La protection des renseignements personnels Conférencière : Me Myriam Lavallée 27 octobre 2011.

Présentation au sujet: "La protection des renseignements personnels Conférencière : Me Myriam Lavallée 27 octobre 2011."— Transcription de la présentation:

1 La protection des renseignements personnels Conférencière : Me Myriam Lavallée 27 octobre 2011

2 2 Présentation de la conférencière Myriam Lavallée concentre sa pratique sur le droit du travail, le droit de la santé et sécurité du travail et le droit administratif. Elle s’intéresse également de près aux questions de droits de la personne et de protection des renseignements personnels. Elle conseille et représente de nombreuses entreprises dans le cadre de relations individuelles et collectives de travail. Me Lavallée a complété son baccalauréat en droit à l’Université de Sherbrooke en 2003 et a terminé sa formation juridique en France, à l’Université Lyon III-Jean Moulin, où elle a su se distinguer par la qualité de ses présentations et de ses résultats scolaires. Elle a de plus suivi divers cours spécialisés, dont des formations en droit du travail, en droits et libertés de la personne, en rédaction d’actes juridiques et en techniques de négociation internationale. En 2009, elle a reçu le Prix d’Excellence du Réseau de recherche en santé et en sécurité du travail du Québec par suite d’une conférence présentée dans le cadre d’un colloque. Outre ses activités chez Heenan Blaikie, Me Lavallée s’implique régulièrement auprès de divers organismes à titre d’administratrice ou de membre de comités organisateurs. En 2009-2010, elle était présidente du conseil d’administration de la Jeune Chambre de commerce de la Mauricie. Avocate Trois-Rivières 819-373-0339 mlavallee@heenan.ca Admission au barreau Québec, 2004 Domaines d’expertise Droit du travail et de l'emploi Droits de la personne Santé et sécurité du travail Normes du travail Protection des renseignements personnels Droit administratif et constitutionnel

3 3 Avis Les données contenues à cette conférence présentée par Me Myriam Lavallée (Heenan Blaikie S.E.N.C.R.L., SRL) ne fournissent qu’une information générale sur la protection des renseignements personnels et ne devraient pas être considérées comme des conseils ou avis juridiques, ni servir de base à ce titre. Heenan Blaikie S.E.N.C.R.L., SRL se fera un plaisir de fournir des informations supplémentaires sur les sujets qui intéresseront ses lecteurs. © 2011, Heenan Blaikie S.E.N.C.R.L., SRL

4 4 Objet Introduction et historique en matière de RP; Les principales lois applicables au Québec; Collecte, utilisation et divulgation des RP; Accès aux RP et rectification; et Cas d’application.

5 5 1. Introduction et historique Historique des régimes législatifs de PRP au Canada :  Les premiers régimes d’accès à l’information (« AI ») ou d’accès aux documents détenus par l’administration publique au Canada font leur apparition dans les années 1970 (Nouvelle-Écosse (1977), Nouveau- Brunswick (1978)).  Les premiers régimes de PRP suivront quelques années plus tard.  Ces régimes ne visent d’abord que le secteur public.

6 6 1. Introduction et historique  En 1982, le Québec adopte la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (« Loi sur l’accès »). Le Québec devient ainsi la première juridiction canadienne à adopter une loi cadre qui régit à la fois l’AI et la PRP dans le secteur public. Ce modèle législatif sera repris par la suite dans d’autres provinces.

7 7 1. Introduction et historique Extension des régimes de PRP au secteur privé.  Au cours des années 1990, les régimes de PRP commencent à s’étendre au secteur privé.  Le Québec fait encore figure de pionnier en adoptant la première loi au Canada (et même en Amérique du Nord) régissant de manière générale la PRP dans le secteur privé: Il s’agit de la Loi sur la protection des renseignements personnels dans le secteur privé (« Loi dans le secteur privé »), laquelle est entrée en vigueur le 1 er janvier 1994 au même moment que le Code civil du Québec (« C.c.Q. »).

8 8 2. Dispositions du C.c.Q. Le C.c.Q. prévoit, aux articles 35 à 41, des règles générales visant la protection de la vie privée et des RP. Ces règles s’appliquent tant aux entreprises qu’aux individus. Ces dispositions générales s’appliquent même si la Loi dans le secteur privé ne concerne pas les parties en cause. La Loi dans le secteur privé vise à expliciter les règles générales contenues au C.c.Q. et à établir des règles particulières quant à la cueillette, la détention, l’utilisation et la communication des RP.

