Consentement requis pour la vérification des antécédents d’une nouvelle personne souhaitant s’inscrire à un camp d’été

Rapport des conclusions en vertu de la LPRPDE n^o 2012-007

---

La plaignante a tenté d’inscrire son enfant à un camp d’été. Elle a transmis la demande en ligne et s’est entretenue avec le directeur du camp. Elle a par la suite déposé une plainte auprès du Commissariat, alléguant que le directeur avait recueilli sans son consentement des renseignements personnels se rapportant à son enfant auprès du directeur d’un camp auquel il avait déjà participé afin de déterminer si l’enfant était apte à participer au camp. Elle a également déposé une plainte auprès du camp auquel son enfant avait participé pour avoir divulgué les renseignements personnels le concernant sans son consentement.

Le camp auquel la plaignante souhaitait inscrire son enfant a nié avoir recueilli des renseignements, mais a affirmé que les camps avaient depuis longtemps pour habitude d’échanger de l’information sur les campeurs. Il a ajouté qu’il avait de toute façon obtenu le consentement de la mère du campeur en vertu des dispositions figurant dans le formulaire de demande d’inscription en ligne et le document d’accompagnement.

Pour sa part, le représentant du camp auquel avait participé le campeur a confirmé au Commissariat qu’il y avait bel et bien eu échange de renseignements personnels sur le campeur entre les directeurs des deux camps lors de leur conversation téléphonique.

Le Commissariat a examiné les documents de demande d’inscription transmis au camp envisagé, ainsi que les politiques de l’organisme en matière de protection des renseignements personnels et de confidentialité. Nous avons constaté que les documents ne mentionnaient pas que les renseignements personnels sur les campeurs pourraient être recueillis auprès d’autres parties. Nous avons également observé que le libellé des documents était trop vague pour indiquer clairement les buts précis pour lesquels tout renseignement personnel recueilli sur les campeurs serait utilisé ou communiqué. Pour ces raisons, nous estimons qu’en l’espèce, la plaignante n’avait pas consenti à la collecte, à l’utilisation ni à la communication des renseignements personnels concernant son enfant.

Le Commissariat a publié un rapport d’enquête préliminaire à l’intention du camp envisagé, lui recommandant d’obtenir le consentement individuel pour toute collecte, utilisation et communication des renseignements personnels concernant ses campeurs et de donner à ses employés une formation sur la protection de la vie privée.

Nous avons établi que la plainte était fondée et conditionnellement résolue, compte tenu de l’engagement du camp à mettre en œuvre nos recommandations dans les délais prescrits.

Rapport de conclusions

Plainte déposée en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (la « Loi » ou la « LPRPDE »)

1. La plaignante allègue qu’un organisme de camps d’été a recueilli à son insu et sans son consentement des renseignements personnels concernant son enfant.

Résumé de l’enquête

Consentement

2. L’organisme de camps d’été (le « premier camp ») est un organisme privé sans but lucratif qui organise des camps d’été en Ontario.

3. La plaignante est la tutrice légale de son enfant. En 2011, le directeur des camps d’été de l’organisme (le « directeur du premier camp ») l’a contactée par téléphone en réponse à l’inscription en ligne de son enfant, alors âgé de 13 ans, pour la première fois à l’un de ses camps.

4. Au cours de la conversation téléphonique, ils ont discuté de l’inscription et de son enfant. La plaignante a mentionné au directeur de l’organisme que son enfant avait déjà participé à une excursion en canot à un autre camp (le « deuxième camp »), organisé par un autre organisme. Elle a mentionné le nom du deuxième camp pendant leur conversation.

5. Au cours d’une conversation téléphonique subséquente, le directeur du premier camp a informé la plaignante que l’inscription de son enfant n’avait pas été acceptée.

6. Selon la plaignante, le directeur lui a alors dit qu’il s’était entretenu avec le directeur du deuxième camp et que le camp ne pourrait accueillir son enfant en raison de ses déficiences, car ce ne serait pas juste pour les autres campeurs.

7. La plaignante affirme que le directeur du premier camp a recueilli sans son consentement auprès du directeur du deuxième camp des renseignements particuliers sur son enfant. Elle a donc déposé contre l’organisme du premier camp la plainte visée par le présent rapport, que nous avons acceptée le 2 août 2011.

8. Nous avons obtenu du deuxième camp des preuves confirmant que le directeur du premier camp l’avait contacté à propos de l’enfant de la plaignante. Selon les informations obtenues, le directeur du premier camp a expliqué pendant la conversation qu’il avait reçu une demande de la plaignante et avait posé des questions sur son enfant en tant que campeur. En se basant sur l’expérience vécue avec l’enfant de la plaignante, le directeur du deuxième camp a fourni de l’information sur le déroulement du camp pour l’enfant, sa personnalité et le type de soutien requis du personnel du camp. Le directeur du deuxième camp a également expliqué au directeur du premier camp qu’il avait refusé récemment une demande de la plaignante, car le nombre maximal de participants était déjà atteint pour la période demandée.

