La coordination des enquêtes : comment les commissaires fédérale et provinciaux peuvent-ils concerter leurs efforts ?

Conférence sur la Loi sur les renseignements médicaux personnels 2005

Le 4 mai 2005
Toronto (Ontario)

Allocution prononcée par Patricia Kosseim
Avocate générale, Commissariat à la protection de la vie privée du Canada

Introduction

Je tiens à remercier les organisateurs de la conférence de m'avoir si gentiment invitée à prendre la parole aujourd'hui lors du déjeuner. J'aimerais également vous remercier à l'avance de m'accorder votre attention alors que votre système digestif et votre système nerveux se font chaudement la lutte pour votre énergie et votre lucidité.

En novembre dernier, avant même que je ne joigne les rangs du CPVP, on m'a demandé de parler de la coordination des enquêtes et de la manière dont les commissaires fédérale et provinciaux concertaient leurs efforts. J'ai accepté l'invitation en présumant, peut-être peu trop hâtivement, que j'en aurais sans doute assez appris sur le sujet au cours de mes cinq premiers mois en fonction pour être en mesure de vous en parler intelligemment. Et, bien que ma courbe d'apprentissage ne soit pas encore terminée, je me console en me disant que je ne suis pas seule dans mon camp puisqu'il s'agit d'un domaine nouveau, que personne n'a encore balisé, et que tous nous pouvons explorer et faire des découvertes.

La diversité du Canada est bien l'une des principales caractéristiques qui rend notre pays unique à tous les égards. Nous sommes très fiers de la vaste richesse de nos peuples et de notre géographie tout autant que de la grande diversité de la scène politique et du champ des compétences de notre nation. Bien qu'à l'occasion, cette diversité soit source de désespoir, elle constitue malgré tout un laboratoire unique du changement social et législatif. Nous pouvons observer des expériences législatives et politiques dans une administration et appliquer les connaissances et l'expérience ainsi acquises pour imiter les lois et politiques d'autres administrations ou en élaborer d'autres qui sont encore plus efficaces.

Nous avons certes été témoins d'une telle diversité dans l'élaboration de lois sur la protection des renseignements personnels dans toutes les régions du Canada. Au cours des trente dernières années, ces lois ont sans relâche fait leur chemin dans les administrations fédérale, provinciales et territoriales, d'abord dans le secteur public surtout, puis de plus en plus dans le secteur privé, plus particulièrement dans le secteur de la santé. Comme vous le savez tous pertinemment, ce dernier secteur chevauche les secteurs public et privé.

En dépit des nombreux avantages qu'elle procure au plan de l'adaptation, de la comparaison, de l'évolution et de l'amélioration des lois et politiques au fil des ans, cette diversité soulève des défis de taille, en particulier dans le secteur de la santé. Les renseignements de santé personnels parcourent pas mal de distance en peu de temps dans un environnement numérique et, de ce fait, sont assujettis à une multitude de lois portant sur la protection des renseignements personnels et de la vie privée. Ces lois varient selon les administrations, de sorte que les décideurs, les praticiens, les gestionnaires des soins de santé, les chercheurs, les concepteurs de systèmes, les payeurs, les assureurs et les employeurs sont tous aux prises avec le défi de taille de saisir les différences entre ces lois et d'établir comment les appliquer aux transactions transfrontalières.

Ces défis seront au centre de mon entretien aujourd'hui. J'aborderai la manière dont nous traitons les questions liées à la protection des renseignements personnels dans des secteurs de compétence partagée ou simultanée. Pour assurer le succès de la mise au point de systèmes pancanadiens de dossiers de santé électroniques interopérables ainsi que de programmes nationaux de recherche et de surveillance dans le domaine de la santé, nous devons relever ces défis. Il s'agit là d'exemples d'initiatives d'envergure faisant intervenir de multiples administrations et visant à améliorer la prestation des soins de santé et à donner suite aux enjeux plus vastes du système de santé et de la santé publique.

