Un client se plaint de la présence de
« témoins » sur le site Web d'une compagnie aérienne

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-162

[Principes 4.3 et 4.3.3]

Plainte

Un particulier a fait deux allégations contre une compagnie aérienne : 1) qu'elle lui a refusé l'accès à son site Web parce que son fureteur était configuré de manière à désactiver les « témoins »; 2) qu'elle réunit des renseignements personnels sur les visiteurs à son site Web à leur insu et sans leur consentement en plaçant un témoin sur le disque dur de leur ordinateur.

Résumé de l'enquête

Les « témoins » sont des petits fichiers texte qui peuvent recueillir et emmagasiner tout un éventail de renseignements. Les témoins permanents s'insèrent pour une période indéterminée sur le disque dur d'un usager sauf si l'usager les enlève manuellement de son fureteur après avoir quitté le site Web. Les fureteurs Web permettent généralement aux usagers de désactiver les témoins en permanence ou temporairement.

La compagnie aérienne en question a des témoins permanents et temporaires sur son site Web. Les témoins permanents servent à enregistrer le choix linguistique et le pays de l'usager de sorte que chaque fois qu'un client visite le site, il est accueilli dans la langue de son choix et voit la version (canadienne ou américaine) du site qu'il avait consultée à sa dernière visite. Les témoins temporaires permettent au client de passer des pages protégées aux pages non protégées sans exécuter la procédure d'entrée en communication à chaque fois. L'information emmagasinée est extraite des champs du profil du client, lequel est créé lorsque le client exécute la procédure d'entrée en communication, et comprend le nom du client, le solde de ses « milles », le code du pays de résidence et la préférence linguistique. L'information est supprimée lorsque le client met fin à la communication.

Lorsqu'un client visite le site pour la première fois, la page qui apparaît à son écran est une page dite initiale, qui lui demande d'indiquer sa préférence linguistique et son pays. Une fois que le client a fait son choix, il est dirigé vers la page d'accueil qui convient. Dans le cas qui nous occupe, le plaignant, qui avait sur son fureteur désactivé les témoins permanents, n'a pas pu se rendre à la page d'accueil parce que le site Web est codé de manière à lui refuser l'accès tant que le témoin n'a pas été emmagasiné sur son disque dur. La compagnie a reconnu que cet état de fait était attribuable à un problème d'application et a pris des mesures pour que les visiteurs ayant désactivé les témoins permanents puissent utiliser le site.

Pour ce qui est de la seconde allégation, la compagnie a reconnu qu'elle n'avait pas inclus dans sa politique sur la protection de la vie privée ni sur son site Web de l'information sur les témoins. Elle a toutefois indiqué qu'elle est en train de produire une politique exhaustive sur l'utilisation des témoins, politique qui sera publiée dans un proche avenir.

Conclusions du commissaire

Rendues le 16 avril 2003

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) s'applique aux installations, ouvrages, entreprises ou secteurs d'activités fédéraux. Le commissaire a compétence dans cette affaire parce que les compagnies aériennes constituent des installations, ouvrages, entreprises ou secteurs d'activités fédéraux au sens de la Loi.

Application : Selon le principe 4.3, toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire. Et en vertu du principe 4.3.3, une organisation ne peut pas, pour le motif qu'elle fournit un bien ou un service, exiger d'une personne qu'elle consente à la collecte, à l'utilisation ou à la communication de renseignements autres que ceux qui sont nécessaires pour réaliser les fins légitimes et explicitement indiquées.

Le commissaire a conclu que les renseignements emmagasinés par les témoins temporaires et permanents constituaient des renseignements personnels aux fins de la Loi.

Pour ce qui est de la première allégation, le commissaire a indiqué que, même si la compagnie n'avait pas sciemment interdit l'accès à son site Web aux particuliers qui refusent de consentir à la collecte de renseignements personnels en désactivant les témoins permanents et qu'elle avait pris des mesures pour remédier à la situation, elle n'en avait pas moins refusé au plaignant l'accès à son site et contrevenait donc au principe 4.3.3.

Le commissaire a conclu que la première allégation de la plainte est fondée et résolue.

Pour ce qui est de la seconde allégation, le commissaire a conclu que la compagnie n'avait pas rempli les conditions relatives à la connaissance et au consentement en ce qui concerne l'utilisation des témoins sur son site Web et était donc en contravention du principe 4.3.

Le commissaire a conclu que la seconde allégation de la plainte est fondée.

Autres considérations

Le commissaire s'est réjouit de ce que la compagnie prévoyait de publier une politique exhaustive sur son site Web concernant les témoins.