9. Le directeur du premier camp a également confirmé au Commissariat qu’il avait communiqué avec le directeur du deuxième camp et qu’il l’avait interrogé sur la durée de l’excursion en canot à laquelle l’enfant de la plaignante avait pris part. Toutefois, le directeur du premier camp a nié avoir recueilli des renseignements personnels sur l’enfant de la plaignante auprès du directeur du deuxième camp.

10. Le directeur du premier camp a indiqué que son organisme vérifie systématiquement de façon approfondie les antécédents de tous les aspirants campeurs et postulants qui veulent obtenir une place pendant le programme d’été et qu’il utilise les renseignements personnels recueillis dans le cadre de son processus énergique d’inscription et d’embauche.

11. Le directeur du premier camp a soutenu que toute sa collecte de « données » avait été effectuée avec le consentement de la plaignante dans le contexte des faits se rapportant à cette plainte.

12. D’après le directeur du premier camp, quand la plaignante a transmis la demande d’inscription en ligne, elle en a accepté les conditions, y compris les modalités de l’entente additionnelle figurant sur le formulaire. Ces modalités indiquaient alors clairement que les directeurs de camp pouvaient, à leur discrétion, utiliser l’information fournie dans les demandes à n’importe quelle fin.

À des fins d’identification et de documentation

13. Nous avons examiné les politiques du premier camp en matière de protection des renseignements personnels et de confidentialité.

14. Nous avons observé que parmi toutes les fins qui y étaient énumérées (et également dans la demande en ligne), aucune mention n’était faite de la collecte, de l’utilisation ou de la communication de renseignements personnels par l’organisme en vue de vérifier les antécédents des campeurs ou à des fins similaires.

15. Enfin, nous avons examiné la section du code d’éthique professionnelle (le « Code ») portant sur la protection de la vie privée de l’Ontario Camps Association (OCA), dont fait partie le premier camp. Le Code précise qu’il faut protéger la confidentialité des campeurs, des parents et du personnel. Par ailleurs, le site Web de l’OCA souligne l’obligation de respecter la Loi :

Le camp respecte-t-il la Loi sur la protection des renseignements personnels et les documents électroniques? [traduction] La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) est la loi fédérale qui vous oblige à obtenir le consentement éclairé de la personne visée avant de recueillir, d’utiliser ou de communiquer des renseignements personnels la concernant; à utiliser les renseignements uniquement aux fins pour lesquelles vous avez obtenu le consentement; à protéger les renseignements contre l’accès et l’utilisation non autorisés; à tenir les renseignements à jour et à bien les classer de sorte que les décisions reposent sur de l’information exacte; à détruire les renseignements lorsque vous n’en avez plus besoin pour la fin prévue au départ; et à mettre en place des mécanismes redditionnels au sein de votre organisme pour assurer la conformité à la Loi.

16. Le 20 juillet 2012, le Commissariat a publié un rapport d’enquête préliminaire à l’intention de l’organisme du premier camp dans lequel il examinait les questions soulevées dans la plainte et demandait à l’organisme de donner suite à ses recommandations. Voici le résultat de notre analyse des données probantes recueillies pendant notre enquête.

Application de la Loi

17. Pour rendre nos décisions, nous avons appliqué les principes 4.3 et 4.3.2 de l’annexe 1 et le paragraphe 2.(1) de la partie 1.

18. Selon le principe 4.3, toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels la concernant et y consentir, à moins qu’il ne soit pas approprié de l’informer.

19. Le principe 4.3.2 stipule que suivant le principe 4.3, il faut informer la personne au sujet de laquelle on recueille des renseignements et obtenir son consentement. Les organisations doivent faire un effort raisonnable pour s’assurer que la personne est informée des fins auxquelles les renseignements seront utilisés. Pour que le consentement soit valable, les fins doivent être énoncées de façon que la personne puisse raisonnablement comprendre de quelle manière les renseignements seront utilisés ou communiqués.

20. Le paragraphe 2.(1) indique que l’expression « renseignement personnel » désigne tout renseignement concernant un individu identifiable, à l’exclusion du nom et du titre d’un employé d’une organisation ainsi que de l’adresse et du numéro de téléphone de son lieu de travail.

Constatations

Le 30 août 2012

Consentement aux fins de collecte – principe 4.3

21. Il faut déterminer si l’organisme du premier camp a recueilli les renseignements personnels concernant l’enfant de la plaignante auprès d’un tiers et s’il avait obtenu le consentement de la plaignante à cette fin.

22. Nous sommes en désaccord avec l’affirmation du directeur du premier camp selon laquelle il n’a pas recueilli de renseignements personnels sur l’enfant de la plaignante auprès du directeur du deuxième camp. Les données probantes obtenues de l’organisme du deuxième camp corroborent l’allégation selon laquelle, pendant une conversation téléphonique entre les deux directeurs, le directeur du premier camp a recueilli de l’information sur l’enfant de la plaignante, plus précisément l’historique de ses inscriptions, ses expériences antérieures au camp et une évaluation subjective de ses besoins. La plaignante a indiqué n’avoir jamais consenti à une telle collecte et n’en avoir été informée que lors de sa deuxième conversation avec le premier camp.

