Emploi et développement social Canada recueille à nouveau des renseignements personnels malgré que le plaignant s’y soit auparavant opposé

Le 28 mars 2019

Plainte en vertu de la Loi sur la protection des renseignements personnels (la Loi)

1. Le plaignant allègue qu’Emploi et Développement Social Canada (EDSC) aurait enfreint les dispositions de la Loi ayant trait à la collecte des renseignements personnels lorsqu’il a recueilli, une seconde fois et malgré son opposition, son nom, son numéro de téléphone et son adresse courriel par l’intermédiaire de l’entreprise Grey House Publishing Canada (Grey House) dans le cadre du Prix du Premier ministre pour le bénévolat.
2. Le plaignant a aussi déposé une plainte contre Grey House en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) pour avoir recueilli et divulgué ses renseignements personnels à EDSC. Cette plainte a fait l’objet d’une enquête séparée de notre bureau.

Contexte

3. Le nom, l’adresse électronique et le numéro de téléphone du plaignant apparaissent sur un site internet d’un club social voué à l’apprentissage, l’utilisation et la promotion d’une langue internationale (le club).
4. Au moment de l’incident, EDSC administrait le programme du Prix du Premier ministre pour le bénévolat (maintenant appelé Programme des prix pour le bénévolat du Canada^{Note de bas de page 1}). Selon EDSC, ce programme vise à souligner les contributions importantes des bénévoles, des organismes sans but lucratif novateurs et des entreprises avant-gardistes à leur collectivité au moyen du bénévolat et d’idées et d’approches novatrices pour s’attaquer aux problèmes sociaux.
5. Grey House est une société privée établie en 2006 qui développe et publie des produits liés à l’information dans les domaines des affaires, de la santé, de la statistique et des données démographiques. C’est aussi un éditeur de bases de données dont les répertoires alimentent les bibliothèques, entreprises et bureaux gouvernementaux canadiens de données statistiques, démographiques et autres.
6. EDSC a fait appel aux services de Grey House « dans le but d’acheter une liste de coordonnées afin de cibler une audience en répondant aux besoins spécifiques d’EDSC » et dans le but ultime « d’obtenir une liste de distribution [afin] de promouvoir de manière électronique (par courriel), l’appel de candidature pour le prix du Premier ministre pour le bénévolat qui a lieu chaque année. »

Sommaire de l’enquête

7. L’enquête a révélé que, le 1er mai 2015, le plaignant a reçu un courriel de la part d’EDSC, l’informant qu’EDSC « accepte les candidatures pour les Prix du Premier ministre pour le bénévolat jusqu’au 30 juin 2015. » Le plaignant a indiqué qu’il n’a jamais manifesté un intérêt pour ce prix, ni consenti à la collecte de ses renseignements personnels qui, en outre, ont été obtenus par l’intermédiaire d’un tiers, plutôt que directement auprès de lui. Le plaignant a ajouté par ailleurs, qu’il avait, par le passé, demandé à EDSC de retirer son nom de la liste de distribution pour ce prix lorsqu’il avait reçu une correspondance semblable en 2014.
8. Dans sa plainte, le plaignant explique que son nom, son numéro de téléphone et son adresse courriel sont des renseignements personnels. Le fait que ces renseignements apparaissent sur une page Web indiquant qu’il est la personne-contacte pour le club ne rend pas ces renseignements accessibles au public au sens de la Loi et des règlements pertinents et, ne signifie pas que l’on peut recueillir et communiquer ces renseignements personnels.
9. Le plaignant a joint à sa plainte, une correspondance en provenance de Grey House en réponse à ses questions. Grey House a expliqué qu’il publie les renseignements d’affaires au sujet des personnes et non les renseignements personnels. Grey House a conclu en dirigeant le plaignant vers la page du site Internet en question qui l’identifie comme personne-contacte et qui contient les renseignements personnels du plaignant.
10. Le plaignant a déclaré qu’il n’était pas inscrit comme cadre, directeur, employé et n’occupait pas de poste de responsabilité à l’égard du club. Il a déclaré que les renseignements figurant sur la liste fournie à EDSC par Grey House ne pouvaient donc pas constituer des coordonnées d’affaires.
11. En réponse aux allégations, EDSC explique que les nom, adresse courriel et numéro de téléphone associés au plaignant ont été obtenus par l’intermédiaire de Grey House.
12. EDSC est d’avis « qu’il n’a pas collecté l’information personnelle du plaignant sans autorisation. » Selon EDSC, « le contrat indiquait clairement la responsabilité de Grey House de fournir des listes conformes à la législation canadienne et que tous les consentements et ententes nécessaires devaient être en place pour accéder aux adresses courriels. » EDSC est d’avis qu’il a « acquis de manière conforme » la liste de distribution. De plus, EDSC ajoute que son utilisation était directement liée à l’un de ses programmes, la conduite du programme du prix du Premier ministre pour le bénévolat.
13. EDSC reconnaît également avoir reçu en 2014 la demande du plaignant visant le retrait de son nom de sa liste de distribution. EDSC explique toutefois qu’il reçoit une nouvelle liste de distribution chaque année, mais n’avait en place aucun mécanisme visant à s’assurer que soient retirés les noms ou l’adresse des individus qui avaient souhaité ne plus faire partie de la liste lors des éditions précédentes.
14. Dans notre enquête concernant Grey House en vertu de la LPRPDE, nous avons conclu que Grey House avait recueilli les renseignements personnels du plaignant sans son consentement et d’une manière contraire à la LPRPDE. En particulier, nous avons conclu que les renseignements personnels du plaignant n’étaient pas des coordonnées d’affaires et qu’il n’y avait pas d’autres exceptions applicables à l’obligation d’obtenir le consentement. En réponse à la plainte, Grey House a accepté de supprimer les coordonnées du plaignant de ses bases de données.

