Rapport annuel au Parlement 2013 concernant la Loi sur la protection des renseignements personnels et les documents électroniques

Cette page Web a été archivée dans le Web

L’information dont il est indiqué qu’elle est archivée est fournie à des fins de référence, de recherche ou de tenue de documents. Elle n’est pas assujettie aux normes Web du gouvernement du Canada et elle n’a pas été modifiée ou mise à jour depuis son archivage. Pour obtenir cette information dans un autre format, veuillez communiquer avec nous.

Archivée

Cette page Web a été archivée dans le Web.

Protection de la vie privée en ligne et transparence

Commissariat à la protection de la vie privée du Canada
30, rue Victoria
Gatineau (Québec)
K1A 1H3

(819) 994-5444, 1-800-282-1376

© Ministre des Travaux publics et des Services gouvernementaux Canada 2014

Nº de catalogue : IP51-1/2013F-PDF

Cette publication se trouve également sur le site www.priv.gc.ca

Suivez-nous sur Twitter : @PriveePrivacy

---

Août 2014

L’honorable Noël A. Kinsella, sénateur
Président
Sénat du Canada
Ottawa (Ontario) K1A 0A4

Monsieur,

J’ai l’honneur de présenter au Parlement le rapport annuel du Commissariat à la protection de la vie privée du Canada concernant la Loi sur la protection des renseignements personnels et les documents électroniques pour la période s’échelonnant du 1^er janvier au 31 décembre 2013.

Je vous prie d’agréer, Monsieur, l’assurance de ma considération distinguée.

Le commissaire à la protection de la vie privée du Canada,

---

Août 2014

L’honorable Andrew Scheer, député
Président
Chambres des communes
Ottawa (Ontario) K1A 0A6

Monsieur,

J’ai l’honneur de présenter au Parlement le rapport annuel du Commissariat à la protection de la vie privée du Canada concernant la Loi sur la protection des renseignements personnels et les documents électroniques pour la période s’échelonnant du 1er janvier au 31 décembre 2013.

Je vous prie d’agréer, Monsieur, l’assurance de ma considération distinguée.

Le commissaire à la protection de la vie privée du Canada,

---

Message du commissaire

Il est de plus en plus évident que la protection de la vie privée exige un partenariat entre les personnes et les entreprises avec lesquelles elles ont des rapports.

Comme tout partenariat fructueux, celui-ci doit reposer sur la confiance et, partant, sur la transparence. Maintenant que les données personnelles sont devenues un précieux atout commercial, les règles régissant leur collecte, utilisation et communication doivent être des plus limpides, bien comprises et activement acceptées.

J’entame mon mandat à titre de commissaire à la protection de la vie privée et je suis fier que le Commissariat ait cherché à assumer un rôle de chef de file pour encourager cette relation importante entre les clients et les entreprises. L’un de nos objectifs sera de continuer d’offrir de l’aide pour que les entreprises adoptent des pratiques claires quant à la protection de la vie privée, pour que les Canadiennes et les Canadiens sachent à quoi s’attendre et puissent contribuer davantage à la sauvegarde de leurs renseignements personnels.

Dans l’économie et la société d’aujourd’hui, de plus en plus axées sur l’information et mues par le numérique, pour renforcer la capacité des gens à prendre le contrôle de leurs renseignements personnels, il faut accroître le contrôle qu’ils ont sur leur vie.

Le présent rapport décrit les efforts déployés par le Commissariat pour atteindre cet objectif aux termes de la Loi sur la protection des renseignements personnels et les documents électroniques au cours de l’année civile 2013.

Le rapport montre comment le Commissariat est passé de la recherche à l’action en cernant les nouveaux enjeux liés à la protection de la vie privée, en formulant des positions stratégiques et en leur donnant suite dans des lignes directrices et des régimes de mise en application. 

Le rapport montre aussi qu’il est possible de prendre des mesures réglementaires efficaces et d’obtenir des résultats même lorsqu’il est question d’enjeux internationaux dans un monde de plus en plus décloisonné. Dans un tel contexte, les responsables de la protection de la vie privée doivent plus que jamais unir leurs forces à celles d’homologues internationaux pour faire état de nos préoccupations relatives à la protection de la vie privée (comme le Commissariat l’a fait dans une lettre signée par 36 de ses homologues au sujet de Google Glass) et pour adopter des mesures conjointes donnant lieu à une amélioration des pratiques de protection de la vie privée en ligne (lors du tout premier ratissage d’Internet pour la protection de la vie privée, avec 18 autres autorités chargées de la protection des données et travaillant ensemble au sein du Global Privacy Enforcement Network, ou GPEN).

Le rapport de cette année présente également des éléments issus d’enquêtes sur des plaintes ainsi que des mesures pour s’attaquer aux problèmes systémiques.

Parallèlement, il souligne les efforts de rayonnement, offrant des lignes directrices aux entreprises pour les aider à éviter les pièges au chapitre de la protection de la vie privée, tout en continuant de sensibiliser les Canadiennes et les Canadiens aux risques actuels pour leur vie privée et aux mesures qu’ils peuvent prendre pour mieux se protéger.

Turbulences technologiques

Comme cela est devenu la norme, de nombreux défis relatifs à la protection de la vie privée en 2013 étaient liés aux nouvelles technologies et aux technologies naissantes, par exemple les logiciels de reconnaissance faciale, les accessoires intelligents, l’infonuagique, la publicité comportementale en ligne, les téléphones intelligents toujours allumés, la technologie géospatiale, l’analytique avancée, les véhicules aériens sans pilote (ou drones) et le profilage génétique. Le Commissariat a cherché à repérer les risques éventuels pour la vie privée, qui peuvent être amplifiés par le fait que de plus en plus, les nouvelles technologies ne fonctionnent généralement pas en vase clos. Les appareils et les sources de données tendent plutôt à se fondre les uns dans les autres, à converger les uns vers les autres et à donner naissance à de nouvelles formes de renseignements numériques qui peuvent être détaillés, persistants et, du moins en théorie, accessibles à l’infini et à jamais.

Cela met en lumière la nécessité d’une coopération entre les agents de réglementation afin de garantir la protection de la vie privée au-delà des opérations d’information individuelles, de manière à prendre en compte la portée mondiale des organisations qui ont les moyens de recueillir et d’utiliser des quantités pratiquement illimitées de renseignements personnels.

Les entreprises ne sont pas les seules à s’intéresser aux données sur les individus à des fins commerciales. De plus en plus, on constate que des renseignements personnels recueillis à l’origine par le secteur privé peuvent également se retrouver entre les mains des organismes du secteur public chargées de l’application de la loi et de la sécurité nationale. La nécessité de tenir un débat constructif sur une transparence et une responsabilisation accrues de la part de tous les intervenants est évidente. Dans un rapport spécial présenté au Parlement en janvier 2014, le Commissariat fait des recommandations visant à façonner et à enrichir cette discussion.  

Un processus d’enquête en évolution

On peut comprendre que beaucoup de personnes ne soient pas à même de comprendre pleinement toute la complexité de ces défis, mais un fait demeure : les Canadiennes et les Canadiens tiennent à leur vie privée. Ils le disent au Commissariat dans le cadre des sondages d’opinion qu’il effectue régulièrement, et, bon an, mal an, ils adressent des centaines de plaintes dans lesquelles ils affirment que leur droit à la vie privée a été bafoué.

En 2013, le Commissariat a continué d’appliquer une formule de tri pour garantir le traitement optimal de chacun des 426 cas à examiner (ce qui représente une augmentation comparativement aux 220^{Note de bas de page 1} plaintes reçues l’année précédente). Cette formule permet de cerner les questions les plus pressantes et récentes liées à la protection de la vie privée; le Commissariat espère ainsi que les leçons tirées à la faveur de leur étude pourront être partagées à grande échelle. Parmi les plaintes reçues, un très grand nombre concernaient les changements apportés par Bell à sa politique de confidentialité, ce qui a incité la commissaire à présenter elle-même une plainte. En tout, 133 plaintes ont été traitées avec succès grâce au processus de règlement rapide du Commissariat, dans le cadre duquel des enquêteurs ayant reçu une formation spéciale ont utilisé la médiation, la conciliation et d’autres stratégies pour en arriver plus vite à une solution convenant à toutes les parties concernées.

En fin de compte, 67 des enquêtes ont donné lieu à des conclusions officielles. Il a été établi que 24 des plaintes reçues n’étaient pas fondées et que 35 l’étaient, mais qu’elles étaient entièrement, ou du moins conditionnellement, réglées. Dans huit autres cas, cependant, le Commissariat n’a pas estimé que l’organisation avait réglé les problèmes soulevés dans la plainte et a exhorté ces organisations à prendre les mesures voulues pour se conformer à ses recommandations.

