Écrit par Stephen Burns and Sébastien Gittens

Au fur et à mesure que les organisations au Canada identifient des employés, des entrepreneurs ou des invités en milieu de travail qui transportent ou pourraient avoir été exposés à d’autres personnes qui sont ou pourraient être porteurs du nouveau coronavirus (COVID-19), elles devront réfléchir à la façon de recueillir, d’utiliser et de divulguer des renseignements personnels sur ces personnes identifiées d’une manière conforme à la vie privée.

Bien que la réponse à la COVID-19 représente des eaux inexplorées, le cadre analytique de collecte, d’utilisation et de communication des renseignements personnels demeure le même : les organisations qui cherchent à utiliser et à communiquer des renseignements personnels liés à la COVID-19 identifiés en milieu de travail devraient répondre aux quatre questions suivantes :

1. La collecte, l’utilisation ou la communication des renseignements personnels sont-ils à des fins raisonnables?

Les organisations sont généralement tenues de prendre des mesures raisonnables pour protéger la santé et la sécurité de leurs employés, entrepreneurs et invités. À la lumière de l’épidémie actuelle de COVID-19, il peut être raisonnable pour une organisation de prendre des mesures pour identifier les employés, les entrepreneurs ou les invités dans le lieu de travail qui sont ou peuvent être porteurs, ou qui pourraient avoir été exposés à d’autres personnes qui sont ou peuvent être porteurs, COVID-19, et d’agir ensuite sur ces informations en se conformant aux plans d’action alors en vigueur recommandés par les autorités de santé publique applicables.

Les organisations sont bien avisées d’examiner régulièrement les plans d’action recommandés dans leurs administrations respectives et d’harmoniser leurs activités avec celles-ci. Ces recommandations peuvent porter sur :

1. exiger de la personne qu’elle s’auto-isole;
2. informer l’équipe d’intervention de l’organisation en cas de COVID-19 de l’identification de la COVID-19 dans le lieu de travail en question;
3. lorsque les personnes identifiées sont des employés, informer leur(s) superviseur(s) de leur absence du lieu de travail en raison de l’auto-isolement;
4. lorsque les personnes identifiées sont des entrepreneurs ou des invités, si cela est raisonnablement nécessaire, en informant leurs contacts lors de l’organisation de leur auto-isolement;
5. informer les autres employés, les entrepreneurs et les invités de l’organisation que la COVID-19 a été identifiée dans le lieu de travail en question;
6. informer les personnes dont on peut raisonnablement s’attendre à ce qu’elles soient en contact avec les personnes identifiées de leur exposition possible et les obliger à s’isoler; et
7. conseiller l’autorité de santé publique compétente.

2. Les renseignements personnels à recueillir, à utiliser ou à communiquer se limitent-ils à ce qui est nécessaire pour atteindre l’objectif?

Les renseignements personnels recueillis, utilisés et communiqués par l’organisation au sujet des personnes identifiées devraient se limiter aux renseignements personnels nécessaires pour atteindre les fins raisonnables pour lesquelles ils ont été recueillis, par exemple pour se conformer aux plans d’action alors en vigueur recommandés par les autorités de santé publique compétentes (voir ci-dessus). Par exemple, à l’aide des exemples de recommandations ci-dessus :

1. lorsqu’il s’agit d’informer l’équipe d’intervention de l’organisation en cas de COVID-19 de l’identification de la COVID-19 dans le lieu de travail particulier, comme pour tout autre problème de santé à gérer par l’organisation, la divulgation de l’identité des personnes identifiées est probablement nécessaire, mais il est peu probable que les détails spécifiques de leurs plans de santé et de soins de santé actuels soient nécessaires;
2. lorsqu’il informe le(s) superviseur(s) des personnes identifiées de leur absence du lieu de travail en raison de l’auto-isolement, comme pour tout autre problème de santé devant être géré par l’organisation, la divulgation de l’identité des personnes identifiées est probablement nécessaire, mais encore une fois, il est peu probable que les détails spécifiques de leurs plans de santé et de soins de santé actuels soient nécessaires;
3. lorsqu’il s’agit d’informer les personnes-contacts des personnes identifiées à l’organisation de leur auto-isolement, comme pour tout autre problème de santé à gérer par l’organisation, la divulgation de l’identité des personnes identifiées est probablement nécessaire, mais encore une fois, il est peu probable que les détails spécifiques de leurs plans de santé et de soins de santé actuels soient nécessaires;
4. lorsqu’ils informent les employés, les entrepreneurs et les invités de l’organisation que la COVID-19 a été identifiée dans le lieu de travail en question, ni l’identité des personnes identifiées ni leurs plans de santé ou de soins de santé actuels ne doivent être divulgués;
5. lorsqu’il s’agit d’informer les personnes dont on peut raisonnablement s’attendre à ce qu’elles soient en contact avec les personnes identifiées de leur exposition possible à la COVID-19 et de les obliger à s’isoler, la divulgation de l’identité des personnes identifiées peut (ou non) être nécessaire, mais encore une fois, il est peu probable que les détails de leurs plans de santé et de soins de santé actuels soient nécessaires; et
6. lorsqu’il s’agit d’aviser l’autorité de santé publique compétente, la divulgation de l’identité des personnes identifiées et de leurs coordonnées respectives ainsi que les détails de l’exposition possible à la COVID-19 est probablement nécessaire et, à moins que l’autorité de santé publique ne le demande expressément, il est peu probable que les détails de leurs plans de santé et de soins de santé actuels soient nécessaires.

