Un site d’évaluation des professionnels de la santé cesse de facturer le retrait des avis, une « zone interdite » de la LPRPDE

Conclusions en vertu de la LPRPDE 2020-002

Le 30 juin 2020

---

Plainte déposée en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (la LPRPDE ou la Loi)

Description

Une plaignante accuse l’exploitant de RateMDs.com (RateMDs), un site Web permettant aux utilisateurs d’évaluer et de commenter le travail des professionnels de la santé, de divulguer ses renseignements personnels sur son site à des fins lucratives sans son consentement, contrevenant ainsi au principe 4.3 de l’annexe 1 de la LPRPDE.

Aperçu

Le présent rapport de conclusions porte sur une plainte déposée par une dentiste qui pratique en Colombie-Britannique contre l’exploitant du site Web RateMDs.com (« RateMDs »). La plaignante soutient que RateMDs utilise ses renseignements personnels sans son consentement en affichant son nom et en permettant à des utilisateurs anonymes de publier des avis et des classements au sujet de sa pratique de dentiste. RateMDs refuse de retirer les renseignements concernant la plaignante de son site Web, citant l’intérêt pour les patients d’évaluer les professionnels de la santé et de lire les avis déjà publiés.

Les renseignements personnels de la plaignante qui sont publiés dans le site Web de RateMDs se classent en deux catégories : ses coordonnées d’affaires (nom et certaines coordonnées de son cabinet) et les avis et les classements que les utilisateurs de RateMDs ont publiés à son sujet.

En ce qui concerne les coordonnées d’affaires de la plaignante, elles ne sont pas exemptées de l’application de la Loi puisqu’elles ne sont pas utilisées uniquement pour faciliter la communication avec la plaignante relativement à sa profession. Toutefois, le Commissariat à la protection de la vie privée du Canda (le Commissariat) est convaincu qu’il s’agit de renseignements auxquels le public a accès au sens du Règlement en application de la Loi et qu’ils peuvent donc être recueillis, utilisés et communiqués par RateMDs sans consentement.

En ce qui concerne les avis et les classements publiés au sujet de la plaignante, ils représentent les renseignements personnels aussi bien de la plaignante que des personnes qui les ont publiés. C’est une caractéristique de nombreux sites d’avis proposés sur Internet pour les biens et services. Le Commissariat formule plusieurs conclusions énoncées ci-après, mais elles restent imparfaites, car la Loi est mal adaptée pour réglementer ces types de services qui opposent les droits à la vie privée de certaines personnes aux intérêts d’autres personnes. Le Commissariat souligne que ses conclusions ne s’appliqueraient pas de la même façon aux sites qui évaluent les services d’entreprises, dans la mesure où ces sites ne publient pas de renseignements personnels.

En ce qui concerne le consentement, comme les avis et les classements au sujet de la plaignante représentent les renseignements personnels aussi bien de la plaignante que des personnes qui les ont publiés, la Loi semble exiger le consentement des deux parties pour autoriser RateMDs à publier ces avis et classements. Cependant, lorsque les intérêts d’individus sont en conflit, cela sera rarement possible.

La jurisprudence de la Cour fédérale établit que, dans ces circonstances, la Loi exige une pondération des intérêts, ce qui suppose la prise en compte des intérêts des deux personnes, de même que l’intérêt public. Dans le présent cas, donner effet à l’absence de consentement de la plaignante signifierait que les intérêts des patients qui consentent à la publication de leur opinion sur la plaignante ne seraient pas respectés. Le Commissariat conclut également qu’il est dans l’intérêt public de publier les avis qui servent le public en éclairant ses décisions de retenir ou non les services de certains professionnels de la santé.

Toutefois, la plaignante a également une attente raisonnable en matière de vie privée dans les circonstances, y compris un intérêt à protéger sa réputation et sa capacité à gagner sa vie. Si les avis à son sujet contenaient des renseignements inexacts ou incomplets à son égard, ils violeraient la protection de ses intérêts. Selon le Commissariat, cela signifie que les exploitants de RateMDs devraient fournir à la plaignante et aux autres professionnels de la santé un processus équitable et accessible sur le site pour contester l’exactitude et l’intégralité des renseignements publiés à leur sujet.

Dans ce contexte, une difficulté particulière vient du fait que les avis publiés par des patients sont publiés sous le couvert de l’anonymat. Cela peut rendre difficile, voire parfois impossible, de contester l’exactitude de l’information. Dans l’affaire Canada (Commissaire à l’information) c. Canada (Ministre de la Citoyenneté et de l’Immigration), la Cour d’appel fédérale a conclu que l’intérêt de la personne exprimant des opinions au sujet d’une autre de cacher son identité était minime, alors que l’intérêt personnel de la personne faisant l’objet des avis ainsi que l’intérêt public sur le plan de l’équité étaient importants.

Le Commissariat convient que cela peut également s’avérer dans le contexte des avis publiés dans RateMDs, mais il convient de noter que le paragraphe 9(1) de la Loi prévoit que « l’organisation ne peut communiquer de renseignements à l’intéressé dans le cas où cette communication révélerait vraisemblablement un renseignement personnel sur un tiers ». Même si l’équité et la protection de la réputation d’un professionnel de la santé peuvent exiger que l’identité des patients qui publient des avis négatifs leur soit communiquée, la Loi interdit d’une manière générale cette communication. Par conséquent, le Commissariat souligne que l’application de la loi telle qu’elle est promulguée peut donner lieu à un processus inéquitable.

En fin de compte, le Commissariat prend en compte les observations de RateMDs selon lesquelles un processus a été mis en place pour examiner et supprimer les renseignements inexacts. Toutefois, étant donné que la question de l’exactitude n’a pas été soulevée dans cette affaire et, en l’absence de preuve de la part de la plaignante concernant l’exactitude des renseignements publiés à son sujet, le Commissariat ne s’exprime pas plus longuement sur l’équité du processus.

