Guide à l'intention des particuliers
La protection de vos renseignements personnels

Survol du Commissariat à la protection de la vie privée du Canada et de la législation fédérale sur la protection des renseignements personnels

---

Introduction

De nos jours, la technologie touche tous les aspects de la vie quotidienne. C’est pourquoi il est plus important que jamais de vous soucier de vos renseignements personnels et de les protéger contre un éventail croissant de menaces.

C’est ce que fait le Commissariat à la protection de la vie privée du Canada depuis plus de 30 ans. Notre rôle consiste à veiller à ce que le gouvernement du Canada et de nombreuses organisations du secteur privé qui recueillent vos renseignements personnels le fassent avec le plus grand soin en respectant votre vie privée.

Les institutions gouvernementales et les entreprises recueillent toute une panoplie de renseignements personnels à votre sujet. Certains sont recueillis lorsque vous remplissez votre déclaration de revenus ou que vous demandez une prestation gouvernementale et d’autres, lorsque vous utilisez votre carte de crédit ou que vous consultez des sites Web; d’autres encore sont captés par les caméras de surveillance, par les puces d’identification par radiofréquence intégrées dans certains produits et certaines cartes d’identité, ainsi que par les dispositifs de repérage des téléphones cellulaires.

Toutefois, en général, vos renseignements personnels devraient être recueillis, utilisés et communiqués uniquement à des fins légitimes, à condition que vous en soyez informés et, en règle générale, avec votre consentement. Ils doivent également être stockés, communiqués et éliminés de manière sûre et confidentielle.

Déjà en 1984, le premier rapport annuel du Commissariat à la protection de la vie privée du Canada soulignait l’importance de protéger les renseignements personnels. On peut y lire : « la vie privée n’est pas simplement une ressource humaine précieuse et souvent irremplaçable; le respect de la vie privée est la reconnaissance du respect de la dignité humaine et de l’individualité de l’être humain ».

Au sujet du Commissariat à la protection de la vie privée du Canada

Le Commissariat à la protection de la vie privée du Canada a été créé en 1983 à la suite de l’adoption de la Loi sur la protection des renseignements personnels, qui régit les pratiques des ministères et organismes fédéraux en matière de traitement des renseignements personnels.

En 2001, le mandat du Commissariat a été élargi pour englober les entreprises et les organisations du secteur privé sous le régime de la Loi sur la protection des renseignements personnels et les documents électroniques, qui est entrée en vigueur de façon progressive entre 2001 et 2004.

Le commissaire à la protection de la vie privée du Canada est indépendant du gouvernement et relève directement du Parlement. En sa qualité de défenseur du droit à la vie privée, il mène les activités suivantes :

• examiner les plaintes et publier des rapports recommandant aux institutions fédérales et aux organisations du secteur privé des mesures pour remédier aux situations problématiques, s’il y a lieu;
• intenter des poursuites devant les tribunaux fédéraux lorsque les situations ne sont pas réglées;
• évaluer le respect des obligations énoncées dans la Loi sur la protection des renseignements personnels et la LPRPDE en menant, en toute indépendance, des activités de vérification et d’examen ainsi qu’en publiant les conclusions de ces activités;
• examiner les évaluations des facteurs relatif à la vie privée (EFVP) réalisées au sujet d’initiatives gouvernementales existantes et nouvelles, et prodiguer des conseils à cet égard;
• fournir des analyses juridiques et stratégiques ainsi que l’expertise nécessaire pour guider l’examen parlementaire des lois en évolution afin d’assurer le respect du droit des personnes à la vie privée;
• répondre aux demandes des parlementaires, des individus et des organisations en quête de renseignements et de conseils, et prendre des mesures proactives pour les informer des questions émergentes en matière de protection de la vie privée;
• promouvoir la sensibilisation du public et le respect des lois, favoriser la compréhension des droits et obligations en matière de respect de la vie privée grâce à des interventions proactives auprès des institutions fédérales, des associations industrielles, du milieu juridique, des universitaires, des associations professionnelles et d’autres intervenants, et préparer et diffuser des documents de sensibilisation du public, des énoncés de position sur les nouvelles lois et politiques et les nouveaux règlements, des documents d’orientation et des conclusions de recherche que pourront utiliser les institutions fédérales, les organisations du secteur privé et les membres du grand public;
• formuler des opinions juridiques et entamer des poursuites pour faire avancer l’interprétation et l’application des lois fédérales sur la protection des renseignements personnels;
• surveiller les tendances relatives aux pratiques en matière de protection des renseignements personnels, mettre en évidence les enjeux systémiques connexes sur lesquels doivent se pencher les institutions fédérales et les organisations du secteur privé, et promouvoir l’adoption de pratiques exemplaires;
• collaborer avec les intervenants du domaine de la protection de la vie privée dans les provinces et les territoires au Canada, ainsi qu’ailleurs dans le monde, pour étudier les enjeux internationaux relatifs à la protection de la vie privée découlant de la circulation transfrontière sans cesse croissante des données.

