Extraits pertinents :

[2] La plainte porte sur la communication de renseignements personnels à un tiers, et ce, sans le consentement de la personne concernée.[...] Il soutient également qu’à la suite de cette demande de rendez-vous, des renseignements personnels, notamment des renseignements de nature médicale le concernant, auraient été transmis à un neurologue, par l’organisme, et ce, sans son consentement.

Avis d'intention et observation 

[7] Le DSP transmet également la Politique SP-022 de l’organisme qui explique qui peut avoir accès aux données contenues au dossier de l’usager.

[8] Le 22 mars 2016, la Commission transmet à l’organisme un avis d’intention dans lequel elle précise que, même si l’objectif est de réduire le délai d’attente, elle s’interroge néanmoins quant à savoir quelle est la procédure d’inscription des patients sur la liste d’attente de la clinique externe de neurologie de l’organisme, qui a accès à cette liste et à quelles fins.

[9] Elle s’interroge également quant à savoir si, au moment de leur inscription sur la liste d’attente, les patients sont informés qu’ils peuvent être contactés par l’un des médecins, agissant à titre d’entrepreneur libre à la clinique externe de neurologie de l’organisme, pour leur proposer un rendez-vous à sa clinique privée.

[11] Le 16 avril 2016, la directrice médicale adjointe relevant de la Direction des services professionnels répond pour l’organisme. Elle mentionne que les procédures de l’organisme en ce qui a trait aux demandes de consultations sont harmonisées au Guide de gestion – Accès aux consultations spécialisées et aux services diagnostiques du Ministère de la Santé et des services sociaux (MSSS).

Analyse

[15] La Loi sur l’accès prévoit que, sauf exception, les renseignements personnels détenus par un organisme public sont confidentiels et ne peuvent être communiqués sans le consentement des personnes concernées.

53. Les renseignements personnels sont confidentiels sauf dans les cas suivants : […]

59. Un organisme public ne peut communiquer un renseignement personnel sans le consentement de la personne concernée. […]

[16] La Loi sur l’accès prévoit également qu’un organisme public doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels qu’il détient, et ce, tout au long de leur cycle de vie.

63.1. Un organisme public doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits et qui sont raisonnables compte tenu, notamment, de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support.

[17] Aux termes de l’enquête et à partir des observations qui lui ont été présentées, la Commission constate que l’organisme ne conteste pas les faits à l’origine de la plainte, soit le fait que le neurologue, agissant à titre d’entrepreneur libre à la clinique externe de neurologie de l’organisme, a eu accès à la demande de consultation du plaignant et que, pour réduire le délai d’attente de ce dernier, il a apporté cette demande avec lui afin de proposer au plaignant un rendez-vous à sa clinique privée.

[19] Néanmoins, même si cet objectif vise à améliorer l’accès aux services spécialisés et à réduire le temps d’attente afin d’avoir un rendez-vous, la Commission considère que l’organisme n’a pas démontré la suffisance des mécanismes qu’il entend mettre en place pour s’assurer que les patients soient adéquatement informés de la procédure d’inscription sur la liste d’attente et de la possibilité d’être contacté par l’un des médecins.

Conclusion

[20] Ainsi, à la lumière de l’enquête et des observations de l’organisme et, même si l’organisme prend différents moyens pour modifier ses pratiques quant à l’accès aux services spécialisés et sensibilise ses employés à la protection des renseignements personnels inscrits sur la liste d’attente de sa clinique externe de neurologie, la Commission conclut que l’organisme a contrevenu à l’article 63.1 de la Loi sur l’accès en n’assurant pas la protection des renseignements personnels qu’elle détient en faisant en sorte qu’un médecin agissant à titre d’entrepreneur libre a pu utiliser les renseignements auquel il a eu accès au sein de l’organisme dans le cadre des activités de sa clinique privée.

POUR CES MOTIFS, LA COMMISSION :

[21] DÉCLARE la plainte fondée;

[22] ORDONNE à l’organisme de prendre les mesures nécessaires afin de s’assurer que les patients soient informés de la procédure d’inscription sur la liste d’attente et de la possibilité d’être contacté par l’un des médecins et de rappeler régulièrement ces mesures à son personnel afin qu’elles soient respectées;

[23] ORDONNE à l’organisme d’informer la Direction de la surveillance de la Commission des mesures prises afin de respecter le paragraphe 22 de la présente décision dans un délai de 90 jours de sa réception.