Quoi qu’il en soit, RateMDs n’a pas bien expliqué le processus par lequel les professionnels de la santé peuvent contester l’exactitude ou l’intégralité des renseignements les concernant qui sont publiés sur le site, ce qui contrevient au principe de la transparence. RateMDs a accepté de modifier les conditions d’utilisation ainsi que la FAQ du site afin de résoudre ce problème. La modification a été apportée à la satisfaction du Commissariat.

Le Commissariat avait également de sérieuses réserves au sujet de la pratique de RateMDs qui consistait à exiger des frais d’abonnement, en partie pour pouvoir masquer certains avis. Cette pratique était manifestement inappropriée puisque RateMDs facturait pour le retrait de renseignements personnels dont la publication avait été rendue possible au départ par RateMDs. Cette pratique de « paiement pour retrait » représentait une « zone interdite » identifiée dans les directives du Commissariat sur les pratiques inacceptables et contrevenait ainsi au paragraphe 5(3) de la Loi. RateMDs a accepté de cesser d’offrir cette fonctionnalité.

Par conséquent, le Commissariat a conclu que cette plainte est non fondée en ce qui concerne le consentement en vertu des dispositions actuelles de la Loi qui sont, à son avis, inadéquates, mais qu’elle est fondée et résolue en ce qui a trait à la transparence et qu’elle est fondée et conditionnellement résolue relativement aux fins acceptables

Le Commissariat demeure préoccupé par les défis liés à la possibilité de publier des renseignements inexacts sur le site Web de RateMDs, et il encourage fortement RateMDs à étudier et à mettre en place d’autres mécanismes pour s’assurer que les renseignements figurant sur les pages Web des professionnels de la santé sont exacts.

Plainte

1. La plaignante, dentiste exerçant en Colombie-Britannique, affirme que RateMDs Inc. (« RateMDs ») a publié des renseignements personnels la concernant sur son site Web, à des fins lucratives et sans son consentement, contrevenant ainsi au principe 4.3 de l’annexe 1 de la Loi.
2. Au cours de l’enquête, le Commissariat a aussi examiné si RateMDs se conformait à ses obligations en ce qui concerne :
   1. la collecte, l’utilisation et la communication de renseignements personnels à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances;
   2. l’explication de la façon dont un professionnel de la santé peut corriger ses renseignements personnels afin qu’ils soient aussi exacts, complets et à jour que l’exigent les fins auxquelles ils sont destinés.

Contexte

Détails de la plainte

3. La plaignante a découvert qu’un profil à son sujet avait été créé sur le site Web www.ratemds.com (le « site Web »). L’exploitant de RateMDs exerce ses activités aux États-Unis et exploite le site Web dans lequel sont affichés les avis et les classements au sujet de professionnels de la santé, dont des Canadiens, publiés par les utilisateurs du site Web.
4. La page du site Web consacrée à la plaignante contient son nom, son domaine d’exercice, le nom et l’adresse de sa clinique ainsi que plusieurs avis et classements publiés sous le couvert de l’anonymat, tant positifs que négatifs, concernant sa pratique.
5. Les avis au sujet de la plaignante qui sont publiés dans le site Web contiennent non seulement des commentaires sur les affaires de la plaignante (p. ex. l’état de son cabinet) et son personnel, mais aussi des opinions sur sa personnalité et sur les expériences vécues par ses patients auprès d’elle.
6. La plaignante a communiqué avec RateMDs au moyen de l’adresse électronique des services de soutien pour demander que son nom soit retiré du site Web, expliquant qu’elle n’avait pas donné son consentement « à l’utilisation de son nom aux fins » [traduction] de sa publication sur le site Web. RateMDs a répondu en disant que son compte demeurerait sur le site Web, car les patients « ont intérêt à évaluer les médecins et à lire des avis déjà publiés à propos de ce médecin » [traduction].
7. La plaignante a ensuite déposé une plainte auprès du Commissariat, alléguant que RateMDs n’avait pas obtenu son consentement avant d’utiliser son nom sur son site Web. De plus, elle a affirmé que RateMDs utilisait ses renseignements personnels à des « fins lucratives ». Elle demande que RateMDs retire « définitivement » [traduction] son nom de son site Web.

