Enquête sur l’utilisation par Trimac d’un appareil de surveillance vidéo et audio dans les cabines de ses camions

Conclusions en vertu de la LPRPDE n^o 2022-006

Le 27 juillet 2022

---

Plainte en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques

Rapport de conclusions

Aperçu

Le plaignant, un chauffeur de camion travaillant pour Trimac Transportation Services Inc. (Trimac), affirme que l’entreprise a installé une caméra-témoin de circulation dans son véhicule aux fins d’enregistrement audio et vidéo continu sans son consentement. Le plaignant était particulièrement préoccupé par l’enregistrement audio par l’entreprise. Notre enquête visait à établir si, dans les circonstances, Trimac avait des motifs appropriés pour recueillir et utiliser les renseignements personnels des chauffeurs au moyen de la fonction audio du système de caméra-témoin de circulation (le système), active en tout temps quand le camion est en marche, même lorsque le chauffeur n’est pas en service ou ne conduit pas. Nous avons conclu que le système n’a pas été mis en place pour un motif approprié dans les circonstances. Nous avons admis que Trimac a mis en œuvre le système pour répondre à un besoin légitime, notamment à des fins de sécurité routière, et qu’il était probable que le système soit efficace à cette fin. Cependant, Trimac aurait pu parvenir à ces mêmes fins en utilisant une méthode portant moins atteinte à la vie privée. De plus, l’atteinte à la vie privée découlant de la mise en œuvre du système par Trimac n’était pas proportionnelle aux avantages recherchés. Par conséquent, nous avons recommandé que Trimac : (i) limite la fonction audio du système afin qu’elle ne soit active que lorsque le chauffeur est en service ou sur la route; (ii) utilise un moyen technologique pour que seuls les employés ayant un « besoin de savoir » puissent avoir accès aux renseignements personnels consignés par le système. Trimac a convenu de mettre en œuvre toutes nos recommandations, nous estimons donc que cet élément de la plainte est fondé et résolu de manière conditionnelle.

Notre enquête cherchait aussi à établir si Trimac demandait à ses employés de consentir à la collecte de leurs renseignements personnels dans les circonstances. Nous avons constaté que Trimac ne pouvait pas, dans un premier temps, s’appuyer sur l’exception relative au consentement prévue à l’article 7.3 (concernant la relation d’emploi) de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), puisqu’elle n’avait pas initialement fait preuve de transparence quant à la collecte et à l’utilisation de renseignements personnels à des fins disciplinaires, comme l’exige l’article 7.3. Cependant, compte tenu des mesures correctives prises pour expliquer ces fins aux employés, nous avons conclu que Trimac peut maintenant s’appuyer sur cette exception relative au consentement. Nous estimons donc que cet élément de la plainte est fondé et résolu.