9 9 3. Définition du terme « RP » L’article 2 de la Loi dans le secteur privé prévoit qu’est un RP tout renseignement qui concerne une personne physique et permet de l'identifier. Cette définition comprend les renseignements qui peuvent, de façon directe ou indirecte, être reliés à une personne et permettre de l’identifier. Un RP doit faire connaître quelque chose sur quelqu’un. Un RP doit être susceptible de distinguer une personne d’une autre.

10 10 3. Définition du terme « RP »  Le nom d’une personne pris isolément de tout autre renseignement ne constitue pas un RP.  Jumelé à d’autres renseignements, le nom d’une personne peut cependant constituer un RP.

11 11 4. Les lois régissant la PRP au Québec Les lois s’appliquent:  à la collecte, la détention, l’utilisation et la communication des RP; et  peu importe la nature du support sous lequel ces renseignements sont accessibles (écrite, graphique, sonore, visuelle, informatisée ou autre).

12 12 5. Distinction importante entre les lois régissant la PRP au Québec Contrairement au régime applicable au secteur public, celui applicable au secteur privé ne s’accompagne pas d’un droit général d’accès à l’information.  Autrement dit, la Loi dans le secteur privé ne reconnaît pas un droit d’accès à l’information détenue par les entreprises du secteur privé (comme c’est le cas pour l’information conservée par l’administration publique).  Les régimes de PRP dans le secteur privé consacrent toutefois le droit d’accès d’une personne aux renseignements qui la concernent.

13 13 6. Champs d’application des lois québécoises 1) La Loi sur le secteur public : s’applique aux « organismes publics » définis aux articles 3 à 7 de cette loi, ce qui inclut le gouvernement, les ministères, des organismes gouvernementaux, municipaux et scolaires, ainsi que des établissements de santé ou de services sociaux. vise les RP que ces organismes recueillent au sujet de toute personne physique (à titre d’employé, de contractuel, de fournisseur, etc.).

14 14 6. Champs d’application des lois québécoises 2) La Loi dans le secteur privé s’applique: aux entreprises au sens de l’article 1525 du C.c.Q. qui ne sont pas des organismes publics au sens de la Loi sur l’accès.

15 15 6. Champs d’application des lois québécoises 2) La Loi dans le secteur privé s’applique (suite): à toute personne qui, à l’occasion de l’exploitation d’une entreprise autre qu’un organisme public, recueille, détient, utilise ou communique à des tiers, des RP sur autrui.

16 16 6. Champs d’application des lois québécoises 2) La Loi dans le secteur privé (suite): ne vise que les RP recueillis au sujet d’une personne physique (à titre d’employé, de client, de contractuel, de fournisseur, etc.); et ne protège pas les RP qui ont un caractère public en vertu de celle-ci.

17 17 7. Collecte de RP Les principes sous-jacents à la Loi dans le secteur privé peuvent être résumés comme suit :  l’entreprise ne peut recueillir que les RP qui sont nécessaires à l’objet du dossier et selon des fins légitimes. Par exemple: –nature du handicap, limitations fonctionnelles, éducation, intérêt d’emploi, certifications et diplômes, etc.  La personne qui collecte les RP doit inscrire l’objet du dossier, c’est-à-dire, la raison ou les motifs pour lesquels est constitué le dossier.

18 18 7. Collecte de RP Sous réserve de certaines exceptions, la collecte est faite auprès de la personne concernée:  la personne visée peut consentir à la collecte auprès d’un tiers;  une personne peut recueillir des RP auprès d’un tiers sans le consentement de la personne concernée: si la loi l’autorise; si elle a un intérêt légitime et sérieux et que l’une ou l’autre des conditions suivantes est remplie: –les renseignements sont recueillis dans l’intérêt de la personne concernée et ne peuvent être recueillis auprès de celle-ci en temps opportun; et –la cueillette auprès d’un tiers est nécessaire pour s’assurer de l’exactitude des renseignements.  le tiers doit être identifié au dossier.

