Étape 2 : L’évaluation des facteurs relatifs à la vie privée
C’est l’organisation qui réalise l’évaluation en se basant notamment sur les éléments fournis par le chercheur dans sa demande à l’étape 1. En effet, ce dernier est bien placé, par exemple, pour décrire la façon dont les renseignements personnels seront utilisés après leur communication, en quoi ils sont nécessaires à la recherche et les mesures de sécurité applicables sur place.
La teneur de cette évaluation doit être proportionnelle à la sensibilité des renseignements concernés, la finalité de leur utilisation, leur quantité, leur répartition et leur support. Par exemple, les renseignements relatifs à la santé constituent des renseignements sensibles. Une demande visant une cohorte de milliers de personnes ou des renseignements échelonnés sur plusieurs années, ainsi que la comparaison ou l’ajout de renseignements obtenus auprès d’autres organisations vont aussi influencer l’évaluation qui doit être réalisée.
L’évaluation des facteurs relatifs à la vie privée doit permettre à l’organisation de conclure que les cinq critères suivants sont respectés :
- L’objectif poursuivi peut être atteint seulement si les renseignements sont communiqués sous une forme permettant d’identifier les personnes concernées.
Par exemple, s’il est possible de réaliser la recherche ou l’étude à l’aide de renseignements anonymisés ou de données synthétiques, la communication de renseignements personnels n’est pas autorisée.
Un renseignement est anonymisé quand il est raisonnable de prévoir dans les circonstances qu’en tout temps et de façon irréversible, il ne permet plus d’identifier directement ou indirectement une personne. L’anonymisation des renseignements doit se faire selon les meilleures pratiques généralement reconnues et selon les critères et modalités déterminés par règlement.
Si la recherche peut être menée en utilisant des renseignements dépersonnalisés*, seuls ces renseignements devraient être communiqués. Il importe de souligner que ces renseignements constituent tout de même des renseignements personnels confidentiels. Il appartient au chercheur de convaincre l’organisation de la nécessité d’utiliser des renseignements personnels, dépersonnalisés ou non. L’utilisation de renseignements non dépersonnalisés requiert une démonstration convaincante de l’impossibilité de réaliser la recherche sans les « identifiants directs ».
*Un renseignement est dépersonnalisé quand il empêche d’identifier directement la personne concernée.
- Il est déraisonnable d’exiger que le chercheur obtienne le consentement des personnes concernées.
Comme il s’agit d’une exception au principe du consentement des personnes concernées en matière de protection des renseignements personnels et de leur droit au respect de la vie privée, l’organisation doit pouvoir conclure qu’il est déraisonnable d’exiger le consentement de toutes les personnes dont les renseignements sont requis aux fins de la recherche.
Par exemple :
– Il peut être déraisonnable d’obtenir le consentement de milliers de personnes dont les adresses ne sont pas à jour ;
– La recherche pourrait viser les renseignements de personnes inaptes à consentir ou encore décédées ;
– La recherche pourrait s’appuyer sur des renseignements dépersonnalisés détenus par une organisation, rendant impossible pour le chercheur d’obtenir le consentement ;
– Dans certains cas, la constitution d’un échantillon représentatif pourrait nécessiter de ne pas introduire un biais en utilisant seulement les données de personnes désireuses de consentir. - L’objectif poursuivi l’emporte, par rapport à l’intérêt public, sur l’impact de la communication et de l’utilisation des renseignements personnels sur la vie privée des personnes concernées.
Cette partie de l’évaluation vise à pondérer l’objectif poursuivi par la recherche en termes d’intérêt public et les conséquences de la communication et de l’utilisation des renseignements personnels sur la vie privée des personnes concernées.
Cette analyse doit d’abord identifier et décrire les différents éléments et facteurs à considérer pour réaliser cette pondération.
L’organisation doit ensuite déterminer si l’objectif de la recherche au regard de l’intérêt public l’emporte sur ses conséquences possibles sur la vie privée des personnes concernées.
