Publication
TITRE
Première ordonnance rendue en vertu de la LPRPS de l'Ontario
DATE
25 novembre 2005
EXPERTISE
Une des plus importantes pratiques du Canada en droit de l'emploi et du travail, vouée au service et à l'excellence
La Commissaire à l'information et à la protection de la vie privée de l'Ontario a rendu la première ordonnance en vertu de la Loi de 2004 sur la protection des renseignements personnels sur la santé (LPRPS).
L'ordonnance clôt une enquête menée par le Bureau du commissaire sur la manière dont des dossiers de renseignements personnels sur la santé s'étaient retrouvés disséminés dans les rues du centre-ville de Toronto en octobre dernier, sur les lieux de tournage d'un film sur l'attaque terroriste du World Trade Centre le 11 septembre 2001.
Le Bureau du commissaire avait été initialement alerté par un journaliste du Toronto Star, qui avait signalé l'existence de dossiers de renseignements personnels sur la santé parmi les papiers que le vent éparpillait dans la rue. Bien que les faits à l'origine de l'ordonnance soient sans précédent, le point de vue du Bureau du commissaire en ce qui a trait à la garde et l'élimination de renseignements personnels sur la santé est d'un intérêt certain pour tout dépositaire de renseignements sur la santé. En fait, lorsqu'elle a délivré l'ordonnance, la Commissaire a laissé savoir que son contenu devrait être [traduction] « soigneusement examiné par chaque dépositaire de renseignements sur la santé et chaque entreprise d'élimination du papier en Ontario. »
Une clinique de radiographie/échographie de Toronto avait passé un contrat avec une entreprise d'élimination du papier pour qu'elle vienne enlever des dossiers de renseignements personnels sur la santé périmés et les éliminer. L'entreprise en question, qui se livrait à des activités de déchiquetage et de recyclage, avait cru à tort que les documents enlevés étaient destinés au recyclage. C'est ainsi que ces documents ont été confiés en sous-traitance à une autre entreprise de recyclage qui les a ensuite vendus à la société de cinéma qui voulait les utiliser sur les lieux de tournage.
La Commissaire a conclu que la clinique de radiographie/échographie :
- avait manqué à son obligation de prendre toutes les mesures raisonnables pour protéger la sécurité des renseignements personnels sur la santé dont elle avait la garde ou le contrôle;
- avait manqué à son obligation de s'assurer que tous les renseignements personnels sur la santé étaient éliminés de manière sécuritaire; et
- avait manqué à son obligation de se conformer à la LPRPS puisqu'elle ne s'était pas assurée que son mandataire (l'entreprise de recyclage du papier) avait traité les renseignements sur la santé de manière appropriée.
La Commissaire a indiqué que vu les restrictions prévues dans la LPRPS et les obligations qui incombent à ceux qui ont la garde et le contrôle de renseignements personnels sur la santé, lorsqu'un accord est conclu avec un mandataire visant l'élimination de dossiers un contrat écrit devrait être conclu. Une telle entente devrait stipuler les devoirs du mandataire quant au déchiquetage de manière sécuritaire du matériel et exiger que le mandataire fournisse une attestation confirmant que le déchiquetage a été effectué. La Commissaire a également ordonné que l'entreprise d'élimination du papier adopte des procédés visant à empêcher que le papier destiné au déchiquetage ne soit mélangé avec du papier à éliminer par recyclage. De l'avis de la Commissaire, cette séparation est cruciale en ce qui concerne les renseignements personnels sur la santé, car l'élimination de manière sécuritaire de ces renseignements nécessite qu'ils soient définitivement détruits au moyen d'un déchiquetage ou d'une pulvérisation irréversible, les rendant ainsi illisibles.
Bien que la décision n'ait porté que sur les dossiers sur support papier, la Commissaire s'est empressée de faire remarquer que les principes qui y étaient énoncés s'appliquaient tout aussi bien à ceux sur support électronique. La Commissaire s'est exprimée ainsi [traduction] : « Cela signifie que les dépositaires de renseignements personnels sur la santé qui éliminent des dossiers électroniques doivent s'assurer que ces dossiers sont définitivement détruits ou effacés d'une manière irréversible faisant en sorte que les renseignements ne puissent être reconstitués de quelque manière que ce soit. »
La décision, que l'on peut trouver en ligne (en anglais seulement)[i], devrait être soigneusement examinée par tout dépositaire de renseignements personnels sur la santé dans la province d'Ontario, dont les hôpitaux, les centres de soins de santé, les cliniques, les résidences pour personnes âgées ainsi que tout employeur qui reçoit des renseignements personnels sur la santé de la part de ses employés.
Même si l'ordonnance a été rendue en vertu de la LPRPS, ceux qui sont responsables non seulement des renseignements personnels sur la santé mais de tout autre renseignement personnel visé par la Loi sur la protection des renseignements personnels et les documents électroniques (Canada) ou par une loi similaire d'une autre province devraient examiner leurs procédés et protocoles de destruction de documents ainsi que leurs programmes de gestion des risques et de divulgation de manquements à la lumière des normes élevées auxquelles la Commissaire a assujetti la clinique de radiographie/échographie, tout en gardant à l'esprit la nécessité d'agir rapidement en cas de manquement. Les contrats conclus avec des entreprises de déchiquetage indépendantes devraient être soigneusement examinés, de même que toutes les conventions passées avec des entreprises de recyclage. Toutes les entreprises, quel que soit leur secteur d'activité, devraient avoir la sagesse de prendre les précautions suggérées par la Commissaire en ce qui concerne tous les renseignements personnels en leur possession ou sous leur contrôle.
La leçon à tirer de cette ordonnance est celle-ci : les entités qui ont la garde et le contrôle de renseignements personnels sur la santé de même que les entreprises dont l'activité consiste à détruire de tels renseignements (et possiblement d'autres entités si l'analyse de la Commissaire est adoptée par d'autres commissaires à la protection de la vie privée dans le pays) seront assujetties à une norme extrêmement élevée par la Commissaire à l'information et à la protection de la vie privée lorsqu'il s'agira de l'élimination de ces renseignements.
Le présent document est un instrument d'information et de vulgarisation. Son contenu ne saurait en aucune façon être interprété comme un exposé complet du droit ni comme un avis juridique d'Ogilvy Renault S.E.N.C.R.L., s.r.l. ou de l'un des membres du cabinet sur les points de droit qui y sont discutés.
Personnes-ressources
Christine A. Carron
Montréal
514.847.4404
ccarron@ogilvyrenault.com
Profil
Anne K. Gallop
Toronto
416.216.4038
agallop@ogilvyrenault.com
Profil
Martha A. Healey
Ottawa
613.780.8638
mhealey@ogilvyrenault.com
Profil
Manon M. Savard
Montréal
514.847.4520
msavard@ogilvyrenault.com
Profil
