Rapport au Parlement relativement aux lois provinciales essentiellement similaires

Cette page Web a été archivée dans le Web

L’information dont il est indiqué qu’elle est archivée est fournie à des fins de référence, de recherche ou de tenue de documents. Elle n’est pas assujettie aux normes Web du gouvernement du Canada et elle n’a pas été modifiée ou mise à jour depuis son archivage. Pour obtenir cette information dans un autre format, veuillez communiquer avec nous.

Mai 2002

Le Commissarie à la protection de la vie privée du Canada
112, rue Kent
Ottawa (Ontario)
K1A 1H3

(613) 995-8210, 1-800-282-1376
Téléc. (613) 947-6850
ATS (613) 992-9190

Mai 2002

L'honorable Daniel Hays
Président
Le Sénat du Canada

Monsieur,

J'ai l'honneur de vous remettre mon Rapport au Parlement sur les lois provinciales essentiellement similaires.

Aux termes de la Loi sur la protection des renseignements personnels et les documents électroniques, je suis tenu de rendre compte chaque année au Parlement du Canada de la mesure avec laquelle les provinces ont promulgué des lois « essentiellement similaires » à la loi précitée.

Bien que j'aie évoqué la question dans le Rapport annuel au Parlement 2000-2001, le document que je vous présente aujourd'hui constitue mon rapport le plus complet sur la question à ce jour.

Veuillez agréer, Monsieur, l'expression de mes sentiments les meilleurs.

Le commissaire à la protection de la vie privée du Canada,
George Radwanski

Mai 2002

L'honorable Peter Milliken
Président
Chambre des communes

Monsieur,

J'ai l'honneur de vous remettre mon Rapport au Parlement sur les lois provinciales essentiellement similaires.

Bien que j'aie évoqué la question dans le Rapport annuel au Parlement 2000-2001, le document que je vous présente aujourd'hui constitue mon rapport le plus complet sur la question à ce jour.

Veuillez agréer, Monsieur, l'expression de mes sentiments les meilleurs.

Le commissaire à la protection de la vie privée du Canada,
George Radwanski

Introduction

L'article 25(1) de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) exige que je dépose devant le Parlement un rapport annuel « sur la mesure dans laquelle les provinces ont édicté des lois essentiellement similaires » à la LPRPDE.

Dans le rapport annuel de 2000-2001 au Parlement, que j'ai déposé le 12 décembre 2001, j'ai brièvement abordé la méthode que je propose en vue d'interpréter la nature « essentiellement similaire » et les initiatives législatives provinciales en vue de réglementer le secteur privé. Je présente maintenant un rapport plus détaillé sur les lois provinciales de nature essentiellement similaires.

Comme j'en discute plus loin, chaque province a des lois sectorielles qui contiennent des dispositions assurant une protection limitée des renseignements personnels et certaines provinces ont adopté des lois détaillées traitant des renseignements personnels en matière de santé. Ces lois spécifiques à un secteur fournissent une protection importante mais fragmentaire.

Quelques provinces ont adopté des mesures préliminaires en vue de présenter une loi détaillée visant à contrôler la collecte, l'utilisation et la communication des renseignements personnels dans le secteur privé. D'autres provinces envisagent l'adoption de lois similaires. De telles lois subsumeraient certaines lois spécifiques à un secteur. En attendant de voir quelles provinces adopteront de telles lois, je m'abstiendrai de commenter la législation spécifique à un secteur.

Toutefois, je profite de cette occasion pour présenter mon évaluation de la loi détaillée pour le secteur privé du Québec, la Loi sur la protection des renseignements personnels dans le secteur privé.

Contexte

L'article 26(2)(b) de la LPRPDE confère au gouverneur en conseil le pouvoir d'émettre un décret :

« s'il est convaincu qu'une loi provinciale essentiellement similaire à la présente partie s'applique à une organisation -- ou catégorie d'organisations -- ou à une activité -- ou catégorie d'activités --, exclure l'organisation, l'activité ou la catégorie de l'application de la présente partie à l'égard de la collecte, de l'utilisation ou de la communication de renseignements personnels qui s'effectue à l'intérieur de
la province en cause. »

Le but de cette disposition est de permettre aux provinces et aux territoires de réglementer les pratiques de gestion des renseignements personnels des organismes gérant des affaires à l'intérieur de leurs frontières.

Lorsque le Gouverneur en conseil émet un décret déclarant que la législation est essentiellement similaire, seuls les renseignements personnels qui sortent de la province ou du pays sont assujettis à la LPRPDE. La LPRPDE continue à s'appliquer, dans les limites d'une province, aux activités d'organisations qui relèvent de la compétence fédérale, telles les opérations bancaires, la radiotélévision, les télécommunications et les transports.

