Un détaillant accepte d’améliorer ses mesures de protection à l’égard de ses enregistrements de vidéosurveillance

Rapport de conclusions en vertu de la LPRPDE n^o 2009-022

Une femme s’est plainte qu’un détaillant ait communiqué des images d’elle‑même enregistrées par les caméras de surveillance d’un magasin à son ex‑mari, à l’épouse de celui‑ci et à son employeur. Elle s’est également plainte que l’entreprise ait refusé de lui donner accès aux enregistrements vidéo.

Après avoir examiné les circonstances de cette affaire, le Commissariat a conclu qu’il était raisonnable pour le détaillant de croire que la plaignante venait au magasin pour harceler, intimider ou agresser une de ses employés. L’épouse de l’ex‑mari de la plaignante travaillait au magasin à l’époque.

En vertu de la LPRPDE, une organisation a le droit de refuser l’accès à des renseignements personnels si la collecte de ces renseignements est raisonnable à des fins liées à une enquête sur la violation d’un accord ou la contravention de la loi, et également lorsqu’il est raisonnable pour l’organisation de s’attendre à ce que la collecte effectuée au su ou avec le consentement de l’intéressé puisse compromettre l’exactitude des renseignements ou l’accès à ceux‑ci.

Dans le présent cas, nous avons convenu que ces critères avaient été respectés et, par conséquent, qu’il était approprié d’avoir refusé l’accès aux renseignements.

Cependant, nous avons conclu que l’entreprise n’aurait pas dû communiquer les images de vidéosurveillance à l’épouse de l’ex‑mari de la plaignante.

Nous avons recommandé au détaillant d’améliorer ses mesures en ce qui concerne la protection et la communication de ses enregistrements de vidéosurveillance et également de dispenser une formation à ses employés sur ces mesures et ces règles.

Le détaillant a confirmé qu’il appliquerait les recommandations.

Le Commissariat a conclu que la plainte concernant l’accès était non fondée et que la plainte liée à la communication était fondée et réglée.

Rapport des conclusions

Plaintes déposées aux termes de la Loi sur la protection des renseignements personnels et les documents électroniques (la « Loi »)

1. La plaignante allègue que le mis en cause, un commerce de détail, aurait communiqué indûment les renseignements personnels la concernant à de tierces parties, notamment son ex‑mari, l’épouse de celui‑ci et son employeur. La plaignante allègue également que le mis en cause aurait refusé de lui donner accès à ses renseignements personnels sous forme d’enregistrements vidéo la montrant dans l’un des magasins du mis en cause.

Résumé de l’enquête

2. Le 19 décembre 2007, la plaignante se trouvait dans l’un des magasins du mis en cause. Elle était accompagnée d’une personne. La plaignante et son accompagnateur agissaient à titre d’agents de police. Les employés du mis en cause chargés de la prévention des pertes ont utilisé l’équipement de vidéosurveillance pour enregistrer la visite de la plaignante et de son accompagnateur au magasin. Un agent de sécurité en civil a également suivi la plaignante et son accompagnateur dans le magasin.

3. Un peu plus tard, les employés responsables de la prévention des pertes ont copié la séquence filmée le 19 décembre sur un CD-ROM et en ont remis une copie à une collègue qui travaillait au magasin et qui est l’épouse de l’ex‑mari de la plaignante.

4. L’ex‑mari de la plaignante et son épouse ont créé des images fixes de la séquence filmée le 19 décembre et ont inclus ces images dans une plainte publique déposée à la police contre la plaignante.

5. L’ex‑mari de la plaignante a déposé sa plainte à la police le 3 avril 2008. Le service de police a terminé son enquête le 28 octobre 2008. L’enquête a permis d’obtenir des renseignements sur divers événements, notamment sur la présence de la plaignante au magasin du mis en cause le 19 décembre 2007. Le service de police a interrogé la plaignante, son accompagnateur, son ex‑mari et l’épouse de ce dernier et a conclu que la plainte de l’ex‑mari de la plaignante n’était pas étayée par la preuve.

