Politiques

1.  Introduction

En vertu de la Loi Canadienne antipourriel (LCAP), nous nous sommes dotés d’une politique antipourriel afin d’assurer une gestion légale et transparente de l’utilisation des adresses courriel communiquées par nos clients, partenaires et clients potentiels. Cette politique se veut un complément à notre Politique de protection des renseignements personnels.

2. Communications visées

La loi vise les messages électroniques commerciaux (MEC) envoyés par courriel, messages textes ou sur les plateformes de message des médias sociaux, et ayant pour but d’encourager la participation à une activité commerciale non sollicitée.

Les communications suivantes sont considérées comme des messages électroniques commerciaux :

• Infolettre

• Courriels promotionnels pour un produit, service, individu ou concours

• SMS, messagerie instantanée et communication individuelle via les plateformes de médias sociaux

3. Communications exclues

Les messages électroniques suivants sont autorisés à être envoyés sans l’obtention d’un consentement :

• Échange par courriel avec des clients actifs (dont la dernière transaction d’affaires remonte à deux ans), à moins qu’ils n’aient expressément refusé.

• Échange par courriel entre des personnes ayant des liens personnels ou familiaux, peu importe la nature du message.

• Réponse par courriel à des demandes provenant de vous, dans la mesure où elle se limite à répondre à la demande sans y ajouter de promotion.

• Réponse à un courriel de plainte provenant d’un suspect ou client, dans la mesure où elle se limite à répondre à la situation sans y ajouter de promotion.

• Courriel concernant un sondage de satisfaction.

4. Procédure de confirmation ou retrait du consentement

Selon la LCAP, nous sommes tenus d’obtenir le consentement des clients avant de leur envoyer des MEC. Il y a deux types de consentement : exprès et tacite.

1. Tacite : il s’agit d’un consentement présumé dû à la nature de la relation entre deux personnes. Ainsi, au sens de la loi, dans les deux années suivant une transaction d’affaires entre vous et notre cabinet, votre consentement à recevoir des MEC est présumé valide, donc tacite.

2. Exprès : il s’agit d’un consentement formellement écrit qui ne possède pas de date d’expiration, donc qui sera retiré sur demande seulement, lors par exemple de votre signification de désabonnement. Ainsi, en signant le formulaire de consentement, vous consentez de façon exprès à ce que nous vous envoyions des MEC.

Que nous utilisions votre consentement de façon tacite ou exprès, il est possible pour vous de le retirer en tout temps :

• Par le biais de notre désabonnement

• Par téléphone

• Par courriel

Nous nous engageons à rendre actif un abonnement ou un désabonnement dans un délai de 10 jours ouvrables suivant la réception de la demande.

En outre, tel que requis par la LCAP :

Toutes nos communications par courriel de masse et individuelles offrent un pied de page qui contient :  

• La possibilité de se désabonner

• Nos coordonnées complètes

5. Cas particuliers

Dans les cas suivants, nous nous assurons de respecter un cadre défini :

• Demandes de soumission et soumission en ligne : la réponse par courriel à une demande de soumission ou soumission en ligne est autorisée, tant qu’elle se limite à répondre à la demande.

• Courriel concernant un sondage de satisfaction : les courriels de sondages ne sont pas régis par la politique antipourriel puisqu’ils ne font pas la promotion d’un produit, service, individu ou concours.

• Courriel envoyé suite à une référence d’un client, employé ou partenaire : un seul et unique courriel peut être envoyé comme premier contact à la personne référée. Il doit contenir, au minimum, les informations suivantes :

1. Nom complet du référenceur (personne qui a référé le client potentiel)

2. Identification claire de nos coordonnées

3. Pour toute communication subséquente par courriel, les consentements doivent être confirmés

6. Plaintes et questions

Pour toute question, pour signaler une plainte ou faire remarquer une non-conformité avec la présente politique, veuillez contacter le responsable de la politique et des plaintes :

Serge Nolin

979 Avenue de Bourgogne, Québec, Québec, G1W 2L4

418-571-5511 / serge.nolin@gppfortune.com

Pour de plus amples informations sur la Loi Canadienne antipourriel, cliquez ici.

1.  Introduction

Au Canada, le recyclage des produits de la criminalité, aussi appelé activités de blanchiment d’argent, est un problème de l’ordre de plusieurs milliards de dollars par année.  Dans le cadre de ses initiatives visant à lutter contre ce problème grandissant, le gouvernement fédéral a adopté la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes (ci-après nommée la « Loi »).

La Loi comporte trois principaux objectifs:

1. Mettre en œuvre des mesures précises visant à détecter et à décourager le recyclage des produits de la criminalité et le financement des activités terroristes ainsi que faciliter les enquêtes et les poursuites relatives aux infractions dans ce domaine;

2. Combattre le crime organisé en fournissant aux responsables de l’application de la Loi les renseignements leur permettant de priver les criminels du produit de leurs activités illicites tout en protégeant la vie privée des personnes;

3. Aider le Canada à remplir ses engagements internationaux dans la lutte contre le crime transnational.

La législation impose d’importantes exigences obligatoires relatives à la déclaration d’opérations financières douteuses et de mouvements transfrontaliers d’importantes sommes en espèces et en effets.

La Loi a également créé un organisme autonome, le Centre d’analyse des opérations et déclarations financières du Canada (CANAFE), chargé de recevoir et de gérer les déclarations.  La Loi confère au CANAFE le pouvoir et le droit d’entrer sur les lieux, d’utiliser les systèmes informatiques et de reproduire ou de saisir des données afin de surveiller la conformité par l’entremise d’organismes responsables de l’application de la Loi.

Nous appuyons tous les efforts visant à lutter contre le blanchiment d’argent et le recyclage des produits de la criminalité.

