LAMRPVP et LAIPVP : les règles de confidentialité du secteur public ontarien et de ses fournisseurs

Le secteur public ontarien fonctionne sous deux lois : la LAIPVP pour les institutions provinciales et la LAMRPVP pour les institutions municipales, dont les villes, les commissions de services policiers, les conseils scolaires, les conseils de bibliothèque et les offices de protection de la nature. Les deux remplissent deux rôles à la fois. Elles accordent au public un droit d'accès aux documents et encadrent la collecte, l'utilisation et la communication des renseignements personnels.

Si vous êtes un fournisseur détenant des données pour le compte de l'un de ces organismes, vous êtes dans ce régime par contrat, même si les lois lient l'institution et non vous. La plupart des fournisseurs le découvrent au moment de la négociation, dans de mauvaises conditions.

Qu'est-ce qui surprend le plus les fournisseurs privés ?

Trois choses, régulièrement.

Les demandes d'accès peuvent atteindre vos systèmes. Un membre du public peut demander des documents détenus par l'institution, et ceux que vous détenez pour son compte sont généralement visés. Votre contrat vous obligera à aider à les extraire, en général dans le délai légal de l'institution et non dans le vôtre. Si votre architecture ne permet pas d'exporter les dossiers d'une personne précise sans projet d'ingénierie, vous avez un problème de livraison à chiffrer avant de signer.

La collecte doit être autorisée. Un organisme public ne peut pas recueillir des renseignements personnels simplement parce que c'est utile. La collecte doit être autorisée par une loi, servir à l'application de la loi, ou être nécessaire à une activité légalement autorisée. Une fonction qui recueille discrètement plus que nécessaire n'est pas un supplément que vous pouvez activer par défaut : elle peut mettre l'institution en défaut.

Les règles de communication sont plus étroites que dans le privé. Le consentement n'ouvre pas toutes les portes. Les institutions fonctionnent selon des finalités permises définies, et un fournisseur proposant d'utiliser les données pour améliorer son produit propose souvent une chose à laquelle l'institution ne peut pas licitement consentir, quoi qu'ait laissé entendre la conversation commerciale.

Où se situent les renseignements de santé ?

À part. La PHIPA de l'Ontario régit les renseignements personnels sur la santé détenus par les dépositaires, et un hôpital ou un bureau de santé publique peut relever de plus d'un régime à la fois selon le document.

La conséquence pratique pour un fournisseur, c'est que « nous sommes prêts pour la PHIPA » et « nous pouvons servir une municipalité » sont deux affirmations différentes. Si vous vendez aux deux, gardez les configurations distinctes plutôt que de supposer que la plus stricte couvre tout, car les droits d'accès et les règles de communication diffèrent d'une manière qui ne s'emboîte pas.

Que faut-il bâtir avant de soumissionner ?

Quatre capacités, toutes plus faciles à bâtir avant un appel d'offres que pendant.

L'extraction par dossier. La capacité de produire tous les documents relatifs à une personne identifiée, en export lisible, sans développement sur mesure. Cela sert les demandes d'accès et cela vous sert.

Une conservation configurable. Les organismes publics fonctionnent sous des règlements et calendriers de conservation qu'ils ne peuvent pas ignorer parce que votre produit conserve tout par défaut. Laissez-les fixer la durée et appliquez-la. Un calendrier de conservation contrôlé par l'institution est un avantage concurrentiel dans ce marché.

Une résidence canadienne avec une réponse franche. Pas « notre fournisseur a une région canadienne », mais où sont les données, où sont les sauvegardes, et quels sous-traitants y touchent. L'approvisionnement municipal pose cette question tôt et disqualifie vite.

Des journaux d'audit que l'institution peut lire elle-même. Qui a accédé à quoi et quand, sans ouvrir un billet de soutien. Le CIPVP de l'Ontario répète depuis des années qu'un accès non auditable est une défaillance de gouvernance, et les institutions le savent.

Que contient le contrat ?

Attendez-vous au gabarit de l'institution plutôt qu'au vôtre, et à ce qu'il nomme la loi. Lisez attentivement trois clauses : l'assistance aux demandes d'accès et son délai, la restriction d'utilisation des données à toute fin autre que la prestation du service, et la clause de disposition à la résiliation, qui exige souvent dans le secteur public une remise en format utilisable en plus de la suppression.

Consignez vos engagements là où votre équipe les verra. S'engager à aider pour une demande d'accès en dix jours est une obligation opérationnelle, pas une note juridique, et cela doit vivre dans vos dossiers de contrats et de fournisseurs plutôt que dans un PDF signé que personne ne rouvre.

Pour les obligations parallèles lorsque vous servez aussi des clients privés ou de compétence fédérale, la LPRP de l'Alberta et celle de la Colombie-Britannique explique comment se répartissent les lois provinciales du secteur privé.

Ceci est de l'information générale et non un avis juridique.

Valdra suit les obligations par relation client, de sorte qu'un contrat du secteur public ontarien porte ses propres engagements de conservation, d'accès et de résidence au lieu d'hériter de votre posture privée par défaut.