Application

15. Afin de rendre une décision, nous avons tenu compte de l’esprit mais aussi de la lettre de la Loi, notamment des articles 3, 4 et 5. Nous avons également pris en considération les termes du contrat liant EDSC à Grey House.
16. L'article 3 de la Loi définit les renseignements personnels concernant un individu identifiable, quels que soient leur forme ou leur support, notamment ceux qui portent sur sa race, son origine nationale ou ethnique, sa couleur, sa religion, son âge, sa situation familiale, son éducation, son dossier médical, ses antécédents criminels ou professionnels, ses numéros d’identité, ses empreintes digitales, son groupe sanguin, ses opinions personnelles, etc.
17. Le nom, le numéro de téléphone et l’adresse courriel du plaignant, dans la mesure où il s’agit de ses coordonnées personnelles mises à la disposition du club dont il est membre, constituent des renseignements personnels au sens de la Loi.
18. L'article 4 de la Loi permet aux institutions fédérales de recueillir seulement les renseignements personnels qui ont un lien direct avec leurs programmes ou activités.
19. L'article 5 de la Loi dispose qu'une institution fédérale est tenue de recueillir auprès de l’individu lui-même, chaque fois que possible, les renseignements personnels destinés à des fins administratives le concernant, sauf autorisation contraire de l’individu ou autres cas d’autorisation prévue par la Loi. L’article 3 indique que les fins administratives sont celles qui ont pour destination l’usage de renseignements personnels concernant un individu dans le cadre d’une décision le touchant directement.
20. Nous sommes d’avis que EDSC n’était pas tenu de recueillir les renseignements en question directement auprès du plaignant. En effet, l’article 5 de la Loi n’impose une telle obligation que lorsque les renseignements personnels sont destinés à des fins administratives. Hors dans le cas d’espèce, les renseignements personnels recueillis n’avaient pas pour but une décision touchant directement le plaignant.
21. Cela dit, nous sommes d’avis qu’EDSC n’a pas respecté l’article 4 de la Loi. Entre autres, l’article 4 exige que la collecte des renseignements personnels se fasse en respectant les limites établies pour le programme ou l’activité d’une institution fédérale en question. En d’autres mots, une institution fédérale ne peut pas recueillir les renseignements personnels qui dépassent le cadre d’un programme ou activité.
22. Bien qu’EDSC avait recueilli les renseignements personnels du plaignant dans le but de promouvoir le Programme du Prix du Premier ministre, EDSC avait clairement indiqué que sa campagne de promotion était limitée aux coordonnées qui ont été obtenues avec tous les consentements nécessaires et en conformité avec la loi. En particulier, le contrat avec Grey House exigeait que les listes obtenues soient « conformes à la législation canadienne » et que « tous les consentements et ententes nécessaires soient en place ». Or, nous avons conclu que les renseignements personnels du plaignant ont été obtenus par Grey House sans le consentement du plaignant et d’une manière non-conforme avec la LPRPDE, contrairement aux termes du contrat et donc aux paramètres que EDSC avait lui-même établi pour son programme de promotion.
23. Nous sommes d’avis qu’il n’était pas suffisant pour EDSC d’établir des exigences contractuelles avec Grey House; il était de la responsabilité d’EDSC de s’assurer que Grey House se conforme aux termes du contrat en lien avec ses responsabilités par rapport à la Loi.
24. Par ailleurs, EDSC a continué à recueillir et utiliser les renseignements personnels du plaignant en dépit de sa demande expresse de ne pas être considéré dans le cadre de ce programme.
25. Bref, la collecte des renseignements personnels du plaignant ne respectait pas les termes du programme de promotion du Prix du Premier ministre. EDSC a donc manqué à ses obligations en vertu de l’article 4 de la Loi.

Conclusions

26. Nous ne sommes pas convaincus, qu’EDSC a respecté les exigences de la Loi en matière de collecte de renseignements personnels, dans le cas présent. En incluant la nécessité du consentement dans le contrat, EDSC s’est imposé l’obligation d’obtenir le consentement du plaignant dans le cadre de la collecte de ses renseignements personnels. En outre, EDSC a recueilli une deuxième fois, les renseignements personnels du plaignant, malgré le refus clairement exprimé de ce dernier de participer au programme.
27. À la lumière de ce qui précède, nous concluons que la plainte est fondée.

Autre

28. Toutefois, nous sommes satisfaits que suite à cette plainte, EDSC a fait des changements à l’égard des processus; maintenant il s’assure de vérifier les nouvelles listes de distribution qu’il reçoit afin que soient retirés les noms des individus qui ne désirent plus recevoir les courriels au sujet du Programme du Prix du Premier ministre pour le bénévolat.
29. Par ailleurs, nous recommandons qu’EDSC s’assure que les tiers avec lesquels il a des ententes se conforment aux termes du contrat en lien avec ses responsabilités par rapport à la Loi.