Politique de confidentialité

Fin à la faim…
Adoptée par le conseil d’administration le 8 juin 2026

Avant-propos

Le masculin est utilisé dans ce document aux seules fins d’alléger le texte. FAF est ci-après utilisé pour remplacer le nom complet de l’organisme Fin à la faim… aux seules fins d’alléger le texte.

La présente politique traite de la gestion et de la protection des informations jugées confidentielles au sein de FAF. Elle traite notamment des renseignements personnels concernant ses membres, ses donateurs et ses données, des informations liées aux activités de l’organisme et des informations concernant les bénéficiaires, les membres du conseil d’administration, les membres du personnel, les membres individuels et les bénévoles.

Elle s’applique aux relations entre toutes personnes : administrateurs, donateurs, membres du personnel, bénévoles et bénéficiaires, partenaires ainsi qu’à toutes les autres personnes aidantes ou étant présentes dans les différents locaux de FAF.

FAF désigne par la présente politique Danika Croteau comme Responsable de la protection des renseignements personnels (ci-après « RPRP »). À défaut de cette personne pouvant assumer ce rôle, c’est la personne qui a la plus haute autorité au sein de l’organisation qui sera le RPRP (par exemple, la présidence du conseil d’administration). L’identification du RPRP sur le site internet de l’organisme est reconnue comme étant effectuée, entre autres, grâce à la publication de la présente politique.

Le RPRP est globalement responsable de l’ensemble des dispositions de la présente politique, ce qui inclut entre autres, sans toutefois s’y restreindre, les rôles suivants :

Est responsable, en collaboration avec la direction et le conseil d’administration de FAF, de s’assurer que les dispositions de la présente politique soient respectées;
Soutient la mise en place des mesures pour prévenir ou limiter les conséquences d’un incident de confidentialité ou d’une plainte impliquant un renseignement personnel;
Assure l’évaluation des risques globaux relatifs à la protection de la vie privée (annuelle ou au besoin);
Est responsable d’assurer la formation et la sensibilisation des parties prenantes de l’organisme (personnel, bénévoles, etc.);
Tient le registre des incidents de confidentialité et des plaintes.

La présente politique poursuit les objectifs suivants :

Assurer le respect de la vie privée des personnes et la sécurité des renseignements personnels pouvant les identifier ainsi que des informations confidentielles détenues par FAF;
Se donner des balises concernant le traitement et les échanges d’informations tant à l’intérieur qu’à l’extérieur de l’organisme;
Présenter l’encadrement applicable à la conservation et à la destruction de ces renseignements, prévoir les rôles et les responsabilités des membres de son personnel tout au long du cycle de vie de ces renseignements ainsi qu’un processus de traitement des plaintes relatives à la protection de ceux-ci, proportionnées à la nature et à l’importance des activités de l’organisme, tel que prévu à l’article 3.2 de la Loi sur la protection des renseignements personnels dans le secteur privé.

1. Définitions

Discrétion : L’aptitude à garder secrètes les confidences et les informations privées obtenues en dehors du cadre de travail afin de préserver le respect, l’amitié et la confiance.

Confidentialité : Le fait de limiter ou d’interdire à d’autres personnes l’accès à des informations privées obtenues dans l’exercice de ses fonctions.

Renseignement personnel : tout renseignement permettant d’identifier directement ou indirectement un individu ou une organisation. En exemple, un rapport formel consigné au dossier qui témoigne du processus d’intervention concernant la situation de l’individu ou de l’organisation à qui FAF dispense du soutien ou des services est considéré un renseignement personnel.

