Quatre régimes distincts, quoique similaires, régissent principalement, au Québec, la collecte, l’utilisation et l’accès à des renseignements personnels. La Loi sur la protection des renseignements personnels dans le secteur privé[3], la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels[4], la Loi sur la protection des renseignements personnels[5] et la Loi sur la protection des renseignements personnels et les documents électroniques[6] s’appliquent à des entreprises ou organismes différents, mais mettent de l’avant les mêmes principes directeurs. Nous verrons donc ces derniers de façon globale, sans nous attarder aux éléments qui distinguent plus particulièrement chacun des régimes des autres.
D’abord, lorsqu’un employeur désire constituer un dossier comprenant des renseignements personnels sur un individu, c’est-à-dire des renseignements pouvant permettre l’identification d’une personne physique, il doit avoir un intérêt sérieux et légitime de le faire. En fait, les renseignements recherchés doivent être utiles à la réalisation d’un objet spécifique et déclaré. Dans cette optique, c’est à l’employeur qui invoque la nécessité de tels renseignements de démontrer, s’il y a lieu, que l’objectif poursuivi par sa collecte est proportionnellement plus important que l’atteinte à la vie privée des personnes visées. Ce principe demeure quel que soit le moment où sont recueillies les informations. Conformément à ces divers éléments, il faut mentionner qu’en milieu de travail, les entrevues, les formulaires d’adhésion et les tests d’embauche peuvent permettre de recueillir certains renseignements personnels dans les cas où ils sont nécessaires. Cependant, ils ne devraient jamais être utilisés pour amasser inutilement des renseignements personnels ou pour donner ouverture à des mesures discriminatoires.
Généralement, la collecte de renseignements personnels doit se faire auprès de la personne concernée, qui doit y consentir. Le type de consentement requis peut varier selon le régime applicable, mais aussi selon la sensibilité des renseignements désirés. Il existe cependant diverses exceptions permettant à l’employeur d’amasser certaines informations sans avoir obtenu, préalablement, le consentement de la personne visée. Parmi celles-ci, on peut penser au cas des personnes mineures, dont l’autorisation peut devoir être donnée par un titulaire de l’autorité parentale, à celui des personnes inaptes, dont le consentement doit généralement provenir du tuteur ou du curateur, à certains cas où le consentement du syndicat peut équivaloir à celui des employés de même qu’à diverses situations d’urgence, où le droit à la vie privée cède alors le pas à d’autres droits fondamentaux. Certaines exceptions légales, qui doivent s’interpréter restrictivement, peuvent aussi s’appliquer et, évidemment, il demeure toujours possible pour un individu de consentir à ce que la collecte des renseignements se fasse auprès de tiers identifiés.
Quelle que soit la provenance du consentement, sa portée doit être suffisante pour permettre à l’entreprise de recueillir tous les renseignements nécessaires à la réalisation de l’objet visé, mais elle ne doit pas être trop étendue, dans quel cas le consentement pourrait être sans effet.
Il faut se demander quelles peuvent être les conséquences d’un refus de consentement de la personne visée par la demande de renseignements personnels. Sur un aspect bien précis, la législation est claire : une entreprise ne peut refuser d’acquiescer à une demande de biens ou de services ou à une demande relative à un emploi parce qu’une personne refuse de fournir un renseignement personnel, à moins que la collecte de ce renseignement ne soit nécessaire à la conclusion ou à l’exécution d’un contrat, qu’elle ne soit autorisée par la loi ou qu’il existe des motifs raisonnables de croire que la demande faite par l’entreprise est illicite.