La LPRPDE ne fournit pas de conseils portant sur les critères à utiliser pour déterminer si la législation adoptée par une province est essentiellement similaire. La loi ne fournit pas non plus de conseils sur le processus pouvant déterminer la nature essentiellement similaire.

Ma définition de la nature « essentiellement similaire »

En évaluant les lois provinciales, j'interprète « essentiellement similaire » comme égal ou supérieur à la LPRPDE en ce qui touche le niveau et la qualité accordés à la protection de la vie privée. La loi fédérale est le seuil ou le plancher. Une loi provinciale en matière de protection de la vie privée doit être au moins aussi bonne, sans quoi elle n'est pas essentiellement similaire.

Pour être considérée essentiellement similaire, toute loi provinciale doit comprendre, au bas mot, les dix principes établis dans l'Annexe I de la LPRPDE. Bien que je sois d'avis que les dix principes de ce code sont interdépendants et également importants, je considère que le consentement et les droits d'accès et de correction, de même que le critère de la personne raisonnable, sont les composantes principales en vue de faire une évaluation de la nature essentiellement similaire. De plus, toute loi provinciale devra être assortie de mécanismes efficaces de surveillance et de recours.

Consentement
La loi fédérale précise que le consentement doit être éclairé et qu'une organisation peut recueillir, utiliser ou communiquer des renseignements personnels sur une personne seulement avec le consentement de la personne, sauf dans certaines circonstances stipulées dans la loi.

Une fois recueillis, les renseignements personnels peuvent seulement être communiqués pour la raison pour laquelle le consentement a été accordé, sauf dans certaines circonstances établies par la loi.

Critère de la personne raisonnable
Le critère de la personne raisonnable impose une autre contrainte importante aux organisations. La loi prévoit que la collecte, l'utilisation et la communication des renseignements personnels doivent se faire seulement aux fins qu'une personne raisonnable estimerait acceptables dans les circonstances. Ce critère empêche les organisations d'énoncer en des termes trop larges ou vagues les fins auxquels renseignements sont recueillis.

Droits d'accès et de correction
Les individus doivent avoir le droit d'accéder aux renseignements personnels que les organisations détiennent à leur sujet et de corriger toute inexactitude (ou signaler tout désaccord et le fournir à toute partie qui a reçu les renseignements).

Surveillance
Lorsqu'un individu est d'avis que ses droits de protection de la vie privée ont été violés ou que la loi sur la protection de la vie privée n'a pas été respectée, cet individu doit pouvoir déposer une plainte auprès d'un organisme de surveillance pleinement indépendant qui est investi du mandat précis de régler les plaintes, de mener des enquêtes exhaustives, de soumettre à la médiation et à la conciliation, de formuler des recommandations ou de prendre des ordonnances. Un tel organisme de surveillance doit également être investi de pouvoirs d'enquête complets afin de saisir des documents, de pénétrer dans des locaux, de contraindre à témoigner et de prendre l'initiative de vérification des pratiques d'une organisation.

Recours
À la suite d'une plainte et de la publication de mon rapport, la loi fédérale permet au plaignant (ou à moi-même directement) de demander une audience à la Cour fédérale du Canada. Le plaignant ou moi-même pouvons demander à la Cour d'ordonner à l'organisation en question de corriger ses pratiques de traitement de l'information et de rendre publiques les mesures adoptées. Il est possible de demander à la cour de dédommager le plaignant.

Il est possible d'en appeler des décisions de la Cour fédérale auprès de la Cour d'appel fédérale et auprès de la Cour suprême du Canada sur autorisation.

Il doit y avoir des dispositions équivalentes en matière de recours dans toutes les lois provinciales qui se prétendent « essentiellement similaires ».

Processus d'Industrie Canada pour évaluer la nature « essentiellement similaire »

À la suite de discussions avec mon bureau, le ministère de l'Industrie a publié un avis dans la Gazette du Canada, partie I (22 septembre 2001) établissant le processus que le ministère va utiliser pour déterminer si les lois provinciales/territoriales seront jugées essentiellement similaires.

Le processus sera enclenché par une province, un territoire ou un organisme avisant le ministre de l'Industrie de la loi qui, à son avis, est essentiellement similaire à la LPRPDE. Le Ministre peut aussi agir de son propre chef et recommander au gouverneur en conseil de désigner une loi provinciale ou territoriale comme essentiellement similaire.

