Entreprises et organisations privées

Consentement des personnes concernées

Avant même de solliciter le consentement des personnes pour utiliser et faire circuler leurs renseignements personnels, vous devez avoir procédé à l'évaluation du critère de nécessité.

Le critère de nécessité a préséance sur la notion de consentement et doit prévaloir en toute circonstance. Rappelons que :  

• La nécessité de collecter, d’utiliser ou de communiquer des renseignements personnels pour atteindre vos objectifs doit être évaluée avant même d’obtenir un consentement valide;
• La collecte d’un renseignement personnel est nécessaire, selon les lois applicables, si l’objectif poursuivi est légitime, important et réel et que l’atteinte à la vie privée est proportionnelle à cet objectif;
• La collecte, l’utilisation ou la communication du renseignement peut être faite si elle est nettement plus utile à l’organisme ou à l’entreprise que préjudiciable à la personne concernée.

Pour être valide, le consentement d’une personne doit être :

• Manifeste : évident et donné d’une façon qui démontre la volonté réelle de la personne concernée;
• Libre : impliquant un réel choix et donné sans contraintes et sans pression indue;
• Éclairé : précis, donné en toute connaissance de cause et avec toutes les informations nécessaires pour comprendre la portée du consentement;
• Spécifique : donné dans un objectif précis et clairement circonscrit;
• Temporaire : valide seulement pour la durée nécessaire à la réalisation des fins auxquelles il a été demandé;
• Granulaire : demandé pour chaque fin spécifique;
• Compréhensible : demandé en termes simples et clairs;
• Distinct : demandé distinctement de toute autre information, lorsque la demande est faite par écrit.

La Loi précise aussi des règles applicables aux renseignements personnels sensibles de la façon suivante :

• Un renseignement est considéré comme sensible s’il est de nature médicale, biométrique ou autrement intime, ou dont le contexte d’utilisation ou de communication suscite un haut degré́ d’attente raisonnable en matière de vie privée;
• Le consentement concernant un renseignement sensible doit être manifesté de façon expresse, c’est-à-dire être explicitement exprimé par un geste ou une déclaration (orale ou écrite) témoignant de l’acceptation par la personne concernée. Un consentement exprès ne laisse aucun doute sur la volonté réelle de la personne;
• Le consentement exprès des personnes concernées est déjà obligatoire si vous utilisez des technologies de biométrie (PDF, 521 Ko) pour vérifier ou confirmer l'identité des personnes.

Lignes directrices de la Commission sur les critères de validité du consentement

La Commission a élaboré des lignes directrices sur les critères de validité du consentement (PDF, 1 713 Ko). Ce document d’accompagnement vise à clarifier ces critères. Il présente les obligations des organisations et propose aussi de bonnes pratiques. 

À noter : la démarche d'élaboration de ces lignes directrices a fait l’objet d’une consultation. Vous pouvez consulter le document de rétroaction (PDF, 961 Ko).

Des règles s'appliquent aussi lorsqu'il est question du consentement des jeunes :

• Si le mineur a moins de 14 ans, le consentement à l’utilisation ou à la communication de ses renseignements personnels doit être donné par le parent ou le titulaire de l’autorité parentale;
• Si le mineur a 14 ans ou plus, le consentement peut être donné par le mineur lui-même ou par le parent ou le titulaire de l’autorité parentale;
• Si cette collecte est manifestement au bénéfice du mineur, les entreprises peuvent toutefois procéder à cette collecte sans consentement parental.