La collecte et la communication par l'employeur de renseignements sur un congé de maladie a été jugée appropriée

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-191

[Principes 4.3 et 4.4 de l'annexe 1; alinéa 7(3)i)]

Plainte

Une employée s'est plainte qu'une entreprise de télécommunications

1. recueillait trop de renseignements personnels d'ordre médical concernant ses employés à des fins déterminées
2. communiquait sans son consentement, et de manière inappropriée, des renseignements personnels la concernant à un tiers, à savoir la Commission des accidents du travail (CAT) provinciale.

Résumé de l'enquête

Au début de son congé de maladie prolongé, la plaignante a présenté à l'entreprise un formulaire de demande de renseignements d'ordre médical où figurait le diagnostic précis du médecin traitant, et selon lequel l'incapacité de travailler était liée à l'emploi. Par la suite, l'entreprise a présenté un rapport type à la CAT provinciale pour à la fois aviser la Commission d'une présumée incapacité de travailler liée à l'emploi, et pour faire une demande d'indemnisation au nom de l'intéressée. Par la suite, un arbitre de la CAT a téléphoné à une coordonnatrice des ressources humaines de l'entreprise pour faire enquête sur la demande.

Après avoir obtenu une copie de l'original du formulaire de demande de renseignements d'ordre médical de la plaignante, l'arbitre a voulu savoir notamment si l'incapacité en cause était bel et bien liée au travail. La coordonnatrice a confirmé que la plaignante s'était absentée auparavant pour une raison similaire, mais qu'à son avis, cette absence était attribuable à des raisons personnelles, sans lien avec le travail; cependant, elle ne pouvait pas dire si l'absence en cause actuellement était liée au travail. Par la suite, l'arbitre a écrit à la plaignante pour lui donner un aperçu de la décision de la CAT, selon laquelle la demande avait été refusée parce qu'il n'avait pas été prouvé que l'incapacité était liée au travail. Dans sa lettre, l'arbitre faisait référence à la conversation qu'il avait eu avec la coordonnatrice des ressources humaines de l'entreprise.

La plaignante a contesté le fait que l'entreprise ait communiqué sans son consentement des renseignements personnels la concernant à la CAT. Elle estimait que la communication était inappropriée et injustifiée parce qu'elle-même n'avait pas présenté de demande d'indemnisation à la CAT et, qu'à son avis, les commentaires de la coordonnatrice n'étaient pas pertinents.

L'entreprise a souligné que la communication était non seulement appropriée, mais qu'elle était exigée par la législation provinciale en vigueur qui régit l'indemnisation des travailleurs. Aux termes de la législation, les cotisants sont tenus d'aviser immédiatement la CAT de toute allégation ou incapacité liée au travail. La législation donne aussi à la CAT le pouvoir d'enquêter sur les demandes et les cotisants sont obligés de répondre.

Par ailleurs, la plaignante a désapprouvé le fait que l'entreprise ait exigé une attestation du médecin praticien. De façon générale, elle estimait qu'il n'était ni nécessaire ni raisonnable pour une entreprise d'exiger un rapport médical chaque fois qu'un employé prenait un congé de maladie, même d'une seule journée, ce qu'elle croyait être la politique de l'entreprise. En réalité, la politique prévoit qu'un rapport médical doit habituellement être exigé lorsque l'absence dure plus de trois jours. Cependant, dans certains cas, l'entreprise se réserve le droit de demander un rapport même lorsque l'absence ne dure qu'une journée - notamment dans le cas de maladies chroniques.

Plus précisément, la plaignante a trouvé à redire sur le fait qu'un médecin praticien soit obligé de poser un diagnostic précis. Elle soutenait que l'entreprise devrait se contenter d'une description plus générale sur la nature de l'incapacité, soit une « maladie », une « blessure » ou une « incapacité liée au travail ».

