Les organismes publics doivent parfois conclure une entente écrite qui encadre certains aspects d’une opération impliquant des renseignements. Ils doivent le faire :
- S’ils recueillent des renseignements personnels pour le compte d’un autre organisme public avec lequel ils collaborent (services communs, mission commune);
- S’ils communiquent des renseignements personnels sans le consentement des personnes concernées à des fins de recherche. Pour en savoir davantage sur ce processus, consultez la page Communication de renseignements personnels sans consentement à des fins de recherche.
Avant leur entrée en vigueur, ces ententes doivent être acheminées à la Commission.
Actuellement, la Loi sur l’accès prévoit aussi que la Commission doit donner un avis sur :
- Les ententes encadrant la communication de renseignements personnels sans consentement par un organisme public.
Ces ententes s’appliquent lorsque la communication est faite :
- À un autre organisme public (y compris un organisme d’un autre gouvernement) lorsque cela est nécessaire à ses attributions ou à la mise en œuvre d’un programme qu’il gère, ou lorsque cela est manifestement au bénéfice de la personne concernée;
- À une personne ou à un organisme public, si cela est nécessaire pour que l’organisme qui communique les renseignements puisse offrir un service à la personne concernée (par exemple pour l’identifier);
- À une personne ou à un organisme public, si des circonstances exceptionnelles le justifient;
- À une personne ou à un organisme, si cela est nécessaire à l’application d’une loi québécoise et si cette communication n’est pas prévue expressément par la loi. Sachez que ce type d’entente sera aboli dès le 22 septembre 2023.
À compter du 22 septembre 2023, les ententes écrites devront encore être transmises à la Commission. Cependant :
- Elles entreront en vigueur 30 jours après leur réception, sans nécessiter un avis formel de la Commission.
Avant la conclusion d’une entente, une évaluation des facteurs relatifs à la vie privée devra aussi être réalisée par l’organisme public.
En quoi consiste cette évaluation des facteurs relatifs à la vie privée ?
L’évaluation devra permettre de conclure que :
- L’objectif poursuivi peut être atteint seulement si les renseignements sont communiqués sous une forme permettant d’identifier les personnes concernées;
- Il est déraisonnable d’exiger que l’organisme obtienne le consentement de toutes les personnes concernées;
- L’intérêt public est supérieur aux répercussions sur la vie privée des personnes concernées;
- Les renseignements personnels seront utilisés d’une façon sécuritaire qui garantit leur confidentialité.
Que doivent contenir les ententes ?
Les ententes doivent indiquer :
- L’identification de l’organisme public qui communique le renseignement et de la personne ou de l’organisme qui le reçoit;
- Les fins pour lesquelles le renseignement est communiqué;
- Le mode de communication utilisé;
- La nature du renseignement communiqué;
- Les mesures de sécurité visant à assurer la protection du renseignement personnel;
- La périodicité de la communication;
- La durée de l’entente.
Sachez que même si la Loi ne précise pas le contenu de toutes les ententes transmises à la Commission, les éléments ci-dessus devraient servir de référence.
Comment déposer une entente auprès de la Commission ?
Pour obtenir un avis de la Commission, applicable dans certains cas jusqu’au 21 septembre 2023, l’organisme public doit déposer l’entente contenant les éléments présentés ci-dessus. Il doit ensuite soumettre un document explicatif dans lequel les deux organismes :
- Présentent le contexte de l’entente;
- Justifient la nécessité de communiquer chaque renseignement personnel contenu dans l’entente;
- Précisent le nombre de personnes potentiellement visées par la communication de renseignements personnels sans consentement;
- Justifient les raisons pour lesquelles il est impossible d’obtenir le consentement des personnes concernées pour la communication des renseignements personnels, ou les obstacles qui empêchent l’obtention du consentement;
- Mentionnent toute autre information pertinente en lien avec cette entente;
- Évaluent les conséquences de la communication des renseignements personnels sur la vie privée des personnes concernées.
Si l’entente prévoit une communication de renseignements personnels à l’extérieur du Québec, l’organisme public doit :
- Démontrer à la Commission qu’il a pris des mesures de protection équivalentes à celles prévues par la Loi sur l’accès.
Les modifications apportées aux ententes doivent également être déposées à la Commission pour l’obtention d’un avis.
L’organisme qui communique des renseignements personnels doit préciser :
- Les changements apportés;
- Les raisons qui motivent les modifications souhaitées;
- Ce qu’il prévoit faire avec l’entente précédente et les renseignements personnels concernés.
Quels éléments sont actuellement considérés par la Commission pour rendre un avis ?
Pour rendre son avis, la Commission prend en considération :
- La conformité de l’entente selon les conditions exigées ci-dessus;
- Les conséquences pouvant résulter de la communication des renseignements personnels sur la vie privée de la personne concernée. La Commission évalue également la nécessité d’obtenir ces renseignements pour l’organisme public ou la personne qui en reçoit la communication.
Inscription au registre
Quand l’organisme public communique des renseignements personnels dans le cadre d’ententes nécessitant un avis de la Commission, il doit l’inscrire dans son registre de communications.
Il doit y noter :
- La nature ou le type de renseignements communiqués;
- Le destinataire de la communication;
- La finalité de la communication;
- Le fait que les renseignements sont communiqués hors Québec, s’il y a lieu;
- La raison qui justifie la communication sans l’obtention du consentement.
Les organismes soumis au Règlement sur la diffusion de l’information et sur la protection des renseignements personnels doivent rendre ce registre accessible sur leur site Web, en y masquant les renseignements non accessibles. La Commission encourage toutefois tous les organismes à le faire, puisque la Loi prévoit explicitement que les personnes peuvent demander accès à ce registre.
À noter : les exceptions relatives au consentement doivent être interprétées de manière restrictive. Quand la situation le permet, la Commission vous invite à privilégier l’obtention du consentement plutôt que le recours à l’exception.
Mise à jour : 25 juillet 2023