Voici quelques exemples de questions pour évaluer la demande d’un chercheur :
– Quel est l’objectif de la recherche, en quoi celle-ci est-elle d’intérêt public ?
– Quels bénéfices sont attendus pour la société ?
– Quelles sont les différentes conséquences sur la vie privée des personnes concernées par la communication de renseignements ?
– Ces impacts peuvent-ils être minimisés dans le cadre de la recherche ? Si oui, comment ?
– Les renseignements personnels demandés sont-ils sensibles ?
– Les renseignements seront-ils couplés ou comparés à d’autres renseignements personnels ? Si oui, quels seront les impacts de ce couplage ou comparaison sur la vie privée des personnes concernées ? Est-ce que ces pratiques auront un impact sur les risques de divulgation de renseignements personnels au sujet d’une ou de plusieurs personnes ?
– Qu’est-ce qui motive une conclusion permettant de croire que l’intérêt public l’emporte sur l’impact de la communication et de l’utilisation des renseignements personnels, sur la vie privée des personnes concernées ?Ainsi, l’évaluation de ce critère ne se limite pas à exposer l’objectif poursuivi par la recherche ni à énoncer simplement un impact général, comme le fait qu’elle permettra d’accroître les connaissances dans un domaine d’activité. Il faut préciser les bénéfices attendus de la recherche en lien avec l’intérêt public et les pondérer avec les conséquences sur la vie privée des individus dont les renseignements seront utilisés aux fins de la recherche.
- Les renseignements personnels sont utilisés de manière à en assurer la confidentialité. Dans cette partie de l’analyse, il faut évaluer si l’utilisation projetée des renseignements et les différentes mesures de protection qui seront mises en place, lors de leur communication par l’organisation, et à toutes les étapes de la recherche, permettent d’en assurer la confidentialité. Cette évaluation devrait notamment tenir compte de la sensibilité et de la quantité des renseignements personnels.
- Seuls les renseignements nécessaires sont communiqués.
L’évaluation doit indiquer comment l’organisation s’assurera que seuls les renseignements nécessaires à la recherche seront communiqués au chercheur. Une attention particulière devrait être apportée aux « identifiants directs et indirects » (en lien avec le premier critère, par exemple : adresse, code postal complet, numéro d’assurance maladie, date de naissance ou âge) et aux renseignements particulièrement sensibles.
Un document écrit attestant de la démarche d’évaluation pour chacun des critères permet à l’organisation de démontrer qu’elle a respecté son obligation. L’évaluation doit permettre de comprendre comment chacun des critères a été analysé et quels éléments ont été considérés par l’organisation. Par exemple, il peut s’agir d’un tableau ou d’un rapport. Ce document doit être transmis à la Commission avec une copie de l’entente et conservé par l’organisation.
Durant l’évaluation, si des risques pour la protection de la vie privée des personnes concernées ont été ciblés, l’organisation et le chercheur peuvent convenir de mesures qui permettront de les éliminer ou les minimiser. Cette étape fait d’ailleurs partie de la démarche d’évaluation des facteurs relatifs à la vie privée proposée par la Commission dans son guide d’accompagnement.
Bien que ce guide soit élaboré davantage pour la conception, le développement ou l’exploitation de projets au sein d’une organisation, certaines parties peuvent être pertinentes à l’évaluation dans le contexte d’un projet de recherche. Par exemple, il peut servir de modèle quant au repérage et à l’identification des risques et impacts sur la vie privée, leur évaluation et la mise en place de stratégies pour éviter ces risques, les minimiser ou les éliminer.
Si l’évaluation conclut au respect des cinq éléments mentionnés précédemment, l’organisation et le chercheur peuvent conclure une entente en vue de la communication et de l’utilisation des renseignements. En raison de son pouvoir discrétionnaire, l’organisation n’a toutefois pas l’obligation de poursuivre le processus, même si l’évaluation est favorable. Elle peut choisir de refuser la demande à ce stade.
Mise à jour : 3 février 2023