Les renseignements personnels recueillis dans le cadre de la réponse d'une entreprise à une réclamation en dommages-intérêts relèvent de la LPRPDE

Résumé de conclusions d’enquête de LPRPDE n^o 2011-003

Le 25 mars 2011

Aperçu

Une cliente qui a glissé sur le plancher d’une épicerie Sobeys du Nouveau-Brunswick en novembre 2008 s’est plainte au Commissariat que Sobeys avait recueilli ses renseignements personnels à son insu et sans son consentement au moyen de caméras vidéo en magasin. Elle a également allégué qu’elle s’était vu refuser l’accès à ses renseignements personnels, y compris l’enregistrement de l’incident par la vidéosurveillance du magasin.

Nous avons enquêté quant à savoir si Sobeys utilisait des affiches ou sa politique de confidentialité pour informer ses clients de la vidéosurveillance. Nous souhaitions également déterminer si ces avis, s’ils existaient, étaient suffisamment explicites et accessibles avant que le client pénètre dans le magasin.

Limitation en matière de collecte

Nous avons conclu que Sobeys avait, effectivement, recueilli les renseignements personnels de la plaignante à son insu et sans son consentement étant donné qu’il y avait une signalisation inadéquate des caméras de surveillance. En conséquence, nous avons déterminé que cette partie de sa plainte était fondée.

Cependant, après que Sobeys a accepté d’appliquer des autocollants sur la façade de ses magasins et d’installer un écran de surveillance visible, fonctionnant en direct et muni d’une caméra suspendue à ses côtés pour prévenir les clients de la surveillance, nous avons jugé que cette question particulière était résolue.

Détermination des fins de la collecte des renseignements et transparence

Eu égard au premier volet de la plainte, nous avons conclu que Sobeys n’avait pas respecté ses obligations prévues par la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) de déterminer les fins de la collecte des renseignements personnels et de faire preuve de transparence au sujet de ses pratiques de gestion des renseignements personnels.

Nous avons recommandé que Sobeys explique dans sa politique de confidentialité pourquoi l’entreprise utilise la vidéosurveillance pour recueillir des renseignements personnels. Nous avons également invité l’épicier à rendre facilement accessibles les renseignements portant sur ses politiques et ses pratiques de vidéosurveillance.

Accès aux renseignements personnels

Le second volet de la plainte portait sur une demande que la cliente avait présentée visant à avoir accès aux renseignements personnels que Sobeys avait recueillis à son sujet.

Un élément d'information qu’elle demandait était l’enregistrement vidéo de sa chute, que l’avocat de l’entreprise a envoyé à son avocat avant même que la plainte soit déposée. En raison du fait que la demande d’obtention de l’enregistrement vidéo n’a pas été refusée, nous n’avons pas déterminé que cette partie de la plainte était fondée.

Définition d’« activité commerciale »

Cependant, un second aspect de la demande d’accès aux renseignements personnels se rapportait aux documents que Sobeys a créés après l’incident. L’entreprise a affirmé que cette information n’avait pas été créée dans le cadre d’une activité commerciale, et, par conséquent, n’était pas visée par la LPRPDE.

Nous n’étions pas d’accord. La LPRPDE s’applique quand une organisation recueille, utilise ou communique des renseignements personnels dans le cadre d’une activité commerciale. Nous avons déterminé que la réponse d’une organisation à la réclamation en responsabilité civile délictuelle d’un client doit être considérée comme une activité commerciale en vertu de la Loi lorsqu’elle survient dans le cadre du cours normal des activités de l’entreprise.

Même si nous avons conclu que la LPRPDE s’appliquait à la collecte de renseignements personnels dans les circonstances, nous avons également estimé que le magasin était dans son droit de refuser l’accès aux renseignements en vertu de l’exclusion particulière de la Loi relative aux documents protégés par le secret professionnel liant l’avocat à son client.

En raison du fait que la cliente avait en sa possession l’enregistrement vidéo et du fait que les documents juridiques étaient exclus de la communication des renseignements personnels, nous avons conclu que les parties de la plainte qui se rapportaient à l’accès aux renseignements personnels n’étaient pas fondées.

Contexte

La plaignante a allégué qu’elle s’était blessée après avoir mis le pied dans une flaque d’eau dans un magasin Sobeys en novembre 2008. Elle a discuté de l’incident avec le gérant du magasin et a ultérieurement retenu les services d’un avocat.

Dans une lettre écrite à Sobeys, l’avocat a indiqué que sa cliente avait signalé que le toit du magasin fuyait à ce moment-là.

L’avocat a demandé les dossiers d’inspection et d’entretien du magasin, de même que toute déclaration de témoins et tout enregistrement vidéo de surveillance de l’incident.

Dans une autre lettre datée d’avril 2009, la plaignante a présenté une autre demande visant à avoir accès à ses renseignements personnels aux termes de la LPRPDE.

