Protection des renseignements personnels : employeurs

Comment agir contre la COVID-19 tout en protégeant la vie privée de mes employés ou des visiteurs de mon organisation?

De manière générale, pour une organisation, le meilleur moyen d’agir contre la COVID-19 sans recueillir de renseignements personnels consiste à miser sur une approche informative.

Pour ses visiteurs, elle peut afficher clairement, à l’entrée de son établissement d’affaires, des consignes (ex. « si vous présentez l’un des symptômes suivants : fièvre ou toux, ou si vous avez voyagé à l’étranger dans les 14 derniers jours, prière de ne pas entrer »).

Pour ses employés, elle peut leur diffuser de l’information officielle afin de les sensibiliser aux recommandations des autorités de santé publique : cela leur donnera de bons réflexes par rapport à la COVID-19 et les rendra plus attentifs à leur niveau de risque.

Si cela est nécessaire selon les circonstances particulières propres à une organisation, celle-ci peut demander d’être informée qu’une personne est à risque d’avoir contracté la COVID-19 (présence de symptômes, contact avec une personne déclarée positive, retour de voyage, etc.) ou si elle a reçu un diagnostic officiel. Il n’est toutefois généralement pas nécessaire de consigner ces informations.


Mon organisation peut-elle recueillir des renseignements personnels liés à la COVID-19 auprès des visiteurs ou des employés?

Dans le contexte de la pandémie de COVID-19, au-delà de l’approche informative mentionnée ci-haut, il peut être raisonnable pour une organisation de poser certaines questions aux visiteurs ou aux employés, comme les suivantes :

  • Présentent-ils des symptômes connus de la maladie?
  • Ont-ils été en contact étroit avec une personne infectée?
  • Reviennent-ils de voyage?

Cependant, toute collecte doit être strictement nécessaire à l’atteinte de l’objectif de limiter la propagation de la maladie. Les organisations doivent ainsi limiter le plus possible le nombre de questions et leur portée de manière à assurer une proportionnalité entre l’atteinte à la vie privée et l’utilité pour limiter la propagation du virus. À l’heure actuelle, il semblerait par exemple disproportionné de soumettre de manière générale un questionnaire médical écrit à tous les visiteurs et employés.


Mon organisation peut-elle demander à un employé s’il a été officiellement déclaré positif à la COVID-19?

Pour ce qui est de la collecte de renseignements concernant les diagnostics médicaux, les dispositions des conventions collectives applicables doivent être suivies.

Généralement, il appartient aux autorités de santé publique d’identifier les cas positifs à la COVID-19 et de faire le suivi auprès des personnes pouvant avoir été en contact avec une personne infectée.

Toutefois, compte tenu du caractère particulièrement contagieux de la COVID-19, l’obligation pour l’employeur d’assurer la santé et la sécurité au travail pourrait justifier le fait de demander d’être informé d’un diagnostic positif à cette maladie, et ce, dans le seul but d’informer les employés par mesure préventive (voir question suivante). La nécessité de procéder de cette façon doit être appuyée sur le contexte particulier de l’organisation.


Mon organisation peut-elle informer son équipe qu’un employé ou un visiteur pourrait avoir contracté la COVID-19?

Seule l’information nécessaire peut être communiquée : par exemple, un employé revenant de voyage et s’étant placé en isolement peut être déclaré positif à la COVID-19 par la suite, sans toutefois s’être présenté au travail. Dans un tel cas de figure, son état de santé n’a pas de répercussions sur ses collègues de travail et les motifs de son absence ne devraient pas être divulgués par l’employeur.

Dans les autres cas, afin de respecter son obligation d’assurer la santé et la sécurité de ses employés, une organisation est justifiée de leur indiquer qu’ils ont été exposés à un risque. Il est suffisant de leur mentionner qu’ils pourraient avoir été en contact avec une personne infectée : l’employeur doit prendre toutes les mesures nécessaires afin d’éviter de divulguer son identité afin de protéger la confidentialité de ses renseignements personnels.

Pendant la durée de l’état d’urgence sanitaire, si les autorités de santé publique donnent des instructions spécifiques concernant la divulgation de renseignements personnels, les organisations doivent les suivre.


Mon organisation peut-elle communiquer les renseignements de santé d’un employé aux autorités de santé publique?

Oui, si celles-ci en font la demande. Les autorités de santé publique disposent en effet de différents pouvoirs, surtout lorsque l’état d’urgence sanitaire est déclaré comme le prévoit la Loi sur la santé publique, ce qui a été fait par le gouvernement du Québec le 13 mars dernier.

Celui-ci permet la collecte et la communication des renseignements personnels requis pour protéger la santé de la population. À ce sujet, l’article 123 (3) de la Loi sur la santé publique prévoit que « le gouvernement ou le ministre, s’il a été habilité, peut, sans délai et sans formalité, pour protéger la santé de la population, […]  ordonner à toute personne, ministère ou organisme de lui communiquer ou de lui donner accès immédiatement à tout document ou à tout renseignement en sa possession, même s’il s’agit d’un renseignement personnel, d’un document ou d’un renseignement confidentiel ».

Ainsi, à la demande des autorités de santé publique, les organisations doivent communiquer les renseignements personnels requis dont elles auraient la garde.

 

Mise à jour : 1 mai 2020