Sélection de la langue

Logo du Commissariat Commissariat à la protection de la vie privée du Canada

Recherche

La protection de la vie privée et l’éclosion de la COVID-19

Mars 2020

L’éclosion de la COVID-19 soulève des questions sur la protection de la vie privée en situation de pandémie. En situation de crise sanitaire, les lois sur la protection des renseignements personnels sont toujours en vigueur sans faire obstacle à une communication de renseignements appropriée. Le présent document sert à fournir des orientations générales sur les lois fédérales applicables.

Au Canada, la gestion des crises sanitaires exige une étroite coordination de la part de tous les ordres de gouvernement. Plusieurs lois sur la protection des renseignements personnels fédérales, provinciales et territoriales, visant les secteurs public et privé, régissent la collecte, l’utilisation et la communication de renseignements personnels. Des autorités provinciales et territoriales sont responsables de veiller au respect de ces lois dans leurs territoires de compétence respectifs, et certaines ont publié leur propre déclaration relative à la COVID-19 :

Les lois sur la protection des renseignements personnels comprennent plusieurs dispositions visant la collecte, l’utilisation et la communication de renseignements personnels dans le contexte d’une crise sanitaire. Si vous recueillez, utilisez ou communiquez des renseignements personnels en vertu de ces dispositions, vous devriez pouvoir informer les individus concernés de l’autorisation légale précise qui vous permet de le faire.

Les situations visant la santé publique sont parfois qualifiées d’urgences. En vertu de lois fédérales et provinciales, les gouvernements peuvent déclarer formellement des situations d’urgence publique. Dans ces cas, les pouvoirs de collecte, d’utilisation et de communication de renseignements personnels pourraient être élargis davantage pour devenir très vastes. Pour bien comprendre l’impact de ces lois sur la protection des renseignements personnels, on doit consulter le libellé précis des dispositions en question. Les lois habituelles sur la protection des renseignements personnels s’appliquent, sauf si des lois sur les mesures d’urgence n’en disposent autrement.

Application des lois fédérales canadiennes sur la protection des renseignements personnels

Le Commissariat à la protection de la vie privée du Canada est chargé de veiller au respect de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) et de la Loi sur la protection des renseignements personnels (LPRP). Ces deux lois régissent la collecte, l’utilisation et la communication de renseignements personnels.

La LPRPDE s’applique aux organisations du secteur privé qui recueillent, utilisent ou communiquent des renseignements personnels dans le cadre de leurs activités commerciales, ainsi qu’aux renseignements au sujet des employés d’entreprises fédérales. Certaines provinces sont dotées de lois sur la protection des renseignements personnels régissant le secteur privé ou de lois sur la protection des renseignements personnels liés à la santé qui ont été reconnues comme essentiellement similaires à la LPRPDE et qui s’appliquent dans la province en question. Toutefois, la LPRPDE s’applique toujours dans ces provinces en ce qui concerne la collecte, l’utilisation et la communication de renseignements personnels en lien avec les opérations d’une entreprise fédérale, tels les transporteurs aériens et les fournisseurs de services de télécommunication, ainsi que dans les cas où la collecte, l’utilisation ou la communication de renseignements personnels a lieu à l’extérieur de la province.

La LPRP vise le traitement de renseignements personnels par les ministères et organismes du gouvernement fédéral.

La LPRPDE et la LPRP comprennent toutes deux des dispositions qui autorisent l’utilisation ou la communication de renseignements personnels à des fins précises qui pourraient être pertinentes dans le contexte d’un événement relatif à la santé publique. Le texte qui suit présente un résumé des dispositions pertinentes dans chaque loi.

Loi sur la protection des renseignements personnels et les documents électroniques

La LPRPDE autorise les organisations à recueillir, utiliser ou communiquer des renseignements uniquement à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances (paragraphe 5(3)). Les organisations sont tenues d’informer un individu et d’obtenir son consentement valable afin de recueillir, utiliser ou communiquer des renseignements personnels à son sujet (principe 3). Le consentement est valable seulement s’il est raisonnable de s’attendre à ce que l’individu visé comprenne la nature, les fins et les conséquences de la collecte, de l’utilisation ou de la communication des renseignements personnels auxquelles il a consenti (article 6.1).