Information confidentielle : toute autre information devant être traitée avec discrétion et confidentialité mais ne permettant pas d’identifier explicitement un individu ou une organisation. En exemple, tel qu’inspiré par le code de déontologie de l’Ordre des travailleurs sociaux et des thérapeutes conjugaux et familiaux du Québec (OTSTCFQ), les notes ou outils de travail sont des pièces ou des documents (sur support papier ou support informatique) qui servent aux travailleurs de FAF comme moyen de soutien au processus d’intervention, d’aide-mémoire pour leurs propres réflexions, hypothèses et/ou le suivi de leurs interventions. Ces notes ou outils de travail ne sont pas destinés à être transmis à d’autres personnes et peuvent servir à appuyer la rédaction de rapports formels qui, eux, deviennent des éléments de renseignements personnels.

2. Cadre législatif

En matière de collecte et d’utilisation des données, FAF respecte les lois en vigueur, notamment les dispositions prévues aux articles 37 à 41 du Code civil du Québec, lesquelles portent tant sur les personnes physiques que morales.

37. Toute personne qui constitue un dossier sur une autre personne doit avoir un intérêt sérieux et légitime à le faire. Elle ne peut recueillir que les renseignements pertinents à l’objet déclaré du dossier et elle ne peut, sans le consentement de l’intéressé ou l’autorisation de la loi, les communiquer à des tiers ou les utiliser à des fins incompatibles avec celles de sa constitution; elle ne peut non plus, dans la constitution ou l’utilisation du dossier, porter autrement atteinte à la vie privée de l’intéressé ni à sa réputation.

38. Sous réserve des autres dispositions de la loi, toute personne peut, gratuitement, consulter et faire rectifier un dossier qu’une autre personne détient sur elle soit pour prendre une décision à son égard, soit pour informer un tiers; elle peut aussi le faire reproduire, moyennant des frais raisonnables. Les renseignements contenus dans le dossier doivent être accessibles dans une transcription intelligible.

39. Celui qui détient un dossier sur une personne ne peut lui refuser l’accès aux renseignements qui y sont contenus à moins qu’il ne justifie d’un intérêt sérieux et légitime à le faire ou que ces renseignements ne soient susceptibles de nuire sérieusement à un tiers.

40. Toute personne peut faire corriger, dans un dossier qui la concerne, des renseignements inexacts, incomplets ou équivoques; elle peut aussi faire supprimer un renseignement périmé ou non justifié par l’objet du dossier, ou formuler par écrit des commentaires et les verser au dossier. La rectification est notifiée, sans délai, à toute personne qui a reçu les renseignements dans les six mois précédents et, le cas échéant, à la personne de qui elle les tient. Il en est de même de la demande de rectification, si elle est contestée.

41. Lorsque la loi ne prévoit pas les conditions et les modalités d’exercice du droit de consultation ou de rectification d’un dossier, le tribunal les détermine sur demande. De même, s’il survient une difficulté dans l’exercice de ces droits, le tribunal la tranche sur demande.

À défaut d’identifier toutes les lois susceptibles de définir les obligations en la matière, FAF s’engage à respecter toutes dispositions légales qui pourraient être portées à son attention ultérieurement.

3. Engagements

FAF s’engage à :

Assurer la sécurité et la confidentialité des renseignements obtenus;
Mettre en place des mécanismes afin de protéger les informations confidentielles;
Assurer le traitement confidentiel des plaintes;
Recueillir seulement les données nécessaires ou utiles;
Effectuer annuellement (et/ou au besoin) une évaluation des risques globaux relatifs à la protection de la vie privée, dont rapport sera déposé au conseil d’administration par le RPRP;
Appliquer la présente politique dans le respect des valeurs organisationnelles de FAF;
Agir avec respect et transparence lors de l’application de cette politique et dans le respect des lois en vigueur.

4. Collecte, utilisation et partage des données

4.1 Collecte

Les données ou renseignements recueillis par FAF sont de deux ordres :

Sont considérées comme privées, les données obtenues auprès d’individus ou d’organisations, transmises de façon volontaire et qui seraient autrement introuvables.
Sont considérées publiques les données qui sont facilement accessibles, notamment sur un site internet ou un répertoire public (ex. : listes d’entreprises).

