Qu’exige la Loi 25 du Québec pour les dossiers de formation des employés?

La Loi 25 s’applique-t-elle aux dossiers de formation des employés?

Oui. La loi vise les renseignements personnels qu’une personne recueille, détient, utilise ou communique dans l’exploitation d’une entreprise, quel que soit le support (art. 1). Un dossier de formation identifie une personne : nom, complétions, notes, dates de certification. Rien ne l’exclut parce qu’il concerne un employé plutôt qu’un client.

Deux obligations naissent dès la collecte. Les fins doivent être déterminées avant de recueillir (art. 4), et seuls les renseignements nécessaires à ces fins peuvent être recueillis (art. 5). Pour un LMS, cela plaide pour inscrire les données dont un cours a réellement besoin, plutôt que d’importer tous les champs RH disponibles.

Quelles fonctions d’un LMS aident à remplir les obligations de la Loi 25?

Aucun logiciel ne rend une entreprise conforme : la loi rend responsable de leur protection l’entreprise qui détient les renseignements (art. 3.1). Un LMS peut toutefois rendre une obligation plus facile ou plus difficile à remplir. Le tableau qui suit associe chaque obligation à ce qu’il faut vérifier que la plateforme permet.

La Commission d’accès à l’information résume l’obligation d’évaluation de la même façon : elle vise tout projet d’acquisition, de développement ou de refonte d’un système d’information impliquant des renseignements personnels.

Qui est responsable des données de formation sous la Loi 25?

Par défaut, la personne ayant la plus haute autorité dans l’entreprise exerce la fonction de responsable de la protection des renseignements personnels. La fonction peut être déléguée par écrit, et le titre et les coordonnées du responsable doivent être publiés sur le site Web de l’entreprise (art. 3.1).

L’entreprise doit aussi adopter des politiques et des pratiques de gouvernance qui encadrent la conservation et la destruction des renseignements, les rôles du personnel sur le cycle de vie de l’information et le traitement des plaintes (art. 3.2). Les dossiers détenus dans un LMS tombent sous ces politiques, y compris la question de savoir qui, dans l’organisation, peut voir les dossiers de qui.

Combien de temps peut-on conserver les dossiers de formation?

La loi ne publie pas de durée unique pour les dossiers de formation, et cette page n’en inventera pas. Elle fixe plutôt un plancher et un plafond.

Le plancher : un renseignement utilisé pour prendre une décision au sujet d’une personne doit être conservé au moins un an après la décision (art. 11). Un dossier de complétion qui a appuyé une certification, une promotion ou un congédiement est un tel renseignement.

Le plafond : une fois accomplies les fins pour lesquelles le renseignement a été recueilli ou utilisé, il doit être détruit, ou anonymisé pour des fins sérieuses et légitimes, sous réserve d’un délai de conservation prévu par une autre loi (art. 23). Des lois et règlements sectoriels peuvent donc prolonger la conservation de certains dossiers. Lesquels s’appliquent à vous est une question pour un conseiller juridique, pas pour la page d’un fournisseur.

Peut-on héberger les dossiers de formation hors du Québec?

Oui, sous conditions. Avant de communiquer des renseignements personnels à l’extérieur du Québec, l’entreprise doit mener une évaluation des facteurs relatifs à la vie privée : sensibilité des renseignements, fins visées, mesures de protection et régime juridique de l’État destinataire (art. 17). La communication ne peut avoir lieu que si l’évaluation établit une protection adéquate, et elle doit faire l’objet d’une entente écrite.

Le même article s’applique quand l’entreprise confie à une personne hors Québec la garde de renseignements pour son compte. Choisir l’hébergeur d’un LMS est exactement cet acte. La région d’hébergement d’une plateforme de formation est donc une question de Loi 25, pas seulement une préférence des TI.

Que se passe-t-il après un incident de confidentialité?

La loi définit l’incident de confidentialité comme l’accès, l’utilisation ou la communication non autorisés de renseignements personnels, ou leur perte (art. 3.6). Quand un incident survient, l’entreprise doit prendre des mesures raisonnables pour réduire le risque de préjudice et éviter la récidive (art. 3.5).

Si l’incident présente un risque de préjudice sérieux, l’entreprise doit aviser avec diligence la Commission d’accès à l’information et les personnes concernées (art. 3.5). Dans tous les cas, elle doit tenir un registre des incidents de confidentialité et en transmettre copie à la Commission sur demande (art. 3.8). Une brèche de LMS qui expose des dossiers d’apprentissage entre directement dans ces articles.

Quels droits le personnel conserve-t-il sur ses dossiers?

L’accès et la rectification. Sur demande, l’entreprise doit confirmer l’existence d’un dossier, le communiquer et en fournir copie; un renseignement informatisé doit être remis sous forme de transcription écrite et intelligible (art. 27). Les renseignements recueillis auprès de la personne doivent, à sa demande, lui être communiqués dans un format technologique structuré et couramment utilisé. Si un dossier est inexact, incomplet ou équivoque, la personne peut en exiger la rectification (art. 28).

Concrètement, l’employeur doit pouvoir exporter sur demande l’historique de formation complet d’une personne, sous une forme lisible.

Comment EmbayLMS gère-t-il cela?

EmbayLMS conserve les données d’apprentissage au repos dans AWS ca-central-1, la région située à Montréal, ce qui garde les dossiers stockés à l’intérieur du Québec; les exceptions publiées sont le courriel transactionnel et une couche de travailleurs d’arrière-plan hébergée aux États-Unis. L’historique de formation s’exporte par personne, par cours ou par période, la forme que prend une demande d’accès. Les dossiers de complétion survivent à la désactivation d’un compte, ce qui appuie le plancher d’un an de l’art. 11 sans garder un compte actif.

Cette page résume des dispositions législatives en termes généraux, telles qu’elles se lisaient à la date d’accès indiquée pour chaque source. Elle ne constitue pas un avis juridique et n’énonce pas ce que la loi exige de votre organisation. Consultez un conseiller juridique au sujet de vos propres obligations avant de vous y fier.