Le Ministre doit obtenir le point de vue du commissaire à la protection de la vie privée en vue de déterminer si la législation est essentiellement similaire et il utilisera ce point de vue dans la soumission au gouverneur en conseil.

Le processus offre également une occasion au public et aux parties intéressées de commenter la législation dont il est question.

Selon l'avis publié dans la Gazette du Canada, le Ministre s'attend à ce que les lois essentiellement similaires des provinces ou des territoires comportent ce qui suit :

qu'elles intègrent les dix principes de l'Annexe 1 de la LPRPDE;
qu'elles prévoient un mécanisme de surveillance et de recours indépendant et efficace comportant les pouvoirs d'enquêter; et
qu'elles restreignent la collecte, l'utilisation et la communication des renseignements personnels à des fins qui sont adéquates ou légitimes.

Lois provinciales s'appliquant au secteur public

Au Nouveau-Brunswick, la Loi sur la protection des renseignements personnels est entrée en vigueur en avril 2001. À l'Île-du-Prince-Édouard, la Loi sur l'accès à l'information et la vie privée a reçu la sanction royale le 15 mai 2001 et entrera en vigueur en novembre 2002. Grâce à l'introduction et à l'adoption de ces deux lois, chaque province et territoire du Canada, sauf Terre-Neuve et le Labrador, accorde maintenant une protection législative aux renseignements personnels détenus par les ministères et les organismes gouvernementaux.

Lois provinciales s'appliquant au secteur privé

À ce jour, le Québec est la seule province au Canada qui a adopté une loi d'ensemble s'appliquant aux renseignements personnels dans le secteur privé. La Loi sur la protection des renseignements personnels dans le secteur privé est entrée en vigueur, à quelques exceptions près, le 1^er janvier 1994. La loi établit des dispositions détaillées qui élargissent et rendent exécutoires les droits à la protection de la vie privée en matière de renseignements personnels prévus aux articles 35 à 41 du Code civil du Québec.

Quatre autres gouvernements provinciaux, le Nouveau-Brunswick, la Colombie-Britannique, le Manitoba et l'Ontario, ont étudié les options législatives pour une réglementation exhaustive de la collecte, de l'utilisation et de la communication des renseignements personnels dans le secteur privé.

En mai 1998, le ministère de la Justice du Nouveau-Brunswick a publié le Droit à la vie privée : deuxième document de travail. Un des buts de ce document était d'« [examiner] le bien-fondé de l'adoption de mesures législatives pour le secteur privé et [d'en étudier] le contenu possible ». Le premier document de travail traitait de la législation dans le secteur public.

Le ministère de la Consommation et des Corporations du Manitoba a publié en mars 1999 un document de travail intitulé La protection des renseignements personnels dans le secteur privé. Ce document a été suivi d'une série de consultations publiques à travers le Manitoba.

En octobre 1999, le gouvernement de la Colombie-Britannique a publié un document de travail intitulé Protecting Personal Privacy in the Private Sector. Un comité spécial sur la confidentialité des renseignements a tenu des audiences publiques sur le document de travail en janvier 2000.

Ces documents de travail ont été publiés par des gouvernements qui ont depuis été défaits aux élections. Cependant, en février 2002, le nouveau ministre des « Services de gestion » de la Colombie-Britannique a déclaré que le gouvernement avait l'intention de présenter un projet de loi visant à protéger les renseignements personnels détenus par le secteur privé.

Le gouvernement de l'Ontario a publié en juillet 2000 un document de travail discutant de la possibilité d'adopter une loi ontarienne sur la protection de la vie privée. Le 4 février 2002, cette étape a été suivie d'un avant-projet de loi émis pour fins de consultation externe. Le nouveau document législatif s'appelle la Loi de 2002 sur la protection des renseignements personnels.

Le document publié par le ministère des Services aux consommateurs et aux entreprises se veut à la fois un projet de loi et un document de consultation. Les citoyens et les organisations de la province ont été invités à faire part de leurs commentaires sur cet avant-projet de loi avant le 31 mars 2002. Le document contient 19 séries de questions afin d'aider les personnes et les organismes à formuler leurs commentaires.

La loi proposée s'appliquera au secteur privé, au secteur de la santé et à des entités comme les organismes de bienfaisance, les associations professionnelles, les groupes religieux et les universités. La loi ne s'appliquera pas à la collecte, à l'utilisation et à la communication des renseignements personnels obtenus à des fins personnelles non commerciales; elle ne s'appliquera pas à la collecte, à l'utilisation et à la communication de renseignements personnels obtenus par une organisation à des fins artistiques, journalistiques ou littéraires. De même, la LPRPDE ne s'applique pas aux renseignements personnels recueillis, utilisés ou communiqués à ces fins.

