Une direction de CPE qui s'attaque à la Loi 25 croit souvent devoir tout bâtir de zéro. Pourtant, un service de garde est l'une des rares organisations du Québec dont le dossier le plus sensible, celui de l'enfant, est déjà encadré ligne par ligne par un règlement sectoriel. Ce que nous avons écrit sur la Loi 25 pour les OBNL reste valable, mais une partie du travail est déjà faite.
Ce qui manque, c'est tout ce que le règlement n'a pas prévu : le portail parents où s'accumulent des années de photos et de notes quotidiennes, le téléphone personnel de l'éducatrice, la publication Facebook de la fête de Noël.
La réponse courte, pour les pressés
Oui, la Loi 25 s'applique aux CPE et aux garderies. Un CPE est une personne morale à but non lucratif ou une coopérative, une garderie peut appartenir à toute personne, et ni l'un ni l'autre ne figure parmi les organismes publics de la Loi sur l'accès. La loi sur le secteur privé s'applique donc, car elle vise toute activité économique organisée, commerciale ou non. Le Règlement sur les services de garde éducatifs à l'enfance encadre déjà le dossier éducatif : contenu limité, accès interdit sans autorisation écrite du parent, original remis au départ, copie détruite après un an. La Loi 25 ajoute le reste : un responsable de la protection des renseignements personnels, une politique publiée, un registre des incidents, le consentement du parent pour un enfant de moins de 14 ans, et une évaluation des facteurs relatifs à la vie privée avant d'adopter un portail parents. Le vrai risque se trouve dans ce portail, pas dans le classeur.
Un CPE n'est pas un organisme public, même subventionné
Subventionné et inspecté par le ministère de la Famille, un CPE semble relever de la Loi sur l'accès aux documents des organismes publics, comme une école. Le texte dit autre chose. La liste des organismes publics de l'article 3 de la Loi sur l'accès ne mentionne pas les services de garde. L'article 4 y ajoute les organismes dont le gouvernement ou un ministre nomme la majorité des membres, dont le personnel relève de la fonction publique ou dont le fonds social appartient à l'État. Le CPE n'en remplit aucun : selon l'article 7 de la Loi sur les services de garde éducatifs à l'enfance, son permis est délivré à une personne morale à but non lucratif ou à une coopérative dont le conseil compte au moins deux tiers de parents usagers ou futurs usagers. Pour la garderie, l'article 11 permet de délivrer le permis « à toute personne » qui remplit les conditions, y compris une société par actions.
Reste la loi sur le secteur privé, qui vise l'exploitation d'une entreprise au sens de l'article 1525 du Code civil : une activité économique organisée, « qu'elle soit ou non à caractère commercial », dont la prestation de services. Garder 60 enfants cinq jours par semaine, avec du personnel et un budget, y correspond sans contorsion. L'aide-mémoire Loi 25 du Conseil québécois des services éducatifs à la petite enfance traite d'ailleurs les services de garde comme les entreprises.
Si le ministère demande des renseignements sur les enfants ou les parents, l'article 102 de la Loi sur les services de garde oblige à les transmettre, ce que la loi sur le secteur privé permet sans consentement (art. 18).
Le Règlement a déjà écrit la moitié de votre politique
Pour les documents qui comptent le plus, le Règlement sur les services de garde éducatifs à l'enfance est plus précis que la Loi 25 elle-même.
Le dossier éducatif. L'article 123.0.1 dit qu'il contient « uniquement » cinq éléments : le nom et la date de naissance de l'enfant, le nom du parent, la date de début des services, les portraits périodiques du développement et, le cas échéant, les documents liés au soutien particulier accordé à l'enfant. Sauf usage interne ou inspection du ministère, tout accès ou toute communication exige l'autorisation écrite préalable du parent (art. 57.1 de la Loi, art. 123.0.7 du Règlement). Au départ de l'enfant, l'original est remis au parent, et le service de garde en conserve une copie pendant un an, puis la détruit (art. 123.0.6).
La fiche d'inscription. Santé, alimentation, instructions d'urgence, personnes autorisées à venir chercher l'enfant (art. 122). Signée par le parent, elle lui est remise quand les services prennent fin.
Les autres registres. La fiche d'assiduité se conserve six ans après la fin des services (art. 123), la copie du dossier de médicaments trois ans (art. 121.3), les documents sur le personnel trois ans après son départ (art. 25 et 26).
La Loi 25 s'emboîte dans ce cadre sans le contredire. Son article 23 exige de détruire ou d'anonymiser un renseignement une fois ses fins accomplies, « sous réserve d'un délai de conservation prévu par une loi ». Pour ces documents, le délai existe déjà : votre calendrier de conservation s'écrit en une demi-page, et notre article sur la durée de conservation des documents explique comment l'organiser.