Aperçu des mesures de protection de la vie privée au sein du gouvernement fédéral

Les gouvernements ont besoin d’information sur leurs citoyens pour offrir des programmes et établir des politiques publiques dans des secteurs essentiels comme la santé, les transports, la sécurité publique et la sécurité nationale.

Pour leur part, les individus ont besoin de savoir que la collecte, l’utilisation et la communication des renseignements personnels les concernant sont régies par des règles strictes qui préservent leur droit à la vie privée.

Sans respect de la vie privée, d’autres droits fondamentaux – comme le droit de s’exprimer, de se réunir et d’être protégé contre les fouilles ou les saisies abusives – perdent tout leur sens.

La Loi sur la protection des renseignements personnels, qui est entrée en vigueur en 1983, exige la mise en place de mesures appropriées pour protéger les renseignements personnels recueillis par le gouvernement fédéral.

Plusieurs tendances observées depuis ont rendu ce type de loi plus nécessaire que jamais.

Plus précisément, Internet, les systèmes mondiaux de localisation (GPS), les technologies de communication sans fil, les puces d’identification par radiofréquence et les appareils de surveillance miniatures ont révolutionné le mode de création, de stockage et de communication des données sur les personnes.

Des quantités toujours croissantes de renseignements personnels sont compilées au fur et à mesure que les gouvernements s’attaquent à des problèmes d’actualité, comme les menaces pesant sur la sécurité publique et la sécurité nationale.

Application de la Loi sur la protection des renseignements personnels

La Loi sur la protection des renseignements personnels s’applique au secteur public fédéral, qui regroupe environ 250 ministères, organismes et sociétés d’État, allant d’Agriculture et Agroalimentaire Canada à Via Rail Canada.

Les provinces et les territoires ont tous adopté des lois similaires qui régissent leur propre secteur public.

En adoptant la Loi sur la protection des renseignements personnels et en créant le poste de commissaire à la protection de la vie privée du Canada, le Parlement a affirmé le droit à la vie privée des individus. Il a conclu que, même si le gouvernement a besoin de recueillir et d’utiliser les renseignements personnels des individus, il doit le faire sans entraver indûment leur droit à la vie privée.

La Loi sur la protection des renseignements personnels définit donc le droit à la vie privée des individus dans leurs interactions avec le gouvernement fédéral.

Elle oblige les institutions gouvernementales à respecter la vie privée des personnes en encadrant la collecte, l’utilisation, la communication, la conservation et l’élimination des renseignements personnels recueillis.

Votre droit à la vie privée

Sans mentionner expressément la protection de la vie privée ou des renseignements personnels, la Charte canadienne des droits et libertés garantit une protection en vertu des articles 7 (droit à la vie, à la liberté et à la sécurité de la personne) et 8 (droit à la protection contre les fouilles, les perquisitions ou les saisies abusives).

La Cour suprême du Canada a déclaré que la Loi sur la protection des renseignements personnels a « un statut quasi constitutionnel » et que les valeurs et les droits établis dans cette loi sont étroitement liés à ceux reconnus dans la Constitution comme étant nécessaires à une société libre et démocratique.