Lois provinciales s'appliquant à des secteurs précis

Plusieurs lois provinciales sectorielles comportent des dispositions sur la protection des renseignements personnels. Chaque province sauf le Nouveau-Brunswick possède des lois traitant de l'évaluation du crédit des consommateurs. Ces lois imposent généralement l'obligation aux agences d'évaluation du crédit d'assurer l'exactitude de l'information, fixent des limites à la communication des renseignements et donnent aux consommateurs le droit d'avoir accès aux renseignements et d'en contester l'exactitude.

Plusieurs lois imposent des obligations qui restreignent la communication de renseignements. Plusieurs provinces ont adopté des lois qui imposent des restrictions à la communication de renseignements personnels par des détectives privés. Les lois régissant les coopératives d'épargne et de crédit contiennent généralement des dispositions sur la confidentialité des renseignements ayant trait aux transactions des membres. Un grand nombre de lois provinciales contiennent des dispositions sur la confidentialité des renseignements personnels recueillis par des professionnels.

Le secteur de la santé
Les provinces de l'Alberta, du Manitoba et de la Saskatchewan ont toutes adopté des lois sur la protection de la vie privée dans le domaine de la santé. Les lois du Manitoba et de l'Alberta sont actuellement en vigueur. La Saskatchewan n'a pas encore annoncé la date d'entrée en vigueur de sa loi.

Les trois lois établissent des règles pour la collecte, l'utilisation et la communication des renseignements personnels en matière de santé. Chacune prévoit des droits d'accès et de correction ainsi que le droit de demander un examen par un organisme de surveillance qui peut faire enquête sur les plaintes.

Ces lois s'appliquent aux renseignements personnels sur la santé détenus par les ministères provinciaux, les hôpitaux, les professions de la santé réglementées (comme les médecins, les pharmaciens, les dentistes, les infirmières), les laboratoires et autres installations de soins de santé.

Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé traite des renseignements sur la santé dans le secteur privé. Elle s'applique à toutes les entreprises au Québec, notamment les organismes du secteur privé qui fournissent des soins de santé ainsi qu'à tout professionnel qui exploite un cabinet. La Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels du Québec s'applique au reste du secteur de la santé.

La Colombie-Britannique ne dispose pas de loi sectorielle en santé, mais sa loi relative au secteur public, la Loi sur l'accès à l'information et la protection des renseignements personnels, traite des renseignements sur la santé détenus par tous les organismes de santé financés par des fonds publics et les par fournisseurs de soins de santé, y compris les cliniques, les universités et les hôpitaux.

En 1995, la portée de la loi a été étendue de façon à couvrir tous les organismes professionnels autogérés. Ces organismes comprennent le College of Physicians and Surgeons, le College of Dental Surgeons, le College of Pharmacists, la Registered Nurses Association et le Health Professions Council. Les praticiens en pratique privée, en cliniques privées et en laboratoires ne sont pas visés par la loi.

En décembre 2000, l'Ontario a présenté le projet de loi 159, la Loi sur la protection des renseignements médicaux personnels. Ce projet de loi est resté au Feuilleton en raison de la prorogation de l'assemblée législative provinciale le 2 mars 2001.

L'Ontario a maintenant décidé d'intégrer des dispositions précises en matière de santé dans sa loi générale à l'intention du secteur privé, la Loi de 2002 sur la protection des renseignements personnels. L'avant-projet de loi prévoit qu'elle s'appliquera à tous les fournisseurs de soins de santé sauf les guérisseurs autochtones et spirituels et les sages-femmes œuvrant au sein de leur propre collectivité.

Pour l'instant et jusqu'au 1^er janvier 2004, la LPRPDE ne s'applique pas à la collecte, à l'utilisation ou à la communication intra provinciale des renseignements personnels dans le cadre d'activités commerciales effectuées par des organismes assujettis aux lois provinciales. À mesure que le 1^er janvier 2004 approche, les intentions des provinces deviendront peut-être plus claires.

Dans ce contexte, je vais maintenant commenter la seule loi provinciale actuellement en vigueur traitant de façon exhaustive de la question des renseignements personnels dans le secteur privé, soit la Loi sur la protection des renseignements personnels dans le secteur privé du Québec.

Loi sur la protection des renseignements personnels dans le secteur privé du Québec

Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé (la Loi) est structurée d'une façon très différente de la LPRPDE. Toutefois, l'objectif global et l'intention générale des deux lois sont similaires. Les deux lois se fondent sur les Lignes directrices régissant la protection de la vie privée et les flux transfrontières de données de caractère personnel de l'Organisation de coopération et de développement économiques.

