Vie privée et pratique privée : les dix étapes indispensables à suivre

Le 1er janvier 2004, de nouvelles lois - fédérale et provinciales - entreront en vigueur et modifieront en profondeur les normes que les avocats et avocates de la pratique privée devront suivre lorsqu’ils et elles auront à traiter des renseignements personnels dans le cadre de leur cabinet.

La Loi fédérale sur la protection des renseignements personnels et les documents électroniques (LPRPDÉ) s’appliquera aux cabinets juridiques et aux juristes qui recueillent, utilisent et divulguent des renseignements personnels dans le cadre de leurs activités commerciales, excepté pour ce qui est des opérations entièrement entreprises au sein d’une province disposant d’une législation provinciale qui aura été déclarée « essentiellement similaire » à la loi fédérale . Trois provinces ont à l’heure actuelle une législation d’application générale sur la protection de la vie privée—au Québec, en Colombie-Britannique et en Alberta.

Ces lois obligeront les cabinets juridiques à ne recueillir, utiliser et divulguer les renseignements personnels d’un particulier qu’avec son contentement, lequel peut être exprès ou implicite, selon la délicatesse des renseignements visés et des attentes raisonnables de cette personne. Il existe certes des exceptions à cette règle, elles sont cependant limitées. Les lois obligeront en outre les cabinets juridiques à charger un de leurs cadres à veiller au respect de la loi au sein du cabinet et à instaurer des politiques et pratiques (et à former les employées et employés afin de s’y conformer) qui mettent en œuvre les exigences des lois.

Les 10 principes que les cabinets juridiques devront respecter figurent à l’annexe 1 de la LPRPDÉ et sont ainsi énumérés : responsabilité; détermination des fins de la collecte des renseignements; consentement; limitation de la collecte; limitation de l’utilisation, de la communication et de la conservation; exactitude; mesures de sécurité; transparence; accès aux renseignements personnels; et possibilité de porter plainte à l’égard du non-respect des principes.

Afin de réaliser cet objectif de conformité aux obligations prescrites par ces lois, le cabinet du Commissaire à la protection de la vie privée du Canada a recommandé à toutes les organisations du secteur privé de procéder à une évaluation de leurs pratiques en matière de renseignements personnels.

Pour veiller à ce que votre cabinet juridique respecte bien la loi, vous devrez suivre les étapes suivantes :

1. Nommez un agent, une agente chargé des questions de vie privée

Faites en sorte de désigner un agent ou une agente doté du pouvoir et des ressources suffisants pour accomplir ces fonctions. Cette personne jouerait le rôle de personne ressource pour la clientèle, les employés, les employées, les tiers et le public aussitôt qu’une question liée à la protection de la vie privée surgit. Cette personne serait en outre tenue de veiller au respect des principes et politiques sur le respect de la vie privée au sein du cabinet juridique.

Dans les cabinets juridiques plus importants, il est possible de répartir cette responsabilité entre plusieurs personnes. Une équipe sera d’autant plus efficace que plusieurs secteurs du cabinet, tels que la technologie d’information, la gestion des dossiers, les services à la clientèle, les ressources humaines, les opérations financières et le marketing risquent d’être touchés.

2. Familiarisez-vous avec la législation applicable

Votre cabinet devra connaître en profondeur la loi, tout au moins la LPRPDÉ. On peut consulter des outils de référence sur le site Web du Commissaire fédéral à la protection de la vie privée à l’adresse suivante : www.privcom.gc.ca. Le principe fondamental de la LPRPDÉ est que votre cabinet doit obtenir le consentement d’une personne pour pouvoir recueillir, utiliser ou divulguer ses renseignements personnels, sous réserve des exceptions limitées prévues par la loi. Les renseignements personnels sont définis comme étant tout renseignement concernant un individu identifiable, à l’exclusion du nom et du titre d’un employé d’une organisation et des adresse et numéro de téléphone de son lieu de travail. Les obligations imposées aux cabinets juridiques prévalent donc sur le devoir de confidentialité que le conseiller juridique a envers sa clientèle. Les exceptions prévues à l’article 7 de la loi sont particulièrement importantes pour votre cabinet dans la mesure où elles concernent les enquêtes, le recouvrement de dettes, les renseignements accessibles au public, les productions obligatoires et les divulgations « exigées par la loi ».