4.2 Utilisation

Les données recueillies, qu’elles soient privées ou publiques, sont utilisées par les employés de FAF, ses représentants, ou les personnes nécessaires à la réalisation des fins pour lesquelles les renseignements ont été recueillis, entre autres, sans toutefois s’y restreindre, pour les fins suivantes :

Bases de données diverses (bénéficiaires, donateurs, bénévoles, employés, partenaires, tenue de dossiers, etc.);
Production de statistiques utiles au rapport annuel et aux demandes de subventions;
Inscriptions à des activités (dépannage alimentaire, paniers de Noël, activités);
Participation à des programmes spécifiques (parrainage cadeau, etc.);
Communications spécifiques (infolettre, prises de contact, sollicitations).

4.3 Partage

FAF s’engage à assurer la confidentialité des renseignements ou données privées recueillies, tel que défini au point 4.1. Toutefois, il lui sera possible de diffuser ou publier uniquement des données pour lesquelles il a obtenu l’autorisation et que pour les fins pour lesquelles cette autorisation a été donnée ou qui n’identifient pas, directement ou indirectement, une personne, une entreprise ou un organisme. Ce pourrait être le cas lors d’un rapport d’activités, ou une étude sur un programme spécifique, où seules les données agrégées pourraient être divulguées (comme la situation géographique des membres dans un rapport d’activités, les statistiques sur le type de famille, l’ethnie, les sources de revenus, le groupe d’âge, etc.).

En ce qui concerne les données publiques, tel que défini à l’article 4.1, FAF s’engage à analyser la pertinence de toute demande au regard des principes et valeurs de l’organisation et à ne partager les données de nature publique dont il dispose que pour des fins jugées utiles par FAF.

5. Discrétion

Toute personne qui, au sein de FAF, a des échanges qui ne sont pas liés à l’exercice de leurs fonctions doit agir avec discrétion. De ce fait, elle doit :

Respecter la vie privée des personnes;
Ne pas divulguer ni renseignement personnel, ni information confidentielle obtenue au sein de l’organisme;
Savoir garder les informations sensibles des personnes qui se confient;
Agir selon les valeurs de l’organisme.

6. Confidentialité

Toute personne à l’intérieur de FAF, qui obtient des renseignements personnels ou des informations confidentielles dans l’exercice de ses fonctions est tenue de respecter la confidentialité de ces informations.

Exception est faite dans certains cas, où il est essentiel que les intervenants puissent échanger certaines informations pour une meilleure intervention. Dans ce cas, les personnes concernées doivent aussi garder la confidentialité des informations échangées.

7. Consentement

La transparence et la clarté du consentement sont importantes pour FAF, qui cible obtenir, lorsque nécessaire, des renseignements personnels et confidentiels dans l’exercice de sa mission et de ses activités. De ce fait, l’organisme obtiendra consentement entre autres, sans toutefois s’y restreindre, à l’aide des méthodes suivantes :

À l’aide de formulaires (adhésion, donation, consentement écrit à des fins spécifiques (ANNEXE A-1 et A-2));
À l’aide d’avertissements automatisés (site internet, infolettre, « déclaration internet » (ANNEXE B), etc.);
Avec la diffusion et la publication sur le site internet de la présente politique (également disponible sur demande en version imprimée, moyennant certains frais).

8. Échange d’information, tenue de dossier et mesures de sécurité

Pour les membres du conseil d’administration, le personnel et les bénévoles de l’organisme.

8.1 Échanges d’informations à l’extérieur de FAF

Le conseil d’administration, la direction et les employés ne doivent pas discuter de dossiers, de personnes ou de décisions propres à FAF, avec des personnes extérieures ou non concernées, sauf si cela est nécessaire pour réaliser une intervention dans le cadre régulier de la mission de l’organisme. Dans une telle situation, ils doivent :

S’assurer de l’identité de la personne qui demande l’information si celle-ci n’est pas connue;
Limiter les échanges d’informations au strict minimum;
S’assurer d’avoir un consentement écrit à des fins spécifiques lorsque la situation l’exige.

