La protection des renseignements personnels: notions de base

1. La protection des renseignements personnels: notions de base DRT 3805

2. Les renseignements personnels: un univers diversifié • Renseignement personnel : tout renseignement qui concerne une personne et qui permet de l’identifier • Plusieurs régimes juridiques dans plusieurs lois • Une constante: la confidentialité sujet à des exceptions limitées • Nécessité de s’assurer qu’on agit conformément aux exigences des lois…tout au long du CYCLE DE VIE des renseignements

3. Les règles sont énoncées dans: • la Charte des droits et libertés du Québec, Code civil • la Loi sur la protection des renseignements personnels, secteur public/secteur privé • la Loi sur le cadre juridique des technologies de l’information • etc.

4. Des droits garantis auplus haut niveau • Charte canadienne des droits et libertés • Charte des droits et libertés de la personne du Québec • Code civil du Québec/Loi cadre juridique des technos infos • Loi d’accès: loi prépondérante

5. Dossiers de l’usager Dossiers de plainte et de révision Dossiers du chef de département clinique Dossiers du conseil des médecins, dentistes et pharmaciens Dossiers des instances de protection de la jeunesse Dossiers du comité des usagers Dossiers du curateur public Dossiers d’adoption Les multiples régimes des renseignements personnels: l’exemple des données de santé et services sociaux

6. Secret professionnel • 60.4.    Le professionnel doit respecter le secret de tout renseignement de nature confidentielle qui vient à sa connaissance dans l'exercice de sa profession. • Il ne peut être relevé du secret professionnel qu'avec l'autorisation de son client ou lorsque la loi l'ordonne. • Le professionnel peut, en outre, communiquer, un renseignement protégé par le secret professionnel, en vue de prévenir un acte de violence, dont un suicide, lorsqu’il a un motif raisonnable de croire qu’un danger imminent de mort ou de blessures graves menace une personne ou un groupe de personnes identifiable. Toutefois, le professionnel ne peut alors communiquer ce renseignement qu’à la ou les personnes exposées à ce danger, à leur représentant ou aux personnes susceptibles de leur porter secours. Le professionnel ne peut communiquer que les renseignements nécessaires aux fins poursuivies par la communication. • Art 60.4 du Code des professions

7. Dossiers de l’organisme • Dossiers des usagers/ clients/prestataires • Dossiers des membres du personnel

8. Confidentialité des renseignements nominatifs • La règle d’or: tout renseignement nominatif est confidentiel • Exceptions à la confidentialité • Prévues dans les lois • Régimes spécifiques • S’appliquant des des circonstances où la loi détermine que le renseignement doit être communiqué

9. Protection tout au long du cycle de vie du document • la création • la modification • le transfert de l’information • la consultation • la transmission • la conservation • l’archivage ou destruction

10. La création • Choix du support et des technologies • Principe de la liberté du choix des supports et des technologies (art.2) • Les règles régissant les documents (dossiers) sur papier s’appliquent - en principe- aux documents technologiques

11. Collecte des renseignements personnels Seuls les renseignements nécessaires Compte tenu des finalités du dossier Collecte auprès de la personne concernée exceptionnellement: collecte auprès d'un tiers obligation d’informer sur les raisons de la collecte

12. Consentement et collecte des renseignements personnels • Consentement implicite à la création du dossier • obligation d’informer • Qu’un dossier est constitué  Consentement substitué en cas d'urgence

13. L'accès de l’usager a ses renseignements personnels  Droits d'accès de tout usager de 14 ans et + • Restriction au droit d'accès de tout usager de 14 ans et plus • L’usager de moins de 14 ans: pas de droit d’accès à son dossier

14. Droit d'accès des personnes oeuvrant au sein de l’organisme • Nécessité d’être en mesure de justifier les accès

15. Accès aux renseignements personnels sans le consentement de l’intéressé • À des fins de recherche • Le régime de l’accès aux renseignements personnels à des fins de recherche (art. 125 de la Loi sur l’accès)

16. La consultation des renseignements personnels  Maintien de la confidentialité lors de la consultation des dossiers- obligation d’assurer la sécurité - contrôle des accès

17. La consultation • un document peut être examiné par l'accès à une copie du document, à un document résultant d'un transfert ou à une copie de ce dernier. • il doit y avoir un équilibre réaliste entre le choix d’une personne quant au support ou la technologie permettant l’accès au document et la possibilité – ou la capacité- de répondre à ce choix. • la personne responsable de l’accès à un document technologique doit prendre des mesures de sécurité propres à en assurer la confidentialité des renseignements

18. L’accès aux documents technologiques • Sur place • possibilité de consultation d’un document à distance • la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels permet l’accès aux documents des organismes publics à distance et non plus seulement par consultation sur place ou par obtention d’une copie

19. Si le document technologique porte des renseignements confidentiels • La personne responsable de l'accès doit: • prendre les mesures de sécurité propres à en assurer la confidentialité, • notamment par un contrôle d'accès effectué au moyen d'un procédé de visibilité réduite ou d'un procédé qui empêche une personne non autorisée de prendre connaissance du renseignement ou, selon le cas, d'avoir accès autrement au document ou aux composantes qui permettent d'y accéder.

