Un chercheur d’emploi n’est pas informé convenablement des fins de la collecte de ses renseignements personnels

Rapport des conclusions en vertu de la LPRPDE n^o 2012-003

---

Le plaignant a reçu un courriel d’une associée de l’industrie de « Job Success », une entreprise dont le siège social se trouve à Toronto. Après avoir obtenu une copie du curriculum vitae du plaignant sur un site de recherche d’emploi en ligne, apparemment dans le but d’offrir des services de recherche d’emploi et de gestion de carrière, l’associée a informé le plaignant que ce dernier pourrait être invité à une « entrevue ».

L’entreprise a téléphoné afin de planifier une rencontre et le plaignant a demandé plus de détails, notamment pour savoir si c’était au sujet d’un emploi précis. L’employée chargée d’organiser la rencontre a répondu qu’elle n’était pas au courant, mais que d’autres renseignements seraient fournis en personne.

Ayant accepté l’invitation de l’entreprise, le plaignant s’est rendu au bureau de la mise en cause, où il a rencontré un directeur principal. Après les présentations, le directeur principal a demandé au plaignant d’où il venait et à quelle école il avait étudié. Il lui a aussi demandé de parler des expériences professionnelles inscrites sur son curriculum et de fournir de l’information sur ses aspirations professionnelles.

Vers la fin de l’entrevue qui a duré environ 45 minutes, le directeur principal est passé au « processus de sélection » de l’entreprise et aux avantages qu’il y aurait à collaborer avec Job Success (de l’aide pour se faire valoir auprès des employeurs potentiels, l’obtention d’entrevues de qualité et l’apprentissage de la façon de se comporter en entrevue).

Jusqu’à ce moment, le plaignant avait l’impression que l’entreprise le passait en entrevue. Le plaignant affirme donc avoir été induit en erreur quant aux fins de la collecte de ses renseignements personnels.

Notre enquête portait sur l’obligation pour Job Success de déterminer, au moment de la collecte ou avant, à quelles fins les renseignements personnels étaient recueillis. En vertu de la LPRPDE, une organisation doit documenter les objectifs de la collecte et transmettre cette information au détenteur des renseignements personnels.

Au début de notre enquête, les détails sur les pratiques de gestion de l’information de l’entreprise étaient difficiles à trouver. Le site Web ne comportait aucune politique sur la protection de la vie privée et les fins de la collecte de renseignements personnels étaient introuvables.

En plus du manque d’information sur son site Web, Job Success a omis de préciser les fins de la collecte des renseignements personnels avant la rencontre avec le plaignant.

Au cours de notre enquête, nous avons posé des questions à la mise en cause au sujet du manque d’information publiquement accessible concernant les services de l’entreprise. Celle-ci a répondu que l’entreprise a consciemment décidé de donner peu de renseignements sur son site Web afin de susciter la curiosité au sujet de ses activités et d’inciter les gens à venir discuter.

À notre avis, Job Success n’a pas mentionné clairement, au moment de la collecte ou avant, dans quel but les renseignements personnels étaient recueillis.

En outre, dans la mesure où l’entreprise n’a pas fait suffisamment d’efforts pour informer le plaignant des fins auxquelles ses renseignements personnels seraient utilisés, de façon que le plaignant puisse raisonnablement comprendre, elle a omis d’obtenir le consentement valable à la collecte et à l’utilisation des renseignements personnels.

Durant l’enquête, Job Success a accepté de prendre des mesures correctives dans un délai de 90 jours suivant la soumission de notre rapport final. Nous avons conclu que la plainte était fondée et conditionnellement résolue.

Rapport de conclusions

Plainte déposée en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi)

1. Le plaignant affirme que 2057161 Ontario inc. (« l’entreprise » ou « la mise en cause ») a recueilli ses renseignements personnels sans obtenir un consentement valable. Il soutient plus précisément que, pour recueillir ses renseignements personnels, la mise en cause a prétendu pouvoir faciliter l’obtention d’un emploi précis avant d’avouer (après que les renseignements eurent été recueillis au moyen d’une entrevue) que la rencontre visait à faire la promotion d’un service de gestion de carrière payant. Le plaignant ajoute qu’il a été induit en erreur quant aux fins de la collecte de ses renseignements personnels et qu’il n’a pas consenti à cette collecte dans le but de recevoir des conseils sur la gestion de sa carrière.