Cela dit, une organisation peut recueillir, utiliser ou communiquer des renseignements personnels sans obtenir le consentement de l’individu concerné dans certaines circonstances, dont les suivantes :

  • Si la collecte est manifestement dans l’intérêt de l’intéressé et que le consentement ne peut être obtenu auprès de celui-ci en temps opportun (alinéa 7(1)a)). Par exemple, si un individu est gravement malade ou se retrouve dans une situation particulièrement dangereuse et a besoin d’aide.
  • Si la collecte et l’utilisation sont faites en vue d’une communication prévue par la loi (alinéas 7(1)e), 7(2)d) et 7(3)i)). Par exemple, si une autorité de santé publique détient une autorisation légale d’exiger la communication.
  • Si la demande de communication est faite par une institution gouvernementale qui détient l’autorité légitime de le faire, et que la communication vise l’application ou le contrôle de l’application du droit canadien ou provincial (sous-alinéas 7(3)c.1)(ii) et (iii)). Le même exemple d’une autorité de santé publique serait applicable à cette disposition.
  • Si la communication est faite, à l’initiative de l’organisation, à une institution gouvernementale et que l’organisation a des motifs raisonnables de croire que le renseignement est afférent à une contravention du droit fédéral, provincial ou étranger qui a été commise, est en train d’être commise ou est sur le point de l’être (sous-alinéa 7(3)d)(i)). Cela comprendrait les cas où une organisation constate qu’un individu contrevient à une ordonnance de quarantaine en vigueur.
  • Si l’utilisation ou la communication est faite en raison d’une situation d’urgence mettant en danger la vie, la santé ou la sécurité d’un individu (alinéas 7(2)b) et 7(3)e)). Cela comprendrait les cas où un individu a un urgent besoin d’aide médicale et qu’il n’est pas en mesure de communiquer directement avec les professionnels de la santé.

Loi sur la protection des renseignements personnels

En vertu de la LPRP, les seuls renseignements personnels que peut recueillir une institution fédérale sont ceux qui ont un lien direct avec ses programmes ou ses activités (article 4). S’il est possible de le faire, une institution fédérale est tenue de recueillir auprès de l’individu lui-même les renseignements personnels destinés à des fins administratives le concernant, sauf autorisation contraire de l’individu ou autres cas d’autorisation prévus au paragraphe 8(2) (paragraphe 5(1)). L’institution fédérale est tenue d’informer l’individu auprès de qui elle recueille les renseignements personnels le concernant des fins auxquelles ces renseignements sont destinés (paragraphe 5(2)). Les renseignements personnels peuvent être recueillis de manière indirecte et sans en aviser l’intéressé si la collecte et l’avis direct risquerait d’avoir pour résultat la collecte de renseignements inexacts, ou de contrarier les fins ou de compromettre l’usage auxquels les renseignements sont destinés (paragraphe 5(3)).

À défaut du consentement de l’individu concerné, les institutions fédérales peuvent se servir des renseignements personnels concernant cet individu seulement à des fins compatibles avec les fins auxquelles les renseignements personnels ont été recueillis, ou à des fins précises pour lesquelles les renseignements peuvent leur être communiqués en vertu du paragraphe 8(2) (article 7).

Parmi les communications de renseignements personnels sans consentement que peut effectuer une institution fédérale, on retrouve les suivantes :

  • Pour les fins auxquelles les renseignements personnels ont été recueillis ou préparés par l’institution ou pour les usages compatibles avec ces fins (alinéa 8(2)a)). Cela comprendrait les cas où des employeurs souhaitent se servir du numéro de téléphone de leurs employés pour leur donner des mises à jour au sujet d’une pandémie.
  • Pour des fins conformes avec les lois fédérales ou les règlements qui autorisent cette communication (alinéa 8(2)b)). Cela comprendrait les cas où une autorité de santé publique détient l’autorisation légale d’exiger la communication.
  • Aux termes d’ententes d’échange de renseignements conclues d’une part entre le gouvernement du Canada et d’autre part le gouvernement d’une province, certains conseils de Premières Nations, le gouvernement d’un État étranger ou une organisation internationale d’États en vue de l’application des lois ou pour la tenue d’enquêtes licites (alinéa 8(2)f)). Par exemple, le gouvernement du Canada prend part à une entente multilatérale sur l’échange de renseignements par l’entremise du Réseau pancanadien de santé publique.
  • Dans les cas où, de l’opinion du responsable de l’institution, des raisons d’intérêt public justifieraient nettement une éventuelle violation de la vie privée, ou dans les cas où l’individu concerné en tirerait un avantage certain (alinéa 8(2)m)). Par exemple, un sous-ministre pourrait juger qu’une communication à un autre ministère est appropriée si un individu atteint d’un virus a récemment visité l’autre ministère et pourrait y avoir propagé le virus. Bien que la LPRP exige que l’institution fédérale informe le commissaire à la protection de la vie privée avant d’effectuer une communication pour des raisons d’intérêt public, la Loi reconnaît que dans certaines situations, il est essentiel d’agir rapidement. Si les circonstances ne permettent pas au responsable d’une institution fédérale de donner un préavis par écrit au commissaire, le responsable doit aviser le commissaire le plus tôt possible après la communication (paragraphe 8(5)). Si une institution soupçonne que le virus de la COVID-19 s’est propagé ou a été contracté en milieu de travail, il est recommandé de communiquer avec l’autorité de santé publique pertinente pour mener les recherches de contacts nécessaires.
Date de modification :