EXIGENCES MINIMALES RELATIVES À LA PROTECTION DES RENSEIGNEMENTS PERSONNELS LORS DE SONDAGES RÉALISÉS PAR UN ORGANISME PUBLIC OU SON MANDATAIRE

Transcription

1 EXIGENCES MINIMALES RELATIVES À LA PROTECTION DES RENSEIGNEMENTS PERSONNELS LORS DE SONDAGES RÉALISÉS PAR UN ORGANISME PUBLIC OU SON MANDATAIRE JUIN 1999

2 Exigences minimales relatives à la protection des renseignements personnels lors de sondages 3 OBJET Les présentes Exigences minimales découlent de l'exercice des pouvoirs de surveillance confiés à la Commission d'accès à l'information par la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels (Loi sur l'accès). Elles s'appliquent chaque fois que sont présentes les situations suivantes : un organisme public (mandant) communique des renseignements personnels à une personne ou un organisme (mandataire) dans le cadre d'un mandat visant la réalisation d'un sondage ; des renseignements personnels sont colligés par le mandataire ou par un organisme public dans le cadre de la réalisation d'un sondage; un organisme public utilise des renseignements personnels qu'il a déjà colligés pour réaliser un sondage auprès de sa clientèle. Tous les organismes publics assujettis à l'application de la Loi sur l'accès sont visés par les présentes Exigences minimales. Ces organismes publics sont les suivants : le gouvernement, le Conseil exécutif, le Conseil du trésor, les ministères, les organismes gouvernementaux, les organismes municipaux, les organismes scolaires et les établissements de santé et de services sociaux. La Loi sur l'accès stipule qu'un mandataire peut être une personne ou un organisme. Ces notions couvrent donc toute personne physique ou morale de même qu'un organisme privé ou public. Les Exigences minimales fixées par la Commission déterminent les obligations que doivent respecter les organismes publics et, le cas échéant, leurs mandataires avant, pendant et après la réalisation d'un sondage. Ainsi, ces Exigences visent le respect des principes établis par la Loi sur l'accès et regroupent des lignes de conduite autour des thèmes suivants : les questions à évaluer avant de décider de communiquer des renseignements personnels à un mandataire pour la réalisation d'un sondage; le contenu du mandat de réalisation d'un sondage; les règles à respecter au moment de la réalisation du sondage; les obligations de l'organisme public au terme de la réalisation du sondage; l'établissement de directives par les organismes publics;

3 Exigences minimales relatives à la protection des renseignements personnels lors de sondages 4 le rôle du responsable de la protection des renseignements personnels. PROBLÉMATIQUE Un organisme public peut être appelé à mener diverses recherches, évaluations ou enquêtes. À cet effet, un organisme public peut décider d'avoir recours aux techniques des sondages. Ces derniers pourront être réalisés par les membres du personnel de l'organisme public ou par un mandataire. En effet, un organisme public peut décider de confier à l'externe la réalisation d'un sondage qui permettra de colliger certains éléments d'information jugés pertinents. Si ce dernier scénario est privilégié, un échantillonnage sera alors souvent constitué par l'organisme public à partir des banques de renseignements personnels qu'il détient. Cet échantillonnage pourra contenir les nom, adresse, numéro de téléphone et d'autres renseignements personnels. Ces renseignements personnels seront alors communiqués au sondeur pour les fins de la réalisation de son mandat. Ce dernier pourra être appelé à colliger auprès des personnes interrogées de nouveaux renseignements personnels. La Loi sur l'accès n'interdit pas la communication de renseignements personnels à un mandataire aux fins de la réalisation d'un sondage. Toutefois, la loi circonscrit plusieurs obligations qui doivent nécessairement être respectées si un mandat est confié à une personne ou à un organisme. Le respect des ces obligations est essentiel pour garantir aux citoyens que les renseignements détenus à leur sujet par l'état sont traités avec considération et de façon confidentielle. Même si la Loi sur l'accès autorise la communication de renseignements personnels à un mandataire, un organisme public devra toujours, dans un premier temps, s'assurer que sa loi constitutive ou d'autres dispositions législatives qui lui sont applicables ne lui interdisent pas de communiquer à un mandataire les renseignements personnels nécessaires à la réalisation d'un sondage. La Loi sur l'accès impose également le respect de certaines obligations relatives à la cueillette de renseignements personnels. Un organisme public devra respecter ces obligations chaque fois qu'il collige des renseignements personnels à la faveur d'un sondage. Le mandataire de l'organisme public est également tenu au respect de ces mêmes obligations.

