Application de la LPRPDE aux municipalités, universités, écoles et hôpitaux

Le Commissariat reçoit fréquemment des demandes de renseignements concernant l'application de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) aux activités du secteur des municipalités, des universités, des écoles et des hôpitaux.

L'application de la Loi

La LPRPDE s'applique à chaque organisation qui recueille, utilise ou communique des renseignements personnels dans le cadre d'activités commerciales. Selon la Loi, le terme « activité commerciale » se définit comme suit :

« Toute activité régulière ainsi que tout acte isolé qui revêtent un caractère commercial de par leur nature, y compris la vente, le troc ou la location de listes de donneurs, d'adhésion ou de collecte de fonds. »

Le bulletin d’interprétation du Commissariat sur l’activité commerciale résume les principes généraux qui sont ressortis jusqu’à présent des décisions des tribunaux et des conclusions du commissaire.

Le terme « organisation » « s'entend notamment des associations, sociétés de personnes, personnes et organisations syndicales ». La définition est voulue vaste et inclusive.

Le gouvernement fédéral peut soustraire certains organismes ou activités à l'application de cette loi dans les provinces ayant adopté une loi réputée être essentiellement similaire. Dans les provinces où c'est le cas, la LPRPDE continuera de s'appliquer aux secteurs d'activité fédéraux — tels que les banques et les compagnies de transport aérien, de téléphone, de radiodiffusion et de chemins de fer — et aux renseignements personnels se rattachant aux transactions interprovinciales et internationales qu'effectuent toutes les organisations qui exploitent des activités commerciales. À ce jour, le Québec, la Colombie-Britannique et l'Alberta, et l'Ontario, le Nouveau-Brunswick et Terre-Neuve-et-Labrador pour des questions touchant le secteur des soins de la santé, ont promulgué des lois réputées être essentiellement similaires à la loi fédérale.

Le secteur des municipalités, des universités, des écoles et des hôpitaux

La Loi constitutionnelle de 1867 confère aux provinces le pouvoir sur les institutions municipales, les écoles et les hôpitaux. La LPRPDE repose sur la compétence du gouvernement fédéral en matière de « réglementation du commerce ».

Bien que les municipalités, les établissements d'enseignement et les hôpitaux puissent à l'occasion fournir des services moyennant des frais, ils ne font pas, dans l'ensemble, du commerce tel qu'il est énoncé dans la Constitution canadienne. De plus, ces institutions dépendent complètement ou partiellement des impôts levés par les municipalités ou les provinces ainsi que des subventions provinciales.

Par conséquent, le Commissariat est d'avis qu'en règle générale, la LPRPDE ne s'applique pas aux activités essentielles des municipalités, des universités, des écoles et des hôpitaux. Par activités essentielles, on entend les activités qui sont au cœur du mandat et des responsabilités de ces institutions.

La prestation d'un service moyennant des frais n'entraîne pas nécessairement l'application de la Loi si le service s'inscrit dans les activités essentielles de l'institution. Par exemple, l'imposition de frais pour une chambre individuelle ou d'un supplément pour un plâtre en fibre de verre ne signifie pas automatiquement que l'hôpital ou la transaction même sont assujettis à la Loi. De même, une municipalité peut imposer des frais par sac pour la collecte des ordures ou imposer des frais pour l'utilisation d'un terrain de jeu ou d'un aréna sans être assujettie à la Loi.

Une municipalité, une université, une école ou un hôpital peut être assujetti à la Loi lorsqu'il exerce une activité commerciale non essentielle, à moins qu'une loi réputée être essentiellement similaire à la loi fédérale ne s'applique. Par exemple, si une université vendait ou troquait une liste des anciens élèves, cette activité serait considérée comme une activité commerciale et cette transaction précise serait assujettie à la Loi. De plus, la collecte de renseignements personnels par une université ou un hôpital dans le cadre de l'exploitation d'un garage à étages serait probablement assujettie à la Loi, car cela ne serait pas considéré comme une activité essentielle.

Un café dans un hôpital ou une université, un service de location de téléviseurs dans un hôpital, une librairie dans une université ou toute autre entreprise qui exerce une activité commerciale gérée par un tiers au sein d'un de ces établissements serait assujetti à la Loi, à moins qu'une loi essentiellement similaire à la loi fédérale ne s'applique.

La situation des établissements d'enseignement et des hôpitaux privés est différente. En général, plusieurs de ces établissements sont davantage impliquées dans des activités commerciales et nous recommanderions qu'ils fonctionnent selon l'hypothèse de leur assujettissement à la LPRPDE, à moins qu'une loi provinciale réputée être essentiellement similaire ne s'applique.

Les lois provinciales et territoriales

Dans plusieurs provinces, les renseignements personnels recueillis par les municipalités, les universités, les écoles et les hôpitaux sont protégés par les lois provinciales. Habituellement, il s'agit d'une loi du secteur public, souvent une loi sur la liberté de l'information et la protection des renseignements personnels. Dans plusieurs cas, des lois sur la protection des renseignements personnels sur la santé et des lois sur le secteur privé peuvent aussi s'appliquer. Voici de plus amples renseignements sur la législation provinciale applicable.

Dans le secteur des soins de santé, les activités essentielles des hôpitaux publics ou des établissements de soins prolongés financés par l'État ne sont pas assujetties à la LPRPDE. Cependant, les fournisseurs de soins de santé en cabinet privé comme les médecins, les dentistes et les chiropraticiens exercent une activité commerciale et sont donc assujettis à la Loi, à moins qu'une loi provinciale réputée être essentiellement similaire ne s'applique.

L’Alberta, le Nouveau-Brunswick, Terre-Neuve, la Nouvelle-Écosse, la Saskatchewan, le Manitoba et l’Ontario ont adopté des lois sur les renseignements personnels sur la santé qui s’appliquent au secteur des soins de santé, y compris aux hôpitaux. La Loi sur les services de santé et les services sociaux du Québec comporte aussi des dispositions importantes concernant les renseignements personnels sur la santé. La Colombie-Britannique compte plusieurs lois qui traitent de la protection des renseignements personnels sur la santé. Les Territoires du Nord-Ouest, l’Île-du-Prince-Édouard et le Yukon ont adopté des lois sur les renseignements personnels sur la santé qui ne sont pas encore entrées en vigueur.

La situation dans les trois territoires est quelque peu plus complexe. La LPRPDE s'applique aux entreprises fédérales et aux renseignements personnels de leurs employés et des candidats à un emploi au sein d’entreprises fédérales. Une entreprise fédérale est une installation, un ouvrage, une entreprise ou un secteur d'activité qui relève de la compétence législative du Parlement.

Comme toutes les organisations des territoires sont considérées comme des entreprises fédérales, la LPRPDE s'applique aux renseignements relatifs aux employés des municipalités, des universités, des écoles et des hôpitaux dans les territoires.

Toutefois, la LPRPDE ne s'applique pas aux renseignements sur les patients ou les élèves des écoles ou des hôpitaux publics dans les territoires, car ces établissements n'exercent pas d'activité commerciale.

Des lois sur la protection des renseignements personnels sur la santé pourraient également s’appliquer. Voici d’autres informations sur les lois provinciales et territoriales pertinentes.

Mise à jour en décembre 2015