Politique de confidentialité, de sécurité de l’information et de protection des renseignements personnels

Service des technologies de l’information
STI-POL–01

1. ÉNONCÉ PROJETÉ – NOUVELLE POLITIQUE

La présente politique découle (notamment) de l’obligation, pour le Centre de services scolaire des Chênes (ci-après le CSS des Chênes ou le centre de services scolaire), d’adopter et de publier sur son site Internet une politique de confidentialité rédigée en termes simples et clairs lorsqu’il recueille des renseignements personnels par un moyen technologique, tel que prévu à l’article

63.4 de la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels.

De plus, l’entrée en vigueur de la Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement (LRQ, Loi 133) et de la Directive sur la sécurité de l’information gouvernementale crée des obligations aux centres de services scolaires en leur qualité d’organismes publics.

La Directive sur la sécurité de l’information gouvernementale oblige, par ailleurs, le CSS des Chênes à adopter, à mettre en œuvre, à maintenir à jour et à assurer l’application d’une politique de sécurité de l’information dont les principales modalités sont définies dans la directive gouvernementale en ayant recours, notamment, à des processus formels de sécurité de l’information qui permettent d’assurer la gestion des risques, la gestion de l’accès à l’information et la gestion des incidents.

Conséquemment, le CSS des Chênes considère qu’il est primordial d’accentuer ses efforts pour protéger l’information et les ressources qui la sous-tendent et, à cet égard, de se doter d’une gouvernance forte en matière de sécurité de l’information.

2. OBJECTIFS

La présente politique s’inscrit à l’intérieur des autres encadrements applicables au CSS des Chênes et s’applique à ses sites Internet, y compris ceux de ses établissements scolaires.

Éléments à considérer :

Le centre de services scolaire recueille, utilise, produit, communique et conserve une quantité croissante d’informations, que ce soit sur papier ou support

Comme d’autres entités, le CSS des Chênes fait face à un nombre grandissant de menaces pouvant porter atteinte à la confidentialité, l’intégrité et la disponibilité de cette information.
Ces menaces, dont la nature est en constance évolution, comprennent, entre autres, le vol de renseignements personnels, le piratage, l’hameçonnage, la fraude, l’espionnage, l’accès non autorisé à l’information, les défaillances techniques, les événements naturels et les erreurs humaines.

La présente politique a pour objectif d’affirmer l’engagement du CSS des Chênes à s’acquitter pleinement de ses obligations à l’égard de la sécurité de l’information et de la confidentialité des renseignements personnels, quels que soient les supports ou les moyens de communication.

Plus spécifiquement, le CSS des Chênes doit veiller à :

La disponibilité de l’information, de sorte qu’elle soit accessible en temps voulu et de la manière requise aux personnes autorisées;
L’intégrité de l’information, de sorte que celle-ci ne soit ni détruite ni altérée d’aucune façon sans autorisation et que le support de cette information lui procure la stabilité et la pérennité voulues;
La confidentialité de l’information, en limitant la divulgation et l’utilisation de celle-ci aux seules personnes autorisées, surtout si elle constitue des renseignements personnels.

Par conséquent, le CSS des Chênes met en place cette politique dans le but d’orienter et de déterminer sa vision, qui sera détaillée par le Cadre de gestion de la sécurité de l’information.

De plus, une directive relative aux règles encadrant la gouvernance à l’égard des renseignements personnels est disponible pour soutenir le centre de services scolaire, qui doit se doter de règles à cet effet.

3. CADRE NORMATIF

La présente politique est adoptée en vertu :

De l’article 12 de la Directive sur la sécurité de l’information gouvernementale découlant de la Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement;
Des articles 2, 63.3 et 63.4 de la Loi sur l’accès aux documents des organismes

publics et sur la protection des renseignements personnels (RLRQ, c. A-2.1).

