Enquête sur les pratiques d’authentification et de transfert de données utilisées pour une offre de cartes-cadeaux de Loblaw

Conclusions en vertu de la LPRPDE n^o 2019-003

Le 16 octobre 2019

Aperçu

Plainte

1. Le plaignant allègue que Les Compagnies Loblaw ltée (« Loblaw ») a recueilli plus de renseignements personnels que nécessaire en vue de la remise d’une carte-cadeau de 25 $ (« carte Loblaw ») dans le cadre du programme de cartes Loblaw.
2. De plus, le plaignant s’inquiétait des répercussions sur la vie privée associées au transfert de données par Loblaw à une organisation aux États-Unis.

Résumé de l’enquête

Contexte

2. Le Bureau de la concurrence du Canada a découvert que Loblaw et d’autres épiceries au Canada ont fait payer un prix trop élevé aux Canadiens pour certains produits de boulangerie emballés. En réponse, Loblaw a offert aux personnes inscrites admissibles une carte Loblaw de 25 $ pouvant être utilisée pour acheter des articles vendus dans ses épiceries au Canada.
3. Les personnes inscrites étaient admissibles à recevoir une carte Loblaw si :
   1. elles s’étaient inscrites au plus tard le 8 mai 2018;
   2. entre le 1^er janvier 2002 et le 1^er mars 2015, elles :
      1. avaient acheté une ou plusieurs des marques déterminées de produits de boulangerie emballés de Loblaw ou de ses épiceries associées désignées;
      2. avaient atteint l’âge de la majorité dans leur province.
4. Loblaw a retenu les services d’un tiers (l’« administrateur des demandes ») pour gérer le programme de cartes Loblaw en son nom.

Renseignements fournis par le plaignant

6. Le plaignant a respecté les conditions susmentionnées et a tenté de s’inscrire pour obtenir la carte Loblaw. Il a reçu un avis écrit de Loblaw lui demandant ce qui suit:

   « Dans le cadre de son processus permettant de valider l’émission d’une carte Loblaw de 25 $ à une personne admissible unique, nous vous contactons afin d’obtenir des renseignements supplémentaires. Pour confirmer votre adresse résidentielle, veuillez nous transmettre une copie numérisée ou une photo 1) d’une facture de services publics courante ou 2) de votre permis de conduire valide par le biais de notre portail sécurisé en ligne (…). Vous pouvez également fournir ces renseignements par la poste (adresse fournie). Veuillez ne pas envoyer de document original.

   Nous avons besoin de ces renseignements dans un délai de 30 jours afin de pouvoir terminer le traitement de votre inscription. Votre facture de services publics ou votre permis de conduire ne servira à la seule fin de vérifier votre admissibilité à recevoir une carte Loblaw de 25 $ et la copie sera détruite dès que la vérification sera terminée. Si nous ne recevons pas cette information dans les 30 jours, nous devrons refuser votre inscription sans autre avis.

   Si vous avez des questions, n’hésitez pas à communiquer avec nous par courriel à l’adresse (courriel fourni). » [traduction]

7. En réponse à l’avis, le plaignant a envoyé un courriel à Loblaw parce qu’il estimait que l’entreprise recueillait des renseignements non pertinents au programme de cartes Loblaw et il ne comprenait pas pourquoi il avait fait l’objet d’une demande supplémentaire. De plus, il s’est dit préoccupé par le fait que l’information était traitée par des tiers aux États-Unis chargés par Loblaw de la traiter. En raison de ses préoccupations, il n’a pas fourni à Loblaw les renseignements supplémentaires demandés.
8. Comme il n’a pas reçu d’autre réponse de Loblaw, le plaignant a déposé la plainte en cause.

