L’historique sur les activités liées aux drogues dans les rapports sur les propriétés n’est pas des renseignements auxquels le public a accès

Rapport de conclusions d’enquête en vertu de la LPRPDE n^o #2017-001

Le 28 août 2017

---

Plainte déposée en vertu de la Loi sur la protection des renseignements personnels et les documentsélectroniques(la « Loi »)

La plainte

1. Le plaignant alléguait que l’intimée recueillait, utilisait et communiquait des renseignements personnels concernant les propriétés résidentielles de certains individus sans avoir dûment obtenu leur consentement. Plus précisément, il alléguait qu’elle recueillait, utilisait et communiquait dans ses rapports sur l’historique de propriétés i) l’historique de vente, ii) l’information sur les activités liées aux drogues (c.-à-d. les interventions policières en lien avec des opérations de culture de marijuana ou des laboratoires de production de méthamphétamine) et iii) l’information sur les réclamations d’assurance.

Résumé de l’enquête

2. L’intimée, entreprise établie en Ontario qui exerce ses activités en ligne, vend des rapports sur l’historique de propriétés résidentielles (les « rapports ») partout au Canada.
3. L’intimée fait la promotion de ses rapports auprès i) des acheteurs et vendeurs de propriétés résidentielles, ii) des agents immobiliers et iii) des inspecteurs d’habitation. Elle a indiqué offrir deux principaux types de rapports, soit les rapports essentiels et les rapports détaillés. L’information contenue dans les rapports variait selon le type de rapport et la province. Ainsi :
1. tous les rapports contenaient de l’information sur les activités liées aux drogues;
2. seuls les rapports sur les propriétés situées en Ontario contenaient de l’information sur l’historique de vente;
3. seuls les rapports détaillés contenaient de l’information sur les réclamations d’assurance.
4. Précisons que les rapports de l’intimée contenaient des renseignements supplémentaires (p. ex., date de construction et renseignements sur le permis de construction délivré par la municipalité) qui ne sont toutefois pas visés par la plainte.

Collecte de renseignements

5. L’intimée a indiqué que ses rapports contenaient toute l’information connue au sujet de la propriété. Selon elle, cette information se limitait aux renseignements sur la propriété, si bien qu’elle ne renfermait aucun renseignement concernant un individu identifiable. C’est pourquoi l’intimée ne se limitait pas dans ses rapports à l’information associée à la propriété depuis qu’elle appartenait au propriétaire actuel.

Historique de vente

6. L’historique de vente comprenait le prix et la date des trois dernières ventes enregistrées pour la propriété en question. L’intimée a indiqué qu’elle obtenait ces renseignements d’un tiers, dont elle a communiqué le nom au Commissariat.
7. L’intimée a affirmé que, selon elle, le public avait accès à cette information.

Activités liées aux drogues

8. L’information sur les activités liées aux drogues comprenait la date de toute intervention policière en lien avec une opération de culture de marijuana ou un laboratoire de production de méthamphétamines à l’adresse en question, de même que la quantité de substances saisie par la police.
9. L’intimée a affirmé qu’elle obtenait cette information en utilisant des sources auxquelles le public a accès et en présentant des demandes d’accès à l’information à différents services de police et municipalités.
10. L’intimée nous a fourni à titre d’exemple la copie d’une réponse reçue d’un service de police ontarien à la suite d’une demande dans laquelle elle sollicitait des renseignements concernant les opérations de culture de marijuana au cours d’une période précise.
11. 11. L’intimée a également fourni des liens menant au site Web de nombreux services de police qui publient cette information.

Réclamations d’assurance

12. Selon les déclarations initiales faites par l’intimée au Commissariat, l’information sur les réclamations d’assurance comprenait la date, la valeur monétaire et la classification des réclamations selon les types d’événements ou de dommages suivants : i) inondation; ii) refoulement d’égouts; iii) eau; iv) incendie; v) fumée; vi) vent ou grêle; vii) tremblement de terre; viii) bris de vitres; et ix) effondrement du bâtiment.
13. L’intimée a indiqué qu’elle obtenait l’information sur les réclamations d’assurance auprès d’un tiers dans le domaine (le « fournisseur d’information sur les assurances »). ^{Note de bas de page 1}

Fins de l’utilisation et de la communication des renseignements

14. L’intimée a fait valoir qu’elle recueillait, utilisait et communiquait les renseignements susmentionnés afin de produire et de vendre des rapports sur l’historique de propriétés. De plus, elle a demandé au Commissariat de prendre en compte le fait que son service « vise à protéger les acheteurs et les vendeurs de propriétés résidentielles ainsi que les professionnels de l’industrie en ce qui a trait aux exigences de communication et de diligence raisonnable prévues par la loi » [traduction].
15. L’intimée a comparé son modèle d’affaires à la production de rapports sur l’historique de véhicules. Selon elle, ces rapports présentent des éléments de données similaires servant à fournir un historique détaillé et sont largement utilisés et acceptés dans une optique de protection des consommateurs.