RateMDs.com

8. RateMDs a décrit l’objectif principal de son site Web comme étant « entre autres choses, un site Web d’évaluation de professionnels de la santé destiné à permettre aux patients de classer et d’évaluer les professionnels de la santé auxquels ils font appel afin que d’autres patients puissent prendre des décisions plus éclairées au sujet de leurs soins de santé. […] Il s’agit d’un forum […] visant à faciliter la prise de décisions au sujet des options qui se présentent en matière de fournisseurs de soins de santé » [traduction].
9. RateMDs a déclaré que son site Web permet aux utilisateurs de créer des profils pour les professionnels de la santé. Ils peuvent créer un profil en remplissant quatre champs obligatoires, soit le nom du professionnel de la santé, son sexe, sa spécialité et sa pratique principale. Ils peuvent également inclure les coordonnées du professionnel de la santé, comme son adresse et son numéro de téléphone d’affaires.
10. Selon RateMDs, les renseignements ci-dessus sont généralement déjà accessibles au public par l’entremise des ordres professionnels dans le secteur de la santé. Dans le cas de la plaignante, le College of Dental Surgeons of British Columbia (CDSBC) est chargé de réglementer la pratique de la dentisterie en Colombie-Britannique et fournit publiquement le nom d’un dentiste et ses coordonnées d’affaires, y compris ceux de la plaignante, au moyen d’un registre en ligne afin que les patients puissent communiquer avec des dentistes de même que vérifier leurs antécédents et leur statut professionnel^{Note de bas de page 1}.
11. Le Commissariat a aussi pris connaissance d’autres sources qui ont publié le nom de la plaignante et/ou ses coordonnées d’affaires en tant que dentiste, y compris le site Web de son cabinet dentaire, les pages jaunes^{Note de bas de page 2} et les répertoires en ligne de dentistes^{Note de bas de page 3}.
12. RateMDs a précisé qu’un professionnel de la santé peut demander l’établissement gratuit d’un profil public 24 heures sur 24. Après la vérification de ses antécédents par RateMDs, le professionnel de la santé peut y ajouter des renseignements supplémentaires indiquant, par exemple, s’il prend en charge de nouveaux patients, sa biographie, les langues parlées, etc.
13. Une fois qu’un profil a été créé, les patients peuvent y publier les expériences personnelles qu’ils ont vécues auprès du professionnel de la santé. RateMDs permet aux utilisateurs de publier des avis au sujet de leurs expériences auprès de professionnels de la santé et de les évaluer, sur une échelle de 1 à 5, en fonction de divers critères comme le personnel, la ponctualité, l’amabilité et les connaissances. Selon RateMDs, les avis et les classements ont pour but d’aider les gens à trouver un professionnel de la santé dans leur région.
14. Les avis et les classements sont publiés anonymement dans le site Web. Bien que RateMDs ne recueille pas le nom ou les coordonnées des utilisateurs qui publient des avis, il enregistre l’adresse IP et l’agent utilisateur^{Note de bas de page 4} de l’appareil à partir duquel un avis a été publié, et ce, pour tous les avis publiés dans le site Web. Selon RateMDs, cette information est stockée afin de faire respecter certaines conditions d’utilisation (p. ex. la prévention de la publicité déguisée ou de faux témoignages^{Note de bas de page 5}). Cette information est aussi stockée pour permettre à RateMDs de fournir des renseignements dans le cadre d’assignations, s’il y a lieu.
15. RateMDs a insisté sur le fait que son site Web n’est pas destiné à être utilisé par des patients pour publier des renseignements qui n’ont rien à voir avec le travail d’un professionnel de la santé. RateMDs a ajouté que si de tels renseignements personnels sont portés à son attention, ils sont supprimés rapidement (p. ex. si le numéro de téléphone à la maison d’un médecin est inclus dans une publication).

Modifier/supprimer des renseignements figurant dans le site Web de RateMDs

16. RateMDs a indiqué que les coordonnées d’affaires peuvent être supprimées ou modifiées si la preuve est fournie qu’un professionnel de la santé est décédé ou que les renseignements sont inexacts. Dans le cas de renseignements inexacts, un professionnel de la santé peut utiliser son profil pour corriger toute inexactitude trouvée dans ses coordonnées d’affaires. Les professionnels de la santé qui ont demandé l’établissement d’un profil peuvent également ajouter une réponse à tout avis publié.
17. RateMDs propose trois façons de faire retirer des renseignements de son site Web : 1. en envoyant un courriel à l’équipe de soutien de RateMDs, 2. en signalant un avis à RateMDs au moyen d’une icône qui apparaît à côté de l’avis en question et 3. en communiquant avec un chargé de compte, qui prend les dispositions nécessaires pour que l’avis soit examiné par l’équipe de soutien de RateMDs. La troisième option, qui peut accélérer l’examen, n’est offerte qu’aux utilisateurs qui achètent les services d’abonnement payant du site Web.
18. RateMDs a expliqué comment un professionnel de la santé peut « signaler » un avis en cliquant sur l’icône de drapeau qui figure à côté d’un avis à cette fin. Une fenêtre s’affiche pour demander à l’utilisateur d’expliquer pourquoi l’avis devrait être supprimé. Une fois qu’un avis est signalé, le personnel de RateMDs examine la question et retire tout avis jugé « inapproprié ». Cela comprend des accusations d’activités illégales, des injures ou des propos vulgaires, des violations de la vie privée, des pourriels ou des détails qui ne sont pas pertinents ou liés à la visite d’un patient.
19. RateMDs a affirmé que des efforts sont déployés pour traiter les avis signalés dans les trois jours ouvrables et les plaintes par courriel dans les cinq jours ouvrables. RateMDs mentionne que de nombreuses demandes sont traitées le jour même. Bien que la suppression d’un avis soit relativement simple, il peut falloir plus de temps pour déterminer si un avis mérite d’être retiré, surtout s’il faut obtenir des conseils juridiques.
20. RateMDs a fait remarquer, en outre, que le processus de contrôle des avis est essentiellement géré « au cas par cas » [traduction]. RateMDs enquête sur les incohérences évidentes entre le profil d’un professionnel de la santé et les résultats d’un contrôle effectué après la réception de renseignements ou d’éléments de preuve pertinents de la part d’un utilisateur qui signale un avis. Un avis pourrait être modifié ou supprimé si, par exemple, il fait référence à une professionnelle de la santé sur la page de profil d’un professionnel de sexe masculin. Dans un tel cas, l’équipe de modérateurs peut consulter des renseignements mis à la disposition du public par des organismes de réglementation ou des ordres professionnels si l’avis signalé contient des renseignements erronés.
21. RateMDs a affirmé qu’aucun classement ou avis ne saurait être retiré uniquement sur la foi d’une plainte d’un professionnel de la santé (ou un autre utilisateur) voulant que – à ses yeux – un classement ou un avis soit injuste.
22. De plus, RateMDs affirme que les renseignements personnels d’un professionnel de la santé qui ne sont pas des coordonnées d’affaires ou qui ne sont pas pertinents aux fins du site peuvent être supprimés, mais que les utilisateurs qui publient des avis exercent leur droit de partager leurs expériences personnelles et leurs opinions dans le site Web afin d’aider d’autres patients éventuels. RateMDs a affirmé que le retrait des avis publiés par un utilisateur porterait atteinte à sa liberté d’expression et à son droit de regard en ce qui concerne ses renseignements personnels.

