Avis de mise en œuvre de la protection des renseignements personnels 2020-01 : Collecte et communication des renseignements personnels des employés liés à la pandémie du nouveau coronavirus (COVID-19)
1. Date d’entrée en vigueur
Le présent Avis de mise en œuvre entre en vigueur le 13 mars 2020.
2. Autorisations
Le présent Avis de mise en œuvre est adopté en vertu de l’alinéa 71(1)d) de la Loi sur la protection des renseignements personnels.
3. But
Le présent Avis a pour but de fournir des directives aux fonctionnaires responsables de la protection des renseignements personnels pour les aider à donner des conseils à leur institution au sujet de la collecte et de la communication de renseignements personnels des employés liés à la pandémie du nouveau coronavirus (COVID-19).
3. Contexte
Le 11 mars 2020, l’Organisation mondiale de la santé a confirmé que la COVID-19 était une pandémie contrôlable. Le gouvernement du Canada a mis en œuvre des mesures exceptionnelles pour freiner la pandémie de la COVID-19 et protéger la santé et la sécurité des employés fédéraux. Les institutions fédérales peuvent participer à la collecte de renseignements auprès de leurs employés en ce qui concerne la gestion de la pandémie de la COVID-19.
7. Lignes directrices
Les questions et réponses à l’annexe A ont pour but de guider les fonctionnaires responsables de la protection des renseignements personnels pour donner des conseils uniformes en ce qui concerne les questions qui sont soulevées dans leur institution.
6. Application
Le présent Avis de mise en œuvre s’applique aux institutions fédérales visées à l’article 3 de la Loi sur la protection des renseignements personnels, y compris toute société d’État mère ou filiale en propriété exclusive de ces sociétés.
7. Références
Dispositions législatives
Instruments de politique connexes du Conseil du Trésor
8. Demandes de renseignements
Les membres du public peuvent communiquer avec les Demandes de renseignements du public du Secrétariat du Conseil du Trésor du Canada pour obtenir des renseignements concernant le présent Avis de mise en œuvre.
Les employés des institutions fédérales peuvent communiquer avec leur coordonnateur de l’accès à l’information et de la protection des renseignements personnels (AIPRP) pour obtenir des renseignements concernant le présent Avis de mise en œuvre.
Les coordonnateurs de l’AIPRP peuvent communiquer avec la Division des politiques de l’information et de la protection des renseignements personnels du Secrétariat du Conseil du Trésor du Canada pour obtenir des renseignements sur le présent Avis de mise en œuvre.
Annexe A
Questions et réponse : Collecte et communication des renseignements personnels des employés liés à la pandémie de la nouvelle COVID‑19
1. Une institution a-t-elle le pouvoir de recueillir des renseignements personnels concernant l’exposition ou l’infection à la COVID-19 auprès d’employés pendant la pandémie de la COVID-19?
Oui. Les institutions ont le pouvoir légal de recueillir des renseignements personnels liés à la COVID-19 afin de remplir leurs responsabilités relativement à la santé et à la sécurité dans les lieux de travail en vertu du Code canadien du travail. Cela comprend la collecte de l’identité des employés qui ont été exposés à la COVID-19 (cas présumés ou confirmés), qui ont subi un test pour la COVID-19, qui ont obtenu un résultat positif de la COVID-19 ou qui présentent des symptômes de la COVID‑19.
Les institutions ont le pouvoir de recueillir des renseignements personnels en vertu de l’alinéa 7(1)e) et du paragraphe 11.1 de la Loi sur la gestion des finances publiques aux fins de la gestion des ressources humaines. Cela peut comprendre, par exemple, la collecte de renseignements pour déterminer si un employé qui doit être présent physiquement sur un lieu de travail doit s’auto-isoler en raison de l’exposition ou de l’infection afin d’appliquer le congé approprié.
Les conditions concernant la communication de l’identité de ces personnes sont indiquées ci-dessous.
2. Quels renseignements personnels peuvent être recueillis en ce qui concerne les activités liées à la santé et à la sécurité au travail?
La détermination de la question de savoir si un renseignement personnel concerne la santé et la sécurité des individus dans le lieu de travail nécessite l’examen des droits et obligations en vertu de la partie II du Code canadien du travail et des renseignements médicaux et factuels concernant la COVID et la pandémie de façon plus générale. L’Agence de la santé publique du Canada fournit les plus récents renseignements et conseils concernant la COVID-19 à partir de son site Web. Vos conseillers juridiques pourront vous conseiller sur des situations précises.
La collecte des renseignements personnels est décrite dans le Fichier de renseignements personnels sur la santé et sécurité au travail et inclus la collecte du nom d’un individu et de ses renseignements médicaux limités, comme le fait que cet individu a subi un test ou obtenu un résultat positif de la COVID-19 (voir Fichier de renseignements personnels ordinaire POE 907).
