Les commissaires à la protection de la vie privée du Canada publient des directives conjointes sur les passeports vaccinaux

Les commissaires à la protection de la vie privée du Canada publient des directives conjointes sur les passeports vaccinaux

Les commissaires à la protection de la vie privée fédéral, provinciaux et territoriaux du Canada ont publié une déclaration commune concernant les répercussions sur la vie privée des passeports vaccinaux[1].

Malgré les intentions louables derrière les passeports vaccinaux, les commissaires font une sérieuse mise en garde contre le fait que leurs avantages potentiels doivent être soupesés par rapport à l’empiétement sur les libertés civiles des Canadiens et leur droit à la vie privée. Par conséquent, les considérations relatives à la protection de la vie privée devront figurer au premier plan lorsque les gouvernements et les entreprises élaboreront et mettront en œuvre les passeports vaccinaux dans les mois à venir.

Que sont les passeports vaccinaux?

Les commissaires reconnaissent qu’en vue d’un retour à un semblant de vie normale, les gouvernements et les entreprises explorent la possibilité d’utiliser des passeports vaccinaux, qu’ils définissent au sens large comme un moyen permettant de confirmer la situation d’une personne au regard de la vaccination ou du statut immunitaire lié à la COVID‑19, ce qui peut prendre la forme, par exemple, de passeports immunitaires, de certificats ou cartes de vaccination ou de preuves numériques de vaccination.

Les commissaires prévoient que les passeports vaccinaux pourront être utilisés pour permettre aux personnes de prouver qu’elles ont été vaccinées afin de voyager, d’obtenir des services ou d’avoir accès à des endroits, comme des restaurants, des événements sportifs ou des vols. Les employeurs pourraient aussi envisager d’exiger des employés et/ou des visiteurs qu’ils présentent des passeports vaccinaux pour accéder au lieu de travail.

L’utilisation des passeports doit être nécessaire, efficace et proportionnelle

De par leur nature, les passeports vaccinaux nécessitent la collecte, l’utilisation et la communication de renseignements personnels sur la santé des personnes. Les commissaires sont d’avis que ces renseignements sont de nature sensible et que les passeports vaccinaux doivent donc assurer un niveau élevé de protection de la vie privée, à la mesure de ce degré de sensibilité.

En particulier, les commissaires s’attendent à ce que la nécessité, l’efficacité et la proportionnalité des passeports vaccinaux soient établies dans chaque contexte où ils sont utilisés.

Pour mettre en œuvre des passeports vaccinaux, une organisation devra donc généralement démontrer ce qui suit :

• Il existe des preuves que les passeports vaccinaux sont nécessaires et susceptibles d’être efficaces pour atteindre les objectifs de santé publique visés et qu’ils demeureront efficaces tout au long de leur cycle de vie;
• Il n’y a pas de mesures qui empiètent moins sur la vie privée et qui sont tout aussi efficaces pour atteindre les objectifs de santé publique visés par les passeports;
• Les risques d’atteinte à la vie privée associés aux passeports vaccinaux sont proportionnels aux objectifs de santé publique visés;
• Les passeports vaccinaux entraînent la collecte, l’utilisation et la communication de la plus faible quantité possible de renseignements personnels sur la santé.

L’organisation doit assurer un suivi continu de la nécessité, de l’efficacité et de la proportionnalité des passeports vaccinaux, et elle doit en cesser l’usage s’ils ne répondent plus à ces critères.

Les commissaires à la protection de la vie privée indiquent qu’on ne leur a pas encore présenté de preuves de l’efficacité des vaccins pour ce qui est de prévenir la transmission de la COVID‑19. Cela donne à penser qu’à l’heure actuelle, les organisations qui cherchent à élaborer ou à mettre en œuvre des passeports vaccinaux devront mettre de l’avant un ou des objectifs autres que la prévention de la transmission de la COVID‑19 au sein de l’organisation afin de satisfaire à l’exigence de nécessité.

Une assise juridique est requise

Les commissaires ont également fait valoir que les entités des secteurs public et privé qui exigent ou demandent qu’une personne présente un passeport vaccinal doivent s’assurer d’avoir une assise juridique claire pour recourir aux passeports vaccinaux pour chacun des objectifs visés.

