Remise en question des pratiques de collecte et de conservation de l'autorité aéroportuaire

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-255

[Principes 4.4 et 4.5 et paragraphe 5(3)]

Plainte

Le plaignant, employé de l'Agence des douanes et du revenu du Canada (ADRC), travaille dans un aéroport du Canada. Il se plaint que l'autorité responsable de l'exploitation de l'aéroport

1. recueille des renseignements personnels sur les employés de l'aéroport qui doivent posséder un laissez-passer de zone réglementée dans le cadre d'un programme d'attestation de sécurité redondant avec les autorisations exigées par le gouvernement fédéral et
2. ne s'est pas dotée des procédures qui convenables à la conservation et à la destruction des renseignements personnels qu'elle recueille.

Résumé de l'enquête

L'ADRC exige actuellement diverses attestations de sécurité pour ses employés en vertu de la Politique du gouvernement sur la sécurité (PGS). Certains employés ont des cotes de sécurité de niveaux II et III, tandis que d'autres, dont le plaignant, ont été soumis à des vérifications approfondies de la fiabilité. Une personne soumise à une vérification approfondie de la fiabilité peut avoir accès, selon le principe du besoin de savoir, à certains renseignements et biens du gouvernement. Les personnes habilitées aux niveaux II (secret) et III (très secret) peuvent avoir accès, également selon le principe du besoin de savoir, à des renseignements et biens plus confidentiels. Les cotes de sécurité de niveaux II et III font entrer en ligne de compte plus de facteurs que la vérification approfondie de la fiabilité.

L'aéroport en question est divisé en trois zones sur le plan de la sécurité : le côté aérogare, le côté pistes et la zone stérile. N'importe qui peut avoir accès à l'aérogare. Les personnes sans laissez-passer de zone réglementée qui entrent dans la zone stérile (zones d'attente et d'embarquement des passagers) sont assujetties à un contrôle de sécurité physique. Pour pénétrer dans la zone des pistes ou la zone stérile sans être assujetti à un contrôle, il faut posséder un laissez-passer de zone réglementée valide. Dans le cadre de leurs fonctions, le plaignant et ses collègues peuvent avoir besoin d'entrer dans la zone réglementée, et ils doivent donc posséder un laissez-passer. Pour obtenir ce laissez-passer, il est nécessaire d'obtenir une attestation de sécurité aéroportuaire auprès du ministre fédéral des Transports.

Transports Canada a la responsabilité de faire respecter et d'exécuter le Règlement de l'aviation canadienne afférent à la Loi sur l'aéronautique. Au milieu des années 1980, le gouvernement du Canada a institué un programme d'attestation de sécurité du nom de Programme d'autorisation d'accès aux zones réglementées d'aéroports (PAAZRA), aux termes duquel toute personne travaillant dans une zone réglementée d'un aéroport du Canada est tenue de posséder un certificat PAAZRA. Pour l'obtention de ce certificat, l'intéressé doit faire l'objet d'une vérification de ses antécédents : vérification des empreintes digitales, vérification par le Service canadien du renseignement de sécurité, vérification du casier judiciaire et, depuis le 1^er avril 2002, vérification de la banque de données sur les passeports perdus et volés et, s'il y a lieu, confirmation du statut de résident permanent du demandeur.

Au début, le PAAZRA exonérait du contrôle de sécurité tout demandeur de laissez-passer de zone réglementée qui possédait une attestation de sécurité valide aux termes de la PGS (niveau II ou plus). Cependant, depuis les événements du 11 septembre 2001, l'article de la norme du Programme confirmant ce droit a été abrogé. Les titulaires d'attestations de sécurité du gouvernement du Canada sont donc désormais tenus de fournir les mêmes renseignements personnels pour être agréés aux termes du PAAZRA. Cependant, même si cet article n'avait pas été abrogé, le plaignant aurait tout de même été assujetti à un contrôle aux termes du PAAZRA parce qu'il ne possédait pas la cote de sécurité nécessaire. Il a depuis obtenu un certificat PAAZRA.