En général, les deux lois sont similaires en termes de portée et d'application : les définitions de renseignements personnels sont similaires, les deux s'appliquent aux renseignements sur les employés et les deux prévoient une exception journalistique, bien que l'exception prévue à la LPRPDE englobe aussi les fins artistiques et littéraires. La différence la plus importante en termes d'application est que la Loi du Québec s'applique aussi aux organisations non commerciales. (La Loi du Québec utilise le terme « entreprises » et personnes. Dans le présent document, j'utilise « organisations » pour assurer l'uniformité).

Le gouvernement du Québec a présenté un projet de loi en vue de modifier la Loi du Québec. Les modifications les plus importantes comprennent notamment les points suivants :

Les renseignements personnels détenus par des ordres professionnels seront couverts;
Une organisation est tenue d'adopter des mesures spéciales pour aider les personnes handicapées à avoir accès aux renseignements à leur sujet;
Une organisation peut exiger paiement des frais des mesures spéciales prises pour assurer l'accès;
Le consentement n'est pas nécessaire pour les communications aux fins d'archives;
Le consentement n'est pas nécessaire pour la communication de renseignements de plus de 100 ans ou qui ont trait à une personne décédée depuis plus de 30 ans;
Aucun renseignement sur la santé ne peut être communiqué sans consentement selon une méthode qui permet d'identifier une personne à moins que le renseignement ne date de plus de 100 ans;
Le consentement n'est pas nécessaire pour la communication de renseignements personnels considérés comme publics par la loi; et
L'obligation pour une organisation d'assurer le respect de la Loi du Québec lors de la communication de renseignements à l'extérieur du Québec s'applique à tout renseignement et non seulement aux renseignements sur les résidants du Québec.

Tout compte fait, les modifications proposées, si elles sont adoptées, permettront de renforcer la Loi, sauf en ce qui a trait aux nouvelles communications sans consentement. Toutefois, ces communications correspondent en général à celles comprises dans la LPRPDE.

En plus de la Loi du Québec et de l'autre acte législatif à l'intention du secteur public, le Code civil du Québec et la Charte des droits et libertés de la personne du Québec prévoient des droits importants en matière de protection de la vie privée. Le Code civil a été complètement mis à jour en 1993. Les articles 35 à 41 du Code traitent spécifiquement de la protection de la vie privée. Les articles 35 et 36 discutent de la protection de la privée territoriale, par exemple, le harcèlement criminel et définissent un délit général d'atteinte à la vie privée. Les articles 37 à 41 contiennent des principes sur la protection des données générales comme l'imposition de limites à la collecte, les exigences de consentement ainsi que les droits d'accès et de correction.

Évaluation de la nature essentiellement similaire

Lors de l'évaluation de la Loi, j'ai recherché les dix principes établis dans l'Annexe 1 de la LPRPDE. J'ai particulièrement mis l'accent sur cinq composantes de la LPRPDE : le consentement, le critère de la personne raisonnable, les droits d'accès et de correction, la surveillance et les recours.

Les dix principes
Les dix principes sont clairement présents dans la Loi du Québec sauf pour ce qui est du principe de responsabilité et du principe de transparence.

Le principe de responsabilité se lit comme suit :

« Une organisation est responsable des renseignements personnels dont elle a la gestion et doit désigner une ou des personnes qui devront s'assurer du respect des principes énoncés ci-dessous. »

Le principe de la transparence se lit comme suit :

« Une organisation doit faire en sorte que des renseignements précis sur ses politiques et ses pratiques concernant la gestion des renseignements personnels soient facilement accessibles à toute personne. »

Aucune disposition de la Loi du Québec n'exige précisément qu'une organisation désigne une personne responsable. Toutefois, la Loi établit un processus clair en matière de responsabilité. Les organisations ne peuvent recueillir de renseignements qu'à des fins sérieuses et légitimes, elles sont tenues de protéger les renseignements et peuvent être tenues responsables si elles n'arrivent pas à respecter les exigences de la Loi.

La Loi du Québec ne contient aucune disposition assurant que les organismes seront « transparents dans leurs politiques et leurs pratiques ». Deux articles de la Loi du Québec touchent indirectement la transparence. L'article 79 exige que « l'agent de renseignements personnels » (les agences d'évaluation du crédit) fassent connaître leurs activités au public par voie d'avis publiés périodiquement dans la presse. L'article 8 exige qu'une organisation qui recueille des renseignements personnels auprès d'une personne l'informe de l'objet du dossier, de l'utilisation qui sera faite des renseignements, des catégories de personnes qui y auront accès dans l'entreprise, de l'endroit où sera détenu le dossier et des droits d'accès ou de correction.