Celle-ci peut découler d’une loi nouvelle, existante ou modifiée ou d’une ordonnance de santé publique. Toutefois, pour l’instant, les commissaires n’ont pas mentionné d’assises existantes permettant aux organisations de demander ou d’exiger qu’une personne présente son passeport vaccinal afin de recevoir un service ou d’accéder à un site.

Les commissaires reconnaissent que dans certaines circonstances, hormis au Québec, l’obtention du consentement d’une personne à l’utilisation ou à la présentation de son passeport vaccinal peut constituer une assise juridique suffisante. Toutefois, au minimum, toutes les conditions suivantes doivent être remplies pour que l’on puisse s’appuyer sur le consentement d’une personne :

• Le consentement doit être valable et donné volontairement après avoir pris connaissance d’énoncés dans un langage clair et simple décrivant la ou les fins particulières visées;
• Les renseignements personnels sur la santé doivent être nécessaires pour atteindre la ou les fins visées;
• La ou les fins doivent être celles qu’une personne raisonnable estimerait acceptables dans les circonstances;
• Les personnes doivent avoir un véritable choix, c’est-à-dire que le consentement ne doit pas être requis en guise de condition pour obtenir un service.

Limites de la collecte, de l’utilisation, de la communication et de la conservation

Comme pour d’autres formes de renseignements personnels, la collecte, l’utilisation, la communication et la conservation des renseignements sur les vaccins et l’immunité doivent se limiter à ce qui est nécessaire aux fins de l’élaboration ou de la mise en œuvre des passeports vaccinaux. Par exemple, les organisations devraient se demander si le simple fait de voir le passeport vaccinal de la personne est suffisant ou s’il existe des raisons légitimes pour lesquelles une copie du passeport doit être conservée. Les renseignements sur les vaccins et l’immunité ne doivent pas être traités à des fins secondaires, comme le suivi des activités des personnes, à moins que la législation applicable ne l’exige ou l’autorise.

Les organisations doivent également se conformer à tous les autres principes des lois canadiennes sur la protection de la vie privée, notamment :

• Fournir aux personnes des renseignements en langage clair sur la ou les fins et la portée du passeport vaccinal et sur le traitement de leurs renseignements personnels à ces fins;
• Indiquer aux personnes à qui elles peuvent s’adresser pour accéder à leurs renseignements personnels sur la santé ou les corriger, ou encore pour soumettre une demande de renseignements ou déposer une plainte;
• Limiter l’accès aux renseignements personnels aux personnes qui en ont strictement besoin pour s’acquitter de leurs fonctions et de leurs responsabilités, et interdire au personnel ayant accès à ces renseignements de les communiquer à d’autres personnes;
• Protéger les renseignements personnels sur la santé au moyen de mesures de protection à caractère technique, physique et administratif appropriées, et vérifier régulièrement l’efficacité de ces mesures pour prévenir les atteintes à la vie privée, y compris l’espionnage par les employés ainsi que la perte ou la communication involontaire ou le vol de renseignements personnels;
• Détruire les renseignements personnels ou mettre hors service les passeports vaccinaux une fois que les responsables de la santé publique auront déclaré la fin de la pandémie ou lorsqu’il aura été établi que les passeports vaccinaux ne constituent plus une mesure nécessaire, efficace ou proportionnelle, à moins que la législation applicable n’en dispose autrement.

Les commissaires recommandent également qu’on les consulte tout au long de l’élaboration et de la mise en œuvre des passeports vaccinaux, que des évaluations des facteurs relatifs à la vie privée ou toute autre analyse pertinente soient réalisées et passées en revue par les commissaires, et qu’un résumé en langage clair soit publié de manière proactive.

