L’ASFC devrait uniquement conserver les codes d’accès des appareils numériques des voyageurs en cas de nécessité

Plainte en vertu de la Loi sur la protection des renseignements personnels (la Loi)

Le 31 mars 2020

Description

Un Canadien revenant au Canada s’est plaint que l’Agence des services frontaliers du Canada (ASFC) a contrevenu à la Loi lorsqu’elle a exigé qu’il lui fournisse le code d’accès de son téléphone cellulaire pour pouvoir le déverrouiller aux fins d’inspection. Nous avons conclu que l’ASFC avait le pouvoir de le faire en vertu de la Loi sur les douanes.

Résumé du cas

Le Commissariat a reçu une plainte selon laquelle l’ASFC a recueilli de façon inappropriée le code d’accès du téléphone cellulaire d’une personne lors de son retour au Canada.

Le plaignant a affirmé que cette collecte n’était pas autorisée parce que l’agente des services frontaliers qui a inspecté son téléphone cellulaire était incapable d’indiquer une loi, une politique ou une procédure quelconque qui l’exigeait. Il a également fait valoir que la collecte n’était pas nécessaire puisqu’il a proposé de déverrouiller lui-même le téléphone cellulaire, mais l’agente a refusé.

Dans une enquête distincte menée par le Commissariat et résumée dans notre précédent rapport annuel au Parlement, nous avons conclu que l’ASFC a le pouvoir, en vertu de la Loi sur les douanes, d’examiner du matériel stocké directement sur les appareils numériques à certaines conditions. Dans le cadre de cette enquête, nous avons néanmoins formulé un certain nombre de recommandations compte tenu du fait que la fouille d’un appareil électronique à la frontière est une pratique extrêmement intrusive. Les codes d’accès des appareils numériques, qui font l’objet d’un examen dans la présente enquête, sont de nature tout aussi sensible.

Le Commissariat considère que les codes d’accès sont des renseignements personnels sensibles, quand ils sont appariés avec d’autres identifiants ou s’ils sont associés à l’appareil qu’ils permettent de déverrouiller. Un appareil protégé par un mot de passe peut contenir des renseignements que la personne considère des plus sensibles. De plus, la sensibilité d’un mot de passe augmente s’il est utilisé pour plusieurs comptes et activités.

L’ASFC a indiqué qu’elle recueille les codes d’accès, au lieu de permettre à une personne de déverrouiller son appareil numérique elle-même, afin : i) d’empêcher les voyageurs d’effacer ou de modifier des données intentionnellement ou par inadvertance avant de remettre l’appareil déverrouillé à l’agent des services frontaliers aux fins d’inspection; ii) d’assurer la continuité de la preuve si l’interaction est mise en cause dans une procédure judiciaire. Dans ce contexte, le Commissariat a convenu que l’ASFC a le pouvoir d’exiger des personnes qu’elles fournissent un code d’accès pour déverrouiller un appareil numérique en vertu de la Loi sur les douanes.

Cependant, lors de la manipulation de renseignements personnels sensibles de ce genre, les institutions fédérales devraient veiller à connaître et à respecter leurs propres politiques. Elles ne devraient conserver les renseignements personnels que lorsque cela est nécessaire.

Dans le cas en question, l’ASFC a reconnu qu’en omettant de prendre des notes manuscrites de l’interaction, l’agente n’a pas respecté la politique. De plus, l’agente ne se souvenait pas si elle avait informé le plaignant, comme l’exige la politique, que son code d’accès serait conservé et qu’il pourrait le modifier.

Pour remédier à ces erreurs, l’ASFC s’est engagée à offrir davantage de formation aux agents concernant la collecte de renseignements personnels auprès des voyageurs. Elle s’est également engagée à réécrire la politique afin de fournir des directives plus claires aux agents.

De plus, en conservant les codes d’accès même lorsque la fouille de l’appareil ne donnait lieu à aucune autre mesure, l’ASFC conservait inutilement des renseignements personnels , de même que d’autres identifiants personnels. Nous nous sommes demandé s’il était nécessaire de conserver les codes d’accès même après l’examen si l’ASFC n’avait pas saisi l’appareil.

L’ASFC a depuis révisé sa politique qui couvre l’examen des appareils numériques à la frontière. Les agents des services frontaliers adoptent désormais une approche qui tient compte davantage de la protection de la vie privée, en écrivant notamment les codes d’accès sur une feuille de papier à part et en remettant cette feuille au voyageur, sauf si celui-ci est détenu plus longtemps ou si son appareil est saisi.