Résumé de l’enquête

2. La mise en cause est une organisation torontoise offrant des services de recherche d’emploi et de gestion de carrière. L’entreprise mène ses activités par l’entremise d’une société à numéro ontarienne portant divers noms, les plus récents étant « Toronto Pathways », « Job Success » et « RDG Careers ».

3. Le 20 mai 2010, le plaignant a reçu un courriel d’une administratrice de carrière. Celle-ci a vraisemblablement obtenu une copie du curriculum vitæ du plaignant sur un site d’emploi en ligne où il était affiché publiquement. Selon la mise en cause, l’administratrice de carrière en question n’était pas une employée, mais une de ses nombreuses associées de l’industrie.

4. Dans son courriel du 20 mai, l’administratrice de carrière a proposé de faire parvenir le curriculum vitæ du plaignant à des membres de son organisation qui travaillent avec des professionnels motivés afin de trouver le meilleur emploi dans ce domaine. En offrant d’aider le plaignant à trouver un emploi, l’administratrice de carrière a mentionné que, s’il y avait intérêt, l’entreprise communiquerait avec lui pour organiser une « entrevue » confidentielle dans le but d’évaluer ses aptitudes plus en profondeur et de l’aider à trouver le poste et le revenu désirés.

5. Le plaignant a répondu à cette invitation en fournissant à l’administratrice de carrière une copie électronique de son curriculum vitæ ainsi qu’une courte lettre de présentation. De plus, un « sommaire » concernant le plaignant a été élaboré. Ces documents comprenaient divers renseignements personnels comme le nom, l’adresse domiciliaire, l’adresse courriel, le numéro de téléphone, l’échelle salariale, les antécédents professionnels et les aspirations de carrière.

6. Le 25 mai 2010, après avoir soumis son curriculum vitæ et sa lettre de présentation, le plaignant a été contacté par une administratrice principale de « Job Success ». Cette dernière l’a informé que son curriculum avait été évalué par un des directeurs de carrière de l’entreprise et l’a invité à participer à une rencontre en personne au bureau de Toronto.

7. Avant d’accepter l’invitation, le plaignant a demandé à l’administratrice principale de fournir plus de détails sur la rencontre, notamment pour savoir si c’était au sujet d’un emploi précis. L’employée chargée d’organiser la rencontre a répondu qu’elle n’était pas au courant, mais que le directeur de carrière donnerait plus de détails en personne.^{Note de bas de page 1}

8. Le 26 mai 2010, ayant accepté l’invitation de l’administratrice principale, le plaignant s’est rendu au siège social de la mise en cause et a rencontré un directeur principal employé par « Job Success ». Après les salutations et les présentations, la rencontre du plaignant avec la mise en cause aurait commencé par la détermination de l’objectif de la réunion. Selon la mise en cause, le but aurait été expliqué ainsi :

Directeur principal (« Job Success ») : Le but de la rencontre d’aujourd’hui est d’abord de prendre le temps de discuter de vos antécédents professionnels, mais surtout, à ce stade-ci, de vos objectifs, de vos aspirations professionnelles et de ce qu’ils pourraient être actuellement en milieu de travail. Mon travail consiste à interviewer les candidats pour déterminer, au nom de mes employés, si nous pouvons vous aider d’un point de vue professionnel. Si c’est le cas, nous vous inviterons à une deuxième rencontre pour vous expliquer comment. [traduction; souligné dans l’original]

9. Après cette déclaration, le directeur principal a demandé au plaignant de commencer par parler de lui quelque peu. Selon le plaignant, la mise en cause aurait recueilli d’autres renseignements personnels à son sujet au cours de la rencontre, y compris sa situation matrimoniale et son revenu actuel. Selon le script de la rencontre, on a demandé au plaignant d’où il venait, à quelle école il avait étudié et quel avait été son premier emploi. On lui a aussi demandé de donner des détails sur les antécédents professionnels indiqués dans son curriculum et de fournir de l’information sur ses aspirations professionnelles. Lorsqu’il demandait des renseignements au sujet du plaignant, le directeur principal aurait pris des notes et affirmé que tous les renseignements personnels recueillis étaient très confidentiels. Selon la mise en cause, la confidentialité des discussions menées durant la rencontre a été strictement respectée.