Mettre l’accent sur la transparence

La transparence était au cœur de plusieurs des principaux efforts déployés en 2013. Lors d’une enquête menée en 2013 (voir la page 24), on a constaté qu’Apple passait outre à la transparence en recueillant, auprès des utilisateurs, des renseignements sur les paiements pour créer un identifiant Apple, et cela, même si certaines applications pouvaient être téléchargées gratuitement. À la suite d’une enquête, l’entreprise s’est engagée à aborder la question.   

Par ailleurs, deux enquêtes sur les publicités comportementales en ligne utilisées par deux géants de la technologie ont été menées à bien en 2013. Ces résultats découlaient directement des travaux entrepris par le Commissariat au cours des années antérieures pour élaborer une position stratégique et des lignes directrices sur ce qu’il considérait alors comme une nouvelle pratique.

Dans un cas (voir à la page 14), Apple a renforcé ses pratiques pour protéger la vie privée des utilisateurs d’un iPhone, d’un iPad ou d’un iPod en leur permettant d’exercer un contrôle accru sur les renseignements recueillis à leur sujet à des fins de publicité, en rendant ces contrôles plus accessibles et en communiquant des renseignements plus clairs sur la façon dont elle s’y prenait pour diffuser des publicités ciblées.

Dans une autre enquête résumée à la page 12, on a constaté que des renseignements sensibles sur l’état de santé étaient utilisés de façon inappropriée pour mieux cibler les annonces diffusées par l’intermédiaire du service de publicité de Google. L’entreprise s’est engagée à faire échec à ce genre de procédés en assujettissant à des mesures de contrôle plus rigoureuses la diffusion d’annonces sur sa plate-forme. On a conclu que la plainte était fondée et conditionnellement résolue.

Les enquêtes mises à part, des résultats ont été obtenus au chapitre de la transparence avec l’aide des homologues du GPEN, en analysant les politiques de confidentialité et les renseignements sur la protection de la vie privée affichés dans plus de 2 000 sites Internet et applications, afin de voir à quel point ils étaient compréhensibles pour les utilisateurs. Cet exercice a mis au jour des lacunes en matière de transparence (notamment dans près de la moitié des 300 sites canadiens examinés), mais la révélation publique de cet état des choses et le dialogue que nos efforts ont engendré ont incité plusieurs douzaines d’organisations à améliorer l’information qu’elles fournissent en ligne sur leurs pratiques de protection de la vie privée.

Regard sur l’avenir

En cette ère de transformations technologiques et sociales constantes, les organisations les plus prospères sont celles qui savent repérer les nouvelles possibilités, y compris les sources et utilisations novatrices de renseignements personnels.

Notre travail consiste à faire preuve de la même agilité, à comprendre ce qui se passe aujourd’hui et à prévoir ce que l’avenir nous réserve. Dans le cadre de son mandat concernant la recherche et l’élaboration de politiques, le Commissariat travaille avec ardeur afin de repérer les risques actuels et à venir pour la vie privée, de définir des positions et de fournir des lignes directrices.

Ainsi, dans un document de recherche publié en 2013, le Commissariat a étudié le recours grandissant aux technologies automatisées de reconnaissance faciale par les secteurs public et privé ainsi que ses conséquences pour l’intégrité de l’identité dans les mondes réel et virtuel.

Dans un autre document, il s’est penché sur l’accès accru des organismes d’application de la loi aux renseignements détenus par les entreprises du secteur privé au sujet de leurs clients et abonnés. Plus précisément, il a cherché à savoir, d’un point de vue technique, ce qu’une adresse IP peut révéler sur une personne.

Un troisième document examine les défis que les accessoires intelligents présentent pour la protection de la vie privée, Google Glass n’étant qu’un des premiers exemples de ce qui pourrait devenir une tendance marquée.

Le Commissariat a également financé dix nouveaux projets dans le cadre de son populaire Programme des contributions, un programme indépendant de financement de chercheurs de l’extérieur. Dans les années à venir, ces projets aideront à faire la lumière sur les conséquences, pour la protection de la vie privée, des contrôles des antécédents effectués par la police, des services d’évaluation du crédit, des sites Internet sur la santé des consommateurs, des tests génétiques offerts directement aux consommateurs et d’autres technologies et services

Un dernier mot

Je sais que le mois de décembre 2013 a marqué la fin du mandat de dix ans de Jennifer Stoddart à titre de commissaire à la protection de la vie privée du Canada, pendant lequel elle a exercé un leadership remarquable. Au moment de sa nomination au poste de commissaire à la protection de la vie privée, la LPRPDE venait tout juste d’entrer en vigueur. De nombreuses mesures de protection des renseignements personnels dans le secteur privé dont les Canadiennes et les Canadiens jouissent depuis les dix dernières années témoignent de la vision audacieuse de Mme Stoddart et de sa détermination inébranlable à concrétiser cette vision. Bon nombre des réalisations ayant marqué son mandat ont été mises en lumière dans un rapport publié en octobre 2013 et qui raconte comment quatre priorités stratégiques (Sécurité publique et protection de la vie privée; Technologie de l’information et protection de la vie privée; Intégrité et protection de l’identité; Renseignements génétiques et protection de la vie privée) ont servi à guider le travail du Commissariat dans le contexte en constante évolution de la protection de la vie privée.

C’est donc avec une grande fierté que le Comissariat lui dédie le présent rapport.

J’aimerais également profiter de l’occasion pour rendre hommage à Chantal Bernier, qui mérite notre respect pour son éthique professionnelle hors du commun et la passion pour le droit à la vie privée dont elle a fait preuve à la fois en tant que commissaire adjointe de 2008 à 2013 et commissaire à la protection de la vie privée par intérim à la suite du départ de Jennifer Stoddart.

Le commissaire à la protection de la vie privée du Canada,
Daniel Therrien

La protection de la vie privée en chiffres en 2013

Version textuelle

La protection de la vie privée en chiffres en 2013 - Partie 1

• Plaintes acceptées : 426
• Demandes de renseignements reçues en vertu de la LPRPDE : 9 661
• Nombre total des plaintes fermées (LPRPDE) : 424
  • Plaintes fermées à l'issue d'un règlement rapide : 133
  • Examens de plaintes auxquels on a mis fin en vertu de l'article 12.2² de la LPRPDE : 170³
  • Plaintes refusées, retirées, réglées en cours d'enquête ou hors du champ d'application du Commissariat : 54
  • Plaintes fermées avec publication d'un rapport de conclusions : 67
    • Plaintes jugées non fondées : 24
    • Plaintes jugées fondées et résolues : 32
    • Plaintes jugées fondées et conditionnellement résolues : 3
    • Plaintes jugées fondées : 8
• Conformité par une application informelle : 42
• Nombre total de signalements d'atteintes à la LPRPDE : 60
  • Communication accidentelle : 20
  • Perte : 7
  • Vol et accès non autorisé : 33

---

² En vertu du paragraphe 12.2 (1) de la LPRPDE, le commissaire peut mettre fin à l’examen d’une plainte s’il estime : a) qu’il n’existe pas suffisamment d’éléments de preuve pour le poursuivre; b) que la plainte est futile, vexatoire ou entachée de mauvaise foi; c) que l’organisation a apporté une réponse juste et équitable à la plainte; d) que la plainte fait déjà l’objet d’une enquête au titre de la présente partie; e) qu’il a déjà dressé un rapport sur l’objet de la plainte.

³ De ce nombre, 166 plaintes concernaient des changements apportés à la politique de confidentialité de Bell; ces plaintes ont été regroupées en une plainte globale formulée par la commissaire, et une enquête sur les préoccupations soulevées a ensuite été menée.

Version textuelle

La protection de la vie privée en chiffres en 2013 - Partie 2

• Comparutions devant des comités parlementaires au sujet de questions touchant la protection de la vie privée dans les secteurs privé et public : 5
• Autres rapports officiels avec des parlementaires ou des membres de leur personnel au sujet de questions touchant la protection de la vie privée dans les secteurs privé et public : 44
• Mémoires officiels présentés au Parlement au sujet de questions touchant la protection de la vie privée dans les secteurs privé et public : 3
• Avant-projets de loi et ébauches de textes de loi examinés quant à leurs répercussions sur la protection de la vie privée dans le secteur privé : 1

Relations avec les intervenants et le public *

Activités de sensibilisation des intervenants (LPRPDE) : 69

Allocutions et présentations faites : 90

Expositions : 15

Outils et documents de politique et d'orientation liés à la LPRPDE publiés : 4

Ententes de contribution signées : 10

Consultations du site Web principal du Commissariat : 2,143,199

Consultations du blogue du Commissariat : 602,283

Consultations du canal YouTube : 26,474

Gazouillis envoyés : 290

Abonnés à Twitter au 31 décembre 2013 : 7,325

Publications distribuées : 21,083

Communiqués et annonces diffusés : 32

* Sauf indication contraire, ces données comprennent également les activités menées en vertu de la Loi sur la protection des renseignements personnels, qui sont décrites dans un rapport annuel distinct.

