Protection des renseignements personnels dans une garderie : LPRPDE, consentements, conservation

Une garderie détient sur chaque enfant des informations qu'aucun autre organisme de son quartier ne détient : allergies, médicaments, antécédents médicaux, coordonnées des parents, parfois des éléments de situation familiale. Ce sont des renseignements personnels sensibles, concernant des personnes qui ne peuvent pas consentir elles-mêmes.

Ce guide résume ce qu'implique la Loi sur la protection des renseignements personnels et les documents électroniques, dite LPRPDE, pour le travail quotidien d'un service de garde. Il ne remplace pas un avis juridique.

Ce que la loi demande, en pratique

La LPRPDE s'articule autour de principes plutôt que de procédures. Pour une garderie, quatre d'entre eux structurent l'essentiel du travail.

• Limiter la collecte : ne demander que ce qui sert réellement à garder l'enfant en sécurité et à facturer le service.
• Obtenir un consentement valable, c'est-à-dire éclairé, pour chaque usage qui sort de cette finalité.
• Protéger l'information par des mesures proportionnelles à sa sensibilité, ce qui vise en priorité les données de santé.
• Ne conserver les données que le temps nécessaire, puis les détruire.

Le consentement n'est pas une case unique

Beaucoup de garderies font signer un formulaire d'inscription unique et considèrent le consentement acquis pour tout. C'est l'erreur la plus répandue, parce que les usages ne se valent pas.

Prendre une photo d'un enfant pour le rapport quotidien envoyé à ses parents n'est pas la même chose que publier cette photo sur une page publique. Administrer un médicament, appliquer une crème solaire, autoriser une sortie ou des activités aquatiques sont autant d'usages distincts, qui appellent chacun une autorisation identifiable et révocable.

Trois conséquences pratiques : un consentement se rattache à un usage précis, il porte une date, et il peut être retiré. Un système qui ne sait pas dire qui a consenti à quoi et depuis quand ne permet pas de démontrer la conformité.

Combien de temps conserver

La loi ne fixe pas de durée universelle : elle demande de conserver le temps nécessaire à la finalité, puis de détruire. Une garderie a donc des durées différentes selon la nature du document.

Le point délicat n'est pas de fixer ces durées mais de les appliquer. Une politique qui annonce une suppression après deux ans sans qu'aucune suppression n'ait jamais lieu est plus risquée qu'une politique honnête annonçant une conservation longue.

Les droits des parents

Un parent peut demander l'accès aux renseignements détenus sur son enfant, en obtenir une copie, faire corriger une inexactitude et, dans certaines limites, demander la suppression. Une garderie doit pouvoir répondre dans un délai raisonnable.

La difficulté est rarement juridique : elle est matérielle. Rassembler les informations d'un enfant dispersées entre un classeur, un tableur, une messagerie et un groupe de discussion demande des jours. Les rassembler depuis un système unique demande quelques minutes.

Si un incident survient

Une atteinte aux mesures de sécurité qui présente un risque réel de préjudice grave doit être signalée au Commissariat à la protection de la vie privée du Canada et aux personnes concernées, et consignée. Cela vaut pour une intrusion informatique comme pour un ordinateur portable oublié dans un véhicule.

• Documentez l'incident au moment où il est découvert : ce qui a été exposé, combien de personnes, pendant combien de temps.
• Évaluez le risque réel de préjudice grave avant de conclure, plutôt qu'après avoir décidé de ne rien signaler.
• Conservez le registre des incidents, y compris ceux jugés sans risque : c'est ce registre qui sera demandé.

Le personnel, angle mort fréquent

Les politiques de garderie parlent des enfants et des parents, rarement des employés. Pourtant une garderie détient aussi sur son personnel des renseignements personnels : coordonnées, numéro d'assurance sociale, certifications, vérifications d'antécédents judiciaires, parfois des informations médicales liées à un arrêt de travail.

Les mêmes principes s'appliquent : collecte limitée à ce qui est nécessaire, accès restreint aux personnes qui en ont besoin, conservation limitée dans le temps. Une vérification d'antécédents n'a pas à rester accessible à toute l'équipe administrative, et un certificat périmé depuis cinq ans n'a plus de raison d'être conservé.

Trois habitudes qui réduisent le risque

La plupart des incidents en garderie ne viennent pas d'une attaque informatique mais d'un usage ordinaire mal cadré.

• Éviter les canaux personnels : un groupe de messagerie grand public entre éducatrices finit par contenir des photos d'enfants et des informations de santé, hors de tout contrôle de la garderie.
• Donner à chaque personne son propre accès plutôt qu'un compte partagé : un compte commun rend impossible de savoir qui a consulté quoi, et sa fermeture au départ d'un employé n'est jamais faite.
• Retirer les accès le jour du départ, pas à la fin du mois : c'est l'action la plus simple et la plus souvent oubliée.

Ces trois habitudes ne coûtent rien et couvrent une grande partie des situations qui, autrement, deviennent un incident à signaler.

Pour aller plus loin

Le Commissariat à la protection de la vie privée du Canada publie des guides destinés aux organisations, et le texte de la loi est consultable en ligne.

Sources

• Commissariat à la protection de la vie privée du Canada — la LPRPDE
• Loi sur la protection des renseignements personnels et les documents électroniques (L.C. 2000, ch. 5)