10. Près de la fin de la rencontre d’environ 45 minutes, le directeur principal a donné plus de renseignements au plaignant concernant le « processus de sélection » de l’entreprise :

Directeur principal (« Job Success ») : Je vais décrire brièvement notre processus de sélection. D’abord, nous travaillons avec des clients tels que vous dans la région de Toronto depuis de nombreuses années. Job Success est une entreprise d’envergure internationale ayant pour principal objectif de trouver et de soutenir des personnes qui aimeraient obtenir de meilleurs résultats plus rapidement grâce à notre expertise professionnelle. [traduction]

11. En outre, selon le script, le directeur principal a fourni de l’information sur les raisons pour lesquelles les gens font appel aux services de l’entreprise : recevoir de l’aide pour se faire valoir auprès des employeurs potentiels; obtenir des entrevues de qualité; apprendre comment se comporter en entrevue.

12. Au cours de la discussion sur les services offerts par l’entreprise, le plaignant a appris qu’aucun emploi n’était disponible pour l’instant. L’entreprise affirme qu’elle a décidé, au cours de la première réunion du 26 mai 2010, de ne pas poursuivre sa démarche avec le plaignant. Elle explique qu’à la suite d’une première entrevue, seuls les candidats avec qui elle considère pouvoir travailler sont invités à une deuxième rencontre gratuite visant à proposer une stratégie de mise en valeur du candidat. Selon les résultats de la deuxième rencontre, le candidat peut décider de faire appel aux services payants de la mise en cause.

13. Le plaignant affirme avoir eu l’impression que l’entreprise menait une entrevue pour un emploi jusqu’à ce que le directeur de carrière de la mise en cause le renseigne au sujet des services de gestion de carrière. À ce titre, il affirme avoir été induit en erreur concernant les fins de la collecte de ses renseignements personnels.

14. Durant notre enquête, nous avons visité les bureaux de l’entreprise à Toronto.

15. Lors de notre visite au siège social de l’entreprise, nous avons surtout discuté avec le chef de l’exploitation (CE) de la mise en cause. Nous souhaitions d’abord rencontrer l’administratrice de carrière à l’origine du premier contact avec le plaignant ainsi que le directeur principal qui a mené la première entrevue, mais la mise en cause nous a informés que ces deux personnes n’étaient plus employées par l’entreprise et que ni l’un ni l’autre ne pouvaient être joints pour demander de l’information ou des commentaires. Dans ses observations présentées au Commissariat le 19 décembre 2011, après la soumission de notre rapport d’enquête préliminaire, l’entreprise a offert au Commissariat de mettre celui-ci en contact avec ces deux personnes, en précisant que le but n’avait jamais été d’éviter l’équipe d’enquête. Cependant, au moment de rédiger le présent rapport, le Commissariat avait déjà recueilli suffisamment de preuves pour soutenir ses conclusions, de sorte que les rencontres avec l’administratrice de carrière et le directeur principal n’étaient plus nécessaires.

Application de la Loi et analyse

Le 31 janvier 2012

16. Pour prendre notre décision concernant les allégations du plaignant, nous avons appliqué les principes 4.2, 4.2.1, 4.2.3, 4.3, 4.3.2, 4.3.5, 4.8 et 4.8.1 de l’annexe 1 de la Loi.

17. Le principe 4.2 affirme qu’une organisation doit déterminer les fins auxquelles les renseignements personnels sont recueillis avant la collecte ou au moment de celle-ci. Selon la Loi, une organisation doit documenter les fins auxquelles les renseignements personnels sont recueillis (principe 4.2.1) et préciser ces fins à la personne auprès de laquelle on recueille ces renseignements (principe 4.2.3). La Loi ajoute que, pour se conformer à ces principes, une organisation doit faire en sorte que des renseignements précis sur ses politiques et ses pratiques concernant la gestion des renseignements personnels soient facilement accessibles (principe 4.8).

18. Nous avons aussi appliqué le principe 4.3, qui oblige les organisations à informer la personne concernée de toute collecte, utilisation ou communication de ses renseignements personnels et à obtenir son consentement. Le principe 4.3.2 stipule que les organisations doivent faire un effort raisonnable pour s’assurer que la personne est informée des fins auxquelles les renseignements seront utilisés. Pour que le consentement soit valable, le but doit être annoncé de façon à ce que la personne puisse raisonnablement comprendre comment ses renseignements seront utilisés et communiqués. Dans l’obtention du consentement, les attentes raisonnables de la personne sont pertinentes (principe 4.3.5).