Les exigences présentées dans cette politique sont extraites des dispositions de la Loi applicable aux sociétés d’assurance vie et représentants autonomes.  Toutefois, il est important de signaler que d’autres exigences pourraient s’appliquer selon la nature de l’opération financière qui est effectuée.  Ces lignes directrices et les divers règlements sont présentés sous réserve de modifications périodiques apportées par le CANAFE.

La Loi qui s’applique à la majorité des personnes et des organismes du secteur des services financiers et a une incidence importante sur les activités courantes du représentant et de ses employés. 

2. Définitions

Recyclage de produits de la criminalité

Le terme « recyclage de produits de la criminalité », aussi appelé « blanchiment d’argent » est utilisé pour décrire le traitement des produits de la criminalité dans le but de dissimuler l’origine frauduleuse ou illicite de l’argent.  Il s’agit du processus selon lequel l’existence, l’origine ou l’usage illégal de l’argent est masqué en accumulant l’argent dans une série de comptes ou en effectuant des transferts périodiques entre ces comptes, institutions et/ou divers instruments de valeur.

Financement des activités terroristes

Le financement des activités terroristes consiste à réunir des capitaux pour la réalisation d’activités terroristes.  Une activité terroriste vise en tout premier lieu à intimider une population ou à contraindre un gouvernement d’agir d’une certaine façon.  Ces actes sont perpétués avec la ferme intention de tuer, de causer des blessures graves à une personne ou de mettre sa vie en danger, ou d’occasionner des dommages considérables à des biens, risquant ainsi de causer des blessures graves à des personnes ou de perturber et de paralyser des services, des installations ou des systèmes essentiels.

On recense deux principales méthodes de financement des activités terroristes :

• La première implique l’obtention d’un appui financier de la part de pays, d’organisations ou de particuliers;

• La seconde nécessite la tenue d’activités génératrices de revenu.

Un terroriste ou un groupe terroriste s‘entend de quiconque dont l’un des objets ou l’une des activités est de se livrer à des activités terroristes ou de les faciliter.  Il peut s’agir d’une personne, d’un groupe, d’une fiducie, d’une société de personnes ou d’un fonds.  Il peut également s’agir d’une organisation ou d’une association non dotée de la personnalité morale.

Opération financière douteuse

Selon le CANAFE, une opération financière est douteuse lorsqu’on peut raisonnablement soupçonner qu’elle est liée à une infraction relative au blanchiment d’argent ou au financement d’une activité terroriste ou à une tentative de commettre une telle infraction.

3. Tenue de dossiers

Tel que décrit dans les Exigences en matière de tenue de documents s'appliquant aux sociétés d'assurance vie et aux représentants d'assurance vie de la CANAFE, nous devons conserver les documents suivants :

• Déclarations d'opération douteuse;

• Relevés d'opération importante en espèces;

• Dossiers-clients;

• Documents sur les mesures raisonnables.

Déclarations d’opération douteuse

Nous devons déclarer les opérations effectuées ou tentées à l’égard desquelles il y a des motifs raisonnables de soupçonner qu’elles sont liées à la perpétration réelle ou tentée d’une infraction de blanchiment d’argent ou de financement d’activités terroristes. Nous devons conserver une copie de toute déclaration pendant au moins cinq ans à compter de la date de soumission.

Une opération douteuse est une opération financière qui donne naissance à des motifs raisonnables de soupçonner qu’elle est liée à la perpétration :

• Réelle ou tentée d’une infraction de blanchiment d’argent

• Réelle ou tentée d’une infraction de financement d’activités terroristes

Nous devons déclarer l’existence de biens qui sont en notre possession ou à notre disposition et qui, à notre connaissance, appartiennent à un groupe terroriste (y compris une seule personne) ou sont à notre disposition directement ou non. 

Dans ce contexte, un bien s’entend de tout type de bien réel ou personnel qui est en notre possession ou à notre disposition, notamment tout acte ou instrument accordant un titre ou un droit à un bien ou donnant droit de recouvrer ou de recevoir de l’argent, y compris des fonds, des avoirs financiers, des ressources économiques ou des marchandises.  Par exemple, les espèces, les comptes bancaires, les polices d’assurance, les mandats, les biens immobiliers, les valeurs mobilières, les chèques de voyage, et autres types d’actifs sont réputés être des biens.

Relevés d'opération importante en espèces

Nous devons déclarer les opérations importantes en espèces comportant la réception d’une somme en espèces de 10 000 $ ou plus. 

Nous devons déclarer si nous recevons une somme en espèces de 10 000 $ ou plus au cours d’une seule opération ou deux ou plusieurs sommes en espèces de moins de 10 000 $ chacun, mais totalisant 10 000 $ ou plus.

Dossiers-client

Nous devons conserver un dossier-client pour tout achat d'une rente immédiate ou différée ou d'une police d'assurance vie à l'égard de laquelle le client doit verser une somme de 10 000 $ ou plus (en espèces ou autres) au cours de la période visée par la rente ou la police.

Nous devons conserver les dossiers-clients pendant au moins cinq ans à compter de la date à laquelle la dernière opération commerciale a été effectuée.

Documents sur les mesures raisonnables

Le terme « mesure raisonnable » s'entend des activités que nous devons accomplir et consigner dans le dossier-client afin de respecter les règles de la LBA/FAT.

Lorsque les mesures raisonnables s'avèrent infructueuses, nous devons également consigner les renseignements suivants :

• Les mesures prises;

• La date à laquelle elles ont été prises;

• Les raisons pour lesquelles elles se sont avérées infructueuses.

Nous devons conserver les documents sur les mesures raisonnables infructueuses pendant au moins cinq ans à compter de la date à laquelle ils ont été créés.