La complexité des champs de compétence dans le secteur privé

Comme vous le savez, depuis le 1^er janvier 2004, la Loi sur la protection des renseignements personnels et les documents électroniques — communément appelée la LPRPDÉ — traite de la collecte, de l'utilisation et de la communication de renseignements de santé personnels qui surviennent dans le cadre des activités commerciales à l'intérieur des provinces et entre celles-ci. Cette règle générale est cependant assortie de très importantes exceptions et réserves, dont il faut prendre note.

La LPRPDÉ s'applique si la collecte, l'utilisation et la communication des renseignements de santé personnels s'effectuent dans le cadre d'activités commerciales qui franchissent des frontières provinciales ou nationales.

Toutefois, dans le cas d'activités commerciales intra provinciales, la LPRPDÉ ne s'applique pas lorsqu'une loi provinciale essentiellement similaire à la loi fédérale a été adoptée. À ce jour, seulement trois lois provinciales ont été reconnues par la gouverneure en conseil comme étant essentiellement similaires aux dispositions relatives à la protection des données contenues dans la LPRPDÉ, soit :

• la loi visant le secteur privé du Québec, depuis décembre 2003;
• la loi visant le secteur privé de l'Alberta, depuis octobre 2004;
• la loi visant le secteur privé de la Colombie-Britannique, depuis octobre 2004.

Fait intéressant à signaler, entre le 1^er janvier 2004, lorsque la LPRPDÉ est entrée entièrement en vigueur, et le 12 octobre 2004, lorsque les lois de l'Alberta et de la Colombie-Britannique ont été déclarées essentiellement similaires à la loi fédérale et que l'exemption a été décrétée, les lois fédérale et provinciales se sont appliquées à quelques activités semblables, ce qui a donné lieu à une période de compétence partagée ou simultanée.

L'Ontario vient lui aussi de demander que sa Loi sur la protection des renseignements personnels sur la santé (LPRPS) soit déclarée essentiellement similaire à la loi fédérale. Depuis le 1^er janvier 2004 et avant l'adoption de la LPRPS en novembre 2004, seule la LPRPDÉ s'appliquait à la collecte, à l'utilisation et à la communication de renseignements personnels survenant dans le cours normal des activités commerciales de la province. Depuis le 1^er novembre 2004, la LPRPS s'applique elle aussi à la collecte, à l'utilisation et à la communication de renseignements de santé personnels par les dépositaires de renseignements sur la santé. Cette compétence fédérale-provinciale simultanée continuera d'avoir cours pour les activités des dépositaires de renseignements sur la santé jusqu'à ce que la LPRPS soit déclarée essentiellement similaire à la loi fédérale et que les activités des dépositaires de renseignements sur la santé ne soient plus assujetties à la LPRPDÉ.

Ces règles peuvent sembler simples et sans équivoque, mais elles sont loin de l'être. Les questions liées aux champs de compétence sont, de par leur nature, très complexes et donnent lieu à différents résultats selon les particularités des transactions dans chaque cas. Les règles peuvent être tout aussi complexes même si une loi essentiellement similaire à la loi fédérale a été adoptée. Le seul vrai point commun unissant les différents cas liés aux champs d'application, c'est la nécessité pour les différents commissaires à la protection de la vie privée de faire preuve de souplesse et d'un esprit de collaboration et de coopération. Il s'agit des ingrédients clés que les commissariats s'efforcent à mettre en oeuvre dans un régime efficace et pratique de protection de la vie privée au Canada.

Permettez-moi de vous présenter quelques exemples.

Activité commerciale intraprovinciale

Même en présence d'une loi « essentiellement similaire » à la loi fédérale, toutes les activités commerciales intraprovinciales n'y sont pas nécessairement assujetties, et les limites des champs de compétence ne sont pas toujours claires. Des enjeux complexes en matière de champs de compétence peuvent quand même surgir et leur règlement peut exiger une étroite collaboration entre les administrations.