Génération de revenus – « Ratings Manager »

23. RateMDs explique que des revenus sont générés grâce à des publicités affichées sur son site Web et aux abonnements payés par les professionnels de la santé.
24. Dans ce dernier cas, lorsqu’un professionnel de la santé s’inscrit au site Web pour demander l’établissement gratuit de son profil, la possibilité de souscrire à un abonnement payant lui est offerte. Différentes formules d’abonnement sont proposées, donnant accès à différentes fonctionnalités du site Web. La figure 1 ci-dessous illustre les formules d’abonnement qu’offrait RateMDs au moment de l’enquête du Commissariat. Parmi les fonctionnalités proposées, mentionnons la notification par courriel de la publication de nouveaux avis ainsi que la possibilité d’afficher sa bannière publicitaire sur le site Web et de supprimer la bannière d’un concurrent de sa page de profil.

Version textuelle de la figure 1

[Ce texte est une traduction libre du Commissariat]

Plus populaires

Gratuit – 0 $ par mois

• Sceau de vérification
• Badges
• Contrôle du profil
• Réponse aux avis
  • Mobilisez vos patients en répondant aux avis

Démarquez-vous en étant un médecin vérifié

Promotion – Pour un temps limité – 119 $ par mois

• Sceau de vérification
• Badges
• Contrôle du profil
• Réponse aux avis
  • Mobilisez vos patients en répondant aux avis
• Galerie de photos
  • Mettez en valeur votre clinique en publiant jusqu’à 10 images
• Suivi des avis
  • Recevez des notifications par courriel lorsque de nouveaux avis sont publiés
• Gestion des avis
  • Cachez jusqu’à trois avis que vous jugez suspects
  • Mettez un avis en vedette
• Gestion des rendez-vous
  • Recevez et gérez des demandes de rendez-vous de nouveaux patients
• Retrait de bannières
  • Retirez les bannières de compétiteurs de votre profil
• Bannières et publicités
  • Votre bannière dans les profils de vos compétiteurs
  • Ville principale
  • Spécialité principale
  • Une ville supplémentaire

Soyez vu par des milliers de patients de plus

Promotion Plus – Pour un temps limité – 239 $ par mois

• Sceau de vérification
• Badges
• Contrôle du profil
• Réponse aux avis
  • Mobilisez vos patients en répondant aux avis
• Galerie de photos
  • Mettez en valeur votre clinique en publiant jusqu’à 10 images
• Suivi des avis
  • Recevez des notifications par courriel lorsque de nouveaux avis sont publiés
• Gestion des évaluations
  • Cachez jusqu’à trois avis que vous jugez suspects
  • Mettez un avis en vedette
• Gestion des rendez-vous
  • Recevez et gérez des demandes de rendez-vous de nouveaux patients
• Retrait de bannières
  • Retirez les bannières de compétiteurs de votre profil
• Bannières et publicités
  • Votre bannière dans les profils de vos compétiteurs
  • Ville principale
  • Spécialité principale
  • Deux villes supplémentaires
  • Une spécialité supplémentaire
  • Achat de villes et de spécialités supplémentaires

Trois fois plus de visibilité que le plan Promotion

---

25. Le « Ratings Manager » fait partie des fonctionnalités offertes dans les forfaits d’abonnement proposés (comme l’indique la flèche que nous avons ajoutée à la figure 1 ci-dessus). Le « Ratings Manager » permettait à un abonné de choisir un avis à mettre en vedette dans le haut de la page de son profil. De plus, un abonné pouvait masquer jusqu’à trois avis et classements jugés suspects dans sa page de profil. Bien que les avis eux-mêmes aient été masqués, les classements numériques qui les accompagnaient étaient pris en compte dans le classement total figurant sur la page de profil de l’utilisateur.
26. RateMDs a fait remarquer que ces retraits étaient facturés puisque RateMDs est une entité à but lucratif qui génère des revenus en partie grâce aux abonnements payés. RateMDs a aussi fait remarquer que, puisque tous les classements numériques attribués par les contributeurs continuaient d’être pris en compte dans le calcul du classement global du professionnel de la santé, le fait de permettre de masquer jusqu’à trois avis :

    « établit un équilibre entre l’objectif de RateMDs, à savoir de permettre aux patients de prendre des décisions éclairées concernant leurs soins de santé, tout en offrant aux professionnels de la santé la possibilité de faire suite à des avis qui ne décrivent pas avec exactitude l’expérience réelle d’un patient » [traduction].

27. RateMDs a fait remarquer que, lorsqu’un professionnel de la santé mettait fin à son abonnement au « Ratings Manager », les avis qui avaient été masqués réapparaissaient sur sa page de profil. RateMDs justifiait cette pratique par le fait que les frais d’abonnement reflètent, en partie, les coûts de gestion de ces abonnements, y compris les coûts qui étaient associés au masquage de certains avis dans un profil d’utilisateur (p. ex. le temps des employés et les ressources technologiques). Ainsi, lorsqu’un professionnel de la santé se désabonnait du « Ratings Manager », il ne recevait plus les avantages associés à cet abonnement.
28. RateMDs a affirmé que cette fonctionnalité du « Ratings Manager » n’équivalait pas à supprimer les renseignements personnels d’un professionnel de la santé en échange d’un paiement.

Question 1: Consentement relatif aux renseignements personnels

29. Dans cette plainte, il faut tenir compte de deux types de renseignements qui se trouvent dans le profil de la plaignante sur le site Web, soit ses coordonnées d’affaires et les avis publiés par des utilisateurs de RateMDs au sujet de leur expérience avec son travail de dentiste.