4 Exigences minimales relatives à la protection des renseignements personnels lors de sondages 5 À la suite de la publication du rapport de la Commission portant sur la communication de renseignements personnels à une firme de sondage par le ministère du Revenu dans le cadre de l'évaluation du programme de perception des pensions alimentaires, le ministre des Relations avec les citoyens et de l'immigration a fait connaître certaines orientations gouvernementales. Par ailleurs, le Conseil des ministres a approuvé un plan d'action pour la protection des renseignements personnels qui prévoit, notamment, que tous les sondages nécessitant l'utilisation de renseignements personnels seraient soumis à un avis explicite préalable de la Commission d'accès à l'information. Cette obligation va au-delà de ce qu'exige la Loi sur l'accès. En effet, cette dernière ne prévoit pas l'obligation de soumettre à la Commission pour avis les communications de renseignements personnels à un mandataire. De plus, le Conseil des ministres a décidé que la mise en œuvre des sondages respecterait en tous points les modalités et conditions fixées par la Commission ou, le cas échéant, par le gouvernement. L'obligation de soumettre à la Commission pour avis tous les sondages sera maintenue tant et aussi longtemps que des comités de protection de renseignements personnels n'auront pas été mis en place dans chacun des ministères et organismes gouvernementaux. Ces comités de protection des renseignements personnels seront chargés d'adopter des règles de procédure spécifiques relatives aux sondages, règles qui devront recevoir l'aval de la Commission. Les Exigences minimales de la Commission lui serviront donc de grille d'analyse chaque fois qu'elle sera appelée à émettre un avis au sujet de la communication de renseignements personnels dans le cadre de la réalisation d'un sondage et lorsqu'elle aura à donner son aval aux règles de procédure proposées par les Comités de protection des renseignements personnels. La Commission se fondera également sur ces Exigences minimales lors de l'exercice de son mandat de surveillance et de vérification auprès de l'ensemble des organismes publics.

5 Exigences minimales relatives à la protection des renseignements personnels lors de sondages 6 CONTEXTE JURIDIQUE La reconnaissance du caractère confidentiel des renseignements personnels Conformément aux articles 53 et 59 de la Loi sur l'accès, les renseignements personnels détenus par les organismes publics sont confidentiels et ils ne peuvent être communiqués sans le consentement de la personne concernée par ces renseignements. Dans la législation québécoise, la Loi sur l'accès a un caractère prépondérant. En d'autres termes, pour y déroger, une loi doit prévoir expressément qu'elle s'appliquera malgré une ou plusieurs dispositions de la Loi sur l'accès. La reconnaissance par la Loi sur l'accès du caractère confidentiel des renseignements personnels constitue l'un des volets du droit à la vie privée également énoncé dans la Charte des droits et libertés de la personne et le Code civil du Québec. Les exceptions à la règle de la confidentialité Toutefois, la Loi sur l'accès identifie certaines situations qui peuvent donner ouverture à une communication de renseignements personnels sans le consentement de la personne concernée. Ces exceptions à la règle de la confidentialité autorisent donc les organismes publics à communiquer des renseignements personnels dans la mesure où sont respectées certaines conditions fixées par la Loi sur l'accès. Conformément à l'article 171 de la Loi sur l'accès, cette dernière n'a cependant pas pour effet de restreindre la protection des renseignements personnels résultant de l'application d'une autre loi. Ainsi, une loi pourra prévoir un régime de protection des renseignements personnels plus sévère que celui mis en place par la Loi sur l'accès. Dans ce cas, il est possible qu'un organisme public ne puisse communiquer certains renseignements personnels et ce même si la communication est autorisée par la Loi sur l'accès.

