Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Une garderie parle du dossier d’une employée à une société financière : ce que la CAI a rappelé

Loi et règlement Par Eric Rousseau · 17 octobre 2023 · 11 min de lecture
Rangées de petits tiroirs de bois à poignées de métal d'un ancien meuble de fichier
En bref

En 2013, la CAI a rappelé à une garderie qu’elle ne pouvait communiquer sans consentement la démission et le dossier CSST d’une employée.

Le téléphone sonne à l’accueil. Au bout du fil, une institution financière, un propriétaire de logement ou un futur employeur veut « juste confirmer » qu’une éducatrice travaille encore chez vous. Que répondez-vous ?

Une lettre de la Commission d’accès à l’information (CAI) datée du 16 mai 2013 aide à y voir clair. Elle vise une garderie dont le nom a été masqué dans la version publiée. Selon la plainte résumée par la CAI, cette garderie aurait communiqué d’elle-même avec une société financière pour lui apprendre qu’une employée avait démissionné et qu’elle avait un dossier à la CSST, sans le consentement de l’employée. La CAI n’a rendu aucune ordonnance. Elle a rappelé les règles, et ces règles valent encore pour tous les services de garde du Québec, avec plus de force depuis la Loi 25.

Ce texte ne cherche pas à identifier la garderie ni l’employée. Il s’en tient au document officiel et à ce que la loi prévoit aujourd’hui.

Ce qui s’est passé

  • Avant mai 2013 (date non précisée) : selon la lettre de la CAI, une garderie aurait communiqué, de sa propre initiative, avec une société financière afin de l’aviser qu’une employée avait démissionné et qu’elle avait un dossier à la CSST, et ce, sans son consentement.
  • Ensuite (date non précisée) : la CAI est interpellée au sujet de cette communication ; la lettre désigne l’employée comme la plaignante.
  • 16 mai 2013 : le président de la CAI écrit à la garderie (dossier 1005437). La lettre rappelle les règles de la Loi sur la protection des renseignements personnels dans le secteur privé, suggère un rappel des règles de confidentialité au personnel concerné et précise que la Commission peut entreprendre une enquête ou une inspection auprès de l’entreprise.
  • 22 septembre 2023 : la majorité des dispositions de la Loi 25, adoptée en septembre 2021, entrent en vigueur, selon le gouvernement du Québec. Les règles sur le consentement sont précisées.

Il faut lire ce document pour ce qu’il est : une lettre de rappel, pas une décision rendue après enquête. Les faits y sont écrits au conditionnel (« aurait communiqué »). Rien n’indique ce que la société financière a fait de l’information, ni pourquoi la garderie l’a contactée. Nous ne le supposerons pas.

Anciens téléphones chandeliers noirs alignés dans une vitrine de musée
Un coup de fil, un courriel : peu importe le moyen, ce que contient le dossier d’une employée ne sort pas sans son accord.

Les informations en cause

  • La démission. Le fait qu’une personne ait quitté son emploi, et dans quelles circonstances, fait partie de son dossier d’emploi. C’est un renseignement personnel : il concerne une personne physique et permet de l’identifier (art. 2).
  • Le dossier à la CSST (aujourd’hui la CNESST). Dire qu’une employée y a un dossier, c’est laisser entendre qu’il s’est passé quelque chose qui touche sa santé ou sa sécurité au travail. Aujourd’hui, la Loi 25 qualifie de sensible un renseignement qui, de par sa nature notamment médicale ou en raison du contexte de son utilisation ou de sa communication, suscite un haut degré d’attente raisonnable en matière de vie privée (art. 12). Sa communication exige alors un consentement exprès (art. 13).
  • La relation avec un tiers. La lettre ne précise pas le lien entre cette société et la garderie. Ce qui est clair, c’est que l’information est sortie du milieu de travail vers une entreprise extérieure.