Coordonnées d’affaires – consentement

30. Les coordonnées d’affaires de la plaignante, y compris son nom et son domaine de spécialisation, constituent de toute évidence des renseignements personnels au sens de la Loi^{Note de bas de page 6}. Bien que ces renseignements soient publiés initialement par les utilisateurs du site Web, le Commissariat est convaincu que RateMDs les recueille, les utilise et les communique au sens de la Loi en les hébergeant et en les publiant dans son site Web à ses propres fins. À cet égard, nous constatons que RateMDs exerce un contrôle sur le profil d’un professionnel de la santé dans le site Web et modifie ou supprime des renseignements qu’il contient dans certaines circonstances, comme il est décrit ci-dessus.
31. Le principe 4.3 de l’annexe 1 de la Loi prévoit que « toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir ».
32. Toutefois, RateMDs prétend que son utilisation des coordonnées d’affaires de la plaignante est exemptée de l’application de la Loi conformément à l’article 4.01.
33. RateMDs affirme que, subsidiairement, elle n’a pas besoin de consentement pour recueillir, utiliser et communiquer les renseignements conformément aux alinéas 7(1)d), 7(2)c.1) et 7(3)h.1) de la Loi^{Note de bas de page 7}. À cet égard, elle prétend que les coordonnées d’affaires figurant dans son site Web sont accessibles au public puisqu’ils sont déjà rendus disponibles par l’ordre professionnel dont sont membres les professionnels de la santé.

Exemption relative aux coordonnées d’affaires

34. L’article 4.01 de la Loi prévoit que la partie 1 de la Loi ne s’applique pas aux « coordonnées d’affaires » qu’une organisation recueille, utilise ou communique « uniquement pour entrer en contact – ou pour faciliter la prise de contact avec [l’individu] dans le cadre de son emploi, de son entreprise ou de sa profession » [non souligné dans la Loi].
35. Le paragraphe 2(1) de la Loi définit les « coordonnées d’affaires » comme « tout renseignement permettant d’entrer en contact – ou de faciliter la prise de contact avec un individu dans le cadre de son emploi, de son entreprise ou de sa profession, tel que son nom, son poste ou son titre, l’adresse ou les numéros de téléphone ou de télécopieur de son lieu de travail ou son adresse électronique au travail ».
36. Les coordonnées d’affaires qui figurent dans la page de profil de la plaignante (p. ex. son nom ainsi que son numéro de téléphone et son adresse d’affaires) correspondent à cette définition.
37. Cependant, on ne peut pas dire que RateMDs recueille, utilise et communique ces renseignements « uniquement » dans le but de faciliter la communication avec la plaignante relativement à sa profession. RateMDs utilise les coordonnées d’affaires pour établir un profil d’un professionnel de la santé qui permet aux utilisateurs de publier des avis et des classements à son sujet. L’objectif déclaré de ces profils est de permettre aux patients potentiels de prendre des « décisions éclairées » au sujet des professionnels de la santé à consulter, et pas de simplement faciliter la communication avec eux. En fait, un résultat possible de la consultation d’un profil de RateMDs est qu’une personne choisisse de ne pas communiquer avec un professionnel de la santé en raison des avis et des classements qui y sont publiés.
38. La collecte, l’utilisation et la communication des coordonnées d’affaires de la plaignante par RateMDs ne sont donc pas exemptées de la Loi en vertu de l’article 4.01 dans les circonstances.

Information accessible au public

39. Néanmoins, le Commissariat est d’avis que les coordonnées d’affaires de la plaignante qui figurent dans le site Web de RateMDs sont accessibles au public au sens du Règlement précisant les renseignements personnels auxquels le public a accès (le Règlement). Par conséquent, RateMDs n’a pas à obtenir le consentement de la plaignante pour recueillir, utiliser et communiquer ses coordonnées d’affaires conformément aux alinéas 7(1)d), 7(2)c.1) et 7(3)h.1) de la Loi.
40. Ces dispositions prévoient qu’une organisation peut recueillir, utiliser et communiquer des renseignements personnels à l’insu d’un individu ou sans son consentement s’il s’agit d’un renseignement réglementaire auquel le public a accès.
41. Le paragraphe 1a) du Règlement précise que les renseignements personnels accessibles au public sont le nom, l’adresse et le numéro de téléphone qui figurent dans un annuaire téléphonique accessible au public, pour lesquels l’abonné peut refuser que ces renseignements y figurent.
42. Les paragraphes 1b) et 1c) du Règlement précisent que les renseignements personnels accessibles au public sont les renseignements personnels, y compris le nom, le titre, l’adresse et le numéro de téléphone, qui figurent dans un répertoire, listage ou avis à caractère professionnel ou d’affaires qui est accessible au public, ou des renseignements personnels figurant dans un registre qui sont recueillis aux termes d’une autorisation et qui est accessible au public. La collecte, l’utilisation et la communication de ces renseignements doivent être directement liées à la raison pour laquelle ils figurent dans le répertoire, listage, l’avis ou le registre.
43. Dans le cas de la plaignante, son nom, son domaine de spécialité et ses coordonnées d’affaires, qui figurent dans son profil dans le site Web de RateMDs, sont accessibles au public par l’intermédiaire de plusieurs autres sources, notamment (i) le registre du CDSBC, que le CDSBC est tenu par la loi de tenir à jour et auquel il existe un droit d’accès public^{Note de bas de page 8}, (ii) les pages jaunes et (iii) les répertoires en ligne de professionnels ou d’entreprises. Le Commissariat remarque, par ailleurs, que l’objectif de rendre ces renseignements accessibles dans le site Web de RateMDs est, du moins en partie, pour permettre aux personnes de les trouver et de communiquer avec la plaignante si elles le souhaitent.
44. Par conséquent, nous sommes convaincus que les coordonnées d’affaires de la plaignante, y compris son nom en lien avec sa profession, sont accessibles au public au sens des paragraphes 1a), 1b) et 1c) du Règlement. La collecte, l’utilisation et la communication de ces renseignements dans des répertoires professionnels et dans le registre du CDSBC sont directement liées aux fins de publication. Par conséquent, RateMDs n’a pas besoin de consentement pour la collecte, l’utilisation ou la communication des renseignements. Il s’ensuit que RateMDs n’a pas, de l’avis du Commissariat, à se conformer à la demande de la plaignante de retirer ces renseignements de son site Web.

