Les colis transportent constamment des renseignements personnels : dossiers de patients, dossiers de clients, documents d'employés, requêtes de laboratoire et formulaires signés. Lorsque le Québec a modernisé sa loi sur la protection des renseignements personnels dans le secteur privé, communément appelée Loi 25, il a rendu les organisations qui détiennent ces renseignements plus explicitement responsables de ce qu'il en advient, y compris lorsque quelqu'un d'autre les transporte. Ce guide explique en langage simple la place du coursier dans ce tableau. Il s'agit d'information générale et non d'un avis juridique : confirmez les détails auprès de votre conseiller juridique.
En bref
- Selon la loi québécoise sur le secteur privé, l'entreprise qui détient des renseignements personnels en demeure responsable, même lorsqu'un coursier les transporte.
- Lorsque des renseignements personnels sont communiqués à un prestataire de services pour un mandat, la loi prévoit un contrat écrit avec des mesures de confidentialité, un usage limité et un avis rapide en cas de manquement.
- Un colis perdu ou livré par erreur qui contient des renseignements personnels peut être un incident de confidentialité, à évaluer et à consigner.
- Le contrôle le plus simple consiste à mettre moins de renseignements personnels à l'extérieur du colis, et moins à l'intérieur.
Pourquoi la Loi 25 intéresse quiconque expédie des documents
La Loi 25 a modifié la Loi sur la protection des renseignements personnels dans le secteur privé du Québec. Ses dispositions sont entrées en vigueur par étapes : les règles sur la personne responsable et sur les incidents d'abord, la plupart des autres obligations environ un an plus tard. Pour qui expédie des documents, trois idées comptent surtout : vous demeurez responsable des renseignements que vous détenez, vous devez contrôler qui d'autre les manipule et vous avez besoin d'un processus pour le cas où quelque chose tourne mal.
Les sections suivantes résument des dispositions qui touchent le travail de coursier. La loi est plus longue et plus détaillée que ce guide : les organisations doivent s'appuyer sur le texte officiel et sur leurs propres conseillers.
Cinq dispositions qui touchent le travail de coursier
| Disposition | En termes simples | Ce que cela signifie pour une entente avec un coursier |
|---|---|---|
| Article 3.1 : personne responsable | L'entreprise est responsable des renseignements personnels qu'elle détient, et une personne est désignée pour veiller au respect de la loi | Sachez qui est cette personne dans votre organisation : c'est à elle que doit parvenir l'avis d'incident d'un coursier |
| Article 3.2 : politiques de gouvernance | Politiques et pratiques sur la conservation, la destruction, les rôles et les plaintes | Vos pratiques d'expédition devraient s'y inscrire |
| Article 18.3 : prestataires de services | Des renseignements peuvent être communiqués à un prestataire pour un mandat ou un contrat, qui doit être écrit et prévoir des mesures de confidentialité | Songez à une clause écrite de traitement des renseignements dans votre entente avec le coursier |
| Articles 3.5 à 3.8 : incidents | Mesures raisonnables après un incident, avis rapide en cas de risque de préjudice sérieux et registre des incidents | Convenez avec le coursier de la façon de signaler une perte ou une erreur de livraison, et de la rapidité |
| Article 3.6 : ce qui compte | Un incident comprend l'accès, l'utilisation ou la communication non autorisés, ainsi que la perte de renseignements personnels | Un colis perdu qui contient des renseignements personnels est un candidat |
Quand un coursier devient un prestataire de services
L'article 18.3 permet à une entreprise de communiquer des renseignements personnels, sans le consentement de la personne concernée, à quiconque en a besoin pour exécuter un mandat ou un contrat. Dans ce cas, la loi prévoit que le mandat ou le contrat soit écrit et comporte des mesures qui protègent la confidentialité des renseignements, en limitent l'utilisation à la tâche confiée et empêchent le destinataire de les conserver après la fin du travail. Le prestataire doit aussi aviser sans délai la personne responsable de l'entreprise de tout manquement, réel ou tenté, et lui permettre de vérifier qu'il respecte ses engagements.
Savoir si un coursier qui transporte une enveloppe scellée reçoit des renseignements personnels au sens de cet article est une question pour votre conseiller juridique. Bien des organisations choisissent de mettre en place une clause écrite de confidentialité et de traitement des renseignements de toute façon, parce qu'elle coûte peu et dissipe le doute. Une clause utile couvre :
- Des obligations de confidentialité pour les chauffeurs et le personnel, signées par écrit.
- L'utilisation des renseignements uniquement pour la livraison.
- Aucune conservation du contenu, et une durée de conservation définie pour les registres de livraison.
- Un avis rapide à votre personne responsable si un colis est perdu, ouvert ou livré par erreur.
- Votre droit de demander comment le coursier se conforme à ses engagements.
Un colis perdu comme incident de confidentialité
Si un colis contenant des renseignements personnels disparaît ou arrive là où il ne le devrait pas, l'organisation qui détient les renseignements devrait le traiter comme un incident de confidentialité possible. Une séquence réaliste ressemble à ceci :
- Signaler aussitôt. Le coursier informe l'expéditeur, et l'expéditeur informe sa personne responsable.
- Contenir. Tentez de localiser et de récupérer le colis, et demandez à toute personne qui l'a reçu par erreur de le laisser scellé.