20. Responsabilité lors de la garde d’un document • pendant toute la période où on est tenu de conserver un document : • En assurer le maintien de son intégrité et voir à la disponibilité du matériel qui permet de le rendre accessible et intelligible et de l'utiliser aux fins auxquelles il est destiné • En assurer la confidentialité s’il est confidentiel

21. Responsabilités lors de la conservation • Si une modification est faite au document • Documenter la modification • Conservation par un prestataire • Celui qui confie la garde doit informer le prestataire • Le prestataire doit prendre les moyens d’assurer l’intégrité et la confidentialité du document

22. La conservation des renseignements personnels • Maintien de l'intégrité de la confidentialité Respect du calendrier de conservation • Consentement non nécessaire aux fins de conservation • Maintien de la confidentialité lors de la conservation • Conservation confiée à un prestataire de service

23. Obligation de celui qui confie la GARDE d’un document • fournir des informations adéquates sur: • les mesures de protection de la confidentialité que le document nécessite. • indiquer quelles sont les personnes habilitées à en prendre connaissance

24. Obligation du gardien • Mettre en place les moyens de protection convenus • voir à ce que les moyens technologiques soient mis en place pour : • en assurer la sécurité, • en préserver l'intégrité et, • le cas échéant, en protéger la confidentialité et en interdire l'accès à toute personne qui n'est pas habilitée à en prendre connaissance • Respect des normes et standards en matière de confidentialité

25. La communication des renseignements personnels • Finalité et communication des renseignements personnels- Intégrité du dossier- Nécessité de la communication • Les renseignements utilisés et communiqués à l'extérieur du Québec • Communication faisant suite à une renonciation implicite de l'usager à la confidentialité de son dossier • Application d'une loi - Ordre d'un tribunal - Ordre d'un coroner

26. La modification des renseignements personnels La modification correspond non seulement à l’ajout d’un renseignement au dossier existant, mais aussi à la rectification des renseignements qui y sont contenus

27. Responsabilités lorsqu’une modification est apportée au document • Documenter la modification • Conservation par un prestataire • Celui qui confie la garde doit informer le prestataire • Le prestataire doit prendre les moyens d’assurer l’intégrité et la confidentialité du document

28. Consentement et modification des renseignements personnels • Consentement implicite • Confidentialité et modification des renseignements personnels

29. La transmission • Lorsque la loi déclare confidentiels des renseignements que comporte un document, leur confidentialité doit être protégée par un moyen approprié au mode de transmission, y compris sur des réseaux de communication. • La documentation expliquant le mode de transmission, incluant les moyens pris pour assurer la confidentialité doit être disponible pour production en preuve, le cas échéant.

30. Le transfert de l’information • Il est possible de transférer l’information d’un document vers un support faisant appel à une technologie différente sans que le document perde sa valeur juridique. • Pour assurer le maintien de la valeur juridique d’un document lors d’un transfert, celui-ci doit être documenté; il faut être en mesure de démontrer, au besoin, que le document résultant du transfert comporte la même information que le document source et que son intégrité est assurée (article 17). • L’article 18 vient faciliter l’admission en preuve des documents résultant de transfert.

31. Les obligations consécutives au transfert (art. 20) • Préparer et de tenir à jour des règles préalables à la destruction des documents ayant fait l'objet d'un transfert; • Cette exigence ne vise pas les particuliers. Elle concerne les entreprises et l’État. De telles règles doivent êtres préparées et tenues à jour selon les règles de l’art. • S'assurer de la protection des renseignements confidentiels et personnels que peuvent comporter les documents devant être détruits;

32. La conservation La personne tenue de conserver un document a le devoir d’en assurer l’intégrité et l’accessibilité. Elle doit voir à la disponibilité du matériel permettant de le rendre accessible et de l’utiliser aux fins auxquelles il est destiné (article 19): lorsqu’un document technologique est modifié durant la période pendant laquelle il doit être conservé, des conditions doivent être respectées afin d’en préserver la valeur juridique en dépit de la modification (article 21)

33. Destruction/archivage des renseignements personnels • Conformément à la Loi sur les archives • prévoit l’établissement de calendriers de conservation. Le plus souvent, ces calendriers sont établis par règlement. • Tout document présentant une valeur archivistique, historique ou patrimoniale doit être conservé sur son support d’origine.

34. La destruction • les documents dont la loi exige la conservation et qui ont fait l’objet d’un transfert • peuvent être détruits • à condition d’assurer la protection des renseignements personnels et la confidentialité

35. Tendances de l’évolution du droit de la PRP • Mise en réseau et contrôle au niveau des accès en ligne • Responsabilité de justifier tous les accès à un renseignement personnel