Exercice privé

Ce que doit savoir tout praticien au sujet de la loi sur la protection des renseignements personnels

Pour de plus amples renseignements, consultez le site de Santé Canada sur la protection des renseignements personnels.

par Richard Steinecke

Au cours des dernières années, la loi sur la protection de la vie privée a suscité beaucoup de confusion. À qui s'adresse-t-elle? Quand entrera-t-elle véritablement en vigueur? Quelle sera son incidence? Les praticiens occupés ont besoin de savoir en quoi cette loi les touche. Bien qu'il demeure un certain degré d'incertitude, les grandes lignes de ce qui se dessine deviennent de plus en plus claires.

Quand la loi sur la protection de la vie privée entrera-t-elle en vigueur?

Pour la plupart des praticiens, la Loi sur la protection des renseignements personnels et les documents électroniques entrera en vigueur le 1er janvier 2004. L'Ontario a fait circuler une ébauche de sa Privacy of Personal Information Act, mais il est peu probable qu'elle soit adoptée avant janvier. Les praticiens visés par la loi fédérale doivent avoir mis en place les politiques et les mesures nécessaires d'ici là.

Qui est assujetti à la loi sur la protection de la vie privée?

La loi sur la protection de la vie privée vise l'ensemble du secteur privé. À quelques exceptions près, cette loi s'applique à toutes les personnes qui mènent des " activités commerciales ", ce qui comprend la plupart des praticiens. Même dans les cas où le gouvernement assume les coûts des biens ou des services, la loi s'applique. Seuls les praticiens à l'emploi d'un organisme gouvernemental ou à but non lucratif qui ne vend pas de biens ni de services ne sont pas assujettis à cette loi.

La loi sur la protection de la vie privée régit la collecte, l'utilisation et la divulgation de renseignements personnels. Par " renseignements personnels ", cette mesure législative entend toute information signalétique qui porte sur des traits personnels (p. ex. : sexe, âge, couleur, origine ethnique, scolarité, état matrimonial), sur la santé (p. ex. : historique de santé, état de santé, services de santé reçus) ou sur les activités et les points de vue (p. ex. : relations avec le praticien, opinions exprimées par une personne, religion, engagement politique, point de vue ou évaluation du praticien). Les renseignements personnels s'opposent aux renseignements d'affaires (p. ex. : adresse et numéro de téléphone professionnels d'une personne), qui ne sont pas visés par la loi sur la protection de la vie privée.

Que faut-il faire?

Chaque organisation doit désigner un agent d'information ainsi qu'élaborer et publier sa politique sur la protection de la vie privée. Cet agent doit être un cadre supérieur de l'organisation. Il peut s'agir d'une personne externe embauchée par l'organisation pour assumer cette tâche, mais cette possibilité peut compliquer les choses puisqu'il pourrait être difficile d'élaborer une politique qui corresponde véritablement au bureau ou à la pratique.

Il incombe à l'agent d'information de veiller à ce que l'organisation respecte ses obligations en matière de protection de la vie privée. La politique en la matière doit couvrir les points suivants :

passer en revue les politiques et les pratiques de l'organisation en ce qui concerne la collecte, l'utilisation et la divulgation de renseignements personnels (y compris effectuer une évaluation des pratiques actuelles de gestion des renseignements personnels);

• mettre en œuvre des mesures pour protéger les renseignements personnels;
• veiller à ce que les personnes aient le droit d'avoir accès aux renseignements que l'organisation possède à leur sujet et de les corriger;
• mettre en œuvre une politique sur la conservation et la destruction d'information;
  offrir une formation au personnel de l'organisation;
• agir comme personne-ressource pour répondre aux questions du public ou des clients;
• veiller à ce qu'il y ait une démarche en place pour traiter les plaintes formulées au sujet des pratiques de traitement de l'information de l'organisation.

Les praticiens doivent aussi s'assurer que leur organisation a une politique de protection de la vie privée qui traite de tous ces points. Le public doit pouvoir avoir accès à cette politique, ce qui peut être fait en l'affichant dans le site Web de l'organisation ou dans l'aire de réception. Autrement, il est possible d'en remettre un exemplaire aux nouveaux clients lors de leur première visite et à quiconque en fait la demande. Cette politique doit être rédigée dans un langage compréhensible.

La politique sur la protection de la vie privée s'applique à l'ensemble de l'organisation. Il arrive souvent que l'identité de l'organisation soit évidente parce que le praticien à son compte, le partenariat ou la société est bien défini. Cependant, dans les cas où un groupe de personnes ou d'entités forment une affiliation libre, il peut y avoir plus d'une façon de définir l'organisation. Ainsi, les praticiens et leurs associés doivent décider comment se définira leur organisation. Par exemple, chaque praticien peut avoir sa propre politique de protection de la vie privée. Les praticiens qui collaborent avec d'autres peuvent aussi décider de se joindre à eux pour former une organisation plus vaste ayant une politique pour tout le groupe. Il faut seulement voir ce qui est le plus pratique pour chacun. Tous les membres d'une organisation doivent accepter d'être contrôlés par l'agent d'information. De plus, les organisations auront besoin d'une permission spéciale pour divulguer des renseignements personnels à une tierce partie.