Consentement
La LPRPDE comporte les exigences suivantes :

« Toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire. » (principe 4.3)

« Il faut obtenir le consentement de la personne concernée avant de recueillir
des renseignements personnels à son sujet et d'utiliser ou de communiquer les
renseignements recueillis. » (principe 4.3.1)

La Loi du Québec contient les énoncés suivants :

« La personne qui recueille des renseignements personnels sur autrui doit les recueillir auprès de la personne concernée, à moins que celle-ci ne consente à la collecte auprès de tiers. » (article 6)

« Le consentement à la communication ou à l'utilisation d'un renseignement personnel doit être manifeste, libre, éclairé et être donné à des fins spécifiques. Ce consentement ne vaut que pour la durée nécessaire à la réalisation des fins pour lesquelles il a été demandé.

Un consentement qui n'est pas donné conformément au premier alinéa est sans effet. » (article 14)

L'article 14 de la Loi du Québec ne mentionne pas la collecte, ce qui semble autoriser implicitement une collecte sans consentement. Toutefois, l'article 6 exige que les renseignements soient recueillis de la personne concernée à moins que cette dernière consente à la collecte auprès de tiers, ce qui revient effectivement à une exigence de consentement. (Si le renseignement est fourni par la personne concernée, on suppose le consentement). En outre, on a proposé une modification qui ajouterait le mot collecte à l'article 14. Si elle est adoptée, cette modification aura l'effet bénéfique de rendre la Loi encore plus claire.

Le terme « manifeste » dans l'article 14 de la Loi du Québec veut dire clair, sans équivoque et précis. En général, le mot « éclairé » correspond à l'exigence de la LPRPDE que le consentement soit accompagné de la connaissance de la fin ou des fins pour laquelle ou lesquelles les renseignements seront utilisés (principe 4.3.2). La Loi du Québec exige que le consentement soit libre : la LPRPDE (principe 4.4.2) stipule que le consentement pour la collecte ne doit pas être obtenu par un subterfuge alors que le principe 4.3.3 précise qu'une organisation ne peut pas exiger le consentement d'une personne pour la collecte, l'utilisation ou la communication de renseignements autres que ceux qui sont nécessaires pour réaliser les fins légitimes et explicitement indiquées.

Tout compte fait, l'exigence générale de consentement contenue dans la Loi du Québec est au moins aussi rigoureuse que dans la LPRPDE.

La LPRPDE et la Loi du Québec comprennent toutes les deux des exceptions permettant la collecte, l'utilisation ou la communication sans consentement.

La Loi du Québec prévoit qu'une organisation ne peut recueillir sans consentement des renseignements personnels auprès d'un tiers que si la Loi l'autorise ou si les renseignements personnels sont recueillis pour une raison sérieuse et légitime. Dans ce dernier cas, une des conditions suivantes doit s'appliquer : il n'est pas possible de recueillir directement de la personne « en temps utile » ou la collecte auprès d'un tiers est nécessaire pour assurer l'exactitude des renseignements.

Contrairement à la LPRPDE, la Loi du Québec ne contient pas de circonstances clairement définies expliquant dans quelles circonstances les renseignements peuvent être utilisés sans consentement. Toutefois, certaines communications sans consentement dont il est question plus loin, telles les listes nominatives, les renseignements communiqués à des fins de recherche ou dans le but de recouvrer une dette, comportent aussi une utilisation sans consentement.

En ce qui a trait à la communication sans consentement, la LPRPDE nomme 14 circonstances tandis que la liste de la Loi du Québec en comporte un peu moins. Une différence importante à souligner est l'exception de la liste nominative dans la Loi du Québec. Une liste nominative est simplement une liste de marketing qui comprend des noms, des adresses et des numéros de téléphone. La Loi du Québec permet à une organisation de communiquer sans consentement une liste nominative à un tiers si le contrat empêche l'utilisation des renseignements à une fin autre que « des fins de prospection commerciale ou philanthropique », les personnes concernées dans les listes peuvent faire retrancher ces renseignements de la liste et la communication « ne porte pas atteinte à la vie privée des personnes concernées ». Cette dernière réserve vise vraisemblablement des situations où la source de la liste, par exemple un magazine, pourrait peut-être révéler des renseignements sensibles comme des problèmes de santé.

