Ministères et organismes publics

Utilisation et communication de renseignements personnels

En tout temps, vous devez limiter l'accès et la circulation des renseignements personnels. Seules les personnes autorisées et pour qui ces renseignements sont nécessaires à l'exercice de leurs fonctions peuvent y avoir accès. 

Cette restriction de l'accès aux renseignements personnels vise à minimiser les risques d'utilisation inadéquate et d'incident de confidentialité.

Votre vigilance quant à la restriction de l'accès aux renseignements personnels contribue à la préservation du droit fondamental à la vie privée.

En principe, vous pouvez utiliser des renseignements personnels uniquement pour les fins que vous avez déterminées avant la collecte et dont vous avez informé les personnes concernées. 

Cette limite vise à protéger la vie privée des citoyens. Votre vigilance quant au respect de la Loi contribue à la préservation de ce droit fondamental.

En règle générale, pour utiliser des renseignements personnels à de nouvelles fins :

• Vous devez d’abord évaluer la nécessité d'utiliser un renseignement personnel, pour ensuite obtenir le consentement de la personne concernée. En effet, le consentement d’une personne doit être spécifique à une seule utilisation;
  
  
• Vous ne pouvez pas utiliser un renseignement pour une autre fin que celle pour laquelle vous avez obtenu le consentement de la personne concernée. Si vous prévoyez le faire, vous devez solliciter de nouveau son consentement.

Des exceptions à cette obligation de consentement existent toutefois et sont détaillées sur cette page.

La Loi prévoit certaines exceptions pour la réutilisation d’un renseignement sans consentement, notamment lorsque :

• Les objectifs de son utilisation sont compatibles avec ceux pour lesquels il a été recueilli. Pour être compatibles, ces nouveaux objectifs doivent avoir un lien pertinent et direct avec les objectifs initiaux; 
  
  
• Son utilisation est manifestement au bénéfice de la personne concernée. Par exemple l'octroi d'une subvention ou d'une aide financière;
  
  
• Son utilisation est nécessaire à l’application d’une loi au Québec, que cette utilisation soit prévue expressément par la loi ou non. Par exemple, un organisme pourrait utiliser des renseignements personnels afin de verser une aide financière pour des procédures de recouvrement contre une personne ayant commis une fraude;
  
  
• Son utilisation est nécessaire à des fins d’étude, de recherche ou de production de statistiques au sein de votre organisme et qu’il est dépersonnalisé. Dans ce cas, vous devez prendre les mesures raisonnables pour minimiser les risques qu’une personne physique soit réidentifiée à partir de renseignements dépersonnalisés.

Sachez que les exceptions relatives au consentement doivent être interprétées de manière restrictive. Quand la situation le permet, la Commission vous invite à privilégier l’obtention du consentement plutôt que le recours à l’exception.

Les organismes publics peuvent rendre des décisions automatisées en utilisant des renseignements personnels, notamment grâce à l’intelligence artificielle, par exemple pour :

• Évaluer une demande de soutien financier;
  
  
• Attribuer une priorité à une demande.

Lorsque ces décisions sont fondées exclusivement sur un traitement automatisé, c’est-à-dire qu’aucune intervention humaine n’est impliquée, la Loi prévoit des obligations de transparence et un droit de révision pour les personnes concernées.

Informations à fournir

Un organisme public qui rend une décision entièrement automatisée doit en informer la personne concernée au plus tard au moment où il lui communique la décision. Si cette personne le demande, l’organisme doit également l’informer :

• Des renseignements personnels utilisés pour rendre la décision;
  
  
• Des raisons, ainsi que des principaux facteurs et paramètres, ayant mené à la décision;
  
  
• De son droit de faire rectifier les renseignements personnels utilisés pour rendre la décision.
  
  

Droit de présenter ses observations

Lorsqu’une décision entièrement automatisée est rendue, un organisme public doit donner à la personne concernée l’occasion de présenter ses observations à un membre du personnel de l’organisme en mesure de réviser la décision. Ce droit permet donc à la personne d’exiger une intervention humaine face à la situation.