6 Exigences minimales relatives à la protection des renseignements personnels lors de sondages 7 La communication de renseignements personnels dans le cadre de l'exécution d'un mandat En vertu de l'article 67.2 de la Loi sur l'accès, un organisme public peut, sans le consentement de la personne concernée, communiquer un renseignement personnel à toute personne ou organisme si cette communication est nécessaire à l'exercice d'un mandat confié par l'organisme à cette personne ou à cet organisme. Par exemple, un organisme public peut confier à une personne ou un organisme le mandat de réaliser certaines tâches pour lesquelles il manque de personnel ou d'expertise. Tel pourrait être le cas pour le traitement de la paie des employés, l'entretien des équipements informatiques ou encore la réalisation d'un sondage à des fins de recherche, d'évaluation ou d'enquête. Dans ces circonstances, des renseignements personnels pourront être communiqués au mandataire sans le consentement des personnes concernées. L'organisme public est cependant tenu de respecter les conditions énoncées à l'article 67.2 de la Loi sur l'accès. Ainsi, l'organisme public doit : confier le mandat par écrit; indiquer, dans ce mandat, les dispositions de la Loi sur l'accès qui s'appliquent au renseignement qui a été communiqué au mandataire; indiquer, dans ce mandat, les mesures que le mandataire doit prendre pour que les renseignements personnels ne soient utilisés que dans l'exercice du mandat; indiquer, dans ce mandat, les mesures que le mandataire doit prendre pour que les renseignements personnels ne soient pas conservés à l'expiration du mandat. Exception faite de l'obligation de confier le mandat par écrit, ces obligations ne s'appliquent pas aux membres des ordres professionnels visés à l'annexe 1 du Code des professions et qui sont tenus au secret professionnel. Lorsqu'un organisme public communique des renseignements personnels à un mandataire, il doit, tel que l'y oblige l'article 67.3 de la Loi sur l'accès, inscrire cette communication dans un registre tenu à cet effet. Ce registre comprend notamment : la nature ou le type de renseignements communiqués; les personnes ou organismes qui reçoivent cette communication;

7 Exigences minimales relatives à la protection des renseignements personnels lors de sondages 8 l'usage projeté des renseignements; les raisons justifiant cette communication. La collecte de renseignements personnels par un organisme public Un organisme public pourra, lorsqu'il confie la réalisation d'un mandat à une personne ou à un organisme, recueillir de nouveaux renseignements personnels concernant sa clientèle. La Loi sur l'accès impose des obligations bien précises au chapitre de la collecte de renseignements personnels par un organisme public ou son mandataire. Ainsi, en vertu de l'article 64 de cette loi, nul ne peut, au nom d'un organisme public, recueillir un renseignement personnel, si cela n'est pas nécessaire à l'exercice des attributions de cet organisme ou à la mise en œuvre d'un programme dont il a la gestion. En donnant suite à cette obligation, les organismes publics respecteront un volet important de la protection des renseignements personnels et du droit à la vie privée. Si la collecte d'un renseignement personnel est jugée nécessaire, l'organisme public doit alors remplir son obligation d'information auprès du citoyen. Cette obligation est décrite à l'article 65 de la Loi sur l'accès et prévoit que quiconque, au nom d'un organisme public, recueille un renseignement personnel auprès de la personne concernée ou d'un tiers doit au préalable s'identifier et l'informer : du nom et de l'adresse de l'organisme public au nom de qui la collecte est faite; de l'usage auquel ce renseignement est destiné; des catégories de personnes qui auront accès à ce renseignement; du caractère obligatoire ou facultatif de la demande; des conséquences pour la personne concernée ou, selon le cas, pour le tiers, du refus de répondre à la demande; des droits d'accès et de rectification prévus par la loi. Seuls les enquêtes de nature judiciaire ou les enquêtes et les constats faits par les personnes qui, en vertu de la loi, sont chargées de prévenir, détecter ou réprimer le crime ou les infractions aux lois sont exemptés de l'application de l'article 65 de la Loi sur l'accès.