4. Vérification de l’identité

Tel que décrit dans les Exigences relatives au besoin de bien connaître son client du CANAFE, nous devons vérifier l’identité dans les cas suivants :

• Établissement d’un dossier-client;

• Toute personne ou entité qui effectue une opération importante en espèces;

• Toute personne ou entité qui achète une rente ou une police d’assurance-vie et à l’égard de laquelle elle peut verser 10 000 $ ou plus (y compris des mesures raisonnables pour obtenir les renseignements sur les bénéficiaires effectifs des entités);

• Toute personne ou entité pour laquelle nous soumettons une déclaration des opérations douteuses;

• Tout membre d’un régime collectif lorsque les contributions au régime ne sont pas faites par le promoteur du régime ou par retenues salariales.

Personne physique

Nous vérifions l’identité de toute personne au moyen d’une carte d’identité gouvernementale avec photo encore valide. Nous notons les détails concernant le client, le numéro de référence, la date d’expiration, le lieu de délivrance et la date de la vérification.

Personne morale

Nous vérifions l’existence des sociétés en examinant des documents fiables et à jour de nature à prouver l’information sur l’identité de tous les administrateurs de la société, y compris l’occupation, le nom et l’adresse de tous les titulaires bénéficiaires qui possèdent 25 % ou plus des parts de la société ainsi que l’information relative à la propriété, au contrôle et à la structure de la société.

Entités non constituées en personne morale

Nous prenons des mesures raisonnables pour confirmer l’identité du propriétaire véritable dans le cas des entités non constituées en personne morale. Nous examinons les documents constitutifs, les déclarations annuelles et les conventions entre actionnaires et consignons l’information pertinente.

5. Personne politiquement vulnérable et dirigeant d'une organisation internationale

Selon les Exigences relatives au besoin de bien connaître son client du CANAFE, si nous recevons un versement forfaitaire de 100 000 $ ou plus à l’égard d’une rente ou d’une police d’assurance-vie, nous devons prendre les mesures raisonnables pour déterminer si la personne est un étranger politiquement vulnérable.

Nous sommes tenus de procéder non seulement à l'identification des étrangers politiquement vulnérables (EPV) mais aussi à deux autres catégories de personnes jugées aussi comme « plus vulnérables », soit les nationaux politiquement vulnérables (NPV) ainsi que les dirigeants d'une organisation internationale (DOI).

Dorénavant le terme Personne politiquement vulnérable (PPV) regroupe la catégorie actuelle des étrangers politiquement vulnérables (EPV) ainsi que les nationaux politiquement vulnérables (NPV) qui réfèrent aux individus œuvrant au Canada mais considérés comme politiquement vulnérables.

Quant à la nouvelle catégorie (DOI), elle réfère plutôt à des individus occupant un poste de dirigeant au sein d'une organisation internationale.

Mesures raisonnables à prendre pour déterminer une PPV ou un DOI

Nous devons prendre des mesures raisonnables afin de déterminer si le client peut être une PPV (EPV ou NPV) ou un DOI, ou tout membre de leur famille ou encore une personne qui leur est étroitement associée. Nous devons poser des questions au client afin de déterminer si la personne est considérée soit comme une PPV soit comme un DOI.

En plus des mesures prises au début de la relation, nous devrions réagir à toute information dont nous pourrions prendre connaissance dans le cadre de notre relation d'affaires avec un client. Nous pourrions aussi être appelé à faire des recherches sur Internet ou à consulter toute autre source d'information publique.

Personne politiquement vulnérable (PPV)

Un individu identifié comme une PPV est une personne à qui ont été confiées des fonctions importantes qui comportent habituellement la possibilité d'influencer des décisions et la capacité de diriger des ressources. L'influence et le contrôle que peut exercer cette personne sur des décisions politiques, des institutions ou les règles déterminant l'allocation de ressources financières ou autres, la rendent plus vulnérable à la corruption.

Étranger politiquement vulnérable (EPV)

Un EPV est une personne qui assume ou a déjà assumé l’une des charges ou fonctions suivantes dans un pays étranger ou pour le compte de celui-ci :

• Chef d’état ou de gouvernement;

• Membre du conseil exécutif d’un gouvernement ou membre d’une assemblée législative;

• Sous-ministre ou charge équivalente;

• Ambassadeur ou attaché ou conseiller d’un ambassadeur;

• Officier ayant le rang de général ou un rang supérieur;

• Dirigeant d’une société ou banque d’État;

• Chef d’une agence gouvernementale;

• Juge;

• Leader ou président d’un parti politique d’une assemblée législative.

Il est à noter que le statut de EPV est permanent.  

National politiquement vulnérable (NPV)

Un NPV est une personne qui occupe ou a occupé, au cours des 5 dernières années, l'une des fonctions suivantes au sein du gouvernement fédéral canadien, d'un gouvernement provincial canadien ou d'une administration municipale canadienne, ou pour le compte d'une de ces dernières :

• Gouverneur général, lieutenant-gouverneur ou chef de gouvernement;

• Membre du Sénat ou de la Chambre des communes ou membre d'une assemblée législative;

• Sous-ministre ou titulaire d'une charge de rang équivalent;

• Ambassadeur ou attaché ou conseiller d'un ambassadeur;

• Officier ayant le rang de général ou un rang supérieur;

• Dirigeant d'une société appartenant directement à cent pour cent à sa majesté du chef du Canada ou d'une province;

• Chef d'un organisme gouvernemental;

• Juge d'une cour d'appel provinciale, de la Cour d'appel fédérale ou de la Cour suprême du Canada;

• Chef ou président d'un parti politique représenté au sein d'une assemblée législative;

• Maire.

Conformément aux lois de l'ensemble du Canada, les administrations municipales couvrent les villes, les villages, les municipalités rurales et les agglomérations urbaines. Un maire constitue le dirigeant d'une ville, d'un village, d'une municipalité rurale ou d'une agglomération urbaine, sans égard à la population.

Il est à noter qu’une personne cesse d'être un NPV, 5 ans après avoir quitté ses fonctions.

