Un administrateur de programme de prestations prend des mesures pour obtenir le consentement approprié avant de communiquer des renseignements médicaux

Résumé de conclusions d’enquête en vertu de la LPRPDE n^o 2007-383

[Principes 4.3 et 4.3.6]

Une agente de réadaptation travaillant pour un administrateur de programme de prestations croyait avoir obtenu le consentement verbal du plaignant pour informer son employeur qu’il était prêt à retourner au travail. Elle a donc envoyé un courriel au conseiller en soins de santé de cet employeur, dans lequel elle citait mot à mot le rapport médical écrit par le médecin spécialiste du plaignant.

Avant cet incident, le plaignant avait clairement exprimé à l’agente ses inquiétudes sur la communication de renseignements médicaux à son employeur. L’administrateur du programme de prestations lui avait fait signer un formulaire de consentement restreint à l’occasion de sa première demande de prestations, quelques mois plus tôt. Ce document n’autorisait la communication d’aucun renseignement médical à l’employeur du plaignant. D’après l’administrateur, l’agente n’a pas communiqué de renseignements médicaux de façon inappropriée.

La commissaire à la protection de la vie privée n’est pas de cet avis. Elle a estimé que les renseignements n’avaient pas été communiqués de façon appropriée et que, le plaignant ayant à plusieurs reprises exprimé à l’agente ses inquiétudes au sujet de ces renseignements médicaux, son consentement écrit aurait dû être obtenu. La commissaire a émis plusieurs recommandations, que l’entreprise a mises en application.

Voici un résumé de l’enquête et des conclusions de la commissaire.

Résumé de l’enquête

En remplissant une demande de prestations d’invalidité de longue durée, le plaignant a rayé une clause concernant l’échange de renseignements (médicaux ou autres) entre l’administrateur et des tiers. Il a ajouté une note écrite à la main précisant qu’il s’opposait à ce que des renseignements médicaux le concernant soient communiqués à son employeur. Le plaignant a également annexé deux pages de notes portant sur une autre section du formulaire, dans lesquelles il s’opposait aux clauses de consentement large établies par l’administrateur. Le plaignant a précisé qu’il fournirait à l’entreprise des documents de consentement distincts et explicites pour « la vérification et la communication de renseignements médicaux ou professionnels (emploi, salaire) lorsque ceux‑ci seront raisonnablement nécessaires pour faciliter l’évaluation et l’administration de cette demande de prestations » [Traduction].

Le formulaire de consentement que le plaignant a finalement signé (de pair avec sa demande de prestations) consistait en un consentement restreint et modifié à la suite de négociations avec un arbitre agissant au nom de l’administrateur. Au sujet des renseignements médicaux, on peut lire dans ce document intitulé « Autorisation de divulguer des renseignements » [Traduction] :

[Traduction]
J’autorise également la communication de ces renseignements par (l’administrateur) aux fins d’évaluation de la demande, y compris aux fins de vérification ou d’examen de la demande par un réassureur ou un autre assureur fournissant des garanties relatives à la demande. Je comprends que, sauf si la loi l’autorise ou le requiert expressément, aucune autre utilisation ou communication des renseignements ne pourra être faite sans que je n’aie signé un formulaire de consentement écrit supplémentaire justifiant la proposition d’une nouvelle utilisation ou communication de renseignements à une autre personne ou entité.

En restreignant ainsi son consentement, le plaignant voulait explicitement limiter le droit de l’administrateur de communiquer des renseignements médicaux à son employeur.

Selon l’administrateur, lorsqu’il a été prêt à retourner au travail, le plaignant a demandé à l’entreprise d’écrire à son médecin traitant. L’administrateur l’a fait et a reçu un rapport du médecin traitant autorisant le retour progressif du plaignant au travail. Une agente de réadaptation a été chargée de coordonner ce retour au travail et un plan a été établi à cet effet.