Classements et avis – consentement

45. Tout d’abord, bien que les avis et les classements soient « générés par les utilisateurs », RateMDs les recueille, les utilise et les communique dans le but d’offrir son service de classement qui génère des revenus de publicité et d’abonnement. Le Commissariat est donc d’avis que RateMDs est également responsable des renseignements personnels contenus dans les avis et les classements en vertu de la Loi.
46. Il convient maintenant de déterminer si les classements et les avis qui figurent dans le profil de la plaignante constituent des renseignements personnels et, le cas échéant, si elle peut s’opposer au fait qu’ils soient publiés sans son consentement.
47. Le paragraphe 2(1) de la Loi définit de façon générale « renseignements personnels » comme « tout renseignement concernant un individu identifiable ». Le Commissariat a conclu antérieurement que les renseignements personnels comprennent les opinions et les points de vue exprimés par d’autres au sujet d’une personne^{Note de bas de page 9}.
48. Le Commissariat a aussi conclu que la définition de « renseignements personnels » donnée par la Loi est suffisamment large pour inclure des renseignements sur une personne relativement à son emploi ou à sa profession. Le Bulletin d’interprétation du Commissariat sur les « renseignements personnels » fournit plusieurs exemples de cas où le Commissariat a conclu que les renseignements relatifs au rendement d’un employé ou d’une personne par rapport à son entreprise constituent des renseignements personnels^{Note de bas de page 10}. Même dans les cas où les renseignements semblent concerner une entreprise, le Commissariat a déclaré que « les renseignements personnels d’une personne peuvent être liés de façon si intrinsèque à des renseignements concernant son entreprise (p. ex. le propriétaire ou l’exploitant d’une petite entreprise) que ces derniers peuvent constituer des renseignements personnels de la personne en question^{Note de bas de page 11} ».
49. La publication d’avis est une caractéristique de nombreux sites d’évaluation proposés sur Internet pour les biens et services. Dans le présent cas, les avis et les classements qui sont publiés par des utilisateurs dans la page de profil d’un professionnel de la santé contiennent souvent des renseignements qui reflètent son caractère ou sa compétence professionnelle. Dans le cas de la plaignante, les commentaires relatifs à sa personnalité ou à sa conduite sont directement liés à sa réputation, à son caractère et à sa compétence dans sa profession. Le Commissariat est donc convaincu que les avis et les classements publiés constituent des renseignements personnels de la plaignante.
50. Toutefois, la question se complique dans cette affaire du fait que les avis et les classements relatifs à la plaignante ont été publiés par d’autres personnes. Dans le bulletin d’interprétation sur les « renseignements personnels », le Commissariat fait remarquer que « les mêmes renseignements peuvent être personnels pour plusieurs personnes, lorsque, par exemple, ils renferment les opinions d’une personne au sujet d’une autre, ou que le même renseignement révèle quelque chose à propos de deux individus identifiables^{Note de bas de page 12} ».
51. Selon le Commissariat, les avis et les classements relatifs à la plaignante constituent également des renseignements personnels des utilisateurs qui les ont publiés dans sa page de profil, en ce sens que ces avis reflètent les points de vue et les opinions des utilisateurs à l’égard de la plaignante et de l’expérience qu’ils ont vécue auprès d’elle.
52. Le Commissariat formule plusieurs conclusions ci-dessous selon son interprétation de la Loi. Toutefois, il reconnaît que la Loi se prête mal à la réglementation de ces types de services, qui opposent les droits à la vie privée de certaines personnes aux droits et aux intérêts d’autres personnes. Le Commissariat fait également remarquer que ses conclusions ne s’appliqueraient pas de la même manière à des sites qui évaluent les services d’entreprises, dans la mesure où ces sites ne présentent pas de renseignements personnels.
53. Étant donné que les avis et les classements relatifs à la plaignante comportent les renseignements personnels aussi bien de la plaignante que des personnes qui les ont publiés, le principe 4.3 de la Loi semble exiger le consentement des deux parties pour autoriser RateMDs à les publier. Toutefois, lorsque les intérêts des personnes sont en conflit, cela sera rarement possible.
54. RateMDs explique avoir obtenu un consentement pour la collecte, l’utilisation et la communication d’un avis ou d’un classement de l’utilisateur qui l’a téléchargé sur la page de profil de la plaignante. Toutefois, la plaignante n’a pas donné son consentement pour les avis et les classements qui ont été publiés à son sujet. Par conséquent, il faut déterminer si elle a le droit de demander qu’ils soient retirés, même s’ils ont été publiés avec le consentement des personnes qui en sont les auteurs.
55. À première vue, la Loi n’offre pas de solution toute faite à ce type de conflit. Il faut donc se guider sur l’objet de la Loi, la jurisprudence et la nécessité d’interpréter la Loi en appliquant les « critères de la souplesse, du sens commun et du pragmatisme^{Note de bas de page 13} ».
56. Par le passé, la Cour d’appel fédérale a déclaré, y compris en ce qui concerne la Loi, que lorsque les droits de deux personnes relatifs aux mêmes renseignements personnels sont en conflit, il faut procéder à un exercice de pondération et tenir compte des intérêts des deux personnes ainsi que de l’intérêt public^{Note de bas de page 14}.
57. En adaptant ce cadre à la présente affaire, il faut tenir compte du consentement des patients qui ont décidé de publier leurs expériences personnelles dans le site Web de RateMDs et de la mesure dans laquelle la publication de ces renseignements sert l’intérêt public, ainsi que des intérêts de la plaignante, dont la réputation peut être affectée négativement (ou positivement) par les avis et les classements publiés dans le site Web.
58. En fin de compte, nous sommes d’avis que les classements et les avis, dans la mesure où ils représentent les opinions et les points de vue des patients, servent généralement un intérêt public légitime. Sur le site Web de RateMDs, les commentaires portent sur des professionnels de la santé qui fournissent des services au public. Le fait que ces avis et ces classements sont disponibles sert le public en éclairant ses décisions de consulter ou non certains professionnels de la santé^{Note de bas de page 15}.
59. Donner effet à l’absence de consentement de la plaignante consisterait à faire fi du consentement donné par les utilisateurs pour la publication de leurs avis et les avantages pour le public plus général serait ignorés. Par conséquent, le Commissariat estime que, compte tenu de la pondération des intérêts de la plaignante et de ceux des contributeurs au site Web et du public en général, que cet aspect de la plainte est non fondé.