19 19 8. Collecte de RP  L’entreprise qui recueille des RP doit informer la personne concernée: de l’utilisation qui en sera faite et des catégories de personnes qui y auront accès; de l’objet du dossier; et de l’endroit où sera détenu son dossier.  L’entreprise ne peut utiliser les RP qu’aux fins identifiées.  L’entreprise doit prendre des mesures de sécurité appropriées en vue d’assurer la confidentialité des RP recueillis. Ces mesures doivent être raisonnables compte tenu notamment de la sensibilité des RP de même que de la finalité pour laquelle ils sont conservés. Un RP n’est généralement accessible qu’aux employés d’une entreprise pour lesquels ils sont nécessaires à l’exercice de leurs fonctions ou à l’exécution de leur mandat.

20 20 7. Collecte de RP Nul ne peut refuser d’acquiescer à une demande de bien ou de service, ni à une demande relative à un emploi à cause du refus de la personne qui formule la demande de lui fournir un RP sauf:  lorsque la collecte est nécessaire à la conclusion ou à l’exécution du contrat;  si la collecte est autorisée par la loi; et  s’il y a des motifs raisonnables de croire qu’une telle demande n’est pas licite. En cas de doute, le RP sera considéré comme non nécessaire.

21 21 8. Utilisation des RP Les RP doivent être utilisés aux fins pour lesquelles ils ont été recueillis. Les renseignements détenus doivent être à jour et exacts au moment où ils sont utilisés pour prendre une décision concernant la personne concernée. L’utilisation des RP n’est permise, une fois l’objet du dossier accompli, qu’avec le consentement de la personne concernée.

22 22 9. Divulgation des RP Sauf exception, l’entreprise ne peut communiquer les RP à des tiers sans le consentement de la personne concernée ou sans l’autorisation de la loi. Le consentement doit être donné à des fins spécifiques. Il doit être libre, volontaire et éclairé. Il ne vaut que pour la durée nécessaire à la réalisation des fins pour lesquelles il a été demandé. Un consentement général à la communication de RP n’est donc pas valable.

23 23 10. Accès par la personne aux RP la concernant  Une personne peut avoir accès aux RP qu’une entreprise détient à son sujet.  L’entreprise ne peut lui en refuser l’accès que dans les cas prévus expressément par la loi.  L’entreprise doit prendre des mesures d’accommodement raisonnables pour permettre à une personne handicapée d’exercer son droit d’accès.

24 24 10. Accès par la personne aux RP la concernant La demande doit être formulée par écrit, l’entreprise n’ayant pas l’obligation de donner suite à une demande verbale. Une preuve de l’identité est requise. Une demande d’accès doit être faite par une personne concernée par une telle demande, comme la personne elle-même, le titulaire de l’autorité parentale, le représentant autorisé, etc. L’accès est gratuit, sauf pour des frais raisonnables de transcription, de reproduction ou de transmission.

25 25 10. Accès par la personne aux RP la concernant Une réponse doit être donnée avec diligence par l’entreprise dans un délai maximal de 20 ou 30 jours de la demande, selon la loi applicable. À défaut, l’entreprise est réputée l’avoir refusée. Tout refus d’accès doit:  être formulé par écrit;  indiquer tous les motifs de refus; et  informer le demandeur de ses recours.

26 26 10. Accès par la personne aux RP la concernant Une entreprise qui ne détient pas les RP demandés n’a pas à les obtenir auprès d’un tiers pour répondre à la demande d’accès, sauf si le tiers les détient à la demande de l’entreprise. Une entreprise n’a pas à confectionner un document pour répondre à une demande d’accès.  Si les informations demandées ne sont consignées sur aucun support, on ne pourra donner suite à la demande d’accès.  Une personne ne peut demander l’accès à des RP qui ont été véhiculés verbalement.

27 27 10. Accès par la personne aux RP la concernant Une entreprise peut ne pas tenir compte des demandes qui sont manifestement abusives par leur nombre, leur caractère répétitif ou leur caractère systématique. Toutefois, l’entreprise doit obtenir l’autorisation de la Commission d’accès à l’information (« CAI ») pour ce faire.