Consentement

16. L’intimée a affirmé qu’elle obtenait uniquement le consentement des propriétaires actuels afin d’avoir des détails sur les réclamations d’assurance de son fournisseur d’information sur les assurances. Sur son formulaire de consentement, l’intimée demandait à l’acheteur ou à son mandataire de confirmer qu’il avait obtenu le consentement du propriétaire actuel de la propriété en question, mais elle a indiqué n’avoir pas vérifié si les propriétaires avaient effectivement donné leur consentement.
17. L’intimée a toutefois précisé que, comme elle ne considérait pas l’information sur les réclamations comme des renseignements personnels, elle n’avait pas l’intention d’obtenir le consentement des intéressés en vertu de la LPRPDE pour recueillir, utiliser et communiquer les renseignements qui seront présentés dans ses rapports.

Identification des propriétaires et des occupants

18. Nos propres recherches ont confirmé qu’il est possible de connaître l’identité des propriétaires actuels et antérieurs de propriétés en consultant les systèmes de registres fonciers provinciaux (p. ex., via un bureau d’enregistrement immobilier de l’Ontario).
19. Nos recherches ont aussi confirmé qu’il est possible de connaître l’identité des occupants actuels et antérieurs d’une propriété en ligne en consultant des sites Web qui renferment des bases de données associées à des adresses. De plus, on peut connaître l’identité des occupants actuels et antérieurs dans certaines municipalités en consultant le rôle d’évaluation foncière (p. ex., lorsque le locataire appuie une commission scolaire).

Application

20. Pour rendre notre décision, nous nous sommes appuyés sur le paragraphe 2(1) et les alinéas 7(1)d), 7(2)c.1) et 7(3)h.1) de la partie 1, sur les principes 4.3 et 4.3.2 de l’annexe 1 de la Loi ainsi que sur l’article 1 du Règlement précisant les renseignements auxquels le public a accès (le « Règlement »).
21. En vertu du paragraphe 2(1) de la Loi, un renseignement personnel est un renseignement concernant un individu identifiable.
22. En vertu des alinéas 7(1)d), 7(2)c.1) et 7(3) h.1), pour l’application du principe 4.3 de l’annexe 1 et malgré la note afférente, l’organisation ne peut recueillir, utiliser ou communiquer de renseignements personnels à l’insu de l’intéressé et sans son consentement que s’il s’agit d’un renseignement réglementaire auquel le public a accès.
23. En vertu du principe 4.3, toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu’il ne soit pas approprié de le faire. Le principe 4.3.2 précise que les organisations doivent faire un effort raisonnable pour s’assurer que la personne est informée des fins auxquelles les renseignements seront utilisés. Pour que le consentement soit valable, les fins doivent être énoncées de façon que la personne puisse raisonnablement comprendre de quelle manière les renseignements seront utilisés ou communiqués.
24. L’article 1 du Règlement précise notamment les renseignements et les catégories de renseignements pour l’application des alinéas 7(1)d), 7(2)c.1) et 7(3)h.1) de la Loi. Pour résumer, ces catégories de renseignements regroupent les renseignements personnels figurant dans :
    1. un annuaire téléphonique qui est accessible au public;
    2. un répertoire, listage ou avis à caractère professionnel ou d’affaires qui est accessible au public;
    3. un registre constitué aux termes d’une autorisation législative et pour lequel un droit d’accès public est autorisé par la loi;
    4. un dossier ou document d’un organisme judiciaire ou quasi judiciaire, qui est accessible au public;
    5. une publication, y compris un magazine, un livre ou un journal, si l’intéressé a fourni les renseignements.
    Le Règlement précise par ailleurs que la collecte, l’utilisation et la communication des renseignements personnels visés aux sous-alinéas b), c) et d) dans la liste susmentionnée doivent être directement liées à la raison pour laquelle ils figurent dans les documents en question.

