Agence du revenu du Canada et Société Radio-Canada (SRC)

Plainte déposée en vertu de la Loi sur la protection des renseignements personnels (la Loi)

Introduction

1. Le présent rapport de conclusions se rapporte à des plaintes déposées contre la Société Radio-Canada (SRC) en lien avec une atteinte à la vie privée survenue à l'Agence du revenu du Canada (ARC) dans laquelle les renseignements personnels de contribuables ont été envoyés par mégarde à un journaliste de la SRC.
2. Par suite de cette atteinte, la SRC a publié un article le 25 novembre 2014 qui contenait des détails sur l'atteinte, identifiait plusieurs des personnes touchées par l'atteinte et présentait la photo de six des personnes touchées.
3. Les plaignants allèguent que la SRC a contrevenu à la Loi sur la protection des renseignements personnels en ayant divulgué des détails sur l'atteinte et en ayant identifié certaines des personnes touchées dans les médias.

Contexte

4. Le 25 novembre 2014, la SRC a publié un article intitulé « Canada Revenue Agency privacy breach leaks prominent Canadians' tax details: Business leaders, art collectors, authors and politicians among more than 200 on agency's list of donors ».
5. La SRC rapportait que des détails hautement confidentiels, y compris l'adresse du domicile de contribuables et la valeur des crédits d'impôt consentis à ces contribuables, étaient contenus dans la copie d'un tableau de l'ARC couvrant les années 2008 à 2013.
6. La SRC affirme que la liste non censurée, livrée à la SRC en format numérique, était une réponse erronée à une demande de dossiers sans rapport en vertu de la Loi sur l'accès à l'information.
7. La SRC poursuit en mentionnant que la liste comprenait des renseignements sur les dons faits par d'éminentes personnalités canadiennes, identifiant plusieurs des personnes dans l'article et ajoutant la photo de six d'entre elles. La SRC affirme qu'elle n'a pas publié la plupart des détails de la liste, à l'exception du nom des personnes citées, par respect pour leur vie privée.
8. Entre le 26 novembre 2014 et la date du présent rapport, neuf personnes ont déposé une plainte auprès du commissaire à la protection de la vie privée en lien avec le rôle de la SRC dans cet incident.

Résumé de l’enquête

9. Le 25 novembre 2014, l'ARC a avisé oralement le Commissariat à la protection de la vie privée du Canada (le Commissariat) de l'atteinte à la vie privée. Un avis formel par écrit de l'ARC a ensuite été reçu le 26 novembre 2014.
10. Notre enquête a confirmé qu'en préparant un dossier en réponse à une demande d'accès à l'information et protection des renseignements personnels (AIPRP), en même temps qu'un dossier de consultation pour une institution fédérale, l'ARC a fait parvenir le dossier de consultation au demandeur de la demande d'AIPRP, qui s'est avéré être un journaliste de la SRC.
11. Les renseignements postés par mégarde au journaliste de la SRC comprenaient le nom et l'adresse des personnes touchées, ainsi qu'une description de leurs dons, une proposition de juste valeur marchande des dons et la juste valeur marchande des dons fournie par la Commission canadienne d'examen des exportations de biens culturels.
12. Par suite de cet incident, la SRC a publié un article le 25 novembre 2014 dans lequel elle divulguait des détails de l'atteinte, notamment les noms et photographies de certains des particuliers touchés par l'atteinte.
13. Selon les observations reçues de la SRC, celle ci a reçu deux demandes de l'ARC exigeant le renvoi des renseignements postés par mégarde.
14. Le 25 novembre 2014, l'ARC a demandé au directeur de l'AIPRP de la SRC de récupérer le dossier adressé au journaliste à la salle du courrier de la SRC. Selon ses dires, la SRC considérait cette demande comme hautement inappropriée.
15. La deuxième demande de renvoi des renseignements a aussi été faite le 25 novembre 2014, dans une lettre du commissaire de l'ARC au président directeur général (PDG) de la SRC. Cette demande a aussi été refusée dans la réponse adressée par la SRC à l'ARC le 26 novembre 2014.
16. Selon la SRC, les renseignements postés au journaliste de la SRC ont été obtenus légalement. Le journaliste n'est pas assujetti aux obligations de l'ARC de protéger contre toute divulgation non autorisée les renseignements personnels en sa possession qui ont été transmis par mégarde. La SRC cite l'affaire Globe and Mail c. Canada (Procureur général), 2010 CSC 41, dans laquelle la Cour suprême a conclu qu'il pouvait être acceptable qu'un journaliste publie des renseignements même lorsque la source qui les a fournis avait, ce faisant, violé une obligation de confidentialité.
17. Dans ses observations au Commissariat, la SRC prétend également que la Loi sur la protection des renseignements personnels ne s'applique pas à la situation actuelle, car celle-ci fait manifestement l'objet d'une exclusion en vertu de l'article 69.1 de la Loi.