^{Note de bas de page 2
Note de bas de page 3}

L’année en rétrospective

Maintenant que la deuxième décennie du régime instauré par la LPRPDE est bien amorcée et que les principes relatifs à la protection de la vie privée sont profondément ancrés dans le secteur privé, on pourrait penser que le Commissariat peut maintenant s’offrir le luxe de respirer et de dresser en toute quiétude le bilan de ses progrès et de ses réalisations.

Eh bien, c’est tout le contraire!

Le droit à la vie privée est constamment assiégé, surtout par les technologies nouvelles et en évolution et par les nouveaux modèles d’entreprise. Sa défense exige de la vigilance et l’utilisation créative de nos ressources.

Tout en continuant à nous acquitter des fonctions qui nous incombent traditionnellement et qui consistent notamment à appuyer le Parlement en ce qui a trait aux questions relatives à la protection de la vie privée et à examiner les plaintes des particuliers, nous avons cherché à accroître notre influence en abordant notre travail sous des angles novateurs.

Nous nous sommes donc efforcés d’utiliser nos pouvoirs existants de façon optimale, tout en cherchant de nouveaux moyens efficaces de promouvoir la conformité autres que les enquêtes officielles. Comme nous savons que la plupart des organisations veulent agir pour le mieux, nous avons poursuivi notre dialogue avec les intervenants en leur proposant des renseignements, des conseils et des lignes directrices. Nous avons aussi fait grandir notre influence en collaborant, sur le plan stratégique, avec des partenaires au Canada et ailleurs dans le monde.

Conscients toutefois des limites inhérentes à un cadre législatif de plus en plus désuet, nous avons aussi continué à réclamer une réforme de la LPRPDE qui alignerait davantage nos pouvoirs d’application sur la norme mondiale.

Les principaux résultats de ces efforts sont décrits dans les pages qui suivent.

Recherche et Politiques

Au cours des années, le Commissariat est devenu un centre d’expertise de réputation mondiale en ce qui a trait aux nouveaux enjeux touchant la protection de la vie privée. Nous continuons d’élargir et de renforcer cette expertise en étudiant les tendances et l’évolution des technologies, en surveillant les initiatives législatives et réglementaires, en élaborant des positions fondamentales qui font progresser la protection du droit à la vie privée et en menant des analyses juridiques, stratégiques et techniques sur des questions clés.

La LPRPDE confère au Commissariat le mandat explicite d’effectuer des recherches sur la protection de la vie privée et d’en publier les résultats. La diffusion des connaissances ainsi acquises est essentielle à notre mission, à savoir promouvoir et protéger le droit des individus à la vie privée.

L’an dernier, nos efforts ont donné lieu à la rédaction de mémoires de recherche clés en lien avec notre mandat relatif au secteur privé. Dans ces documents, on a cherché à explorer les conséquences, pour la protection de la vie privée, d’enjeux naissants et de tendances technologiques qui peuvent paraître peu importants aujourd’hui, mais dont l’effet risque de croître toujours davantage au cours des années qui viennent.

En particulier, de nombreuses nouvelles technologies pourraient entraîner une surveillance (souvent clandestine) encore plus grande de nos activités de tous les jours. Beaucoup d’entre elles pourraient permettre l’application des caractéristiques de suivi en ligne à nos activités hors ligne, ce qui signifie que certains comportements qui ne permettent actuellement pas d’identifier des individus, ou en tout cas pas à grande échelle, pourraient un jour être utilisés expressément à cette fin.

• Le document Reconnaissance faciale automatisée dans les secteurs public et privé explique comment le visage humain est une partie de notre corps présentant des mensurations uniques, ce qui en fait une caractéristique clé de notre identité. La technologie de la reconnaissance faciale est devenue un outil viable et de plus en plus exact pour établir un lien entre nos activités en ligne et notre identité réelle. Quand cette technologie est utilisée à des fins commerciales (surtout en secret), elle soulève des questions quant à savoir si les particuliers peuvent fournir un consentement valable à la collecte, à l’utilisation ou à la communication de ces éléments d’information personnels et confidentiels.
• Le rapport Les accessoires intelligents : Défis et possibilités pour la protection de la vie privée indique que, même s’il n’y a actuellement sur le marché que quelques exemples d’accessoires intelligents, bien d’autres y apparaîtront sans doute bientôt. Le rapport donne un aperçu du phénomène des accessoires intelligents et de certaines de leurs répercussions sur la vie privée. Il décrit aussi les considérations dont il faudrait tenir compte au moment de la conception de ces produits afin de mieux protéger la vie privée.
• Le document Ce qu’une adresse IP peut révéler à votre sujet a été produit à la suite du dépôt, par le gouvernement du Canada, de diverses versions d’un projet de loi sur l’accès légal au cours des dix dernières années. Afin d’évaluer les répercussions qu’aurait sur la vie privée l’autorisation d’accéder sans mandat aux données des abonnés, par exemple l’adresse IP d’une personne, le Commissariat expose dans ce document les résultats de son analyse technique. En résumé, il a constaté que les données en question peuvent servir à découvrir des renseignements supplémentaires permettant de construire un portrait très détaillé de la personne et, ainsi, de se documenter sur ses activités, ses goûts, ses penchants et sa vie.

Enquêtes

En 2013, le Commissariat a accepté 426 plaintes de particuliers concernant la protection des renseignements personnels par des intervenants du secteur privé. De ce nombre, 166 plaintes se rapportaient à une nouvelle initiative de marketing de Bell Canada annoncée le 23 octobre 2013. Nous avons regroupé toutes ces plaintes sous une seule plainte déposée par la commissaire, qui devrait être réglée en 2014. Même en soustrayant ces plaintes, le Commissariat a vu le nombre de plaintes liées à la LPRPDE augmenter de 17 % en 2013, comparativement à l’année précédente.

Nous avons fermé 424 plaintes en 2013; de ce nombre, 67 seulement ont nécessité un rapport de conclusions officiel, ce qui représente une diminution si l’on considère que 84 rapports ont été publiés au cours de l’année précédente. Les 357 autres cas ont été réglés grâce au processus de règlement rapide et à d’autres mesures prescrites par la loi.

Le nombre d’atteintes signalées au Commissariat en 2013 était de 60, comparativement à 33 l’année précédente. Il s’agit là d’une hausse marquée, mais qui n’est pas exceptionnelle compte tenu des données relatives à certaines autres années récentes.

Accroître au maximum l’effet de nos enquêtes

En 2013, nous avons effectué plusieurs enquêtes sur des questions relatives à la protection de la vie privée susceptibles d’avoir des répercussions sur un grand nombre d’utilisateurs au Canada et ailleurs dans le monde. Nous mettons trois cas en lumière dans les pages qui suivent.

Collaborer avec des partenaires mondiaux

Pour accroître la portée de nos efforts en matière de protection et de promotion du droit à la vie privée, nous avons continué, en 2013, d’établir des liens officiels et officieux avec nos homologues provinciaux et internationaux. Par exemple, nous avons conclu avec l’Uruguay un accord bilatéral en matière d’échange de renseignements qui s’est ajouté à nos partenariats existants avec le Royaume-Uni, les Pays-Bas, l’Irlande, l’Allemagne et le groupe multilatéral de coopération économique Asie-Pacifique (APEC).

Ici, au Canada, nous avons continué de collaborer à de nombreux niveaux avec les provinces qui appliquent une loi essentiellement similaire à la loi fédérale sur la protection des renseignements personnels dans le secteur privé, à savoir l’Alberta, la Colombie-Britannique et le Québec.

Les liens ainsi tissés nous ont été particulièrement utiles lorsque des fuites de données ont eu lieu. En effet, en 2013, de nombreux gouvernements ont dû faire face à des atteintes à la sécurité des données qui ont touché des millions de personnes dans le monde entier. Dans un cas concernant l’entreprise de médias sociaux LivingSocial, nous avons collaboré avec nos homologues provinciaux et internationaux pour en arriver à une conclusion très positive.