Plus précisément, en vertu de la Loi :

• le gouvernement ne peut recueillir que les renseignements personnels qui sont directement liés à l’un de ses programmes ou activités;
• dans la mesure du possible, les renseignements devraient être recueillis directement auprès de la personne visée et celle-ci devrait être informée des fins de la collecte;
• le gouvernement devrait prendre toutes les mesures raisonnables pour s’assurer que les renseignements qu’il recueille sont précis, à jour et exhaustifs;
• le gouvernement peut utiliser les renseignements personnels uniquement aux fins auxquelles ils ont été recueillis ou pour des usages compatibles avec ces fins (à moins que la personne ne consente à d’autres usages);
• une institution gouvernementale peut communiquer les renseignements personnels sans le consentement de la personne visée lorsque la Loi le permet, par exemple si cette communication est exigée par mandat ou ordonnance d’un tribunal, si la communication est autorisée par la législation fédérale, si la personne visée en retirerait un avantage certain ou si des raisons d’intérêt public justifient nettement une éventuelle violation de la vie privée.

Renseignements personnels

La Loi sur la protection des renseignements personnels prévoit des mesures de protection des renseignements personnels, qu’elle définit comme tout renseignement, quels que soient sa forme et son support, « concernant un individu identifiable ».

Il peut s’agir de certaines caractéristiques personnelles : race ou couleur; origine nationale ou ethnique; religion; âge; situation de famille; groupe sanguin; empreintes digitales; dossier médical; casier judiciaire; antécédents professionnels; information sur des opérations financières; adresse domiciliaire; numéro d’assurance sociale, permis de conduire ou tout autre numéro d’identification qui a été assigné à une personne.

Accès à vos renseignements personnels

De plus, en vertu de la Loi sur la protection des renseignements personnels, vous avez le droit de voir les renseignements que le gouvernement possède à votre sujet et de demander que des corrections y soient apportées.

Pour ce faire, vous devriez communiquer avec le coordonnateur de la protection des renseignements personnels du ministère ou de l’organisme gouvernemental visé. Pour connaître le nom de cette personne, vous pouvez consulter le site Web Info Source.

Lorsque vous aurez trouvé le nom de la personne-ressource à contacter, veuillez remplir le Formulaire de demande d’accès à des renseignements personnels, qui est disponible en ligne. Vous devez présenter une demande aussi précise que possible pour accélérer le processus. Le formulaire devrait être transmis directement au Coordonnateur de la protection des renseignements personnels du ministère ou de l’organisme gouvernemental visé.

Il n’y a aucuns frais pour les demandes d’accès aux dossiers personnels. En règle générale, le gouvernement dispose de 30 jours pour répondre à votre demande. Ce délai peut cependant être prolongé dans certains cas, notamment si l’on doit vous transmettre de grandes quantités de documents, faire traduire vos documents ou les convertir dans un format différent.

Après avoir reçu et examiné les renseignements, assurez-vous qu’ils sont exacts et exhaustifs. Si ce n’est pas le cas, vous pouvez demander au ministère ou à l’organisme de faire les corrections, ajouts ou suppressions nécessaires.

Remarque : Les demandes d’accès à des renseignements détenus par le gouvernement fédéral et qui ne constituent pas des renseignements personnels devraient être présentées sous le régime de la Loi sur l’accès à l’information, dont l’application relève du Commissariat à l’information du Canada.

Plaintes au commissaire à la protection de la vie privée du Canada

Avant de déposer une plainte auprès du Commissariat à la protection de la vie privée, nous vous encourageons à essayer d’abord de régler le différend directement avec le ministère ou l’organisme qui détient les renseignements personnels vous concernant. Vous pourriez demander l’aide de son coordonnateur de la protection des renseignements personnels.

Vous trouverez la liste des coordonnateurs de l’accès à l’information et de la protection des renseignements personnels sur le Web.

Vous pouvez également communiquer avec le Commissariat en composant le numéro sans frais 1-800-282-1376. Un de nos agents d’information pourra répondre à vos questions concernant notre procédure de dépôt d’une plainte.

