Le commissaire fédéral à la protection de la vie privée publie un bulletin d’orientation concernant les lois sur la protection des renseignements personnels en situation de pandémie

Eu égard aux défis que doivent relever les organisations et les institutions gouvernementales canadiennes au cours de l’éclosion de la COVID-19, le Commissariat à la protection de la vie privée du Canada (CPVP) a publié le 20 mars le bulletin d’orientation intitulé « La protection de la vie privée et l’éclosion de la COVID-19 » (bulletin du CPVP). Le Bulletin du CPVP rappelle à juste titre aux organisations et aux institutions gouvernementales les principes fondamentaux aux termes des lois canadiennes sur la protection des renseignements personnels qui permettent la collecte, l’utilisation et la communication de renseignements personnels, ainsi que de la façon dont ces principes pourraient éventuellement être modifiés en situation d’urgence de santé publique, comme l’éclosion actuelle de la COVID-19.

Voici un résumé des éléments à retenir du bulletin du CPVP :

En cas d’urgence de santé publique, les pouvoirs des organisations de recueillir, d’utiliser et de communiquer des renseignements personnels peuvent être élargis

À l’heure actuelle, toutes les provinces et tous les territoires ont déclaré un état d’urgence en raison de l’éclosion de la COVID-19, mais l’état de crise nationale en vertu de la Loi sur les mesures d’urgence fédérale n’a pas encore été déclaré. Lorsqu’une crise ou situation de santé publique constitue une urgence publique, le CPVP a rappelé que les pouvoirs d’une organisation ou d’un gouvernement de recueillir, d’utiliser et de communiquer des renseignements personnels pouvaient éventuellement être élargis, particulièrement en ce qui a trait à l’utilisation et à la communication de renseignements personnels sans le consentement de la personne concernée. La question de savoir si une organisation dispose d’un droit élargi de recueillir, d’utiliser ou de communiquer des renseignements personnels repose sur l’analyse de la législation particulière sur la protection des renseignements personnels en cause. Nous traitons ci dessous de quelques-unes des lois canadiennes sur la protection des renseignements personnels qui s’appliquent.

Les urgences publiques et la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) fédérale

La LPRPDE s’applique aux organisations du secteur privé qui recueillent, utilisent ou communiquent des renseignements personnels dans le cadre de leurs activités commerciales, ainsi qu’aux renseignements au sujet des employés d’entreprises fédérales.

Le CPVP rappelle dans son bulletin qu’en règle générale la LPRPDE permet aux organisations de recueillir, d’utiliser ou de communiquer des renseignements personnels pour des motifs raisonnables lorsque la personne en cause en est informée et que son consentement valable a été obtenu. Toutefois, le CPVP mentionne que la situation actuelle découlant de l’éclosion de la COVID-19 peut faire en sorte que certaines dispositions de la LPRPDE permettant aux organisations de recueillir, d’utiliser ou de communiquer des renseignements personnels sans en informer la personne concernée cause ou sans obtenir son consentement peuvent s’appliquer dans certaines circonstances, notamment dans les cas suivants :

• la collecte est manifestement dans l’intérêt de la personne concernée et celle-ci ne peut donner son consentement en temps opportun, par exemple, lorsqu’une personne est gravement malade ou se retrouve dans une situation particulièrement dangereuse;
• la collecte est faite en vue d’une communication prévue par la loi (c.-à-d. lorsque qu’une autorité de santé publique exige la communication de certains renseignements);
• la communication est faite à une organisation gouvernementale lorsqu’il existe des motifs raisonnables de croire que les renseignements sont afférents à une contravention des lois fédérales ou provinciales (comme une contravention soupçonnée à une ordonnance de quarantaine); ou
• l’utilisation ou la communication est faite en raison d’une situation d’urgence mettant en danger la vie, la santé ou la sécurité d’une personne, ce qui comprend les cas où une personne a un urgent besoin d’aide médicale et qu’elle n’est pas en mesure de communiquer directement avec les professionnels de la santé.

Les organisations provinciales du secteur privé doivent continuer à respecter les lois provinciales sur la protection des renseignements personnels

Le bulletin du CPVP renvoie également à des bulletins similaires sur la COVID-19 publiés par les commissaires à la vie privée respectifs de la Colombie-Britannique, de l’Alberta, de la Saskatchewan, du Québec, de Terre-Neuve-et-Labrador, du Yukon et des Territoires du Nord-Ouest et indique que ces lois provinciales et territoriales peuvent également permettre l’utilisation ou la communication élargie de renseignements personnels par des organisations en situation d’urgence.

• En Colombie-Britannique, la Personal Information Protection Act permet aux organisations privées d’utiliser les renseignements d’une personne sans consentement lorsque cela est nécessaire en raison d’une situation d’urgence mettant en danger la vie, la santé ou la sécurité de la personne, ainsi que de recueillir, d’utiliser et/ou de communiquer des renseignements personnels lorsque la loi l’exige ou le permet.
• Aux termes de la Personal Information Protection Act de l’Alberta, les organisations du secteur privé peuvent communiquer ou utiliser les renseignements d’une personne sans consentement lorsque cela est nécessaire en raison d’une urgence publique et que la communication ou l’utilisation est raisonnable. L’Office of the Information and Privacy Commissioner de l’Alberta a indiqué que les ordonnances rendues en vertu de la législation sur la santé publique pourraient exiger la collecte, l’utilisation et la communication de certains renseignements personnels au sujet des employés et des clients.
• Au Québec, les organisations du secteur privé ne peuvent communiquer de renseignements personnels sans consentement, sauf en cas d’urgence; cependant, comme il est indiqué dans notre récente mise à jour de février, le Québec pourrait adopter une nouvelle loi afin d’alourdir considérablement l’obligation des entreprises d’obtenir le consentement.

Le bulletin du CPVP rappelle à bon escient que même si l’urgence de santé publique découlant de l’éclosion de la COVID-19 peut permettre aux organisations de recueillir, d’utiliser et de communiquer certains renseignements personnels sans le consentement d’une personne en vertu de la législation sur la protection des renseignements personnels en vigueur, ces organisations seraient néanmoins bien avisées d’examiner chaque situation de manière indépendante afin de s’assurer que les exceptions décrites ci-dessus s’appliquent effectivement.