Utiliser nos pouvoirs actuels de façon efficace

Règlement rapide des plaintes

Nous avons réglé 133 plaintes grâce à nos stratégies de règlement rapide en 2013, ce qui représente une hausse de 16 % par rapport à l’année précédente. Notre méthode consiste à repérer les cas se prêtant à un règlement rapide dès le début du processus et à fixer une échéance ferme pour parvenir à une entente. Si la plainte ne peut être réglée avant l’échéance établie, elle est remise à l’équipe des Enquêtes.

Conscients des avantages qu’il y a à traiter les plaintes promptement, par consensus et d’une façon rentable, la plupart des plaignants et des organisations mises en cause sont favorables à cette option.

Refuser des plaintes ou mettre fin à un examen

En 2013, nous avons continué de concentrer nos ressources sur les enquêtes qui soulevaient des questions systémiques, complexes ou nouvelles représentant les plus grands risques pour la vie privée des Canadiennes et des Canadiens. Par conséquent, nous avons exercé 170 fois notre pouvoir de refuser une plainte ou de mettre fin à un examen, conformément aux dispositions de la LPRPDE. Là-dessus, 166 plaintes concernaient une initiative de marketing annoncée par Bell Canada au cours de l’automne. Nous avons regroupé les préoccupations cernées dans ces plaintes sous une seule plainte déposée par la commissaire, de manière à mener une enquête efficace et ciblée, et nous avons mis fin aux autres plaintes. Grâce à cette démarche, le Commissariat réussit à étudier les préoccupations des plaignants d’une manière qui lui permet de mieux utiliser les ressources publiques que s’il traitait chaque plainte individuellement.

Favoriser la conformité grâce à d’autres outils

Sensibilisation des intervenants

Le Commissariat continue d’entretenir de bonnes relations avec les entreprises, les associations de l’industrie et d’autres intervenants. Même si nous réalisons aussi des enquêtes sur des plaintes depuis notre bureau de Toronto, celui-ci a, à l’origine, été créé afin de promouvoir une observation proactive de la LPRPDE au moyen d’activités de sensibilisation.

En effet, grâce à la relation qu’il entretient, par l’intermédiaire de son bureau de Toronto, avec les organisations dont le siège se trouve dans la région du Grand Toronto (RGT), le Commissariat se tient aussi au courant des nouveaux enjeux en matière de protection de la vie privée. Les renseignements ainsi recueillis nous aident à raffiner les recherches, politiques et ressources utilisées pour l’éducation et la sensibilisation, ce qui nous permet d’en accroître la pertinence aux yeux des intervenants concernés.

En 2013, le bureau de Toronto a entrepris 69 projets de sensibilisation, dont les suivants :

• une deuxième réunion annuelle avec les avocats spécialistes du droit à la vie privée dans la RGT, et d’autres activités d’apprentissage axées sur des secteurs particuliers et portant sur des enjeux émergents en matière de protection de la vie privée;
• une présentation au groupe des responsables de la protection de la vie privée du Conference Board du Canada, qui portait plus particulièrement sur le processus relatif aux enquêtes en vertu de la LPRPDE et sur la protection de la vie privée en milieu de travail;
• une occasion pour les chefs de la protection des renseignements personnels de s’entretenir avec la commissaire et la commissaire adjointe ainsi qu’avec les commissaires à l’information et à la protection de la vie privée de l’Alberta et de la Colombie-Britannique;
• une présentation aux professionnels de la protection de la vie privée dont le siège se trouve dans la RGT, dans le cadre de la série KnowledgeNet de l’Association internationale des professionnels de la protection de la vie privée, dont l’objectif était de démystifier les processus d’enquête et de règlement rapide et d’encourager un dialogue proactif avec le Commissariat;
• des réunions avec des détaillants dont le siège est à l’étranger et qui entrent sur le marché canadien;
• la participation à des conférences et à des foires commerciales pour mieux faire comprendre les enjeux liés à la protection de la vie privée.

Dix conseils clés

Nous avons aussi continué à publier des conseils pratiques et faciles à suivre au sujet de la protection de la vie privée, sous la forme d’une fiche intitulée Dix conseils pour éviter les plaintes au Commissariat. Quand nous avons constaté la popularité de cette fiche, nous avons publié, en 2013, la fiche intitulée Dix conseils pour améliorer votre politique de confidentialité en ligne et la transparence de vos pratiques en matière de protection de la vie privée.

Les fiches de conseils, qui répondent à une demande de l’industrie, procurent aux organisations de toutes les tailles un accès aux lignes directrices, aux documents de recherche et aux documents de conclusions d’enquête plus détaillés que nous produisons également.

Directives et outils

En 2013, nous avons continué de rédiger nos bulletins d’interprétation de la LPRPDE. Nous en avons publié deux, qui portaient respectivement sur la forme de consentement et sur l’information accessible au public. Ils s’ajoutent aux autres bulletins qui codifient l’interprétation de termes clés de la LPRPDE par les tribunaux et le Commissariat.

En collaboration avec nos collègues provinciaux, nous avons élaboré des lignes directrices afin d’aider les organisations à obtenir un consentement valable pour la collecte, l’utilisation et la communication en ligne de renseignements personnels.

En mai 2013, nous avons profité de la Semaine de la sécurité civile pour lancer notre Trousse d’urgence pour la protection des renseignements personnels. La trousse a été mise au point en consultation avec les bureaux provinciaux et territoriaux de surveillance de la protection de la vie privée de l’ensemble du Canada; elle vise à aider les organisations assujetties aux lois fédérales en matière de protection des renseignements personnels à réfléchir aux questions de protection de la vie privée avant qu’une situation d’urgence se produise.

Nous avons aussi élaboré une ligne directrice sur une question que nous voyons de plus en plus souvent apparaître dans les plaintes : la gestion des renseignements personnels se rapportant aux comptes des membres d’une même famille ou de personnes habitant à la même adresse. Le document vise à faire en sorte que les renseignements du titulaire d’un compte soient mis à jour promptement et avec exactitude pour éviter, par exemple, la communication par erreur de renseignements confidentiels à un ex-conjoint.

Programme des contributions

Cette année encore, le Commissariat a financé des projets de recherche liés à la protection de la vie privée et menés par des universités et d’autres partenaires. Les dix projets financés dans le cadre de notre Programme des contributions en 2013 portaient sur des thèmes très variés, comme l’utilisation des véhicules aériens sans pilote, les vérifications des antécédents effectuées par la police, les sites Internet sur la santé des consommateurs et les services de tests génétiques fournis directement aux consommateurs. Des examens portant sur les services de regroupement de comptes ainsi que sur les plates-formes et les services offerts par les agences d’évaluation du crédit ont également été réalisés. Deux projets ont porté expressément sur la protection de la vie privée des jeunes.

Pendant l’année, nous avons aussi produit une publication intitulée Résultats réels qui mettait en évidence les résultats réels et concrets de certains projets financés grâce au Programme des contributions du Commissariat, ainsi que les répercussions positives de ces derniers en ce qui a trait à l’amélioration de la protection de la vie privée au Canada.

La LPRPDE et l’avenir

Le présent rapport décrit les efforts que le Commissariat a déployés en 2013 pour s’acquitter de sa mission en dépit des pressions grandissantes sur le droit à la vie privée si cher aux Canadiennes et aux Canadiens. Au Canada et ailleurs dans le monde, de puissantes technologies de l’information et des communications, conjuguées aux exigences sociales et politiques de citoyens et de consommateurs soucieux de faire respecter leurs droits, exercent des pressions importantes sur les cadres de protection de la vie privée, qui ont été conçus pour une époque où les choses étaient plus simples.

Dans ce contexte difficile, nous avons cherché à déployer nos ressources de la façon la plus stratégique et la plus efficace possible et à collaborer chaque fois que possible avec nos partenaires au Canada et à l’étranger. Nous menons par ailleurs des recherches prospectives et nous élaborons des lignes directrices pour aider les organisations à mieux protéger les renseignements personnels.

Or, nous pourrions faire tellement plus avec un cadre législatif mieux adapté aux situations complexes d’aujourd’hui. Nous avons donc continué, en 2013, à réclamer l’apport de réformes à la LPRPDE, réformes qui comprendraient des mesures incitatives propres à encourager les organisations à se conformer à la loi.

Par exemple, de telles mesures encourageraient plus d’organisations à intégrer d’emblée des protections de la vie privée dans leurs produits et services, au lieu d’attendre que des problèmes se manifestent plus tard, soit une fois ces produits et services sur le marché.

Des exigences plus rigoureuses en matière de reddition de comptes et de transparence, appuyées par un régime adéquat d’application de la loi, feraient aussi en sorte que les renseignements personnels des Canadiennes et des Canadiens soient dûment protégés dans l’environnement mondialisé d’aujourd’hui.

