La collecte et l’utilisation des courriels d’un employé sont jugées acceptables à des fins liées à une enquête sur la violation d’un accord

Résumé de conclusions d’enquête en vertu de la LPRPDE n^o 2009-019

[Principe 4.3; alinéas 7(1)b) et 7(2)d)]

Le plaignant, un employé d’une entreprise de télécommunications, a allégué que cette dernière avait eu accès à son compte de courriel personnel pendant un conflit de travail et avait utilisé les renseignements ainsi obtenus pour soutenir la prise de mesures disciplinaires contre lui.

La commissaire adjointe a conclu que l’entreprise avait le droit de recueillir et d’utiliser les renseignements personnels en question à l’insu du plaignant et sans son consentement, conformément aux alinéas 7(1)b) et 7(2)d) qui traitent des fins liées à une enquête sur la violation d’un accord.

Voici un résumé de l’enquête et des conclusions de la commissaire adjointe.

Résumé de l’enquête

La plainte découle d’une réunion au cours de laquelle le plaignant allègue que l’entreprise lui a présenté une copie d’un courriel comme preuve qu’il avait participé à la publication en ligne de matériel protégé par le droit d’auteur sur un forum de discussion d’un syndicat. L’entreprise a allégué que le plaignant avait affiché du contenu appartenant à l’entreprise sans l’autorisation de cette dernière.

Le plaignant allègue que, lorsqu’un enquêteur de l’entreprise lui a montré le courriel en question, il l’avait reconnu comme étant un courriel qu’il avait envoyé à un tiers à partir de son compte personnel. Par contre, le plaignant affirme qu’il ne pouvait pas être absolument certain de l’origine du courriel parce que l’enquêteur en avait caché l’en‑tête.

De son côté, l’entreprise a nié que son enquêteur avait montré un courriel au plaignant pendant la réunion et qu’elle avait eu indûment accès à son compte de courriel personnel. En fait, l’entreprise a fourni au Commissariat des preuves que le plaignant avait transféré des courriels de son compte personnel à son compte professionnel.

L’entreprise a affirmé que les renseignements publiés sur le forum lui permettaient de croire que la personne qui avait affiché le matériel était un employé qui travaillait dans une région géographique en particulier et dont le nom avait les mêmes initiales que le plaignant. Après avoir raffiné la recherche, l’entreprise a examiné le compte de courriel professionnel du plaignant, qui contenait d’autres preuves appuyant ses allégations.

La politique organisationnelle en matière de sécurité stipule que les messages envoyés par courriel font partie des dossiers de l’entreprise, que cette dernière se réserve le droit d’examiner et de communiquer tout message envoyé par l’intermédiaire de son système de courriel à n’importe quelle fin, et que l’entreprise peut communiquer le contenu des courriels aux responsables de l’application de la loi sans en informer préalablement les auteurs ou les destinataires possibles de ces messages. En outre, la politique indique que le compte de courriel de l’entreprise ne doit être utilisé qu’à des fins professionnelles, que son utilisation ne doit pas nuire aux activités courantes, et que la sollicitation par courriel non liée au travail et les messages pouvant embarrasser l’entreprise sont interdits.

À la fin de la réunion en question, le superviseur immédiat du plaignant lui a annoncé qu’il avait été suspendu.

Conclusions

Rendues le 29 mai 2009

Application : Le principe 4.3 prévoit que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu’il ne soit pas approprié de le faire. L’alinéa 7(1)b) stipule qu’une organisation ne peut recueillir de renseignement personnel à l’insu de l’intéressé et sans son consentement que dans le cas où il est raisonnable de s’attendre à ce que la collecte effectuée au su ou avec le consentement de l’intéressé puisse compromettre l’exactitude du renseignement ou l’accès à celui-ci, et la collecte est raisonnable à des fins liées à une enquête sur la violation d’un accord ou la contravention du droit fédéral ou provincial. L’alinéa 7(2)d) indique en partie que l’organisation ne peut utiliser de renseignement personnel à l’insu de l’intéressé et sans son consentement que si le renseignement a été recueilli au titre des alinéa 7(1)b).

Pour rendre sa décision, la commissaire adjointe s’est appuyée sur les considérations suivantes :

• Malgré l’affirmation du plaignant selon laquelle l’employeur a eu accès à son compte de courriel personnel, hébergé sur des systèmes appartenant à l’employeur et exploités par lui, aucune preuve ne laisse croire que l’allégation du plaignant est véridique.
• Au contraire, la preuve qui a été présentée au Commissariat indique que le plaignant a transféré des courriels de son compte personnel à son compte professionnel.
• L’accès de l’employeur au compte de courriel professionnel du plaignant n’est pas remis en question.
• Le mis en cause a établi une politique acceptable sur l’utilisation des comptes de courriel au travail et exige que les employés prennent connaissance de la politique en suivant une formation annuelle sur la sécurité.
• La politique crée l’attente que les messages envoyés sur le système de l’employeur seront considérés comme faisant partie de ses dossiers et que l’entreprise se réservera le droit d’examiner et de communiquer ces messages à n’importe quelle fin.
• Bien que le Commissariat se préoccupe du fait que la politique en matière de sécurité de l’entreprise ne semble pas établir des paramètres adéquats pour la surveillance des courriels des employés (elle semble permettre à l’employeur de surveiller les courriels des employés sans motif valable), les faits de l’affaire en question indiquent que l’accès de l’entreprise au compte de courriel professionnel du plaignant reposait sur des motifs valables, notamment, afin d’enquêter sur la violation du contrat de travail du plaignant.
• L’employeur a eu accès au compte de courriel professionnel du plaignant pour confirmer des preuves qui laissaient croire que le plaignant avait participé à une activité qui, selon l’employeur, allait à l’encontre des obligations d’embauche du plaignant. L’employeur a eu accès au compte professionnel du plaignant seulement après la réalisation d’une enquête externe, à l’issue de laquelle l’employeur a conclu que la personne qui avait publié du matériel sur le forum était probablement un employé qui travaillait dans la même région géographique que le plaignant et dont les initiales étaient les mêmes que ce dernier.
• L’employeur a pris des mesures qui découlaient de préoccupations précises concernant une personne identifiable qui, selon lui, utilisait le système de courriel de l’entreprise d’une manière contraire aux dispositions de la politique organisationnelle que les employés sont tenus de respecter.
• Sans l’application d’une exception législative à l’exigence d’obtenir le consentement de l’intéressé, aucun aspect du contexte d’emploi ne décharge l’entreprise de l’obligation générale prévue par le principe 4.3 de la Loi, à savoir que toute personne doit être informée de la collecte, de l’utilisation et de la communication de renseignements personnels, et y consentir au préalable.
• Dans les circonstances de la présente affaire, la commissaire adjointe estime que les deux exceptions législatives s’appliquent à l’obligation d’obtenir le consentement de l’intéressé. Selon elle, le mis en cause avait le droit de recueillir les renseignements personnels du plaignant en vertu de l’alinéa 7(1)b). Pour ce qui est de l’utilisation subséquente des renseignements personnels obtenus au moyen du compte professionnel de l’employé, elle est d’avis que l’alinéa 7(2)d) s’applique.

Conclusion

La commissaire adjointe a conclu que les plaintes n’étaient pas fondées.