Quelles sont les restrictions sur la collecte, l'utilisation et la divulgation de renseignements personnels?

En règle générale, les praticiens doivent obtenir un consentement éclairé avant de recueillir, d'utiliser et de divulguer des renseignements personnels. Ce consentement est distinct de celui donné pour recevoir des services. Il est possible d'obtenir ce consentement par écrit, à l'oral ou de manière tacite. D'habitude, dans les cas où un praticien recueille de l'information directement d'un client aux seules fins de lui offrir des services, le consentement est implicite. Toutefois, toute dérogation à cette démarche simple entraîne de nouvelles obligations visant l'obtention du consentement éclairé. D'ordinaire, cette démarche simple n'est pas suffisante.

Les domaines qui peuvent nécessiter des changements comprennent les cas où :

• le praticien recueille des renseignements concernant d'autres personnes (p. ex. : un membre de la famille du client)
• le praticien recueille des renseignements concernant un client auprès d'autres personnes (p. ex. : un ancien praticien qui a suivi le client, un membre de la famille du client ou des relations d'affaires du client)
• le praticien recueille des renseignements à partager avec d'autres qui conseillent ou prodiguent des services au client (p. ex. : approche interdisciplinaire)
• le praticien entretiendra vraisemblablement une relation continue avec le client et l'information servira à lui offrir des services continus, surtout si cette situation n'est pas évidente pour le client (p. ex. : recueillir des renseignements de base sur la santé du client, sa famille ou sa situation financière pour s'assurer que quelqu'un pourra offrir des services généraux le moment venu)
• des tierces parties ont accès à l'information (p. ex. : pour des raisons juridiques ou financières ou à des fins de facturation)
• le praticien utilisera l'information à des fins connexes (p. ex. : pour facturer le client ou un tiers le moment venu)
• le praticien peut vendre son exercice ou son entreprise et devra fournir aux acheteurs potentiels l'accès aux renseignements sur les clients pour qu'ils puissent effectuer un contrôle préalable.

Peu importe les circonstances, le praticien doit au moins expliquer les raisons pour lesquelles il recueille des renseignements et doit obtenir une forme de consentement. Il peut s'agir simplement d'avoir une brève discussion avec le client. Le praticien peut aussi donner au client une version écrite des pratiques habituelles de traitement de l'information et s'assurer que la personne les comprend. Autrement, le praticien peut demander le consentement écrit du client lors de sa première consultation. Bien que le Commissaire à l'information et à la protection de la vie privée se méfie des consentements généraux, il se peut que, pour un exercice privé, cette solution soit appropriée et suffisante.

Il y a une foule d'exceptions qui permettent à un praticien de recueillir des renseignements sans consentement. Les plus courantes comprennent les cas où il y a enquête sur une infraction à la loi ou une rupture de contrat. L'obtention du consentement dans ces cas pourrait compromettre l'enquête (p. ex. : fraude commise par un client, aide offerte à un client pour traiter avec un tiers). Certaines situations d'urgence (p. ex. : urgence médicale) peuvent aussi justifier la collecte, l'utilisation et la diffusion de renseignements sans consentement.

Les praticiens sont aussi tenus de recueillir strictement les renseignements nécessaires aux fins visées. Par exemple, il n'est généralement pas nécessaire de recueillir le numéro d'assurance sociale d'un client. Il n'est pas indiqué non plus de toujours recueillir l'adresse du domicile (à moins que le client ne demande d'y envoyer quelque chose). Les praticiens n'ont pas besoin non plus de recueillir des renseignements financiers sur leur client qui acquitte tous les frais sur-le-champ.

Quelles mesures de protection des renseignements sont nécessaires?

La plupart des praticiens déploient déjà des efforts pour protéger la vie privée de leur clientèle. Toutefois, avant d'établir une politique par écrit, les praticiens devraient en profiter pour passer en revue leurs pratiques. Par exemple, est-il possible de voir des dossiers confidentiels ou l'écran d'un ordinateur en entrant dans le cabinet ou en s'y promenant? Les feuilles qui contiennent des renseignements personnels sont-elles toutes passées à la déchiqueteuse avant d'être mises au recyclage? Le Commissaire à l'information et à la protection de la vie privée désapprouve fortement l'envoi de renseignements personnels par la poste ou le courriel.

Quels sont les droits d'accès et de correction?