Analyse

25. Dans son rapport préliminaire, le Commissariat a indiqué que l’intimée avait omis d’obtenir un consentement adéquat des intéressés à la collecte et à l’utilisation de renseignements personnels aux fins d’utilisation dans ses rapports sur l’historique de propriétés et à leur communication. Il a donc formulé à l’intention de que l’intimée certaines recommandations indiquées aux paragraphes 40 et 41 ci-après, dans le but de l’amener à se conformer à la Loi. En réponse à notre rapport d’enquête préliminaire, l’intimée a clarifié certains points, qui ont été pris en compte dans l’analyse ci-après.

Historique de vente

26. Au cours de notre enquête, l’intimée a confirmé qu’elle avait cessé de présenter dans ses rapports l’historique de vente. C’est pourquoi nous avons exclu de notre analyse et de nos conclusions la collecte l’utilisation et la communication de cette information.

Renseignements personnels

Réclamations d’assurance

27. Dans notre rapport préliminaire, en nous fondant sur notre compréhension des faits à ce moment-là, nous avons conclu à titre provisoire que l’information sur les réclamations d’assurance constituait une de renseignements personnels, car elle pourrait révéler qu’un demandeur a reçu une somme d’argent.
28. Dans sa réponse à notre rapport préliminaire, l’intimée a précisé que les détails de la réclamation étaient présentés uniquement dans le cas des réclamations pour dommages à la structure ou au bâtiment (et non en ce qui concerne le vol, le contenu ou la responsabilité civile) où un montant avait été versé directement à l’organisation tierce effectuant les réparations (p. ex., l’entrepreneur en construction ou le constructeur), et non à l’assuré.
29. À la lumière de cette précision, nous acceptons l’affirmation de l’intimée selon laquelle, dans ce cas particulier, l’information ne constitue pas une forme de renseignements personnels, car elle porte sur les dommages à une structure ou à un bâtiment (p. ex., à la suite d’une inondation, d’un incendie ou d’un tremblement de terre) et non sur un individu.

Activités liées aux drogues

30. Nous estimons encore que l’information sur les activités liées aux drogues constitue une forme de renseignements personnels au sens de la Loi, car elle concerne un « individu identifiable ».
31. Selon l’interprétation qui ressort de la jurisprudence en ce qui a trait aux cas où l’information est considérée comme « concernant » un individu identifiable, le terme « concernant » signifie non seulement que le renseignement en question porte sur un individu, mais aussi qu’il le touche ou qu’il peut y être associé (Canada [ Commissaire à l’information] c. Canada [Bureau canadien d’enquête sur les accidents de transport et de la sécurité des transports] , 2006 CAF 157). Un renseignement concerne un « individu identifiable » lorsqu’il y a une possibilité sérieuse qu’un individu puisse être identifié au moyen du renseignement, que ce renseignement soit pris seul ou en combinaison avec d’autres renseignements disponibles (Gordon c. Canada [Ministre de la Santé], 2008 CF 258 [CanLII]). ^{Note de bas de page 2}
32. L’intimée a allégué que l’information présentée dans ses rapports se limitait à celle concernant des propriétés et ne comprenait aucun renseignement concernant un individu identifiable. Les conditions de service énoncées par l’intimée précisent par ailleurs que « tout renseignement sur la propriété […] pourrait constituer ou comprendre des "renseignements personnels" au sens de la loi applicable à l’endroit où est située la propriété » [traduction].
33. Selon nous, l’information concernant les activités liées aux drogues pourrait fort probablement être liée à des « individus identifiables », qu’elle soit prise seule ou en combinaison avec d’autres renseignements. Cette information pourrait être liée à l’individu ou aux individus auxquels appartenait la propriété ou qui l’occupaient au moment auquel se rapportent les renseignements en question, du moins lorsque le propriétaire ou l’occupant est un particulier (et non une entreprise). Pour arriver à cette conclusion, nous avons pris en compte le fait que l’utilisateur demandant le produit de l’intimée pourrait i) connaître le nom du ou des propriétaires ou de l’occupant ou des occupants, ii) découvrir l’identité des propriétaires actuels et antérieurs en consultant les systèmes de registres fonciers provinciaux (p. ex., le Bureau d’enregistrement immobilier de l’Ontario), ou iii) découvrir l’identité des propriétaires actuels et antérieurs, par exemple en utilisant certaines ressources en ligne.
34. De plus, dans les circonstances, nous estimons que l’information sur les activités liées aux drogues présentée dans les rapports « concernait » le ou les propriétaires ou l’occupant ou les occupants au moment de l’événement, en ce sens qu’elle soulevait une possibilité ou une perception non négligeable que l’individu i) participait personnellement à des activités liées aux drogues ou ii) était associé à des tiers participant à ce type d’activités.