Selon une plainte ultérieure déposée au Commissariat, Sobeys aurait recueilli, utilisé et communiqué les renseignements personnels de la cliente à son insu et sans son consentement. Elle alléguait également que le magasin avait refusé de façon inappropriée de lui communiquer des renseignements personnels auxquels elle avait droit en vertu de la LPRPDE.

Notre enquête

1. Collecte des renseignements personnels

Dans la plainte déposée au Commissariat, la cliente a allégué qu’elle n’était pas consciente du fait que ses renseignements personnels étaient en train d’être recueillis sous la forme d’un enregistrement vidéo de l’incident. Elle a dit que, quand elle a signalé sa chute, au début, le gérant avait négligé de lui révéler l’existence de l’enregistrement vidéo.

La plaignante a dit qu'elle a obtenu ce renseignement seulement plus tard de la part de l’avocat représentant Sobeys dans sa demande d’indemnisation pour dommages corporels.

Information et consentement

La LPRPDE exige que toute personne soit informée de la collecte de renseignements personnels qui la concernent et y consente. Nos Lignes directrices sur la surveillance vidéo au moyen d’appareils non dissimulés dans le secteur privé de 2008 précisent clairement que le public doit être informé d’une telle surveillance.

Cependant, il ressort de l’examen de la politique de confidentialité de Sobeys qu’aucune mention n’est faite de la vidéosurveillance ou de toute collecte de renseignements personnels par ces moyens.

Sobeys a également confirmé qu’il n'y avait aucune affiche posée dans le magasin pour informer les clients du fait que les lieux étaient sous vidéosurveillance. Cependant, l’entreprise a fait remarquer qu’il y a un appareil de surveillance montrant les personnes entrant dans le magasin et en sortant, et que des caméras sont suspendues du plafond, à la vue des clients. L’agent de la protection des renseignements personnels de Sobeys a affirmé qu’il était évident pour quiconque dans le magasin que des caméras vidéo étaient utilisées.

À notre avis, un appareil de surveillance situé à l’entrée et des caméras suspendues bien au-dessus des têtes, en eux-mêmes, n’indiquent pas clairement et suffisamment aux clients qu’un système de vidéosurveillance est utilisé.

De plus, les personnes doivent être informées de la surveillance lorsqu’elles sont encore à l’extérieur du magasin, pour qu’elles puissent choisir d’y entrer ou non. Conformément à nos Lignes directrices, une affiche doit être posée à l’entrée principale pour avertir les clients potentiels. Elle devrait décrire brièvement les fins de la vidéosurveillance et indiquer un numéro de téléphone pour obtenir de plus amples renseignements ou pour permettre aux clients de demander d’avoir accès à leurs renseignements personnels.

Dans un rapport de conclusions préliminaire fourni à Sobeys en décembre 2010, nous avons recommandé que tous les magasins de la chaîne signalent adéquatement la collecte de renseignements personnels au moyen de l’utilisation de la vidéosurveillance. Nous avons également demandé à Sobeys d’inclure une description de ses pratiques en matière de collecte de renseignements personnels au moyen de la vidéosurveillance dans sa politique de confidentialité.

En réponse à nos recommandations, Sobeys a appliqué un autocollant à l’entrée du magasin en question où les clients peuvent également voir un appareil de surveillance en marche de même qu’une caméra suspendue à ses côtés. Dans une autre section du magasin, un autocollant indique que des caméras de télévision en circuit fermé sont également utilisées.

Sobeys invite également ses autres magasins à poser ces autocollants et nous a avisés depuis que ceux-ci sont en place dans tous ses magasins du Nouveau-Brunswick.

À la conclusion de notre enquête, nous avons déterminé que la partie relative à la collecte des renseignements personnels de la plainte était fondée.

Cependant, nous sommes également d’avis que les autocollants, avec l’appareil de surveillance à l’entrée du magasin ainsi que la caméra suspendue à ses côtés signalaient suffisamment que le magasin est sous vidéosurveillance. En conséquence, nous avons également jugé que la question était résolue.

Détermination des fins de la collecte des renseignements et transparence

On ne peut s’attendre à ce que les personnes soient informées de la collecte de leurs renseignements personnels ou y consentent à moins que ce fait soit clairement établi. Voilà pourquoi la LPRPDE exige des organisations qu’elles fassent preuve de transparence au sujet de leurs politiques et de leurs pratiques et qu’elles précisent clairement quels renseignements personnels sont recueillis et pourquoi.

À cette fin, nous avons encouragé Sobeys à améliorer ses autocollants en y incluant l’explication des fins de la vidéosurveillance. Les autocollants, comme nous l’avons dit, devraient comporter un numéro de téléphone que les clients peuvent composer s’ils ont des questions au sujet de la surveillance ou s’ils veulent avoir accès à leurs images personnelles.