Dirigeant d'organisation internationale (DOI)

Un dirigeant d'organisation internationale est une personne qui, au moment de sa relation d'affaires avec le représentant, occupe l'une des fonctions suivantes :

• Dirigeant d'une organisation internationale mise sur pied par les gouvernements de différents États;

• Dirigeant d'une institution créée par une organisation internationale.

On entend par dirigeant d'une organisation internationale ou d'une institution créée par une organisation internationale la principale personne dirigeant cette organisation (son président ou son directeur général). Le terme organisation internationale fait référence à une organisation créée par les gouvernements de plus d'un État. Les circonstances liées à la création de cette organisation sont donc cruciales pour déterminer si son dirigeant est un DOI. Sans être une liste exhaustive, voici quelques exemples d'organisations dites internationales :

• Comité de Bâle sur le contrôle bancaire;

• Commonwealth;

• Conseil de l'Europe;

• Cour pénale internationale;

• La Francophonie;

• L'OTAN;

• Nations Unies;

• Fonds monétaire international;

• Organisation mondiale de la santé.

Les activités d'une institution créée par une organisation internationale n'ont pas nécessairement une échelle internationale. Les activités d'une institution créée par une organisation internationale peuvent être limitées à un pays ou à un territoire.

Une personne cesse d'être un DOI dès qu'elle cesse de diriger une organisation internationale ou une institution créée par une organisation internationale.

Membre de la famille d'une PPV ou à un DOI

Le CANAFE a constaté que de nombreux criminels utilisent des membres de leur famille ou d'autres relations et leur font faire des opérations en leur nom de manière à garder leurs distances jusqu'à ce qu'ils aient trouvé une manière sûre de dépenser ces avoirs en d'autres termes d'avoir blanchi les produits d'activités criminelles.

Pour cette raison, nous devons aussi, dans le cadre de nos obligations, tenir compte des membres de la famille d'une PPV ou d'un DOI suivants :

• Époux ou conjoint de fait;

• Mère ou père;

• Enfant;

• Frère ou sœur, demi-frères ou demi-sœurs;

• Mère ou père de son époux ou conjoint de fait.

Personne étroitement liée à une PPV ou à un DOI

Une personne peut aussi être considérée comme étroitement associée à une PPV ou un DOI lorsqu'elle entretient avec celui-ci, des liens étroits pour des raisons personnelles ou professionnelles. Sans être une liste exhaustive, voici quelques exemples de personnes qui pourraient être considérées comme étroitement associées à une PPV :

• Partenaire d'affaires;

• Amoureux ou amant;

• Membre du même parti politique ou syndicat;

• Membre siégeant au même conseil d'administration;

• Participant aux mêmes œuvres caritatives.

Risque élevé des EPV

Toute personne identifiée comme une un EPV, un membre de sa famille ou une personne qui lui est étroitement associée doit automatiquement être considéré comme à risque élevé. Nous devons alors établir la provenance des fonds à déposer dans le compte et obtenir auprès du chef de la conformité l'autorisation de garder le compte ouvert.

Évaluation du niveau de risque des NPV et DOI

Dans le cas où il est déterminé que la personne est un NPV, un DOI un membre de sa famille ou une personne qui lui est étroitement associée, nous devons procéder à une évaluation des risques pour déterminer si cette personne présente un risque élevé de commettre une infraction liée au blanchiment d'argent ou au financement d'activités terroristes.

Dans l'affirmative, nous devons établir la provenance des fonds et exercer un contrôle continu et accru des activités effectuées relativement au compte pour déceler les opérations douteuses.

Contrôle continu et accru des clients

Le contrôle continu consiste à effectuer périodiquement une vérification de l'ensemble des clients visés par la LRPCFAT. Cette obligation de vérification périodique ne se limite pas aux clients déjà identifiés comme PPV et DOI.

Les mesures suivantes peuvent être envisagées pour la surveillance des clients à risque élevé :

• Examiner les opérations selon un calendrier en vue de cerner les opérations que la conformité doit approuver;

• Préparer des rapports sur les opérations à risque élevé ou augmenter la fréquence d'examen des rapports sur ces opérations;

• Signaler les activités inhabituelles à la personne désignée responsable, le cas échéant;

• Établir des limites ou des paramètres d'affaires pour les comptes ou les opérations qui sont susceptibles de déclencher des signaux d'alerte rapide et la tenue d'un examen obligatoire;

• Augmenter la fréquence d'examen des opérations en fonction des indicateurs d'opérations douteuses pertinents à la relation d'affaires.

Nous devons prendre des mesures raisonnables pour établir si la personne qui nous remet la somme agit pour le compte d’un tiers.  De plus, chaque fois qu’un client achète une rente ou une police d’assurance et qu’il doive verser une somme de 10 000 $ ou plus pendant la période visée par la rente ou la police, nous devons prendre des mesures raisonnables pour établir s’il agit pour le compte d’un tiers et tenir un relevé sur chaque opération importante en espèces. 

6. Détermination des intérêts d’un tiers

Suivant les Exigences relatives à la détermination quant aux tiers du CANAFE, nous devons prendre des mesures raisonnables pour établir si la personne qui effectue certaines opérations ou activités agit pour le compte d’un tiers. Nous devons vérifier l’identité et conserver un document à l’égard du tiers impliqué dans toute opération déclarée au CANAFE.

Un tiers est une personne ou une entité qui donne instruction à une autre personne ou entité d’effectuer une activité ou une opération financière pour son compte. Il ne s’agit pas de qui est le propriétaire de l’argent ou de qui en bénéficie, ou bien, de qui effectue l’opération ou l’activité. Il s’agit plutôt de la personne qui donne les instructions quant à la façon de procéder avec l’argent ou d’effectuer une opération ou une activité en particulier.