Elle s’appuie, par ailleurs, sur le cadre normatif gouvernemental suivant :

Le Cadre gouvernemental de gestion de la sécurité de l’information;
La Politique gouvernementale en matière de sécurité de l’information;
La Loi sur l’instruction publique (L.R.Q. l-13.3);
Le Code civil du Québec (LQ, 1991, chapitre 64);
La Politique-cadre sur la gouvernance et la gestion des ressources informationnelles des organismes publics;
La Loi concernant le cadre juridique des technologies de l’information (LRQ, chapitre

C-1.1);

La Loi sur l’accès aux documents des organismes publics et sur la protection des

renseignements personnels (LRQ, chapitre A-2.1);

La Loi sur le droit d’auteur (LRC, 1985, chapitre C-42);
Loi sur les archives (RLRQ A-21.1). c. A21.1, r.1);
Règles d’utilisation des technologies de l’information et des communications au

4. CHAMP D’APPLICATION

La présente politique s’adresse aux utilisateurs de l’information, c’est-à-dire à tout le personnel, à toute personne physique ou morale qui, à titre d’employé, de consultant, de bénévole, de partenaire, de fournisseur, d’élève ou de public; utilise les actifs informationnels du CSS des Chênes.

L’information visée est celle que le CSS des Chênes détient dans le cadre de ses activités, que sa conservation soit assurée par elle-même ou par un tiers. Les formats de l’information visée sont technologiques ou non technologiques.

Tout utilisateur a l’obligation de protéger les actifs informationnels mis à sa disposition par le CSS des Chênes. À cette fin, il doit :

Prendre connaissance et se conformer à la présente politique, aux directives, aux procédures et autres lignes de conduite en découlant.
Utiliser, dans le cadre des droits d’accès qui lui sont attribués et uniquement lorsqu’ils sont nécessaires à l’exercice de ses fonctions, les actifs informationnels mis à sa disposition, en se limitant aux fins auxquelles ils sont destinés;
Respecter les mesures de sécurité mises en place sur son poste de travail et sur tout équipement contenant des données à protéger et ne pas modifier leur configuration ou les désactiver;
Se conformer aux exigences légales portant sur l’utilisation des produits à l’égard desquels des droits de propriété intellectuelle pourraient exister;
Signaler, sans tarder, à son supérieur immédiat tout incident ou anomalie dont il a connaissance, susceptible de constituer une violation réelle ou présumée des règles de sécurité, notamment le vol ou la perte d’informations confidentielles, l’intrusion dans un réseau ou un système ou toute anomalie pouvant nuire à la protection des actifs informationnels du CSS des Chênes.

5. DÉFINITIONS

Plusieurs termes spécifiques sont utilisés dans le libellé de la présente politique. Voici une définition de chacun d’eux.

Actif informationnel :

Un ensemble constitué d’information portée par un support. L’information y est délimitée et structurée, de façon tangible ou logique selon le support qui la porte, et elle est intelligible sous forme de mots, de sons ou d’images. L’information peut être rendue au moyen de tout mode d’écriture, y compris d’un système de symboles transcrit sous l’une de ses formes ou en un autre système de symboles.
Y est également assimilée toute banque de données dont les éléments structurants permettent la création de documents par la délimitation et la structure de l’information qui y est inscrite.

Confidentialité :

Propriété d’une information de n’être accessible qu’aux personnes ou entités désignées et autorisées et de n’être divulguée qu’à celles-ci.

Cycle de vie de l’information :

L’ensemble des étapes que franchit une information et qui va de sa création, en passant par son enregistrement, son transfert, sa consultation, son traitement et sa transmission, jusqu’à sa conservation ou sa destruction en conformité avec le calendrier de conservation du CSS des Chênes.

Détenteur de l’information :

La direction qui a la responsabilité d’une unité administrative et des ressources informationnelles relevant de son unité administrative.

Disponibilité :

Propriété d’une information d’être accessible en temps voulu et de la manière requise pour une personne autorisée.

Gestion intégrée de l’information :

Gestion de l’ensemble des informations produites ou reçues par le centre de services scolaire, peu importe le support sur lequel elles se trouvent (imprimé, technologique, vocal et visuel).

