«Conclusions
Rendues le 9 novembre 2006
Application : Selon l’article 2 de la Loi, on entend par « renseignement personnel » tout renseignement concernant un individu identifiable, à l’exclusion du nom et du titre d’un employé d’une organisation et des adresse et numéro de téléphone de son lieu de travail. Les principes 4.3, 4.3.5 et 4.3.6 et les paragraphes 7(1) et 7(2) de la Loi stipulent clairement qu’une organisation ne peut recueillir ou utiliser des renseignements personnels à moins d’avoir obtenu le consentement de l’intéressé au préalable. Selon le principe 4.3, toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire. Selon le principe 4.3.5, dans l'obtention du consentement, les attentes raisonnables de la personne sont aussi pertinentes. Le principe 4.3.6 traite de la façon pour les organisations d’obtenir le consentement des intéressés. La façon dont une organisation obtient le consentement peut varier selon les circonstances et la nature des renseignements recueillis. En général, l'organisation devrait chercher à obtenir un consentement explicite si les renseignements sont susceptibles d'être considérés comme sensibles. Lorsque les renseignements sont moins sensibles, un consentement implicite serait normalement jugé suffisant. Les paragraphes 7(1) et 7(2) stipulent clairement qu’une organisation ne pourrait recueillir et utiliser de renseignements personnels à l’insu de l’intéressé ou sans son consentement que si l’une des conditions préalables énoncées dans lesdits paragraphes est remplie.
Les principes 4.2, 4.4 et 4.5 stipulent également que la collecte et l’utilisation de renseignements personnels ne peuvent se faire sans le consentement de l’intéressé. Selon le principe 4.2, les fins auxquelles des renseignements personnels sont recueillis doivent être déterminées par l'organisation avant ou au moment de la collecte. Le principe 4.2.3 stipule qu'on devrait préciser à la personne auprès de laquelle on recueille des renseignements, avant la collecte ou au moment de celle-ci, les fins auxquelles ils sont destinés. Selon le principe 4.4, l'organisation ne peut recueillir que les renseignements personnels nécessaires aux fins déterminées. Le principe 4.5 précise que les renseignements personnels ne doivent pas être utilisés ou communiqués à des fins autres que celles auxquelles ils ont été recueillis à moins que la personne concernée n’y consente ou que la loi ne l’exige.
Le principe 4.7 stipule que les renseignements personnels doivent être protégés au moyen de mesures de sécurité correspondant à leur degré de sensibilité. Selon le principe 4.8, une organisation doit faire en sorte que des renseignements précis sur ses politiques et ses pratiques concernant la gestion des renseignements personnels soient facilement accessibles à toute personne.
En terminant, aux termes du paragraphe 5(3) de la Loi, une organisation peut recueillir, utiliser ou communiquer des renseignements personnels seulement à des fins qu'une personne raisonnable estimerait acceptables dans les circonstances.»