Ley 25: lo que un estudio de danza debe hacer con los datos de las familias

La «Ley 25» modificó varias leyes. Para una empresa privada como un estudio de danza, el texto que cuenta es la Ley sobre la protección de la información personal en el sector privado (capítulo P-39.1). Se aplica sea cual sea el soporte: formulario en papel, hoja de cálculo, software en línea o bandeja de correo.

Según la ley, información personal es toda información que concierne a una persona física y permite identificarla, directa o indirectamente. En un estudio, esto incluye el nombre y la fecha de nacimiento del alumno, la dirección y el teléfono de los padres, las alergias, el nivel, la asistencia y el historial de pagos.

El artículo 3.1 hace a la empresa responsable de la información personal que posee. La persona con mayor autoridad, a menudo la dueña del estudio, ejerce por defecto la función de responsable de la protección de la información personal. Puede delegarla por escrito, total o parcialmente, por ejemplo a la coordinadora administrativa. El título y los datos de contacto de este responsable deben publicarse en el sitio web del estudio.

El artículo 3.2 exige establecer políticas y prácticas de gobernanza que prevean al menos la conservación y la destrucción de la información, las funciones y responsabilidades del personal y un proceso de atención de quejas. Deben ser proporcionales a la naturaleza y la importancia de sus actividades, aprobadas por el responsable, y debe publicarse en su sitio información detallada sobre ellas, en términos sencillos y claros. Un estudio con 150 familias no necesita un documento de treinta páginas; necesita un texto que un padre entienda en la primera lectura.

Si recopila información por un medio tecnológico, como un formulario de inscripción en línea, el artículo 8.2 exige además una política de confidencialidad publicada en su sitio, con un aviso cada vez que se modifique. En el momento de la recopilación, el artículo 8 lo obliga, entre otras cosas, a informar a las familias de los fines, de sus derechos de acceso y rectificación, de su derecho a retirar el consentimiento y, en su caso, de una posible comunicación fuera de Quebec.

Antes de recopilar cualquier cosa, determine para qué servirá (artículo 4) y luego recopile solo lo necesario para esos fines (artículo 5). Relea su ficha de inscripción con esa pregunta en mente: la profesión de los padres o el número de seguro médico del niño son difíciles de justificar para una clase de ballet del sábado por la mañana.

El artículo 14 exige un consentimiento manifiesto, libre, informado y otorgado para fines específicos. Se pide para cada uno de esos fines, en términos sencillos y claros, y se presenta por separado de cualquier otra información si se pide por escrito. En la práctica: una casilla para el boletín, otra para las fotos, en lugar de una sola casilla «Acepto todo».

Para los menores, la regla es precisa. El consentimiento del menor de 14 años lo otorga el titular de la patria potestad o el tutor; el del menor de 14 años o más puede otorgarlo el propio menor, el titular de la patria potestad o el tutor. El artículo 4.1 añade que no se recopila información de un niño menor de 14 años sin el consentimiento del padre o del tutor, salvo que la recopilación sea manifiestamente en su beneficio. La encuesta de fin de año que les da a las alumnas de 12 años pasa entonces primero por los padres.

La información de salud, como una alergia, el asma o la epilepsia, es información sensible. La ley exige un consentimiento expreso para usarla con un fin distinto de aquel para el que se recopiló. El artículo 20 limita el acceso a los miembros del personal para quienes la información es necesaria en el ejercicio de sus funciones: la profesora del grupo del martes debe saber que una alumna lleva un autoinyector de epinefrina; la persona que hace la facturación no necesita el expediente de salud.

Una foto o un video en el que se reconoce a una alumna permite identificarla. La postura prudente es tratarlo como información personal, con las mismas reglas de consentimiento. El espectáculo de junio es cuando se multiplican.

Como el consentimiento se pide para cada fin, separe los usos en el formulario: fotos de uso interno, video del espectáculo entregado a las familias, publicación en las redes sociales del estudio, uso en publicidad. Para los menores de 14 años, responde el padre o la madre. Y como el consentimiento solo vale por el tiempo necesario, una foto tomada para el espectáculo de 2025 no debería reaparecer en un anuncio de 2028 sin volver a pedirlo.

En la práctica: entregue al fotógrafo y a la persona que gestiona sus redes sociales la lista de alumnos que no deben publicarse, y manténgala al día. Las familias pueden retirar su consentimiento, y usted debe habérselo informado al recopilar su información.