Vous pouvez déposer une plainte au Commissariat si, par exemple :

• vous croyez que vos renseignements personnels ont été recueillis, utilisés ou communiqués sans autorisation;
• on vous a refusé l’accès à vos renseignements personnels;
• vous estimez que le délai d’obtention de vos renseignements personnels était excessif.

Veuillez consulter le site Web du Commissariat pour obtenir les formulaires et d’autres renseignements susceptibles de vous aider au cours de la procédure de dépôt d’une plainte.

Si vous décidez de porter plainte auprès du Commissariat, deux possibilités s’offrent à vous : remplir notre formulaire de plainte en ligne et nous le transmettre par voie électronique, ou bien télécharger le formulaire, le remplir, l’imprimer et nous le faire parvenir par la poste. Les plaintes doivent être effectuées par écrit.

Dans le cadre d’une enquête, le commissaire peut recommander au ministère ou à l’organisme visé de prendre des mesures précises pour régler un différend. En pareil cas, il communique au plaignant les résultats de l’enquête.

Évaluations des facteurs relatifs à la vie privée

La réalisation d’une évaluation des facteurs relatifs à la vie privée (EFVP) constitue une autre démarche importante pour protéger les renseignements personnels détenus par le gouvernement fédéral.

Ces évaluations, qui sont obligatoires en vertu d’une politique fédérale, visent à cerner les risques liés à un programme ou à un service, pour montrer au public que la protection de la vie privée est dûment prise en compte au cours de la conception ou de la restructuration des programmes ou des services fédéraux.

Elles permettent aussi d’éviter ou d’atténuer le risque d’atteinte à la vie privée au moment de l’élaboration ou de la refonte d’un programme.

Les institutions doivent présenter leurs EFVP au commissaire à la protection de la vie privée du Canada, qui peut les conseiller sur les mesures à prendre pour maîtriser les risques d’atteinte à la vie privée.

Les institutions doivent publier des sommaires des résultats de leurs EFVP pour que le public puisse savoir comment les enjeux relatifs à la vie privée ont été pris en compte au moment de la conception d’un programme ou d’un service.

Survol de la législation canadienne sur la protection des renseignements personnels dans le secteur privé

Quand vous faites affaire avec une entreprise, vous ne faites pas qu’échanger de l’argent contre un produit ou un service. En effet, à moins de payer en argent comptant, vous laissez derrière vous une traînée de renseignements personnels à votre sujet. Votre nom, votre adresse, votre numéro de carte de crédit et vos habitudes de consommation sont tous des renseignements de grande valeur pour certaines personnes, que ce soit un spécialiste du marketing qui travaille en toute légitimité ou un usurpateur d’identité.

De nombreuses organisations ont besoin de recueillir des renseignements personnels à votre sujet dans le cadre d’activités professionnelles légitimes.

Mais les renseignements personnels sont devenus une marchandise de plus en plus en recherchée par de nombreux organismes du secteur privé qui les utilisent pour essayer de vendre leurs produits et leurs services.

La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) établit les règles de base pour le traitement des renseignements personnels dans le cadre d’activités commerciales. Elle s’applique tant aux petites entreprises qu’aux grandes, qu’elles exercent leurs activités dans un immeuble ou uniquement en ligne.

Application de la LPRPDE

La LPRPDE s’applique aux entreprises du secteur privé de tout le pays, sauf dans les provinces qui ont adopté une loi essentiellement similaire dans le domaine de la protection de la vie privée, à savoir le Québec, la Colombie-Britannique et l’Alberta.

L’Ontario, le Nouveau-Brunswick et Terre-Neuve-et-Labrador ont adopté des lois essentiellement similaires à la loi fédérale dans le domaine des renseignements médicaux détenus par les dépositaires de l’information sur la santé sous le régime de la Loi sur la protection des renseignements personnels sur la santé dans ces provinces.

Toutefois, partout au Canada, même dans les provinces ayant adopté une loi essentiellement similaire, la LPRPDE continue de s’appliquer aux renseignements personnels recueillis, utilisés ou communiqués par toute organisation sous réglementation fédérale, comme les stations de radio et de télévision, les aéroports et les compagnies aériennes, les compagnies de chemins de fer et les entreprises de télécommunications.

