Les organismes publics doivent parfois conclure une entente écrite qui encadre certains aspects d’une opération impliquant des renseignements personnels. En vertu de la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (Loi sur l’accès), ils doivent notamment le faire :
- S’ils recueillent des renseignements personnels pour le compte d’un autre organisme public avec lequel ils collaborent (services communs, mission commune);
- S’ils communiquent des renseignements personnels sans le consentement des personnes concernées à des fins de recherche – pour en savoir plus sur ce processus, consultez la page Communication de renseignements personnels sans consentement à des fins de recherche.
Ces ententes doivent être soumises à la Commission avant d’entrer en vigueur.
Actuellement, la Loi sur l’accès prévoit également que la Commission doit donner un avis sur d’autres ententes de communication de renseignements personnels qu’elle reçoit en vertu des articles 68 et 68.1. Plus précisément, il s’agit d’ententes qui encadrent la communication par un organisme public :
- De renseignements personnels, sans le consentement de la personne concernée, à un autre organisme public (y compris d’un autre gouvernement) lorsque cela est nécessaire à ses attributions ou à la mise en œuvre d’un programme qu’il gère, ou si cela est manifestement au bénéfice de la personne concernée;
- À toute personne ou tout organisme, si cela est nécessaire pour que l’organisme qui communique rende un service à la personne concernée (par exemple pour l’identifier) ou si des circonstances exceptionnelles le justifient;
- À toute personne ou tout organisme, si cela est nécessaire à l’application d’une loi québécoise, si cette communication n’est pas prévue expressément par la loi.
Cette page présente plus en détail le processus touchant ces ententes visées par un avis formel de la Commission. Notez que les dispositions sur les ententes subiront des changements importants à compter de septembre 2023. Cette page Web sera mise à jour en conséquence.
Que doivent contenir les ententes sujettes à avis de la Commission?
La Loi sur l’accès indique explicitement le contenu obligatoire de certaines ententes sur lesquelles la Commission doit donner un avis, soit :
- L’identification de l’organisme public qui communique les renseignements et celle de la personne ou de l’organisme qui les recueille;
- Les fins pour lesquelles les renseignements sont communiqués;
- La nature des renseignements communiqués;
- Le mode de communication utilisé;
- Les mesures de sécurité propres à assurer la protection des renseignements personnels;
- La périodicité de la communication;
- La durée de l’entente.
Même si la loi ne précise pas ce contenu pour les autres ententes sujettes à avis, la liste ci-dessus devrait servir de référence.
Comment déposer une entente à la Commission pour avis?
Pour obtenir un avis de la Commission, l’organisme public doit déposer l’entente visée, avec tout le contenu obligatoire ci-dessus, et soumettre un document explicatif dans lequel les parties :
- Présentent le contexte de l’entente;
- Justifient la nécessité de communiquer chaque renseignement personnel contenu dans l’entente;
- Précisent le nombre de personnes potentiellement visées par la communication de renseignements personnels sans consentement;
- Justifient les raisons pour lesquelles il est impossible d’obtenir le consentement des personnes concernées à la communication visée, ou les obstacles majeurs qui se posent;
- Mentionnent toute autre information pertinente en relation avec cette entente;
- Évaluent les conséquences de la communication des renseignements personnels sur la vie privée des personnes concernées.
Si l’entente prévoit une communication de renseignements personnels à l’extérieur du Québec, l’organisme public doit démontrer à la Commission qu’il s’est assuré qu’ils bénéficieraient d’une protection équivalente à celle prévue par la Loi sur l’accès.
Les modifications aux ententes existantes doivent également être déposées à la Commission pour obtenir un avis. Dans ce cas, l’organisme communiquant des renseignements personnels doit préciser les changements apportés, les raisons qui motivent les modifications souhaitées ainsi que ce qu’il prévoit faire avec l’entente précédente et les renseignements personnels concernés.
Quels éléments la Commission considère-t-elle pour rendre un avis?
Pour rendre son avis, la Commission doit prendre en considération les éléments suivants :
- La conformité de l’entente selon les conditions exigées ci-dessus;
- Les conséquences de la communication des renseignements personnels sur la vie privée de la personne concernée par rapport à la nécessité des renseignements pour l’organisme public ou pour la personne qui en reçoit communication.
Inscription au registre
Un organisme public doit inscrire dans son registre de communications celles qu’il effectue dans le cadre d’ententes sujettes à avis de la Commission. Il doit y noter :
- La nature ou le type de renseignements communiqués;
- Le destinataire de la communication;
- La finalité de la communication;
- Le fait que les renseignements sont communiqués hors Québec, s’il y a lieu;
- La raison qui justifie la communication sans consentement.
Mise à jour : 3 mai 2023