8.2 Échanges d’informations au sein de FAF

Limiter les échanges d’informations entre intervenants hors de réunion d’équipe ou le faire dans un endroit sécurisé (ex. : bureau à porte fermée);
Éviter de discuter des dossiers, des personnes ou des décisions en dehors de ces moments. Si cela est impossible, s’assurer de ne pas identifier la personne concernée et échanger dans un lieu propice à la confidentialité;
S’assurer que les conversations téléphoniques traitant d’informations confidentielles ne sont pas entendues par d’autres personnes.

8.3 Pratiques à respecter concernant la tenue de dossier

À défaut d’identifier toutes les pratiques susceptibles de définir les obligations en la matière, FAF s’engage à respecter entre autres, sans toutefois s’y restreindre, les dispositions suivantes :

N’inscrire au dossier que des informations vraies, pertinentes et nécessaires;
Éviter de noter des commentaires personnels, des réflexions ou perceptions dans les rapports formels et s’en tenir aux faits des interventions, aux faits rapportés par la personne concernée ou observés par l’intervenant lui-même;
Des notes ou autres outils de travail, à eux seuls, sont des pièces ou des documents (sur support papier ou support informatique) qui servent aux travailleurs de FAF comme moyen de soutien au processus d’intervention, d’aide-mémoire pour leurs propres réflexions, hypothèses et/ou le suivi de leurs interventions. Ces notes ou outils de travail ne sont pas destinés à être transmis à d’autres personnes et peuvent servir à appuyer la rédaction de rapports formels. Ces notes et outils de travail doivent tout de même respecter les valeurs de FAF entre autres en limitant les renseignements personnels associés aux notes et leur utilisation au strict minimum. Elles doivent être considérées comme étant des informations confidentielles, respectant les dispositions de la présente politique, mais ne sont pas considérées formellement comme des renseignements personnels.

8.4 Mesures de sécurité pour limiter l’accès à l’information

À défaut d’identifier toutes les mesures susceptibles de définir les obligations en la matière, FAF s’engage à respecter entre autres, sans toutefois s’y restreindre, les mesures de sécurité suivantes :

Fermer les portes des bureaux à l’heure du dîner, en fin de journée ou en cas d’absence;
Nul n’est autorisé à entrer dans le bureau d’un autre en son absence et sans son autorisation;
Verrouiller les classeurs contenant les dossiers des membres, des bénéficiaires et des employés ainsi que ceux contenant des renseignements nominatifs, en dehors des heures de bureau ou en l’absence de leurs responsables;
Verrouiller avec mot de passe l’accès aux ordinateurs ou tout autre outil numérique à l’heure du dîner ou en cas d’absence ou d’inutilisation;
Changer le mot de passe (serveur, ordinateur ou autre) annuellement (en recommençant après la fermeture d’été).

8.5 Procédures de conservation et de destruction des dossiers confidentiels

Conserver les renseignements personnels aussi longtemps que l’exige la loi ou jusqu’à 6 ans après la fin de l’année financière où les fins pour lesquelles ils ont été recueillis sont terminées. Lorsqu’il n’y aura plus de besoin, FAF prendra des mesures raisonnables pour les supprimer;
Conserver les dossiers fermés en un lieu sûr dans le respect des normes et de l’esprit de la présente politique;
Toutes impartitions (sauvegardes, transfert de renseignements personnels à des fournisseurs de services, par exemple, des plateformes de gestion de dons ou de bases de données), s’il y a lieu, seront effectuées par FAF auprès d’organisations ou de services reconnus ou ayant démontré un niveau de sécurité adéquat, au meilleur des connaissances du RPRP;
S’assurer que les dossiers désuets ou inactifs sont supprimés ou déchiquetés par une personne désignée à cette tâche par le RPRP à la fin de la période de conservation;
Détruire tous les autres documents confidentiels de la même manière.