7. Évaluation des risques en matière de blanchiment d’argent

Le Guide de l’approche axée sur les risques pour lutter contre le blanchiment d’argent et le financement des activités terroristes du CANAFE présente le cycle d’une approche axée sur les risques en six étapes :

Voici notre évaluation des risques :

• Nous n’acceptons aucun argent comptant.

• Nous respectons les directives des compagnies en matière d’argent comptant et d’identification du client.

• Nous transigeons seulement avec des résidents canadiens.

• Nous n’offrons pas de services électroniques transactionnels.

• Nous ne possédons pas de comptes internationaux.

• Nous ne faisons pas de transfert de fonds ou des opérations pour le compte de tiers, et n’effectuons aucun transfert de fonds à l’étranger ni en provenance de l’étranger.

• Nous opérons dans la province de Québec principalement où le taux de criminalité est reconnu comme faible.

• Nous n’effectuons pas d’opérations dans des endroits géographiques considérés à risque élevé.

• Nous avons un taux de roulement de personnel faible tant au niveau du personnel clé qu’au niveau du personnel de première ligne.

Pour ces raisons, nous évaluons notre risque global en matière de blanchiment d’argent à faible.

8. Déclaration au CANAFE

Suivant les Exigences en matière de déclaration d’opérations du CANAFE, nous devons faire une déclaration lorsqu’il y a soupçon qu'une opération ou une tentative d'opération est liée à la perpétration, réelle ou tentée, d'une infraction de blanchiment d'argent (BA) ou d'une infraction de financement des activités terroristes (FAT), vous devez soumettre une déclaration d'opérations douteuses (DOD).

Nous ferons preuve de diligence raisonnable pour fournir les renseignements demandés. Par exemple, il faudra prendre des mesures raisonnables pour obtenir les renseignements suivants:

• L’opération ou la tentative d’opération ainsi que la répartition des fonds qui a été effectuée;

• La personne qui a effectué l’opération ou celle pour le compte de qui elle l’a effectuée;

• Les raisons qui ont éveillé nos soupçons et les mesures qui ont été prises, s’il y a lieu.

9.  Révision des présentes politiques et plan de formation

Suivant la législation, nous devons effectuer une révision de cette politique et refaire l’évaluation des risques (voir section 7 ci-haut) à tous les deux ans.

Nous avons également mis en place un plan de formation annuel qui nous garde conscientisé sur l’importance de lutter contre le recyclage des produits de la criminalité.

Une atteinte à la protection des renseignements personnels survient lorsqu’il y a accès non autorisé à des renseignements personnels ou collecte, utilisation ou communication non autorisée de tels renseignements. Ces activités sont « non autorisées » lorsqu’elles contreviennent aux lois applicables en matière de protection des renseignements personnels, telles que la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), la Loi 25 ou aux autres lois provinciales et fédérales en matière de protection des renseignements personnels. Certaines des atteintes les plus courantes à la protection des renseignements personnels surviennent lorsque les renseignements personnels d’un consommateur, d’un patient, d’un client, ou d’un employé sont volés, perdus ou distribués par erreur (p. ex., le vol d’un ordinateur contenant des renseignements personnels ou l’envoi par erreur d’un courriel contenant des renseignements personnels à la mauvaise personne). Une atteinte peut également être la conséquence d’une procédure déficiente ou d’une défaillance opérationnelle.

Tel que déterminé par la Commission d’accès à l’information du Québec (www.cai.gouv.qc.ca), nous suivrons les sept (7) étapes suivantes en cas d’atteinte à la protection de vos renseignements personnels :

1. Formulaire d’incident

2. Évaluation préliminaire de la situation

3. Limite de l’atteinte à la vie privée

4. Évaluation des risques associés à l’atteinte

5. Notification à l’intention des personnes concernées

6. Prévention

7. Suivi
   
   

Étape 1 : Formulaire d’incident

Nous remplirons un formulaire de rapport d’incident et atteinte à la vie privée sous forme de tableau, contenant les informations suivantes et les remettrai à la Commission d’accès à l’information du Québec :

• Date

• Nom de la personne qui remplit le formulaire

• Emplacement et date d’incident

• Description incident

• Cause (si connue)

• Personnes touchées par l’incident (client, employé, conseiller, tierce partie)

• Type d’information(s) personnelle(s) concernée(s)

• Brève description des actions entreprise afin de circonscrire le manquement

• Qui a été avisé? (Inclure la date d’avis)

• Commentaires additionnels
  
  

Étape 2 : Évaluation préliminaire de la situation

a) Définir sommairement le contexte de la perte ou du vol de renseignements personnels :

• Identifier les renseignements personnels touchés ainsi que leur support;

• Identifier les personnes, leur nombre ainsi que le groupe de personnes (clients, employés, etc.) touchées;

• Établir le contexte des événements (date, heure, lieu, etc.);

• Identifier, si possible, les circonstances entourant la perte (cause, personnes susceptibles d’être impliquées dans l’incident, etc.);

• Répertorier les mesures de sécurité physiques et informatiques en place lors de l’incident.

b) Informer les autorités externes concernés qui doivent être avisés de l’incident immédiatement (avant l’évaluation des risques) :

• Service de police (si les circonstances laissent croire à la possibilité d’un crime);

• Commission d’accès à l’information (lien vers le formulaire)

c) Désigner une personne ou une équipe responsable de la gestion de la situation.

d) Informer les intervenants concernés à l’interne :

• Dirigeants de l’organisme ou de l’entreprise;

• Responsable de l’unité administrative concernée;

• Responsable de la protection des renseignements personnels;

• Conseiller juridique;

• Direction des communications (gestion des médias et des appels de la clientèle).

