Sélection de la langue

Logo du Commissariat Commissariat à la protection de la vie privée du Canada

Recherche

Enquête sur la collecte et l’utilisation par la Société canadienne des postes de renseignements personnels à des fins de marketing non conformes à la Loi

Plainte en vertu de la Loi sur la protection des renseignements personnels

Le 12 mai 2023

Description

Une personne s’est plainte au Commissariat au sujet de la pratique de Postes Canada consistant à utiliser les renseignements personnels qu’elle recueille à l’extérieur des enveloppes et des colis livrés pour créer des listes d’adresse de marketing postal qu’elle loue au secteur privé. Les renseignements recueillis par Postes Canada dans le cadre de ce programme comprennent des renseignements sur l’endroit où vivent les personnes et sur le type de magasinage en ligne qu’elles font (selon la source des colis). Nous avons constaté que Postes Canada n’avait pas obtenu l’autorisation de recueillir indirectement des renseignements personnels à l’extérieur des enveloppes qu’elle livre pour les utiliser dans le cadre de son programme de marketing, et qu’elle contrevenait donc à l’article 5 de la Loi sur la protection des renseignements personnels.

Le Commissariat a recommandé à Postes Canada de cesser sa pratique actuelle d’utilisation et de communication des renseignements personnels tirés de ses données opérationnelles dans le cadre des activités de marketing postal jusqu’à ce qu’elle puisse demander et obtenir l’autorisation des Canadiens. Postes Canada n’a pas accepté de prendre cette mesure corrective, et nous l’exhortons à reconsidérer sa position.

Points à retenir

  • L’article 5 de la Loi sur la protection des renseignements personnels impose aux institutions fédérales l’exigence d’obtenir l’autorisation d’une personne pour recueillir indirectement des renseignements à leur sujet si elles ont l’intention de les utiliser à des fins administratives (sous réserve de certaines conditions limitées).
  • L’utilisation par Postes Canada des renseignements personnels dans le cadre de son programme de marketing postal est une « fin administrative ». La décision d’ajouter une personne à une liste d’envoi qu’elle loue à des tiers a une incidence directe sur la personne en question, car cette dernière reçoit du courrier de marketing non sollicité.
  • Pour qu’une personne « autorise » une collecte indirecte, elle doit : (i) être au courant de la pratique ou s’y attendre raisonnablement; et (ii) prendre une mesure qui peut raisonnablement être déduite comme donnant une autorisation concernant la pratique, soit expressément, par exemple au moyen d’une autorisation signée, soit par sa conduite, au minimum.
  • Les Canadiens qui ne souhaitent pas que leurs renseignements personnels figurent dans la base de données des noms et des adresses que Postes Canada utilise pour créer des listes de marketing postal peuvent consulter la page Base de données de noms et d'adresses de Postes Canada et remplir le formulaire pertinent.

Rapport de conclusions

Aperçu

Le plaignant a reçu du courrier de marketing non sollicité qui lui était destiné, et l’adresse englobait notamment son numéro d’appartement non accessible au public. La Société canadienne des postes (la « SCP ») a confirmé que cette situation s’était produite parce que le nom du plaignant figurait sur une liste de marketing qu’elle avait vendue à un tiers. Le plaignant a déposé une plainte au Commissariat à la protection de la vie privée du Canada (le « CPVP ») dans laquelle il lui a demandé d’établir si la pratique de la SCP consistant à utiliser des renseignements opérationnels à des fins de marketing était conforme à la Loi sur la protection des renseignements personnels (la « Loi »).