En principe, vous pouvez communiquer des renseignements personnels uniquement pour atteindre des objectifs déterminés avant la collecte et suivant le consentement des personnes concernées. Vous devez également leur fournir le nom des personnes ou des organisations à qui il est nécessaire de communiquer ces renseignements.

En règle générale, pour communiquer des renseignements personnels en poursuivant d'autres objectifs que ceux pour lesquels vous aviez préalablement obtenu le consentement des personnes concernées, vous devez :

• Évaluer la nécessité de communiquer des renseignements personnels;
  
  
• Parvenir au constat que la communication de ces renseignements est nécessaire à l'accomplissement de nouveaux objectifs;
  
  
• Obtenir de nouveau le consentement des personnes concernées.

La Loi sur l'accès prévoit quelques exceptions à l'obligation d'obtenir le consentement des personnes concernées. Ces exceptions sont expliquées au bas de cette page. 

Tout organisme public a des obligations pour assurer la protection des renseignements personnels avant de :

• Communiquer un renseignement personnel à une entité située à l’extérieur du Québec, tant interprovinciale qu’internationale;
  
  
• Confier à une personne ou à un organisme à l’extérieur du Québec la tâche de recueillir, d’utiliser, de communiquer ou de conserver, pour votre compte, un tel renseignement.
  
  

Vous avez l'obligation :

1. D’informer les personnes concernées; 

2. De réaliser une évaluation des facteurs relatifs à la vie privée (EFVP).

• La communication peut être effectuée s’il est démontré que le renseignement bénéficierait d’une protection adéquate, notamment au regard des principes de protection des renseignements personnels généralement reconnus;
• La communication à l’extérieur du Québec doit toujours faire l’objet d’une entente écrite;
• Des sanctions sont prévues lorsque des renseignements personnels sont communiqués en contravention à la loi.

Certaines exceptions peuvent cependant s’appliquer, notamment dans le cas d’une communication en raison d’une situation d’urgence.

Sachez qu’un organisme demeure toujours responsable des renseignements personnels qui lui sont confiés.

Lorsque vous recevez une demande de communication de renseignements personnels sans consentement à des fins de recherche, d'étude ou de production de statistiques, vous devez :

• Réaliser une évaluation des facteurs relatifs à la vie privée (PDF, 1 108 Ko) et parvenir à certaines conclusions;
  
  
• Conclure une entente écrite avec le demandeur.

Sachez que votre organisme dispose d’un pouvoir discrétionnaire. Vous pouvez donc refuser de communiquer les renseignements personnels demandés, et ce, même sans évaluation préalable.

À noter : les exceptions relatives au consentement doivent être interprétées de manière restrictive. Quand la situation le permet, la Commission vous invite à privilégier l’obtention du consentement plutôt que le recours à l’exception.

Quand un chercheur souhaite recevoir des renseignements personnels détenus par votre organisme sans le consentement des personnes concernées, il doit d'abord vous consulter. Cette étape préalable lui permet de statuer sur l’existence et l’accessibilité des renseignements que vous détenez.

Une fois que la possibilité d’obtenir les renseignements demandés est confirmée, le chercheur doit vous adresser une demande écrite.

En plus de la liste complète de tous les renseignements personnels demandés, la demande du chercheur doit contenir :

• Une présentation détaillée des activités de recherche pour lesquelles les renseignements demandés seront utilisés;
  
  
• Les motifs justifiant le respect des différents critères de l’évaluation des facteurs relatifs à la vie privée (PDF, 1 108 Ko). Ces explications, fournies par le chercheur, faciliteront votre évaluation relative à la satisfaction des critères nécessaires à la communication des renseignements personnels à des fins de recherche, d’étude ou de statistiques;
  
  
• La liste de toutes les autres personnes ou organisations auxquelles le chercheur a aussi demandé l’accès à des renseignements pour la même recherche;
  
  
• Une description des technologies qui seront utilisées pour le traitement des renseignements personnels aux fins de la recherche;
  
  
• La décision documentée d’un comité d’éthique de recherche, le cas échéant.