Incident de confidentialité :

Accès non autorisé par la loi à un renseignement personnel
Utilisation non autorisée par la loi d’un renseignement personnel
Communication non autorisée par la loi d’un renseignement personnel
Perte d’un renseignement personnel
Toute autre atteinte à la protection d’un tel renseignement Incident de sécurité de l’information :
Événement aux conséquences néfastes, prévisibles ou confirmées, sur la disponibilité, l’intégrité ou la confidentialité de l’information. Il peut être lié ou non à l’usage des technologies de l’information et des communications.

Information confidentielle :

Tout renseignement contenu dans un document détenu par le CSS des Chênes, sur quelque support que ce soit, dont la divulgation n’est pas prévue à la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels, et, plus particulièrement, les renseignements personnels détenus par le centre de services scolaire.

Intégrité :

Propriété associée à une information de ne subir aucune altération ou destruction sans autorisation et d’être conservée sur un support lui procurant stabilité et pérennité.

Renseignements personnels :

Tous renseignements portant sur une personne physique et permettant de l’identifier.
Ils sont
Sauf exceptions, ils ne peuvent être communiqués sans le consentement de la personne concernée.

Utilisateur :

Membre du personnel du CSS des Chênes et toute personne physique ou morale qui, à titre d’employé, de consultant, de bénévole, de partenaire, de fournisseur, d’élève ou de public, utilise un actif informationnel du centre de services scolaire ou y a accès, ainsi que toute personne dûment autorisée à y avoir accès.

6. PRINCIPES DIRECTEURS

Les principes directeurs qui guident les actions du CSS en matière de sécurité de l’information et de protection des renseignements personnels sont les suivants :

S’assurer de bien connaître l’information à protéger ainsi que ses caractéristiques de sécurité;
Identifier les détenteurs de l’information à protéger;
Reconnaître l’importance de la sécurité de l’information;
Conscientiser les utilisateurs à une saine gestion des actifs informationnels;
Protéger et assurer la disponibilité, l’intégrité et la confidentialité de l’information, et ce, tout au long de son cycle de vie. (création, traitement et destruction);
Reconnaître les risques croissants en matière de sécurité de l’information;
Mettre en place des mesures de sécurité proportionnelles à la valeur ou la sensibilité de l’information à protéger.

7. SÉCURITÉ DE L’INFORMATION

7.1 OBLIGATION D’ASSURER LA SÉCURITÉ DE L’INFORMATION

Le Centre de services scolaire des Chênes doit assurer la sécurité des ressources informationnelles et de l’information qu’il détient ou qu’il utilise en vertu des obligations qui le régissent, en cohérence avec les orientations, les stratégies, les politiques, les standards, les directives, les règles et les indications d’application pris en vertu de la Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement.

7.2 OBLIGATIONS ADDITIONNELLES

Le CSS des Chênes doit, en outre :

Adopter et mettre en œuvre une politique et un cadre de gestion de la sécurité de l’information, les maintenir à jour et en assurer leur application;
Mettre en place les comités et les groupes de travail appropriés de coordination et de concertation en matière de sécurité de l’information;
Assurer la gestion de la sécurité de l’information, déployer les mesures afférentes et assurer le suivi de leur mise en œuvre;
Appliquer les indications d’application, particulières ou non, que formule tout responsable de la sécurité de l’information tel : le chef gouvernemental de la sécurité de l’information ou le chef délégué de la sécurité de l’information auquel le CSS des Chênes est rattaché (ou leurs équivalents s’il y changement de titre);
Élaborer et mettre en œuvre, pour les membres du personnel, un programme formel et continu de formation et de sensibilisation en matière de sécurité de l’information et de confidentialité. À cet égard, tout utilisateur doit être sensibilisé;
- À la sécurité de l’information et des systèmes d’information du CSS des Chênes ainsi qu’au rôle qu’il peut jouer à cet égard; et
- Aux conséquences d’une atteinte à la sécurité des actifs informationnels;
Respecter, lorsqu’il utilise un service commun, les exigences de sécurité de l’information qui le concernent;
Rendre compte à son responsable, tel que le chef délégué de la sécurité de l’information, du respect des obligations en matière de sécurité de l’information et répondre aux demandes que lui formule ce chef à cet égard.