Antes de comunicar información personal fuera de Quebec, el artículo 17 exige una evaluación de los factores relativos a la privacidad. Esta considera, entre otros, la sensibilidad de la información, las medidas de protección y el régimen jurídico del lugar de destino. La comunicación puede hacerse si la evaluación demuestra una protección adecuada, y debe constar en un acuerdo escrito. La misma regla se aplica cuando un proveedor fuera de Quebec conserva o trata información por su cuenta, como muchas herramientas en la nube.

El artículo 3.3 también exige una evaluación para todo proyecto de adquisición, desarrollo o renovación de un sistema de información que involucre información personal, por ejemplo cambiar de software de inscripción antes de la sesión de otoño. El responsable debe ser consultado desde el inicio del proyecto.

Haga el inventario de sus herramientas: inscripciones, pagos, boletín, carpeta compartida, grupo de mensajería de los profesores. Para cada una, anote dónde se alojan los datos, quién tiene acceso y qué contrato lo vincula con el proveedor. Según la Commission, ese contrato debe precisar las medidas de confidencialidad, el uso permitido y la destrucción de la información.

La ley define el incidente de confidencialidad como el acceso, la utilización o la comunicación no autorizados de información personal, o su pérdida. Un correo enviado a las 80 familias del estudio con todas las direcciones visibles, el teléfono de un profesor perdido con la lista de alumnos, un estado de cuenta enviado a la familia equivocada: son incidentes.

El artículo 3.5 lo obliga primero a tomar medidas razonables para reducir los riesgos y evitar que se repita. Si el incidente presenta un riesgo de perjuicio grave, debe avisar con diligencia a la Commission d’accès à l’information y a las personas afectadas. Para evaluar ese riesgo, el artículo 3.7 pide considerar la sensibilidad de la información, las consecuencias previsibles y la probabilidad de un uso perjudicial, consultando al responsable.

Todos los incidentes, incluso los que no presentan riesgo de perjuicio grave, deben consignarse en un registro (artículo 3.8), del cual la Commission puede pedir una copia. Según la Commission, la información de este registro se conserva al menos cinco años después de que se tomó conocimiento del incidente.

Cuando se cumplen los fines para los que se recopiló la información, el artículo 23 exige destruirla o anonimizarla, salvo que una ley prevea un plazo de conservación. Sus documentos contables, en cambio, pueden estar sujetos a plazos de conservación fiscales: verifíquelos antes de destruir. Para destruir, la Commission recomienda, entre otros métodos, el triturado de corte cruzado para el papel y el borrado seguro para los soportes digitales.

Un padre puede preguntar qué información tiene usted sobre su familia y obtener una copia (artículo 27). El responsable debe responder por escrito, con diligencia y a más tardar 30 días después de recibir la solicitud (artículo 32). Desde septiembre de 2024, la información informatizada recopilada de la persona debe, a petición suya, entregársele en un formato tecnológico estructurado y de uso común, salvo que ello plantee dificultades prácticas graves.

Estos diez puntos cubren lo esencial; agosto es un buen momento para revisarlos antes de las inscripciones de otoño.

Un software no hace que un estudio cumpla la ley; las decisiones siguen siendo suyas. Cadanse lo ayuda en algunos puntos concretos: los datos se alojan en Canadá, lo que simplifica su inventario de herramientas, y una familia puede descargar una copia de los datos que el estudio conserva sobre ella, lo que facilita responder a una solicitud de acceso.

• Designar al responsable de la protección de la información personal, por escrito si hay delegación.
• Publicar su título y sus datos de contacto en el sitio del estudio.
• Redactar y publicar políticas de gobernanza y una política de confidencialidad en términos sencillos.
• Releer la ficha de inscripción y quitar lo que no sea necesario.
• Pedir un consentimiento distinto para cada fin: boletín, fotos, redes sociales.
• Obtener el consentimiento del padre, la madre o el tutor para todo alumno menor de 14 años.
• Limitar el acceso a la información de salud a las personas que la necesitan.
• Hacer el inventario de sus herramientas en línea, su lugar de alojamiento y sus contratos con proveedores.
• Abrir un registro de incidentes y saber cuándo avisar a la Commission.
• Fijar plazos de conservación y destruir de forma segura lo que ya no sirve.