Un courriel soulève des questions concernant les motifs, la crédibilité et la responsabilisation

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2006-346

(Article 2; alinéa 4(2)b); principes 4.1, 4.1.4 et 4.3)

On a mis en doute les motifs du vice-président d'une société qui a demandé, par courriel, le nom de l'employeur d'une personne ne travaillant pas pour sa société. Lorsque cette personne a appris l'existence du message, elle a été contrariée et a demandé au vice-président d'exposer ses motifs. Par la suite, le vice-président et la société ont avancé une série d'explications quant aux motifs du courriel. Le plaignant n'a pas cru les motifs présentés. Selon lui, le vice-président, dont la sœur représentait l'ancienne femme du plaignant en cour, désirait obtenir cette information pour des motifs non professionnels. Il a déposé une plainte au Commissariat concernant une tentative de collecte d'information et le manque de responsabilisation de la société en vertu de la Loi.

La commissaire adjointe à la protection de la vie privée n'a pas cru le vice-président et a convenu qu'il avait probablement une raison personnelle d’envoyer le message. Toutefois, puisqu’aucun employé n'a répondu au message, aucun renseignement personnel n'a été recueilli. Elle a néanmoins été déçue de l'attitude affichée par la société à l'égard de la gestion des renseignements personnels et du droit à la vie privée du plaignant. Par ses actes, la société a semblé ne pas être au courant ou ne pas se soucier de ses obligations en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques.

Au cours de l'enquête, la société s'est efforcée de satisfaire aux responsabilités lui incombant en vertu de la Loi. Toutefois, la commissaire adjointe estimait que la société doit davantage faire preuve de son engagement. Elle a présenté à la société un certain nombre de recommandations visant l'amélioration de sa responsabilisation, auxquelles la société s'est soumise.

Voici un résumé du déroulement de l’enquête et les conclusions rendues par la commissaire adjointe.

Résumé de l’enquête

Le plaignant a appris par l'entremise d'un ami (un employé travaillant à la société en question) que le vice-président de la société avait envoyé un courriel dans lequel il demandait des renseignements concernant le plaignant. L'objet du message mentionnait le nom de l'employé et indiquait ce qui suit : « Est-ce que quelqu'un connaît la société pour laquelle (le plaignant) travaille? [Traduction] »

Pour bien comprendre la présente plainte, il faut exposer certains renseignements contextuels. Au moment où le message a été envoyé, un différend juridique opposait le plaignant et son ancienne femme. La sœur du vice-président représentait l'ancienne femme du plaignant en cour. De plus, il convient de souligner que la société en question est une société immobilière commerciale. Le plaignant ne travaille pas, et n'a jamais travaillé, dans le secteur immobilier.

Peu après avoir appris l'existence du courriel, le plaignant a téléphoné au vice-président pour savoir pourquoi ce dernier avait envoyé le message. Le vice-président a nié avoir envoyé un tel courriel. Par la suite, le plaignant a écrit au vice-président en joignant une copie du courriel. Il a également indiqué dans la lettre croire que le message avait quelque chose à voir avec la sœur du vice-président et les problèmes familiaux du plaignant. Même si le plaignant a demandé une réponse écrite, le vice-président ne lui a pas répondu.

Le plaignant a ensuite fait part de ses préoccupations au président de la société et lui a demandé le motif du courriel. Les avocats de la société lui ont répondu en indiquant que la société ne détenait aucun « renseignement confidentiel » à son sujet et que ses problèmes familiaux ne concernaient pas la société. Insatisfait de la réponse, le plaignant a écrit de nouveau au président pour l'informer que la société n'assumait pas ses responsabilités et que le vice-président recueillait des renseignements le concernant à son insu et sans son consentement. Il a exigé des explications complètes. Les avocats lui ont répondu qu'il n'avait aucun fondement pour déposer quelque plainte que ce soit contre la société.

La plaignant a envoyé une dernière lettre au président-directeur général pour l’informer du fait que la société avait enfreint la Loi en n’assumant pas ses responsabilités touchant la protection de la vie privée et des renseignements personnels, puisqu'elle n'avait pas entièrement donné suite à ses demandes d'explications et qu’elle ne disposait pas de politique sur la vie privée. Il a ensuite déposé une plainte au Commissariat.