7.3 REGISTRE

À l’instar de tout organisme public, le CSS des Chênes doit tenir à jour un registre des événements de sécurité. Ce registre doit comprendre les éléments requis par la législation applicable.

8. MESURES PRISES POUR ASSURER LA CONFIDENTIALITÉ ET LA SÉCURITÉ DES RENSEIGNEMENTS PERSONNELS

Le Centre de services scolaire des Chênes s’engage à assurer la protection des renseignements personnels qui lui sont confiés, et ce, conformément à ses obligations et conformément à la Directive relative aux règles encadrant la gouvernance du Centre de services scolaire des Chênes à l’égard des renseignements personnels.

À cette fin, le CSS des Chênes met en place des mesures de sécurité permettant d’assurer adéquatement la confidentialité des renseignements personnels qu’il recueille, tel que des logiciels informatiques ou des procédures strictes pour accéder à ces renseignements ainsi que des mesures de contrôle et de vérification, notamment :

Protocoles de sécurisation des échanges par réseau;
Mesures d’anonymisation;
Chiffrement des données;
Gestion des accès – personne autorisée;
Gestion des accès – personne concernée;
Sauvegarde informatique;
Protection des systèmes d’information;
Engagements de confidentialité;
Programme de sensibilisation et responsabilisation

Les renseignements personnels sont conservés pour la durée nécessaire à la réalisation des activités du CSS des Chênes et conformément aux dispositions législatives applicables.

Il dispose également d’une procédure stricte en cas d’incident de confidentialité dont le but est de limiter les conséquences liées à un tel incident. Le CSS des Chênes s’assure également de détruire les renseignements personnels de façon sécuritaire afin que soit assurée la confidentialité des informations.

Tous les membres du personnel du centre de services scolaire sont tenus de respecter la confidentialité des renseignements personnels qui sont recueillis.

9. RENSEIGNEMENTS PERSONNELS RECUEILLIS AUTOMATIQUEMENT SUR LE SITE INTERNET DU CSS DES CHÊNES

Lorsque l’utilisateur accède au site Internet, certaines informations sont recueillies automatiquement, à savoir :

le nom de domaine du fournisseur Internet;
l’adresse IP (nombre ou numéro automatiquement assigné à l’ordinateur du visiteur par le fournisseur d’accès Internet aux fins de la navigation sur le Internet);
le type de navigateur (Explorer, Google, Firefox, );
le système d’exploitation que le visiteur utilise (Windows, MAC OS, );
la date et l’heure auxquelles le visiteur accède au site;
les pages consultées et la durée de ces consultations;
l’adresse du site d’origine si le visiteur accède à notre site à partir d’un autre

Ce transfert d’informations découle des exigences technologiques inhérentes à la navigation dans Internet et est utilisé à des fins statistiques (exemples : compilation du nombre de visiteurs et l’identification des pages les plus consultées sur le site Internet de l’organisation).

Aucun fichier témoins (« cookies ») n’est placé de façon permanente dans le disque dur du visiteur.

Personnes ayant accès à des renseignements personnels :

Il est entendu que la présente politique s’étend à tous les employés du CSS des Chênes, ainsi qu’à toute personne dument autorisée (bénévoles, partenaires, consultants fournisseurs, etc.) qui utilise ou qui accède à des actifs informationnels du CSS des Chênes.

10. DROIT D’ACCÈS ET DE RECTIFICATIONS

Tout utilisateur peut demander d’accéder aux renseignements personnels qui le concernent et qui sont détenus par le Centre de services scolaire des Chênes, et ce, en conformité avec les dispositions de la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels.

Il peut également demander la rectification d’un renseignement personnel le concernant lorsque celui-ci est inexact, incomplet, équivoque ou lorsque la collecte, la communication et, le cas échéant, la conservation de ces renseignements personnels ne sont pas autorisées par la loi.