À titre d'exemple, la Health Information Act (HIA) de l'Alberta s'applique aux fournisseurs de soins de santé rémunérés par le régime d'assurance-maladie de la province aux fins de la prestation des services de santé. Suivant cette définition, la HIA ne vise pas les professionnels de la santé, comme les dentistes, qui dispensent des soins de santé privés. La Personal Information Protection Act (PIPA) de l'Alberta s'applique aux organismes du secteur privé, comme les cliniques dentaires, mais elle ne vise pas les renseignements de santé — au sens que donne à cette expression la HIA — qui sont recueillis, utilisés ou communiqués aux fins des soins de santé. Dans ce régime double, la collecte, l'utilisation ou la communication de renseignements de santé personnels par les dentistes exerçant une pratique privée de prestation de services de soins de santé semblent être passées entre les mailles du filet parce qu'à l'heure actuelle, elles ne sont pas visées par l'une ou l'autre des lois albertaines. Par conséquent, une telle activité serait assujettie à la loi fédérale.

À titre de post-scriptum à ce scénario, j'aimerais signaler qu'en mars dernier, le projet de loi 8 a été déposé devant l'Assemblée législative de l'Alberta pour justement corriger cette situation. Entre autres choses, le projet de loi propose de modifier la PIPA de manière à y assujettir les activités des professionnels de pratique privée qui recueillent, utilisent ou communiquent des renseignements de santé personnels dans le cadre de la prestation de soins de santé. D'ici l'adoption de la modification, les commissariats du Canada et de l'Alberta travailleront en étroite collaboration pour traiter des divers scénarios complexes faisant intervenir des administrations multiples à mesure qu'ils se présenteront.

Un autre exemple de ce qui précède se rapporte à la Loi sur la protection des renseignements personnels sur la santé (LPRPS) de l'Ontario, qui impose un vaste éventail d'obligations au chapitre de la protection des renseignements personnels aux dépositaires de renseignements sur la santé. Elle prévoit également certaines autres obligations dans le cas d'entités qui ne sont pas dépositaires de renseignements sur la santé, comme les employeurs et les sociétés d'assurances, mais ces obligations ne visent que l'utilisation et la communication de renseignements de santé personnels qu'ils reçoivent de dépositaires de renseignements sur la santé. Par exemple, les sociétés d'assurances ne sont pas assujetties aux autres obligations de la LPRPS en matière de protection des renseignements personnels comme la collecte, l'accès, la correction, la reddition de comptes, les mesures de sécurité, etc. Ces obligations continuent d'être régies par la LPRPDÉ. De nouveau, les commissariats du Canada et de l'Ontario travailleront en étroite collaboration pour faire respecter la gamme complète des obligations des organisations en vertu de la compétence simultanée de la LPRPS et de la LPRPDÉ de la manière la plus efficace et la plus continue possible.

Activité commerciale interprovinciale

D'autres enjeux complexes mettant en cause les champs de compétence surgissent lorsque les renseignements circulent au-delà des limites provinciales. Par exemple, une organisation de l'Alberta peut communiquer des renseignements personnels à une organisation distincte en Saskatchewan dans le cadre de ses activités commerciales. Une citoyenne ou un citoyen peut se plaindre de cette transaction interprovinciale au Commissariat à la protection de la vie privée du Canada. Ou bien, une citoyenne ou un citoyen désireux de se plaindre concernant le volet de la communication de la transaction pourrait déposer une plainte contre l'organisation de l'Alberta auprès du commissaire à l'information et à la protection de la vie privée de l'Alberta aux termes de la PIPA. Ou encore, si la citoyenne ou le citoyen désire se plaindre de la collecte indue de ses renseignements personnels par l'organisation de la Saskatchewan, il peut adresser sa plainte au Commissariat à la protection de la vie privée du Canada, étant donné que la Saskatchewan n'a pas adopté de loi essentiellement similaire à la loi fédérale pour régir les organisations et les activités du secteur privé. Quoi qu'il en soit, que la plainte visant la même transaction soit déposée en Alberta ou auprès de l'organisme fédéral, les deux commissariats concerteront leurs efforts pour tenter de minimiser le nombre d'enquêtes et pour coordonner leurs travaux, dans la mesure du possible.

