En principe, un organisme public doit limiter l’utilisation des renseignements personnels afin de respecter le droit à la vie privée des citoyens. À titre de représentant d’un organisme public, votre vigilance quant au respect de la Loi sur l’accès contribue à la préservation de ce droit fondamental.
En matière de protection des renseignements personnels, la notion de consentement s’ajoute au critère de nécessité. C’est ce dernier qui doit prédominer en toute circonstance.
Pour utiliser des renseignements personnels à de nouvelles fins :
- Vous devez d’abord évaluer la nécessité d’utiliser un renseignement personnel, pour ensuite obtenir le consentement de la personne concernée. En effet, le consentement d’une personne doit être spécifique à une seule utilisation.
- Vous ne pouvez pas réutiliser un renseignement pour un autre usage que celui pour lequel vous avez obtenu le consentement de la personne concernée. Si vous prévoyez de faire une autre utilisation de ce même renseignement personnel, vous devez solliciter de nouveau son consentement.
La limitation de l’utilisation des renseignements personnels favorise la protection des renseignements personnels.
La Loi prévoit toutefois certaines exceptions pour la réutilisation d’un renseignement, notamment :
- Lorsque les objectifs de son utilisation sont compatibles avec ceux pour lesquels il a été recueilli. Pour être « compatibles », ces nouveaux objectifs doivent avoir un lien pertinent et direct avec les objectifs initiaux. Par exemple, une fin de prospection commerciale ou philanthropique ne peut pas être considérée comme une fin compatible;
- Lorsque son utilisation est manifestement au bénéfice de la personne concernée, par exemple pour octroyer une subvention ou une aide financière;
- Lorsque son utilisation est nécessaire à l’application d’une loi au Québec, que cette utilisation soit prévue expressément par la loi ou non. Par exemple, un organisme pourrait utiliser des renseignements personnels afin de verser une aide financière pour des procédures de recouvrement contre une personne ayant commis une fraude.
À compter du 22 septembre 2023, vous pourrez également, au besoin, utiliser un renseignement personnel dépersonnalisé sans consentement à des fins d’étude, de recherche ou de production de statistiques au sein de votre organisme.
Dans ce cas :
- Vous devrez prendre les mesures raisonnables pour minimiser les risques qu’une personne physique soit réidentifiée à partir de renseignements dépersonnalisés.
Sachez que les exceptions relatives au consentement doivent être interprétées de manière restrictive. Quand la situation le permet, la Commission vous invite à privilégier l’obtention du consentement plutôt que le recours à l’exception.
Mise à jour : 25 juillet 2023