3. La Loi sur la protection des renseignements personnels confère-t-il le pouvoir de recueillir des renseignements au sujet du diagnostic de la COVID-19 d’une personne identifiable pour informer d’autres individus dans le lieu de travail qui peuvent avoir été en contact avec l’employé malade?
Tout dépend des circonstances. La collecte de renseignements personnels liés au diagnostic d’un individu pour informer d’autres individus dans le lieu de travail qui peuvent avoir été en contact avec un employé malade est requise par le programme de santé et sécurité au travail afin de protéger la santé et la sécurité des autres employés lorsqu’il y a une possibilité d’exposition dans le lieu de travail.
Lorsqu’il n’y a pas de possibilité d’exposition dans le lieu de travail, le pouvoir de recueillir les renseignements uniquement dans le but d’informer d’autres personnes n’existe alors pas. Par exemple, si une personne reçoit un diagnostic de la COVID-19, mais est en congé de maternité et à l’extérieur du bureau depuis six mois, il n’existe pas de pouvoir de collecte puisque le diagnostic de cette personne n’a aucune incidence sur la santé et la sécurité des autres employés. L’Agence de la santé publique du Canada fournit les plus récents renseignements et conseils concernant la COVID-19 à partir de son site Web.
D’autres aspects du programme de santé et sécurité au travail peuvent nécessiter la collecte de renseignements personnels liés au diagnostic d’un individu. Par exemple, la présence d’une personne infectée ou potentiellement infectée au travail peut déclencher d’autres obligations en matière de santé et sécurité au travail, comme l’exigence de faire enquête et d’assumer des obligations liées à la tenue des livres et à la déclaration. Dans ces circonstances, il serait légitime de recueillir des renseignements dont la nécessité peut se démontrer pour ce processus précis (appliquer le principe minimal de collecte).
D’autres activités ou programmes particuliers aux institutions fédérales peuvent appuyer la nécessité de recueillir des renseignements personnels liés au diagnostic d’un individu. La détermination de la question de savoir si d’autres pouvoirs existent devrait être faite au cas par cas, en consultation avec le bureau de l’AIPRP et les conseillers juridiques.
4. Si des renseignements personnels sont recueillis de manière légale, une institution peut‑elle demander le consentement d’un individu touché pour divulguer son diagnostic de la COVID-19?
Oui. Les institutions peuvent demander le consentement (de préférence par écrit) d’un individu touché pour divulguer sa contamination. L’individu doit savoir à qui les renseignements seront divulgués, à quelles fins et comment les renseignements seront utilisés pour que le consentement soit considéré comme étant valide.
Dans l’intérêt de la transparence, il est peut être prudent d’aviser l’individu que même s’il ne fournit pas de consentement, le responsable de l’institution fédérale peut néanmoins divulguer les renseignements s’il est d’avis que l’intérêt public l’emporte sur l’atteinte à la vie privée.
5. Les renseignements personnels liés au diagnostic de la COVID-19 d’un individu peuvent-ils être divulgués sans son consentement?
La communication de renseignements personnels liés à la COVID-19 devrait être envisagée au cas par cas.
Lorsqu’ils envisagent la communication du nom ou des caractéristiques d’identification d’un individu ayant reçu un diagnostic de la COVID-19 afin d’assurer la santé et la sécurité des autres employés, les fonctionnaires devraient d’abord examiner la question de savoir si le résultat escompté pourrait être obtenu sans la communication des renseignements afin de réduire l’atteinte à la vie privée. Par exemple, les institutions pourraient envisager d’indiquer uniquement le ou les lieux travail où un individu était présent alors qu’il était infecté ou potentiellement infecté par le virus et la période de sa présence dans ces lieux de travail.
Il existe des circonstances où la communication des renseignements au sujet d’un individu identifiable qui a reçu un diagnostic de la COVID-19 peut être permise. Par exemple, le paragraphe 8(2) de la Loi sur la protection des renseignements personnels comprend des dispositions de communication précises dans le cadre desquelles les institutions pourraient communiquer des renseignements personnels sans le consentement de l’individu.
L’alinéa 8(2)j) de la Loi sur la protection des renseignements personnels permet la communication de renseignements personnels pour des travaux de recherche ou de statistique, pourvu que les fins auxquelles les renseignements seront utilisés ne peuvent être normalement atteintes que si les renseignements sont donnés sous une forme qui identifie l’individu qu’ils concernent et la personne ou l’organisation à qui la communication est faite s’engagent par écrit à s’abstenir de toute communication ultérieure des renseignements dans une forme qui permettrait l’identification de l’individu.