À preuve que la collectivité internationale est aux prises avec des défis semblables, l’OCDE a publié les révisions apportées à son document phare intitulé Lignes directrices régissant la protection de la vie privée et les flux transfrontières de données de caractère personnel. Les révisions ont approfondi le concept de la reddition de comptes dans le contexte de la protection de la vie privée, l’OCDE y exhortant les organisations à montrer qu’elles ont adopté des programmes fonctionnels et bien développés pour protéger la vie privée.

Dans les révisions, qui ont été fortement influencées par les conseils d’un groupe d’experts dirigé par l’ancienne commissaire à la protection de la vie privée du Canada Jennifer Stoddart, l’OCDE recommande aussi aux pays membres de rendre obligatoire le signalement des atteintes à la sécurité des données et elle réclame, pour les autorités chargées de protéger la vie privée, les outils de gouvernance, les ressources et l’expertise technique dont elles ont besoin pour exercer leurs pouvoirs avec efficacité.

Le projet de loi S-4 a été déposé par le gouvernement au moment où le présent rapport était en cours de rédaction. Nous avons alors constaté qu’il prévoyait le signalement des atteintes à la vie privée, des ententes exécutoires avec les entreprises et des mesures incitatives à la conformité plus robustes, tout en accordant au Commissariat un plus vaste pouvoir discrétionnaire pour communiquer davantage de renseignements aux Canadiennes et aux Canadiens au sujet de ses enquêtes.

Le 4 juin 2014, nous avons présenté notre point de vue au Comité sénatorial permanent des transports et des communications et lui avons remis notre mémoire.

Article de fond : Avis et Consentement

La transparence : essentielle pour obtenir la confiance des consommateurs en ligne

L’avènement du marché numérique a transformé le commerce de bien des façons.

Aujourd’hui, les consommateurs ont accès à d’innombrables marques et boutiques en ligne, sans quitter leur foyer. Mais au fil du temps, dans cette nouvelle réalité le consommateur a cessé d’être un simple acheteur et est devenu un produit.

De nombreux services en ligne sont gratuits, et ce sont les renseignements personnels qui deviennent la véritable monnaie d’échange. Autrement dit, on obtient gratuitement des éléments de contenu contre des données personnelles plutôt que contre des dollars. La plupart du temps, c’est l’entreprise qui recueille les données en ligne, et non le client qui les fournit, qui décide ce qui arrivera ensuite.

Au Commissariat à la protection de la vie privée du Canada, nous sommes conscients de cette évolution du marché et nous voulons que tous et toutes comprennent la nouvelle réalité.

Nous voulons que les entreprises indiquent clairement ce qu’elles font des renseignements personnels des consommateurs pour que ceux-ci puissent faire des choix éclairés quand ils font des achats et s’adonnent à des activités en ligne.

Songez, par exemple, au fait que d’autres intérêts, y compris ceux des annonceurs et d’une multitude d’autres intervenants recueillant des données personnelles, sont venus compliquer la relation bilatérale classique entre l’acheteur et le vendeur sur le marché virtuel.

Or, les données personnelles qui sont recueillies comprennent beaucoup plus que le nom et l’adresse que vous donnez volontiers; elles renseignent dès lors l’autre partie sur votre emplacement, vos activités et vos préférences, autant d’éléments que vos appareils électroniques communiquent automatiquement, et souvent à votre insu.

Transparence et reddition de comptes

C’est pourquoi nous encourageons toutes les entreprises, en particulier celles qui exercent leurs activités en ligne, à faire preuve de franchise au sujet de leurs pratiques relatives à la protection de la vie privée et à les communiquer efficacement. Les propriétaires de sites Internet doivent expliquer clairement quels renseignements personnels ils recueillent et comment ils sont utilisés, et préciser comment ils les protègent et s’ils seront transmis à des tiers et à quelle fin. Les explications fournies doivent être affichées bien en évidence et être accessibles, claires et utiles. Elles devraient en outre être accompagnées des coordonnées d’une personne-ressource au sein de l’organisation à qui les clients pourront faire part de leurs questions et de leurs préoccupations.

Sans une telle transparence, les clients ne peuvent pas donner le consentement valable dont les entreprises ont besoin pour recueillir leurs renseignements personnels. La transparence aide à responsabiliser les entreprises et suscite la confiance chez les consommateurs. De plus en plus, elle fera partie intégrante des éléments favorisant le fonctionnement harmonieux du marché virtuel.

Mais en sommes-nous rendus là? La réponse est un « non » retentissant.

Après enquête, Apple clarifie certains aspects de ses méthodes de collecte des données pour les consommateurs

Dans un cas se rapportant de près à la transparence et à la protection de la vie privée en ligne, un client a fait valoir qu’Apple Canada n’aurait pas dû lui demander de fournir certaines données pendant le processus de création de son identifiant Apple, qui était nécessaire pour télécharger une application gratuite à partir du site Internet d’Apple. Dans le cadre du processus, il lui fallait fournir des détails aux fins du paiement, comme le numéro d’une carte de crédit et une date de naissance.

Après avoir fait enquête, nous avons conclu qu’Apple avait le droit légitime d’utiliser les dates de naissance pour mieux confirmer l’identité de plusieurs millions de clients canadiens. Toutefois, nous avons constaté que la politique de confidentialité de l’entreprise n’expliquait pas entièrement cette pratique. Apple a accepté de mettre sa politique à jour. En attendant cette clarification, nous avons jugé que ce volet de la plainte était fondé et conditionnellement résolu.

En ce qui concerne la collecte de renseignements financiers, Apple a déclaré que la section de son site Internet qui est consacrée au soutien technique renferme des instructions sur la façon de télécharger des applications gratuites sans devoir fournir des renseignements financiers. Selon l’entreprise, en utilisant l’expression « carte de crédit » dans le moteur de recherche, l’utilisateur pouvait se servir d’un des résultats pour apprendre comment contourner l’obligation de fournir le numéro d’une carte de crédit en suivant un processus de rechange donné.

Nous avons examiné des centaines de commentaires formulés par des utilisateurs exaspérés dans un forum de discussion d’Apple et nous avons mené notre propre analyse technique. Nous avons conclu que la démarche de contournement à suivre pour obtenir les applications gratuites n’était pas évidente et qu’Apple n’avait pas expliqué clairement ses politiques et pratiques sur la collecte de numéros de carte de crédit au moment approprié, soit celui de l’inscription de l’utilisateur en vue d’obtenir un identifiant.

Nous craignions que les méthodes d’Apple n’entraînent une collecte excessive de renseignements financiers confidentiels.

Nous avons jugé que ce volet de la plainte était fondé et nous avons recommandé à Apple d’indiquer clairement aux utilisateurs qu’un mode de paiement n’est pas exigé quand ils s’inscrivent pour obtenir un identifiant Apple afin de télécharger une application gratuite. Nous avons recommandé qu’Apple satisfasse à cette exigence en ajoutant l’option selon laquelle il n’est pas nécessaire de fournir des renseignements financiers à chaque stade de l’inscription. En réponse à notre rapport de conclusions définitif, Apple a accepté notre recommandation. Au bout du compte, nous étions ravis qu’Apple s’engage auprès des consommateurs en acceptant d’aborder les enjeux qui découlaient de notre enquête. Les changements doivent entrer en vigueur à l’automne.

Changements découlant du ratissage

En ce qui concerne la transparence, les sites Internet commerciaux canadiens ne sont malheureusement pas tous à la hauteur. Nous le savons grâce au tout premier ratissage d’Internet pour la protection de la vie privée, une initiative novatrice que le Commissariat a conçue et dirigée en 2013. En collaboration avec 18 autres autorités de la protection des données et avec le Global Privacy Enforcement Network, nous avons ratissé 2 276 sites Internet et applications mobiles au cours d’une seule semaine en mai.

Nous avons abordé chaque site comme le ferait n’importe quel autre consommateur et nous y avons cherché une politique ou une déclaration officielle sur les pratiques de l’organisation en matière de protection de la vie privée. Ces documents en matière de vie privée étaient-ils affichés bien en vue et faciles à trouver? Dans les cas où nous les avons trouvés, nous avons évalué le degré d’utilité de l’information fournie, en nous demandant si des consommateurs ordinaires seraient en mesure de bien la comprendre. Nous nous sommes en outre demandé si un consommateur ayant des questions ou des préoccupations à formuler serait dirigé vers une personne-ressource désignée au sein de l’organisation.