8 Exigences minimales relatives à la protection des renseignements personnels lors de sondages 9 LES EXIGENCES MINIMALES DE LA COMMISSION Afin d'assurer aux renseignements personnels concernant les citoyens une protection qui soit conforme à l'esprit et à la lettre de la Loi sur l'accès, les organismes publics et leurs mandataires doivent respecter les règles décrites ci-après lorsqu'ils projettent de recueillir ou de communiquer des renseignements personnels dans le cadre de la réalisation d'un sondage. Les Exigences minimales décrivent les règles que doivent respecter tant les organismes publics que leurs mandataires lors de la réalisation d'un sondage. Les organismes publics qui réalisent à leur propre compte des sondages sont également tenus au respect des ces Exigences minimales, en faisant les adaptations nécessaires. Les questions à évaluer avant de décider de communiquer des renseignements personnels à un mandataire Si un organisme public décide de confier à un mandataire la réalisation d'un sondage, il doit, dans un premier temps, s'assurer que sa loi constitutive ou d'autres dispositions législatives qui lui sont applicables ne lui interdisent pas de communiquer à un mandataire les renseignements personnels nécessaires à la réalisation d'un sondage. L'application de l'article 171 de la Loi sur l'accès peut en effet empêcher la communication de ces renseignements si une disposition d'une loi particulière offre une plus grande protection des renseignements personnels que celle offerte par la Loi sur l'accès. Un organisme public devra également s'interroger sur la nécessité de communiquer des renseignements personnels pour les fins de la réalisation d'un sondage. Il est possible en effet que le sondage puisse être réalisé sans qu'il ne soit nécessaire de communiquer des renseignements personnels. Par exemple, dans certaines situations bien précises, la constitution d'un échantillon de personnes à interroger pourra être faite par le sondeur lui-même. Évidemment, la décision de communiquer ou non des renseignements personnels au sondeur dépendra de l'objectif que vise ce sondage. Selon la Commission, une personne devrait toujours être informée des fins pour lesquelles des renseignements personnels sont recueillis à son sujet. Ainsi, chaque fois qu'un organisme public recueille des renseignements personnels, il

9 Exigences minimales relatives à la protection des renseignements personnels lors de sondages 10 devrait informer les personnes concernées que ces renseignements pourront éventuellement être utilisés à des fins de recherche, d'évaluation ou d'enquête, si tel est le cas et qu'un recours aux techniques des sondages est possible. Ainsi, il serait approprié d'indiquer dans les formulaires utilisés par les organismes publics pour recueillir des renseignements personnels que ces renseignements pourront servir à ces fins précises. Si une communication des renseignements personnels au sondeur est nécessaire pour la réalisation du sondage, l'organisme public devrait ensuite s'assurer qu'il est impossible d'obtenir le consentement des personnes concernées. En effet, chaque fois que l'obtention de ce consentement est possible, l'organisme public devrait privilégier cette voie. Par exemple, un nombre élevé de personnes à interroger peut constituer un obstacle à l'obtention d'un consentement. Un organisme public devra ensuite dresser la liste de renseignements personnels qui seront communiqués au sondeur. Seuls les renseignements qui sont nécessaires à la réalisation du sondage peuvent être communiqués. Par exemple, si la date de naissance n'est pas un élément qui doit être pris en considération par le sondeur, cette information ne devrait pas être communiquée. Selon la Commission le terme nécessaire signifie indispensable et non simplement utile. Lorsque la communication de renseignements personnels au mandataire est effectuée, elle doit être inscrite au registre tenu conformément à l'article 67.3 de la Loi sur l'accès. Un organisme public devrait également porter une attention particulière à la sensibilité des renseignements personnels qui feront l'objet de la communication. Sont généralement considérés comme sensibles les renseignements qui concernent la santé, les opinions politiques, la religion, l'orientation sexuelle. Des renseignements d'une autre nature peuvent également revêtir ce caractère sensible. Même si la Loi sur l'accès ne traite pas plus sévèrement les renseignements personnels qui ont un caractère sensible, chaque organisme public devrait sérieusement s'interroger sur la nécessité de communiquer ce type de renseignements aux fins de la réalisation d'un sondage. Un questionnement de même nature devrait également être fait au sujet des renseignements sensibles que pourrait être amené à colliger un organisme public ou son mandataire lors de la réalisation d'un sondage. Une évaluation éthique du projet de sondage est souhaitable chaque fois qu'un organisme public projette de recueillir ou de communiquer des renseignements personnels sensibles. Chaque fois que la réalisation d'un sondage est envisa-