Cette demande doit être adressée par écrit au responsable de l’accès à l’information et de la protection des renseignements personnels du CSS des Chênes :

Secrétaire général
457 rue des Écoles
Drummondville, QC, J2B 6X1
819 478-6700
secretariat.general@cssdeschenes.gouv.qc.ca

11. PROCESSUS DE PLAINTE

La personne responsable de l’accès aux documents et de la protection des renseignements personnels est également responsable de veiller au respect de cette politique, conformément à la Directive relative aux règles encadrant la gouvernance du Centre de services scolaire des Chênes, à l’égard des renseignements personnels.

Pour formuler des commentaires ou une plainte au sujet du non-respect de cette politique, la demande doit être adressée par écrit au responsable de l’accès à l’information et de la protection des renseignements personnels:

Secrétaire général
457 rue des Écoles
Drummondville, QC, J2B 6X1
819 478-6700
secretariat.general@cssdeschenes.gouv.qc.ca

12. GOUVERNANCE DE LA SÉCURITÉ DE L’INFORMATION

12.1 CONSEIL D’ADMINISTRATION

Le conseil d’administration est le dirigeant du CSS des Chênes pour l’application de la Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement.

À ce titre, il :

Adopte la présente politique, conformément à la Directive sur la sécurité de l’information gouvernementale;
Exerce toute autre fonction requise en vertu de la loi.

12.2 DIRECTION GÉNÉRALE

La direction générale :

Fait adopter, par le conseil d’administration, la présente politique ainsi que les différentes mises à jour;
Agit à titre de « dirigeant d’organisme public » en matière de sécurité de l’information en ce qui concerne la gestion courante des obligations en matière de sécurité de l’information, notamment celles découlant de l’application de la Loi sur la gouvernance et la gestion des ressources informationnelles (LGGRI) des organismes publics et des entreprises du gouvernement (redditions de comptes, décisions urgentes en matière de sécurité de l’information);
Fait une reddition de comptes au conseil d’administration du CSS des Chênes lorsque cela s’avère nécessaire;
Assume aussi le processus de délégation des rôles de Chef de la sécurité de l’information organisationnelle (CSIO) et de Coordonnateur organisationnel des mesures de sécurité de l’information (COMSI), ainsi que des membres des comités en lien avec la sécurité de l’information.

12.3 RESPONSABLE DE LA PROTECTION DES RENSEIGNEMENTS PERSONNELS

Le ou la responsable de la protection des renseignements personnels :

Veille à assurer le respect et la mise en œuvre de la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels;
Voit à mettre en œuvre des politiques et pratiques encadrant la gouvernance des renseignements personnels.

12.4 CHEF DE LA SÉCURITÉ DE L’INFORMATION ORGANISATIONNELLE (CSIO)

Le CSIO communique à la Direction générale les orientations et les priorités en matière de sécurité de l’information et s’assure de l’arrimage et de la participation de tous les intervenants du CSSC. Il est désigné par la plus haute autorité dirigeante.

12.5 COORDONATEUR ORGANISATIONNEL DES MESURES DE SÉCURITÉ DE L’INFORMATION (COMSI)

Le COMSI apporte un soutien au CSIO afin de s’acquitter des responsabilités édictées par la présente politique. Il est l’interlocuteur officiel auprès de l’organisme responsable de la sécurité informationnelle au Ministère. Il est désigné par la plus haute autorité dirigeante.

12.6 SERVICE DES TECHNOLOGIES DE L’INFORMATION

Le Services des technologies de l’information (STI) :

S’assure de la prise en charge des exigences de sécurité de l’information dans l’exploitation des systèmes d’information de même que dans la réalisation de projets de développement ou d’acquisition de systèmes d’information dans lesquels il intervient;
S’assure également, en collaboration avec les différents établissements et services concernés qu’un nouvel employé, stagiaire ou bénévole soit informé des exigences afférentes à la présente politique et obtienne son engagement au respect de celle-ci;
Offre, de façon périodique, des activités de sensibilisation et de formation, afin d’assurer une conduite adéquate et une responsabilisation individuelle des personnes visées.

12.7 SERVICE DES RESSOURCES MATÉRIELLES

Le Service des ressources matérielles participe, avec le CSIO et le COMSI, à l’identification des risques et des mesures de sécurité physique permettant de protéger adéquatement les actifs informationnels du CSS des Chênes.