Au Canada, nous avons examiné 326 sites Internet d’entreprises dans des domaines aussi variés que la planification de voyages, la restauration rapide, les produits pharmaceutiques, les assurances, le mobilier, les communications et les tests de paternité. Nous avons publié les résultats de notre ratissage en août : ils n’étaient pas tous encourageants.

En effet, nous avons repéré des problèmes dans près de la moitié des sites examinés. Par exemple, un sur dix, ou presque, n’avait aucune politique visible sur la protection de la vie privée. Dans un site sur huit, la politique en question était tellement bien cachée que seule une personne extrêmement déterminée pouvait arriver à la trouver.

Dans les cas où nous avons pu trouver une politique, elle était souvent si succincte qu’elle ne fournissait aucun renseignement utile sur les pratiques de l’organisation en matière de protection de la vie privée. Quelques-unes étaient aussi courtes qu’un gazouillis.

D’autres, en revanche, versaient dans l’excès contraire avec des dissertations interminables qui auraient assommé un avocat spécialiste des contrats. En effet, la connaissance des textes législatifs s’est avérée utile pour lire plusieurs politiques de confidentialité qui n’offraient rien de plus éclairant que des extraits textuels de la LPRPDE.

Les impasses étaient particulièrement contrariantes. Un site sur cinq ne fournissait aucun moyen de s’informer auprès d’une personne-ressource. Un site invitait les clients à transmettre leurs questions ou préoccupations par courriel, mais ne fournissait aucune adresse électronique pour ce faire.

D’autres instances qui avaient participé au ratissage ont fait des observations semblables, mais elles ont signalé des situations encore pires dans le domaine des applications mobiles.

Des raisons d’espérer

Pourtant, tout n’était pas que ténèbres : nous avons été heureux de communiquer quelques bonnes nouvelles aussi. Nous avons trouvé des politiques sur la protection de la vie privée qui étaient claires, accessibles et faciles à comprendre. Une entreprise est même allée jusqu’à offrir un mécanisme permettant de signaler les atteintes à la vie privée sous le couvert de l’anonymat.

Il s’est avéré que le Canada avait obtenu de meilleurs résultats que la moyenne des autres pays qui avaient participé au ratissage. Par exemple, 21 % de tous les sites et applications ratissés ailleurs dans le monde ne contenaient aucune déclaration sur la protection de la vie privée, soit plus du double qu’au Canada.

La publicité dont l’initiative a fait l’objet a engendré une vague d’activité volontaire de la part d’organisations qui ont rendu leurs politiques sur la protection de la vie privée plus claires et, par conséquent, plus utiles aux internautes. En outre, nous avons profité des leçons recueillies dans le cadre du ratissage pour promouvoir des pratiques exemplaires en publiant le document Dix conseils pour améliorer votre politique de confidentialité en ligne et la transparence de vos pratiques en matière de protection de la vie privée. Nous comptons en outre offrir aux entreprises un guide en bonne et due forme sur le sujet en 2014.

Dans les cas où nous avons repéré des lacunes particulières auxquelles les parties visées n’ont pas remédié malgré la publicité faite au sujet du ratissage, nous leur avons adressé une lettre de conformité. Cela a incité 40 d’entre elles à accroître sensiblement la transparence de leurs communications sur la protection de la vie privée. Le plus beau, c’est que nous avons obtenu ces résultats sans devoir faire enquête sur une seule plainte, ce qui aurait exigé beaucoup de ressources.

Passer à l’action

Cependant, la transparence ne s’arrête pas là, car même la plus parfaite des politiques de confidentialité est tout à fait inutile si les consommateurs ne la consultent pas.

Nous encourageons donc les internautes qui traitent avec des entreprises en ligne à vérifier régulièrement les politiques sur la protection de la vie privée et les autres renseignements relatifs à cette question, et à faire un suivi auprès des entreprises si quelque chose leur paraît insatisfaisant ou ambigu. Ce genre d’échanges rappelle aux entreprises que leurs clients ont à cœur la protection de leur vie privée. Parallèlement, ils procurent aux clients un autre outil important pour prendre des décisions éclairées au moment de faire des opérations en ligne.

Dans l’avenir, nous espérons parfaire encore plus cette importante relation entre les clients et les entreprises. Par exemple, et surtout en cette époque où nous sommes plus nombreux à utiliser des services en ligne mobiles sur des écrans de plus en plus petits, il est plus que temps de repenser la pratique qui consiste à présenter aux clients de longues explications denses et rédigées dans des termes juridiques sur la façon dont leurs renseignements personnels pourraient être recueillis, utilisés et communiqués à autrui, puis à leur demander d’accepter ces conditions pour le reste de leur relation avec l’entreprise.

Nous recommandons plutôt aux entreprises d’utiliser une gamme de stratégies pour accroître la visibilité, la pertinence et la lisibilité des renseignements sur la protection de la vie privée, de manière que le consentement que le client accorde sur la foi de ces renseignements soit vraiment valable.

Par exemple, les avis concernant l’utilisation des renseignements personnels devraient être donnés à des points de décision clés, y compris au stade exact où le client est invité à fournir ces renseignements (p. ex. au moment de l’inscription ou du paiement). Cela rendrait plus réelle l’option de continuer ou d’abandonner la transaction.

En d’autres mots, la communication des renseignements sur la protection de la vie privée doit évoluer au même rythme que la technologie.

Faits désolants

Nous savons tous que des accidents et des événements imprévus viennent parfois torpiller les meilleures intentions et les meilleurs plans. La protection de la vie privée en ligne n’échappe pas à cette réalité. Les politiques sur le respect de la vie privée et les mécanismes de protection en la matière risquent parfois d’être dépassés par des cybermenaces ingénieuses et nouvelles. Voilà qui exige l’adoption de mesures de protection tout aussi novatrices.

En d’autres mots, une menace importante pesant sur l’intégrité des renseignements personnels découle des limites et des vulnérabilités de la technologie. Malgré les meilleurs efforts d’une organisation, les données qu’elle recueille risquent d’être compromises par des pirates informatiques, des escrocs et des voleurs. Mises à part les atteintes délibérées de ce genre, on peut perdre des données simplement en égarant une clé USB parce qu’on n’a pas suivi les procédures de traitement sécuritaire des renseignements.

Il y a aussi le problème des fuites sur le Web : en pareils cas, les renseignements personnels des utilisateurs enregistrés dans un site aboutissent entre les mains de tierces parties, par exemple des agences de publicité. Le Commissariat a mené des recherches sur ce phénomène en faisant des essais dans 25 sites Internet. Il a signalé, en 2012, que 11 de ces sites transmettaient des renseignements tels que les noms et les adresses électroniques.

L’an dernier, le Commissariat a fait un suivi pour voir si on avait déployé des efforts pour remédier à cette faille. Il a constaté avec plaisir que plusieurs organisations avaient pris des mesures pour mettre un terme à la communication involontaire ou inutile de renseignements personnels. Une autre organisation, dont le site partageait des renseignements avec des fournisseurs de services tiers pour gérer son site Internet, a accepté de mettre à jour sa politique de confidentialité pour expliquer clairement cette pratique aux consommateurs.

Confiance et loyauté

La transparence d’une organisation au chapitre de la protection des renseignements personnels est bonne pour les affaires.

Tout d’abord, elle responsabilise davantage l’entreprise à l’égard de ses clients. Une organisation responsable s’assure que son personnel adopte des pratiques judicieuses et transparentes en matière de confidentialité, ce qui réduit le risque d’atteintes à la vie privée coûteuses et parfois catastrophiques.

Avec le temps et l’expérience, les clients commenceront aussi à favoriser les entreprises auxquelles ils font le plus confiance. Or, les consommateurs accordent leur confiance aux organisations qui reconnaissent leur droit à la vie privée et qui sont capables de le protéger au moyen de politiques sérieuses et clairement énoncées.

Malgré les nombreux changements qu’apporte le marché numérique, la confiance demeure une denrée intemporelle et authentique. S’il n’est pas toujours clair que « le client a toujours raison », aucune entreprise ne souhaite que ses clients se sentent lésés. Aujourd’hui, à l’ère des données, si les gens ne sont pas convaincus que leurs renseignements personnels sont protégés et respectés comme il se doit, ils transporteront tout simplement leurs pénates dans une autre entreprise du vaste univers en ligne.