10 Exigences minimales relatives à la protection des renseignements personnels lors de sondages 11 gée, un organisme public doit donc identifier les renseignements personnels qui ont un caractère sensible. Avant de communiquer des renseignements personnels à un mandataire qui doit réaliser un sondage, un organisme public doit donc prendre en considération les éléments suivants : les dispositions législatives applicables à l'organisme public ne l'empêchent pas de communiquer des renseignements personnels à un mandataire; la communication de renseignements personnels au mandataire est nécessaire pour la réalisation du sondage; seuls les renseignements nécessaires à la réalisation du sondage seront communiqués ; la communication des renseignements personnels devra faire l'objet d'une inscription au registre tenu conformément à l'article 67.3 de la Loi sur l'accès; si des renseignements sensibles doivent être communiqués à un mandataire aux fins d'un sondage, une évaluation éthique du projet de sondage devrait être menée; si des renseignements sensibles doivent être recueillis à la faveur d'un sondage, une évaluation éthique du projet devrait être menée. De plus, un organisme public devrait également : au moment où il recueille des renseignements personnels, informer les personnes concernées que ces renseignements pourront être utilisés à des fins de recherche, d'évaluation et d'enquête et qu'un recours aux techniques de sondage est possible; s'assurer qu'il est impossible d'obtenir le consentement des personnes concernées pour la communication des renseignements personnels à un mandataire. Le contenu du mandat de réalisation d'un sondage Lorsqu'un organisme public communique des renseignements personnels à un mandataire aux fins de la réalisation d'un sondage, il doit respecter les conditions et modalités énoncées par l'article 67.2 de la Loi sur l'accès. Cette disposi-