Contexte

1. Le plaignant, un chauffeur de camion travaillant pour Trimac Transportation Services Inc. (Trimac), affirme que l’entreprise a installé une caméra-témoin de circulation dans son véhicule aux fins d’enregistrement audio et vidéo continu sans son consentement. Le plaignant était est particulièrement préoccupé par l’enregistrement audio par l’entreprise.
2. Trimac, l’une des plus importantes entreprises de services de transport en Amérique du Nord, fournit un large éventail de services de livraison en vrac sur de courtes et de longues distances. Avant le dépôt de la plainte, l’entreprise a mis en place un système de caméra-témoin de circulation (le système) dans les cabines des camions conduits par ses employés, dont celui du plaignant. Trimac a expliqué qu’elle avait mis en place ce système pour protéger ses actifs d’entreprise et pour « assurer le fonctionnement sécuritaire des camions de l’entreprise ». Trimac a appuyé ses affirmations au moyen de données statistiques, notamment sur le nombre d’accidents et les pertes qui en découlent, ce qui illustrait pourquoi elle devait prendre des mesures pour accroître la sécurité de ses opérations.
3. Dans le cas présent, le problème est la collecte de renseignements personnels par l’intermédiaire d’un système de caméra-témoin de circulation enregistrant des images vidéo de l’avant du véhicule et l’audio de l’intérieur de la cabine des camions de Trimac. Le système est composé d’un petit appareil installé sur le pare-brise à l’intérieur du camion et qui, au moment de la plainte, était toujours actif lorsque le camion était en marche, peu importe si quelqu’un conduisait le camion ou non, ou si le chauffeur était en service ou non^{Note de bas de page 1}.
4. De plus, l’appareil enregistre divers signaux, semblables à ceux d’un système d’aide à la conduite et à des événements connexes, y compris ceux relatifs à une force d’accélération élevée et à la vitesse du véhicule. Le système est doté d’une technologie et d’une logique qui mesure physiquement quand un camion a un « événement relatif à la stabilité », suit un autre véhicule de trop près ou quitte sa voie désignée par inadvertance.
5. Lorsque de tels événements se produisent, un signal se fait entendre dans le camion pour avertir le chauffeur qu’il devrait modifier sa conduite (p. ex. en augmentant la distance entre son camion et le véhicule qui le précède ou en restant dans sa voie). En outre, lorsqu’il y a un comportement de conduite jugé risqué^{Note de bas de page 2}, un extrait (audio et vidéo) de 12 secondes est conservé automatiquement. Cet extrait couvre les 8 secondes avant l’événement et les 4 secondes après celui-ci. Une tierce partie responsable du traitement examine ensuite les extraits pour classer chaque événement parmi l’une de ces catégories : les accidents, les événements qui nécessitent de la formation ou les extraits à titre informatif seulement (c.-à-d. extraits sans accident ou événement qui nécessite de la formation).
6. La tierce partie communique ensuite à Trimac les extraits classés par catégorie au moyen d’un portail. Celui-ci est divisé par région et succursale, et environ 150 employés de Trimac y ont accès. Les extraits d’accidents et d’événements qui nécessitent de la formation sont portés à l’attention des gestionnaires de Trimac aux fins d’examen et de mesure de suivi appropriée. Les extraits à titre informatif seulement sont examinés par la direction, en fonction du besoin de savoir seulement. Si un extrait est considéré comme une possibilité de formation, le chauffeur reçoit une copie de l’extrait à des fins d’autoformation. Cela dit, au moment de la réception de la plainte, tous les segments d’une succursale ou d’une région étaient accessibles à l’ensemble des utilisateurs du portail de cette même succursale ou région, pendant 90 jours, au moyen de l’onglet « View All » (Voir tout) du portail. Les utilisateurs avaient reçu la directive de ne pas accéder à cet onglet.
7. Trimac a expliqué avoir installé le système pour les motifs suivants : (i) prévention des blessures et des collisions; (ii) gestion de la sécurité, encadrement, formation et amélioration des compétences de conduite; (iii) protection des chauffeurs, de Trimac et des actifs de Trimac; (iv) enquêtes et détermination de la cause véritable des accidents de la route; (v) exonération des chauffeurs en cas de fausses réclamations; (v) gestion du rendement des employés grâce à l’encadrement, à la formation supplémentaire et à une discipline progressive; (vi) assurance de la conformité de Trimac avec les obligations contractuelles et les normes et codes de la route; (vii) et assistance relative aux litiges et aux réclamations. À des fins de référence, dans le cadre de la présente enquête, nous classerons ces motifs en trois catégories, soit la sécurité routière, la protection des actifs et la gestion du rendement des employés.
8. Étant donné que le plaignant était particulièrement préoccupé par l’enregistrement audio dans la cabine du camion, notre enquête sur la collecte de renseignements personnels au moyen de cette fonction du système, tel qu’il était utilisé au moment de la plainte.

Analyse

Enjeu 1 : Est-ce que la sécurité routière, la protection des actifs et la gestion du rendement des employés constituent des motifs appropriés pour l’enregistrement audio dans la cabine de camions au moyen du système?