Représentations par le défendeur

9. Loblaw a informé le Commissariat que toute personne souhaitant participer au programme de cartes Loblaw devait fournir son nom, son adresse résidentielle, sa date de naissance, son numéro de téléphone et son adresse courriel. Ces renseignements étaient demandés pour confirmer l’admissibilité des personnes et pour permettre à l’administrateur des demandes de communiquer avec les personnes inscrites, de gérer les cas de fraude et d’assurer le suivi de l’activation et de l’utilisation des cartes ainsi que d’en faire la preuve.
10. Selon Loblaw, les mesures antifraude comprenaient l’utilisation du captcha « Je ne suis pas un robot » dans le formulaire d’inscription en ligne, l’obligation pour les personnes inscrites de fournir certains renseignements dans le cadre du processus d’inscription et, dans une petite proportion (environ 10 %) des cas, la demande de documents supplémentaires sur lesquels figurent le nom et l’adresse de la personne visée, comme une facture de service ou un permis de conduire (le « document d’identification »), permettant de confirmer l’identité de la personne. Loblaw a expliqué que les demandes de documents d’identification étaient fondées sur certains éléments déclencheurs, notamment des demandes multiples sous un nom unique ou semblable, des demandes multiples provenant d’une seule adresse ou des irrégularités dans l’inscription (p. ex. lorsqu’une rue ou une adresse courriel semblait invalide).
11. Loblaw a affirmé que ces mesures étaient nécessaires pour s’assurer que les cartes Loblaw étaient seulement remises à des personnes identifiables et admissibles, et pour être en mesure de démontrer devant un tribunal, au besoin, que des mesures antifraude suffisantes avaient été mises en place pour que les cartes Loblaw soient distribuées uniquement aux personnes qui y avaient droit (puisque les personnes n’étaient pas tenues de fournir une preuve d’achat pour être admissibles au programme).
12. Selon Loblaw, puisqu’il n’était pas possible d’examiner les documents d’identification « en personne », il a été décidé de recueillir des copies des renseignements, de les vérifier, puis de les détruire immédiatement.
13. Loblaw a également expliqué que les personnes inscrites ont été informées des raisons pour lesquelles des renseignements personnels étaient recueillis sur le site Web d’inscription. Le formulaire d’inscription indiquait « Nous recueillons vos renseignements personnels pour vérifier votre admissibilité et communiquer avec vous, ainsi que pour gérer les cas de fraude, pour assurer le suivi de l’activation et de l’utilisation des cartes et pour en faire la preuve…» [traduction]. Le formulaire contenait également un lien vers la « Politique de confidentialité associée au programme ».
14. Dans le formulaire d’inscription, les personnes souhaitant s’inscrire devaient également consentir à l’énoncé suivant :

    Je comprends, confirme et accepte que :

    - L’administrateur des demandes peut communiquer avec moi s’il le juge approprié pour obtenir de plus amples renseignements sur mon formulaire d’inscription, y compris pour demander les documents d’identification appropriés. [traduction]

15. Étant donné que certaines personnes qui se sont inscrites, comme le plaignant, étaient préoccupées par la collecte de renseignements personnels supplémentaires, Loblaw a apporté des précisions concernant sa demande de document d’identification dans des messages ultérieurs diffusés dans les médias. Loblaw a fait savoir publiquement que, lorsqu’elle demande un document d’identification, elle cherchait uniquement à confirmer qu’une personne habite à l’adresse indiquée sur le formulaire d’inscription. Loblaw a également indiqué qu’elle ne vérifiait que le nom et l’adresse, et que tout autre renseignement, comme le numéro du permis de conduire, pouvait être censuré.
16. De plus, le 16 mars 2018, Loblaw a modifié son message aux personnes souhaitant s’inscrire en indiquant clairement qu’elle cherchait seulement à confirmer le nom et l’adresse résidentielle et qu’elle acceptait « toute pièce d’identité ou tout document d’identification valide qui indique votre nom et votre adresse » [traduction], ne demandant plus précisément le permis de conduire.
17. Loblaw a également mis à jour la Foire aux questions sur son site Web en indiquant que si les personnes souhaitant s’inscrire choisissent de fournir leur permis de conduire, elles peuvent censurer leur numéro de permis et tout renseignement autre que leur nom et adresse résidentielle.
18. Dans la Politique de confidentialité associée au programme, Loblaw a fourni une explication des raisons pour lesquelles elle faisait appel à des tiers pour l’administration du programme. La politique stipule, entre autres, ce qui suit :