28 28 11. Restrictions à l’accès L’entreprise ne pourra refuser d’acquiescer à une demande d’accès que dans les situations prévues par la loi. Certains motifs de restriction à l’accès sont communs aux deux lois, à quelques nuances près. Ainsi, une entreprise pourrait refuser l’accès:  lorsque les RP visés par le secret professionnel de l’avocat dont l’employeur a retenu les services sont contenus dans: –un document relatant des conversations entre l’avocat et un représentant de l’employeur; et –l’avis juridique de l’avocat.  lorsque les RP concernent à la fois le demandeur et un tiers et que leur divulgation pourrait nuire sérieusement à ce tiers.

29 29 11. Restrictions à l’accès  D’autres motifs de restriction à l’accès sont spécifiques à chacune des lois. La Loi dans le secteur privé prévoit que l’accès à un RP peut être refusé lorsque sa divulgation risquerait vraisemblablement d’avoir un effet sur une procédure judiciaire. Dans la Loi sur l’accès, cette possibilité n’existe qu’à l’égard des analyses; ainsi, l’employeur ne peut refuser l’accès à un document qui ne comporte que des énoncés factuels, malgré l’impact que cette divulgation pourrait avoir sur une procédure judiciaire.

30 30 11. Restrictions à l’accès La Loi sur l’accès prévoit également qu’on peut refuser l’accès à une recommandation ou à un avis formulé depuis moins de 10 ans.  Cette restriction s’applique à l’avis ou à la recommandation qui émane d’un employé ou d’un consultant. Des constatations purement objectives et factuelles ne peuvent être qualifiées d’avis ou de recommandation. Pour être qualifié d’avis ou de recommandation, il doit s’agir d’un conseil ou d’une suggestion quant à la conduite à adopter. La recommandation se distingue de l’avis par le degré d’insistance.

31 31 11. Restrictions à l’accès L’article 9 de la Loi sur l’accès permet également de refuser l’accès aux notes personnelles, esquisses, ébauches, brouillons et notes préparatoires. Cependant, si les notes manuscrites sont destinées à être lues et prises en considération par d’autres personnes que celles qui les a écrites, il est possible qu’on ne puisse y refuser l’accès.

32 32 12. Accès aux RP - Cas d’application Demande d’accès à des tests psychométriques ou à tout autre outil d’évaluation:  la Loi sur l’accès prévoit qu’une entreprise peut refuser l’accès à une épreuve destinée à l’évaluation comparative des candidats si l’épreuve est encore utilisée;  la Loi dans le secteur privé ne prévoit pas une telle exception, mais le droit d’accès n’existe pas à l’égard d’un tel document dans la mesure où il ne contient pas de RP concernant le demandeur.

33 33 12. Accès aux RP - Cas d’application Demande d’accès à une expertise médicale:  Dans les cas de lésions professionnelles, la loi prévoit le droit de l’employé de recevoir une copie de l’expertise médicale demandée par l’employeur.  Dans les autres cas, une personne aurait en principe également accès à une telle expertise.  Par contre, l’accès pourrait être refusé en invoquant: qu’il en résulterait un préjudice grave pour la santé du demandeur; que la divulgation pourrait avoir un effet sur une procédure judiciaire dans la mesure où une procédure a été entreprise ou est imminente.

34 34 12. Accès aux RP - Cas d’application Demande d’accès à une plainte ou à un rapport d’enquête:  Une plainte ou un rapport d’enquête comporte des RP à l’égard des plaignants ET de la personne faisant l’objet de la plainte.  L’accès pourrait être refusé à la personne faisant l’objet de la plainte puisque l’opinion exprimée par une personne à l’égard d’une autre est un RP à l’égard de la personne qui l’exprime.  Toutefois, si une personne exprime des commentaires dans le cadre de l’exercice de ses fonctions, elle ne peut prétendre qu’il s’agit de RP la concernant.

35 35 13. Droit de rectification Une personne peut faire supprimer un RP la concernant si sa collecte n’est pas autorisée par la loi. Une personne peut également demander la rectification d’un RP la concernant. Cependant, une personne ne peut, par le biais d’une demande de rectification, obtenir que l’on modifie une opinion exprimée à son sujet. Selon la jurisprudence, la rectification d’une condition médicale apparaissant à un dossier doit obtenir l’approbation du médecin qui a émis le diagnostic. Le droit de rectification ne vise que les informations factuelles. Le droit de rectification s’exerce de la même manière que le droit d’accès.