Après avoir examiné minutieusement les observations de la SCP, nous reconnaissons que, étant donné le libellé général de la Loi sur la Société canadienne des postes (la « Loi sur la SCP »), la pratique de la SCP consistant à recueillir des renseignements sur les colis et les enveloppes qu’elle livre aux fins de la prestation de services de listes d’adresses de marketing se rattache directement à un programme ou à une activité de la Société et que, par conséquent, elle est conforme aux dispositions sur la collecte de l’article 4 de la Loi. Nous reconnaissons également que l’utilisation et la communication par la SCP de renseignements personnels [aux fournisseurs de services postaux qui produisent des campagnes de publipostage et envoient des articles de publipostage au nom d’annonceurs] visent à exécuter le programme Marketing Intelliposte, et que, par conséquent, elles sont conformes aux dispositions sur l’utilisation et la communication des articles 7 et 8 de la Loi.

Cependant, nous avons conclu que les pratiques de collecte de la SCP dans le cadre du programme Marketing Intelliposte enfreignaient les exigences énoncées à l’article 5 de la Loi, selon lequel une institution fédérale est tenue de recueillir auprès de l’individu lui-même, chaque fois que possible, les renseignements personnels destinés à des fins administratives le concernant, sauf autorisation contraire de l’individu, sauf dans des circonstances limitées qui ne s’appliquent pas à l’affaire. Nous n’admettons pas l’argument de la SCP, qui affirme qu’elle n’utilise pas les renseignements personnels en question à des fins administratives. Nous n’admettons pas non plus ses autres arguments selon lesquels le simple accès des individus à un mécanisme de retrait et le fait qu’ils acceptent généralement le courrier qu’elle leur distribue signifient qu’ils l’autorisent à procéder à la collecte et à l’utilisation indirectes de renseignements personnels à leur sujet à partir de l’information sur les enveloppes en vue de la prestation de services de listes d’adresses de marketing aux entreprisesNote de bas de page 1.

Pendant l’enquête, la SCP a commencé à améliorer la clarté et la transparence de l’information sur son site Web et dans ses points de vente (au moyen d’un projet de brochure) au sujet de l’utilisation de renseignements personnels d’individus pour la prestation de services de listes d’adresses de marketing.

Cependant, la SCP n’a pas souscrit à nos conclusions selon lesquelles elle avait enfreint l’article 5 de la Loi et elle a refusé d’exécuter notre recommandation selon laquelle elle doit cesser sa pratique courante consistant à utiliser et à communiquer des renseignements personnels tirés de ses données opérationnelles pour se livrer à des activités de publipostage sans avoir d’abord obtenu l’autorisation des individus de procéder à la collecte indirecte de leurs renseignements personnels.

Contexte

Plainte

  1. Le plaignant a souligné qu’il a reçu du matériel de marketing de la part d’un restaurant local à Toronto, que ce matériel lui était adressé et que son nom et l’adresse complète de son immeuble résidentiel étaient inscrits sur l’enveloppe, y compris le numéro de son appartement. Il a fait observer qu’il n’avait pas donné ses coordonnées au restaurant et que son numéro de bureau ne figurait pas dans l’annuaire téléphonique. Après avoir mené des enquêtes, il a appris du restaurant que le courrier lui avait été envoyé puisque son nom était inscrit sur une liste d’adresses de marketing de la SCP.
  2. Le plaignant a ensuite communiqué avec la SCP pour obtenir de plus amples détails et il a alors appris que son adresse avait été utilisée lors d’une campagne de publipostage (payée par le restaurant) dans le cadre du programme Marketing Intelliposte de la SCP. Selon le plaignant, la SCP lui a dit que le programme regroupe des renseignements sur des individus que la SCP possède et des renseignements accessibles au public qu’elle a obtenus dans l’annuaire téléphonique (Canada411), et qu’elle les vend aux entreprises qui souhaitent mener des campagnes de marketing auprès d’individus. La SCP a allégué au CPVP que les entreprises qui souhaitent mener des campagnes de marketing ne recevaient pas directement les renseignements personnels. Les renseignements personnels, qui, selon la SCP, demeurent sa « propriété », sont plutôt vendus à un tiers fournisseur de services postaux qui a conclu un contrat avec elle et qui gère l’envoi de courrier au nom de l’entreprise.
  3. La SCP a expliqué au plaignant qu’il pouvait faire retirer son nom et ses coordonnées de la base de données de noms et d’adresses de Postes Canada afin de mettre un terme à l’intégration de ses renseignements dans les listes d’adresses remises aux fournisseurs de services postaux à des fins de marketingNote de bas de page 2. Malgré les explications de la SCP, le plaignant est demeuré insatisfait de la communication initiale par cette dernière de ses renseignements à des fins de marketing.