12.8 SECRÉTARIAT GÉNÉRAL

Le secrétaire général participe, avec le Service des technologies de l’information, à l’identification des risques et des mesures de sécurité physique permettant de protéger les actifs informationnels non numériques du CSS des Chênes.

12.9 DIRECTIONS DE SERVICE ET D’ÉTABLISSEMENT

Ce sont les détenteurs de l’information et ils sont responsable de celles détenues par leur unité administrative.

12.10 COMITÉ DE LA SÉCURITÉ DE L’INFORMATION

Le comité de la sécurité de l’information constitué en vertu de la présente politique est la principale instance de concertation en matière de sécurité de l’information. Plus particulièrement, il :

Examine les orientations stratégiques, les plans d’action, les priorités d’intervention, les modifications à la présente politique, les directives, les procédures et les cadres de gestion ainsi que les projets en sécurité de l’information qui lui sont soumis et formule à cet égard ses recommandations;
Analyse les événements ayant mis ou qui auraient pu mettre en péril la Sécurité de l’information et formule à cet égard ses recommandations.

Font partie de ce comité :

La personne responsable de l’accès à l’information et de la protection des renseignements personnels;
La direction du Service des technologies de l’information;
Le CSIO;
Le COMSI;
Une personne représentant le personnel d’encadrement du Service des ressources humaines;
Une personne représentant le personnel d’encadrement du Service des ressources éducatives aux jeunes;
Une personne représentant les directions d’établissement.
Au besoin, toute autre personne invitée par le comité.

12.11 COMITÉ DE CRISE DE LA SÉCURITÉ DE L’INFORMATION

En cas d’incident critique de sécurité de l’information, le comité de crise de sécurité de l’information sera constitué.

Ce comité est l’instance décisionnelle appelée à intervenir, notamment lorsque les tentatives de rétablissement des activités n’ont pas produit les résultats escomptés ou qu’aucune mesure palliative n’a pu assurer la continuité ou la reprise rapide des services.

Font partie de ce comité :

La direction générale;
La direction du Service des technologies de l’information;
La personne responsable de l’accès à l’information et de la protection des renseignements personnels;
Le CSIO;
Le COMSI;
Les directions de service ou d’établissements concernés.

Ce comité peut s’adjoindre toute autre personne dans le cadre de ses prises de décision.

NOTE : Dans l’éventualité où le présent comité n’a pas été constitué au moment où un incident critique survient, il est entendu que c’est le comité de coordination des services qui agirait alors à titre de comité de crise.

12.12 LES UTILISATEURS

La responsabilité de la sécurité de l’information incombe à tous les utilisateurs.

Chacun d’eux doit :

Se conformer à la présente politique en respectant les directives, procédures, cadres de gestion et autres lignes de conduite qui les concernent;
Respecter les mesures de sécurité de l’information mises en place, ne pas les contourner, ni les modifier ou les désactiver;
Signaler aux responsables de la sécurité de l’information toute situation susceptible de constituer une violation à la présente politique ou tout incident susceptible de menacer la sécurité de l’information.

13. SANCTIONS

Tout utilisateur qui contrevient au cadre légal, à la présente politique, aux directives, procédures, cadres de gestion ou autres lignes de conduites en découlant, s’expose à des sanctions selon la nature, la gravité et les conséquences de la contravention, en vertu de la loi ou des règles disciplinaires internes applicables, dont celles des conventions collectives de travail, protocoles, ententes et documents normatifs du CSS des Chênes.

14. RESPONSABLE DE L’APPLICATION DE LA POLITIQUE

La direction générale, assistée du comité de la sécurité de l’information, s’assure de la diffusion et de la mise à jour de la présente politique. Cette dernière sera révisée périodiquement selon les mises à jour effectuées.

15. ENTRÉE EN VIGUEUR

La présente politique est entrée en vigueur au moment de son adoption par le conseil d’administration du Centre de services scolaire des Chênes.

Sources :

ADOPTION

Conseil d’administration
18 février 2025
Résolution CA : 3060 / 2025