Question 2 : Exactitude et corrections

60. Bien que le Commissariat ait conclu que la question du consentement n’est pas fondée, la plaignante a toujours une attente raisonnable en matière de vie privée dans ces circonstances, y compris un intérêt à protéger sa réputation et sa capacité de gagner sa vie. Si un avis publié dans le site de RateMDs devait contenir des renseignements inexacts ou incomplets à son sujet, cela pourrait nuire à sa réputation, ce qui violerait la protection de ses intérêts.
61. Dans cette optique, le Commissariat fait remarquer que la Loi exige que RateMDs assure l’exactitude des renseignements sur les professionnels de la santé qui figurent dans son site Web et permette à ces professionnels de la santé de contester et de corriger des renseignements inexacts à leur sujet. Bien que la plaignante n’ait pas allégué que les avis ou les classements à son sujet contiennent des renseignements inexacts, incomplets ou périmés, cette question sera abordée brièvement puisqu’elle pose des défis dans le contexte de la loi actuelle.
62. Le principe 4.6 de l’annexe 1 de la Loi stipule que « les renseignements personnels doivent être aussi exacts, complets et à jour que l’exigent les fins auxquelles ils sont destinés ». Le principe 4.6.1 stipule que « le degré d’exactitude et de mise à jour ainsi que le caractère complet des renseignements personnels dépendront de l’usage auquel ils sont destinés, compte tenu des intérêts de la personne. Les renseignements doivent être suffisamment exacts, complets et à jour pour réduire au minimum la possibilité que des renseignements inappropriés soient utilisés pour prendre une décision à son sujet ».
63. Le principe 4.9.5 soutient que « lorsqu’une personne démontre que des renseignements personnels sont inexacts ou incomplets, l’organisation doit apporter les modifications nécessaires à ces renseignements. Selon la nature des renseignements qui font l’objet de la contestation, l’organisation doit corriger, supprimer ou ajouter des renseignements. S’il y a lieu, l’information modifiée doit être communiquée à des tiers ayant accès à l’information en question. »
64. Le Commissariat estime que ces dispositions obligent RateMDs à fournir à la plaignante et aux autres professionnels de la santé qui ont un profil dans son site Web un processus équitable et accessible pour contester l’exactitude et l’intégralité des renseignements publiés à leur sujet.
65. Une difficulté particulière dans ce contexte réside dans le fait que les avis sont publiés par des patients sous le couvert de l’anonymat. Il peut s’avérer difficile dans certaines circonstances pour un professionnel de la santé de démontrer que les renseignements sont inexacts dans la pratique s’il ne connaît pas l’identité de l’utilisateur qui a fait le commentaire. Cela pourrait rendre difficile, voire impossible, pour un professionnel de la santé de contester l’exactitude de l’information présentée.
66. Dans l’affaire Canada (Commissaire à l’information) c. Canada (Ministre de la Citoyenneté et de l’Immigration)^{Note de bas de page 16}, la Cour d’appel fédérale a conclu que l’intérêt de la personne exprimant des opinions au sujet d’une autre de cacher son identité était minime, alors que l’intérêt personnel de la personne qui fait l’objet des avis ainsi que l’intérêt public dans l’équité étaient importants.
67. Le Commissariat est d’avis que cela pourrait aussi être le cas dans le contexte des avis publiés dans le site Web de RateMDS et qu’un professionnel de la santé peut effectivement avoir raison de vouloir connaître l’identité d’une personne qui a publié un avis à son sujet afin de le corriger ou de le modifier.
68. Toutefois, le Commissariat fait remarquer que le paragraphe 9(1) de la Loi stipule que « l’organisation ne peut communiquer de renseignement à l’intéressé dans le cas où cette communication révélerait vraisemblablement un renseignement personnel sur un tiers ». Par conséquent, même si l’équité et la protection de la réputation d’un professionnel de la santé peuvent exiger que l’identité des utilisateurs qui publient des avis négatifs lui soit communiquée, la Loi interdit généralement cette communication. Par conséquent, le Commissariat fait remarquer que l’application de la Loi telle qu’elle est promulguée peut entraîner un processus inéquitable.
69. RateMDs a fait remarquer que tous les utilisateurs peuvent signaler un avis, qu’ils soient abonnés ou non. Lorsqu’un avis est signalé, RateMDs l’évalue et ceux qui sont jugés inappropriés ou qui contiennent des renseignements inexacts sont retirés. En ce qui concerne les renseignements inexacts, RateMDs a déclaré que les avis sont changés ou modifiés « dès que l’utilisateur fournit des renseignements ou des éléments de preuve pertinents » [traduction]. De plus, les professionnels de la santé qui demandent l’établissement d’un profil peuvent répondre à un avis, y compris contester l’exactitude et l’intégralité des renseignements contenus dans l’avis ou signaler que ces renseignements ne sont pas à jour. Ces options sont gratuites.
70. En l’absence d’éléments de preuve démontrant que la page de profil de la plaignante dans le site Web de RateMDs contient des renseignements inexacts, incomplets ou qui ne sont plus à jour ou que les pratiques de RateMDs constituent un obstacle à la correction de renseignements inexacts conformément à la Loi, le Commissariat ne se prononcera pas davantage sur l’équité de ce processus.