En tant qu'organisme détenant des renseignements personnels, vous devez réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) en vous basant notamment sur les éléments fournis par le chercheur dans sa demande. En effet, ce dernier est bien placé, par exemple, pour décrire la façon dont les renseignements personnels seront utilisés après leur communication, en quoi ils sont nécessaires à la recherche et les mesures de sécurité applicables sur place. Sachez que la décision d’un comité d’éthique de la recherche ne peut pas remplacer votre EFVP. Toutefois, le contenu et les recommandations de ce comité peuvent être utiles lors de l’EFVP.

L'ampleur de cette EFVP doit être proportionnelle à la sensibilité des renseignements concernés, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support. Par exemple, les renseignements relatifs à la santé constituent des renseignements sensibles. Une demande visant une cohorte de milliers de personnes ou des renseignements échelonnés sur plusieurs années ainsi que la comparaison ou l’ajout de renseignements obtenus auprès d’autres organismes influencent aussi l’évaluation qui doit être réalisée.

Votre évaluation doit permettre de conclure que les cinq critères suivants sont satisfaits.

1. L’objectif poursuivi par la recherche peut être atteint seulement si les renseignements sont communiqués sous une forme permettant d’identifier les personnes concernées

Par exemple, s’il est possible de réaliser la recherche ou l’étude à l’aide de renseignements anonymisés ou de données synthétiques, la communication de renseignements personnels n’est pas autorisée.

Si la recherche peut être menée en utilisant des renseignements dépersonnalisés, seuls ces renseignements devraient être communiqués. Il importe de souligner que ces renseignements constituent tout de même des renseignements personnels confidentiels. Il appartient au chercheur de convaincre l’organisme de la nécessité d’utiliser des renseignements personnels, dépersonnalisés ou non. L’utilisation de renseignements non dépersonnalisés requiert une démonstration convaincante de l’impossibilité de réaliser la recherche sans les « identifiants directs ».

2. Il est déraisonnable d’exiger que le chercheur obtienne le consentement des personnes concernées en matière de protection des renseignements personnels et de leur droit au respect de la vie privée

Comme il s’agit d’une exception au principe du consentement, l’organisme doit pouvoir conclure qu’il est déraisonnable d’exiger le consentement de toutes les personnes dont les renseignements sont requis aux fins de la recherche. Cela pourrait être le cas notamment dans les situations suivantes (ces exemples ne sont pas limitatifs et, dans tous les cas, doivent être contextualisés par rapport à la recherche spécifique évaluée) :

• Il peut être déraisonnable d’obtenir le consentement de milliers de personnes dont les coordonnées ne sont pas à jour;
  
  
• La recherche pourrait viser les renseignements de personnes inaptes à consentir ou décédées;
  
  
• La recherche pourrait s’appuyer sur des renseignements dépersonnalisés détenus par une organime, rendant impossible pour le chercheur d’obtenir le consentement;
  
  
• Dans certains cas, la constitution d’un échantillon représentatif pourrait nécessiter de ne pas introduire un biais en utilisant seulement les données de personnes désireuses de consentir.
  
  

3. L’objectif poursuivi l’emporte, par rapport à l’intérêt public, sur les conséquences de la communication et de l’utilisation des renseignements personnels sur la vie privée des personnes concernées

Cette partie de l’évaluation vise à pondérer l’objectif poursuivi par la recherche en termes d’intérêt public et les conséquences de la communication et de l’utilisation des renseignements personnels sur la vie privée des personnes concernées.

Cette analyse doit d’abord identifier et décrire les différents éléments et les facteurs à considérer pour réaliser cette pondération.

L’organisme doit ensuite déterminer si l’objectif de la recherche au regard de l’intérêt public l’emporte sur les conséquences possibles sur la vie privée des personnes concernées.

Voici quelques exemples de questions pour évaluer la demande d’un chercheur :

• Quel est l’objectif de la recherche et en quoi est-elle d’intérêt public?
  
  
• Quels bénéfices pour la société sont attendus ?
  
  
• Quelles sont les différentes conséquences sur la vie privée des personnes concernées par la communication de renseignements?
  
  
• Ces conséquences peuvent-elles être minimisées dans le cadre de la recherche? Si oui, comment?
  