9. Tout d’abord, soulignons que nous avons fondé notre analyse sur le fait que, au moment de réception de la plainte, le système était actif lorsque le moteur du camion était en marche ou fonctionnait au ralenti et que le système pouvait donc être actif même lorsque les chauffeurs n’étaient pas en service (p. ex. lorsqu’un chauffeur se repose dans la cabine de son camion et que le moteur fonctionne au ralenti). Nous avons aussi tenu compte du fait que le système, lorsqu’il était actif, effectuait continuellement un enregistrement audio dans la cabine et pouvait donc conserver, une fois activé, jusqu’à 8 secondes de données avant un événement.
10. Pour les motifs qui suivent, nous estimons que le système, tel qu’il était déployé au moment de la plainte, était disproportionnellement intrusif. Nous comprenons l’importance des motifs de Trimac, en particulier en ce qui a trait à la sécurité routière, mais bien que nous reconnaissions que le système a pu être efficace à cette fin, nous estimons que le fonctionnement continu du système, y compris lorsque les chauffeurs ne sont pas en service et ne conduisent pas, n’est pas nécessaire à cet égard. L’atteinte à la vie privée des chauffeurs qui en découle n’est pas proportionnelle aux avantages procurés par le système : (i) les chauffeurs sont assujettis à l’enregistrement même lorsqu’ils ne sont pas en service et ne conduisent pas; (ii) les extraits conservés sont disponibles à un plus grand nombre d’employés de Trimac que ce qui est nécessaire, et les mesures de protection contre un accès non autorisé sont limitées.
11. Pour parvenir à déterminer si les motifs pour lesquels Trimac recueillait des renseignements personnels au moyen du système étaient appropriés, nous avons tenu compte du paragraphe 5(3) de la Loi, selon lequel une organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu’à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances.
12. Conformément au Document d’orientation sur les pratiques inacceptables du traitement des données : Interprétation et application du paragraphe 5(3) du Commissariat, en plus de tenir compte du caractère sensible des renseignements personnels en question, nous devons tenir compte des facteurs définis par les tribunaux afin de déterminer si une personne raisonnable estimerait que la collecte, l’utilisation ou la communication de renseignements sont effectuées pour un motif approprié dans les circonstances. Plus précisément, nous tenons compte de ce qui suit :
    1. si la fin visée par l’organisation représente un besoin légitime ou un intérêt commercial véritable;
    2. si la collecte, l’utilisation et la communication des renseignements personnels aident l’organisation à répondre à ce besoin;
    3. l’existence de moyens portant moins atteinte à la vie privée qui permettent d’atteindre les mêmes fins pour un coût et des avantages comparables;
    4. la proportionnalité de l’atteinte à la vie privée par rapport aux avantages.

Niveau de sensibilité des renseignements personnels en question

13. Les renseignements personnels recueillis par Trimac au moyen du système de caméra-témoin de circulation incluraient les conversations des chauffeurs dans la cabine du camion, tant que le camion est en marche, même s’ils ne sont pas en service et ne conduisent pas. Étant donné que les chauffeurs passent beaucoup de temps dans leur camion – qui leur sert parfois de domicile temporaire lorsqu’ils sont sur la route – les conversations recueillies peuvent inclure des renseignements privés échangés avec des membres de leur famille, des amis, un médecin ou d’autres tierces parties. Par conséquent, nous estimons que le système recueille des renseignements personnels de nature délicate.

Besoin ou les intérêts commerciaux légitimes

14. Comme susmentionnés, les motifs pour lesquels Trimac utilise le système peuvent se classer en trois catégories : sécurité routière, protection des actifs et gestion du rendement.
15. En conformité avec les conclusions antérieures du Commissariat^{Note de bas de page 3}, nous reconnaissons que Trimac a un besoin légitime d’assurer la sécurité du public, de protéger ses actifs et de gérer ses employés.