19. Dans le but d’évaluer les fins des collectes de renseignements personnels par la mise en cause, nous avons d’abord consulté le site Web externe de l’entreprise pour connaître ses pratiques de traitement de l’information. Comme nous l’avons déjà mentionné, le principe 4.2.1 oblige les organisations à documenter les fins auxquelles les renseignements personnels sont recueillis pour se conformer au principe de transparence de la Loi. Celle-cin’oblige pas nécessairement une organisation à afficher ces fins en ligne, mais elle exige la transparence au sujet des politiques et des pratiques de gestion des renseignements personnels (principe 4.8.1).

20. Étant donné que la mise en cause tente de recueillir des renseignements personnels en ligne au moyen de son formulaire d’évaluation des recherches d’emploi, nous nous attendions à trouver une certaine communication des politiques et des pratiques de traitement des renseignements personnels de l’entreprise sur son site Web externe. Au début de notre enquête, il était difficile de trouver de l’information sur les pratiques de gestion de l’information de l’entreprise. Soulignons plus particulièrement qu’il n’y avait pas de politique de confidentialité sur le site Web de Job Success. Bien que l’entreprise semble avoir affiché une politique de confidentialité, celle-ci et les politiques qui se trouvent sur les autres sites ne suffisent pas à respecter les exigences de la Loi.

21. L’objectif publiquement déclaré de l’organisation consiste à trouver et à soutenir des personnes qui désirent obtenir de meilleurs résultats plus rapidement grâce à l’expertise professionnelle de l’entreprise. Selon le site Web « Toronto Job Success » de la mise en cause (consulté pour la dernière fois le 11 août 2011), l’entreprise effectue des entrevues avec des spécialistes possédant des qualités et des compétences hors du commun que tout employeur recherche chez un membre précieux d’une équipe. La mise en cause ne fournit pas de renseignements plus précis sur son site Web concernant la façon dont l’entreprise choisit les chercheurs d’emploi ou les fins de la collecte des renseignements personnels.

22. Aux employeurs, on dit que la mise en cause gère une base de données complète et à jour de candidats talentueux qui sont choisis personnellement et appuyés par des experts de l’industrie. Selon la mise en cause, l’entreprise établit un lien essentiel dans le contexte du processus d’embauche d’un employeur. Elle fait tout en son pouvoir pour trier les candidats et préparer ces derniers à travailler chez l’employeur concerné en utilisant un système d’évaluation en personne rigoureux.

23. Les sites Web de la mise en cause manquent d’information concernant les services de l’entreprise et l’utilisation des renseignements personnels recueillis, et, selon nous, les renseignements fournis aux personnes invitées à rencontrer les membres de l’entreprise laissent également à désirer. Dans le cas qui nous occupe, la mise en cause semble avoir omis d’informer adéquatement le plaignant des fins de la collecte des renseignements personnels, bien qu’elle ait eu de nombreuses occasions de le faire.

24. Quand l’administratrice de carrière a amorcé la communication par courriel avec le plaignant, elle a offert de transmettre le curriculum vitæ de celui-ci à des membres de son organisation. Elle a mentionné que, s’il y avait intérêt, elle communiquerait avec lui pour planifier une « entrevue confidentielle » visant à évaluer ses compétences de façon plus approfondie afin de l’aider à trouver un poste. À notre avis, ce courriel n’indique pas clairement à quelles fins la mise en cause recueillait les renseignements personnels. Tout particulièrement, les termes employés dans le courriel pourraient donner l’impression que l’« entrevue confidentielle » était liée à une offre d’emploi précise.

25. La mise en cause a également omis de préciser les fins de la collecte de renseignements personnels avant la rencontre avec le plaignant. Selon le principe 4.3.2, l’organisation devait faire un effort raisonnable pour s’assurer que le plaignant était informé des fins auxquelles les renseignements seraient utilisés. Elle en a eu la possibilité quand elle a communiqué avec le plaignant par téléphone et au moment où l’entrevue a eu lieu.

26. Dans le premier cas, l’administratrice principale a non seulement omis d’informer le plaignant des fins de la rencontre (et donc de la collecte des renseignements personnels), mais elle semble aussi avoir induit le plaignant en erreur en prétendant qu’elle ne possédait pas d’information à ce sujet.

27. Nous avons de la difficulté à croire que l’administratrice principale de la mise en cause ne serait pas en mesure de répondre aux questions les plus fondamentales liées à la rencontre qu’elle est chargée d’organiser. Le principe 4.2.5 affirme que les personnes qui recueillent des renseignements personnels devraient être en mesure d’expliquer à la personne concernée à quelles fins sont destinés ces renseignements. Pourtant, comme l’évoque le script d’entrevue type de la mise en cause, les employés reçoivent l’ordre de demeurer vagues quant aux fins de la collecte. Pour répondre à des questions comme « Comment avez-vous obtenu mon curriculum vitæ? » ou « Est-ce pour un emploi précis? », la mise en cause demande à ses employés de répondre « Je ne connais pas tous les détails » ou « Le directeur aimerait mieux vous rencontrer ».