  
• Les renseignements personnels demandés sont-ils sensibles?
  
  
• Les renseignements seront-ils couplés ou comparés à d’autres?
  
  
• Si oui, quelles seront les conséquences de ce couplage ou de cette comparaison sur la vie privée des personnes concernées? Est-ce que ces pratiques auront un effet sur les risques de divulgation de renseignements personnels au sujet d’une ou plusieurs personnes?
  
  
• Qu’est-ce qui permet de croire que l’intérêt public l’emporte sur les conséquences de la communication et de l’utilisation des renseignements personnels sur la vie privée des personnes concernées?

Attention : l’évaluation de ce critère ne se limite pas à exposer l’objectif poursuivi par la recherche ni à énoncer simplement un effet général, comme le fait qu’elle permettra d’accroître les connaissances dans un domaine d’activité. Il faut préciser les bénéfices attendus de la recherche en lien avec l’intérêt public et les pondérer avec les conséquences sur la vie privée des individus dont les renseignements seront utilisés aux fins de la recherche.

4. Les renseignements personnels sont utilisés de manière à en assurer la confidentialité

Dans cette partie de l’analyse, il faut évaluer si l’utilisation projetée des renseignements et les différentes mesures de protection qui seront mises en place lors de leur communication par l’organisme et à toutes les étapes de la recherche permettent d’en assurer la confidentialité. Cette évaluation devrait notamment tenir compte de la sensibilité et de la quantité des renseignements personnels.

5. Seuls les renseignements nécessaires sont communiqués

L’évaluation doit permettre à l’organisme de s’assurer que seuls les renseignements nécessaires à la recherche seront communiqués au chercheur. Une attention particulière devrait être apportée aux « identifiants directs et indirects » (en lien avec le premier critère, par exemple : adresse, code postal complet, numéro d’assurance maladie, date de naissance ou âge) et aux renseignements particulièrement sensibles.

Un document écrit attestant de la démarche d’évaluation pour chacun des critères permet à l’organisme de démontrer qu’elle a respecté son obligation. Ce document doit permettre de comprendre la façon dont chacun des critères a été analysé et de savoir quels éléments ont été considérés par l’organisme. Il peut s’agir, par exemple, d’un tableau ou d’un rapport. La Commission s’attend à recevoir un tel document en même temps qu’une copie de l’entente. La Commission propose d’ailleurs un modèle générique de rapport (DOCX, 151 Ko) permettant de rendre compte des résultats d’une EFVP.

Durant l’évaluation, si des risques pour la protection de la vie privée des personnes concernées ont été ciblés, l’organisme et le chercheur peuvent convenir de mesures qui permettront de les éliminer ou de les minimiser. Cette étape fait d’ailleurs partie de la démarche générale d’évaluation des facteurs relatifs à la vie privée proposée par la Commission dans son guide d’accompagnement (PDF, 1 108 Ko). Ce guide prévoit, entre autres, des étapes permettant de repérer et d’évaluer les risques et les conséquences sur la vie privée et de mettre en place des stratégies pour éviter ces risques, les minimiser ou les éliminer.

Si l’évaluation permet de conclure au respect des cinq éléments mentionnés précédemment, l’organisme et le chercheur peuvent conclure une entente en vue de la communication et de l’utilisation des renseignements. En raison de son pouvoir discrétionnaire, l’organisme n’a toutefois pas l’obligation de poursuivre le processus, même si l’évaluation est favorable. Elle peut choisir de refuser la demande, à ce stade.

Avant de procéder à toute communication des renseignements demandés, vous devez conclure une entente écrite avec le chercheur et remplir le formulaire de dépôt (PDF, 280 Ko) proposé par la Commission. Le tout doit être acheminé à la Commission.