Efficacité

16. Trimac a expliqué que les extraits recueillis grâce au système peuvent inclure des preuves d’incidents de rage au volant, d’un chauffeur qui parle au téléphone et qui est donc distrait ou du son d’une collision, de pneus qui crissent, etc. Trimac a déclaré que le nombre d’incidents dangereux est à la baisse depuis la mise en œuvre du système. Trimac a cité une note d’efficacité de sa formation de 62,5 %. Cela signifie que dans 62,5 % des cas de comportement dangereux qui ont été relevés, le chauffeur en cause ne répète pas le comportement pendant les 60 jours suivant la formation.
17. Compte tenu de ce qui précède, nous admettons que le système peut répondre efficacement aux besoins de Trimac.

Moyens portant moins atteinte à la vie privée

18. Trimac a affirmé que le système porte peu atteinte à la vie privée du fait qu’il ne conserve que des extraits de 12 secondes et ce uniquement lorsqu’il est déclenché par des événements associés à un risque pour la sécurité. Trimac appuie cette affirmation avec des statistiques indiquant que les extraits conservés ne représentent, en moyenne, que 1 % du temps de conduite des chauffeurs.
19. Nous reconnaissons que, en ne conservant que des « extraits », le volume total conservé est limité relativement au nombre total d’heures passées par les chauffeurs dans un camion; néanmoins, nous estimons que le système porte plus atteinte à la vie privée que ce qui est nécessaire, étant donné que son activation lorsque le chauffeur n’est pas en service ou ne conduit pas n’est pas nécessaire pour répondre aux besoins de Trimac.
20. Nous comprenons que l’enregistrement audio lorsque le chauffeur ne travaille pas ne surviendrait qu’en cas de collision alors que le camion est stationné et que son moteur tourne au ralenti. Dans de telles circonstances, nous ne voyons pas en quoi l’enregistrement audio dans la cabine serait nécessaire aux fins de Trimac. Trimac laisse entendre que les données audio pourraient servir à détecter l’emplacement d’une collision sur le camion. Cependant, nous estimons plutôt que cela aurait peu de valeur à cette fin, voire n’en aurait pas du tout. De plus, Trimac pourrait s’appuyer sur les autres signaux captés par le système afin d’être alerté d’une collision et de connaître son emplacement potentiel, pendant que le moteur du camion tourne au ralenti et que le chauffeur n’est pas en service. Nous constatons également que l’enregistrement audio ne pourrait pas servir à des fins de formation de l’employé, puisque celui-ci n’était alors pas en service ni au volant.
21. En outre, jusqu’à récemment (comme expliqué ci-dessous), les extraits étaient accessibles à un plus grand nombre d’employés de Trimac que ce qui était nécessaire, par l’intermédiaire de l’onglet « View All » (Voir tout). Étant donné la nature délicate des renseignements pouvant être enregistrés dans de tels extraits, l’accès à ces derniers devrait être strictement limité aux employés qui ont un « besoin de savoir », plutôt que par tous les employés d’une succursale ou d’une région qui ont accès au portail. Par exemple, les personnes ayant un besoin de savoir pourraient inclure : les gestionnaires chargés de la formation, l’employé concerné et les personnes menant enquête sur un accident. De plus, en ce qui concerne le potentiel d’accès non autorisé à l’onglet « View All » (Voir tout), la pratique de Trimac qui consistait à simplement dire à ses employés de ne pas consulter cet onglet ne constituait pas une mesure de protection adéquate. Aucune mesure de protection technologique n’était en place pour empêcher les utilisateurs du portail d’utiliser l’onglet « View All » (Voir tout) pour accéder aux extraits qu’ils n’avaient pas à regarder.
22. En définitive, la fonction d’enregistrement audio serait moins intrusive si elle était active uniquement lorsqu’un chauffeur est en service ou en train de conduire et si l’accès aux extraits transférés à Trimac était protégé par un moyen technologique afin qu’ils ne soient accessibles qu’aux personnes ayant besoin de les voir.

