Un commerçant peut-il me demander de remplir un registre des clients ou me demander de fournir des renseignements personnels pour les y inscrire?
Le 9 juillet 2020, le ministre de la Santé du Québec a invité les titulaires de permis de bar à conserver un registre de leurs clients. Cette mesure volontaire vise à faciliter les enquêtes des autorités de santé publique en cas d’éclosion de COVID-19, et intervient à la suite d’événements épidémiologiques liés à certains établissements.
Les titulaires de permis de bar doivent respecter les obligations prévues par la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1; la Loi sur le privé).
De manière générale, les commerçants œuvrant dans d’autres secteurs d’activité devraient éviter de prendre l’initiative de tenir un registre des clients, sauf si cela est recommandé par une autorité de santé publique ou par la CNESST.
Quels renseignements peut-on me demander de fournir?
Seul le minimum de renseignements personnels nécessaires pour faciliter les enquêtes épidémiologiques des autorités de santé publique peuvent être recueillis. Par exemple, afin de limiter la collecte, le titulaire de permis de bar pourrait ne recueillir que ceux d’une seule personne désignée par groupe de clients, si cela est possible.
Les renseignements suivants apparaissent suffisants :
- le nom complet;
- un renseignement de contact (téléphone ou courriel);
- la date et l’heure de la visite.
Quelles informations devrait-on me fournir au moment de la collecte?
Le titulaire de permis de bar devrait vous informer des éléments suivants :
- les raisons justifiant la collecte de vos renseignements personnels;
- le caractère volontaire du registre et de la collecte des renseignements;
- la durée de conservation;
- les mesures de sécurité mises en place pour la protection des renseignements personnels;
- vos droits d’accès à vos renseignements personnels et de rectification de ces renseignements.
Ces informations peuvent être regroupées sur un encart informatif situé en évidence dans l’établissement ou sur sa page Web, ou communiquées oralement par les employés sur place, par exemple.
Si le titulaire de permis de bar recueille déjà les renseignements personnels de ses clients en temps normal (dans le cadre d’un système de réservation, par exemple), il devrait obtenir leur consentement pour leur utilisation dans le cadre d’un registre.
Qui peut avoir accès aux renseignements contenus dans le registre?
De manière générale, le titulaire de permis de bar a la responsabilité de limiter au maximum l’accès à ces renseignements et de les communiquer uniquement à une autorité de santé publique, à sa demande. Au sein de l’établissement, seules les personnes dont les fonctions le requièrent devraient y avoir accès.
À quoi serviront ces renseignements?
Sur demande d’une autorité de santé publique, le titulaire de permis de bar sera tenu de fournir des renseignements contenus dans ce registre. Dans l’éventualité où un client obtiendrait ultérieurement un diagnostic positif à la COVID-19, ces renseignements serviront à contacter les personnes ayant possiblement été en contact avec lui.
Les renseignements ne devraient pas servir à d’autres fins que celle d’assister une autorité de santé publique dans le cadre d’une enquête épidémiologique.
Combien de temps mes renseignements seront-ils conservés par le titulaire de permis de bar?
La période de conservation devrait vous être indiquée par le titulaire de permis de bar. En l’absence d’une directive précise des autorités de santé publique ou de la CNESST, on peut penser que la durée de nécessité serait liée à la période de manifestation des symptômes de la COVID-19 après qu’une personne l’a contractée, qui oriente les enquêtes épidémiologiques. La période de conservation des renseignements personnels devrait donc être déterminée principalement en tenant compte de cet élément et du temps requis pour mener les enquêtes.
À titre d’exemple, à travers les juridictions où des registres sont exigés ou recommandés, une période de conservation de 21 à 30 jours est souvent utilisée. Toutefois, si les autorités de santé publique ou la CNESST fixent une période différente, les titulaires de permis de bar devraient s’y conformer.
Quels sont mes droits en matière de protection des renseignements personnels par rapport à un registre des clients?
Vous pouvez exercer les recours prévus par la Loi sur le privé, lesquels sont résumés dans la section Accès à vos renseignements personnels du site Web de la Commission.
Mise à jour : 14 juillet 2020