Dans le cadre d'une affaire dont est actuellement saisi le Commissariat, le plaignant travaillait pour une organisation en Colombie-Britannique qui offrait de l'assurance-invalidité. Le plaignant avait demandé à la société d'assurances, dont le siège social était situé au Québec, d'avoir accès à son dossier, qui était conservé à Toronto. La société d'assurances a donné suite à cette requête comme si elle était assujettie à la LPRPDÉ. Compte tenu de ces faits, la LPRPDÉ représente-t-elle le texte de loi qu'il convient d'appliquer? La LPRPDÉ devrait-elle s'appliquer parce que l'Ontario n'a pas adopté de loi essentiellement similaire à la loi fédérale régissant le secteur privé dans cette province? La LPRPDÉ devrait-elle s'appliquer parce que l'affaire met en cause une transaction interprovinciale — l'achat de services d'assurances? Est-elle visée par la loi du Québec parce que la société a son siège social dans cette province? Est-elle assujettie à la loi régissant le secteur privé de la Colombie-Britannique puisqu'il s'agit d'un enjeu mettant en cause l'emploi?

Dans une autre affaire, le même scénario se produit sauf que l'employeur a son siège social dans les Maritimes, où aucune loi essentiellement similaire à la loi fédérale n'a été promulguée. Dans quelle mesure le traitement de cette affaire différera-t-il de celui réservé à la première, s'il est différent? Nous tentons actuellement de démêler les champs de compétence dans ces affaires, mais il convient surtout de se rappeler que nous devons nous entretenir avec nos homologues provinciaux pour trouver la manière optimale d'aider les citoyennes ou les citoyens à protéger leur droit fondamental à la vie privée.

Il ne fait aucun doute qu'avec le temps, ces enjeux mettant en cause les champs de compétence deviendront moins prenants. Je puis vous assurer que les commissaires du Canada et des provinces unissent leurs efforts afin de trouver ensemble une solution à ces problèmes. Toutes les autorités de la protection de la vie privée au Canada sont bien conscientes de l'importance de la collaboration à ce chapitre. Si quelques citoyennes ou citoyens saisissent les tribunaux d'affaires mettant en cause la compétence, dans l'ensemble, ces enjeux peuvent être réglés grâce à un processus collégial. Nous cherchons dans chaque cas à établir le mécanisme le plus simple et le plus clair possible pour que les citoyennes ou les citoyens et les organisations comprennent leurs droits et obligations respectifs.

Les commissaires du Canada et des provinces ont concerté leurs efforts pour mettre au point des protocoles officiels de traitement des enquêtes en présence de champs de compétence qui se chevauchent. En mars 2004, la commissaire à la protection de la vie privée du Canada a envoyé un protocole d'entente aux commissaires à l'information et à la protection de la vie privée de l'Alberta et de la Colombie-Britannique dans lequel elle confirmait les discussions entourant le règlement des plaintes relatives à des organisations de ces provinces. Ce protocole énonce en partie la manière dont le Commissariat à la protection de la vie privée du Canada s'occuperait des plaintes avant et après que la loi d'une province est déclarée « essentiellement similaire » à la loi fédérale. Tout récemment, la commissaire a correspondu avec M^me Cavoukian concernant le règlement des plaintes intéressant à la fois le Commissariat du Canada et le Commissariat de l'Ontario depuis l'entrée en vigueur de la Loi de 2004 sur la protection des renseignements personnels sur la santé dans cette province et en attendant que cette loi soit déclarée essentiellement similaire à la loi fédérale. Ces protocoles d'entente sont affichés sur le site Web du Commissariat à la protection de la vie privée du Canada (privcom.gc.ca).

Par ailleurs, bon nombre d'efforts informels sont déployés dans les coulisses pour simplifier la manière dont le fédéral et les provinces abordent la question des champs de compétence. Des cadres supérieurs des commissariats compétents ont mis sur pied une tribune sur la protection des renseignements personnels dans le secteur privé qui cherche à coordonner et à harmoniser la surveillance du secteur privé du Canada par le fédéral et les provinces. Chaque mois, des employés assistent à des conférences téléphoniques ou des réunions pour élaborer des procédures servant à déterminer le champ de compétence, à transférer des plaintes et à mener des enquêtes conjointes ou parallèles. En outre, une conférence des enquêteurs s'est tenue pour la première fois à Regina en mars dernier à laquelle ont participé des enquêteurs des provinces de l'Ouest afin d'échanger des renseignements sur les questions liées aux champs de compétence et de discuter de la manière dont ils ont traité d'affaires d'intérêt commun. La conférence a connu un très vif succès, et nous envisageons de répéter cette expérience ailleurs au pays. Notre site Web regorge de renseignements sur les champs de compétence (dont une fiche d'information) tout comme ceux de commissariats provinciaux à l'information et à la protection de la vie privée.