L’entente doit être signée par les deux parties et prévoir minimalement :

• Le nom et les coordonnées des parties à l’entente (le chercheur et l'organisme public);
  
  
• La liste complète des renseignements qui seront communiqués et sont visés par l’entente. Par exemple, référer à des catégories de renseignements contenus dans un entrepôt de données ne suffit pas. La liste détaillée des renseignements qui seront communiqués doit se retrouver en annexe à l’entente;
  
  
• Le détail des activités de recherche pour lesquelles les renseignements pourront être utilisés;
  
  
• La façon dont ces renseignements seront rendus accessibles au chercheur par l’organisme, de manière confidentielle et sécuritaire;
  
  
• La durée de l’entente;
  
  
• Le nom et les coordonnées du chercheur principal et du représentant de l’organisme à joindre pour tout élément relatif à cette entente;
  
  
• Les conditions selon lesquelles les renseignements sont rendus accessibles et pourront être utilisés, dont les suivantes :
  • Les renseignements doivent être accessibles uniquement aux personnes concernées dans l’exercice de leurs fonctions et ayant signé un engagement de confidentialité (DOCX, 55,2 Ko);
  • Les renseignements ne peuvent pas être utilisés à d'autres fins que celles prévues à la présentation détaillée des activités de recherche;
  • Les renseignements ne peuvent pas être appariés à tout autre fichier de renseignements, si cela n’est pas prévu dans la présentation détaillée des activités de recherche;
  • Les renseignements ne peuvent pas être communiqués, publiés ou autrement diffusés sous une forme permettant d’identifier les personnes concernées;
    
    
• L’information qui sera communiquée aux personnes dont les renseignements personnels seront utilisés dans le cas où la recherche requiert leur participation;
  
  
• Les mesures spécifiques qui devront être prises par le chercheur pour assurer la protection des renseignements personnels, entre autres celles ciblées au terme de l’évaluation des facteurs relatifs à la vie privée (par exemple l'endroit où seront conservés les renseignements durant toutes les étapes de la recherche, les mesures matérielles, humaines et techniques visant à assurer la sécurité et la confidentialité des renseignements, la liste des personnes qui auront accès à quels renseignements, etc.);
  
  
• Un délai de conservation des renseignements personnels par le chercheur;
  
  
• L’obligation pour le chercheur d’aviser l’organisme  de la destruction des renseignements une fois ce délai expiré;
  
  
• L’obligation pour le chercheur d’aviser l’organisme et la Commission :
  • En cas de non-respect des conditions de l’entente;
  • En cas de manquement aux mesures de protection prévues à l’entente;
  • De tout événement pouvant porter atteinte à la confidentialité des renseignements personnels.

Les parties doivent transmettre l’entente signée à la Commission, accompagnée du rapport d’évaluation des facteurs relatifs à la vie privée contenant l’analyse réalisée.

L’entente entre en vigueur 30 jours après sa réception par la Commission. Par conséquent, aucune communication de renseignements ne peut être faite avant ce délai. La Commission peut joindre les parties durant ce délai et après l’écoulement de celui-ci, si elle le juge nécessaire. Au besoin, elle peut suspendre l’entente ou exercer ses autres pouvoirs de surveillance prévus par la Loi.

Les modifications à l’entente doivent suivre le même processus que pour une nouvelle entente. Certaines modifications peuvent nécessiter de revoir l’évaluation des facteurs relatifs à la vie privée.

Les organismes publics doivent parfois conclure une entente écrite qui encadre certains aspects d’une opération impliquant des renseignements. Ils doivent le faire notamment s’ils communiquent des renseignements personnels sans le consentement des personnes concernées à des fins de recherche.

Les organismes doivent aussi encadrer d'autres activités par des ententes formelles lorsqu'ils :

• Recueillent des renseignements personnels pour le compte d’un autre organisme public avec lequel ils collaborent (services communs, mission commune);
  
  
• Communiquent des renseignements personnels sans consentement :
  • À un autre organisme public (y compris un organisme d’un autre gouvernement) lorsque cela est nécessaire à ses attributions ou à la mise en œuvre d’un programme qu’il gère;
  • À un autre organisme public (y compris un organisme d’un autre gouvernement) lorsque cela est manifestement au bénéfice de la personne concernée;
  • À une personne ou à un organisme public, si cela est nécessaire pour que l’organisme qui communique les renseignements puisse offrir un service à la personne concernée (par exemple pour l’identifier);
  • À une personne ou à un organisme public, si des circonstances exceptionnelles le justifient.