Dans certains cas, lorsque les renseignements sont communiqués sans consentement, par exemple à des fins de recherches ou pour le recouvrement de dettes, la Loi du Québec exige que ces communications soient inscrites au dossier de la personne. En vertu de la LPRPDE, une organisation doit informer le commissaire avant de communiquer sans consentement des renseignements à des fins statistiques ou à des fins d'étude ou de recherche érudites. De façon plus générale, en vertu du principe 4.9.1, toute organisation doit fournir à la personne concernée, sur demande, une liste des tiers auxquels des renseignements personnels ont été communiqués.

Les deux documents législatifs contiennent des exemptions relativement larges permettant la communication sans consentement à des fins d'application de la loi.

Dans leur ensemble, les situations où le consentement n'est pas nécessaire pour la collecte, l'utilisation ou la communication sont à peu près similaires dans les deux lois.

Droits d'accès et de correction
La Loi du Québec accorde un droit d'accès rigoureux. En réponse à une demande écrite, une organisation doit « confirmer l'existence du dossier et lui donner communication des renseignements personnels la concernant ».

L'organisation est tenue de donner suite à une demande d'accès ou de correction au plus tard dans les 30 jours de la date de la demande et à l'heure actuelle, il n'existe pas de droit de prolongation. (La LPRPDE permet une prolongation pour certains motifs déterminés à condition que la personne en soit informée.) Aucun frais ne peut être exigé pour l'accès à l'information mais des frais raisonnables peuvent être exigés pour la reproduction ou la transmission de l'information.

Certaines exceptions s'appliquent à l'accès. L'exception générale la plus large est établie à l'article 39 du Code civil et permet l'interdiction de l'accès lorsqu'il y a « un intérêt sérieux et légitime à le faire ». Les autres exceptions à l'accès dans la Loi du Québec sont similaires à celles contenues dans la LPRPDE. Contrairement à la LPRPDE, la Loi du Québec ne comprend pas d'exception portant sur les « renseignements commerciaux confidentiels ».

Le recours de la Commission à l'ordre public pour un différend lié à l'accès est rapide,
peut s'effectuer dans le comté de résidence du demandeur et n'est utilisé que si le commissaire ne peut pas arriver à réussir une médiation pour régler la mésentente.

En fin de compte, les droits d'accès et de correction de la Loi du Québec sont au moins aussi rigoureux que ceux de la LPRPDE.

En ce qui a trait à la correction, lorsqu'il y a une mésentente portant sur une demande de correction, c'est l'organisation qui conserve le dossier qui doit prouver que le dossier n'a pas besoin d'être corrigé. Dans la LPRPDE, le fardeau de la preuve incombe à la personne.

Surveillance
La Commission d'accès à l'information (la Commission) est dotée du pouvoir d'administrer la loi.

La Commission a le pouvoir :

de recevoir les plaintes;
d'ouvrir les enquêtes;
d'imposer la production de l'information;
de visiter des locaux;
d'examiner et de faire des copies de renseignements pertinents;
de déterminer ses propres procédures d'enquête;
de servir de médiateur en cas de mésententes;
de refuser d'examiner une plainte qu'elle juge frivole ou faite de mauvaise foi;
de recommander des mesures de correction adéquates pour assurer la protection des renseignements personnels;
d'ordonner des mesures de réparation;
d'établir des délais pour la mise en œuvre de ces mesures;
de divulguer des renseignements relatifs à la non-conformité d'une organisation; et
d'émettre des décisions finales sur des questions de fait.

La Commission est tenue de rendre des décisions par écrit pour toute mésentente qui lui est soumise.

La Commission possède tous les pouvoirs d'un tribunal.

Les pouvoirs du commissaire à la protection de la vie privée en vertu de la LPRPDE sont similaires à ceux de la Commission d'accès à l'information sauf que le commissaire ne peut pas émettre d'ordonnances.

La Loi du Québec accorde à la Commission des pouvoirs rigoureux de surveillance qui sont au moins égaux aux pouvoirs accordés au commissaire fédéral à la protection de la vie privée en vertu de la LPRPDE.

Recours
Comme on l'a mentionné plus haut, la Commission possède des pouvoirs considé-rables. En ce qui touche les recours, son autorité comprend le pouvoir :

d'émettre toute ordonnance qu'elle juge adéquate pour protéger les droits des parties et juger toute question de fait ou de droit;
d'ordonner à une personne qui détient des renseignements ou à une entreprise de communiquer ou de corriger les renseignements personnels ou de ne pas le faire;
après une demande, de recommander ou d'ordonner l'application de mesures de correction qui sont adéquates pour la protection des renseignements personnels; et
de désigner une personne pour « tenter d'amener les parties à s'entendre ».

Toute ordonnance de la Commission est exécutoire au même titre que l'ordonnance d'un tribunal.