Le portail parents, là où le Règlement se tait
Le mot « uniquement » de l'article 123.0.1 a un effet peu remarqué : tout ce qui n'est pas l'un des cinq éléments ne fait pas partie du dossier éducatif. Photos quotidiennes, notes de sieste et de repas, messages entre parents et éducatrices : le Règlement ne leur fixe aucun délai. Ces données relèvent de la règle générale de l'article 23 : les détruire une fois leur utilité passée.
Or un logiciel qu'on ne configure pas garde tout. Un enfant qui passe quatre ans en CPE peut laisser des milliers de photos et de notes chez un fournisseur sans que personne ait décidé de les conserver.
Trois articles de la Loi 25 encadrent le choix du logiciel. L'article 3.3 exige une évaluation des facteurs relatifs à la vie privée avant d'acquérir ou de remplacer un système qui traite des renseignements personnels, proportionnée à leur sensibilité et à leur quantité. Pour la santé et l'image de 60 enfants, elle doit être sérieuse sans devenir un rapport de 40 pages : notre guide de l'ÉFVP pour une entreprise privée montre le format. Si les données sont hébergées hors du Québec, l'article 17 exige que cette évaluation conclue à une protection adéquate et qu'une entente écrite encadre la communication. Enfin, l'article 18.3 impose un contrat écrit qui interdit au fournisseur d'utiliser les renseignements à d'autres fins ou de les garder après la fin du contrat.
Une question reste ouverte, à poser à votre association ou au ministère plutôt qu'à un vendeur : l'article 123.0.6 exige de conserver le dossier éducatif « sur les lieux de la prestation des services de garde ». Quand les portraits périodiques vivent uniquement dans une application infonuagique, la portée de cette exigence n'est pas évidente.
Les photos d'enfants : un consentement par usage
Une photo où un enfant est reconnaissable est un renseignement personnel, puisque la loi vise tout renseignement qui permet d'identifier une personne (art. 2), y compris sous forme visuelle (art. 1). Pour un enfant de moins de 14 ans, le consentement est donné par le titulaire de l'autorité parentale ou le tuteur (art. 14 et 4.1). Il est demandé « à chacune de ces fins » (art. 14). Une seule case « j'autorise les photos » ne couvre donc pas à la fois le portail réservé aux parents du groupe, le site web du CPE et la page Facebook publique. Le formulaire honnête les sépare, pour que le parent puisse accepter le portail et refuser Facebook. Notre article sur le droit à l'image et les photos sur un site détaille la clause à rédiger.
Le téléphone de l'éducatrice
L'incident le plus banal à imaginer dans un CPE n'implique aucun pirate : un téléphone personnel oublié dans un autobus, avec 300 photos d'enfants dans sa galerie, synchronisées vers un compte infonuagique personnel. La perte d'un renseignement personnel est un incident de confidentialité (art. 3.6) : il faut réduire le risque, l'inscrire au registre et, si le risque de préjudice est sérieux, aviser la Commission d'accès à l'information et les parents. Notre article sur la procédure en cas d'incident de confidentialité décrit la marche à suivre.
La prévention coûte peu : des appareils du CPE, verrouillés, et une application qui publie les photos dans le portail sans les laisser dans la galerie. La règle tient en une phrase : aucune photo d'enfant sur un appareil personnel.
Le minimum réaliste pour un CPE de 60 enfants
1. Le responsable. Par défaut, c'est la personne ayant la plus haute autorité (art. 3.1). Dans un CPE, le plus simple est une résolution du conseil qui délègue la fonction par écrit à la direction générale, comme la loi le permet. Son titre et ses coordonnées vont sur le site web (voir le rôle du responsable de la protection des renseignements personnels).
2. L'inventaire des outils. Portail, facturation, courriel, messagerie, tableurs : pour chacun, quelles données, hébergées où, gardées combien de temps.
3. Le réglage de conservation. Dans le portail, une durée de conservation explicite pour les photos et les notes quotidiennes, appliquée au départ de chaque enfant.
4. Les documents. Une politique de gouvernance proportionnée (art. 3.2), une politique de confidentialité publiée sur le site (art. 8.2), un formulaire photo par usage, un registre des incidents, même vide.
5. La revue annuelle. Une fois par année, au conseil : les accès des employés partis, les fournisseurs, les incidents. Un conseil formé aux deux tiers de parents est un allié naturel : ce sont leurs enfants qui figurent dans les données.
Par où commencer
La partie visible de cette conformité passe par votre site web : politique publiée, coordonnées du responsable, formulaire d'inscription, galerie de photos. C'est un chantier que nous menons dans nos abonnements web. Pour savoir où en est votre CPE ou votre garderie, écrivez-nous : la première conversation ne coûte rien.
Ce texte vulgarise un cadre juridique pour aider un service de garde à poser les bonnes questions; il ne constitue pas un avis juridique. Les textes cités font foi : pour une situation particulière, consultez un juriste ou le service juridique de votre association.
Écrit parXavier Peich