Avant la conclusion d’une telle entente, une évaluation des facteurs relatifs à la vie privée doit être réalisée.

Les ententes ne nécessitent pas d’avis formel de la part de la Commission, mais doivent lui être transmises dans les meilleurs délais. Elles entrent en vigueur 30 jours après leur réception par la Commission.  

Les communications effectuées sans le consentement des personnes concernées dans ces situations doivent être inscrites dans un registre.

Une évaluation des facteurs relatifs à la vie privée doit être réalisée avant la conclusion d'une entente.

Dans le cas d'une collecte de renseignements personnels pour le compte d’un autre organisme public (services communs, mission commune), la Loi ne prévoit pas de critères spécifiques que cette évaluation doit vérifier. 

Toutefois, dans le cas des autres ententes de communication, l’évaluation devra permettre de conclure que :

• L’objectif poursuivi peut être atteint seulement si les renseignements sont communiqués sous une forme permettant d’identifier les personnes concernées;
  
  
• Il est déraisonnable d’exiger que l’organisme obtienne le consentement de toutes les personnes concernées;
  
  
• L’intérêt public est supérieur aux répercussions sur la vie privée des personnes concernées;
  
  
• Les renseignements personnels seront utilisés d’une façon sécuritaire qui garantit leur confidentialité.

Pour en savoir plus, consultez la section relative aux évaluations des facteurs relatifs à la vie privée.

Les ententes doivent être signées par les deux parties et doivent comprendre :

1. L’identification de l’organisme public qui communique ou collecte le renseignement et de la personne ou de l’organisme qui le reçoit;
   
   
2. Les fins pour lesquelles le renseignement est recueilli ou communiqué;
   
   
3. Le mode de communication utilisé ou le moyen par lequel le renseignement est recueilli;
   
   
4. La nature du renseignement recueilli ou communiqué;
   
   
5. Les mesures de sécurité visant à assurer la protection du renseignement personnel;
   
   
6. La périodicité de la collecte ou de la communication;
   
   
7. La durée de l’entente.

Avant de procéder à toute communication ou collecte dans le cadre de l'entente, vous devez la transmettre à la Commission, accompagnée du formulaire de dépôt d'une entente (PDF, 1 278 Ko). Le formulaire prévoit que vous joigniez :

• Une lettre ou un document expliquant le contexte dans lequel l'entente est conclue;
  
  
• La liste des renseignements personnels visés par l'entente, si celle-ci n'y est pas déjà incluse;
  
  
• Un rapport d'évaluation des facteurs relatifs à la vie privée, si votre entente n'y fait pas explicitement référence.

Notez qu'il est important de bien documenter vos démarches, notamment les éléments qui vous ont permis d'arriver à une conclusion positive à la suite de votre évaluation des facteurs relatifs à la vie privée. Lorsque cette évaluation doit conclure au respect de critères précis, vous devez expliquer comment votre analyse permet de conclure qu'ils sont respectés. 

L’entente entre en vigueur 30 jours après sa réception par la Commission. Par conséquent, aucune communication de renseignements ne peut être faite avant ce délai. La Commission peut joindre les parties durant ce délai et après l’écoulement de celui-ci, si elle le juge nécessaire. Au besoin, elle peut suspendre l’entente ou exercer ses autres pouvoirs de surveillance prévus par la Loi.

Les modifications à l’entente doivent suivre le même processus que celui d'une nouvelle entente. Certaines modifications peuvent nécessiter de revoir l’évaluation des facteurs relatifs à la vie privée.

Lorsque l’organisme public communique des renseignements personnels dans le cadre d’une entente, il doit l’inscrire dans son registre de communications.

Il doit y noter :

• La nature ou le type de renseignements communiqués;
  
  
• Le destinataire de la communication;
  
  
• La finalité de la communication;
  
  
• Le fait que les renseignements sont communiqués hors Québec, le cas échéant;
  
  
• La raison qui justifie la communication sans l’obtention du consentement.