    1. Portée et interprétation

    […]Le Programme de Carte est géré par JND Legal Administration (l’« Administrateur des demandes ») pour le compte de Loblaw. Blackhawk Network (Canada) Ltd. (« Blackhawk ») s’occupera, pour le compte de Loblaw, de la production et de la distribution des Cartes, ainsi que du suivi de leur activation et de leur utilisation; et Compagnie de fiducie Peoples (« Peoples ») exercera la fonction d’émetteur de Carte pour le compte de Loblaw. […]

    …

    4. Fins auxquelles vos renseignements personnels seront utilisés, échangés ou communiqués

    Vos renseignements personnels serviront aux fins suivantes : vérifier votre admissibilité à la Carte Loblaw communiquer avec vous, produire et distribuer les Cartes, traiter les transactions effectuées avec la Carte, vérifier votre identité, offrir un service à la clientèle, traiter les demandes de Cartes volées ou perdues, réduire le risque de fraude, faire le suivi de l’activation et de l’utilisation de la Carte, et à toute autre fin autorisée ou permise par les lois. Les renseignements personnels que vous soumettez peuvent être échangés entre Loblaw, l’Administrateur des demandes, Blackhawk et Peoples aux fins énoncées précédemment. […]

    et

    5. Conservation et transfert à l’extérieur du Canada

    Loblaw, l’Administrateur des demandes, Blackhawk et/ou Peoples, ou d’autres fournisseurs de services que l’un ou l’autre d’entre eux engage, peuvent stocker les renseignements personnels, y accéder ou les utiliser dans un pays autre que le Canada, à l’une ou l’autre des fins énoncées au paragraphe 4, notamment aux ÉtatsUnis et au Salvador. Les renseignements personnels situés à l’extérieur du Canada sont assujettis aux lois du territoire en question qui peuvent être différentes de celles de votre territoire de résidence et tout renseignement personnel transféré dans un autre territoire relèvera des autorités chargées de la mise en application des lois et de la sécurité nationale de ce territoire. Sous réserve de ces lois, Loblaw, l’Administrateur des demandes, Blackhawk et Peoples prendront les mesures raisonnables pour assurer une protection de vos renseignements personnels équivalente à celle qui s’appliquerait au Canada. Vous donnez par les présentes votre consentement à un tel transfert de renseignements personnels hors du Canada (notamment au Salvador et aux États-Unis) à l’une ou l’autre des fins énoncées au paragraphe 4.
    [souligné ajouté]

19. Cette information a été fournie au moyen d’un lien sur la page d’inscription et figurait dans le Contrat du titulaire de Carte Loblaw, lequel a été accepté par les titulaires de carte dans le cadre de leur inscription.
20. Loblaw a confirmé que, comme il est indiqué dans la Politique de confidentialité associée au programme, elle a retenu les services d’un tiers ayant de l’expérience dans la gestion de tels programmes. L’administrateur des demandes est situé aux États Unis et assure la collecte des documents d’identification par le biais d’un portail en ligne sécurisé ou par la poste. Une fois l’information vérifiée, elle est immédiatement détruite et aucune information n’est conservée.
21. Les communications de Loblaw sur la protection de la vie privée mentionnaient également la possibilité de transferts de données au Salvador. Loblaw a expliqué au Commissariat que, conformément à ses communications sur la protection de la vie privée, une société salvadorienne sous-traitée par Blackhawk, un autre fournisseur de services, aurait également eu accès aux renseignements des personnes qui se sont inscrites pour fournir des services de centre d’appels à l’appui de la distribution des cartes.
22. Dans le cadre de l’enquête, le Commissariat a examiné : i) le formulaire d’inscription au programme de Carte Loblaw; ii) la Politique de confidentialité associée au programme; iii) l’addenda de sécurité pertinent conclu entre Loblaw et le tiers administrateur des demandes; iv) les autres politiques connexes.