La loi sur la protection de la vie privée a comme principe fondamental de garantir à toute personne le droit de consulter les renseignements personnels qu'un praticien détient à son sujet. En fait, les praticiens sont tenus d'aider les particuliers à faire de telles demandes (p. ex. : expliquer le fonctionnement du système de classement pour que la personne sache quels renseignements demander) et à comprendre l'information (p. ex. : expliquer les abréviations et les termes techniques). Il y a très peu d'exceptions où l'accès peut être limité (p. ex. : si la divulgation révèlera des renseignements personnels concernant une autre personne ou des secrets commerciaux). Les praticiens devront aviser les personnes dont les renseignements personnels auront été divulgués.

Si une personne est d'avis que ses renseignements personnels sont faux, elle peut demander d'apporter une correction. L'organisation doit corriger cette information si elle convient qu'elle est fausse et doit transmettre la correction à toutes les tierces parties qui auraient reçu les renseignements erronés. S'il y a désaccord entre le client et l'organisation sur une erreur, l'organisation doit en prendre note et aviser toutes les tierces parties qui ont reçu l'information contestée. Tout désaccord concernant une correction peut être soumis au Commissaire à l'information et à la protection de la vie privée, qui pourra examiner la situation.

À quoi doit ressembler un mécanisme interne de traitement des plaintes?

Les organisations doivent avoir un mécanisme interne de traitement des plaintes visant leur exercice privé. Ce mécanisme doit comprendre :

• une personne désignée de l'organisation (peut-être un agent d'information) pour recevoir toutes les plaintes et s'assurer qu'une enquête est menée promptement et que les mesures nécessaires sont prises
• une procédure de traitement des plaintes simple et facile d'accès qui comprend au moins :
  - un accusé de réception de la plainte
  - une enquête
  - une décision justifiée
• une démarche pour que l'organisation réponde de manière appropriée aux plaintes justifiées, y compris la mise en place des changements nécessaires à sa politique de protection de la vie privée
• un avis public expliquant les recours externes, y compris l'organisme de réglementation du praticien ainsi que le Commissaire fédéral à l'information et à la protection de la vie privée.

Qui veille au respect de la loi sur la protection de la vie privée?

Les praticiens sont tenus responsables devant le Commissaire fédéral à l'information et à la protection de la vie privée et, dans une moindre mesure, devant leur propre organisme de réglementation.

Le Commissaire fédéral surveille le respect de la loi sur la protection de la vie privée et agit comme ombudsman. Les responsabilités suivantes lui incombent :

• faire enquête sur les plaintes concernant les méthodes de traitement des renseignements personnels détenus par une organisation, ce qui comprend entrer sur les lieux d'une organisation ainsi que citer des documents et des témoins
• agir comme médiateur et conciliateur pour ces plaintes
• évaluer les pratiques de traitement des renseignements personnels détenus par une organisation
• communiquer publiquement les piètres pratiques de traitement des renseignements personnels d'une organisation
• présenter un recours à la Cour fédérale du Canada pour toute infraction à la loi sur la protection de la vie privée.

Une fois que le Commissaire a soumis un rapport, le plaignant ou le Commissaire peut présenter un recours à la Cour fédérale du Canada afin d'obtenir :

• une ordonnance pour que l'organisation corrige ses pratiques de traitement des renseignements personnels
• une ordonnance pour que l'organisation publie un avis de correction des erreurs, ou
• des dommages-intérêts pour toute humiliation subie par le plaignant.

Tout indique que le Commissaire à l'information et à la protection a une attitude qui tend à informer plus qu'à punir. Toutefois, il vaut mieux éviter de recevoir une plainte que d'avoir à en traiter une.

Les autorités de réglementation professionnelle pourraient aussi tenir le praticien responsable de ses pratiques de protection de la vie privée. Si la conduite du praticien contrevient aux valeurs professionnelles de base, les autorités auront une raison supplémentaire de prendre des mesures réglementaires. Même dans les cas où il n'y a pas infraction des valeurs professionnelles de base, chaque praticien est généralement obligé de se conformer à la loi, notamment celles qui visent à protéger le public ou à démontrer que le praticien possède les compétences de sa profession. Bon nombre de violations de la loi sur la protection de la vie privée justifient des mesures réglementaires.

Par où faut-il commencer?

Le respect de la loi sur la protection de la vie privée semble nécessiter beaucoup de travail. L'important pour les praticiens consiste toutefois à élaborer une politique de protection de la vie privée. Une telle politique offre une démarche pour que les praticiens passent en revue et révisent les pratiques de leur organisation et obtiennent le consentement de leur client à l'avenir. Avec quelques modifications aux pratiques actuelles et avec l'obtention du consentement des clients, la plupart des praticiens seront prêts à entrer dans la nouvelle ère de protection de la vie privée.