Limites de la Protection des Renseignements Personnels des Personnes à Charge dans un Contexte de Contrat d’assurance Collective

Limites de la Protection des Renseignements Personnels des Personnes à Charge dans un Contexte de Contrat d’assurance Collective

Le contrat d’assurance collective implique souvent plusieurs parties, à savoir la compagnie d’assurance, l’administrateur du régime (l’employeur) et l’employé assuré (ou « adhérent » au régime). Dans un contexte d’assurance collective, ce dernier bénéficie rarement d’un quelconque pouvoir de négociation. Il peut même arriver qu’une personne à charge de cet adhérent puisse être indemnisée en vertu d’un tel contrat. Par ailleurs, l’administration d’un régime d’assurance collective nécessite la communication de divers renseignements personnels qui peuvent être de nature sensible. En effet, les renseignements soumis à des fins d’indemnisation vont en général contenir des renseignements médicaux ainsi que, potentiellement, des renseignements biographiques d’ordre personnel que des personnes à charge pourraient ne pas nécessairement vouloir divulguer à l’adhérent. L’on peut par exemple penser à la situation en vertu de laquelle une adolescente qui désire obtenir la pilule contraceptive ne veut pas que son père qui est l’adhérent soit avisé de ce fait, ou encore du conjoint et personne à charge de l’adhérent qui n’a pas envie que son conjoint soit informé qu’il se fait traiter pour une maladie transmissible sexuellement ou pour une dépression.

Autant en vertu de la loi fédérale en matière de protection de renseignements personnels (Loi sur la protection des renseignements personnels et les documents électroniques (ci-après la « LPRPDE »)) que des lois provinciales substantiellement similaires en matière de protection des renseignements personnels, le principe de base est à l’effet que tout individu doit être en mesure à consentir à la collecte, l’utilisation et la divulgation de ses renseignements personnels. Dans ce contexte, il est intéressant de noter que deux décisions récentes émises par la Commission d’accès à l’information du Québec (la « CAI ») et le Commissariat à la protection de la vie privée du Canada (ci-après le « Commissariat ») imposent certaines limites quant à la protection que peuvent recevoir les renseignements personnels d’une personne à charge dans le contexte d’un contrat d’assurance collective.

Décisions

Au Québec, la CAI a récemment émise la position selon laquelle un assureur pouvait divulguer à l’adhérent les renseignements personnels découlant des réclamations effectuées par les personnes à sa charge nécessaires à l’administration du contrat d’assurance collective, et ce, sans l’obtention du consentement de la personne à charge.

Dans X. et La Capitale assurance et gestion de patrimoine,[1] le plaignant alléguait que la compagnie d’assurance avait communiqué sans son contentement, des renseignements personnels à son sujet à sa conjointe de fait, l’adhérente au régime d’assurance collective. Le plaignant considérait que cette divulgation constituait une violation de son droit à la confidentialité, d’autant plus qu’il devait, en vertu de la Loi sur l’assurance médicaments,[2] souscrire au régime collectif de sa conjointe et délaisser le régime public d’assurance médicaments. Pour sa part, la compagnie d’assurance soumettait que les renseignements communiqués étaient nécessaires pour permettre à l’adhérente de s’assurer de la bonne administration de son régime, notamment quant à l’application de la franchise et de la co-assurance. En effet, la compagnie d’assurance devait effectuer diverses vérifications avant d’accorder un remboursement, à savoir l’admissibilité, la franchise, la couverture d’assurance, etc. À noter que le remboursement dans ce dossier se faisait directement à l’adhérente, selon les termes du contrat d’assurance.

Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé (ci-après la « Loi québécoise »)[3] prévoit que tout renseignement qui concerne une personne physique et qui permet de l’identifier est un renseignement personnel. Ainsi, les renseignements concernant le plaignant figurant sur le relevé de remboursement transmis à l’adhérente constituaient des renseignements personnels de la personne à charge au sens de la Loi québécoise. Cette loi prévoit également que nul ne peut communiquer à un tiers les renseignements personnels contenus dans un dossier qu’il détient sur autrui ni les utiliser à des fins non pertinentes à l’objet du dossier, à moins que la personne concernée n’y consente ou que loi ne le prévoit. Par ailleurs, le consentement à la divulgation des renseignements personnels doit être « manifeste, libre, éclairé et être donné à des fins spécifiques ».