Statistiques sur les enquêtes

Tableau 1
Plaintes acceptées, par secteur d’activité

Secteur	Nombre	Proportion de toutes les plaintes acceptées
Hébergement	12	3%
Divertissement	3	1%
Finances	65	15%
Assurance	18	4%
Internet	19	4%
Autres	16	4%
Services professionnels	9	2%
Ventes/Détail	28	7%
Services	28	6%
Télécommunications	212	50%
Transports	16	4%
Total	426	100%

Tableau 2
Plaintes acceptées, par type de plainte

Type de plainte	Nombre	Proportion de toutes les plaintes acceptées
Accès	54	13%
Responsabilité	2	0%
Exactitude	3	1%
Fins appropriées	173	41%
Collecte	23	5%
Consentement	38	9%
Correction/Annotation	9	2%
Détermination des fins de la collecte	1	0%
Conservation	2	0%
Mesures de sécurité	30	7%
Utilisation et communication	91	22%
Total	426	100%

Tableau 3
Plaintes fermées, par secteur d’activité et décision

Secteur	Décision										Total : décisions, sans les plaintes RR	Toutes les décisions
	Réglée rapidement (RR)	Refus d’enquêter	Mettre fin à l’examen (article 12.2)	Hors du champ d’application	Retrait	Règlée en cours d'enquête	Non fondée	Fondée	Fondée et résolue	Fondée et conditionnellement résolue
Télécommunica-tions	28		166	0	10	1	2	1	4	0	184	212
Finances	27		1	1	7	5	13	2	11	0	40	67
Internet	14		0	0	2	1	5	2	3	2	15	29
Services	20		0	0	0	1	1	0	1	0	3	23
Ventes/Détail	15	1	0	0	1	5	0	1	0	0	8	23
Autres	6		0	0	2	2	0	1	7	0	12	18
Hébergement	7		1	0	1	2	0	1	4	0	9	16
Transports	5		1	0	1	2	2	0	0	0	6	11
Assurance	5		0	0	3	0	1	0	0	1	5	10
Santé	2		0	0	4	0	0	0	0	0	4	6
Services professionnels	2		1	1	0	0	0	0	2	0	4	6
Divertissement	2		0	0	0	1	0	0	0	0	1	3
Total	133	1	170	2	31	20	24	8	32	3	291	424

Tableau 4
Plaintes fermées, par type de plainte et décision

Type de plainte	Décision										Total
	Réglée rapidement	Mettre fin à l’examen (article 12.2)	Refus d’enquêter	Hors du champ d’application	Retrait	Réglée en cours d’enquête	Non fondée	Fondée	Fondée et résolue	Fondée et conditionnellement résolue
Utilisation et communication	1	165		0	3	1	0	0	1	1	172
Use and Disclosure	45	1		1	5	9	6	3	7	0	77
Accès	33	3	1	0	10	2	4	1	8	1	63
Consentement	20	0		1	5	1	1	0	4	1	33
Collecte	9	0		0	3	2	2	1	6	0	23
Mesures de sécurité	9	1		0	3	3	1	1	1	0	19
Correction/Annotation	9	0		0	0	1	2	0	1	0	13
Exactitude	1	0		0	1	0	6	0	3	0	11
Responsabilité	4	0		0	1	0	0	0	0	0	5
Conservation	1	0		0	0	1	1	1	1	0	5
Possibilité de porter plainte	0	0		0	0	0	1	1	0	0	2
Détermination des fins de la collecte	1	0		0	0	0	0	0	0	0	1
Total	133	170Note de bas de page 4	1	2	31	20	24	8	32	3	424

Tableau 5
Délais de traitement moyens, par type de plainte et règlement

Type de plainte	Règlement rapide (RR)		Tous les autres règlements
	Nombre	Délai de traitement moyen en mois	Nombre	Délai de traitement moyen en mois
Accès	33	3.0	30	14.1
Responsabilité	4	2.6	1	5.2
Exactitude	1	1.0	10	14.5
Fins appropriées	1	2.8	171	2.0
Possibilité de porter plainte	0	0.0	2	18.3
Collecte	9	2.5	14	16.4
Consentement	20	1.8	13	13.6
Correction/Annotation	9	1.6	4	12.6
Détermination des fins de la collecte	1	0.1	0	0.0
Conservation	1	4.7	4	16.3
Mesures de sécurité	9	2.3	10	8.4
Utilisation et communication	45	2.1	32	12.0
Total	133	2.3	291	6.7

Tableau 6
Délais de traitement moyens globaux (toutes les décisions)

Décision	Nombre	Délais moyens de traitement en mois
RR — Résolue	133	2.3
Réglée en cours d’enquête	20	6.7
Mettre fin à l’examen (art. 12.2)	170	2.1
Retrait	31	8.8
Hors du champ d’application	2	4.4
Non fondée	24	16.5
Fondée et conditionnellement résolue	3	14.7
Fondée et résolue	32	18.3
Fondée	8	19.3
Refus d’enquêter	1	2.8
Ensemble des cas	424
Délai pondéré global		5.3

Tableau 7
Signalements volontaires des atteintes, par secteur d’activité et type d’incident

Secteur	Type d’incident			Total des incidents par secteur	Proportion de tous les incidents
	Communication accidentelle	Perte	Vol ou accès non autorisé
Hébergement	1	0	0	1	1%
Divertissement	1	0	0	1	1%
Finances	5	2	8	15	25%
Santé	0	0	1	1	1%
Assurance	3	2	3	8	14%
Internet	2	0	4	6	10%
Autres	4	1	3	8	14%
Services professionnels	1	0	3	4	7%
Ventes/Détail	1	0	5	6	10%
Services	1	2	3	6	10%
Télécommunications	1	0	3	4	7%
Total	20	7	33	60	100%

---

Annexe 1 — Définitions des types de plaintes déposées en vertu de la LPRPDE

Les plaintes adressées au Commissariat sont réparties selon les principes et les dispositions de la LPRPDE qui auraient été enfreints :

Accès. Une personne s’est vu refuser l’accès aux renseignements personnels qu’une organisation détient à son sujet ou n’a pas reçu tous les renseignements, soit en raison de l’absence de certains documents ou renseignements, soit en raison d’une exception dont l’organisation s’est prévalue pour retrancher les renseignements.

Collecte. Une organisation a recueilli des renseignements personnels non nécessaires ou les a recueillis par des moyens injustes ou illégaux.

Consentement. Une organisation a recueilli, utilisé ou communiqué des renseignements personnels sans le consentement explicite de la personne concernée ou elle a exigé que la personne consente à la collecte, à l’utilisation ou à la communication déraisonnable de renseignements personnels comme condition à l’obtention des biens ou des services.

Conservation. Les renseignements personnels sont conservés plus longtemps qu’il n’est nécessaire aux fins qu’une organisation a déclarées au moment de la collecte des renseignements ou, s’ils ont été utilisés pour prendre une décision au sujet d’une personne, l’organisation n’a pas conservé les renseignements assez longtemps pour permettre à la personne d’y avoir accès.

Correction/Annotation. L’organisation n’a pas corrigé, à la demande d’une personne, les renseignements personnels qu’elle détient à son sujet ou, en cas de désaccord avec les corrections demandées, n’a pas annoté les renseignements afin d’indiquer la teneur du désaccord.

Délais. Une organisation a omis de fournir à une personne l’accès aux renseignements personnels qui la concernent dans les délais prévus par la Loi.

Exactitude. Une organisation a omis de s’assurer que les renseignements personnels qu’elle utilise sont exacts, complets et à jour.

Frais. Une organisation a exigé plus que des frais minimaux pour fournir à des personnes l’accès à leurs renseignements personnels.

Mesures de sécurité. Une organisation n’a pas protégé les renseignements personnels qu’elle détient par des mesures de sécurité appropriées.

Possibilité de porter plainte. Une organisation a omis de mettre en place les procédures ou les politiques qui permettent à une personne de porter plainte en vertu de la Loi ou elle a enfreint ses propres procédures et politiques.

Responsabilité. Une organisation a failli à l’exercice de ses responsabilités à l’égard des renseignements personnels qu’elle possède ou dont elle a la garde ou elle a omis de désigner une personne responsable de surveiller le respect de la Loi.

Transparence. Une organisation a omis de rendre facilement accessibles aux personnes des renseignements précis sur ses pratiques et politiques en matière de gestion des renseignements personnels.

Utilisation et communication. Les renseignements personnels sont utilisés ou communiqués à des fins autres que celles pour lesquelles ils avaient été recueillis, sans le consentement de la personne concernée, et l’utilisation ou la communication de renseignements personnels sans le consentement de la personne concernée ne font pas partie des exceptions prévues dans la Loi.

Annexe 2 — Définitions des conclusions et autres décisions

Au début de l’année 2012, le Commissariat a modifié certaines des définitions des conclusions et des décisions afin qu’elles expriment mieux les résultats de nos enquêtes en vertu de la LPRPDE. Ces nouvelles décisions avaient également pour but de mieux refléter les responsabilités des organisations à rendre des comptes en vertu de la Loi.