Étape 3 : Limite de l’atteinte à la vie privée

Prendre sans tarder des mesures adéquates pour limiter les conséquences pour les personnes concernées d’une possibilité d’utilisation malveillante de leurs renseignements personnels, de l’usurpation ou du vol de leur identité :

a) Prendre des mesures afin de limiter immédiatement les conséquences d’une perte ou d’un vol de renseignements personnels en s’assurant de mettre fin à la pratique non conforme le cas échéant;

b) Récupérer les dossiers physiques ou numériques, selon le cas;

c) Révoquer ou modifier les mots de passe ou les codes d’accès informatiques;

d) Contrôler les lacunes dans les systèmes de sécurité.

Étape 4 : Évaluation des risques associés à l’atteinte

a) Compléter une évaluation préliminaire des risques, en considérant la sensibilité des renseignements personnels en cause, tenant compte de leur nature, leur quantité, la possibilité de les combiner avec d’autres renseignements, les personnes concernées, etc.;

b) Déterminer le contexte de l’incident incluant :

• la cause (ex. le caractère délibéré ou non de la perte ou du vol de renseignements personnels, l’erreur humaine, une faille informatique, etc.);

• les auteurs connus ou probables des renseignements personnels perdus ou subtilisés (ex. organisation criminelle, public en général, etc.);

• l’étendue de la situation (nombre de personnes touchées et secteurs touchés);

• le caractère systémique ou non de la disparition des renseignements personnels (particulièrement lorsque la perte n’est pas générée directement par une intervention humaine);

• une évaluation de la probabilité qu’un événement similaire se reproduise.

c) Évaluer la possibilité que les renseignements personnels concernés fassent l’objet d’une utilisation préjudiciable pour les personnes concernées en tenant compte, notamment, des mesures de sécurité prises pour les protéger, de leur difficulté d’accès et de leur intelligibilité (mot de passe, encodage, etc.);

d) Évaluer le caractère réversible ou non de la situation, dont la possibilité de récupérer les renseignements personnels;

e) Évaluer si les mesures immédiates prises étaient adéquates pour limiter l’atteinte et les compléter si nécessaire;

f) Déterminer les préjudices potentiels, notamment en évaluant les possibilités d’utilisation future des renseignements personnels par des personnes malveillantes, notamment pour le vol d’identité;

g) Déterminer les priorités et identifier les actions à prendre à partir des résultats de l’évaluation de ces risques.

Étape 5 : Notification à l’intention des personnes concernées

a) Déterminer qui doit être mis au courant de la perte ou du vol de renseignements personnels en fonction de l’évaluation des risques :

• Service de police : Dans les cas où la disparition peut résulter de la commission d’un crime, le service de police concerné doit être avisé des éléments entourant cette disparition tout d’abord et, ensuite, de toutes les démarches subséquentes. Il est nécessaire de porter une attention particulière afin de ne pas nuire à l’enquête et de préserver les éléments de preuve pouvant être pertinents;

• Personnes concernées : Si la perte ou le vol de renseignements personnels présente un risque de préjudice pour les personnes concernées, celles-ci devraient en être avisées sans tarder. Il ne s’agit pas d’alarmer mais de prévenir afin de leur permettre de prendre les mesures pertinentes pour protéger leurs renseignements personnels;

• Commission d’accès à l’information: Si les personnes concernées par les renseignements personnels proviennent du Québec, la Commission pourrait amorcer une inspection ou une enquête et jouer un rôle de conseiller dans la recherche de solution;

• Autres : Il peut également être nécessaire d’aviser d’autres intervenants, tels que les agences de crédit, un mandataire, un cocontractant, une instance gouvernementale, un syndicat, un ordre professionnel, etc.

Toutefois, dans la diffusion des informations concernant la perte de renseignements personnels, une attention particulière doit être portée afin de ne pas aggraver le préjudice que pourraient subir les personnes concernées (ex. limiter au minimum les renseignements personnels dans les avis).

b) Désigner les personnes responsables d’aviser les intervenants externes identifiés précédemment ainsi que le moment et le moyen (lettre, courriel, téléphone);

c) Le cas échéant, identifier et consigner les motifs à l’origine de la décision de ne pas aviser les personnes concernées et les autres intervenants.

Avis aux personnes concernées par une perte ou un vol de leurs renseignements personnels :

Selon les circonstances, il pourrait s’avérer nécessaire d’aviser les personnes victimes de la perte ou du vol de leurs renseignements personnels. Cet avis pourrait inclure certains des éléments suivants:

• Le contexte de l’incident et le moment où il s’est produit ainsi qu’une description de la nature des renseignements personnels touchés ou potentiellement touchés, sans dévoiler de renseignements personnels spécifiques;

• Une description sommaire des mesures prises afin de limiter ou de prévenir tout préjudice, ainsi que la liste des personnes qui ont été informées de la situation (Service de police, Commission d’accès à l’information, etc.);

• Les actions prises par les organismes et les entreprises pour aider les personnes concernées (Service d’aide et d’information, Abonnement alerte crédit, etc.);

• Les mesures que les personnes concernées peuvent prendre afin de réduire les risques de préjudice ou pour mieux se protéger (référence au document « Le vol d’identité » disponible à la Commission d’accès à l’information);

• Les autres documents d’information générale conçus pour aider les personnes à se prémunir contre le vol d’identité;

• Les coordonnées d’un interlocuteur de l’organisation qui peut répondre aux questions et à qui il est possible d’effectuer tout signalement;

• Les principales mesures qui seront prises pour éviter que la situation ne se reproduise (changement de pratique ou de processus, la formation du personnel, la révision ou l’élaboration de politiques, une vérification, un suivi périodique, etc.).