En l’espèce, le contrat avec la compagnie d’assurance était au nom de l’adhérente, et non au nom du plaignant. Ainsi, bien qu’elle comprenne l’insatisfaction du plaignant face à la communication des renseignements le concernant à l’adhérente, la CAI a déterminé que sa plainte n’était pas fondée. La compagnie d’assurance avait uniquement communiqué à l’adhérente les renseignements qui étaient nécessaires à l’administration du contrat, et n’avait donc pas contrevenu aux dispositions de la Loi québécoise.

Au fédéral, la position du Commissariat semble, dans une certaine mesure, aller dans le même sens. Dans un récent rapport de conclusions[4] en vertu de la LPRPDE[5], le Commissariat a pris une position similaire à celle de la CAI. Ce faisant, le Commissariat a déterminé que la plainte d’une jeune femme adulte qui contestait, en tant que personne à charge sous le régime d’assurance-maladie collective privée de son père (qui était adhérent), la politique de l’administrateur du régime lui imposant de soumettre ses demandes de règlement par l’intermédiaire de son l’adhérent, était non fondée.

La plaignante alléguait que le refus par la compagnie d’assurance d’accepter de traiter directement ses demandes de règlement, ainsi que la communication de renseignements personnels la concernant à son père constituait une violation au principe 4.3.3 de l’annexe 1 de la LPRPDE en vertu duquel une organisation ne peut pas, pour le motif qu’elle fournit un bien ou un service, exiger d’une personne qu’elle consente à la collecte, à l’utilisation ou à la communication de renseignements autres que ceux qui sont nécessaires pour réaliser les fins légitimes et explicitement indiquées. Dans son analyse, le Commissariat a tenu compte des droits et des responsabilités des membres du régime, et des personnes qui sont à leur charge.

Les membres d’un régime d’assurance collective assument souvent seuls l’entière responsabilité des demandes de règlement soumises, et doivent répondre de tout abus, erreur ou fraude découlant de ces demandes. Ainsi, le Commissariat a conclu que la pratique de la compagnie d’assurance de refuser de traiter directement avec la personne à charge et donc de forcer en quelque sorte une divulgation des renseignements personnels de la personne à charge à l’adhérent était conforme au principe 4.3.3. Selon le Commissariat, une personne à charge, qui n’assume aucune des responsabilités qui incombent au membre adhérent au régime, ne peut s’attendre à une protection absolue de ses renseignements personnels et doit consentir à la communication au membre adhérent au régime. Bien qu’il a jugé que les préoccupations de la plaignantes étaient légitimes, le Commissariat a également tenu compte de la structure du régime et des considérations d’ordre pratique afin de déterminer que la plainte de la personne à charge était est non fondée.

Conclusion

Bref, ces deux décisions sont de bonnes nouvelles pour les assureurs, en ce que cela leur impose que des obligations limitées à l’égard des personnes à charge dans un contexte de régime d’assurance collective, en leur permettant de gérer les demandes de réclamations par l’entremise d’un seul individu, soit l’adhérent, et en les autorisant à divulguer les renseignements personnels des individus à charge à l’adhérent si ces renseignements sont nécessaires à l’administration du contrat d’assurance collective, et ce, sans l’obtention du consentement de la personne à charge. Toutefois, ces décisions impliquent une protection limitée des renseignements personnels de la personne à charge de l’adhérent. Quoique ceci puisse apporter des inconvénients pour une personne à charge qui désirerait garder privés ses achats médicaux, cette limite à la protection des renseignements personnels a été jugée acceptable par deux commissaires à la vie privée canadiens, dans un contexte où les renseignements personnels divulgués à l’adhérent sont nécessaires à la gestion des réclamations.

par Éloïse Gratton et Christian Abouchaker, étudiant en droit

[1] X. et La Capitale assurance et gestion de patrimoine, Commission d’accès à l’information. du Québec, 21 juin 2013.

[2] RLRQ c A-29.01.

[3] RLRQ c P-39.1.

[4] Rapport de conclusions en vertu de la LRPRDE n^p 2013-012, Au moment de demander un remboursement au régime d’assurance-maladie privé de son père, une jeune adulte est contrainte de présenter ses demandes de règlement par l’intermédiaire de ce dernier et de consentir à ce que ses renseignements personnels soient communiqués à son père, Commissaire à la protection de la vie privée du Canada, 2013 CanLII 92363 (CVPC).

[5] LC 2000, c 5.

Mise en garde

Le texte qui précède ne donne qu’un aperçu du sujet traité et ne constitue pas un avis juridique. Les lecteurs doivent s’abstenir de prendre des décisions en se fondant uniquement sur ces renseignements et devraient plutôt obtenir des conseils juridiques spécialisés.

© McMillan S.E.N.C.R.L., s.r.l. 2014