8.6 Réunions et procès-verbaux (conseil d’administration, comité exécutif, assemblée générale)

Les résolutions adoptées en réunion doivent rester confidentielles à FAF lorsqu’une telle mention se retrouve sur le document;
Par ailleurs, les procès-verbaux ne sont accessibles qu’à ceux qui ont assisté ou avaient le droit d’assister à une assemblée ou une réunion.

9. Dispositions particulières pour les donateurs

FAF accorde énormément d’importance à la confiance des donateurs qui décident de l’appuyer. Par conséquent, FAF fait de son mieux pour limiter la collecte et l’utilisation des renseignements personnels et financiers de ses donateurs et pour en protéger la sécurité et la confidentialité.

Toutes les informations personnelles recueillies par FAF sur un donateur (qu’il soit confirmé ou potentiel) restent confidentielles. FAF n’utilisera aucun renseignement personnel recueilli auprès d’un autre organisme, d’un tiers, d’un individu concerné, etc., pour quelque fin que ce soit, sans que l’individu concerné ne le sache et n’y consente.

FAF ne divulguera aucune information personnelle sur un donateur à quiconque à l’extérieur ni à aucune de ses entités affiliées sans que le donateur le sache et y consente, sauf aux personnes suivantes :

Un vérificateur relié à un audit de FAF effectué par son vérificateur ou par un vérificateur désigné par le donateur;
Un organisme ou un individu fournissant des services à FAF, si les renseignements personnels sont raisonnablement nécessaires à la prestation desdits services (ex. : plateforme de collecte de dons). Dans ce cas, le prestataire de services ou l’individu doit agir en conformité avec la présente politique, et utiliser lesdits renseignements personnels uniquement pour les fins de la prestation des services à FAF;
Un avocat qui représente FAF dans une affaire qui touche les renseignements personnels;
Quiconque présente une assignation à témoigner, un mandat ou une obligation découlant d’un ordre de la cour;
Une institution gouvernementale qui demande ces renseignements, qui présente son autorisation de demande, en lien avec l’administration de toute loi en vigueur;
Dans toute autre circonstance où la divulgation est explicitement permise conformément aux lois s’appliquant à la protection des renseignements personnels.

FAF ne pratique pas d’échange avec un ou des organisme(s) réputé(s). Ainsi, aucun renseignement personnel ne sera transmis à un autre organisme à des fins de collectes de fonds.

10. Modalités d’application

Le RPRP, en collaboration avec la direction ou le conseil d’administration de FAF, est responsable de la mise en œuvre et de l’application de la politique de confidentialité.

Les administrateurs, la direction, les employés et les bénévoles doivent, dès l’entrée en vigueur de cette politique, recevoir une copie et en prendre connaissance. Par la suite, la présente politique fera partie intégrante du Code d’éthique de FAF.

Les nouveaux administrateurs, employés ou bénévoles seront informés de la présente politique à même ses pratiques courantes : politique de gouvernance, code d’éthique, guide de bienvenue, déclaration de conflits d’intérêts qui inclut la notion d’avoir pris connaissance de la présente politique.

En cas de non-respect de la politique de confidentialité par la direction, c’est le conseil d’administration qui doit intervenir. Si un administrateur, un employé ou un bénévole a divulgué une information confidentielle, l’autorité compétente lui impose une sanction ou mesure disciplinaire conforme aux politiques, règlements ou procédures en vigueur au sein de FAF. La sanction peut aller, selon la situation, de la réprimande à l’exclusion ou au renvoi.

11. Incidents de confidentialité et plaintes

FAF souscrit à une assurance responsabilité civile à l’égard des dispositions de la présente politique de protection des renseignements personnels, via la firme BFL.