Sobeys, cependant, a contesté notre position. L’entreprise a plaidé que la présence de coordonnées inciterait seulement les clients curieux qui souhaitaient se voir sur enregistrement vidéo à en faire la demande et que des ressources additionnelles seraient nécessaires pour gérer la demande. L’entreprise a également prédit que ces renseignements permettraient aux voleurs potentiels de déterminer la portée des caméras des magasins.

Sobeys a également contesté notre observation selon laquelle sa politique de confidentialité ne fait nullement mention de la vidéosurveillance. Sobeys a plaidé qu’elle était incapable de nommer un autre détaillant canadien qui inclut cette référence dans sa politique de confidentialité accessible au public.

Nous avons répliqué que les pratiques d’autres détaillants ne soustraient pas Sobeys à ses obligations dans le cadre de la LPRPDE. La loi exige de l’entreprise qu’elle précise les fins auxquelles elle recueille des renseignements personnels — y compris au moyen de la vidéosurveillance — et qu’elle fasse preuve de transparence au sujet de ses pratiques de gestion des renseignements personnels.

En conséquence, nous avons invité Sobeys à mettre à jour sa politique de confidentialité pour expliquer les fins de la collecte des renseignements personnels par vidéosurveillance.

2. Accès aux renseignements personnels

En plus de la question de la collecte des renseignements personnels, la plaignante a également allégué qu’elle s’est vu refuser l’accès à ses renseignements personnels.

L’agent de la protection des renseignements personnels de Sobeys nous a dit que les seuls renseignements personnels que le magasin a recueillis au sujet de la plaignante dans le cadre de ses activités commerciales étaient l’enregistrement vidéo de sécurité.

Prié de répondre à d’autres questions, l’agent de la protection des renseignements personnels de Sobeys a cependant affirmé que le magasin avait recueilli d’autres renseignements personnels au sujet de la plaignante, mais qu’ils avaient été produits dans le but de permettre à l’entreprise de se défendre contre une éventuelle réclamation en dommages-intérêts de la plaignante.

Nous avons examiné distinctement les deux types de renseignements personnels.

Enregistrement de surveillance

L’avocat de la plaignante a d’abord cherché à obtenir un accès à l’enregistrement vidéo du magasin captant l’incident de novembre 2008. En avril 2009, la plaignante a de nouveau demandé à avoir accès à ces informations en vertu de la LPRPDE. Deux jours plus tard, elle a reçu une copie de l’enregistrement vidéo de l’avocat représentant Sobeys dans sa demande d’indemnisation pour dommages corporels.

En raison du fait que l’enregistrement vidéo a été remis, nous rejetons cette partie de la plainte relative à l’accès aux renseignements personnels, car elle n’est pas fondée.

Rapports et lettres

Eu égard aux rapports et aux lettres créés après que la blessure est survenue, Sobeys a allégué que ces documents concernaient la réponse du magasin à une demande d’indemnisation pour dommages corporels déposée par la plaignante. De l’avis de Sobeys, en conséquence, ce renseignement n’a pas été recueilli dans le cadre d’une activité commerciale précisée dans la LPRPDE, et, en conséquence, ne relevait pas de la compétence de la Loi.

Nous ne sommes pas de cet avis. Nous estimons que l’activité de Sobeys qui consiste à répondre à la réclamation en responsabilité civile délictuelle d’une cliente portant sur un incident qui s'est produit dans ses locaux se rapportait suffisamment à ses activités pour constituer une activité commerciale au sens de la Loi. Cette activité est, en conséquence, prévue par la LPRPDE.

Cela dit, des renseignements personnels assujettis à la Loi peuvent également être assujettis à des exclusions précises en vertu de la Loi. L’une de ces exclusions, précisée à l’alinéa 9(3)a), se rapporte aux renseignements qui sont protégés par le secret professionnel liant l’avocat à son client.

Dans le cas qui nous occupe, Sobeys a commencé à constituer un dossier après qu’elle a été avisée par l’avocat de la plaignante que celle-ci s’était blessée dans le magasin. Aucune poursuite en justice n’avait encore été déposée, mais Sobeys pouvait prévoir raisonnablement qu’une réclamation serait bientôt présentée.

Nous avons donc conclu que les documents en question étaient protégés dans le cours d’une procédure de nature judiciaire, une composante du secret professionnel liant l’avocat à son client, qui protège les documents produits aux fins principales d’un litige ou du litige raisonnablement prévisible.

À notre avis, Sobeys était dans son droit de refuser à la plaignante l’accès aux renseignements personnels contenus dans ces documents.

En conséquence, nous avons déterminé que la partie de la plainte relative à l’accès aux renseignements personnels se rapportant aux lettres et aux rapports n’était pas fondée.