Un exemple récent permet d'illustrer la coopération fédérale-provinciale. Un couple d'Alberta recevait par erreur des télécopies contenant des renseignements médicaux. Selon un article paru dans un journal d'Edmonton, ces télécopies devaient être échangées entre fournisseurs de services de santé et contenaient des renseignements de santé personnels concernant une personne identifiable.

Il est ressorti d'une enquête préliminaire que plusieurs des parties responsables de l'envoi des dossiers n'étaient pas assujetties à la Health Information Act de l'Alberta et que quelques-unes des transactions relevaient de fait de la compétence fédérale en application de la LPRPDÉ. Les commissariats ont concerté leurs efforts en vue d'enquêter sur cet incident et ont établi que le couple avait reçu 10 télécopies provenant de 7 organisations différentes. Les enquêtes ont par ailleurs conclu que les organisations avaient enfreint la loi provinciale tout autant que la loi fédérale.

Conclusion

Ces questions de champ de compétence sont certes complexes, mais il ne faudrait pas invoquer cette complexité pour atténuer nos obligations au plan de la transparence et de la reddition de comptes. Personne n'y gagne si nous nous cachons derrière le « voile du champ de compétence », encore moins les personnes dont les renseignements de santé sont visés ou l'organisation qui, parce qu'elle a les mains liées, ne peut régler la question et poursuivre ces affaires.

Le Commissariat à la protection de la vie privée du Canada aimerait bien connaître vos impressions sur la manière d'alléger la complexité qui entoure l'assurance de la protection des renseignements personnels au Canada. Son but n'est pas d'être exigeant et intransigeant. Bien au contraire, il tente d'appliquer les pouvoirs et les outils que lui confèrent les lois pour encourager le plus possible les organisations à façonner leurs pratiques en matière de renseignements afin d'assurer la protection la plus efficace qui soit de ce droit de la personne fondamental que nous appelons la vie privée.

La LPRPDÉ doit faire l'objet d'un examen en 2006, ce qui constitue le premier tour de piste concernant la loi régissant la protection des renseignements personnels dans le secteur privé au niveau fédéral. La LPRPDÉ a incité plusieurs provinces à adopter des lois essentiellement similaires à la loi fédérale depuis 2000. Nous avons bouclé la boucle et sommes actuellement bien placés pour comparer les approches et solutions novatrices mises de l'avant par les provinces et pour en tirer des enseignements. Il est incontestable que la LPRPDÉ tirera profit de ces connaissances et que les récentes expériences provinciales serviront à améliorer ce texte de loi.

Pour sa part, le Québec acquiert depuis 1994 de l'expérience dans ce domaine. Nous avons passablement à gagner de la jurisprudence que cette province accumule depuis plus de 10 ans au chapitre de l'interprétation de la loi sur la protection des renseignements personnels à laquelle est assujetti le secteur privé. De fait, le Commissariat a commandé un examen et un résumé de cette jurisprudence, que nous afficherons publiquement sur notre site Web dans les deux langues officielles. Nous travaillons de concert avec un comité de rédaction composé de représentants de plusieurs commissariats provinciaux, dont la Commission d'accès à l'information du Québec, pour mener à terme ces efforts et, avec le temps, publier le fruit de nos travaux. Ce document, nous l'espérons, mettra la lumière sur l'interprétation que les tribunaux québécois ont donnée à des concepts semblables ou équivalents en matière de protection de la vie privée notamment les « renseignements personnels », le « consentement », la « nécessité », la « fin », pour ne nommer que ceux-là, de même que sur l'évolution de ces concepts au fil des ans. En convertissant la banque de connaissances et d'expériences du Québec en un support convivial et facile d'accès, nous espérons faire profiter toutes les autres administrations qui commencent à peine à donner sens et effet à leurs lois plus récentes sur la protection de la vie privée auxquelles est assujetti le secteur privé.

Tel est l'avantage que procure la diversité, cette caractéristique unique de notre confédération canadienne.

Merci.