36 36 14. Tribunal compétent  La CAI est compétente à l’égard des plaintes ou mésententes tant dans le secteur public que dans le secteur privé.  La CAI est un tribunal quasi-judiciaire investi de pouvoirs d’ordonnance.

37 37 15. Conservation des RP La Loi dans le secteur privé prévoit la possibilité pour le gouvernement d’adopter un règlement établissant des calendriers de conservation.  À ce jour, aucun règlement en ce sens n’a été adopté. La Loi sur l’accès ne prévoit pas de calendrier de conservation, mais renvoie notamment à la Loi sur les archives qui prévoit l’obligation pour les organismes publics de prévoir un tel calendrier.

38 38 15. Conservation des RP De plus, d’autres lois, auxquelles notamment les employeurs sont assujettis prévoient certaines obligations de conservation. À titre d’exemple:  Loi sur les normes du travail;  lois fiscales;  Loi sur l’assurance-emploi.

39 39 15. Conservation des RP Par ailleurs, les deux lois sur la protection des RP prévoient également l’obligation de conserver les RP ayant fait l’objet d’une demande d’accès ou de rectification, et ce, pendant la période de temps requise pour que le demandeur puisse épuiser les recours prévus à la loi.

40 40 16. Le processus de sélection et d’embauche Nous traitons ici de la collecte de RP au sujet de candidats à un poste (qui pourront devenir ou non des employés). Dans ce contexte, l’employeur ne peut en principe recueillir que les renseignements nécessaires à l’évaluation du candidat en vue de déterminer s’il a les aptitudes et les qualifications requises pour occuper le poste convoité.  Un employeur ne peut cependant refuser d’acquiescer à une demande d’emploi à cause d’un refus de fournir des RP à moins: qu’ils ne soient nécessaires à la conclusion du contrat; que la collecte soit expressément permise par la loi; et qu’il ait des motifs raisonnables de croire que la demande n’est pas licite.

41 41 16. Le processus de sélection et d’embauche La collecte de RP doit être faite en principe auprès de la personne concernée. Les RP peuvent toutefois être recueillis auprès d’un tiers (ex.: employeur actuel ou précédent, institution d’enseignement) avec le consentement du candidat. Bien que ce ne soit pas prescrit par la loi, il est recommandé d’obtenir un consentement écrit à cette fin en utilisant un formulaire de consentement rédigé en termes suffisamment précis. Dans certains cas particuliers, les RP peuvent toutefois être recueillis auprès d’un tiers sans le consentement du candidat.

42 42 16. Le processus de sélection et d’embauche Si vous êtes sollicité pour donner des références au sujet d’un candidat, assurez-vous d’obtenir copie du consentement écrit et signé par l’ex- employé. Votre responsabilité peut être engagée tant à l’égard de l’ex-employé qu’à l’égard de l’employeur potentiel. Ne donnez des références que dans les limites prévues au consentement et tenez-vous en autant que possible à des informations factuelles.

43 43 16. Le processus de sélection et d’embauche D’autres dispositions législatives pourront trouver application dans ce contexte. C’est le cas notamment de l’article 18.1 de la Charte des droits et libertés de la personne (« Charte québécoise ») qui interdit à l’employeur, dans un formulaire de demande d'emploi ou lors d'une entrevue relative à un emploi, de requérir des renseignements sur les motifs illicites de discrimination. Ces motifs comprennent la race, la grossesse, l’orientation sexuelle, l’état civil, l’âge sauf dans la mesure prévue par la loi, la religion, les convictions politiques, l’origine ethnique ou nationale, le handicap et le moyen d’y pallier.

44 44 16. Le processus de sélection et d’embauche Autres dispositions législatives (suite) : Il y a cependant une exception à l’interdiction de l’article 18.1 de la Charte québécoise lorsque les renseignements demandés par l’employeur permettent d’établir si le candidat a les aptitudes ou qualités requises par l’emploi (article 20 de la Charte québécoise).

45 45 16. Le processus de sélection et d’embauche Commentaires particuliers : 1) Les RP concernant les études, l’expérience de travail, les qualifications professionnelles ou personnelles et aptitudes requises pour exercer l’emploi sollicité : peuvent être recueillis par l’employeur. 2) Le numéro d’assurance sociale : ne peut être demandé en principe à l’étape de la pré- embauche; peut être recueilli une fois le candidat embauché pour des fins spécifiques énoncées à certaines lois ou règlements (ex. : lois fiscales, lois et règlements en matière d’assurance-emploi).