Nous l’avons vu, lorsqu’une entreprise recueille des renseignements personnels, ceux-ci doivent viser l’objet déclaré au dossier. Il est impératif, par ailleurs, qu’ils soient utilisés de façon convergente à celui-ci. Sujet à certaines conditions, il relève ainsi de la responsabilité de l’entreprise qui détient les renseignements personnels de s’assurer de leur utilisation adéquate. D’ailleurs, au sein d’une même entreprise, la communication des renseignements doit se limiter aux personnes autorisées et s’étendre seulement aux informations dont l’obtention est nécessaire à l’exercice de leurs fonctions. On ne doit donc aucunement tenir compte du statut hiérarchique des gens lorsque vient le temps de savoir s’ils peuvent ou non avoir accès à des renseignements personnels contenus dans un dossier. Il s’agit plutôt de se concentrer sur l’interrelation entre les renseignements demandés et les fonctions devant être accomplies par les individus qui requièrent leur connaissance.
La divulgation des renseignements personnels à un tiers, quant à elle, ne peut être faite qu’avec le consentement de la personne concernée ou en vertu d’une exception légale et cela doit être nécessaire aux fins poursuivies. Lorsqu’une entreprise fait appel à des tiers, qu’ils soient mandataires ou agents, et qu’elle doit leur transmettre des renseignements personnels, il est fortement conseillé d’encadrer le tout à l’aide d’un contrat écrit précisant la portée du mandat, les objectifs visés par l’utilisation des renseignements transmis, le type de personnes pouvant y accéder de même que l’obligation de préserver la confidentialité des informations. Il est à noter qu’à l’inverse, une simple liste nominative, composée des noms, d’adresses ou de numéros de téléphone de personnes physiques peut parfois être transmise sans qu’un consentement préalable soit requis, mais cela est sujet à certaines conditions.
La confidentialité des renseignements, on le constate, relève de la responsabilité de l’entreprise qui les a recueillis initialement. C’est donc à elle de mettre en place un système de sécurité adéquat. L’importance des mesures de sécurité à adopter varie selon la sensibilité des informations détenues, leur quantité, leur répartition, leur support et la finalité de leur utilisation.
En plus de la confidentialité, l’entreprise doit s’assurer de l’exactitude des renseignements conservés, de façon à ce que ces renseignements, lorsqu’ils sont utilisés, soient valides. De ce fait, toute personne a généralement le droit d’accéder à son dossier et d’y faire corriger une information erronée, incomplète ou équivoque. Aux fins d’accès et de rectification, constitue un dossier tout ce qui est déposé dans le dossier physique identifié au nom d’une personne visée. L’entreprise qui ne veut pas permettre l’accès au dossier ou y apporter les correctifs nécessaires se voit dans l’obligation, selon le cas, soit d’aviser la personne concernée et de motiver son refus, soit de démontrer l’exactitude des renseignements que le dossier contient, à moins que ceux-ci n’aient été directement communiqués par cette personne ou avec son consentement. L’entreprise doit aussi faire part à la personne visée des démarches que cette dernière pourrait entreprendre pour faire valoir son droit d’accès ou de rectification. Dans une telle situation, l’entreprise doit conserver les renseignements personnels de la personne qui désire avoir accès à son dossier ou y effectuer une quelconque modification, le temps nécessaire pour permettre à celle-ci d’épuiser ses recours légaux.
Il va sans dire que tous les éléments mentionnés ci-dessus constituent des principes généraux et que de nombreuses exceptions peuvent exister, selon les circonstances de chaque espèce. Il faut cependant toujours garder en tête, lorsque vient le moment de collecter ou d’utiliser des renseignements personnels, que la nécessité et l’intérêt légitime et sérieux doivent prévaloir en tout temps, et ce, afin de ne pas brimer le respect du droit à la vie privée dont chaque salarié bénéficie.
Annie Pagé, CRIA, avocate et Myriam Lavallée, avocate du cabinet Heenan Blaikie
Source : VigieRT, numéro 15, février 2007.
| 1 | L.Q. 1991, c. 64. |
| 2 | L.R.Q., c. C-12. |
| 3 | L.R.Q., c. P-39.1. |
| 4 | L.R.Q., c. A-2.1. |
| 5 | L.R.C. 1985, c. P-21. |
| 6 | L.C. 2000, c. 5. |
