Politique et pratiques d'une pharmacie en matière de protection des renseignements personnels jugées exemplaires

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2005-302

(Principes 4.3 et 4.3.3 de l'annexe 1)

Plainte

Le Commissariat a été saisi de plaintes selon lesquelles une pharmacie en particulier exigeait des clients, comme condition à la prestation des services, qu'ils consentent à des pratiques beaucoup trop vastes de collecte, d'utilisation et de communication de renseignements personnels.

Résumé de l'enquête

Pour donner suite à la mise en oeuvre intégrale de la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) le 1^er janvier 2004, la pharmacie a élaboré une politique sur la protection des renseignements personnels ainsi que des documents s'y rapportant. En vue d'obtenir le consentement écrit de ses clients, elle leur a remis un formulaire de consentement contenant des informations sur ses pratiques en matière de collecte, d'utilisation et de communication de renseignements personnels.

Une brochure expliquant les fins visées par l'entreprise pour la collecte et l'utilisation des renseignements personnels accompagnait le formulaire de consentement. Cette brochure précisait entre autres que la pharmacie recueillait et utilisait des renseignements personnels pour les raisons suivantes:

• fournir aux clients des médicaments sur ordonnance ou autres médicaments d'une manière conforme aux exigences de la profession, de la législation et de la réglementation;
• assurer l'exactitude de la médication, de la posologie et des instructions;
• éviter les erreurs de médication, dont les erreurs de dosage;
• informer les clients si un médicament qui leur a été prescrit fait l'objet d'un rappel ou a été retiré du marché.

La brochure décrivait en détail le type de renseignements tenus par la pharmacie, la protection des dossiers en sa possession, les obligations légales des pharmaciens, les personnes à qui les renseignements pouvaient être communiqués et les circonstances dans lesquelles une telle communication pouvait se faire, de même que les procédures mises à la disposition des clients pour avoir accès à leurs renseignements personnels ou pour les corriger.

L'entreprise a effectué les trois changements suivants pour donner suite aux plaintes formulées par certains de ses clients qui ne voulaient pas signer le formulaire ou lire la brochure :

1. Elle a révisé et simplifié le libellé du formulaire de consentement.
2. Elle a donné aux clients éprouvant certaines difficultés à lire la brochure la possibilité de demander à un employé de la pharmacie de leur expliquer les pratiques en matière de protection des renseignements personnels. À cette fin, elle a mis sur pied un plan de formation exhaustive pour ses employés comprenant un texte standard que ceux-ci peuvent lire aux clients. Ce texte explique les fins de la collecte, de l'utilisation et de la communication des renseignements et, en des termes très simples, décrit avec qui la pharmacie partage les renseignements, comment elle les stocke, ainsi que la manière dont les clients peuvent obtenir d'autres renseignements à ce propos.
3. Elle a offert à ses clients le choix de donner un consentement de vive voix. En de pareilles circonstances, un employé de la pharmacie lit le texte standard, demande au client s'il consent aux pratiques de la pharmacie et inscrit le consentement ainsi obtenu au dossier.

La politique en matière de protection des renseignements personnels de l'entreprise est rédigée en des termes simples. Elle décrit les raisons pour lesquelles certains types de renseignements sont requis, comment ils seront utilisés, comment les renseignements personnels seront protégés et dans quelles circonstances ils seront communiqués. Elle précise également que la pharmacie ne partage pas de renseignements personnels avec des tiers qui ne sont pas associés à la prestation de ses services, qu'elle ne leur vend pas de tels renseignements ni ne les leur remet de toute autre façon que ce soit, et qu'elle ne le fera pas. Les clients ont facilement accès à cette politique dans les différentes succursales de la pharmacie.

Le Commissariat s'est également penché sur les normes opérationnelles de la pharmacie, lesquelles énoncent les obligations des employés quant à la mise en oeuvre de sa politique en matière de protection des renseignements personnels. Aux termes de ces normes, les pharmaciens et les employés de la pharmacie sont notamment tenus de se servir de salles privées ou semi-privées lorsqu'ils communiquent avec les clients, d'utiliser un ton et un timbre de voix appropriés, de limiter l'accès aux renseignements sur les clients et d'utiliser des mécanismes de sécurité pour protéger les renseignements personnels.

Conclusions

Rendues le 31 mai 2005

Application : Le principe 4.3 stipule que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire; le principe 4.3.3 stipule qu'une organisation ne peut pas, pour le motif qu'elle fournit un bien ou un service, exiger d'une personne qu'elle consente à la collecte, à l'utilisation ou à la communication de renseignements autres que ceux qui sont nécessaires pour réaliser les fins légitimes et explicitement indiquées.

Pour tirer ses conclusions, la commissaire adjointe à la protection de la vie privée a délibéré comme suit :

• Après examen de la politique de la pharmacie sur la protection des renseignements personnels ainsi que de son matériel de formation, ses normes opérationnelles et sa brochure, la commissaire adjointe était d'avis que ceux-ci sont exhaustifs et permettent à l'entreprise de respecter toutes ses obligations en vertu de l'annexe 1 de la Loi.
• Les documents de référence communiqués aux clients par écrit ou de vive voix sont faciles à comprendre, simples, axés sur les clients et, à son avis, constituent bien plus qu'un effort raisonnable de la part de l'entreprise pour satisfaire les attentes de la plupart des citoyens. Elle a fait savoir que de tels renseignements respectaient les exigences en matière de connaissance en vertu de la Loi, comme le stipule le principe 4.3.
• Tout en prenant bonne note que les plaignants se sont opposés à l'exigence de l'entreprise qu'ils prennent connaissance, par écrit ou de vive voix, des pratiques de l'entreprise en matière de protection des renseignements personnels et qu'ils y consentent, la commissaire adjointe a fait valoir qu'une telle exigence était conforme aux obligations de l'entreprise aux termes de la Loi. Elle était convaincue qu'il n'était pas exigé des plaignants d'accorder leur consentement à des pratiques démesurément vastes, mais qu'on leur a demandé de consentir à des pratiques qui étaient décrites de manière détaillée pour leur propre avantage et qui étaient conformes à la Loi. Elle a donc conclu que l'entreprise n'avait pas contrevenu au principe 4.3.3.

La commissaire adjointe à la protection de la vie privée a conclu que les plaintes étaient non fondées.

Autres considérations

La commissaires adjointe a félicité la pharmacie pour la grande qualité de ses documents et de ses pratiques portant sur la protection des renseignements personnels ainsi que pour les efforts qu'elle a déployés en vue de fournir aux clients des renseignements satisfaisants pour qu'ils puissent donner un consentement éclairé. Elle a signalé que le Commissariat jugeait cette approche exemplaire et que celle-ci pourrait donc inspirer de meilleures pratiques en matière de protection des renseignements personnels.