28. En outre, la description du but de la rencontre, qui est fournie au début de l’entrevue selon le script cité au paragraphe 8, est vague elle aussi et ne comble pas les lacunes au chapitre de l’information fournie au plaignant jusqu’à ce moment. Bien que les fins de la collecte des renseignements personnels aient été finalement dévoilées lors de la rencontre entre les parties du 26 mai 2010, la communication semble avoir eu lieu à la toute fin de la rencontre, bien après la collecte des renseignements personnels du plaignant. Puisque le principe 4.2.3 exige que les fins de la collecte soient précisées au moment de celle-ci ou avant, cette pratique enfreint carrément la Loi.

29. Bien que la mise en cause nie catégoriquement avoir fait référence à une offre d’emploi lorsqu’elle communiquait avec le plaignant, la complexité et le flou entourant ses services semblent avoir donné l’impression au client qu’il fournissait ses renseignements personnels dans le but d’obtenir un poste.

30. Au cours de notre enquête, nous avons posé des questions au CE de la mise en cause concernant le manque d’information publiée au sujet des services de l’entreprise. Le CE a répondu que l’entreprise a consciemment décidé de donner peu de renseignements sur son site Web afin de susciter la curiosité au sujet de ses activités et d’inciter les gens à venir discuter.

31. À notre avis, l’entreprise a omis d’expliquer clairement, au moment de la collecte ou avant celle-ci, à quelles fins les renseignements personnels du plaignant étaient recueillis. De plus, étant donné que la mise en cause n’a pas, à notre avis, fait suffisamment d’efforts pour que le plaignant soit informé des fins auxquelles les renseignements seraient utilisés, et ce, de façon que le plaignant puisse raisonnablement comprendre, elle a omis d’obtenir le consentement valable à la collecte et à l’utilisation des renseignements personnels.

32. Enfin, au moment de notre enquête, l’entreprise ne permettait pas au plaignant d’avoir facilement accès à des renseignements sur ses politiques et pratiques de gestion des renseignements personnels de la mise en cause, en contravention au principe 4.8 sur la transparence.

Recommandations

33. Dans un rapport d’enquête préliminaire, le Commissariat a formulé plusieurs recommandations pour aider la mise en cause à améliorer ses pratiques en matière de protection des renseignements personnels:

• À la demande du plaignant, la mise en cause prend des mesures appropriées pour que les renseignements personnels du plaignant soient détruits ou effacés de façon sécuritaire, dans la mesure où la loi le permet;
• La mise en cause donne facilement accès à de l’information précise sur ses politiques et ses pratiques de gestion des renseignements personnels, en conformité avec le principe 4.8. À cette fin, nous avons recommandé à l’entreprise de corriger des lacunes au chapitre des diverses politiques de confidentialité de l’entreprise et de rendre ces politiques facilement accessibles en ligne. En vertu du principe 4.8.2, les organisations doivent à tout le moins donner accès aux renseignements suivants :
  • le nom ou le titre et l’adresse de la personne responsable des politiques et des pratiques de l’organisation, à qui les plaintes et les demandes de renseignements peuvent être transmises;
  • le moyen de consulter les renseignements personnels conservés par l’organisme;
  • une description du type de renseignements personnels conservés par l’organisation, y compris une description sommaire de l’usage auquel ils sont destinés;
  • une copie de tout dépliant ou autre document d’information expliquant les politiques, les normes ou les codes de l’organisation;
  • une description des renseignements personnels communiqués à d’autres organisations avec lesquelles elles entretiennent des liens (p. ex. des filiales).
• Dorénavant, la mise en cause détermine, documente et précise les fins de la collecte des renseignements personnels avant la collecte ou au moment de celle-ci. Le principe 4.2.4 affirme que les fins peuvent être précisées oralement ou par écrit, mais compte tenu de la façon dont les renseignements sont recueillis, nous croyons qu’un accord écrit ou un formulaire de consentement conviendraient mieux pour mentionner à quelles fins l’entreprise recueille et utilise des renseignements personnels.
• La mise en cause améliore ses communications (p. ex. les premiers courriels, les scripts, etc.) avec les clients potentiels et explique clairement :
  • quelle est la nature des services fournis par l’entreprise et ce que ces services impliquent;
  • quel est l’objectif de la première rencontre avec un client éventuel;
  • que les premières rencontres avec les candidats potentiels ne sont pas liées à un emploi précis et ne constituent donc pas une « entrevue d’emploi » au sens strict.