Le RPRP, en collaboration avec la direction ou le conseil d’administration de FAF, est responsable de la conservation d’un registre formel (ANNEXE C) ainsi que de la mise en œuvre des procédures et obligations suivantes en cas d’incidents ou de plaintes formulées par écrit par une personne portant atteinte à la confidentialité des renseignements personnels :

Prendre connaissance de l’étendue de l’incident de confidentialité ou de la plainte formulée par écrit par une personne et déterminer le niveau de « risques de préjudices sérieux », tel que défini ci-dessous :
- Pour évaluer la gravité du risque de préjudice pour les personnes concernées, il faut considérer, notamment :
  - la sensibilité des renseignements concernés;
  - les conséquences appréhendées de leur utilisation;
  - la probabilité qu’ils soient utilisés à des fins préjudiciables.
- Si l’analyse fait ressortir ou est perçu comme un risque de préjudice sérieux, l’organisation doit aviser la Commission et les personnes concernées de l’incident.
- Dans le cas contraire, elle doit tout de même poursuivre ses travaux pour réduire les risques et éviter qu’un incident de même nature se produise à nouveau dans le futur, tout en documentant la situation dans le registre prévu à cette fin.
Si nécessaire, procéder à la déclaration de l’incident auprès de la Commission d’accès à l’information du Québec à l’aide du Formulaire de déclaration d’un incident de confidentialité (ANNEXE D);
- Ce dernier (ANNEXE D) énumère les responsabilités et obligations inhérentes à un incident, de ce fait, la présente politique se réfère au formulaire; le RPRP doit suivre les procédures et directives présentées dans le formulaire de la Commission d’accès à l’information du Québec.
En cas de doute ou d’incertitude, la Commission d’accès à l’information du Québec sera contactée par le RPRP pour obtenir des directives spécifiques à la situation.

12. Consultation des données, portabilité et désindexation

Un individu ou un organisme peut demander par écrit d’avoir accès aux renseignements personnels que détient FAF sur lui. FAF répondra dans un délai raisonnable en lui donnant accès à ces données. FAF peut refuser si les circonstances l’obligent ou lui donnent le droit de refuser cet accès. Les renseignements à fournir sur demande sont les informations suivantes :

Les renseignements personnels qui sont recueillis auprès d’elle et officiellement consignés à son dossier;
Catégories de personnes qui ont accès à ces renseignements au sein de l’organisme;
Durée de conservation des renseignements personnels (7 ans après désactivation);
Coordonnées du responsable de la protection des renseignements personnels.

L’individu ou l’organisme qui croit qu’un ou plusieurs de ses renseignements personnels sont inexacts ou incomplets peut demander par écrit à FAF de les modifier. FAF fera les corrections appropriées. Cependant, s’il est raisonnablement d’avis que la modification est inexacte ou incomplète, dans ce cas FAF peut la refuser et inscrire la demande de modification dans ses dossiers.

Le RPRP de FAF est responsable d’assurer la portabilité des renseignements personnels que l’organisme détient. Ainsi, FAF devra être capable de communiquer à la personne concernée ses renseignements personnels, dans un délai raisonnable, dans un format technologique ou imprimé structuré et couramment utilisé, ou pour répondre à une demande de transfert de ses renseignements personnels à tout organisme / personne autorisée par la loi.

Ces moyens de portabilité sont entre autres, sans toutefois s’y restreindre :

Des versions numériques des données personnelles tirées des bases de données internes de FAF (en format PDF);
Des photocopies (moyennant certains frais) ou la numérisation de documents ou dossiers.

FAF verra également à fournir les moyens à ce qu’un individu ou une organisation puisse demander de cesser de diffuser ou d’utiliser ses renseignements personnels ou de désindexer tout hyperlien rattaché à son nom ou donnant accès à des renseignements.

13. Entrée en vigueur

La présente politique entre en vigueur le 8 juin 2026, à la suite de son adoption par le conseil d’administration. Elle pourra être modifiée au moment opportun après analyse. La modification doit respecter les valeurs et les règlements de FAF.

Annexes (documents séparés) : A-1 Formulaires types de consentement spécifique · A-2 Formulations types de consentement général · B Déclaration de confidentialité pour site internet · C Registre des incidents de confidentialité et de plaintes · D Formulaire de déclaration d’un incident.