La LPRPDE régit également le traitement des renseignements personnels dans le cadre d’activités commerciales interprovinciales ou internationales exercées par des organisations assujetties à la Loi ou à une loi essentiellement similaire.

Protection des renseignements personnels en milieu de travail

La LPRPDE a un champ d’application limité dans le contexte de l’emploi. Lorsqu’il s’agit des renseignements personnels d’un employé ou d’un candidat à un emploi, seules les organisations sous réglementation fédérale y sont assujetties.

Vos droits en vertu de la LPRPDE

En vertu de la LPRPDE, les organisations du secteur privé doivent recueillir, utiliser ou communiquer vos renseignements personnels de façon honnête et licite, avec votre consentement et seulement à des fins précisées et raisonnables.

Une entreprise peut recueillir uniquement les renseignements personnels essentiels à une transaction commerciale. Si elle sollicite d’autres renseignements, vous avez le droit d’en demander la raison et de refuser de fournir l’information si la réponse ne vous satisfait pas. Vous devriez être en mesure d’effectuer la transaction même si vous refusez de transmettre des renseignements personnels autres que ceux qui sont justifiés.

Les organisations assujetties à la LPRPDE sont aussi tenues de protéger vos renseignements personnels en prenant des mesures de sécurité appropriées, et de détruire les renseignements lorsqu’ils ne sont plus nécessaires aux fins précisées à l’origine.

Vous êtes en droit de vous attendre à ce que les renseignements personnels qu’une organisation détient à votre sujet soient exacts, exhaustifs et à jour. Cela signifie que vous pouvez y avoir accès et demander qu’ils soient corrigés au besoin.

Quelques subtilités

Un service de police qui montre qu’il a besoin de renseignements personnels dans le cadre d’une enquête ou dans une situation d’urgence peut être exempté de l’obligation d’obtenir le consentement pour recueillir l’information en vertu de la LPRPDE.

La LPRPDE ne s’applique pas au nom d’un employé, à son titre ni à son adresse, numéro de téléphone ou adresse électronique au travail, qu’une organisation recueille, utilise ou communique strictement pour entrer en contact avec lui dans le cadre de son emploi, de son entreprise ou de sa profession.

En outre, les organisations qui recueillent, utilisent ou communiquent des renseignements personnels strictement à des fins journalistiques, artistiques ou littéraires ne sont pas tenues de s’y conformer.

Il convient également de noter que la LPRPDE s’applique aux activités commerciales. Par conséquent, elle ne vise pas la collecte, l’utilisation et la communication de renseignements personnels par une personne à des fins strictement personnelles.

Renseignements personnels

En vertu de la Loi sur la protection des renseignements personnels, les renseignements personnels au sujet d’une personne comprennent :

• son nom, sa race, son origine ethnique, sa religion, sa situation de famille et son niveau de scolarité;
• son adresse électronique, ses messages de courriel et son adresse IP (protocole Internet);
• son âge, sa taille, son poids, son dossier médical, son groupe sanguin, son ADN, ses empreintes digitales ou son empreinte vocale;
• son revenu, ses achats, ses habitudes de consommation, ses renseignements bancaires, les données sur sa carte de crédit ou de débit, ses rapports de prêt ou de solvabilité, ses déclarations de revenus;
• son numéro d’assurance sociale ou d’autres numéros permettant de l’identifier.

Dépôt d’une plainte auprès du commissaire à la protection de la vie privée du Canada

Si vous estimez qu’une organisation assujettie à la LPRPDE ne s’acquitte pas des obligations qui lui incombent aux termes de la Loi, il est important d’essayer de communiquer directement avec elle pour lui faire part de vos préoccupations.

Les enjeux peuvent bien souvent être réglés très rapidement en discutant avec la bonne personne.

Vous devriez tenter de régler la question avec l’aide de la personne responsable de la protection des renseignements personnels au sein de l’organisation. Dans les grandes entreprises, cette personne porte souvent le titre d’agent(e) de la protection des renseignements personnels ou de la vie privée.

