Collecte de renseignements personnels
L’état d’urgence sanitaire accorde au gouvernement québécois des pouvoirs élargis en matière de collecte de renseignements personnels1. Il pourrait d’ailleurs prendre des mesures exceptionnelles dans l’objectif de limiter la propagation du virus, notamment en retraçant les contacts entre individus par le biais d’un système de géolocalisation obligatoire. Or, les commissaires et commissions canadiennes chargés de l’application des lois protégeant les renseignements personnels ont cosigné la Déclaration commune des commissaires fédéral, provinciaux et territoriaux à la protection à la vie privée2 qui fait état de certains principes que ces organismes demandent aux gouvernements de respecter dans leur prise de décisions afin d’assurer un équilibre entre la protection de la santé publique et le respect de la vie privée des individus.
Bien que le contexte actuel ait également incité les entreprises privées à recueillir davantage de renseignements personnels auprès de leurs employés ou de leurs clients, ces collectes doivent demeurer limitées et conformes aux lois. En effet, l’état d’urgence sanitaire n’élargit pas les critères de collecte ou de protection des renseignements personnels pour les entreprises privées, ni pour l’ensemble des organismes publics.
Ainsi, malgré l’ampleur de la crise actuelle, les principes généraux et les obligations légales demeurent applicables au niveau de la collecte, de la protection et de l’utilisation des renseignements personnels.
Au Québec, les organismes publics continuent d’être pleinement assujettis à la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels3 tandis que les entreprises privées doivent se conformer à la Loi sur la protection des renseignements personnels dans le secteur privé4. Pour ce qui est des organismes publics ou des entreprises privées de juridiction fédérale, des lois distinctes prévoient également l’encadrement applicable à la protection des renseignements personnels5.
La collecte des renseignements demeure encadrée par le critère de nécessité, lequel doit rester au cœur de la décision de recueillir ou non des renseignements personnels. Si ceux-ci ne sont pas nécessaires à l’accomplissement des attributions d’un organisme ou à l’objet du dossier constitué par une entreprise privée, leur collecte n’est pas permise. Le concept de nécessité conserve également son importance afin d’évaluer la pertinence de conserver les renseignements à plus long terme ainsi que pour l’encadrement de leur divulgation.
Protection des renseignements personnels
La Commission d’accès à l’information6 et le Commissariat à la protection de la vie privée du Canada7 ont publié des documents pratiques8 fournissant des outils d’interprétation et des pistes de réflexion sur l’application des principes de protection des renseignements personnels dans le contexte spécifique de la crise sanitaire.
Tant dans le secteur public que dans le secteur privé, l’utilisation accrue des moyens technologiques en télétravail soulève des questions qui continuent d’évoluer parallèlement à la situation et à l’amélioration des logiciels et des mécanismes permettant de mieux protéger les renseignements personnels des individus.
Il sera évidemment essentiel pour les entreprises de rester à l’affut du développement des nouvelles technologies, d’assurer une formation adéquate à leurs dirigeants quant aux enjeux liés à la protection des renseignements personnels et de continuer à sensibiliser leurs employés à la confidentialité de ceux-ci. Il est aussi suggéré de consulter fréquemment les publications des organismes spécialisés, tels la CAI au Québec, le CPVPC au fédéral et l’European Union Agency for Cybersecurity9 à l’international, qui fournissent de l’information pertinente et actuelle sur ces enjeux.
Gestion des demandes d’accès à l’information
Les demandes d’accès à l’information détenue par les organismes publics présentent elles aussi des enjeux de taille dans le contexte actuel. Jouant un rôle clé dans le contrôle de l’imputabilité des organismes publics, le système d’accès à l’information est plutôt mis à mal par la crise sanitaire. En effet, au cours des dernières semaines, les médias rapportent que plusieurs organismes, tant au provincial qu’au fédéral, n’arrivent pas à répondre dans les délais prescrits au très grand nombre de demandes d’accès à l’information qu’ils reçoivent.10
La CAI11 et le Commissariat à l’accès à l’information du Canada12 ont toutefois publié des communiqués réaffirmant l’importance de la transparence de l’administration publique dans le contexte où le régime de l’accès à l’information peut s’avérer plus complexe à l’heure actuelle. Ils mentionnent que les organismes publics doivent mettre en place les mesures adéquates afin de pouvoir répondre avec diligence aux demandes d’accès reçues, tout en documentant leurs démarches et leurs décisions en matière d’accès.
Ces organismes soulignent toutefois que dans leur analyse des délais de réponse imposés par la loi, ils tiendront compte des circonstances exceptionnelles avec lesquelles les organismes publics doivent composer (télétravail, réduction des activités, redéploiement des ressources vers les services essentiels, etc.).13
L’adaptation technologique et fonctionnelle de ces organismes à la nouvelle réalité imposée par la COVID-19 sera également un dossier à suivre au cours des prochains mois.
Pour des questions en matière d’accès à l’information et de protection des renseignements personnels, adressez-vous aux membres de notre équipe ici ou encore aux auteurs du présent billet :
Me Catherine Cloutier, Associée
catherine.cloutier@steinmonast.ca
418 640-4424
Me Xavier Parenteau, Avocat
xavier.parenteau@steinmonast.ca
418 649-4015
1 Article 100 (8) et 123 (3) de la Loi sur la santé publique, RLRQ, c. S-2.2.
2 CAI, Déclaration commune des commissaires fédéral, provinciaux et territoriaux à la protection à la vie privée, 7 mai 2020.
3 RLRQ, c. A-2.1
4 RLRQ, c. P-39.1
5 Loi sur la protection des renseignements personnels, L.R.C. 1985, c. P-21 pour les organismes publics et la Loi sur la protection des renseignements personnels et les documents électroniques, L.C. 2000, c. 5 pour les entreprises issues du secteur privé.
6 L’organisme chargé de l’application des lois québécoises en matière de protection des renseignements personnels (la « CAI »).
7 L’organisme chargé de l’application des lois fédérales en matière de protection des renseignements personnels (le « CPVPC »).
8 Voir notamment : CPVPC, La protection de la vie privée et l’éclosion de la COVID-19, mars 2020; CPVPC, Cadre pour l’évaluation par le gouvernement du Canada des initiatives en réponse à la COVID-19 ayant une incidence importante sur la vie privée, avril 2020; CAI, COVID-19 : Protection des renseignements personnels et sécurité de l’information, 25 mars 2020; CAI, Pandémie, vie privée et protection des renseignements personnels, document mis à jour le 4 mai.
9 L’organisme a prévu une section spéciale consacrée à la COVID-19.
10 Daniel Boily, La COVID-19 ralentit l’accès aux documents des ministères », consulté le 15 mai 2020; Marc Godbout, L’accès à l’information victime de la pandémie, consulté le 15 mai 2020.
11 CAI, L’importance de la transparence en temps d’urgence sanitaire, 5 mai 2020.
12 L’organisme (le « CIC ») chargé de l’application de la Loi sur l’accès à l’information, L.R.C. 1985, c. A-1; CIC, L’accès à l’information en cette période extraordinaire, 2 avril 2020; CIC, Une phase critique pour le système d’accès à l’information, 28 avril 2020.
13 CIC, Déclaration du Commissariat à l’information concernant l’incidence de la pandémie de COVID-19, 20 mars 2020, CAI, L’importance de la transparence en temps d’urgence sanitaire, 5 mai 2020.