Sur autorisation, il est possible d'interjeter appel des ordonnances de la Commission auprès de la Cour du Québec sur toute question portant sur le droit ou la compétence. La décision de la Cour du Québec est sans appel.

Les organisations qui recueillent, conservent, communiquent à des tiers ou utilisent des renseignements personnels en contravention de la Loi sont passibles d'amendes de 1 000 $ à 10 000 $ pour une première infraction et de 10 000 $ à 20 000 $ pour des infractions subséquentes. Dans le cas d'agents de renseignements personnels, les amendes varient de 6 000 $ à 12 000 $ pour une première infraction et de 10 000 $ à 20 000 $ pour toute infraction subséquente.

En vertu de la LPRPDE, trois infractions sont assujetties à une amende :

le défaut de conserver des renseignements qui font l'objet d'une demande d'accès;
le congédiement ou le harcèlement d'un employé dénonciateur; et
le fait d'entraver la tenue d'une enquête ou d'une vérification par le commissaire.

Les contrevenants peuvent se voir imposer des amendes s'élevant jusqu'à 10 000 $ pour une déclaration de culpabilité par procédure sommaire ou jusqu'à 100 000 $ pour une mise en accusation.

Les personnes lésées peuvent exiger une réparation et des dommages en vertu du Code civil ou de la Loi du Québec portant sur le secteur privé, sauf pour les questions ayant trait aux droits d'accès et de correction. Le Code civil transfère spécifiquement la responsabilité de cet élément à la Loi. Pour demander réparation en vertu du Code civil, il faut intenter une poursuite, avec tous les coûts et tous les avantages financiers possibles que cette démarche comporte. Une demande de réparation en vertu de la Loi est beaucoup plus facile et moins coûteuse mais n'est pas nécessairement aussi efficace, d'aussi grande portée ou intéressante d'un point de vue fiinancier, en supposant que la personne gagne.

La LPRPDE accorde au commissaire à la protection de la vie privée une latitude considérable en ce qui touche l'aide aux personnes qui ont déposé une plainte et qui désirent s'adresser à la Cour fédérale.

La comparaison des dispositions de recours entre les deux textes juridiques est difficile à cause du rôle du Code civil et parce que les pouvoirs et les rôles de la Commission et du commissaire à la protection de la vie privée du Canada diffèrent. Toutefois, je suis d'avis que les dispositions en matière de recours dans la Loi du Québec sont aussi efficaces que celles dans la LPRPDE.

Critère de la personne raisonnable
Le critère de la personne raisonnable dans la LPRPDE énonce à l'article 5 (3) que :

« L'organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu'à des fins qu'une personne raisonnable estimerait acceptables dans les circonstances. »

Une des raisons pour lesquelles le critère de la personne raisonnable a été ajouté au cours du processus législatif était d'empêcher les organisations d'énoncer en des termes trop larges ou vagues les fins auxquelles des renseignements sont recueillis. Le critère de la personne raisonnable comble avec succès une lacune du Code de la CSA (Annexe 1). Même avec consentement, une organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu'à des fins qu'une personne raisonnable estimerait acceptables dans les circonstances.

La Loi du Québec ne comporte pas de critère de la personne raisonnable comme tel, mais elle précise qu'une organisation ne peut constituer un dossier sur une autre personne que si elles a un intérêt sérieux et légitime à le faire et stipule que les renseignements recueillis doivent être nécessaires à l'objet du dossier (articles 4 et 5).

L'article 9 précise que nul ne refusera d'acquiescer à une demande de bien ou de service ni à une demande relative à un emploi à cause du refus de la personne qui formule la demande de lui fournir un renseignement personnel sauf dans l'une ou l'autre des circonstances prévues par la loi. En cas de doute, un renseignement personnel est considéré comme non nécessaire. Cette dernière disposition transfère à l'organisation le fardeau de la preuve de justification de la collecte.

Bien que la Loi du Québec n'utilise pas le terme « personne raisonnable », je crois que les dispositions citées plus haut sont d'intention et d'effet similaires en ce qui a trait à la limitation de la collecte, de l'utilisation et de la communication non nécessaires.

Conclusion

En me fondant sur l'analyse qui précède, je crois que la Loi sur la protection des renseignements personnels dans le secteur privé du Québec est essentiellement similaire à la LPRPDE en ce qui a trait à l'étendue avec laquelle elle protège les renseignements personnels.

Supports de substitution

PDF (429 Ko) Accessibilité non vérifiée

Date de modification :: 2002-05-01

Sélection de la langue

Recherche et menus

Recherche