Ce qu’en a dit la CAI, et ce qu’on n’en sait pas

La réponse de la CAI tient en quelques paragraphes. Elle rappelle que toute personne qui exploite une entreprise ne peut communiquer à un tiers les renseignements personnels contenus dans un dossier qu’elle détient sur autrui, à moins que la personne concernée n’y consente ou que la loi ne le prévoie. Elle précise que le consentement doit être « manifeste, libre, éclairé et donné à des fins spécifiques », qu’il ne vaut que pour la durée nécessaire aux fins pour lesquelles il a été demandé et qu’un consentement qui ne respecte pas ces exigences est sans effet. Elle ajoute qu’un rappel des règles de confidentialité au personnel concerné pourrait s’avérer opportun.

Aucune réaction de la garderie n’a été rendue publique, et nous n’avons trouvé aucun reportage sur cette affaire. La seule source est la lettre publiée par la CAI parmi ses décisions de surveillance.

Ce que ça enseigne à un CPE québécois

Le dossier du personnel mérite les mêmes égards que celui des enfants. On pense spontanément à protéger les fiches d’inscription et les dossiers éducatifs. Les dossiers des éducatrices contiennent pourtant des renseignements tout aussi délicats : adresse, numéro d’assurance sociale, salaire, absences, arrêts de travail, mesures disciplinaires.

Une bonne intention ne remplace pas le consentement. La lettre ne dit pas pourquoi la garderie a communiqué avec cette société. Peut-être croyait-elle rendre service. Ça ne change rien à la règle : sans consentement de la personne ou sans exception prévue par la loi, on ne communique rien. Les exceptions des articles 18 à 18.4 visent notamment l’avocat de l’entreprise, la police dans certaines conditions, les organismes qui peuvent contraindre à la communication, les situations d’urgence et le recouvrement de créances. Une simple demande de vérification d’un prêteur ou d’un propriétaire n’y figure pas.

Le consentement d’aujourd’hui est plus exigeant que celui de 2013. Depuis la Loi 25, le consentement doit être demandé pour chaque fin, en termes simples et clairs. S’il est demandé par écrit, la demande doit être présentée distinctement de toute autre information, et si la personne concernée le demande, on doit l’aider à comprendre la portée du consentement (art. 14). Une case cochée il y a des années dans un contrat d’embauche ne couvre vraisemblablement pas une demande d’une banque aujourd’hui.

Une communication sans autorisation est aujourd’hui un incident de confidentialité. La loi définit l’incident comme l’accès, l’utilisation ou la communication non autorisés par la loi d’un renseignement personnel, sa perte ou toute autre atteinte à sa protection (art. 3.6). Une situation comme celle de 2013 devrait donc être inscrite au registre des incidents (art. 3.8). Il faudrait aussi évaluer le risque de préjudice sérieux en tenant compte de la sensibilité du renseignement (art. 3.7) et, si ce risque existe, aviser avec diligence la CAI et la personne concernée (art. 3.5).

À l’interne aussi, l’accès se limite au besoin. Dans une entreprise, un renseignement personnel n’est accessible à un employé, sans le consentement de la personne concernée, que s’il a qualité pour le connaître et que ce renseignement est nécessaire à l’exercice de ses fonctions (art. 20). Le dossier d’une collègue ne se consulte pas par curiosité, comme le rappelle le cas des dossiers de nouveau-nés consultés à Sherbrooke.

