Actuellement, la Loi sur la protection des renseignements personnels dans le secteur privé[1] (« Loi sur le secteur privé ») prévoit que le consentement à la collecte, à la communication ou à l'utilisation d'un renseignement personnel doit être manifeste, libre, éclairé et être donné à des fins spécifiques. Il ne vaut que pour la durée nécessaire à la réalisation des fins pour lesquelles il a été demandé[2].
Sous la Loi sur le secteur privé actuelle afin que le consentement soit éclairé, la personne concernée doit être informée (i) de l'objet du dossier; (ii) de l'utilisation qui sera faite des renseignements ainsi que des catégories de personnes qui y auront accès au sein de l'entreprise et (iii) de l'endroit où sera détenu son dossier ainsi que (iv) des droits d'accès ou de rectification[3].
Si les conditions pour l'obtention d'un consentement valide changent peu finalement (le consentement doit toujours être manifeste, libre et éclairé et être donné à des fins spécifiques), le Projet de loi 64 prévoit plus spécifiquement les points suivants[4] :
- Le consentement doit être demandé en des termes simples et clairs, distinctement de toute autre information communiquée (nous renvoyons à cet égard aux représentations faites dans le mémoire « Consentement et protection de la vie privée : regarder le passé, préparer l’avenir » de Mes Antoine Guilmain et Karl Delwaide devant le Commissariat à la protection de la vie privée du Canada en juillet 2016);
- Les informations à donner à la personne concernée sont davantage détaillées dans les dispositions du Projet de loi;
- Prévoit, par une lecture a contrario du texte, la possibilité d'obtenir un consentement implicite; et
- Clarifie les exceptions au consentement.
Un principe de transparence accru
Selon le Projet de loi, les informations devant minimalement être communiquées à la personne concernée, doivent être rédigées d'une façon simple et claire et sont les suivantes :
- Les fins auxquelles ces renseignements sont recueillis;
- Les moyens par lesquels les renseignements sont recueillis;
- Les droits d'accès et de rectification prévus par la loi;
- Le droit de retirer son consentement à la communication ou à l'utilisation des renseignements recueillis (il est à noter que ce droit qui existait déjà auparavant est désormais codifié);
- Le cas échéant, du nom du tiers pour qui la collecte est faite (nouveau) ;
- Le cas échéant, de la possibilité que les renseignements soient communiqués à l'extérieur du Québec (nouveau)[5].
Par ailleurs, sur « demande de sa part », la personne concernée doit également être informée des éléments suivants :
- Les renseignements personnels recueillis auprès d'elle;
- Les catégories de personnes qui ont accès à ces renseignements au sein de l'entreprise;
- La durée de conservation de ces renseignements;
- Ainsi que des coordonnées du responsable de la protection des renseignements personnels.
Cette façon de rédiger en deux temps (informations principales et informations supplémentaires) se rapproche de l'article 13 du RGPD[6].
Le Projet de loi introduit également une nouveauté, à savoir le « recours à des technologies » comprenant des fonctions permettant d'identifier, localiser ou effectuer le profilage d'un individu. Dans une telle hypothèse, la personne concernée, en plus des éléments mentionnés ci-dessus, devra être informée du recours à une telle technologie et, le cas échéant, des moyens offerts pour désactiver les fonctions permettant d'identifier, de localiser ou d'effectuer le profilage[7]. Cela nous apparaît complexe d'application dans la réalité.
Vers la reconnaissance du consentement implicite
En effet, l'article 102 du Projet de loi, créant de nouveaux articles 12 à 14, dispose que « Le consentement doit être manifesté de façon expresse dès qu'il s'agit d'un renseignement personnel sensible ».
La lecture a contrario de cet article laisse penser que le consentement peut être implicite en cas de collecte ou de communication à un tiers de renseignements considérés comme non sensibles[8]. Ce faisant, le Projet de loi s'aligne sur la loi fédérale, i.e. la Loi sur la protection des renseignements personnels et les documents électroniques (« LPRPDE »)[9] et ses Lignes directrices pour l'obtention d'un consentement valable, qui prévoient explicitement la possibilité d'avoir un consentement implicite dans certaines situations[10].