3. Analysez toutes les pratiques relatives au traitement des renseignements personnels

Votre cabinet juridique est responsable de la collecte, de l’utilisation et de la divulgation des renseignements personnels à compter de leur réception jusqu’à leur destruction. Posez-vous donc les questions suivantes :

• Quels types de renseignements personnels recueillez-vous (p.ex., ceux de la clientèle, de tiers, de clientes et clients potentiels, de parties adverses potentielles, d’employés, d’employées, de futurs employés et employées, de spécialistes). Pour quelle(s) raison(s) et de quelle manière?
• Quels renseignements sont-ils considérés comme délicats (médicaux, financiers, etc.)?
• Quel usage en faites-vous? À quel endroit les utilisez-vous?
• À qui ces renseignements sont-ils divulgués? Votre cabinet juridique transmet-il ou divulgue-t-il ces renseignements personnels à des fournisseurs de services? (Nota : transmettre des renseignements aux seules fins de traiter des données n’exige pas le consentement de l’intéressé)
• Où ces renseignements sont-ils conservés? Sur place? À l’extérieur du cabinet?
• Quelle méthode utilisez-vous pour assurer leur sécurité?
• Qui peut y accéder ou les utiliser? Qui doit y avoir accès?
• À quel moment ces renseignements sont-ils détruits? Et de quelle manière?

4. Obtenez les consentements requis

Êtes-vous en mesure de répondre aux questions suivantes :

• S’agit-il de renseignements personnels?
• Avez-vous obtenu le consentement, exprès ou implicite, de la personne visée en vue de recueillir, d’utiliser ou de divulguer ses renseignements personnels? (Nota : les renseignements de nature délicate exigent un consentement exprès)
• Lorsque vous obtenez ce consentement, la personne visée était-elle au courant des objectifs pour lesquels les resneignements étaient receuillis, utilisés ou divulgués?
• L’avez-vous avisée de son droit de retirer son consentement?
• Votre cabinet peut-il se prévaloir des exceptions prévues? (Nota : n’oubliez pas l’exception limitée prescrite à l’article 7 de la LPRPDÉ)

5. Élaborez des politiques et des pratiques en matière de protection de la vie privée

Les politiques en question ne devraient être adoptées qu’à l’issue de l’évaluation exhaustive telle que décrite ci-dessus. Les renseignements obtenus en vertu de ces politiques devront être mises à la disposition du public, sur demande. Élaborez et mettez en vigueur des politiques et pratiques dans les domaines suivants :

• Définir les objectifs visés par la collecte, l’utilisation et la divulgation des renseignements
• Les méthodes visant à obtenir et consigner les consentements requis et la gestion des retraits de consentement
• Les méthodes visant à consigner les utilisations et divulgations des renseignements personnels
• Les méthodes visant à tenir les renseignements aussi à jour que possible pour prendre des décisions éclairées
• La limitation de la collecte, de l’utilisation et de la divulgation
• Les mesures de sécurité adéquates pour protéger les renseignements personnels de la clientèle, des tiers et des employés à l’aide de mesures concrètes, technologiques et indispensables qui respectent la nature délicate des renseignements visés
• Des procédures de conservation et de destruction qui vous permettent de détruire des renseignements personnels devenus inutilisables compte tenu des objectifs de leur collecte. Cette politique différera sans doute des politiques de conservation actuellement en vigueur dans votre cabinet juridique
• Procédures relatives au traitement des demandes d’accès aux renseignements et au traitement des enquêtes et des plaintes

6. Examinez votre documentation

Vous devriez passer en revue les documents tels que les mandats, les lettres d’engagement, tec, afin de déterminer dans quelle mesure vous disposez des consentements requis concernant les renseignements personnels que vous pouvez receuillir, utiliser ou divulguer dans le cadre de votre mandat.