Vous pourriez également communiquer avec le bureau de l’ombudsman ou le bureau des plaintes de l’organisation, ou encore avec l’association industrielle dont elle fait partie, le cas échéant. Par exemple, l’Ombudsman des services bancaires et d’investissement traite les plaintes déposées par des clients contre des entreprises membres.

Si vous n’êtes pas satisfait(e) de la réponse obtenue, vous avez la possibilité de porter plainte auprès du Commissariat. Notre site Web renferme un guide qui explique comment déposer une plainte et un formulaire que vous pouvez transmettre en ligne ou télécharger, remplir et nous faire parvenir par la poste. Il n’y a aucuns frais et vous n’avez pas à retenir les services d’un conseiller spécial.

Le commissaire a le pouvoir de faire enquête sur votre plainte et de tenter de la résoudre. Il peut aussi demander à l’organisation visée de vous donner accès à vos renseignements personnels ou de corriger les erreurs. Le commissaire peut par ailleurs demander à une entreprise de modifier ses pratiques de traitement des renseignements personnels afin de respecter la LPRPDE.

À la fin de l’enquête, le commissaire fait part de ses conclusions au plaignant et à l’organisation en cause. Il pourrait également publier un résumé de votre cas, sans révéler votre identité, pour faire état des leçons apprises.

Le commissaire n’a pas le pouvoir d’imposer des amendes ou d’accorder des dommages et intérêts en cas d’infraction à la LPRPDE.

Si le rapport du commissaire à la protection de la vie privée n’a toujours pas répondu à vos préoccupations, vous pouvez, dans certaines circonstances, saisir de votre plainte la Cour fédérale du Canada. Lorsque le commissaire est d’accord avec vos arguments mais qu’il n’a pas été en mesure de régler le différend, il peut aussi demander une audience en votre nom.

La cour peut ordonner à une organisation de corriger des pratiques non conformes à la loi. Elle peut aussi lui ordonner de publier un avis faisant état des mesures prévues pour corriger ses pratiques. Enfin, elle peut vous accorder des dommages et intérêts, notamment en réparation d’une humiliation.

Pour en savoir plus sur le droit à la vie privée

Ce que vous pouvez faire

Une fois qu’on comprend l’importance de la vie privée, il y a plusieurs choses qu’on peut faire pour la protéger. Par exemple, vous pouvez faire preuve de prudence lorsque vous communiquez des renseignements personnels ou permettez leur communication.

Si l’on vous demande de fournir des renseignements personnels, assurez-vous de bien comprendre l’utilisation qui en sera faite, les raisons pour lesquelles ils sont recueillis, les personnes qui y auront accès et la façon dont ils seront protégés. Lisez les politiques de confidentialité et posez des questions.

Ne donnez pas de renseignements personnels si vous n’êtes pas satisfait des réponses obtenues. Si vous devez fournir des renseignements personnels, ne donnez que ceux qui sont absolument nécessaires.

Ressources en ligne

Le Commissariat a élaboré de nombreuses ressources en ligne pour renseigner les individus sur les mesures à prendre pour protéger leurs renseignements personnels.

Visitez notre site Web : www.priv.gc.ca

Suivez-nous sur Twitter : @privacyprivee

Communiquez avec nous

Si vous avez une question ou des préoccupations concernant la protection des renseignements personnels ou si vous croyez qu’il y a ou pourrait y avoir atteinte à votre vie privée, n’hésitez pas à communiquer avec nous.

Notre Centre d’information est ouvert du lundi au vendredi, entre 8 h 30 et 16 h 30 (heure de l’Est).

Sans frais : 1-800-282-1376
Téléphone : 819-994-5444
Télécopieur : 819-994-5424
ATS : 819-994-6591

Adresse postale

Commissariat à la protection de la vie privée du Canada
30, rue Victoria
Gatineau (Québec)
K1A 1H3

N^o au cat. : IP54-57/2014F
ISBN : 978-1-100-23365-9

Mis à jour en décembre 2015