Application

23. Pour parvenir à nos conclusions, nous avons appliqué les principes 4.1.3, 4.3, 4.4 et 4.8 de l'annexe 1 de la Loi.
24. Le principe 4.1.3 prévoit qu’une organisation est responsable des renseignements personnels qu’elle a en sa possession ou sous sa garde, y compris les renseignements confiés à une tierce partie aux fins de traitement. L’organisation doit, par voie contractuelle ou autre, fournir un degré comparable de protection aux renseignements qui sont en cours de traitement par une tierce partie.
25. Le principe 4.3 précise que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir. Le principe 4.3.4 prévoit, entre autres, que la forme du consentement que l’organisation cherche à obtenir peut varier selon les circonstances et la nature des renseignements. Pour déterminer la forme que prendra le consentement, les organisations doivent tenir compte de la sensibilité des renseignements. En outre, le principe 4.3.6 énonce que, en général, l’organisation devrait chercher à obtenir un consentement explicite si les renseignements sont susceptibles d’être considérés comme sensibles.
26. Le principe 4.4 stipule, en partie, que l’organisation ne peut recueillir que les renseignements personnels nécessaires aux fins déterminées.
27. Le principe 4.8 précise qu’une organisation doit faire en sorte que des renseignements précis sur ses politiques et ses pratiques concernant la gestion des renseignements personnels soient facilement accessibles à toute personne

Analyse et constatations

Limitation de la collecte

28. La première question en litige est de savoir si la collecte par Loblaw de documents d’identification aux fins de l’administration du programme de cartes Loblaw dépassait ou non ce qui était nécessaire aux fins déterminées.
29. Loblaw a informé les personnes qui se sont inscrites, sur le site Web d’inscription lui-même et par le biais d’un lien vers la Politique de confidentialité associée au programme, i) du fait qu’elle peut demander un document d’identification et ii) des fins pour lesquelles elle recueille des renseignements personnels, notamment pour vérifier l’identité et réduire le risque de fraude. De plus, l’avis envoyé au plaignant pour demander des renseignements supplémentaires indiquait que le document d’identification avait été demandé, conformément aux fins déterminées, afin que Loblaw puisse « confirmer [son] adresse résidentielle ».
30. L’enquête a confirmé que les personnes souhaitant s’inscrire avaient plusieurs choix de document d’identification qu’elles pouvaient fournir, comme une facture de services publics ou un autre document d’identification valide qui indiquait leur nom et leur adresse résidentielle. De plus, Loblaw a avisé le Commissariat que lorsqu’un document d’identification était fourni, celui-ci était seulement utilisé pour vérifier l’adresse, puis il était détruit. Aucun autre renseignement provenant du document d’identification n’a été utilisé, enregistré ou conservé.
31. Nous constatons que les organisations doivent veiller à limiter le type et la quantité de renseignements personnels recueillis à ce qui est nécessaire pour atteindre les fins déterminées. Les organisations doivent également préciser le type de renseignements personnels dont elles ont besoin. Au départ, Loblaw a omis d’indiquer au plaignant, ainsi qu’à d’autres personnes inscrites à qui on a demandé des documents d’identification supplémentaires, les renseignements précis qui étaient requis et le fait que certains renseignements de nature délicate, comme la photographie ou le numéro de leur permis de conduire, n’étaient pas requis. Par conséquent, certaines personnes inscrites, comme le plaignant, ont choisi de ne pas envoyer de documents d’identification supplémentaires, tandis que d’autres ont envoyé des documents d’identification qui, dans de nombreux cas, constituaient une numérisation intégrale du permis de conduire.
32. À la suite du dépôt de la plainte auprès du Commissariat par le plaignant, Loblaw a clarifié publiquement, et par le biais d’une révision de son avis aux personnes inscrites, qu’elle avait seulement besoin de vérifier leur nom et leur adresse, et que tout renseignement supplémentaire, comme le numéro de permis de conduire ou toute autre information, pouvait être censuré.
33. Après avoir examiné la preuve, nous sommes convaincus que les demandes formulées par Loblaw pour obtenir des documents confirmant le nom et l’adresse, dans certaines circonstances déterminées, ont été nécessaires pour s’assurer que seules les personnes admissibles recevaient une carte Loblaw et pour prévenir les demandes frauduleuses de cartes multiples.
34. Nous notons également que Loblaw a obtenu le consentement explicite des personnes inscrites pour la collecte de leur nom et leur adresse aux fins de la vérification de leur admissibilité et de la gestion des cas de fraude, conformément au principe 4.3.
35. Toutefois, nous sommes d’avis que Loblaw recueillait, du moins au début, plus de renseignements qu’il n’était nécessaire pour atteindre ces objectifs en demandant des copies complètes du document d’identification, alors qu’elle n’avait besoin que d’une preuve du nom et de l’adresse et aurait accepté des copies censurées. Étant donné que Loblaw a par la suite réglé cette question en prenant d’autres mesures pour clarifier la portée de sa collecte de documents d’identification, nous concluons que cet aspect de la plainte, en ce qui concerne le principe 4.4 de la Loi, est fondé et résolu.