Comme pour chaque collecte, utilisation ou communication de renseignements personnels, l’organisation devrait toujours se demander s’il existe des moyens moins envahissants d’atteindre les mêmes fins (à un coût comparable et avec des avantages comparables).

3. La collecte, l’utilisation ou la communication des renseignements personnels est-elle autorisée par la loi sans qu’il soit nécessaire d’obtenir le consentement des personnes en question ou de les aviser?

Secteur privé canadien, la législation sur la protection de la vie privée permet généralement à une organisation de recueillir, d’utiliser et de communiquer des renseignements personnels sur une personne sans consentement dans certaines situations. En Alberta, par exemple, une organisation n’est pas tenue d’obtenir le consentement lorsque l’utilisation ou la divulgation de renseignements est nécessaire pour intervenir en cas d’urgence qui menace la vie, la santé ou la sécurité d’une personne ou du public.

Mais il faut faire preuve de prudence, ces exemptions ne sont pas uniformes dans chaque loi. Par exemple, l’exception susmentionnée relative à la « vie, à la santé ou à la sécurité » en Alberta s’applique à l’utilisation et à la communication de renseignements personnels – elle ne s’applique pas à leur collecte. Il est également important de noter que de telles exceptions ne sont pas uniformes entre chacune de ces lois « essentiellement similaires » sur la protection de la vie privée au Canada. Par exemple, la loi fédérale sur la protection des renseignements personnels diffère de celle de l’Alberta en ce que l’exception relative à la « vie, à la santé ou à la sécurité » n’inclut pas expressément le public.

Par conséquent, il sera important pour chaque organisation de :

1. déterminer quelle loi du secteur privé sur la protection des renseignements personnels s’applique dans les circonstances; et
2. évaluer l’applicabilité de toute exception qui y est prévue en ce qui concerne la collecte, l’utilisation et la divulgation (potentielle) de tout renseignement personnel recueilli dans le cadre de l’identification de la COVID-19 en milieu de travail.

Dans la mesure où une organisation ne peut pas se fier à l’exception susmentionnée pour recueillir, utiliser ou communiquer les renseignements personnels d’une personne, elle devra fournir un avis et, au besoin, obtenir le consentement pour le faire.

4. Lorsque la collecte, l’utilisation ou la communication sans consentement ou avis aux personnes en question n’est pas autorisée par la loi, l’organisation a-t-elle obtenu le consentement des personnes en question ou les a-t-elle avisées?

Un guidance du Commissariat à la protection de la vie privée du Canada et du Commissariat à l’information et à la protection de la vie privée de l’Alberta et de la Colombie-Britannique a identifié plusieurs principes qui sous-tendent le consentement valable, y compris la nécessité de fournir à une personne des renseignements sur :

1. quels renseignements personnels sont recueillis;
2. les fins auxquelles les renseignements personnels sont recueillis, utilisés ou communiqués; et
3. le risque potentiel de préjudice et d’autres conséquences découlant de la collecte, de l’utilisation ou de la communication.

Les commissaires ont souligné qu’il est important que les organisations réfléchissent à la forme appropriée de consentement à l’utilisation (expresse, réputée ou implicite) pour toute collecte, utilisation ou communication de renseignements personnels pour lesquels le consentement est requis. Lorsqu’elles prennent cette décision, les organisations doivent tenir compte de la sensibilité des renseignements et des attentes raisonnables de la personne. Ces deux éléments dépendront du contexte.

Compte tenu de la limite potentielle de l’exception dont il est question ci-dessus, une organisation est bien avisée de fournir un avis approprié à ses employés, entrepreneurs et invités que l’organisation a adopté une politique d’intervention en cas de COVID-19, et que cette politique établit la façon dont elle gérera la collecte, l’utilisation et la divulgation des renseignements personnels lorsque la COVID-19 est identifiée dans le lieu de travail.

L’impact de la COVID-19 pourrait être très important pour les organisations. Si vous avez des questions concernant les informations contenues dans cet article, veuillez contacter un membre de l’équipe de confidentialité et de protection des données de Bennett Jones. De plus, veuillez visiter notre centre de ressources COVID-19 pour d’autres documents liés à la COVID-19.