6. La plaignante a été informée au sujet de la surveillance et des photos au cours de l’enquête policière et a demandé au mis en cause d’accéder à ces renseignements le 5 juin 2008.

7. Le 23 juin 2008 et le 11 juillet 2008, le mis en cause a refusé d’accorder à la plaignante l’accès aux enregistrements vidéo en question. Le mis en cause a affirmé qu’il considérait que l’affaire était confidentielle, car elle concernait l’une de ses employés et qu’il ne pouvait donc pas fournir d’autres renseignements à la plaignante.

8. Le mis en cause, qui conteste le pouvoir du Commissariat de statuer sur cette plainte, soutient également que ses actes sont légitimes du point de vue de la protection de la vie privée, car l’épouse de l’ex‑mari de la plaignante avait mentionné à d’autres employés du mis en cause que la plaignante présentait une menace à sa sécurité et qu’elle avait adopté un comportement conflictuel. De plus, elle leur avait dit craindre fortement que la plaignante la harcèle et qu’elle l’agresse physiquement dans le magasin du mis en cause.

9. Le mis en cause fait valoir que :

1. la Loi ne s’applique pas, puisque le différend a pris naissance dans le cadre de l’emploi de l’épouse de l’ex‑mari de la plaignante et non dans le cadre d’une activité commerciale;
2. l’exception énoncée au paragraphe 9(1) de la Loi, qui interdit aux organisations de communiquer les renseignements personnels de tierces parties, s’applique;
3. l’accès devait être refusé conformément à l’exception énoncée à l’alinéa 9(3)b) de la Loi, puisque la communication des renseignements demandés à la plaignante aurait révélé des renseignements commerciaux confidentiels (à savoir, ses procédures de sécurité);
4. l’accès devait être refusé conformément à l’exception énoncée à l’alinéa 9(3)c) de la Loi, puisque la communication des renseignements demandés aurait vraisemblablement risqué de nuire à la vie ou à la sécurité d’une autre personne;
5. les enregistrements ont été faits dans le cadre d’une enquête sur la contravention du droit fédéral et l’obtention du consentement de la plaignante avant de les faire aurait compromis la collecte des renseignements, de sorte que l’accès pouvait être refusé conformément à l’exception énoncée aux alinéas 9(3)c.1) et 7(1)b) de la Loi.

Application

10. Nous avons appliqué le paragraphe 2(1) et les alinéas 4(1)a), 7(1)b) et 9(3)c.1) de la Loi ainsi que les principes 4.3 et 4.9 de l’annexe 1 pour rendre nos décisions.

11. L’alinéa 4(1)a) de la Loi stipule que la Loi s’applique aux organisations qui recueillent, utilisent et communiquent des renseignements personnels « dans le cadre de leurs activités commerciales ». Selon le paragraphe 2(1), une « activité commerciale » désigne toute activité régulière ainsi que tout acte isolé qui revêtent un caractère commercial de par leur nature.

12. Le principe 4.9 énonce qu’une organisation doit informer toute personne qui en fait la demande de l’existence de renseignements personnels qui la concernent, de l’usage qui en est fait et du fait qu’ils ont été communiqués à des tiers, et lui permettre de les consulter.

13. L’alinéa 9(3)c.1) dispense une organisation de l’exigence de communiquer les renseignements personnels si les renseignements ont été recueillis conformément à l’alinéa 7(1)b).

14. Par ailleurs, l’alinéa 7(1)b) stipule qu’une organisation ne peut recueillir de renseignement personnel à l’insu de l’intéressé et sans son consentement que dans le cas où il est raisonnable de s’attendre à ce que la collecte effectuée au su ou avec le consentement de l’intéressé puisse compromettre l’exactitude du renseignement ou l’accès à celui‑ci, et où la collecte est raisonnable à des fins liées à une enquête sur la violation d’un accord ou la contravention du droit fédéral ou provincial.