Étape 6 : Prévention

a) Approfondir l’analyse des circonstances de la perte ou du vol des renseignements personnels et effectuer une description chronologique des événements et des actions prises face à cet incident, incluant les dates et les intervenants concernés;

b) Répertorier et examiner les normes, politiques ou directives internes en place au moment de l’incident, autant au niveau de la sécurité informatique, lorsque l’information est en cause, que de la protection des renseignements personnels en général;

c) Vérifier si ces normes, politiques ou directives internes ont été suivies par les personnes impliquées, identifier les raisons pour lesquelles elles n’ont pas été suivies, le cas échéant;

d) S’il s’agit d’une erreur de procédure ou d’une défaillance opérationnelle, les consigner au dossier de sécurité et adapter les processus pour éviter qu’un tel incident ne survienne à nouveau;

e) Évaluer la nécessité d’élaborer une politique en matière de traitement d’une perte ou d’un vol de renseignements personnels au sein de l’organisme ou de l’entreprise;

f) Formuler les recommandations relatives aux solutions à moyen et long termes et aux stratégies de prévention;

g) S’assurer de la réelle nécessité, pour l’organisme ou l’entreprise, de la collecte des renseignements personnels concernés;

h) Prévoir le suivi devant être accordé.

Étape 7 : Suivi

Il est important d’effectuer le suivi :

a) du processus de traitement qui doit être appliqué lors d’une perte ou d’un vol de renseignements personnels et des résultats obtenus afin de l’améliorer, s’il y a lieu;

b) des mesures de sécurité requises à la suite de l’incident et de leur performance afin d’améliorer les processus et place et de mettre à jour la Politique en matière de protection des renseignements personnels;

c) de la communication de l’information pertinente à la Commission d’accès à l’information et au service de police impliqué, le cas échéant.

Tenue de dossier

Il est également obligatoire de tenir un registre de tous les événements d’atteinte à la protection des renseignements personnels, même si certains n’avaient aucun risque de préjudice grave. Tout événement doit être conservé au moins deux ans afin que le Commissariat à la protection de la vie privée puisse les examiner, sur demande.

Les dossiers doivent inclure, au minimum, les éléments suivants :

• la date ou durée estimée de l’atteinte ;

• une description des circonstances de l’atteinte ;

• la nature des renseignements en cause dans l’atteinte ;

• l’existence d’un rapport au Commissariat à la protection de la vie privée ou le nom des autres organisations avisées, s’il y a lieu ;

• une courte explication des raisons pour lesquelles l’organisation a déterminé qu’il n’y avait aucun risque de préjudice grave si l’atteinte n’a pas fait l’objet d’un rapport au Commissariat à la protection de la vie privée.

Ressources

Vous trouverez des renseignements détaillés sur toutes vos obligations ayant trait à la protection des renseignements personnels au www.priv.gc.ca.

1. Inventaire des renseignements personnels

Voici les outils où les données personnelles sont conservées :

Données sur les clients

• Équisoft ;

• OneDrive ;

• Classeurs barrés ;

• Conquest Planning ;

• Microsoft Office Premium.

Données sur les partenaires d’affaires

• Équisoft

Données sur les employés

• Équisoft

• Microsoft Office Premium

2. Délais de conservation  

Assurance de personnes et fonds distincts

La durée de conservation minimale requise par la loi est de 5 ans selon la Loi sur la distribution des produits et services financiers. Toutefois, afin de préserver nos droits en cas de recours et puisque nous restons responsables des conseils donnés toute la vie durant, les informations personnelles des clients seront conservées indéfiniment lors de la fermeture du dossier, suivant les règles suivantes : données non-nécessaires à l’octroiement de conseils (par exemple, adresse, NAS) : anonymisés ; données nécessaires à l’octroiement de conseils : âge, actif, nom, liens familiaux : conservés.

Épargne collective

La durée de conservation minimale requise par la loi est de 7 ans suite à la fermeture du dossier selon la Loi sur les valeurs mobilières. Toutefois, afin de préserver nos droits en cas de recours et puisque nous restons responsables des conseils donnés toute la vie durant, les informations personnelles des clients seront conservées indéfiniment lors de la fermeture du dossier, suivant les règles suivantes : données non-nécessaires à l’octroiement de conseils (par exemple, adresse, NAS) : anonymisés ; données nécessaires à l’octroiement de conseils : âge, actif, nom, liens familiaux : conservés.

Hypothèque

La durée de conservation minimale requise par la loi est de 5 ans selon la Loi sur la distribution des produits et services financiers. Afin de préserver nos droits en cas de recours, les informations personnelles des clients seront conservées indéfiniment suivant la fermeture du dossier.

Assurance collective

La durée de conservation minimale requise par la loi est de 5 ans selon la Loi sur la distribution des produits et services financiers. Afin de préserver nos droits en cas de recours, les informations personnelles des clients seront conservées indéfiniment suivant la fermeture du dossier.

Renseignements sur les employés

Afin de préserver nos droits en cas de recours, les informations personnelles des employés seront conservées indéfiniment suivant la fermeture du dossier d’emploi.

Renseignements sur les partenaires d’affaires

Afin de préserver nos droits en cas de recours, les informations personnelles des partenaires d’affaires seront conservées indéfiniment suivant la fermeture du dossier de partenariat.

Code de déontologie

Un représentant doit s’assurer que les renseignements qu’il détient sur ses clients demeurent confidentiels, à moins que certaines dispositions légales ou qu'une ordonnance d'un tribunal permettent de les divulguer. Il est également tenu d’utiliser les renseignements qu’il recueille seulement aux fins pour lesquelles il les a obtenus et de ne jamais les utiliser au préjudice de son client.

Ce sont les articles 26 et 27 du Code de déontologie de la Chambre de la sécurité financière qui prévoient ces obligations.

Art. 26 – Le représentant doit respecter le secret de tous renseignements personnels qu’il obtient sur un client et les utiliser aux fins pour lesquelles il les obtient, à moins qu’une disposition d’une loi ou d’une ordonnance d’un tribunal compétent ne le relève de cette obligation.

Art. 27 –  Le représentant ne doit pas divulguer les renseignements personnels ou de nature confidentielle qu’il a obtenus autrement que conformément aux dispositions de la loi, ni les utiliser au préjudice de son client ou en vue d’obtenir un avantage pour lui-même ou pour une autre personne.

