Des renseignements personnels pourraient être examinés en vue de la vente d’un cabinet de dentiste

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2006-325

(Principe 4.3 et paragraphe 5(3))

Plainte

À la lecture du formulaire de consentement fourni par son cabinet de dentiste, un patient s’est dit préoccupé par le fait que ses renseignements personnels puissent être communiqués à de potentiels acheteurs du cabinet. La commissaire à la protection de la vie privée juge toutefois que, dans un tel cas, la communication de renseignements personnels serait appropriée.

Les lignes qui suivent décrivent le déroulement de l’enquête et les conclusions rendues par la commissaire.

Résumé de l’enquête

Le plaignant juge qu’il ne convient pas de communiquer des renseignements personnels, comme des renseignements médicaux ou de l’information permettant d’identifier une personne, à de potentiels acheteurs, courtiers ou conseillers. Il considère que seule l’information très globale, comme la quantité de patients, le nombre de patients actifs, les profits bruts et nets ainsi que le nombre et le type d’interventions effectuées, peut être rendue accessible à des acheteurs, courtiers ou conseillers.

Selon le cabinet de dentiste, la vente du cabinet ne peut se faire que si certains renseignements sont communiqués; en outre, les principes de diligence raisonnable suivants sont appliqués :

1. L’acheteur vérifie le nombre de patients actifs en effectuant un dénombrement manuel des dossiers des patients.
2. L’acheteur vérifie le nombre et le type d’interventions effectuées en examinant les dossiers de patients choisis au hasard.
3. L’acheteur évalue le niveau de participation de tierces parties (compagnies d’assurance) en examinant les dossiers financiers de patients.
4. L’acheteur fait le rapprochement des recettes déclarées en examinant l’information sur les dépôts bancaires.

Toute cette démarche peut nécessiter la consultation du dossier personnel des patients.

Conclusions

Rendues le 18 janvier 2006

Application  : Selon le principe 4.3, toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu’il ne soit pas approprié de le faire. Selon le paragraphe 5(3), une organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu’à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances. 

Pour rendre sa décision, la commissaire à la protection de la vie privée s’est appuyée sur les considérations suivantes :

• Même si la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) ne traite pas de la collecte, de l’utilisation ou de la communication de renseignements personnels précisément aux fins présentées dans le formulaire de consentement, la commissaire juge qu’aux termes du paragraphe 5(3), une personne raisonnable devrait normalement estimer acceptable qu’un cabinet de dentiste communique les renseignements personnels de ses patients à de potentiels acheteurs afin que ceux‑ci puissent évaluer les activités du cabinet. 
• La commissaire indique aussi que les activités des dentistes sont régies par de nombreux règlements relatifs à la protection de la vie privée. Plusieurs règlements, politiques, procédures et lois s’appliquent en effet à la communication des renseignements personnels, comme la Loi sur les sciences de la santé et la Loi sur les dentistes, les ententes de confidentialité ainsi que les politiques relatives aux renseignements personnels. 
• Elle affirme que la Loi exige la protection des renseignements personnels et que les ententes de confidentialité permettent de satisfaire à cette exigence.
• Pour toutes ces raisons, la commissaire juge que les fins décrites dans le formulaire de consentement sont acceptables.

La commissaire a conclu que la plainte était non fondée.

Autres considérations

Le cabinet dont il est question dans ce cas est situé en Ontario. Au moment de la plainte, la Loi sur la protection des renseignements personnels sur la santé de l’Ontario n’est ni en vigueur ni jugée essentiellement similaire à la LPRPDE.

La commissaire indique qu’en vertu de la Loi de 2004 sur la protection des renseignements personnels sur la santé de l’Ontario, la collecte, l’utilisation et la divulgation de renseignements personnels pour vente d’un cabinet médical sont jugées acceptables. En effet, selon les paragraphes 42(1) et 42(2) : 

42(1) Un dépositaire de renseignements sur la santé peut divulguer à son successeur éventuel des renseignements personnels sur la santé concernant un particulier afin de lui permettre d’évaluer les activités du dépositaire, à condition de conclure d’abord avec lui un accord selon lequel le successeur s’engage à protéger la sécurité et le caractère confidentiel des renseignements et à ne les conserver qu’aussi longtemps qu’ils lui seront nécessaires aux fins de l’évaluation. 2004, chap. 3, annexe A, par. 42 (1).

Transfert au successeur

(2) Un dépositaire de renseignements sur la santé peut transférer à son successeur un dossier de renseignements personnels sur la santé concernant un particulier à condition de prendre des mesures raisonnables pour en aviser le particulier avant de le faire ou, si ce n’est pas raisonnablement possible, dès que possible après l’avoir fait.  2004, chap. 3, annexe A, par. 42 (2).

Le 28 novembre 2005, la gouverneure en conseil a établi que la Loi sur la protection des renseignements personnels sur la santé de l’Ontario était essentiellement similaire à la Loi sur la protection des renseignements personnels et les documents électroniques. Le cabinet de dentiste dont il est question dans ce cas est désormais visé par cette loi. Mais puisque la plainte a été déposée avant que la loi de l’Ontario ne soit jugée essentiellement similaire à la loi fédérale et que l’enquête a été effectuée avant ce changement, le Commissariat a publié un rapport des conclusions rendues.