Application

18. Pour rendre notre décision, nous avons pris en considération les articles 3, 4, 7, 8 et 69.1 de la Loi sur la protection des renseignements personnels.
19. L'article 3 de la Loi définit les renseignements personnels comme les renseignements, quels que soient leur forme et leur support, concernant un individu identifiable, notamment : les renseignements relatifs à sa race, à son origine nationale ou ethnique, à sa couleur, à sa religion, à son âge ou à sa situation de famille, à son éducation, à son dossier médical, à son casier judiciaire, à ses antécédents professionnels ou à des opérations financières auxquelles il a participé, à tout numéro qui lui est propre, à ses empreintes digitales ou à son groupe sanguin, à ses opinions personnelles, etc.
20. En vertu de l'article 4 de la Loi, les seuls renseignements personnels que peut recueillir une institution fédérale sont ceux qui ont un lien direct avec ses programmes ou ses activités.
21. L'alinéa 7a) de la Loi prévoit qu'à défaut du consentement de l'individu concerné, les renseignements personnels relevant d'une institution fédérale ne peuvent servir à celle-ci qu'aux fins auxquelles ils ont été recueillis ou préparés par l'institution de même que pour les usages qui sont compatibles avec ces fins.
22. la Loi prévoit que les renseignements personnels ne peuvent être communiqués qu'avec le consentement d'un individu - paragraphe 8(1) - ou conformément à l'une des catégories de communication autorisée décrites au paragraphe 8(2) de la Loi.
23. Selon l'article 69.1 de la Loi, la Loi ne s'applique pas aux renseignements personnels que la Société Radio-Canada recueille, utilise ou communique uniquement à des fins journalistiques, artistiques ou littéraires.

Analyse

24. Notre enquête a confirmé que le 25 novembre 2014, les renseignements personnels de contribuables avaient été postés par mégarde par l'ARC à un journaliste de la SRC.
25. Plus précisément, en préparant une réponse à une demande d'AIPRP en même temps qu'un dossier d'examen de consultation destiné à une institution fédérale, l'ARC a fait parvenir le dossier de consultation au demandeur de la demande d'AIPRP, qui s'est avéré être un journaliste de la SRC.
26. Les renseignements postés par mégarde au journaliste de la SRC - comprenant le nom et l'adresse des personnes touchées, ainsi qu'une description de leurs dons, une proposition de juste valeur marchande des dons et la juste valeur marchande des dons fournie par la Commission canadienne d'examen des exportations de biens culturels - sont clairement des renseignements personnels, aux termes de l'article 3 de la Loi.
27. Bien que la Loi gouverne les pratiques de traitement de renseignements personnels des institutions fédérales, y compris la SRC, elle ne s'applique pas aux renseignements personnels que la SRC recueille, utilise ou communique à des fins journalistiques, artistiques ou littéraires.
28. Par suite de notre examen des circonstances entourant l'incident et des observations soumises par la SRC, nous croyons que les fins auxquelles la SRC a recueilli les renseignements personnels et a, par la suite, divulgué certains d'entre eux dans un article publié le 25 novembre 2014, étaient uniquement journalistiques.
29. Par conséquent, nous croyons que les renseignements personnels en question sont couverts par la disposition d'exclusion en vertu de l'article 69.1 de la Loi, et qu'ils sont par conséquent exclus de l'application de la Loi.

Conclusions

30. Étant donné que les renseignements en question sont exclus de la Loi, le Commissariat n'a aucune autorité sur le traitement par la SRC des renseignements personnels visés par le présent dossier.
31. Par conséquent, nous avons conclu que la plainte est non fondée.

---