Renseignements auxquels le public a accès

35. D’après nous, les sources qu’utilisait l’intimée pour obtenir l’information sur les activités liées aux drogues ne peuvent être associées à aucun des types de « renseignements auxquels le public a accès » précisés dans le Règlement.
36. Par exemple, une demande d’accès à l’information ne constitue pas une source d’information. Il s’agit plutôt d’un moyen par lequel l’intimée a eu accès à la source d’information. Dans la réponse à une demande d’accès à l’information faite à un service de police que l’intimée nous a fournie, les fichiers du service de police constituaient la source de l’information.
37. Pour citer un autre exemple, même si le public a facilement accès à l’information affichée sur le site Web de services de police, les pages Web ne constituent pas i) un registre de renseignements recueillis aux termes d’une autorisation législative au sens de l’alinéa 1c) du Règlement; ii) un dossier ou document d’un organisme judiciaire ou quasi judiciaire au sens de son alinéa 1d); ni iii) des renseignements qui figurent dans une publication si l’intéressée a fourni les renseignements comme l’exige l’alinéa 1e).

Consentement

38. Par conséquent, l’intimée ne peut se soustraire à l’exigence concernant l’obtention du consentement des individus concernés. L’intimée doit donc obtenir un consentement adéquat à la collecte, à l’utilisation et à la communication de ces renseignements pour les besoins de ses rapports.
39. L’intimée a reconnu qu’elle n’obtenait pas le consentement à l’utilisation de l’information sur les activités liées aux drogues.

Rapport d’enquête préliminaire

40. Dans notre rapport préliminaire, nous avons recommandé à l’intimée de revoir ses pratiques de protection de la vie privée afin de s’assurer d’obtenir un consentement adéquat à la collecte, à l’utilisation et à la communication de renseignements personnels pour les besoins de tous ses rapports sur l’historique de propriétés (c.-à-d. les rapports essentiels et détaillés). Plus précisément, nous lui avons recommandé:
    1. d’obtenir le consentement directement auprès du ou des propriétaires et de l’occupant ou des occupants actuels et antérieurs dont les renseignements personnels sont recueillis, utilisés ou communiqués (au lieu de se fier à la déclaration de l’acheteur selon laquelle ce consentement a été donné);
    2. de s’assurer que ce consentement est valable, en expliquant clairement et en détail quels renseignements personnels seront recueillis et à quels individus ou organisations ils seront communiqués au moyen des rapports; et
    3. de conserver une preuve du consentement obtenu.
41. Nous avons également recommandé à l’intimée de mettre fin à la collecte, à l’utilisation et à la communication de ces renseignements personnels dans le but de produire des rapports sur l’historique de propriétés si elle est incapable d’obtenir le consentement comme il est indiqué.
42. Le rapport préliminaire a été remis aux deux parties, qui ont eu la possibilité de nous fournir leur réponse.

Réponse de l’intimée au rapport d’enquête préliminaire

43. L’intimée a fourni une réponse écrite à notre rapport préliminaire. Nous avons aussi rencontré un représentant de l’entreprise afin de mieux comprendre ses pratiques.
44. L’intimée a confirmé qu’elle avait cessé de distribuer ses rapports jusqu’à ce qu’elle puisse s’entendre avec le Commissariat sur les modifications à apporter à ses pratiques afin de se conformer à la Loi.
45. L’intimée a affirmé que l’information sur les réclamations d’assurance ne constitue pas dans la présente affaire une forme de renseignements personnels et qu’elle n’était pas tenue d’obtenir le consentement des intéressés à sa collecte, à son utilisation et à sa communication en vertu de la Loi. Nous sommes d’accord avec cette affirmation, comme il est indiqué aux paragraphes 28 et 29 ci-dessus.
46. Enfin, l’intimée s’est engagée à ne plus présenter d’information sur les activités liées aux drogues lorsqu’elle recommencerait à publier ses rapports sur l’historique de propriétés.

Conclusion

47. Compte tenu des engagements pris par l’intimée (comme il est indiqué ci-dessus), nous concluons que la plainte est fondée et résolue.