Services de listes d’adresses de marketing de la SCP

  1. Dans le cadre de son programme Marketing Intelliposte, la SCP offre aux entreprises plusieurs services de marketing moyennant des frais. Ces services comprennent l’« épuration » de listes de clients (par la mise à jour, l’ajout et la correction de coordonnées) et la préparation de listes d’adresses de marketing visant à permettre à un annonceur de mieux cibler les entreprises ou les ménages résidentiels par publipostage direct.Note de bas de page 3
  2. Pour offrir des services de listes d’adresses de marketing, la SCP mobilise, dans le cadre d’un contrat, des fournisseurs de services postaux (choisis par l’annonceur) conformément à un contrat de licence conclu avec un tiers fournisseur de services. Le fournisseur de services postaux prépare le matériel de publipostage et l’envoie aux clients en se fondant sur les critères d’une campagne de marketing donnée. L’information commerciale de la SCP précise que les destinataires sont plus susceptibles d’ouvrir le « courrier qui leur est personnellement adresséNote de bas de page 4 » que celui qui ne l’est pas (qu’elle offre également). Les fournisseurs de services postaux sont assujettis à des obligations en matière de sécurité et de confidentialité, qui empêchent la communication de listes d’adresses (ou d’autres données) aux annonceurs, et ils sont tenus par contrat de protéger les renseignements et d’éliminer les listes d’adresses à la fin d’une campagne de publipostage. Les annonceurs doivent payer de nouveau la SCP s’ils souhaitent réutiliser des listes d’adresses de marketing.
  3. L’un des avantages concurrentiels dont bénéficie la SCP dans ce domaine, comparativement aux entreprises du secteur privé qui offrent des services semblables, est qu’elle dispose d’une base de données vaste et précise d’adresses postales (« liste exclusive de la SCP »),Note de bas de page 5 de même que d’autres renseignements exclusifs comme l’information précise sur les adresses des individus et leurs habitudes de magasinage en ligneNote de bas de page 6. Pour offrir le programme Marketing Intelliposte, la SCP utilise les données dans la base de données connexe qui englobe des dossiers compilés à partir de différentes sources, y compris :
    • la liste exclusive des adresses au Canada de la SCP;
    • pour certains types de colis, l’information sur les catégories de commerçants d’où proviennent les colis des individus à une adresse particulière; la SCP s’en sert pour tirer de l’information sur les habitudes de magasinage en ligne selon le code postal;
    • les noms et les adresses que la SCP recueille ailleurs que sur les colis et les enveloppes qu’elle livre; elle s’en sert pour corriger, mettre à jour ou compléter les adresses obtenues auprès des parties tierces ci-dessous;Note de bas de page 7
    • l’information de l’annuaire téléphonique accessible au public provenant des données regroupées par des tiers (p. ex. des adresses, des coordonnées et des numéros de téléphone);
    • les données que la SCP recueille auprès de tiers qui ont obtenu le consentement d’individus pour la transmission des renseignements à leur sujet à des fins de marketing, dont les données de géolocalisation provenant de téléphones cellulaires achetés (p. ex. le temps passé à différents types de points de vente au détail au cours du dernier mois), les données de sondage fournies volontairement et les listes d’adresses achetées ainsi que les données de recensement et d’autres données regroupées qui aideront les entreprises à cibler les bons clients avec plus de précisionNote de bas de page 8.
  4. En ce qui concerne le plaignant, l’annuaire téléphonique où la SCP a recueilli son nom et son adresse n’englobait pas son numéro d’appartement, qui était nécessaire en vue de la distribution du courrier qui lui était destiné. La SCP a expliqué que dans le contexte du programme Marketing Intelliposte, elle voyait à ce que les adresses soient exactes en y ajoutant, par exemple, le numéro de bureau ou d’unité manquant afin d’assurer la distribution du courrier de marketing. Pour ce qui est du plaignant, la SCP a confirmé qu’elle avait ajouté le numéro d’appartement, qu’elle avait obtenu en consultant ses données opérationnelles (et qui avait été recueilli dans les données sur l’adresse sur les colis et les enveloppes qu’elle livreNote de bas de page 9), afin de mettre à jour l’adresse postale du plaignant en vue de la campagne de marketing dans la présente affaire.
  5. La SCP a fait observer qu’elle ne tenait compte que des individus dont les renseignements figurent dans les listes d’adresses qu’elle compile à partir des données issues du programme Marketing Intelliposte si elle a été en mesure de trouver ces renseignements dans l’annuaire téléphonique public ou dans les résultats d’un sondage mené auprès des consommateurs sur la « base du consentement »; ce sont les cas où l’entreprise a fait remarquer que les individus avaient consenti à ce que leurs renseignements soient transmis aux entreprises partenaires à des fins de marketing et de recherche.
  6. Les annonceurs peuvent sélectionner les « attributs de ciblage » pour les listes d’adresses de marketing selon le voisinage, le code postal ou le ménage. Sur son site Web, la SCP précise qu’elle peut préparer des listes d’adresses de marketing en se fondant sur 1 200 attributs de ciblage disponibles dans des catégories comme les données démographiques (p. ex. l’état matrimonial et l’ethnicité), les champs d’intérêt et les habitudes (p. ex. les amateurs de golf et les détenteurs de cartes de fidélité), et l’étape de la vie et le mode de vie (p. ex. les familles avec enfants et les amateurs de plein air)Note de bas de page 10.