Conseils pour les organisations

Les organisations qui envisagent de mettre au point ou d’utiliser des passeports vaccinaux doivent soupeser divers avantages, risques et obligations juridiques, y compris les suivants :

1. Garder la vie privée à l’esprit. Les considérations relatives à la protection de la vie privée doivent être évaluées et prises en compte le plus tôt possible au moment de l’élaboration ou de la mise en œuvre de passeports vaccinaux.
2. Comprendre quelles lois sur la protection de la vie privée s’appliquent. Les passeports vaccinaux doivent être élaborés et mis en œuvre conformément à toutes les lois applicables en matière de protection de la vie privée. Par conséquent, les organisations doivent comprendre quelles lois sur la protection de la vie privée s’appliquent à leur traitement des renseignements personnels des employés, des clients et d’autres tiers, le cas échéant. Par exemple, certaines entreprises exerçant leurs activités partout au Canada pourraient devoir se conformer à plus d’une loi sur la protection de la vie privée, comme la Loi sur la protection des renseignements personnels et les documents électroniques (la « LPRPDE ») et/ou des lois sur la protection de la vie privée essentiellement similaires visant le secteur privé dans les provinces de l’Alberta, de la Colombie-Britannique et du Québec.
3. Soupeser d’autres considérations juridiques. L’analyse visant à déterminer s’il y a lieu d’élaborer ou de mettre en œuvre un programme de passeport vaccinal ne se limite pas aux considérations liées au droit de la vie privée. Les organisations devraient tenir compte des autres risques et obligations juridiques, notamment en vertu des lois sur l’emploi et les droits de la personne.
4. Connaître ses objectifs. Au tout début de la conception ou de la mise en œuvre d’un programme de passeport vaccinal, les organisations doivent prendre en compte les fins pour lesquelles les renseignements personnels sur la santé des personnes seront recueillis, utilisés et communiqués, ainsi que l’assise juridique sur laquelle l’organisation se fonde en la matière. Cela est important non seulement pour confirmer la nécessité, l’efficacité et la proportionnalité du programme de passeport vaccinal, mais aussi pour orienter les décisions concernant le ou les types de renseignements personnels qui sont recueillis et la durée de conservation de ces renseignements.
5. Tenir compte des obligations relatives aux transferts de données transfrontaliers. Les organisations doivent comprendre et mettre en œuvre toutes les exigences juridiques applicables dans le cas où les renseignements personnels des personnes seront stockés par des tiers (y compris par des sociétés affiliées et des fournisseurs de services étrangers) ou communiqués ou mis à leur disposition à l’extérieur du Canada (ou, lorsque s’applique la loi québécoise sur la protection des renseignements personnels dans le secteur privé, à l’extérieur de la province de Québec).
6. Rédiger et mettre en œuvre une politique et un protocole. Les organisations qui, à l’issue d’une évaluation des risques, décident d’utiliser des passeports vaccinaux devraient élaborer une politique et un protocole écrits précisant comment les données des passeports vaccinaux seront recueillies, utilisées et communiquées en conformité avec toutes les lois applicables et d’une manière qui réduira les risques de plaintes ou de réclamations. La politique et le protocole pourront aborder, par exemple, les fins et l’assise juridique entourant la collecte de renseignements personnels sur la santé, les types précis de renseignements qui seront recueillis, à qui ces renseignements seront communiqués, où et pendant combien de temps les renseignements seront conservés, et les mesures qui peuvent être prises en fonction du fait qu’une personne a été vaccinée ou non ou peut prouver autrement son immunité.

Bien que les principes énumérés par les commissaires à la protection de la vie privée puissent sembler simples, leur application demeure complexe compte tenu de l’incertitude entourant les preuves scientifiques concernant l’efficacité des vaccins contre la COVID‑19 et de l’absence de législation donnant aux organisations le pouvoir légal clair de demander ou d’exiger d’une personne qu’elle présente une preuve de vaccination ou d’immunité. Il est conseillé aux organisations de demander un avis juridique avant de mettre en œuvre un programme de vérification de la vaccination ou de l’immunité afin de soupeser tous les risques juridiques applicables.

[1] La vie privée et les passeports vaccinaux relatifs à la COVID-19 – Déclaration commune des commissaires fédéral, provinciaux et territoriaux à la protection de la vie privée Commissaires

par Kristen Pennington et Cole Singleton (étudiant en droit)

Mise en garde

Le contenu du présent document ne fournit qu’un aperçu du sujet et ne saurait en aucun cas être interprété comme des conseils juridiques. Le lecteur ne doit pas se fonder uniquement sur ce document pour prendre une décision, mais devrait plutôt consulter ses propres conseillers juridiques.

© McMillan S.E.N.C.R.L., s.r.l. 2021