Circulation transfrontalière des données

36. Le fait que Loblaw a retenu les services d’un administrateur des demandes tiers aux États-Unis pour gérer le programme de cartes Loblaw en son nom a aussi suscité des préoccupations chez le plaignant. Par conséquent, le Commissariat s’est penché sur la question du transfert de renseignements personnels par Loblaw à l’administrateur des demandes aux fins de leur traitement.
37. Notre analyse de cette question s’inspire des Lignes directrices sur le transfert transfrontalier de renseignements personnels^{Note de bas de page 2} du Commissariat (les « Lignes directrices »). Plus précisément, nous avons examiné si : i) Loblaw a veillé à ce qu’un niveau de protection comparable soit assuré pendant le traitement des renseignements personnels par l’administrateur des demandes; ii) Loblaw était tenue d’obtenir un consentement supplémentaire pour le transfert de renseignements personnels aux fins de traitement; et iii) Loblaw a fait preuve de suffisamment de transparence en ce qui concerne le transfert de données à des fournisseurs tiers.

Responsabilité

38. Les Lignes directrices précisent que « les organisations sont tenues de protéger les renseignements personnels qui se trouvent entre les mains des tiers qui les traitent » et que « le moyen principal d’assurer cette protection est par voie contractuelle. »
39. Au cours de notre enquête, Loblaw a informé le Commissariat qu’elle avait conclu un contrat avec l’administrateur des demandes, JND Legal Administration (« JND »). JND est une organisation qui fournit des services de gestion juridiques et administratifs qui, selon Loblaw, possède une grande expertise dans la gestion de programmes comme celui en question. Loblaw a fourni des copies de l’addenda de sécurité à son contrat avec JND.
40. Le Commissariat a confirmé que le contrat limitait l’utilisation des renseignements personnels par JND à ceux associés à l’administration du programme de cartes Loblaw.
41. Le contrat prévoyait également des garanties de confidentialité et de sécurité des renseignements personnels, et comprenait une liste d’exigences particulières en matière de protection, notamment : i) mettre en œuvre des mesures de protection contre le piratage de ses systèmes, réseaux et fichiers de données; ii) chiffrement des renseignements personnels lors de leur transmission et lorsqu’ils sont stockés; iii) maintenir des garanties techniques grâce à des correctifs, etc.; iv) consigner les accès aux systèmes ainsi que les alertes aux fins de surveillance; v) limiter l’accès à ceux qui en ont besoin; vi) former et superviser les employés pour assurer le respect des exigences de sécurité; vii) respect des exigences détaillées en matière de réponse aux incidents et de notification; viii) obtenir l’approbation préalable de Loblaw pour tout tiers à qui JND souhaite communiquer des renseignements personnels et obliger JND à mettre en place des protections contractuelles au moins équivalentes à celles prévues par son contrat avec Loblaw; et ix) imposer la surveillance, le contrôle et la vérification par Loblaw des mesures de sécurité en place.