L’administrateur a confirmé que les formulaires de consentement et d’autorisation modifiés étaient déposés et valides. Il a aussi confirmé que l’agente de réadaptation avait en main une copie de ces deux documents au moment où elle a commencé à coordonner le retour au travail du plaignant.

Ce dernier a discuté avec l’agente de réadaptation, qui lui a affirmé être en possession du rapport médical écrit pas son médecin. Le plaignant affirme qu’au cours de cette conversation (téléphonique), il a exprimé ses inquiétudes au sujet du caractère privé et confidentiel de son dossier médical. Il aurait expliqué avoir signé un consentement restreint dans l’intention précise de limiter le droit de l’administrateur de communiquer des renseignements médicaux à son employeur. Le plaignant a précisé que l’agente de réadaptation l’avait assuré qu’aucun renseignement médical ne serait communiqué aux représentants de son employeur.

L’agente de réadaptation a gardé un souvenir différent de cette conversation. Elle croyait que le plaignant l’avait autorisée à communiquer les renseignements contenus dans le rapport du spécialiste au conseiller en soins de santé de son employeur. Elle a souligné que le plaignant lui avait dit que son employeur connaissait les grandes lignes du diagnostic. L’agente de réadaptation a aussi affirmé avoir discuté avec le plaignant de l’autorisation standard utilisée avec son employeur; selon elle, le plaignant était prêt à signer ce document. Elle n’a toutefois pas attendu qu’il signe cette autorisation tripartite standard et, dès le lendemain, elle a envoyé un courriel au conseiller en soins de santé de l’employeur dans lequel elle citait des passages du rapport du médecin traitant.

Le courriel en question contenait des renseignements tirés du rapport du médecin spécialiste, placés entre guillemets. Ces extraits ne dévoilaient pas directement l’état du plaignant, mais ils contenaient des commentaires sur sa capacité à retourner au travail, sur les effets secondaires du traitement et sur la possibilité que le plaignant doive limiter ses activités.

Le plaignant a reconnu que, lors d’une conversation téléphonique survenue cinq jours après l’envoi de ce courriel, il avait autorisé l’agente de réadaptation à informer le conseiller en soins de santé de son employeur qu’il était prêt à retourner au travail (sans restriction) et qu’il demandait qu’une date de retour soit fixée. Au cours de la conversation, l’agente l’a informé qu’elle prévoyait communiquer au conseiller des renseignements qui semblaient assez substantiels pour constituer un avis médical; le plaignant l’a alors explicitement avertie qu’il ne l’autorisait pas à le faire. Il ne savait toutefois pas qu’elle l’avait déjà fait en envoyant un courriel au conseiller.

L’agente de réadaptation a affirmé qu’au cours de cette conversation, elle avait exposé au plaignant le contenu de ce courriel. Elle a soutenu que le plaignant ne s’était pas opposé à cette communication, mais elle a aussi reconnu qu’il avait paru agité au cours de la conversation.

Le plaignant a été très contrarié par ce courriel, envoyé après qu’il ait explicitement dit à l’agente qu’il souhaitait limiter le droit de l’administrateur de communiquer des renseignements médicaux à son employeur. D’après le plaignant, les extraits du rapport du médecin cités par l’agente dans le courriel ont été considérés par son employeur comme « une base suffisamment complète et précise pour prendre une décision » [Traduction]; or cette décision fut de refuser les demandes d’accommodement du plaignant. Ce dernier a plus précisément soutenu qu’en déterminant la date de son retour au travail, la directrice de son bureau a indiqué qu’elle se basait sur des « renseignements médicaux » transmis par les services de réadaptation avec lequel son employeur fait affaire.

Selon l’administrateur, le plaignant a donné son consentement verbal en laissant un message téléphonique à l’agente de réadaptation le jour où celle-ci a envoyé le courriel litigieux; dans ce message, le plaignant aurait confirmé que l’agente pouvait informer son employeur qu’il était prêt à retourner au travail à temps plein, sans restriction ni limitation. Le plaignant soutient avoir consenti seulement à ce que l’agente avise son employeur qu’il était prêt à retourner au travail sans restriction et qu’il demandait par conséquent qu’une date de retour soit fixée.