Votre site web devrait renfermer une déclaration au sujet de la politique en vigueur dans votre cabinet. Si vous n’avez pas de site web, vous devez être en mesure de fournir des détails sur vos politiques, sur demande. Votre responsabilité en matière de respect de la vie privée s’étend à l’entente conclue avec un conseiller externe à qui vous transmettez des renseignements personnels. Si votre cabinet transmet ce type de rensseignements à des tiers, dans ce cas tous les contrats afférents devraient contenir des clauses précisant que le cabinet est légalement responsable de ces renseignements personnels et devraient aussi prévoir des mesures de sécurité adéquates. Vous pouvez également stipuler dans ces contrats les modalités d’indemnisation et les droits de vérification.

7. Mettez vos pratiques à l’épreuve

Vérifiez si les procédures adoptées par votre cabinet en matière de traitement de l’information satisfait aux exigences prévues par la Loi. Dressez un plan pour combler les lacunes ainsi relevées, en commençant par les secteurs les plus problématiques. Ce qui comprend le traitement des renseignements personnels recueillis les plus délicats ou les renseignements les plus susceptibles d’être utilisés ou divulgués à mauvais escient.

8. Formez les avocats et le personnel

Veillez à dispenser aux membres du personnel de votre cabinet juridique la formation nécessaire pour qu’ils puissent s’acquitter de leurs responsabilités en matière de respecter de la vie privée. Cette formation peut porter sur les questions suivantes :

• Les principes régissant la protection des renseignements personnels
• Les politiques et pratiques en vigueur dans l’organisation
• La manière dont la Loi influence leurs tâches spécifiques et les renseignements personnels qu’ils auront à traiter ou dont ils seront responsables dans le cadre de leurs fonctions
• La manière dont ils devront répondre ou référer des questions posées en rapport avec la législation sur la protection de la vie privée

9. Soyez prêts à répondre aux demande d’accès

En général, une personne a le droit d’accéder à ses renseignements personnels dans les 30 jours suivant sa demande. Par conséquent, étudiez la question avec votre client qui sera chargé de remplir toute demande d’accès de demande de renseignements personnels contenus dans les dossiers de ce client. Soyez conscient de l’exception applicable au privilège du secret professionnel et des autres exceptions limitées à ce droit d’accès. Si votre cabinet juridique est obligé d’accepter un accès aux renseignements, soyez au fait des périodes de prescription prévues par les lois applicables.

10. Soyez prêts à répondre aux plaintes/enquêtes au sujet des pratiques du cabinet en matière de renseignements personnels

Toute personne peut déposer une plainte au sujet d’une violation de la vie privée auprès du bureau du Commissaire. La plainte peut être anonyme. La Loi prévoit en outre une mesure de protection pour la personne qui dénonce une telle violation. Lorsqu’une plainte concerne votre cabinet, il vaut mieux que votre cabinet soit conciliant et accepte de coopérer avec l’enquêteur désigné pour traiter la plainte. Rappelez-vous que bon nombre de plaintes donnent lieu à des reportages peu reluisants dans les médias et à des conclusions négatives de la part du Commissaire.

Ces lignes directrices ont été préparées par Jeffrey Kaufman de chez Fasken Martineau DuMoulin s.r.l., co-président de la Section sur le respect de la vie privée de l’ABO et membre de l’Exécutif de la Section nationale sur le droit de la vie privée de l’ABC. Karen Spector, avocate, et Mark Hayes de chez Ogilvy Renault, tous deux membres de l’Exécutif de la Section sur le droit de la vie privée de la division ontarienne de l’ABC, ont collaboré à la conception de ces lignes directrices.

Pour obtenir des renseignements sur les conditions de l’adhésion à la Section nationale sur le droit de la vie privée de l’ABC et pour recevoir ses bulletins et des renseignements au sujet des questions liées à la protction des renseignements personnels, rendez-vous sur http://www.cba.org/ABC/Sections/privacy_f.