Les organismes soumis au Règlement sur la diffusion de l’information et sur la protection des renseignements personnels doivent rendre ce registre accessible sur leur site Web, en y masquant les renseignements non accessibles. La Commission encourage toutefois tous les organismes à le faire, puisque la Loi prévoit explicitement que les personnes peuvent demander accès à ce registre.

À noter : les exceptions relatives au consentement doivent être interprétées de manière restrictive. Quand la situation le permet, la Commission vous invite à privilégier l’obtention du consentement plutôt que le recours à l’exception.

En principe, comme représentant d’un organisme public, vous devez préalablement obtenir le consentement des personnes pour communiquer leurs renseignements personnels. Leur confidentialité découle du droit à la vie privée des citoyens. Votre vigilance quant au respect de la Loi sur l’accès contribue à la préservation de ce droit fondamental.

Des exceptions sont cependant prévues, notamment pour une situation d’urgence mettant la vie, la santé ou la sécurité d’une personne en danger, et plus particulièrement pour prévenir un acte de violence présentant un risque sérieux de mort ou de blessures graves.

Situations mettant la vie, la santé ou la sécurité d’une personne en danger

Quand la santé ou la sécurité d’une personne est menacée par une situation urgente et dangereuse, vous pouvez :

• Communiquer les renseignements personnels de cette personne sans son consentement à toute personne à qui cette communication doit être faite;
  • Le caractère urgent et dangereux de la situation doit cependant être établi pour que vous puissiez communiquer les renseignements sans consentement.
    
    

Prévention d’un acte de violence présentant un risque sérieux de mort ou de blessures graves

Dans le but de prévenir un acte de violence, dont un suicide, vous pouvez :

• Communiquer des renseignements personnels sans le consentement des personnes concernées;
  • Cette communication doit se limiter aux personnes exposées à ce danger, à leur représentant et à toute personne susceptible de leur porter secours, par exemple un policier, un centre de prévention du suicide, un intervenant d’un CLSC, la DPJ, un professionnel de la santé, etc.
    
    

Vous devez cependant avoir un motif raisonnable de croire qu’un risque sérieux de mort ou de blessures graves menace une personne ou un groupe de personnes identifiable. Une « blessure grave » peut être physique ou mentale : elle nuit d’une manière importante à l’intégrité physique, à la santé ou au bien-être.

Sachez que :

• De simples soupçons ou une crainte de votre part ne sont pas suffisants : une autre personne raisonnable qui jugerait de la même situation devrait, elle aussi, conclure au risque sérieux de mort ou de blessures graves;
  
  
• La nature de la menace doit inspirer un sentiment d’urgence, notamment en raison de faits liés à sa gravité, à son sérieux et à son évidence.
  
  

Si ces conditions sont réunies, vous pouvez communiquer les renseignements personnels nécessaires à la prévention de l’acte de violence aux personnes exposées à ce danger, à leur représentant et à toute personne susceptible de leur porter secours.

Un organisme public doit :

• Établir une directive précisant les conditions et les modalités que son personnel doit appliquer en matière de communication de renseignements personnels, dans ces circonstances exceptionnelles.
  
  

Inscrire la communication de renseignements

Dans une situation comportant un risque important pour la santé ou la sécurité des personnes, vous devez :

• Inscrire la communication dans le registre prévu à cet effet.
  
  

Sachez que les exceptions relatives au consentement doivent être interprétées de manière restrictive. Quand la situation le permet, la Commission vous invite à privilégier l’obtention du consentement plutôt que le recours à l’exception.

En principe, les organismes publics doivent obtenir le consentement des personnes pour communiquer leurs renseignements personnels. Leur confidentialité découle du droit à la vie privée des citoyens. Votre vigilance quant au respect de la Loi sur l’accès contribue à la préservation de ce droit fondamental.

Ces lois prévoient cependant des exceptions, entre autres pour l’exécution d’un mandat ou d’un contrat de service ou d’entreprise.

Dans la mesure où la communication de renseignements personnels est nécessaire à l’exercice d’un mandat ou à l’exécution d’un contrat de service ou d’entreprise que vous avez conclu :

• Vous pouvez communiquer ces renseignements sans le consentement des personnes concernées.
  