46 46 16. Le processus de sélection et d’embauche Commentaires particuliers : 3) Les antécédents judiciaires : l’employeur a, en principe, le droit de vérifier que le candidat n’a pas d’antécédents judiciaires qui sont incompatibles avec l’emploi convoité; il faut tenir compte de l’article 18.2 de la Charte québécoise qui prohibe, entre autres, le refus d’embauche fondé sur les antécédents judiciaires lorsque ceux-ci n’ont aucun lien avec l’emploi ou lorsque le candidat en a obtenu le pardon.

47 47 16. Le processus de sélection et d’embauche Commentaires particuliers: 4) Le dossier de crédit: le droit de l’employeur de recueillir ce type de renseignement demeure incertain; on peut se demander si l’employeur pourrait avoir accès au dossier de crédit du candidat dans certaines circonstances:  par exemple, lorsqu’il existe un risque réel que le titulaire du poste convoité puisse détourner ou s’approprier des sommes d’argent considérables. il n’existe toutefois, à notre connaissance, aucune décision d’un tribunal qui confirme ou qui infirme le droit général de l’employeur d’obtenir ce type de renseignement.

48 48 16. Le processus de sélection et d’embauche Commentaires particuliers: 5) Le dossier médical : l’employeur a, en principe, le droit de savoir si le candidat a un problème de nature physique ou psychologique qui puisse empêcher celui-ci d’accomplir l’ensemble des tâches du poste sollicité sur une base régulière.

49 49 16. Le processus de sélection et d’embauche 6) La date de naissance : la collecte de ce RP peut présenter un problème vu l’article 18.1 de la Charte québécoise qui interdit en principe à l’employeur de requérir des renseignements sur les motifs illicites de discrimination, dont l’âge. il nous apparaît cependant possible de justifier la collecte de la date de naissance dans la mesure où ce renseignement est nécessaire pour certaines vérifications: –notamment afin de déterminer si le candidat a des antécédents judiciaires incompatibles avec l’emploi postulé.

50 50 16. Le processus de sélection et d’embauche Commentaires particuliers : 7) La collecte de RP accessibles sur Internet (dont ceux affichés sur les réseaux sociaux, tels Facebook ou Twitter). Question nouvelle pour laquelle il n’y a encore aucune jurisprudence à notre connaissance. Rappelons que cette collecte est soumise aux principes généraux mentionnés précédemment, dont :  l’employeur doit normalement recueillir les RP concernant le candidat auprès de ce dernier ou auprès d’autres sources avec son consentement;  l’employeur ne peut recueillir que les RP qui sont nécessaires à ses fins légitimes.

51 51 17. L’accès aux RP au sein de l’organisation En principe, un RP au sujet d’une personne n’est accessible, à l’intérieur d’une organisation, qu’aux seules personnes pour qui ce RP est nécessaire dans l’exercice de leurs fonctions (« need-to-know basis »).

52 52 18. La communication de RP à des fournisseurs de service  En principe, l’entreprise peut communiquer des RP à des fournisseurs de service ou à des sous- traitants sans le consentement des personnes concernées lorsque ces RP sont nécessaires à l’exécution du contrat. Par exemple, ils peuvent être nécessaires pour le versement de la paie, d’une subvention ou de l’application d’un contrat d’assurance.

53 53 18. La communication de RP à des fournisseurs de service  L’entreprise est alors tenue de prendre des mesures appropriées en vue de protéger les RP communiqués au fournisseur, comme par exemple: s’assurer que le fournisseur s’engage à n’utiliser les RP que dans l’exécution du contrat; s’assurer que les RP ne soient pas conservés par le fournisseur après l’expiration du contrat; prévoir que le fournisseur adopte les mesures appropriées pour assurer la confidentialité des RP; s’assurer que le fournisseur obtienne un engagement de confidentialité complété par toute personne chez lui et à qui les RP peuvent être communiqués; et prévoir que le fournisseur avisera sans délai l’entreprise de toute violation des obligations relatives à la confidentialité des RP communiqués.

54 54 CONCLUSION