Problèmes

  1. À la lumière des allégations soulevées par le plaignant, le présent rapport examine la question de savoir si les pratiques de collecte, puis d’utilisation et de communication de la SCP ayant entraîné la réception par le plaignant du courrier non sollicité qui lui était destiné sont conformes : i) à l’exigence selon laquelle les renseignements que peut recueillir une institution doivent être ceux qui ont un lien direct avec ses programmes ou ses activités en vertu de l’article 4 de la Loi; ii) l’exigence selon laquelle la collecte de renseignements personnels doit se faire directement et après la réception d’un avis approprié au titre de l’article 5 de la Loi; et iii) l’exigence selon laquelle il faut obtenir le consentement de la part des individus pour utiliser et communiquer leurs renseignements personnels, sauf dans les cas où certaines conditions s’appliquent, aux termes des articles 7 et 8 de la Loi.

Analyse

Question à trancher 1 : Les services de listes d’adresses de marketing de la SCP sont-ils conformes aux exigences en matière de collecte de l’article 4 de la Loi?

  1. L’article 4 de la Loi précise que les seuls renseignements personnels que peut recueillir une institution fédérale sont ceux qui ont un lien direct avec ses programmes ou ses activités. À la suite d’un examen minutieux, qui est présenté de façon détaillée ci-dessous, nous reconnaissons que les services de listes d’adresses de marketing de la SCP correspondent à certains de ses programmes qui sont autorisés par la Loi sur la SCP. Par conséquent, nous reconnaissons que la SCP peut recueillir des renseignements personnels dans le but exprès de gérer ces services moyennant des frais au titre de l’article 4 de la Loi.
  2. De façon précise, la SCP a cité le paragraphe 5(1) de la Loi sur la SCP en tant qu’autorisation légitime d’exploiter le programme Marketing Intelliposte. Le paragraphe 5(1) de cette loi précise que la SCP a pour mission « de créer et d’exploiter un service postal comportant […] la distribution […] de messages, renseignements, fonds ou marchandises » et d’assurer les prestations des services « qu’elle estime utiles à son exploitation » et « dont elle s’estime capable sans inconvénient pour la réalisation des autres objectifs de sa mission ».
  3. La SCP a cité également l’alinéa 5(2)b) de la Loi sur la SCP selon lequel, dans l’exercice de sa mission, elle « veille à l’autofinancement de son exploitation ». La SCP n’a pas défini expressément ce qu’elle considérait comme des « services utiles »; cependant, elle a signalé dans ses observations au Commissariat que la transmission de listes d’adresses de publipostage aux clients commerciaux est un service qui est utile pour ce qui est du service postal fourni par la SCP et qui peut être assuré facilement lors de la réalisation des autres éléments de sa mission, conformément à l’article 5 de la Loi sur la SCP. Elle a également indiqué que, surtout, la prestation de ce service contribue au maintien de l’indépendance et de la viabilité financières de la SCP.
  4. Autrement dit, la SCP estime que le programme Marketing Intelliposte et ses autres services comme l’épuration des listes de clientsNote de bas de page 11 sont des « services utiles » qui se rattachent directement à son mandat consistant à exploiter un service postal de façon autonome sur le plan financier.
  5. En nous fondant sur ce qui précède, nous reconnaissons que la collecte de renseignements personnels décrite au paragraphe 6 ci-dessus, aux fins de l’offre du programme Marketing Intelliposte, se rattache directement aux programmes d’exploitation de la SCP, en application du paragraphe 5(1) de la Loi sur la SCP. Par conséquent, les collectes sont conformes à l’article 4 de la Loi, et nous estimons que ce volet de la plainte est non fondée. Cependant, comme il est décrit de façon approfondie dans la section sur la question à trancher 3 du présent rapport, nous avons conclu que la SCP ne s’était pas conformée aux exigences énoncées à l’article 5 de la Loi.