Dans les années 1990, la responsabilité de l'aéroport en question est passée de Transports Canada à l'autorité aéroportuaire actuelle. Le bail conclu entre les deux parties prévoit que l'autorité aéroportuaire veille à la sécurité et à la protection des biens. Cette protection passe entre autres par l'adhésion au PAAZRA. L'autorité aéroportuaire est donc tenue, aux termes du bail et aux termes de la loi, de recueillir des renseignements personnels sur les employés de l'aéroport qui ont besoin d'un laissez-passer de zone réglementée et, par conséquent, d'une attestation de sécurité.

Pour obtenir un laissez-passer de zone réglementée, le demandeur doit remplir deux formulaires : le formulaire de demande du PAAZRA de Transports Canada ainsi que le formulaire de demande de laissez-passer de l'autorité aéroportuaire. Le formulaire du PAAZRA de Transports Canada invite le demandeur à fournir les renseignements personnels suivants :

• Nom (y compris les noms antérieurs)
• Date de naissance
• Sexe
• Caractéristiques physiques (taille, poids, couleur des cheveux et des yeux, teint)
• Lieu de naissance et nationalité
• Information relative au passeport
• Degré d'instruction
• Voyages (au cours des cinq dernières années)
• Lieux de résidence et activités au cours des cinq dernières années
• Infractions criminelles, s'il y a lieu
• Information sur le conjoint/partenaire
• Information sur les parents
• Information sur les parents du conjoint/partenaire

Le demandeur présente le formulaire de Transports Canada au bureau du contrôle des laissez-passer, qui vérifie si le formulaire est complet. Le personnel du bureau de contrôle des laissez-passer prend les empreintes digitales du demandeur avant d'envoyer le tout (formulaires et empreintes) à Transports Canada.

Il incombe également au demandeur de remplir l'autre formulaire, soit celui de l'autorité aéroportuaire, et de le présenter au bureau de contrôle des laissez-passer. Ce formulaire l'invite à fournir les renseignements personnels suivants :

• Nom
• Adresse
• Date de naissance
• Sexe
• Caractéristiques physiques (taille, poids, couleur des cheveux et des yeux, teint)
• Information sur l'emploi
• Type de laissez-passer demandé

Le bureau se sert de ce formulaire pour vérifier l'identité du demandeur et son emploi et pour déterminer s'il convient de lui délivrer un laissez-passer de zone réglementée une fois reçue l'attestation de Transports Canada. Certains des renseignements recueillis (par exemple la taille et la couleur des yeux) ainsi que la photographie du demandeur (prise par le bureau de contrôle des laissez-passer) apparaissent sur le laissez-passer proprement dit. Cela permet d'identifier rapidement et précisément les personnes qui ont accès à la zone réglementée de l'aéroport.

Lorsque Transports Canada reçoit le formulaire PAAZRA du demandeur, il communique l'information soit à la GRC, soit au SCRS. Une fois toutes les vérifications effectuées, ces organismes communiquent les résultats à Transports Canada, qui décide s'il y a lieu de délivrer une attestation. S'il décide d'accorder une attestation, le Ministère en informe l'autorité aéroportuaire, laquelle délivre un laissez-passer de zone réglementée.

Quant à la conservation des renseignements personnels recueillis par l'autorité aéroportuaire, l'enquête à permis de conclure qu'elle ne conserve pas le formulaire de Transports Canada (PAAZRA) non plus que les renseignements qui y sont contenus. Cependant, elle conserve les renseignements relatifs à la demande et à la délivrance du laissez-passer. Plus précisément, elle conserve une image électronique de la photo ainsi que les renseignements contenus dans le formulaire de demande de laissez-passer. L'autorité aéroportuaire est dotée de politiques concernant la destruction de l'information, mais elle n'en a aucune qui précise la durée de conservation de cette information. Elle conserve ces renseignements et les images électroniques au cas où les employés en question reviendraient travailler à l'aéroport (ce qui est souvent le cas des employés temporaires ou saisonniers). Dans ce cas, elle met l'image à jour au besoin, et l'employé remplit une nouvelle demande de laissez-passer, qui est ajoutée à son dossier. L'enquête a permis de conclure que l'autorité aéroportuaire peut conserver dans ses dossiers de l'information sur des employés qui ne travaillent plus à l'aéroport depuis deux ou trois ans.

L'autorité aéroportuaire a laissé savoir qu'elle est en train d'élaborer une politique concernant la conservation de l'information.