Les explications qu’a fournies la société au Commissariat ont évolué au fil de l’enquête. Tout d'abord, la société a mentionné que la plainte ne relevait pas de la compétence de la Loi et qu'aucun renseignement personnel n'avait été recueilli. Ensuite, lorsqu'on a demandé aux responsables de la société d’indiquer le motif de la collecte d'information et de dire si on avait répondu au courriel, ils ont indiqué que le vice-président croyait que le plaignant était un agent immobilier travaillant pour l'une des sociétés membres de leur secteur. Puisqu'il désirait obtenir les coordonnées du plaignant, qu’il n’avait pas, le vice-président a envoyé le courriel. Selon la société, le vice-président croyait qu'un employé de la société avait déjà eu affaire avec le plaignant par le passé. Les responsables de la société ont précisé n'avoir obtenu aucune réponse directe.

Le vice-président a indiqué au Commissariat avoir parlé à un autre employé, qui croyait que le plaignant avait travaillé pour une agence immobilière commerciale et qui lui a demandé s'il savait pour quelle société le plaignant travaillait. Ne connaissant pas la réponse, le vice-président a envoyé le message. Lorsqu'on a questionné l'employé en question, celui-ci ne se souvenait pas avoir eu une conversation avec le vice-président concernant le plaignant. En fait, il a affirmé qu’il n’avait jamais entendu parler du plaignant auparavant.

Le vice-président a confirmé avoir dit au plaignant qu’il n’avait pas envoyé le message et qu’il n’avait aucun intérêt à son égard. Il a précisé au Commissariat avoir répondu de cette façon parce que le plaignant semblait menaçant et avait un ton de voix intimidant.

Le vice-président a indiqué que sa sœur pratiquait bel et bien le droit de la famille, mais qu’il ne savait pas si elle représentait l'ancienne femme du plaignant. Il a continué de maintenir avoir envoyé le courriel pour des motifs professionnels et non personnels. Toutefois, les commentaires du vice-président ont donné à l'enquêteur du Commissariat l'impression que celui-ci possédait déjà certains renseignements sur le plaignant.

En ce qui a trait aux pratiques concernant le traitement des renseignements personnels de la société, le Commissariat a été au départ incapable de trouver l'agent affecté à la protection de la vie privée. Aucune politique sur la vie privée ne figurait sur le site Web de la société. On a fini par donner au Commissariat le nom d'un responsable de la société qui a déclaré qu’il agirait à titre d’agent affecté à la protection de la vie privée. La société a affirmé que le plaignant n'avait jamais demandé dans sa correspondance d'obtenir une copie de la politique sur la vie privée de la société. Elle a néanmoins fourni au Commissariat une copie de sa « politique ». Durant l'enquête, nous avons déterminé qu'il s'agissait d'une note de service envoyée en octobre 2003 informant les employés de la Loi et leur demandant de détruire les renseignements personnels. Nous avons fait savoir à la société qu'il ne s'agissait pas d'une politique sur la vie privée adéquate et nous lui avons demandé d'élaborer une politique appropriée pouvant être consultée par le public. La société a rédigé une politique et le Commissariat l’a examinée. Nous avons proposé certains changements et avons demandé à la société d'afficher la version révisée de la politique sur son site Web le plus tôt possible.

Conclusions

Rendues le 15 juin 2006

Application : L'article 2 définit les « renseignements personnels » comme tout renseignement concernant un individu identifiable, à l'exclusion du nom et du titre d'un employé d'une organisation et des adresses et numéros de téléphone de son lieu de travail. Le paragraphe 4(2)b) indique que la Partie I de la Loi ne s'applique pas à un individu à l'égard des renseignements personnels qu'il recueille, utilise ou communique à des fins personnelles ou domestiques et à aucune autre fin.

Selon le principe 4.1, un organisme est responsable des renseignements personnels dont elle a la gestion et doit désigner une ou des personnes qui devront s'assurer du respect des principes énoncés à l'annexe 1 de la Loi. Le principe 4.1.4 indique que les organismes doivent assurer la mise en œuvre des politiques et des pratiques destinées à donner suite aux principes, y compris : a) la mise en œuvre des procédures pour protéger les renseignements personnels; b) la mise en place de procédures pour recevoir les plaintes et les demandes de renseignements et y donner suite; c) la formation du personnel et la transmission au personnel de l'information relative aux politiques et pratiques de l'organisme; d) la rédaction des documents explicatifs concernant leurs politiques et procédures. Le principe 4.3 précise que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire.