L'entreprise a allégué qu'elle devait obtenir des diagnostics précis afin de gérer le régime d'assurance-salaire en cas d'invalidité de courte ou de longue durée des employés. Notamment, l'admissibilité aux avantages dans le cadre du régime à long terme est établie en fonction des avantages à court terme obtenus pendant un certain nombre de jours pour une incapacité déterminée.

Aux termes de la Loi, l'entreprise a justifié la collecte des renseignements personnels d'ordre médical parce que (1) les motifs sont précisés dans la police d'assurance-invalidité à court terme et le formulaire du rapport médical; (2) la collecte est limitée aux renseignements qui sont nécessaires aux fins établies; (3) les renseignements personnels ne doivent pas être utilisés ou communiqués à des fins autres que celles pour lesquelles ils ont été recueillis; (4) la collecte est effectuée au su et avec le consentement de l'employé, puisque le formulaire médical contient une déclaration de consentement signée par l'employé.

Conclusions du commissaire

Rendues le 11 juillet 2003

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi), s'applique à toute installation, tout ouvrage, toute entreprise ou tout secteur d'activité fédéral. Le commissaire avait compétence dans cette cause parce que l'entreprise de télécommunications constitue une installation, un ouvrage, une entreprise ou un secteur d'activité fédéral aux termes de la Loi.

Application : Le principe 4.4 stipule que l'organisation ne peut recueillir que les renseignements personnels nécessaires aux fins déterminées par l'organisation. Le principe 4.3 précise que toute personne doit être informée de la collecte, de l'utilisation ou de la communication des renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire. L'alinéa 7(3)i) est une disposition d'exemption qui stipule qu'une organisation peut communiquer des renseignements personnels à l'insu de l'intéressé, et sans son consentement, si la communication est exigée par la loi.

En ce qui concerne la plainte relative à la collecte, le commissaire a déterminé qu'il était raisonnable et légitime que l'entreprise recueille des renseignements personnels d'ordre médical, dont des diagnostics spécifiques d'incapacité, au sujet des congés de maladie de ses employés. Il a déterminé également que l'entreprise avait identifié pertinemment ses motifs à l'intéressée, que les renseignements personnels recueillis étaient tous nécessaires à la réalisation des motifs invoqués, et que celle-ci avait dûment consenti à la collecte de ceux-ci. Par conséquent, il a conclu que l'entreprise se conformait au principe 4.4.

Quant à la plainte concernant la communication, le commissaire a établi que l'entreprise avait communiqué de l'information sur la plaignante à la CAT provinciale à l'insu de celle-ci et sans son consentement. Cependant, il a aussi déterminé que les communications en cause étaient requises par la législation, parce qu'elles étaient conformes à l'obligation de l'entreprise de répondre aux demandes autorisées en vertu de la Loi sur les accidents du travail de la province. Par conséquent, il était convaincu que l'entreprise avait été exemptée dans les circonstances, selon l'alinéa 7(3)i) de l'exigence, aux termes du principe 4.3, qui consiste à obtenir de la plaignante qu'elle consente aux communications.

Le commissaire a conclu que les plaintes étaient non fondée.

Autres considérations

L'enquête a démontré que bien que le personnel des ressources humaines de l'entreprise ait été lié par un accord de confidentialité, l'entreprise n'avait pas prévu d'autres politiques, procédures, lignes directrices ou documents de formation à l'intention du personnel portant précisément sur l'information concernant les employés. Le commissaire trouvait que cette omission était significative, puisque aux termes du principe 4.1 (Responsabilité) de l'annexe 1, une organisation est tenue responsable des renseignements personnels dont elle a la gestion - à savoir, non seulement l'information sur les clients, mais également celle qui concerne le personnel.

Par conséquent, il a recommandé à l'entreprise de prendre des mesures, en conformité avec le principe 4.1.4, pour la mise en ouvre de politiques et de pratiques appropriées pour traiter les renseignements personnels touchant ses employés.