42. Tel qu’indiqué ci-dessus, les documents d’identification supplémentaires demandés par l’administrateur des demandes ont été recueillis grâce à un portail sécurisé (si fait en ligne) ou par la poste, puis vérifiés et ensuite détruits.
43. Nous sommes d’avis que, même si l’information visée était de nature délicate, vu la quantité limitée d’information qui a été communiquée à l’administrateur des demandes ainsi que les fins auxquelles et la durée pendant laquelle elle était utilisée, les exigences contractuelles détaillées de Loblaw étaient suffisantes pour assurer un niveau de protection comparable à celui exigé en vertu de la Loi. Par conséquent, nous sommes d’avis que Loblaw n’a pas enfreint le principe 4.1.3 de l’annexe 1 de la Loi.
44. Loblaw a également confirmé que son contrat avec Blackhawk prévoyait des mesures de protection semblables à celles exigées dans son contrat avec JND. Celles-ci comprenaient l’obligation pour Blackhawk d’assurer des protections contractuelles au moins équivalentes à celles prévues par son propre contrat avec Loblaw lorsqu’elle sous-traite, par exemple avec l’organisation salvadorienne.

Consentement

45. Comme nous l’avons mentionné ci-dessus, nous sommes d’avis que Loblaw n’aurait pas dû recueillir des renseignements sur l’identité de ses clients autres que le nom et l’adresse, qui étaient nécessaires à ses fins. Il s’ensuit que les renseignements supplémentaires, y compris la photo numérique et le numéro de permis de conduire, n’auraient pas dû être transférés aux fins du traitement.
46. En ce qui concerne le nom et l’adresse, les Lignes directrices prévoient que « si les renseignements sont utilisés aux fins auxquelles ils ont été recueillis, aucun consentement supplémentaire n’est requis pour procéder au transfert. ».
47. Dans ce cas, Loblaw a obtenu, au moyen d’un avis bien en vue dans le courriel qu’elle a envoyé aux personnes inscrites pour leur demander leur document d’identification, leur consentement explicite pour la collecte et l’utilisation de ces renseignements dans le seul but de vérifier leur admissibilité au programme.
48. En fin de compte, les raisons pour lesquelles le nom et l’adresse ont été transférés aux fins de traitement étaient conformes à celles pour lesquelles le consentement avait été obtenu à l’origine, de sorte qu’un consentement supplémentaire n’était pas nécessaire pour le transfert.

Transparence

49. Enfin, les Lignes directrices prévoient que « les organisations doivent faire preuve de transparence au sujet de leurs pratiques de traitement des renseignements personnels, » notamment en informant les consommateurs que leurs renseignements personnels pourraient être envoyés dans un autre pays aux fins de traitement, et que les tribunaux, organismes d’application de la loi et agences de sécurité nationale de ce pays pourraient y accéder pendant que les renseignements s’y trouvent.
50. À notre avis, d’après l’information fournie par Loblaw dans sa Politique de confidentialité associée au programme, telle qu’elle est décrite de façon détaillée au paragraphe 18 du présent rapport, Loblaw a fait preuve d’une transparence suffisante concernant ses transferts transfrontaliers, conformément au principe 4.8.

Conclusion

51. Par conséquent, nous concluons que la plainte est fondée et résolue pour le principe 4.4 et non fondée pour les principes 4.1.3 et 4.8.