Pour rendre sa décision, la commissaire adjointe a pris en considération les motifs de la collecte, la définition de « renseignements personnels », la collecte proprement dite et la responsabilisation. Elle s'est appuyée sur les points suivants :

Motifs

• La première question que la commissaire adjointe devait examiner concernait les présumés motifs de la tentative de collecte de renseignements personnels. Au bout du compte, la société a fourni au Commissariat le motif pour lequel le courriel avait été envoyé : le vice-président désirait faire affaire avec le plaignant. Toutefois, à la lumière des éléments de preuve, la commissaire ajointe a mis en doute la crédibilité du motif avancé.
• Elle a fait remarquer que le vice-président avait tout d'abord nié devant le plaignant avoir envoyé le message. La commissaire adjointe a conclu que si le vice-président désirait réellement faire affaire avec le plaignant, il lui aurait exposé ses motifs et lui aurait posé des questions lorsque le plaignant lui a téléphoné.
• La commissaire adjointe était également préoccupée par le fait que les responsables de la société, après avoir reçu des lettres à cet égard, n'avaient fourni aucun renseignement quant aux motifs du message. Ce n'est qu'à partir du moment où le Commissariat est intervenu que la société a finalement indiqué que le vice-président croyait que le plaignant travaillait dans le secteur immobilier et désirait communiquer avec lui. De telles tergiversations permettent à la commissaire adjointe de croire que la société avait sans doute de la difficulté à déterminer le motif réel du message.
• La commissaire adjointe a fait remarquer que le plaignant ne travaillait pas et n'avait jamais travaillé dans le secteur immobilier.
• Qui plus est, l'employé (qui, selon le vice-président, lui avait demandé des renseignements concernant l'employeur du plaignant) n'a pas confirmé l'histoire du vice-président, ce qui rend encore plus douteux les motifs avancés.
• En conséquence, la commissaire adjointe a estimé que le vice-président avait un motif personnel de chercher à obtenir le nom de l'employeur du plaignant.
• Elle a fait remarquer que l'alinéa 4(2)b) indique que la Partie I de la Loi ne s'applique pas à un individu (c'est la commissaire adjointe qui souligne) à l'égard des renseignements personnels qu'il recueille, utilise ou communique à des fins personnelles ou domestiques et à aucune autre fin.
• Elle a mis en évidence le terme « individu » parce qu'il s'agit, selon elle, d'une considération importante. Elle a affirmé que l'alinéa 4(2)b) indique que la Loi n’a pas pour objectif de dégager une organisation de ses responsabilités à l’égard d’un employé qui se sert de sa position dans l’organisation pour recueillir, utiliser ou communiquer des renseignements personnels à des fins personnelles.
• Dans la présente affaire, le vice-président a envoyé un courriel aux employés à titre de vice-président de la société en utilisant le système de messagerie électronique et l'équipement de bureau de la société. Elle conclut que, même s'il avait un motif personnel d’envoyer le courriel, il n'a pas agi en tant qu'individu. Selon toutes les apparences, il a envoyé le courriel au nom de la société et pour des motifs professionnels.
• En conséquence, elle a conclu que l’alinéa 4(2)b) n’était pas pertinent et que les agissements du vice-président dans ce cas étaient assujettis aux dispositions de la Loi.

Renseignements personnels

• Par la suite, la commissaire adjointe a évalué la question de savoir si le renseignement demandé par le vice-président faisait partie des renseignements personnels du plaignant au sens de l'article 2. En faisant remarquer que l'article 2 exclut le nom et le titre de l'employé et l'adresse et le numéro de téléphone de son lieu de travail de la définition de « renseignements personnels », elle a mentionné que le nom de l'entreprise pour laquelle une personne travaille n'est pas explicitement visé par l'article 2. Elle reconnaît qu'un titre de poste pourrait inclure l'identité de l'employeur. De même, l'adresse d'une entreprise pourrait révéler le nom de l'employeur d'une personne.
• Ce raisonnement signifie-t-il donc que le nom de l'employeur ne constitue pas un renseignement personnel au sens de l'article 2? Pour répondre à cette question, la commissaire adjointe a pris en considération le contexte dans lequel on a cherché à obtenir ce renseignement. Le vice-président a inscrit le nom du plaignant dans le message et a demandé si quelqu'un savait pour qui il travaillait. Il n'a pas demandé le titre du plaignant ni l'adresse de son lieu de travail, qui sont clairement exclus de la définition de « renseignements personnels » de l'article 2.
• En conséquence, elle a déterminé que, compte tenu du contexte dans lequel la question a été posée, le nom de l'employeur du plaignant constituait un renseignement personnel au sens de l'article 2.

