiliser les renseignements personnels des employés pour son propre compte, notamment pour les vérifications de sécurité préalables à l’emploi. Dans le cadre des ententes contractuelles, les fournisseurs doivent protéger les renseignements personnels des employés de manière conforme aux politiques et pratiques en matière de protection de la vie privée établies par Postes Canada et tel qu’ils y sont tenus en vertu de la Loi sur la protection des renseignements personnels.

2.6 Accès aux renseignements personnels

Sur demande, Postes Canada doit offrir aux employés une occasion raisonnable de consulter les renseignements personnels compris dans leur dossier. Les employés doivent présenter une demande écrite au DG, chef de file de la protection des renseignements personnels – coordonnateur général de la protection de la vie privée, au gestionnaire ou au superviseur. L’accès aux renseignements personnels doit être accordé dans les 30 jours civils de la réception d’une demande écrite.

L’accès est refusé lorsque les documents renferment des renseignements interdits d’accès en vertu de la Loi sur la protection des renseignements personnels, notamment les renseignements personnels sur d’autres individus ou les dossiers d’enquête. Postes Canada doit communiquer les motifs d’un refus d’accès aux renseignements personnels.

2.7 Droit de déposer une plainte

Postes Canada a pris l’engagement d’enquêter et de régler toutes les plaintes relatives à la protection de la vie privée, à la confidentialité ou à ses pratiques de traitement de l’information de la manière la plus complète, rapide et confidentielle possible. Les employés qui croient que leurs droits de protection de la vie privée ou d’accès aux renseignements ont été brimés peuvent présenter une plainte écrite auprès d’un des Coordinateurs de la Protection de la vie privée. Les employés syndiqués peuvent choisir de faire appel à leur syndicat.

À la fin de son enquête, l’enquêteur doit communiquer ses conclusions à l’individu qui a déposé la plainte et, dans le cas d’un employé syndiqué, au syndicat si celui-ci est en cause.

Les représentants de Postes Canada qui ont pris part à une enquête ne peuvent divulguer l’identité de toute personne qui a signalé une infraction à la politique, a participé à l’enquête sur l’infraction ou qui fait l’objet d’une enquête pour avoir enfreint à la politique, à moins qu’une telle divulgation ne soit essentielle pour régler l’incident ou qu’elle soit prescrite par la loi.

Les individus qui ne sont pas satisfaits des mesures prises par Postes Canada peuvent déposer une plainte auprès du Commissaire à la protection de la vie privée du Canada, ombudsman national chargé de régler les plaintes en cours relatives à la protection de la vie privée et à l’accès aux renseignements personnels :

Commissariat à la protection de la vie privée du Canada
30, rue Victoria
Gatineau (Québec) K1A 1H3

1 800 282-1376
info@privcom.gc.ca

2.8 Définitions

2.8.1 Renseignements personnels des employés

:

s’entend des renseignements au sujet d’un individu identifiable à l’emploi de Postes Canada et comprend entre autres :

• la race, l’origine nationale ou ethnique, la couleur, la religion, l’âge ou l’état matrimonial;
• les antécédents médicaux, financiers et criminels ainsi qu’en matière d’éducation et d’emploi;
• l’adresse de l’individu ainsi que les numéros d’identification qui lui sont attribués;
• la correspondance avec Postes Canada qui est explicitement ou implicitement de nature privée;
• les vues ou opinions d’un autre individu au sujet de l’individu visé;
• le nom d’un individu, lorsque la communication de son nom révélerait des renseignements sur ce dernier.

2.8.2 InfoSource

:

InfoSource est une série de répertoires accessibles au public renfermant des renseignements sur le gouvernement du Canada, son organisation et les renseignements personnels des employés détenus par les employeurs fédéraux. InfoSource est un outil de référence clé qui aide les individus à exercer leurs droits en vertu de la Loi sur la protection des renseignements personnels.

2.8.3 Fichiers de renseignements personnels (FRP)

:

Postes Canada maintient en version imprimée ou numérique des renseignements personnels sur les employés actuels et anciens ainsi que sur les postulants dans des fichiers de renseignements personnels (FRP).

Selon la définition dans la Loi sur la protection des renseignements personnels, un FRP s’entend d’un système de dossiers confidentiels renfermant des renseignements personnels qui : 1) ont été utilisés, sont utilisés ou sont accessibles pour les besoins de la prise de décisions touchant directement les individus ou 2) sont accessibles au moyen d’un identificateur personnel.

Les FRP de Postes Canada qui se rapportent aux employés sont publiés dans le chapitre 17 d’InfoSource. La liste des FRP dans InfoSource comprend les renseignements suivants :

• la description du genre de document sous Description;
• la catégorie d’employés visés sous Catégorie des personnes;
• la raison motivant la collecte des renseignements sous But;
• la divulgation et l’utilisation prévues des renseignements sous Usages compatibles;
• la durée de conservation de l’information sous Normes de conservation et de destruction.

2.9 Rôles et responsabilités

Employés

Les employés de Postes Canada de tous les échelons doivent se conformer à la présente politique. Les gestionnaires, les chefs d’équipe et les superviseurs partagent la responsabilité de veiller à sensibiliser les employés à la politique.

Directeur général, chef de file de la protection des renseignements personnels – coordonnateur général de la protection de la vie privée

Le directeur général, chef de file de la protection des renseignements personnels – coordonnateur général de la protection de la vie privée est chargé de surveiller l’application de la présente politique, y compris (entre autres) l’interprétation (en consultation avec les Affaires juridiques), la conformité, la coordination des activités de mise en œuvre et la surveillance des résultats.

Siège social et coordonnateurs régionaux de la protection de la vie privée

Le siège social et les coordonnateurs régionaux de la protection de la vie privée s’acquittent de l’administration de la présente politique dans les divisions respectives.

Gestionnaires des fichiers de renseignements personnels (FRP)

Les gestionnaires de FRP sont chargés de l’enregistrement annuel, de la mise à jour au besoin et de la gestion de leurs FRP en conformité avec la présente politique.

Spécialistes de l’information (gestion des documents, Services de sécurité et Sécurité de la TI)

Il revient aux spécialistes de l’information de veiller à ce que leurs activités relatives à la conception, à la maintenance, à la destruction ou à l’inspection des systèmes confidentiels (formulaires, dossiers, TI) soient conformes à la présente politique.

Vérification interne

La Vérification interne est chargée d’effectuer des vérifications de conformité périodiques dans le cadre des vérifications de gestion habituelles.

3. Infraction à la politique

Les employés de Postes Canada de tous les échelons, y compris les fournisseurs de services à contrat, doivent se conformer à la politique. Toute dérogation à la présente politique peut entraîner des sanctions, y compris le renvoi de Postes Canada. Toute dérogation perpétrée par les fournisseurs de services à contrat entraîne des sanctions, y compris la résiliation des services à contrat.