23. Selon nous, la conversation entre les deux directeurs et la collecte de renseignements personnels avaient pour but d’évaluer la demande d’inscription de l’enfant de la plaignante au premier camp et de déterminer si le camp pourrait répondre à ses besoins. Le but semble coïncider avec l’affirmation du directeur du premier camp lui-même au Commissariat, mentionnée au paragraphe 10, voulant qu’il vérifie de façon approfondie les antécédents des campeurs et qu’il utilise dans le cadre du processus d’inscription les renseignements personnels ainsi recueillis.

24. Selon le principe 4.3, toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir. (Nota : le représentant légal peut donner le consentement au nom de la personne).

25. Le Commissariat n’est pas d’accord avec l’affirmation du directeur du premier camp selon laquelle il aurait obtenu le consentement de la plaignante lorsque cette dernière avait accepté les conditions de la demande d’inscription qu’elle soumettait, notamment les modalités de l’entente additionnelle de la demande. Après avoir examiné la demande ainsi que la politique de l’organisme en matière de protection des renseignements personnels, nous estimons que les énoncés concernant l’utilisation des renseignements fournis sont trop vagues et qu’ils ne suffisent pas pour obtenir le consentement en vue de recueillir des renseignements personnels auprès d’un tiers dans le cadre du processus d’inscription.

26. À notre avis, la plaignante n’a pas été informée de la collecte de renseignements personnels concernant son enfant auprès du deuxième camp et c’est pourquoi nous estimons que le principe 4.3 n’a pas été respecté.

Consentement aux fins d’utilisation et de communication – principes 4.3 et 4.3.2

27. Il semble que le premier camp a également utilisé et communiqué des renseignements personnels concernant la plaignante et son enfant. D’après les données probantes que nous avons obtenues, il appert que les renseignements personnels concernant l’enfant de la plaignante recueillis auprès du deuxième camp ont été utilisés par le premier camp dans le cadre de l’examen de la demande d’inscription présentée par la plaignante. Par ailleurs, les données probantes du deuxième camp démontrent que le premier camp a communiqué des renseignements personnels concernant la plaignante et son enfant au directeur de ce camp, plus précisément leurs noms et l’historique des inscriptions, afin d’obtenir de l’information.

28. D’après le principe 4.3.2 de la Loi, il faut informer la personne au sujet de laquelle on recueille des renseignements et obtenir son consentement, conformément au principe 4.3, et les organisations doivent faire un effort raisonnable pour s’assurer que la personne est informée des fins auxquelles les renseignements seront utilisés. Toujours selon le principe 4.3.2, pour que le consentement soit valable, les fins doivent être énoncées de façon que la personne puisse raisonnablement comprendre de quelle manière les renseignements seront utilisés ou communiqués.

29. De plus, les modalités énoncées dans l’entente additionnelle de la demande d’inscription du premier camp et le libellé similaire de la politique de l’organisme en matière de protection des renseignements personnels sont trop vagues pour constituer un moyen d’obtenir un consentement valable concernant l’utilisation et la communication en question.

30. Selon nous, la politique et l’entente additionnelle ne permettent pas à une personne de comprendre de manière raisonnable que les renseignements personnels la concernant seront utilisés ou communiqués à un tiers dans le cadre du processus d’inscription. Dès lors, la personne n’a pas été informée de l’utilisation et de la communication survenues dans ce cas et aucun consentement valable n’a été obtenu. Par conséquent, les principes 4.3 et 4.3.2 n’ont pas été respectés.

31. Dans notre rapport d’enquête préliminaire, nous avons demandé à l’organisme du premier camp de s’engager à donner suite aux recommandations suivantes : i) réviser ses politiques et pratiques afin de s’assurer d’obtenir un consentement valable à la collecte, à l’utilisation et à la communication des renseignements personnels concernant ses campeurs; et ii) donner à ses employés une formation sur les obligations qui leur incombent en matière de protection des renseignements personnels en vertu de la LPRPDE.

32. L’organisme du premier camp a répondu à notre rapport d’enquête préliminaire le 7 août 2012, en expliquant en détail comment il allait mettre en œuvre nos recommandations au cours de l’année à venir. Il a assuré au Commissariat qu’il aurait donné suite à toutes les recommandations avant le 30 juin 2013.

Conclusions et suivi

33. Par conséquent, nous concluons que la plainte est fondée et conditionnellement résolue. Nous en arrivons à cette conclusion sur la base de l’engagement écrit de l’organisme du premier camp à prendre dans les délais prescrits les mesures correctives recommandées dans le présent rapport.

34. Le Commissariat continue de suivre de près l’engagement de l’organisme à adopter les mesures nécessaires pour se conformer à la Loi. Dès lors, à la fin du délai prescrit, nous déterminerons si l’organisme a pleinement mis en œuvre nos recommandations et, au besoin, nous prendrons des mesures à l’égard des préoccupations non réglées conformément aux pouvoirs que nous confère la Loi.

Rapport de conclusions connexe

• Rapport des conclusions en vertu de la LPRPDE n^o 2012-008 : Un directeur de camp d'été a fourni des renseignements sur les antécédents d'un ancien campeur sans avoir obtenu de consentement