Connaître la définition de ce que constitue un renseignement personnel est primordial dans le cadre de l’exploitation d’une entreprise. En effet, la gestion de ce type de renseignements est circonscrite par plusieurs obligations prévues dans la législation applicable et c’est pourquoi il est essentiel d’être en mesure de les identifier.
Au Québec
La loi actuellement en vigueur au Québec qui s’applique aux entreprises privées en matière de gestion des renseignements personnels est la Loi sur la protection des renseignements personnels dans le secteur privé1 (la « Loi sur le secteur privé »). On retrouve la définition de ce qu’est un renseignement personnel à son article 2 :
« Est un renseignement personnel, tout renseignement qui concerne une personne physique et permet de l’identifier. »
Cette définition ne concerne que les personnes physiques et non les entreprises. De plus, l’interprétation de ce qui constitue un renseignement personnel permettant d’identifier une personne sera faite selon le contexte et les faits propres à chaque situation2. Par exemple, il pourra arriver que le nom d’un individu à lui seul constitue un renseignement personnel au sens de la Loi sur le secteur privé en raison du contexte et des modalités de sa collecte. À l’inverse, il existe plusieurs situations où le nom d’un individu à lui seul ne permettra pas d’identifier la personne sans devoir obtenir plus d’informations à son égard.
La Loi sur le secteur privé s’applique aux renseignements personnels sur autrui qu’une personne recueille, détient, utilise ou communique à des tiers à l’occasion de l’exploitation d’une entreprise3. Elle s’applique à ces renseignements quelle que soit la nature de leur support et quelle que soit la forme sous laquelle ils sont accessibles4.
La personne qui constitue le dossier contenant des renseignements personnels ne doit recueillir uniquement les renseignements qui sont nécessaires à l’objet du dossier5.
Le constat actuel est que la Loi sur le secteur privé, n’ayant pas subi de grands changements depuis son entrée en vigueur en 1994, n’est malheureusement plus adaptée à l’évolution des technologies de l’information et elle doit être modernisée. C’est notamment pour cette raison que le gouvernement a déposé le projet de loi 64 ou la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels le 12 juin dernier.
Lors de son entrée en vigueur, certaines précisions seront apportées à la définition de ce que constitue un renseignement personnel. En effet, sera exclu de la définition de renseignement personnel les renseignements sur un individu qui concernent l’exercice d’une fonction au sein d’une entreprise, tel que son nom, son titre et sa fonction, de même que l’adresse, l’adresse de courrier électronique ainsi que le numéro de téléphone de son lieu de travail. Cette nouvelle distinction est importante puisqu’elle viendra rétablir la situation parfois problématique que la Loi sur le secteur privé entraîne sans cette distinction, soit que les noms des employés ou des représentants d’entreprise ont le même caractère confidentiel qu’un dossier médical6.
Enfin, un autre changement à noter concerne la personne constituant le dossier contenant les renseignements personnels. Cette dernière devra seulement recueillir les renseignements nécessaires aux fins qui devront être déterminées avant la collecte de renseignements.
Au Canada
Au fédéral, la loi actuellement en vigueur en matière de protection de la vie privée est la Loi sur la protection des renseignements personnels et les documents électroniques7 (la « LPRPDE »). Cette loi s’applique lorsqu’une organisation est sujette à la réglementation fédérale ou lorsqu’elle doit communiquer des renseignements personnels d’une province à l’autre ou à l’échelle internationale dans le cadre de ses activités. Elle est également applicable dans une province n’ayant pas de législation provinciale de protection de la vie privée pour le secteur privé.
Le premier paragraphe de son article 2 prévoit la définition de ce qu’est un renseignement personnel :
« Tout renseignement concernant un individu identifiable. »
La question à se poser est donc de savoir si les renseignements en question, utilisés seuls ou combinés avec d’autres renseignements, permettront d’identifier ou non une personne. Les données anonymes ne sont donc normalement pas considérées comme des renseignements personnels puisqu’il est alors impossible de savoir à quel individu elles appartiennent.
En vertu du troisième paragraphe de l’article 5 de la LPRPDE, l’organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu’à des fins qu’une personne raisonnable estimerait acceptable dans les circonstances. Cette évaluation sera effectuée selon chaque cas d’espèce.
Le 17 novembre 2020, le projet de loi C-11 ou Loi de 2020 sur la mise en œuvre de la Charte du numérique est déposé. Comme au Québec, le projet de loi vise notamment à adapter la législation aux réalités actuelles en matière de protection de la vie privée et d’évolution des technologies de l’information.
Parmi les nombreux changements qu’occasionnera l’entrée en vigueur de ce projet de loi, la partie 1 de la LPRPDE contenant la définition de renseignement personnel sera abrogée. Toutefois, la définition de ce que constitue un renseignement personnel ne sera pas modifiée.
Tout comme dans la LPRPDE, le projet de loi prévoit que l’organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu’à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances. Il est intéressant de constater que le projet de loi édicte désormais une liste d’éléments à prendre en compte pour établir le caractère acceptable de ces fins :
- La mesure dans laquelle les renseignements personnels sont de nature délicate;
- Le fait que les fins visées correspondent à des besoins commerciaux légitimes de l’organisation;
- Le degré d’efficacité de la collecte, de l’utilisation ou de la communication pour répondre aux besoins commerciaux légitimes de l’organisation;
- L’existence ou non de moyens portant une atteinte moindre à la vie privée de l’individu et permettant d’atteindre les fins visées à un coût et avec des avantages comparables;
- La proportionnalité entre l’atteinte à la vie privée de l’individu et les avantages pour l’organisation, au regard des moyens, techniques ou autres, mis en place par l’organisation afin d’atténuer les effets de l’atteinte pour l’individu.
De plus, l’organisation devra établir et consigner les fins pour lesquelles les renseignements personnels sont recueillis, utilisés ou communiqués avant la collecte ou au plus tard au moment de celle-ci.
Conclusion
En résumé, les différentes définitions de renseignement personnel se rattachent essentiellement à la possibilité d’identification d’un individu. Les renseignements anonymisés qui ne permettent plus l’identification de l’individu ne sont donc pas considérés comme des renseignements personnels.
Bien que les projets de loi discutés dans cet article ne soient pas encore en vigueur, il est important d’en connaître les différentes implications dans le but d’être prêt lorsqu’elles deviendront applicables. D’ailleurs, d’autres articles suivront dans les prochaines semaines concernant cette réforme des lois provinciales et fédérales sur la protection des renseignements personnels et de la vie privée.
1 Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P-39.1.
2 J.C. c. SSQ, société d’assurances générales inc., 2017 QCCAI 129, par.41.
3 Supra, note 1, article 1, alinéa 1.
4 Supra, note 1, article 1, alinéa 2.
5 Supra, note 1, article 5.
6 A. Germain et E. Gratton, « La protection des renseignements personnels dans le secteur privé au Québec : rétrospectives et perspectives » dans Développements récents en droit de la vie privée, Barreau du Québec – Service de la formation continue, vol. 465, Montréal, Éditions Yvon Blais, 2019, p. 76.
7 LC 2000, c.5.
Attention : Cette publication ne constitue pas un avis juridique. Il s’agit uniquement d’informations d’ordre général dans le but de vous tenir informé sur certains sujets. Nous vous invitons à consulter votre avocat pour toute question d’ordre juridique.