Les efforts d'un employeur pour recueillir des renseignements médicaux personnels sont jugés appropriés; il n'y a aucune preuve de communication inappropriée

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-118

[Principes 4.4, 4.4.1, 4.3 de l'annexe 1; paragraphe 5(3)]

Plainte

Un employé d'une entreprise de télécommunications affirme que son employeur recueillait des renseignements personnels à son sujet qui n'étaient pas nécessaires et qu'il partageait ces renseignements avec les gestionnaires de l'entreprise sans son consentement. Plus particulièrement, le plaignant, qui était alors en congé pour maladie prolongée, s'est plaint lorsque son employeur lui a demandé s'il acceptait que son médecin communique des renseignements médicaux au sujet de sa maladie au personnel en santé au travail de l'entreprise.

Résumé de l'enquête

Conformément à la politique sur les congés pour maladie prolongée de l'entreprise, l'employé doit signer un formulaire de consentement autorisant son médecin à communiquer des renseignements médicaux liés à la maladie de l'employé aux professionnels en santé au travail de l'entreprise et discuter de ce sujet directement avec eux. Le formulaire énonce les motifs de l'entreprise pour recueillir de tels renseignements, à savoir un examen pour déterminer l'admissibilité aux prestations et la détermination de l'aptitude à l'emploi. Le formulaire comporte des questions sur les troubles, les soins et le pronostic médicaux de l'employé. Si l'absence de l'employé se prolonge au-delà de la date prévue indiquée sur le formulaire, le superviseur demande à l'employé de remplir un deuxième formulaire.

Le personnel en santé au travail, les médecins et les infirmières de l'entreprise, qui sont liés par leur code de déontologie respectif, examinent le formulaire et fournissent aux gestionnaires seulement l'information concernant l'aptitude à travailler et les limites de l'employé. Des renseignements détaillés concernant la politique de l'entreprise sont accessibles à tous les employés sur le site Web de l'entreprise et dans leur brochure.

L'entreprise a mis en place des politiques et des procédures qui permettent de protéger les renseignements personnels d'un employé. Plus particulièrement, les renseignements médicaux sont classés dans un fichier distinct, puis stockés dans des zones d'archivage sécuritaires. Les renseignements médicaux informatisés sont également protégés.

Le plaignant a fourni à son employeur quatre certificats médicaux, mais aucun d'entre eux ne contenait des renseignements médicaux précis. L'employeur a demandé au plaignant de remplir le formulaire précité et de répondre au superviseur. Le plaignant a perçu cette procédure comme une tentative inappropriée de recueillir des renseignements personnels à son sujet. Par contre, sur le formulaire, on stipulait clairement que le formulaire devait uniquement être remis à un professionnel de la santé au travail. Dans ce cas, le médecin du plaignant a indiqué le diagnostic et le pronostic. Plus tard, on lui a demandé de signer une deuxième lettre de consentement, mais il a refusé de le faire.

Le plaignant a également exprimé certaines préoccupations concernant le fait que son superviseur connaissait des détails à l'égard de son état de santé. Les personnes en question, ainsi que le professionnel de santé au travail, ont nié avoir eu des discussions concernant la maladie du plaignant.

Conclusions du commissaire

Rendues le 17 février 2003

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) s'applique aux ouvrages, aux entreprises ou aux secteurs d'activité fédéraux. De plus, depuis le 1^er janvier 2002, la Loi s'applique aux renseignements personnels sur la santé. Le commissaire avait compétence dans cette cause, parce que les sociétés de télécommunications constituent des ouvrages, des entreprises ou des secteurs d'activité fédéraux selon la définition de la Loi et parce que les plaintes se rapportaient en grande partie à la gestion que faisait l'entreprise des renseignements personnels sur la santé au cours de l'année 2002.

Application : Le principe 4.3 stipule que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire. Le principe 4.4 énonce que l'organisation ne peut recueillir que les renseignements personnels nécessaires aux fins déterminées par l'organisation. Le principe 4.4.1 énonce que les organisations ne doivent pas recueillir des renseignements de façon arbitraire. On doit restreindre tant la quantité que la nature des renseignements recueillis à ce qui est nécessaire pour réaliser les fins déterminées. Les organisations doivent préciser la nature des renseignements recueillis comme partie intégrante de leurs politiques et de leurs pratiques concernant le traitement des renseignements. Le paragraphe 5(3) stipule que l'organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu'à des fins qu'une personne raisonnable estimerait acceptables dans les circonstances.

Le commissaire a déterminé que les motifs de l'entreprise pour recueillir des renseignements personnels sur le plaignant étaient légitimes, appropriés et conformes au paragraphe 5(3) de la Loi. Le commissaire était également convaincu que l'entreprise avait restreint sa collecte aux renseignements personnels sur le plaignant aux éléments nécessaires pour répondre à leurs besoins, au sens des exigences du principe 4.4. Il a également déterminé que l'entreprise avait déjà des politiques et des procédures en place qui décrivaient ces motifs, les moyens par lesquels les renseignements personnels étaient traités et les individus traitant ces renseignements, les rôles respectifs des parties qui étaient concernées et qui mentionnaient que ces renseignements étaient à la disposition de tous les employés, satisfaisant ainsi aux obligations de l'entreprise en vertu du principe 4.4.1.

Finalement, le commissaire n'a trouvé aucune preuve pour conclure que les employés de l'entreprise avaient communiqué des renseignements personnels au sujet du plaignant sans son consentement et, par conséquent, il n'avait aucun fondement pour affirmer que l'entreprise allait à l'encontre du principe 4.3.

En conséquence, le commissaire a conclu que les plaintes étaient non fondées.