L’alinéa 8(2)m) de la Loi sur la protection des renseignements personnels permet la communication de renseignements personnels si, de l’avis du responsable de l’institution :
- des raisons d’intérêt public justifieraient nettement une éventuelle violation de la vie privée; ou
- l’individu concerné en tirerait un avantage certain.
La détermination de la question de savoir si la communication des renseignements personnels est dans l’intérêt public devrait être faite par le responsable de l’institution fédérale ou une personne ayant le pouvoir délégué au cas par cas, en consultation avec les fonctionnaires de l’AIPRP et les conseillers juridiques de l’institution. Un avis doit aussi être donné au Commissariat à la protection de la vie privée conformément au paragraphe 8(5) de la Loi. L’avis devrait être donné avant la divulgation. Lorsque cela n'est pas possible, ça devrait suivre dès que possible après.
Qu’elle soit faite avec ou sans le consentement d’un individu ou qu’elle communique les renseignements en vertu d’une disposition prévoyant la communication possible de la Loi sur la protection des renseignements personnels, la communication des caractéristiques d’identification d’un individu devrait être envisagée uniquement après l’examen minutieux des autres options possibles. Lorsque les renseignements personnels qui concernent un individu qui a reçu un diagnostic de la COVID-19 sont communiqués, cette communication devra être faite uniquement en fonction du besoin de savoir et il faut rappeler aux personnes qui reçoivent les renseignements personnels qu’elles doivent en assurer la confidentialité.
6. Qui peut décider de communiquer des renseignements personnels en vertu de l’alinéa 8(2)m) de la Loi sur la protection des renseignements personnels?
Dans les cas où la communication est faite en vertu de l’alinéa 8(2)m) de la Loi sur la protection des renseignements personnels, la décision est prise uniquement par le responsable de l’institution ou la personne ayant le pouvoir délégué (habituellement le coordonnateur de l’AIPRP). Il s’agit d’une obligation prévue par la loi.
7. Les renseignements concernant un individu non identifiable peuvent-ils être communiqués?
De façon générale, la collecte, l’usage et la communication de renseignements non personnels ne sont pas limités par la Loi sur la protection des renseignements personnels. La collecte des chiffres globaux des employés qui ont été infectés par la COVID-19 ne soulève pas de préoccupations en matière de protection des renseignements personnels sauf si, dans la communication des chiffres globaux, l’identité d’un employé peut être établie. Cela surviendrait dans une situation où il n’y a que quelques employés dans un lieu de travail.
Comme point de départ, la limitation des données globales aux lieux où il y a dix employés ou plus permettrait habituellement de veiller à ce que les individus ne puissent être identifiés, mais cette question dépendra du contexte. Il s’agirait de savoir si la communication du nombre de personnes permettrait raisonnablement leur identification grâce à l’utilisation de renseignements accessibles à ceux qui ont accès aux données globales (p. ex., des renseignements publics). Un renseignement concerne un individu identifiable lorsqu’il y a une possibilité sérieuse qu’un individu puisse être identifié au moyen du renseignement, que ce renseignement soit pris seul ou en combinaison avec d’autres renseignements disponibles.
8. Qui peut m’aider si j’ai des questions au sujet de la COVIC-19 qui sont liées à la protection des renseignements personnels et que je ne connais pas la réponse?
Les responsables des programmes devraient consulter leurs fonctionnaires responsables de l’AIPRP pour tout conseil relatif à la protection des renseignements personnels.
Si les coordonnateurs de l’AIPRP ont des questions liées à la protection des renseignements personnels en ce qui concerne la gestion de la COVID-19, ils devraient communiquer avec leurs conseillers juridiques ou la Division des politiques de l’information et de la protection des renseignements personnels du SCT pour obtenir d’autres conseils.
9. Une institution ou un employé ou un fonctionnaire du gouvernement peut-il être tenu responsable de la communication de renseignements personnels au sujet d’un individu qui a reçu un diagnostic de la COVID-19?
C’est peu probable si les renseignements sont divulgués de bonne foi et conformément à la Loi sur la protection des renseignements personnels. L’article 74 de la Loi sur la protection des renseignements personnels précise que « le responsable d’une institution fédérale et les personnes qui agissent en son nom ou sous son autorité bénéficient de l’immunité en matière civile ou pénale, et la Couronne ainsi que les institutions fédérales bénéficient de l’immunité devant toute juridiction, pour la communication de renseignements personnels faite de bonne foi dans le cadre de la présente loi ainsi que pour les conséquences qui en découlent; ils bénéficient également de l’immunité dans les cas où, ayant fait preuve de la diligence nécessaire, ils n’ont pu donner les avis prévus par la présente loi ».
Détails de la page
- Date de modification :