Il est aussi important de souligner l’exigence de l’article 23 de la Loi sur la distribution de produits et services financiers qui prévoit qu’un représentant doit transmettre à l’établissement auquel il est rattaché tous les renseignements qu’il recueille relativement à ses clients. Il ne peut les communiquer qu’à une personne autorisée par la loi à les recevoir.

Questions fréquemment posées

Q : Les dossiers et registres tenus doivent-ils être conservés dans un classeur verrouillé ainsi que dans une pièce fermée à clé ?

R : La règle générale veut que les dossiers soient conservés dans un lieu sûr et sécuritaire. Ce lieu ne doit donc pas être accessible facilement, autrement que par les personnes autorisées. Évidemment, il faut également s’assurer que ces dossiers seront facilement repérables, dans un délai raisonnable, lorsqu’une personne dûment autorisée souhaite y avoir accès. Ainsi, conserver les dossiers dans des classeurs fermés à clé dans une pièce verrouillée constitue une bonne façon de remplir ces obligations. Toutefois, toute autre méthode sûre et sécuritaire permettant d’atteindre le même objectif serait tout aussi acceptable.

Q : Qu’en est-il de la conservation des dossiers électroniques ?

R : En matière de dossiers électroniques, la même règle que celle des dossiers physiques s’applique, dans la mesure où il faut s’assurer que leur mode de conservation est sûr et sécuritaire. Cela suppose que les renseignements soient conservés de façon à ce que personne, autre qu’une personne dûment autorisée, n’y ait accès. De plus, il faut s’assurer que ces renseignements ne peuvent pas être falsifiés ou détruits involontairement.

L’utilisation d’un code d’accès, d’un logiciel antivirus et la protection de l’accès au réseau constituent des exemples permettant l’atteinte de ces objectifs.

Q : Doit-on posséder un classeur pour chaque type de registre ou de dossier tenu ?

R : Un principe essentiel en matière de conservation de dossiers veut que ceux-ci soient conservés de façon à ce qu’ils puissent être facilement retrouvés dans un délai raisonnable. Cela implique l’utilisation d’une méthode de classement efficace permettant de retracer chaque type de dossier ou de registre. Le recours à l’utilisation d’un classeur distinct pour chaque type de dossier, jumelé à une codification adéquate, pourrait donc s’avérer efficace même si rien ne l’oblige.

Q : Dans un dossier client, doit-on détailler le contrat vendu, même lorsque l'on joint au dossier une copie de la proposition et l’illustration des produits vendus ?

R : L’important, en matière de tenue de dossiers, est que tous les renseignements nécessaires prévus au Règlement sur la tenue et la conservation des livres et registres se trouvent dans vos dossiers. D’ailleurs, ne perdez pas de vue que ces dossiers vous permettront également d’assurer un service professionnel à vos clients. L’objectif de ces dossiers devrait donc être l’accès facile à tous les renseignements qui vous seront utiles pour bien conseiller vos clients. Vos dossiers clients devraient notamment contenir les renseignements suivants : les coordonnées du client (nom, date de naissance, adresse, numéro de téléphone, numéro de télécopieur et adresse électronique), l’objet, la nature et le coût du produit vendu ou du service rendu, le numéro de la police, les dates de l’émission du contrat et de la signature de la proposition ou de la demande de service, le nom du représentant impliqué dans la transaction, son mode de rémunération, et ce, à l’égard de chaque produit vendu ou service rendu, la date et le mode de paiement du produit vendu ou du service rendu, une copie de l’analyse de besoins financiers (ABF) du client, une copie du formulaire requis lors du remplacement d’une police ainsi que tout autre renseignement recueilli auprès du client, et tout document afférent. Ainsi, lorsque la copie de la proposition et l’illustration des produits vendus contiennent tous ces renseignements, rien n’exige de détailler le contrat vendu. Par contre, vous pouvez très bien décider d’en ajouter plus que nécessaire, pourvu que cela soit pertinent. De plus, assurez-vous de respecter les normes de tenue de dossiers imposées par l’établissement auquel vous êtes rattaché.

Q : Si un individu est le seul représentant en assurance de personnes de son cabinet, à quelles règles doit-il se conformer ?

R : Selon les obligations prévues dans la Loi sur la distribution de produits et services financiers, le Règlement sur la tenue et la conservation des livres et registres et le Règlement sur le cabinet, le représentant autonome et la société autonome, vous devez appliquer les règles en fonction du mode d’exercice sous lequel vous exercez. Dans les faits, pour qu’un représentant obtienne un droit de pratique, il doit détenir un certificat délivré par l’AMF de même qu’une assurance professionnelle, et doit être autorisé à exercer sous un mode d’exercice en particulier, conformément à l’article 14 de la Loi sur la distribution de produits et services financiers. C’est donc à ce mode d’exercice que vous devez vous référer. Ainsi, si vous êtes un représentant autonome et que vous n’êtes donc pas rattaché à un cabinet ou à une société autonome, vous devez appliquer les règles qui encadrent les représentants autonomes. Si vous exercez plutôt vos activités pour un cabinet ou pour une société autonome, ceux-ci doivent mettre en application les règles qui leur sont imposées.

Q : Un conseiller en sécurité financière peut-il conserver une copie de toutes les propositions d’assurance soumises durant l’étude d’un dossier ?

R : Rien dans la loi ou dans les règlements n’interdit au représentant de conserver les propositions d’assurance dans le dossier client s’il s’agit de renseignements pertinents. D’ailleurs, le Règlement sur la tenue et la conservation des livres et registres prévoit que tout autre renseignement utile et nécessaire recueilli auprès du client ainsi que tout document afférent doivent être conservés au registre. De plus, vos obligations déontologiques mentionnent que vous devez avoir une connaissance complète des faits. Il serait donc logique de conserver ces renseignements dans vos dossiers.