- Évaluer. La loi renvoie à la sensibilité des renseignements, aux conséquences prévisibles et à la probabilité qu'ils soient utilisés à mauvais escient. La personne responsable est consultée.
- Aviser au besoin. Si l'incident présente un risque de préjudice sérieux, la loi exige un avis rapide à la Commission d'accès à l'information et aux personnes concernées.
- Consigner. Les incidents sont inscrits dans un registre.
- Corriger la cause. Modifiez l'emballage, l'étiquette, le trajet ou le prestataire.
Réduire ce que le colis révèle
| À éviter à l'extérieur | À utiliser plutôt |
|---|---|
| Le nom d'un client ou d'un patient | Un numéro de dossier ou de cas |
| Une description du contenu, comme « dossiers médicaux de… » | « Confidentiel », avec seulement des directives de manutention |
| Des identifiants comme les dates de naissance ou les numéros d'assurance | Rien : mettez-les à l'intérieur du colis scellé, et seulement si nécessaire |
| Des enveloppes ouvertes ou un emballage réutilisé portant d'anciennes étiquettes | Un emballage inviolable scellé avec une étiquette neuve |
Notre guide sur la livraison sécurisée de documents couvre le scellage et la manutention, et nos notes pour préparer un envoi avant le ramassage comprennent une liste de vérification pour l'étiquetage.
Ce que le coursier détient lui-même
Un coursier recueille aussi des renseignements personnels : noms, adresses et numéros de téléphone des destinataires, signatures sur les preuves de livraison. Demandez combien de temps ces registres sont conservés, qui peut les consulter, comment ils sont protégés et comment ils sont détruits quand ils ne sont plus nécessaires. Un coursier qui répond clairement a généralement un processus clair.
Une courte liste de vérification diligente
- Le coursier a-t-il un engagement de confidentialité écrit pour chaque chauffeur ?
- Signera-t-il une clause de traitement des renseignements, ou en acceptera-t-il une de votre part ?
- Qui appeler si un colis est perdu, et dans quel délai serez-vous informé ?
- Combien de temps les registres de livraison sont-ils conservés, et qui peut y accéder ?
- Le coursier évite-t-il d'afficher des noms et des contenus sur les étiquettes et dans le suivi ?
- Peut-il fournir l'historique des remises grâce à ses registres de chaîne de possession ?
Ce que ce guide ne couvre pas
La Loi 25 contient bien d'autres exigences, notamment sur le consentement et sur la communication de renseignements hors du Québec, qui dépassent le cadre d'un article sur les coursiers. Les dates et les détails comptent aussi. Consultez le texte officiel et adressez-vous à votre conseiller juridique pour savoir comment la loi s'applique à votre organisation.
Questions Fréquentes
La Loi 25 s'applique-t-elle à une entreprise de coursier ?
Un coursier qui détient des renseignements personnels dans le cadre de ses activités, comme les noms et les signatures des destinataires, est une entreprise soumise à ses propres obligations en vertu de la loi. Par ailleurs, un client qui communique des renseignements personnels à un coursier pour un mandat a des obligations quant à la façon d'encadrer cette relation.
Une enveloppe perdue contenant des renseignements personnels est-elle un incident de confidentialité ?
Elle peut l'être. La définition de la loi comprend la perte de renseignements personnels. L'obligation d'aviser la Commission et les personnes concernées dépend de la présence d'un risque de préjudice sérieux, que l'organisation évalue avec sa personne responsable.
Ai-je besoin d'un contrat écrit avec mon coursier ?
Lorsque des renseignements personnels sont communiqués à un prestataire pour exécuter un mandat ou un contrat, la loi prévoit une entente écrite comportant des mesures de confidentialité. Savoir si un colis scellé constitue une communication de renseignements est une question pour un conseiller juridique, et bien des organisations mettent une clause écrite en place de toute façon.
Le nom du patient ou du client doit-il figurer sur l'étiquette d'un colis ?
Il vaut mieux l'éviter. Utilisez un numéro de dossier ou de cas à l'extérieur et gardez les noms et les détails sur un bordereau à l'intérieur du colis scellé. Si le colis est livré par erreur, l'étiquette ne révèle alors rien sur les personnes concernées.
Qui le coursier doit-il aviser si un colis contenant des renseignements personnels disparaît ?
Le contact désigné de l'expéditeur, qui doit ensuite alerter la personne responsable de l'organisation. Convenez de ce contact et du délai avant la première livraison, pour que personne n'ait à improviser pendant un incident.
La confidentialité commence par l'emballage
La conformité à la Loi 25 est l'affaire de chaque organisation et de ses conseillers, mais l'apport des coursiers est surtout concret : emballage scellé, étiquettes qui ne révèlent rien, engagements de confidentialité signés, registres rigoureux et signalement rapide. Intégrez-les à votre routine d'expédition, et les questions juridiques deviendront plus faciles à trancher.
Chez Courrier Accéléré Rush, les chauffeurs signent une entente de confidentialité à l'embauche, et nous utilisons un emballage inviolable et une preuve de livraison pour les envois sensibles. Exposez-nous vos exigences par le formulaire de soumission ; notre service de coursier juridique est décrit plus en détail sur sa page.
Sources et lectures complémentaires
- LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1)
- Commission d'accès à l'information du Québec : entreprises et organisations privées