15. Le principe 4.3 énonce que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu’il ne soit pas approprié de le faire.

Conclusions

Le 9 juin 2009

Compétence

16. Le mis en cause utilise son équipement de vidéo à des fins de sécurité et de prévention des pertes. Les enregistrements du 19 décembre ont été faits dans les lieux publics du magasin durant les heures normales d’ouverture. La plaignante soutient qu’elle était au magasin pour y faire des courses et qu’on peut l’apercevoir sur l’enregistrement vidéo faisant un achat.

17. Nous n’acceptons pas l’allégation du mis en cause qui affirme que la Loi ne s’applique pas à sa collecte, à son utilisation ou à sa communication des renseignements personnels de la plaignante. Même si, du point de vue du mis en cause, il existe un aspect des présents événements qui est lié à l’emploi, cet aspect ne peut annuler la nature commerciale des activités du mis en cause relativement à la plaignante.

18. Les renseignements personnels en question ont été recueillis par le mis en cause lors d’activités commerciales dans des lieux publics du magasin, durant les heures normales d’ouverture. Ils ont été recueillis au moyen d’un équipement destiné à protéger les intérêts commerciaux du mis en cause en assurant la sécurité et la prévention des pertes.

19. Comme le stipule clairement l’alinéa 4(1)a), la Loi s’applique à toute organisation « à l’égard des renseignements personnels qu’elle recueille, utilise ou communique dans le cadre d’activités commerciales ». Comme la Loi s’applique aux renseignements personnels recueillis dans le cadre d’activités commerciales, la communication subséquente de ces renseignements à un employé par le mis en cause pour en faire une utilisation personnelle n’exclut pas cette communication de l’application de la Loi.

20. Tout au long de cette enquête, le mis en cause a réitéré et maintenu sa position selon laquelle la Loi ne s’applique pas aux faits et aux circonstances de cette affaire puisque la plainte concerne la collecte de renseignements personnels sur un employé. Indépendamment de sa position quant à la compétence du Commissariat, le mis en cause a toutefois accepté de participer à l’enquête du Commissariat en vue de résoudre le présent différend qui a donné lieu à cette plainte, de manière coopérative.

Accès

21. Nous nous pencherons d’abord sur la demande de droit d’accès aux enregistrements vidéos en question de la plaignante — un enjeu qui est régi par le principe 4.9 de la Loi, sous réserve des exceptions énoncées au paragraphe 9.

22. L’alinéa 9(3)c.1) de la Loi stipule que l’organisation n’est pas tenue de communiquer des renseignements personnels si les renseignements ont été recueillis au titre de l’alinéa 7(1)b) de la Loi. Le mis en cause doit respecter deux aspects de l’alinéa 7(1)b) pour que l’exception s’applique. Premièrement, la collecte est raisonnable à des fins liées à une enquête sur la violation d’un accord ou la contravention du droit fédéral ou provincial. Deuxièmement, il est raisonnable que le mis en cause s’attendre à ce que la collecte effectuée au su ou avec le consentement de l’intéressé puisse compromettre l’exactitude du renseignement ou l’accès à celui‑ci.

23. D’après nous, compte tenu des plaintes antérieures que la conjointe de l’ex‑mari de la plaignante a adressées à son employeur, il était raisonnable pour le mis en cause de croire que la plaignante pourrait se présenter au magasin pour harceler, intimider ou agresser un de ses employés.

24. Les actions du mis en cause semblent raisonnables dans cette affaire puisque la conjointe de l’ex‑mari de la plaignante avait parlé à son employeur de ses inquiétudes relativement à la plaignante avant le 19 décembre et parce que les personnes impliquées dans l’enregistrement ne semblent pas avoir de liens avec la conjointe de l’ex‑mari de la plaignante autre que des liens professionnels.

25. D’après les réactions du mis en cause le 19 décembre, il est évident que celui‑ci a trouvé que les préoccupations de la conjointe de l’ex‑mari de la plaignante pouvaient être justifiées.