Conclusions

Rendues le 24 décembre 2003

Compétence : Au 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) à toute installation, tout ouvrage, toute entreprise ou tout secteur d'activité fédéral. La commissaire adjointe à la protection de la vie privée avait compétence en l'occurrence parce que l'autorité aéroportuaire est une entreprise fédérale.

Application : Le principe 4.4 prévoit que l'organisation ne peut recueillir que les renseignements personnels nécessaires aux fins déterminées et doit procéder de façon honnête et licite. Le principe 4.5 stipule qu'on ne doit conserver les renseignements personnels qu'aussi longtemps que nécessaire pour la réalisation des fins déterminées. Le paragraphe 5(3) énonce qu'une organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu'à des fins qu'une personne raisonnable estimerait acceptables dans les circonstances.

Pour ce qui concerne la première allégation, la commissaire adjointe a délibéré comme suit :

• L'autorité aéroportuaire recueille des renseignements personnels sur les employés qui ont accès à la zone réglementée de l'aéroport pour deux raisons : respecter le programme d'attestation de sécurité de Transports Canada (institué en vertu de la Loi sur l'aéronautique), auquel elle est tenue d'adhérer en vertu du bail conclu avec le Ministère, et délivrer un laissez-passer lorsque l'attestation a été accordée. Ces deux fins sont parfaitement légitimes et valables.
• Elle est convaincue que l'autorité aéroportuaire limite aux dites fins le volume d'information qu'elle recueille pour l'attestation de sécurité.
• Elle estime donc que les fins de l'autorité aéroportuaire respecte le paragraphe 5(3) et que ses pratiques de collecte sont fidèles au principe 4.4.

Elle a donc conclu que la première allégation était non fondée.

Pour ce qui est de la deuxième allégation, la commissaire adjointe a délibéré comme suit :

• Elle est convaincue que l'autorité aéroportuaire n'a pas conservé les renseignements qu'elle recueille dans le cadre du PAAZRA de Transports Canada.
• Elle a cependant remarqué que l'autorité aéroportuaire n'est pas dotée de politiques ou de procédures concernant la conservation des renseignements qu'elle recueille pour la délivrance des laissez-passer de zone réglementée.
• L'autorité aéroportuaire conserve ces renseignements sur tous les employés au cas où certains d'entre eux reviendraient travailler à l'aéroport, mais la commissaire adjointe ne pense pas que cette pratique soit utile.
• L'autorité aéroportuaire estime que cela lui fait gagner du temps, mais elle reconnaît également que les employés qui reviennent travailler à l'aéroport doivent remplir une nouvelle demande et éventuellement fournir une nouvelle photo.
• La commissaire adjointe conclut donc que l'autorité aéroportuaire enfreint le principe 4.5.

La commissaire adjointe a conclu que la deuxième allégation était fondée.

Autres considérations

Au cours de l'enquête, le Commissariat a comparé les procédures d'attestation de sécurité pour les niveaux II et III et celles du PAAZRA. Non seulement il y a double emploi de l'information recueillie et utilisée, mais le contrôle de sécurité relatif au niveau II (ou plus) est supérieur à ce qu'exige le PAAZRA (exception faite du relevé des empreintes digitales effectué dans certains cas). Pour les titulaires d'une cote de sécurité de niveau II ou plus, ce deuxième contrôle fait augmenter le nombre de personnes qui ont accès à leurs renseignements personnels. Cette diminution de la protection des renseignements personnels ne donne cependant pas lieu à une augmentation démontrable de la sécurité.

La commissaire adjointe était consciente du fait que les personnes qui ont accès à la zone réglementée d'un aéroport doivent posséder une attestation de sécurité adaptée, mais elle s'est demandée combien d'attestations il fallait obtenir à cet égard.

Elle a cependant fait remarquer que ce n'est pas à l'autorité aéroportuaire de régler ce problème. Comme la plainte lui a été adressée, elle a rendu des conclusions concernant les politiques et les pratiques de l'autorité aéroportuaire, mais la plainte soulevait d'importantes questions, et le Commissariat a fait connaître ses préoccupations concernant les répercussions des mesures de Transports Canada en matière de protection des renseignements personnels. Il a donc l'intention de donner suite avec les parties responsables.