Nous sommes d’avis que les renseignements ci-dessus devraient être fournis à tous les consommateurs, surtout au début d’une activité qui comprend la collecte de renseignements personnels.

Réponse de la mise en cause aux recommandations

34. La mise en cause a répondu à notre rapport d’enquête préliminaire en soutenant que l’objectif de la première rencontre avait clairement été mentionné au plaignant par l’administratrice de carrière, par l’administratrice principale et par le directeur principal au début de la rencontre en personne. Elle prétend qu’elle n’est pas responsable si le plaignant a erronément eu l’impression qu’il s’agissait d’une « entrevue d’emploi ».

35. La mise en cause a affirmé que l’administratrice de carrière n’agissait pas en son nom et qu’elle n’avait aucun contrôle sur les termes employés par l’administratrice de carrière dans le premier courriel adressé au plaignant. Il n’en demeure pas moins que la mise en cause a recueilli le curriculum vitæ et la lettre de présentation du plaignant par l’entremise de l’administratrice de carrière. Elle était donc chargée, en conformité avec le principe 4.2.3, de veiller à ce que les fins de la collecte soient précisées au plaignant au moment de la collecte ou avant.

36. La mise en cause a aussi soutenu que le plaignant avait implicitement consenti à la collecte du curriculum vitæ puisque ce dernier était publiquement accessible. Cependant, si le plaignant a implicitement consenti, en affichant son curriculum sur un site d’emploi, à ce que des employeurs potentiels examinent ce document et communiquent avec lui, la mise en cause n’était pas une employeuse potentielle. De toute façon, la mise en cause a aussi recueilli des renseignements personnels du plaignant qui ne se trouvaient pas sur le curriculum, y compris de l’information qui se trouvait dans le sommaire et la lettre de présentation du plaignant et les renseignements fournis par le plaignant durant la rencontre en personne. La mise en cause devait aussi obtenir le consentement valable à la collecte de ces renseignements.

37. Pour ce qui est de la conversation du plaignant avec l’administratrice principale, la mise en cause a maintenu que l’administratrice principale se contente de prendre des rendez-vous et n’a pas assez d’information pour répondre à des questions précises sur le contenu ou l’objectif de la rencontre. Pourtant, la mise en cause a admis que les premières rencontres avec les candidats suivent un script type et aident à déterminer si la mise en cause invitera le candidat à une deuxième rencontre visant à proposer une stratégie de mise en valeur. Selon la mise en cause, il ne s’agit pas de discuter d’une offre d’emploi précise. Autrement dit, le but de la rencontre ne varie pas d’un candidat à un autre. Il est donc difficile de comprendre pourquoi l’administratrice principale ne pouvait pas donner plus de renseignements au candidat concernant ces types de rencontre, et plus particulièrement, pourquoi elle ne pouvait pas mentionner franchement que l’objectif n’était pas de parler d’une offre d’emploi précise.

Conclusion

38. Malgré ses déclarations, la mise en cause a accepté, en fin de compte, d’appliquer toutes nos recommandations. Elle a notamment confirmé qu’elle avait détruit les renseignements personnels du plaignant de façon sécuritaire. Nous sommes conscients que la mise en œuvre de toutes les autres recommandations pourrait prendre un certain temps. Par conséquent, la mise en cause a accepté d’appliquer toutes les recommandations dans un délai de 90 jours après la publication du présent rapport et d’en faire la preuve au Commissariat.

39. Le Commissariat a toujours intérêt à s’assurer que la mise en cause prend les mesures nécessaires pour se conformer à la LPRPDE et fait le suivi des engagements pris par l’entreprise à cet égard. Nous vérifierons donc si la mise en cause prend les mesures correctrices et en fait la preuve dans les délais convenus, comme elle s’est engagée à le faire. À ce moment, nous évaluerons si la mise en cause a parfaitement appliqué les recommandations et, au besoin, nous aborderons les préoccupations en suspens en conformité avec les pouvoirs que nous confère la Loi.

40. Nous concluons donc que la plainte est fondée et conditionnellement résolue en ce qui concerne la détermination des fins de la collecte, le consentement et la transparence.