Proportionnalité

23. En raison de l’importance des motifs de Trimac, notamment en ce qui concerne la sécurité, nous admettons que les avantages de recueillir et d’utiliser les renseignements des chauffeurs, pendant qu’ils sont en service et conduisent le camion, sont proportionnels à l’atteinte à la vie privée. Nous sommes cependant d’avis que la collecte de renseignements de nature potentiellement délicate lorsque les chauffeurs ne conduisent pas et ne sont pas en service, par exemple lorsqu’ils se reposent ou dorment dans la cabine de leur camion (qui pourrait être considérée comme leur chambre à coucher), est très intrusive. En raison de la façon dont le système était mis en œuvre au moment de la plainte, l’incidence sur la vie privée des chauffeurs n’était pas proportionnelle aux avantages visés par l’entreprise.
24. Par conséquent, vu qu’il existait un moyen moins intrusif d’atteindre les objectifs de Trimac et que l’atteinte à la vie privée était disproportionnée par rapport aux avantages que Trimac souhaitait retirer du système, nous concluons que Trimac a enfreint le paragraphe 5(3) de la Loi.

Recommandations et réponse de Trimac

25. Dans le but de régler le caractère intrusif de la fonction d’enregistrement audio du système relativement à la collecte de renseignements personnels, nous recommandons à Trimac :
    1. de limiter la fonction d’enregistrement audio de la caméra-témoin de circulation aux heures de service et aux situations où le chauffeur qui n’est pas en service conduit tout de même le camion;
    2. de limiter l’accès aux extraits transférés et conservés par Trimac dans l’onglet « View All » (Voir tout) en utilisant des mesures de protection technologiques.
26. En réponse à nos recommandations, Trimac a expliqué que, jusqu’à récemment, il était impossible de limiter la fonction d’enregistrement audio du système aux heures de service des chauffeurs. Le système était activé dès que le moteur commençait à tourner.
27. Cependant, après avoir reçu nos conclusions et nos recommandations préliminaires, Trimac a confirmé sa mise en œuvre d’une nouvelle fonction du système pour limiter davantage l’enregistrement audio. En date du 11 mars 2022, Trimac a déployé, au moyen d’une mise à jour logicielle de l’ensemble des systèmes installés sur son parc canadien, un mode de veille/intimité qui fait en sorte que le microphone de la caméra est désactivé :
    1. cinq minutes après que le moteur est éteint;
    2. quand le moteur a tourné au ralenti pendant 15 minutes;
    3. immédiatement s’il est détecté que le frein de stationnement est activé.
28. De même, Trimac a déclaré que l’onglet « View All » (Voir tout) avait été retiré du portail. En outre, Trimac a précisé que seules deux personnes au sein de l’entreprise ont accès à l’ensemble des aperçus et des fonctions du portail; le vice-président de la sécurité et le directeur de la sécurité.
29. Trimac a aussi accepté de limiter l’accès aux extraits strictement aux employés ayant le besoin de savoir. Ainsi, Trimac a effectué un audit des 151 personnes qui avaient, initialement, accès au portail, et a depuis limité davantage les droits d’accès.
30. Enfin, Trimac a convenu d’élaborer et de mettre en œuvre une procédure interne normalisée pour organiser la façon d’accorder l’accès aux extraits et déterminer la fréquence des activités de surveillance. Trimac s’est engagée à fournir une copie de ce document au Commissariat d’ici le 31 juillet 2022.
31. Compte tenu de ce qui précède, le Commissariat estime que cet élément de la plainte est fondé et résolu de manière conditionnelle.

Enjeu 2 : L’employé devait-il donner son consentement pour la collecte de renseignements personnels au moyen du système?