11 Exigences minimales relatives à la protection des renseignements personnels lors de sondages 12 tion, en plus d'autoriser la communication de renseignements personnels à un mandataire, crée des obligations qui doivent être scrupuleusement respectées. Le mandat confié par l'organisme public devra être consigné par écrit. Règle générale, ce mandat prend la forme d'un contrat de services professionnels qui contiendra divers éléments concernant la description du mandat, les obligations respectives des contractants, la rémunération, les droits d'auteur Selon les termes de l'article 67.2, le mandat écrit doit également indiquer les dispositions de la Loi sur l'accès qui s'appliquent aux renseignements qui ont été communiqués au mandataire. Le mandat doit donc préciser que les renseignements communiqués sont confidentiels conformément à la Loi sur l'accès et que le mandataire devra prendre toutes les mesures de sécurité nécessaires pour assurer le respect de ce caractère confidentiel. Le mandataire devra également s'assurer que toute personne qui aura accès aux renseignements personnels dans l'exercice de ses fonctions aura préalablement signé un engagement visant le respect de la confidentialité de ces renseignements. Évidemment, le respect de la confidentialité des renseignements personnels par le mandataire implique qu'il lui est interdit de communiquer à des tiers les renseignements personnels qui lui ont été confiés. Finalement, si le sondeur effectue une collecte de renseignements personnels, le mandat écrit doit prévoir le respect des obligations d'information énoncées à l'article 65 de la Loi sur l'accès. Ces obligations sont décrites à la section des Exigences minimales qui portent sur les règles à respecter au moment de la réalisation du sondage. De plus, le mandat écrit doit préciser les mesures qui seront prises pour que les renseignements communiqués par l'organisme public ne soient utilisés que dans l'exercice du mandat. Le mandat écrit doit également prévoir qu'au terme de la réalisation du mandat, les renseignements personnels communiqués par un organisme public ne pourront être conservés. Ils devront être retournés à l'organisme public ou encore être détruits par le mandataire. Lorsque le sondeur collige des renseignements personnels au nom d'un organisme public, il doit de plus s'assurer que ces renseignements personnels sont traités de façon confidentielle et que des mesures de sécurité adéquates assurent cette confidentialité. Le mandat écrit devrait expressément prévoir cette obligation. Parce que l'organisme public demeure l'ultime responsable du respect de la confidentialité des renseignements personnels, une disposition particulière du mandat écrit doit énoncer que l'organisme public se réserve en tout temps le

12 Exigences minimales relatives à la protection des renseignements personnels lors de sondages 13 droit de s'assurer que son mandataire respecte les obligations qui lui sont imposées au chapitre de la protection des renseignements personnels. Le mandat de réalisation d'un sondage doit donc respecter les conditions et modalités imposées par l'article 67.2 de la Loi sur l'accès. En conséquence : le mandat doit être écrit; le mandat doit préciser que les renseignements personnels communiqués par l'organisme public sont confidentiels; le mandat doit préciser que des mesures de sécurité devront être prises pour assurer cette confidentialité; le mandat doit préciser qu'un engagement à la confidentialité sera signé par toute personne qui aura accès aux renseignements personnels dans le cadre de l'exercice de ses fonctions; le mandat doit préciser qu'aucun renseignement personnel ne peut être communiqué à un tiers; le mandat doit préciser les mesures qui seront prises pour s'assurer que les renseignements personnels ne seront utilisés que pour les fins de la réalisation du mandat; le mandat doit préciser qu'à son terme, les renseignements personnels communiqués par l'organisme public lui seront retournés ou seront détruits par le sondeur; le mandat doit également prévoir le respect de la confidentialité des renseignements personnels colligés par le sondeur et le respect des obligations d'information énoncées à l'article 65 de la Loi sur l'accès si le sondeur, collige, au nom de l'organisme public, des renseignements personnels; Une disposition doit prévoir que l'organisme public se réserve le droit de s'assurer en tout temps du respect des dispositions du mandat qui visent la confidentialité des renseignements personnels. Les règles à respecter au moment de la réalisation du sondage Les règles qui suivent s'appliquent chaque fois qu'il y a collecte de renseignements personnels dans le cadre d'un sondage réalisé soit par un mandataire soit par les membres du personnel d'un organisme public. Dans un premier temps, l'organisme public doit s'assurer que les renseignements personnels qui seront colligés à la faveur du sondage sont nécessaires à