Les définitions ci-dessous expliquent ce que signifie chaque décision.

Non fondée : L’enquête n’a pas permis de déceler des éléments de preuve donnant à penser qu’une organisation a enfreint la LPRPDE ou de déceler assez d’éléments de preuve à cette fin.

Fondée et conditionnellement résolue : Le commissaire a déterminé qu’une organisation avait enfreint une disposition de la LPRPDE. L’organisation s’est engagée à mettre en œuvre les recommandations formulées par la commissaire et à faire la démonstration de cette mise en œuvre dans les délais prescrits.

Fondée et résolue : Le commissaire a déterminé qu’une organisation avait enfreint une disposition de la LPRPDE. L’organisation a démontré qu’elle avait pris des mesures correctives satisfaisantes pour remédier à la situation, soit de sa propre initiative, soit à la suite de recommandations formulées par la commissaire, au moment où la conclusion a été rendue.

Fondée : Le commissaire a déterminé qu’une organisation avait enfreint une disposition de la LPRPDE.

Réglée rapidement : Le Commissariat a aidé à négocier une solution satisfaisante pour toutes les parties concernées sans qu’une enquête officielle n’ait été entreprise. La commissaire ne produit pas de rapport.

Réglée en cours d’enquête : Le Commissariat aide à négocier, en cours d’enquête, une solution qui convient à toutes les parties. Le commissaire ne produit pas de rapport.

Mettre fin à l’examen : L’enquête a pris fin avant que toutes les allégations ne soient pleinement examinées. À sa discrétion, la commissaire peut mettre fin à l’examen de la plainte pour un motif prévu au paragraphe 12.2(1) de la LPRPDE, à la demande du plaignant ou lorsqu’il a renoncé à la plainte.

Refus d’enquêter : Le commissaire a refusé de procéder à une enquête relative à une plainte parce qu’elle était d’avis que le plaignant aurait d’abord dû épuiser les recours internes ou les procédures d’appel ou de règlement des griefs qui lui sont normalement ouverts; que la plainte pourrait avantageusement être instruite selon des procédures prévues par le droit fédéral ou le droit provincial; que la plainte n’a pas été déposée dans un délai raisonnable après que son objet a pris naissance, conformément au paragraphe 12(1) de la LPRPDE.

Hors du champ d’application : À la lumière des données préliminaires recueillies, on a déterminé que la LPRPDE ne s’appliquait pas à l’organisation ou à l’activité faisant l’objet de la plainte. Le commissaire ne produit pas de rapport.

Annexe 3 — Processus d’enquêtes

Version textuelle

Processus d'enquête

Réception

Des personnes font parvenir des plaintes écrites au CPVP concernant des infractions à la Loi. L'unité d'accueil examine les plaintes et fait un suivi auprès des plaignants pour demander des précisions et recueillir des renseignements supplémentaires, le cas échéant.

Si les plaignants n'ont pas discuté de leurs préoccupations avec l'organisation visée, nous leur demandons de le faire pour tenter de régler directement la question, puis de revenir nous voir si leur démarche est infructueuse.

L'unité d'accueil réussit parfois à régler immédiatement les problèmes. Par exemple, si nous avons déjà effectué une enquête sur le type de question soulevée et que nous avons jugé les activités conformes à la LPRPDE, un agent de réception des plaintes en informe la personne concernée. Par ailleurs, si nous avons déterminé antérieurement qu'une organisation ou une activité n'est pas du ressort du Commissariat, un agent de réception explique la situation et aiguille la personne vers d'autres ressources ou sources d'aide s'il y a lieu.

Dans les cas où l'unité d'accueil n'est pas en mesure de régler immédiatement la question soulevée (et après que l'information nécessaire a été recueillie), le CPVP considère qu'il s'agit d'une plainte officielle. Le Commissariat à la protection de la vie privée peut lui aussi déposer une plainte s'il est d'avis qu'il y a des motifs suffisants pour mener une enquête.

• Plainte refusée

  Le commissaire peut refuser d'enquêter sur une plainte si certaines conditions prévues au paragraphe 12(1) de la Loi sont remplies. Le plaignant peut demander à la commissaire de revenir sur sa décision.

• Confiée à un enquêteur

  Les plaintes de nature grave, systémique ou complexe — par exemple, questions liées à la juridiction, allégations multiples ou aspects techniques complexes — sont confiées à un enquêteur.

  • Enquête

    Les enquêtes établissent les faits permettant au commissaire de déterminer si les droits des personnes ont été enfreints au sens de la LPRPDE.

    L'enquêteur écrit à l'organisation pour décrire l'objet de la plainte. Pour constater les faits, il recueille les observations des deux parties et effectue une enquête indépendante, des entrevues avec des témoins et un examen de la documentation. Par l'intermédiaire du commissaire à la protection de la vie privée ou de son délégué, l'enquêteur a le pourvoir de recevoir des éléments de preuve, de visiter des locaux au besoin et d'examiner ou d'obtenir des copies des documents trouvés sur les lieux.

    • Analyse

      L'enquêteur analyse les faits et formule des recommandations à l'intention du commissaire à la protection de la vie privée ou de son délégué.

      L'enquêteur communique avec les parties et examine les faits recueillis au cours de l'enquête. De plus, il informe les parties des recommandations, fondées sur les faits, qui seront transmises au commissaire à la protection de la vie privée ou à son délégué. À cette étape, les parties peuvent faire d'autres observations.

      Les analyses comprennent les consultations internes, par exemple avec la direction des services juridiques, de la recherche et des politiques, selon le cas.

      • Hors du champ d'application

        Le CPVP détermine que la LPRPDE ne s'applique pas aux organisations ou aux activités visées par la plainte.

      • Conclusions

        Le commissaire à la protection de la vie privée, ou son délégué, examine le dossier et évalue le rapport. Le commissaire, ou son délégué (et non l'enquêteur), choisit la conclusion appropriée et détermine s'il convient de formuler des recommandations à l'intention de l'organisation.

      • Rapport préliminaire

        Si l'enquête laisse croire qu'il y a vraisemblablement eu une infraction à la LPRPDE, le commissaire à la protection de la vie privée, ou son délégué, fait des recommandations pour aider l'organisation à régler le problème et demande à celle-ci de préciser, à l'intérieur d'un délai fixé, comment elle appliquera les recommandations.

      • Rapport final et lettres de conclusions

        Le commissaire à la protection de la vie privée, ou son délégué, envoie aux parties une lettre de conclusions décrivant le motif de la plainte, les conclusions de faits dignes d'intérêt, l'analyse et la réponse de l'organisation à toute recommandation formulée dans le rapport préliminaire.

        (Les conclusions possibles sont indiquées à la section — Définitions — de la présente annexe.)

        Dans sa lettre de conclusions, le commissaire à la protection de la vie privée, ou son délégué, informe le plaignant de son droit de s'adresser a la Cour fédérale.

        • Si certaines recommandations n'ont pas encore été mises en œuvre par l'organisation, le CPVP lui demande de nous tenir au courant, selon un calendrier prédéterminé après l'enquête, afin que nous puissions évaluer si des mesures correctives ont été prises.
        • Le plaignant ou le commissaire à la protection de la vie privée peut présenter une demande d'audience à la Cour fédérale. Celui-ci a le pouvoir d'ordonner à l'organisation de revoir ses pratiques. Il peut également accorder des dommages-intérêts au plaignant, notamment pour une humiliation subie. Le montant des dommages-intérêts n'est assujetti à aucune limite.
    • Réglée en cours d'enquête

      Le CPVP tente de régler les plaintes et de prévenir les récidives. Il aide à négocier, en cours d'enquête, une solution qui convient à toutes les parties. L'enquêteur participe au processus.

    • Abandonnée

      Une plainte peut être abandonnée si, par exemple, le plaignant décide de ne pas aller de l'avant ou ne peut être retrouvé, ou si certaines conditions prévues à l'article 12.2 de la Loi sont remplies.

• Confiée à un agent de règlement rapide

  Les plaintes qui peuvent être résolues rapidement, à notre avis, sont confiées à un agent de règlement rapide. Elles comprennent les plaintes sur des sujets ayant déjà fait l'objet de conclusions de la part du Commissariat, celles qui concernent des organisations ayant déjà répondu aux allégations de façon satisfaisante à nos yeux et les cas où il semble possible de régler rapidement les allégations.

  • Acheminée à un enquêteur

    Une plainte qui ne peut être réglée rapidement est confiée à un enquêteur.

  • Réglée rapidement

    Des agents de règlement rapide favorisent le règlement des plaintes au moyen de la médiation, de la négociation et de la persuasion.