Consentement

• Même si la commissaire adjointe estime difficile à croire le fait qu'aucun employé n'a répondu au courriel, le Commissariat n'a recueilli aucun élément de preuve lui permettant de croire que des renseignements personnels concernant le plaignant ont été recueillis. Il y a clairement eu tentative d'obtenir ces renseignements à l'insu du plaignant et sans son consentement. Toutefois, aucun élément de preuve n'indique que cette tentative a été fructueuse, et la commissaire adjointe n'a donc pu établir que la société a violé le principe 4.3. 

La commissaire adjointe a conclu que la plainte concernant la collecte d'information était non fondée.

• Néanmoins, elle a fait remarquer que, à moins qu'il s'agisse d'une situation visée par l'une des exceptions concernant le consentement, un organisme doit obtenir le consentement d'une personne avant de recueillir, d'utiliser ou de communiquer ses renseignements personnels et doit informer la personne des motifs de cette opération. Elle a aussi souligné à la société que ces motifs doivent être légitimes, professionnels et clairement définis au moment de la collecte – il ne faut pas déterminer ces motifs ultérieurement après y avoir réfléchi.

Responsabilisation

• La commissaire adjointe a indiqué avoir été déçue de l'attitude cavalière du vice-président, en particulier, et de l'ensemble de la société à l'égard des renseignements personnels du plaignant et de son droit à la vie privée. À son avis, cela reflétait un manque important d’égards pour les questions touchant la protection de la vie privée et les obligations de la société en vertu de la Loi. La réponse du vice-président, lorsque le plaignant a cherché pour la première fois à connaître les motifs du courriel, était clairement malhonnête, et, par la suite, les avocats de la société n’ont fourni au plaignant que des réponses évasives à l'égard de la vie privée. De plus, le fait qu'on ait présenté au Commissariat des motifs douteux pour expliquer la tentative de collecte de renseignements laisse croire à une mauvaise compréhension de la Loi et à un manque de respect envers celle-ci. Il est apparu clairement à la commissaire adjointe que, avant que la plainte ne soit déposée au Commissariat, la société n'était pas au courant ou, dans le pire des cas, ne se souciait pas de ses obligations en vertu de la Loi de s'assurer que ses pratiques concernant le traitement des renseignements personnels sont équitables, justes et transparentes et que ses employés connaissent les responsabilités qui leur incombent au regard de ces pratiques, comme les actes du vice-président le montrent.
• L'enquête a révélé que la société ne disposait pas de politiques ni de procédures appropriées concernant la protection de la vie privée ni d'un agent affecté à la protection de la vie privée responsable du respect de la Loi, ce qui est contraire aux principes 4.1 et 4.1.4. 
• Elle a reconnu que, après l'intervention du Commissariat, la société s'est efforcée, au cours de l'enquête, de respecter les exigences de la Loi en matière de responsabilisation. La société a maintenant désigné un responsable de la protection de la vie privée et a élaboré une politique sur la vie privée pour affichage sur son site Web.
• Même si ces initiatives ont rassuré la commissaire adjointe, elle estime que la société doit davantage faire preuve de son engagement à répondre à ses obligations en vertu de la Loi et montrer que l'ensemble de l'organisme assume ses responsabilités à l'égard de pratiques saines concernant la protection de la vie privée.
• En conséquence, elle a recommandé à la société d'afficher sa politique sur la protection de la vie privée sur son site Web, de s'assurer que tous les employés en prennent connaissance et de fournir à son personnel une formation concernant les politiques et les pratiques appropriées au regard de la protection de la vie privée. 
• La société a mis en œuvre l'ensemble des recommandations de la commissaire adjointe.

La commissaire adjointe a conclu que la plainte concernant la responsabilisation était fondée et que cette question a été réglée.