26. Également, la plainte subséquente déposée par l’ex‑mari de la plaignante au service de police appuie le caractère raisonnable de la croyance du mis en cause selon laquelle il pourrait y avoir eu contravention au droit pénal ou au common law pour harcèlement et agression le 19 décembre.

27. Nous ne nous prononçons pas sur la question de savoir si les préoccupations de la conjointe de l’ex‑mari de la plaignante concernant la violation possible de la loi sont fondées, car nous croyons qu’une certaine latitude doit être accordée au mis en cause dans l’évaluation du risque (ou de l’absence de risque) qui était présent lorsque la plaignante est arrivée au magasin.

28. Concernant les autres critères de l’alinéa 7(1)b), il est évident que demander le consentement exprès de la plaignante pour cet enregistrement aurait compromis la capacité du mis en cause de documenter ces événements dans le but d’enquêter sur une possible violation à la loi et, le cas échéant, de protéger ses employés.

29. Nous sommes donc d’avis que le mis en cause n’a pas contrevenu au principe 4.9, puisque l’alinéa 9(3)c.1) s’applique afin de permettre le refus au droit d’accès selon les faits de la présente affaire.

Utilisation et communication

30. Le principe 4.3 de la Loi stipule que toute personne doit être informée de la communication de renseignements personnels et y consentir.

31. Il ne fait aucun doute que le mis en cause a permis à la conjointe de l’ex‑mari de la plaignante d’obtenir une copie de la vidéosurveillance du 19 décembre.

32. Le mis en cause n’avait pas la capacité de contrôler la façon dont la conjointe de l’ex‑mari de la plaignante allait utiliser ces renseignements ni la capacité d’imposer d’autres mesures de sécurité pour protéger la plaignante. Il semblerait que la conjointe de l’ex‑mari de la plaignante aurait fourni les renseignements à son conjoint et possiblement à l’employeur de la plaignante.

33. Les circonstances qui permettent la communication à l’insu de l’intéressé ou sans son consentement sont décrites au paragraphe 7(3) de la Loi. Même si le mis en cause n’a pas directement dirigé notre attention sur ces exceptions, nous avons examiné les critères à cet égard. Nous sommes convaincus qu’aucune de ces exceptions ne permettait la communication de la vidéo à la conjointe de l’ex‑mari de la plaignante.

34. Comme il a été souligné précédemment, la position du mis en cause est que la Loi ne s’applique pas à la communication de ses enregistrements vidéos à la conjointe de l’ex‑mari de la plaignante parce qu’elle était son employée et que la communication n’a pas eu lieu dans le cadre d’activités commerciales.

35. Puisque nous n’acceptons pas cette position pour les raisons invoquées plus haut, nous estimons que la communication à la conjointe de l’ex‑mari de la plaignante est une violation à la Loi.

36. Lors de notre enquête, nous avons demandé au mis en cause de :

1. mettre en place des mesures améliorées pour assurer la protection des enregistrements de vidéosurveillance et des règlements concernant les personnes ayant le droit d’accès à ces enregistrements;
2. former les employés sur ces mesures et ces règlements.

37. Le mis en cause a confirmé sa volonté de mettre en application ces recommandations et a déjà amorcé le processus d’examen et d’amélioration de ses procédures concernant les enregistrements de vidéosurveillance.

Conclusion

38. Compte tenu de ce qui précède, nous concluons que la plainte relative à la communication des renseignements personnels de la plaignante est fondée et résolue.

39. Nous estimons que la plainte relative au refus du mis en cause d’accorder à la plaignante l’accès aux enregistrements vidéos en question était non fondée.

40. Nous aimerions toutefois rappeler au mis en cause qu’il doit respecter son obligation d’aviser par écrit le Commissariat, comme il est mentionné au paragraphe 9(5) de la Loi, si elle décide de ne pas communiquer les renseignements dans le cas visé à l’alinéa 9(3)c.1).