Le plaignant a fait part de ses inquiétudes à l’administrateur avant de déposer une plainte au Commissariat. On lui a répondu que l’agente de réadaptation n’avait pas prévu qu’il s’opposerait à ce qu’elle cite des passages du rapport médical dans un courriel et qu’elle ne s’était pas attardée à la distinction que le plaignant établissait entre l’opinion de l’administrateur et l’opinion d’un médecin spécialiste sur la question. L’administrateur s’est excusé auprès du plaignant pour ce malentendu, mais a estimé qu’aucun renseignement médical n’avait été communiqué de façon inappropriée.

L’administrateur a affirmé qu’il s’assure de ne pas communiquer à un employeur de renseignements personnels ou médicaux sensibles sans le consentement des clients, et que ces renseignements ne peuvent être communiqués que dans la mesure nécessaire au respect de certaines obligations contractuelles. Parmi ces obligations, on peut citer le fait de fournir à l’employeur des renseignements concernant les accommodements pour le retour au travail d’un employé, les activités de réadaptation et l’état de la demande d’un employé.

L’administrateur a soutenu que dans le cas examiné, aucun renseignement médical n’avait été communiqué, car le courriel de l’agente ne divulguait aucun détail sur l’état du plaignant. L’administrateur a en outre affirmé que le plaignant avait explicitement demandé à l’agente de réadaptation d’aviser son employeur qu’il était prêt à reprendre le travail à temps plein, sans restriction ni limitation. Selon l’administrateur, c’est pour donner suite à cette demande que l’agente a cité le rapport du médecin spécialiste, sans toutefois le préciser.

Conclusions

Rendues le 30 octobre 2007

Application : Selon le principe 4.3, toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir. Le principe 4.3.6 stipule qu’en général, une organisation devrait chercher à obtenir un consentement explicite si les renseignements sont susceptibles d’être considérés comme sensibles.

Pour rendre sa décision, la commissaire s’est appuyée sur les considérations suivantes :