  6. Nous admettons les arguments ci-dessus de la SCP pour ce qui est de sa conformité à l’article 4 de la Loi. Or, le vaste pouvoir discrétionnaire qu’elle exerce pour procéder à la collecte au titre de cette disposition constitue une responsabilité importante, et, à notre avis les Canadiens sont en droit de s’attendre à ce qu’il soit ne soit utilisé qu’à des fins gouvernementales soigneusement définies. Dans ce contexte, à des fins d’intégralité, nous tenons compte de certains des arguments auxiliaires présentés par la SCP et nous les abordons.
  7. Premièrement, la SCP a fait valoir que son pouvoir de créer des programmes ou des activités comme le programme Marketing Intelliposte repose en outre sur le paragraphe 16(1) de la Loi sur la SCP, selon lequel « [d]ans l’exécution de sa mission et l’exercice de ses fonctions, la Société a, sous réserve des autres dispositions de la présente loi, la capacité d’une personne physique ». La SCP a fait observer que cet octroi de pouvoirs la distingue de la plupart des autres institutions fédérales et qu’il nécessitait le recours à une approche différente dans l’évaluation de ce qu’elle est autorisée à faire.
  8. Nous reconnaissons que cet octroi de pouvoirs distingue la SCP des autres institutions fédérales, mais la jurisprudence sur l’article 16 de la Loi sur la SCP tend à décrire que la disposition donne à la SCP le pouvoir de participer à des transactions distinctes, comme conclure des contrats, augmenter des taux ou octroyer des licencesNote de bas de page 12. De plus, les pouvoirs de la SCP au titre de l’article 16 de la Loi sur la SCP sont circonscrits par son mandat statutaire. Ce fait ressort clairement du préambule de la disposition ([d]ans l’exécution de sa mission et l’exercice de ses fonctions [en vertu de la Loi sur la SCP]). Par conséquent, et contrairement aux observations de la SCP, l’article 16 de la Loi sur la SCP ne signifie pas que la SCP dispose d’un pouvoir autonome pour recueillir des renseignements personnels. L’interprétation de l’article 16 de la Loi sur la SCP engendrerait autrement l’application limitée de l’article 4 à la SCP. Par conséquent, nous rejetons l’argument selon lequel l’article 16 de la Loi sur la SCP donne à la SCP le vaste pouvoir de recueillir des renseignements personnels.
  9. Deuxièmement, la SCP a relevé une tendance à la baisse du volume de lettres depuis de nombreuses années et a précisé que pour combler le manque à gagner qui en découle tout en s’assurant de continuer de remplir son mandat à l’échelle nationale, elle devait innover continuellement et intégrer de nouvelles méthodes de diversification de ses sources de recettes. Elle a soutenu qu’elle ne considère pas que la réalisation de ces activités est d’une quelconque manière contraire à l’intérêt public et que les recherches démontrent que les consommateurs aiment recevoir des offres de marketing pertinentes par courrier. Nous ne souscrivons pas au fait que les Canadiens auraient tous une perception aussi positive à l’égard de la monétisation des renseignements personnels qu’ils confient à la SCP pour favoriser le marketing ciblé.
  10. Troisièmement, la SCP a fait observer que la préparation de listes d’adresses commerciales est une pratique opérationnelle courante des administrations postales nationales à l’échelle mondiale, y compris celles qui exercent leurs activités à l’intérieur d’un régime solide de protection des renseignements personnels. Elle a cité à titre d’exemple le Royaume-Uni, l’Australie, l’Allemagne, la France, la Suède, la Finlande, l’Espagne et les États-Unis. Cependant, lorsque nous avons examiné le matériel accessible au public de ces autres services postaux, rien n’indiquait que ces services monétisaient des renseignements personnels sous forme de listes d’adresses sans en avoir d’abord obtenu le consentement comme le fait la SCP. En fait, nous avons constaté que le Service postal des États-Unis (USPS) précise dans sa politique en matière de protection des renseignements personnels qu’il ne vend ni ne loue de renseignements personnelsNote de bas de page 13.