32. Trimac aurait pu peut-être s’appuyer sur l’exception relative au consentement prévue à l’article 7.3 de la Loi étant donné que les renseignements personnels en question étaient recueillis et utilisés dans le contexte de la relation d’emploi. Cependant, Trimac n’a pas initialement fait preuve de transparence en ce qui concerne les motifs du système de caméra-témoin de circulation liés à la prise de mesures disciplinaires, et enfreignait donc la Loi jusqu’à ce qu’elle corrige la situation.
33. Selon le principe 4.3 de l’annexe 1 de la LPRPDE, toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu’il ne soit pas approprié de le faire.
34. L’article 7.3 de la Loi prévoit que, pour l’application de l’article 4.3 de l’annexe 1, et malgré la note afférente, une organisation fédérale peut recueillir, utiliser ou communiquer des renseignements personnels sans le consentement de l’intéressé :
    1. si cela est nécessaire pour établir ou gérer la relation d’emploi entre elle et lui, ou pour y mettre fin;
    2. si elle a au préalable informé l’intéressé que ses renseignements personnels seront ou pourraient être recueillis, utilisés ou communiqués à ces fins.
35. Nous admettons que la collecte et l’utilisation de renseignements personnels par Trimac au moyen de la fonction audio du système de caméra-témoin de circulation sont nécessaires pour la gestion de ses relations d’emploi lorsque les chauffeurs sont en service ou conduisent (conformément à nos conclusions ci-dessus). Cependant, Trimac n’a pas initialement divulgué pleinement les motifs de l’utilisation du système, notamment le fait que les renseignements obtenus par le système pouvaient servir à des fins disciplinaires. Trimac ne pouvait donc pas s’appuyer sur l’exception relative au consentement à l’article 7.3.
36. Au cours de l’enquête, Trimac a fourni au Commissariat divers documents de communication remis à ses chauffeurs avant et pendant le déploiement du système. Nous avons examiné des notes de service, des courriels et des présentations communiqués aux employés de Trimac à différentes occasions. Nous avons conclu que les communications initiales de Trimac mettaient l’accent sur les fonctions du système, tout en fournissant peu de renseignements sur les motifs, et insistaient sur la notion de protection des chauffeurs.
37. Le conseiller juridique externe de Trimac avait déterminé qu’il s’agissait d’un problème à régler. Dans un courriel envoyé au plaignant par Trimac (que le plaignant a par la suite transmis au Commissariat), le conseiller juridique de Trimac a déclaré, à propos de l’exception relative au consentement à l’article 7.3 de la Loi :

    « Le principal problème est que l’entreprise ne semble pas avoir informé ses employés que les données des caméras dans les camions peuvent être recueillies, utilisées et communiquées à des fins disciplinaires ou pour mettre fin à la relation d’emploi. Nous recommandons donc que l’entreprise mette au point une politique, ou une note d’information, et la distribue aux employés afin d’expliquer clairement les utilisations des données audio et vidéo, y compris “les fins disciplinaires ou pour mettre fin à la relation d’emploi.” » [Le caractère gras est de nous.]

38. En fin de compte, ce n’est qu’environ deux ans après la mise en œuvre du système et six mois après la réception de l’avis susmentionné que Trimac a communiqué une orientation claire par écrit pour informer ses chauffeurs que le système pouvait servir aux fins de mesures disciplinaires progressives.
39. Par conséquent, nous concluons que Trimac ne pouvait pas compter sur l’exception relative au consentement à l’article 7.3 et a donc enfreint le principe 4.3, puisqu’elle n’a pas initialement obtenu le consentement éclairé pour la collecte et l’utilisation de renseignements personnels de ses chauffeurs grâce au système. Toutefois, nous sommes d’avis que Trimac peut désormais compter sur cette exception, vu qu’elle a clairement informé ses employés des motifs (mesures disciplinaires et gestion des employés) liés aux renseignements recueillis par le système de caméra-témoin de circulation. Nous estimons donc que cet élément de la plainte est fondé et résolu.