• Le plaignant a indiqué au Commissariat qu’il souhaitait que sa plainte permette de déterminer si un fournisseur de prestations a le droit de communiquer des renseignements médicaux à un employeur sans obtenir le consentement explicite d’un client ou sans poursuivre d’objectif médical légitime.
• Deux questions ont donc été posées : est-ce que des renseignements médicaux ont bel et bien été communiqués et, si oui, est-ce que le plaignant avait donné son consentement?
• En ce qui concerne la première question, l’administrateur a admis qu’il y avait eu un malentendu sur l’ampleur et les limites du consentement du plaignant concernant le contenu du courriel que l’agente a écrit à son employeur.
• D’après l’administrateur, les extraits cités pouvaient tout juste confirmer que le plaignant était en mesure de reprendre ses activités habituelles; ces extraits n’étaient pas assez substantiels pour qu’il s’agisse d’une communication inappropriée de renseignements médicaux confidentiels.
• Les renseignements problématiques étaient des extraits mot à mot du rapport du médecin spécialiste; ces extraits portaient sur l’état de santé du plaignant. Ils ne contenaient pas de renseignements précis sur son état pathologique, mais ils révélaient clairement des renseignements sur d’autres aspects de son état de santé, et ce, dans les mots d’un médecin spécialiste. Les extraits cités portaient plus précisément sur l’aptitude physique du plaignant à accomplir les tâches exigées par son emploi, sur son état de santé général (alors jugé « stable ») et sur les éventuels effets secondaires de son traitement. Les renseignements en cause constituaient l’opinion professionnelle d’un médecin sur la santé physique du plaignant, sur le plan de traitement prévu et sur les conséquences médicales de ce traitement. D’après la commissaire, il s’agit de renseignements médicaux personnels et sensibles auxquels s’appliquent aussi bien le principe 4.3.6 que les conditions du consentement restreint du plaignant.
• L’administrateur a reconnu avoir dans ses dossiers un document de consentement restreint, signé par le plaignant et négocié avec un arbitre, se substituant au consentement médical standard. Ce document exigeait qu’un consentement écrit supplémentaire soit signé pour toutes communications autres que celles prévues (aux fins d’examen ou d’évaluation des demandes de prestations). Le plaignant avait spécifié qu’il fournirait à l’entreprise des documents de consentement distincts et explicites pour la vérification et la communication de renseignements médicaux ou professionnels (emploi, salaire) pour faciliter l’évaluation et l’administration relatives à ses demandes de prestations.
• Bien que l’administrateur ait cru que le plaignant avait consenti verbalement à ce que son employeur soit informé qu’il pouvait retourner au travail sans restriction ni limitation, il n’avait pas obtenu le consentement écrit qui l’aurait autorisé à le faire. Sans respecter le consentement signé par le plaignant et sans obtenir de ce dernier un autre consentement écrit, l’administrateur a communiqué à son employeur des extraits du rapport du médecin spécialiste.
• En somme, le plaignant a explicitement exprimé à l’administrateur ses inquiétudes au sujet de la divulgation de renseignements médicaux le concernant, et ce, aussi bien dans le formulaire de demande de prestations que dans l’Autorisation de divulguer des renseignements. Ces deux documents étaient valides au moment où l’agente de réadaptation a transmis à l’employeur du plaignant des extraits de son rapport médical.
• Les preuves présentées à la commissaire confirment donc l’allégation du plaignant selon laquelle l’agente ne disposait pas du consentement écrit supplémentaire qui l’aurait autorisée à communiquer des renseignements médicaux à l’employeur au moment où elle l’a fait. La communication de ces renseignements allait à l’encontre des principes 4.3 et 4.3.6.
• Il y a eu un malentendu sur la portée de l’autorisation à communiquer des renseignements en vue d’obtenir une date de retour au travail. L’administrateur aurait pu éviter ce malentendu en obtenant un consentement explicite et écrit du plaignant. La commissaire a souligné que cette mesure aurait grandement réduit le risque de malentendu et qu’il est particulièrement important d’obtenir un consentement écrit quand des renseignements médicaux sensibles sont en cause.
• La commissaire a donc recommandé que l’administrateur s’engage clairement à s’assurer que ses employés obtiennent le consentement clair et explicite de leurs clients avant de communiquer des renseignements médicaux sensibles à une tierce partie. Elle a également recommandé que l’administrateur donne une preuve de cet engagement en veillant à ce que les employés appelés à communiquer des renseignements médicaux personnels soient au courant :

• de la procédure à suivre pour obtenir un consentement clair et explicite;
• de la nécessité d’obtenir un consentement écrit dans la plupart des cas, sinon dans tous les cas;
• de la nécessité de respecter toutes les exigences explicites établies dans les conditions d’un consentement restreint;
• du fait que la commissaire estime que des extraits mot à mot d’un rapport médical constituent les renseignements personnels du patient.

• La commissaire a également recommandé que l’administrateur ajuste ses politiques et son matériel de formation en conséquence, si nécessaire.
• L’administrateur a suivi toutes les recommandations et a fait connaître à ses employés les commentaires de la commissaire sur les extraits mot à mot de rapports de médecins spécialistes.
• Par conséquent, la commissaire a estimé que l’administrateur respectait désormais les principes 4.3 et 4.3.6.

La commissaire conclut que la plainte était fondée et résolue.

Voir aussi

N^o 293 La commissaire examine les allégations portées contre une compagnie d’assurances concernant l’accès à des renseignements personnels, ainsi que leur communication inappropriée et le refus d’y apporter des corrections

N^o 348 Communication inappropriée d’un diagnostic, mais la compagnie d’assurances maintient que ses politiques et ses pratiques concernant la protection des renseignements personnels sont transparentes