Ce que ça change pour votre service de garde

  1. Une seule porte d’entrée pour les demandes de références. Toute demande sur un membre du personnel, actuel ou ancien, est transférée à la direction. À l’accueil, une phrase suffit : « Je ne peux confirmer aucune information sur un membre de notre personnel sans son autorisation écrite. Laissez-moi vos coordonnées, la direction vous rappellera. » Délai : une semaine. Coût : nul.
  2. Un formulaire d’autorisation de références, distinct de tout le reste. Il précise à qui l’information peut être donnée (une organisation nommée ou un type de demandeur), ce qui peut être dit (dates d’emploi, poste, statut actuel), et pendant combien de temps l’autorisation vaut. L’employée le signe seulement quand une demande se présente, pas à l’embauche pour toujours. Délai : deux semaines. Coût : nul.
  3. Remettez les confirmations à la personne elle-même. Plutôt que de répondre au téléphone à un inconnu, préparez une lettre de confirmation d’emploi que l’employée transmet elle-même à son prêteur ou à son propriétaire. À la fin d’un emploi, la Loi sur les normes du travail permet d’exiger un certificat de travail qui fait état exclusivement de la nature et de la durée de l’emploi, des dates de début et de fin et du nom et de l’adresse de l’employeur, sans rien dire de la qualité du travail ni de la conduite (art. 84). Gardez un modèle prêt. Délai : une semaine. Coût : nul.
  4. Isolez les renseignements de santé. Les documents liés à un accident du travail, à un arrêt maladie ou à un dossier à la CNESST vont dans un dossier séparé, à accès restreint, consulté seulement par les personnes qui en ont besoin pour leurs fonctions. Délai : un mois. Coût : faible (un classeur qui ferme à clé ou un dossier à accès restreint dans votre système).
  5. Faites le rappel que suggérait la CAI. Une fois par année, en réunion d’équipe, rappelez que la confidentialité vaut aussi pour les collègues : pas d’information sur une collègue à un parent, à un fournisseur ou à une connaissance, même avec de bonnes intentions. Faites signer un engagement de confidentialité aux nouvelles personnes. Délai : prochaine réunion. Coût : 15 minutes.
  6. Si c’est déjà arrivé, traitez-le comme un incident. Inscrivez l’événement au registre, évaluez le risque de préjudice sérieux avec votre responsable de la protection des renseignements personnels et informez l’employée. Notre article sur le registre des incidents de confidentialité montre quoi noter. Délai : le jour même. Coût : une à deux heures de travail.
  7. Préparez-vous aux demandes d’accès du personnel. Une employée peut demander à voir son propre dossier : l’entreprise doit lui en confirmer l’existence et lui en donner communication (art. 27). Les règles et les délais sont les mêmes que pour un parent, comme l’explique notre article sur les demandes d’accès au dossier. Pour savoir qui répond de tout cela dans votre organisation, voyez le responsable de la protection des renseignements personnels dans un CPE. Délai : un mois. Coût : nul.

Foire aux questions

Que contient la lettre de la CAI du 16 mai 2013 ?

Le président de la CAI y rappelle à une garderie, dont le nom est masqué, qu’une entreprise ne peut communiquer à un tiers les renseignements personnels d’un dossier sans le consentement de la personne concernée, sauf exception prévue par la loi. Selon la plainte, la garderie aurait informé une société financière de la démission d’une employée et de son dossier à la CSST. La lettre ne contient aucune ordonnance.

Peut-on confirmer à un prêteur qu’une personne travaille chez nous ?

Seulement avec le consentement de cette personne, idéalement écrit et limité à ce qu’elle autorise (par exemple les dates d’emploi et le poste). Sans consentement, la réponse prudente est de ne rien confirmer et de demander au prêteur de passer par l’employée, qui peut lui remettre elle-même une lettre de confirmation d’emploi.

Que peut contenir un certificat de travail ?

Selon l’article 84 de la Loi sur les normes du travail, le certificat qu’une personne salariée peut exiger à la fin de son emploi fait état exclusivement de la nature et de la durée de l’emploi, du début et de la fin de l’exercice des fonctions, ainsi que du nom et de l’adresse de l’employeur. Il ne peut faire état de la qualité du travail ni de la conduite de la personne.

Un dossier d’accident du travail est-il un renseignement sensible ?

Il y a de fortes chances. La Loi 25 qualifie de sensible un renseignement qui, de par sa nature notamment médicale ou selon le contexte, suscite un haut degré d’attente raisonnable en matière de vie privée. Sa communication à un tiers exige alors un consentement exprès, et l’accès à l’interne doit se limiter aux personnes qui en ont besoin pour leurs fonctions.

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à [email protected].

Sources

À lire aussi

Étiqueté , , ,

Laisser un commentaire

Votre adresse courriel ne sera pas publiée. Les champs obligatoires sont indiqués avec *