13 Exigences minimales relatives à la protection des renseignements personnels lors de sondages 14 l'exercice de ses attributions ou à la mise en œuvre d'un programme dont il a la gestion. Cette obligation est énoncée à l'article 64 de la Loi sur l'accès. Lorsqu'il y a collecte de renseignements personnels à la faveur d'un sondage, il doit être clair que la méthodologie privilégiée ne peut forcer les personnes à répondre aux questions qui leur sont adressées. La participation à un sondage doit toujours être volontaire. Ainsi, toute pression auprès des personnes interrogées pour contrer un premier refus de répondre aux questions devra être proscrite. Par ailleurs, chaque fois qu'il y a collecte de renseignements personnels, l'article 65 de la Loi sur l'accès devra être respecté. La Loi ne prévoit pas en effet d'exception à cette disposition lorsque des renseignements personnels sont colligés par un mandataire aux seules fins de recherche, d'évaluation ou d'enquête menées par un organisme public. Lors de la réalisation d'un sondage, les règles suivantes doivent être respectées tant par un mandataire que par les membres du personnel d'un organisme public: le sondage ne permettra de recueillir que les seuls renseignements personnels nécessaires à l'exercice des attributions de l'organisme ou à la mise en œuvre d'un programme dont il a la gestion; le principe du volontariat doit toujours être respecté et le recours à toute manœuvre qui a pour but de contrer le refus de répondre d'une personne sollicitée doit être proscrit. Lorsqu'il y a collecte des renseignements personnels, les membres du personnel d'un organisme public ou le mandataire de cet organisme doivent : s'identifier; identifier l'organisme public pour lequel ils colligent les renseignements; informer la personne de l'usage auquel le renseignement est destiné (recherche, évaluation, enquête ); informer la personne du caractère facultatif de la participation au sondage; informer la personne des droits d'accès et de rectification prévus à la Loi sur l'accès.

14 Exigences minimales relatives à la protection des renseignements personnels lors de sondages 16 Les obligations de l'organisme public au terme de la réalisation du sondage Au terme de la réalisation d'un sondage par son mandataire, un organisme public devra s'assurer que les renseignements personnels qu'il lui a communiqués lui sont retournés ou encore qu'ils sont détruits. Des obligations de même nature doivent être respectées pour les renseignements personnels colligés par le sondeur au nom de l'organisme public. Par ailleurs, lorsque son mandataire lui remet les résultats du sondage sous une forme nominative, l'organisme public devra s'assurer du respect de certaines règles qui ont pour but de préserver le caractère confidentiel des renseignements personnels qui s'ajoutent à ceux déjà détenus par l'organisme public. Ainsi, tout comme il le fait pour les renseignements personnels qu'il collige luimême, l'organisme public doit s'assurer que les renseignements personnels sont accessibles aux seules personnes qui peuvent y avoir accès dans l'exercice de leurs fonctions. Des mesures de sécurité adéquates doivent être prévues aux fins de maintenir le caractère confidentiel des renseignements. Le calendrier de conservation de l'organisme doit également prévoir un délai au terme duquel les renseignements colligés à la faveur d'un sondage seront détruits. Par ailleurs, les renseignements personnels colligés lors de la réalisation d'un sondage ne doivent servir qu'aux seules fins pour lesquelles ces renseignements ont été recueillis soit à des fins de recherche, d'évaluation ou d'enquête. La publication des résultats de ces recherches, évaluations ou enquêtes ne devra évidemment pas permettre que soient révélés des renseignements personnels. Si un organisme public détient des fichiers de renseignements personnels au sujet des personnes qui bénéficient des programmes qu'il administre, il ne doit jamais être possible d'enrichir ces fichiers des renseignements personnels obtenus dans le cadre de la réalisation d'un sondage, à moins que les personnes concernées n'aient consenti à cette utilisation des renseignements. Dans l'hypothèse où, à la faveur d'un sondage, un organisme public recueille des renseignements personnels qui pourraient avoir un impact direct sur le droit d'une personne à recevoir certains services ou certaines allocations de cet organisme, des mesures de protection particulières devront être prévues. Ainsi, il devrait être clairement établi que les seules personnes qui ont accès aux données recueillies à la faveur du sondage sont celles qui doivent, dans l'exercice de leurs fonctions, procéder au projet de recherche, d'évaluation ou d'enquête. Ici aussi l'on devra s'assurer que les renseignements personnels colligés lors du sondage ne devront en aucun cas venir enrichir d'autres fichiers de renseignements personnels. Toutes les mesures de sécurité nécessaires à l'atteinte de cet objectif devront être mises en place.