De nombreuses exceptions à l'exigence du consentement
Le Projet de loi comporte de nombreuses nouvelles exceptions au consentement. C'est ainsi que l'article 102 ajoute la possibilité d'utiliser un renseignement personnel sans le consentement de la personne concernée lorsque :
- Son utilisation est à des fins compatibles avec celles pour lesquelles il a été recueilli, c'est-à-dire qu'il doit y avoir un lien pertinent et direct avec les fins auxquelles le renseignement a été recueilli, étant précisé que la prospection commerciale ou philanthropique est expressément exclue des fins compatibles;
- Son utilisation est manifestement au bénéfice de la personne concernée;
- Son utilisation est nécessaire à des fins d'étude, de recherche ou de production de statistiques et qu'il est dépersonnalisé, à savoir qu'il ne permet plus d'identifier directement la personne concernée.
Par ailleurs, pour s'aligner sur la LPRPDE, le Projet de loi 64 prévoit, dans son article 107, la possibilité de communiquer les renseignements personnels à un tiers sans consentement lorsque cette communication est effectuée dans le cadre d'une transaction commerciale.
Il est toutefois dommage que le Projet de loi ne soit pas allé plus loin en prévoyant au surplus une exemption au consentement en matière d'emploi. Comme le souligne Me Antoine Guilmain dans son ouvrage portant sur les 25 ans de la Loi sur le secteur privé, le modèle du consentement apparait inadapté aux relations employeur-employé[11]. L'exemption au consentement en matière d'emploi est pourtant prévue dans les autres lois provinciales en Colombie-Britannique et en Alberta.
Insertion de la notion de consentement du mineur de 14 ans
Le Projet de loi prévoit plusieurs nouveaux articles qui traitent spécifiquement de la question du consentement concernant les mineurs . Ces principes revêtent également un enjeu de taille pour les entreprises du secteur privé. Les principes à cet égard se résument ainsi :
- Les renseignements personnels concernant un mineur de moins de 14 ans ne peuvent être recueillis sans le consentement du titulaire de l'autorité parentale, sauf lorsque cette collecte est manifestement au bénéfice de ce mineur[12];
- Le consentement du mineur de moins de 14 ans est donné par le titulaire de l'autorité parentale[13];
- Le consentement du mineur de 14 ans et plus est donné par le mineur ou par le titulaire de l'autorité parentale.
Cela étant dit, une lecture des points (1) et (2) peuvent nous laisser perplexe en ce sens que ces deux articles semblent traiter de la même situation à la différence que le point (1) précise que le consentement de l'autorité parentale peut être écarté lorsque la collecte « est manifestement au bénéfice du mineur de moins de 14 ans ». Toutefois, aucune indication dans le Projet de loi ne nous indique ce que constituerait une collecte « manifestement au bénéfice » du mineur de moins de 14 ans.
|
CENTRE DE RESSOURCES PL64 - Découvrez notre INSTITUT FASKEN - Inscrivez-vous à notre formation qui fera la lumière sur les principales modifications à la loi 64 et les impacts à prévoir dans la gestion de vos affaires. LISTE DE DISTRIBUTION - Pour ne pas manquer nos prochains bulletins, notre webinaire de formation et toutes autres informations pertinentes à ce sujet, inscrivez-vous dès maintenant sur notre liste de distribution. |
[1] Loi sur la protection des renseignements personnels dans le secteur privé, P. 39-1
[2] Loi sur le secteur privé, art. 14.
[3] Loi sur le secteur privé, art. 8.
[4] Projet de loi, art 102.
[5] Projet de loi, article 99 .
[6] Règlement Général sur la Protection des Données, 2016/679.
[7] Projet de loi, art. 8-1. À noter que le profilage est défini à l'article 8.1 alinéa 2.
[8] Le nouvel article 12, issu du Projet de loi, donne une définition, lacunaire, du renseignement sensible, à savoir : un renseignement est sensible « lorsque, de par sa nature ou en raison du contexte de son utilisation ou de sa communication, il suscite un haut degré d'attente raisonnable en matière de vie privée ».
[9] Loi sur la protection des renseignements personnels et les documents électroniques, L.C. 2000, ch. 5.
[10] Voir notamment l'article 4.3.6 d e l'annexe 1 de la LPRPDÉ.
[11] Antoine Guilmain et Éloïse Gratton, La protection des renseignements personnels dans le secteur privé au Québec : rétrospectives et perspectives, Volume 465- Développements récents en droit la vie privée (2019), éditions Yvon Blais.
[12] Projet de loi 64, art. 96.
[13] Projet de loi 64, art. 102.