Question à trancher 2 : Les services de listes d’adresses de marketing de la SCP sont-ils conformes aux exigences énoncées aux articles 7 et 8 de la Loi?

  1. L’article 7 de la Loi sur la protection des renseignements personnels précise que, à défaut du consentement de l’individu concerné, les renseignements personnels relevant d’une institution fédérale ne peuvent servir à celle-ci : a) qu’aux fins auxquelles ils ont été recueillis ou préparés par l’institution de même que pour les usages qui sont compatibles avec ces fins; ou b) qu’aux fins auxquelles ils peuvent lui être communiqués en vertu du paragraphe 8(2).
  2. L’article 8 de la Loi stipule que les renseignements personnels qui relèvent d’une institution fédérale ne peuvent être communiqués qu’avec le consentement de l’individu qu’ils concernent [paragraphe 8(1)] ou conformément à l’un des cas décrits au paragraphe 8(2), dont celui à l’alinéa 8(2)a) qui se lit comme suit : « communication aux fins auxquelles ils ont été recueillis ou préparés par l’institution ou pour les usages qui sont compatibles avec ces fins » [non gras dans l’original]. Le critère à utiliser pour établir si la communication un « usage compatible » est la question de savoir s’il existe un lien suffisamment direct entre les fins et l’usage projeté de sorte qu’il serait raisonnable que l’individu s’attende à ce que ses renseignements soient utilisés de la manière proposéeNote de bas de page 14.
  3. Comme il est décrit au paragraphe 6 ci-dessus, la SCP utilise un éventail de renseignements personnels qu’elle recueille auprès de différentes sources, y compris sur les enveloppes et les colis qu’elle livre, afin de produire des listes d’adresses de marketing précises et ciblées pour les clients commerciaux dans le cadre du programme Marketing Intelliposte. Également, dans le cadre du processus, elle communique le nom et les adresses d’individus aux fournisseurs de services postaux afin de [remplir les enveloppes] au nom des annonceurs conformément aux clauses contractuelles qu’elle a établies.
  4. Comme il est décrit de façon détaillée ci-dessous, nous ne reconnaissons pas la première position de la SCP selon laquelle son utilisation et sa communication de renseignements personnels lors de la prestation de services de listes d’adresses de marketing aux clients commerciaux visaient la « livraison postale » ou un usage compatible avec cette fin [deuxième condition habilitante figurant à l’alinéa 8(2)a)]. Cependant, nous reconnaissons que cette utilisation et cette communication de renseignements personnels satisfont aux exigences énoncées aux alinéas 7a) et 8(2)a) puisque nous admettons la deuxième position de la SCP selon laquelle le programme Marketing Intelliposte est l’une des fins initiales de la collecte de renseignements personnels sur les colis et les enveloppes qu’elle livre ainsi que de la distribution du courrier en soi. Par souci de clarté, nous ne croyons pas que la plupart des Canadiens savent que le programme Marketing Intelliposte constitue une fin initiale. Nous abordons cette lacune ci-dessous, dans la section sur la question à trancher 3, qui englobe notre analyse sur l’article 5.