15 Exigences minimales relatives à la protection des renseignements personnels lors de sondages 17 Au terme de la réalisation d'un sondage par son mandataire, un organisme public doit : s'assurer que les renseignements personnels communiqués au sondeur pour la réalisation du sondage lui sont retournés ou ont été détruits; s'assurer que les renseignements personnels recueillis par le sondeur à la faveur du sondage lui ont été remis et que le sondeur n'en garde aucune trace. Si l'organisme public recueille des renseignements personnels à la faveur d'un sondage réalisé par son mandataire, il doit : assurer le caractère confidentiel de ces renseignements; s'assurer que les renseignements sont accessibles aux seules personnes à qui ces renseignements sont nécessaires à l'exercice de leurs fonctions; prendre les mesures de sécurité qui s'imposent pour assurer le caractère confidentiel des renseignements ; s'assurer que les renseignements ne seront utilisés qu'aux seules fins pour lesquelles ils ont été recueillis soit des fins de recherche, d'évaluation ou d'enquête et qu'ils ne seront pas versés dans d'autres fichiers de renseignements personnels; s'assurer que la publication des résultats de toute recherche, évaluation ou enquête ne contient pas de renseignements personnels; s'assurer que le calendrier de conservation des documents de l'organisme prévoit une durée de conservation pour ces renseignements personnels, durée au terme de laquelle les renseignements seront détruits. Si les renseignements recueillis à la faveur d'un sondage peuvent avoir un impact direct sur le droit d'une personne à un service ou une allocation, l'organisme public doit : prendre des mesures additionnelles et précises pour déterminer les droits d'accès à ces renseignements. Ces droits d'accès doivent être limités aux seules personnes chargées des projets de recherche, d'évaluation ou d'enquête; prendre toutes les mesures nécessaires pour empêcher que ces renseignements personnels puissent être versés dans d'autres fichiers de renseignements personnels.

16 Exigences minimales relatives à la protection des renseignements personnels lors de sondages 18 L'établissement de directives par les organismes publics Le 12 mai 1999, le Conseil des ministres a annoncé que des règles de procédure spécifiques aux sondages seront établies par des Comités de protection des renseignements personnels créés dans tous les ministères et dans certains autres organismes publics. Les Exigences minimales de la Commission pourront servir de guide à cette fin. Les Comités de protection des renseignements personnels pourront évidemment aller au-delà de ces Exigences minimales et tenir compte du contexte particulier propre à chaque organisme public. Par ailleurs, la Commission incite fortement tous les organismes publics qui ne sont pas visés par la décision du Conseil des ministres à adopter de telles règles de procédures pour assurer une protection adéquate des renseignements personnels. Tous les organismes publics devraient établir des règles de procédures à suivre lorsque des renseignements personnels sont recueillis ou communiqués à la faveur d'un sondage. Le rôle du responsable de la protection des renseignements personnels En vertu de l'article 8 de la Loi sur l'accès, la personne ayant la plus haute autorité au sein d'un organisme public exerce les fonctions que cette loi confère à la personne responsable de la protection des renseignements personnels. La plus haute autorité de cet organisme peut également décider de déléguer cette fonction à un membre de l'organisme ou de son conseil d'administration ou à un membre du personnel de direction. Selon la Commission, le responsable de la protection des renseignements personnels au sein d'un organisme public doit être étroitement associé à chacune des démarches de cet organisme qui implique une cueillette, une utilisation ou une communication de renseignements personnels.

17 Exigences minimales relatives à la protection des renseignements personnels lors de sondages 19 Le responsable devrait donc participer activement à la rédaction des politiques ou directives de l'organisme qui concernent la protection des renseignements personnels. Il devrait également donner son avis chaque fois que des renseignements personnels seront communiqués aux fins de la réalisation d'un sondage. Le responsable de la protection des renseignements personnels d'un organisme public doit être étroitement associé à chacune des étapes de la réalisation d'un sondage qui implique la cueillette et la communication de renseignements personnels.