Question 3 : Transparence

71. Cela dit, après avoir examiné le site Web de RateMDs, le Commissariat a conclu que l’explication de ses pratiques par RateMDs manquait de clarté. Le principe 4.8 stipule qu’une « organisation doit faire en sorte que des renseignements précis sur ses politiques et ses pratiques concernant la gestion des renseignements personnels soient facilement accessibles à toute personne ».
72. Bien que RateMDs ait souligné qu’elle modifierait ou supprimerait les « renseignements inappropriés », cela n’est pas suffisant, de l’avis du Commissariat, pour répondre aux exigences de transparence de la Loi, en ce sens que RateMDs n’indique pas clairement aux professionnels de la santé qu’ils peuvent demander une correction ou une modification des renseignements les concernant lorsqu’ils estiment que ces renseignements sont inexacts, incomplets ou ne sont plus à jour.
73. RateMDs a convenu de changer la formulation des conditions d’utilisation et de la FAQ pour remédier au manque de transparence en ce qui a trait à sa politique de retrait et de correction des avis. Les modifications apportées précisent maintenant que les renseignements personnels seront supprimés ou modifiés s’il est démontré qu’ils sont inexacts ou qu’ils ne sont pas à jour, et qu’un professionnel de la santé peut demander l’accès à son profil pour corriger ou mettre à jour des renseignements le concernant ou pour publier une réponse à un avis.
74. Le Commissariat a examiné les communications mises à jour de RateMDs sur la protection de la vie privée et il est maintenant convaincu qu’elles sont suffisamment claires pour répondre aux exigences de la transparence, de sorte que le Commissariat estime que cet aspect de son enquête est fondé et résolu.

Question 4 : Fins acceptables

75. Le paragraphe 5(3) de la Loi stipule qu’une organisation « ne peut recueillir, utiliser ou communiquer des renseignements personnels qu’à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances ».
76. Dans l’application du paragraphe 5(3), il faut généralement chercher à savoir si « 1) la collecte, l’utilisation ou la publication de renseignements personnels étaient dirigées vers un véritable intérêt commercial et 2) si la perte de confidentialité était proportionnelle aux avantages obtenus^{Note de bas de page 17} ».
77. De l’avis du Commissariat, sous réserve de la préoccupation mentionnée ci-dessous, une personne raisonnable ne considérerait généralement pas que la collecte, l’utilisation et la communication de renseignements liés à des avis et à des classements relatifs à des professionnels de la santé par RateMDs comme une fin inappropriée dans les circonstances. Conformément à l’analyse de la question du consentement présentée ci-dessus, les intérêts des patients qui publient sur le site Web et en particulier l’intérêt public des patients éventuels qui pourraient bénéficier de ces avis et classements dans le choix d’un professionnel de la santé laissent entendre que les objectifs de RateMDs sont généralement appropriés.
78. Cela dit, en examinant le modèle d’affaires de RateMDs, le Commissariat s’est intéressé à la caractéristique particulière du service payant « Ratings Manager » qui permettait aux abonnés de masquer jusqu’à trois avis négatifs figurant dans leur profil d’utilisateur. Les avis négatifs réapparaissaient lorsque l’utilisateur se désabonnait du service.
79. Selon le Document d’orientation sur les pratiques inacceptables du traitement des données : Interprétation et application du paragraphe 5(3) du Commissariat, plusieurs « zones interdites » sont prévues au paragraphe 5(3), à savoir la collecte, l’utilisation ou la communication de renseignements personnels à des fins qu’une personne raisonnable estimerait généralement « inacceptables »^{Note de bas de page 18}. La publication de renseignements personnels dans le but de réclamer un paiement aux individus pour leur retrait est considérée comme l’une de ces « zones interdites ».
80. Dans le présent cas, RateMDs a créé une plateforme qui permet aux utilisateurs de publier des avis et des classements, y compris des avis négatifs, au sujet de professionnels de la santé. Ayant créé les conditions pour la publication d’avis négatifs, RateMDs ne peut pas générer des revenus en facturant leur retrait. Le fait d’exiger que des professionnels de la santé paient pour faire retirer des avis, et qu’ils continuent à payer des frais mensuels pour que le retrait demeure effectif est un exemple clair d’une pratique inappropriée de « paiement pour retrait », en contravention du paragraphe 5(3) de la Loi.
81. RateMDs a d’abord contesté la position du Commissariat, mais a accepté au bout du compte d’appliquer sa recommandation préconisant la cessation de ce service. En août 2019, RateMDs a remplacé le « Ratings Manager » par un nouveau plan appelé « Ratings Concierge », et la possibilité pour les abonnés de masquer des avis publiés dans le site Web a été supprimée.
82. Les abonnés actuels de RateMDs qui ont souscrit un abonnement annuel disposent d’un délai pouvant atteindre un an (déterminé en fonction de la date à laquelle ils ont pris leur abonnement), après quoi ils ne pourront plus accéder au « Ratings Manager », mais ils pourront choisir de faire la transition vers le « Ratings Concierge ». De plus, les abonnés qui ont souscrit un abonnement mensuel devaient faire la transition vers le « Ratings Concierge » à la fin du premier mois payé après l’introduction du service.
83. En résumé, le Commissariat a conclu que la fonction « masquer les avis » du « Ratings Manager » de RateMDs constituait une pratique inacceptable et contrevenait au paragraphe 5(3) de la Loi. Étant donné que RateMDs a accepté de retirer cette fonction, le Commissariat estime que cet aspect de son enquête est fondé et conditionnellement résolu.

Conclusion

84. En ce qui concerne les questions de consentement, le Commissariat a conclu que cet aspect de la plainte est non fondé.
85. En ce qui concerne la transparence, le Commissariat a conclu que cet aspect de l’enquête est fondé et résolu.
86. En ce qui concerne les fins inacceptables, le Commissariat a conclu que cet aspect de l’enquête est fondé et conditionnellement résolu.

Autre

87. Le Commissariat demeure préoccupé par les défis décrits dans ce rapport relativement à la possibilité de publier des renseignements inexacts sur un professionnel de la santé dans une page du site Web de RateMDs. Par conséquent, il encourage fortement RateMDs à étudier et à mettre en œuvre d’autres mécanismes pour s’assurer que les renseignements qui figurent dans la page Web d’un professionnel de la santé sont exacts.