  

Ce mandat ou ce contrat doit être confié par écrit et comprendre les mesures devant être prises par le mandataire ou le contractant pour :

• Pour assurer le caractère confidentiel des renseignements;
  
  
• Pour que ces renseignements soient seulement utilisés dans le cadre de son mandat ou de l’exécution de son contrat;
  
  
• Pour que ces renseignements ne soient pas conservés après l’expiration du mandat ou du contrat.
  
  

L'entente écrite doit aussi préciser les dispositions de la Loi sur l’accès qui s’appliquent aux renseignements communiqués.

À moins que le responsable de la protection des renseignements personnels de l’organisme estime que cela n’est pas nécessaire :

• Le mandat ou le contrat doit être accompagné d’un engagement de confidentialité rempli par toute personne à qui les renseignements peuvent être communiqués.
  
  

En cas de manquement à une obligation concernant la confidentialité, le responsable de la protection des renseignements personnels devra être avisé sans délai, et ce dernier devra pouvoir procéder aux vérifications relatives à la confidentialité.

Sachez que les exceptions relatives au consentement doivent être interprétées de manière restrictive. Quand la situation le permet, la Commission vous invite à privilégier l’obtention du consentement plutôt que le recours à l’exception.

Un organisme public peut aviser toute personne ou tout organisme susceptible de diminuer le risque de préjudice sérieux à la suite d'un incident de confidentialité. Seuls les renseignements personnels nécessaires peuvent alors être communiqués sans le consentement de la personne concernée. Le responsable de la protection des renseignements personnels doit enregistrer cette communication.

Vous pouvez communiquer un renseignement personnel sans consentement :

• Au procureur de votre organisme si le renseignement est nécessaire aux fins d’une poursuite pour infraction à une loi que votre organisme est chargé d’appliquer;
  
  
• Au directeur des poursuites criminelles et pénales si le renseignement est nécessaire aux fins d’une poursuite pour infraction à une loi applicable au Québec;
  
  
• Au procureur de votre organisme (y compris le procureur général, s’il s’agit de lui) si le renseignement est nécessaire aux fins d’une autre procédure judiciaire que celles mentionnées ci-dessus;
  
  
• À une personne ou à un organisme qui, en vertu de la loi, est chargé de prévenir, de détecter ou de réprimer le crime ou les infractions aux lois, si le renseignement est nécessaire aux fins d’une poursuite pour infraction à une loi applicable au Québec;
  
  
• À un autre corps de police si votre organisme est lui-même un corps de police;
  
  
• À une personne impliquée dans un événement ayant fait l’objet d’un rapport par un corps de police ou par une personne ou un organisme agissant en application d’une loi qui exige un rapport de même nature s'il s’agit d’un renseignement sur l’identité de toute autre personne impliquée dans ce même événement (sauf s’il s’agit d’un témoin, d’un dénonciateur ou d’une personne dont la santé ou la sécurité serait susceptible d’être mise en péril par la communication d’un tel renseignement).

Vous pouvez aussi communiquer un renseignement personnel sans consentement à toute personne ou à tout organisme si cette communication est nécessaire à l'application :

• D'une loi au Québec, que cette communication soit prévue expressément par la loi ou non;
  
  
• D'un document établissant des conditions de travail (convention collective, décret, arrêté, directive, règlement, etc.).

Sans le consentement de la personne concernée, vous pouvez :

• Communiquer un renseignement concernant l’identité d’une personne pour recueillir des renseignements personnels déjà colligés par une personne ou une entreprise.

Autrement dit, si vous êtes en mesure d’identifier une personne, vous pouvez demander des informations la concernant à une entreprise. Par exemple, vous pouvez communiquer l’identité d’une personne à un agent de renseignements personnels pour obtenir des renseignements à son sujet dans une démarche de recouvrement de sommes impayées.

Dans ce type de situations, vous devez préalablement en informer la Commission.

À noter : les exceptions relatives au consentement doivent être interprétées de manière restrictive. Quand la situation le permet, la Commission vous invite à privilégier l’obtention du consentement plutôt que le recours à l’exception.