  5. En ce qui concerne sa première position, la SCP a fait observer que son utilisation des noms et des adresses figurant sur les enveloppes afin de corriger, de compléter et de mettre à jour les adresses d’individus dans les listes d’adresses pour les clients commerciaux, de même que de ceux qu’elle offre à ces clients par l’entremise de fournisseurs de services postaux contribue au tri et à la livraison précis et en temps utile du courrier. Elle a fait valoir que l’utilisation de renseignements personnels dans le cadre du programme Marketing Intelliposte visait donc la livraison postale ou un usage compatible avec cette fin.
  6. Nous n’admettons pas que l’utilisation des adresses ou des habitudes de magasinage en ligne en vue de la prestation de services de listes d’adresses de marketing aux clients commerciaux vise la livraison postale ou qu’elle se rattache, dans une mesure suffisante, directement à cette fin de sorte qu’il serait raisonnable qu’un individu s’attende à ce que ses renseignements soient utilisés de la manière proposée.
  7. Pour ce qui est de sa deuxième position, la SCP a soutenu que l’exécution du programme Marketing Intelliposte était l’une des fins initiales de la collecte de l’ensemble des renseignements personnels décrits au paragraphe 10, y compris les renseignements opérationnels qu’elle recueille sur les enveloppes et les colis qu’elle livre. La SCP a signalé que cette position était soutenue par la description publiée de son fichier de renseignements personnels (FRP) intitulé Exactitude des adresses et livraison du courrier (PPU 001), qui contient « les noms et adresses recueillis sur les enveloppes pour faciliter le tri et la validation aux fins de livraison du courrier, mais aussi pour créer, valider et corriger les listes d’adresses de marketing » [non souligné dans l’original]. La description publiée du FRP précise également que l’objectif de la collecte des renseignements figurant dans le fichier est le suivant : « But : Ces fichiers sont utilisés pour appuyer la prestation de services postaux, y compris les services de courrier avec l’option Signature et les listes d’adresses de marketing »Note de bas de page 15 [non souligné dans l’original].
  8. À la lumière de ce qui précède et compte tenu du vaste pouvoir discrétionnaire dont la SCP dispose pour établir ses programmes tels qu’ils sont décrits dans la section sur la question à trancher 1 du présent rapport, nous reconnaissons que l’utilisation et la communication de renseignements personnels par la SCP en vue de la prestation de services de publipostage se font à l’origine à des fins de collecte, et que, par conséquent, elles sont conformes aux alinéas 7a) et 8(2)a) de la Loi.

Question à trancher 3 : Les services de listes d’adresses de marketing de la SCP sont-ils conformes aux exigences en matière de collecte de l’article 5 de la Loi?

  1. Nous avons estimé que les articles 4, 7 et 8 de la Loi autorisent la collecte de renseignements personnels ainsi que leur utilisation et leur communication subséquentes en vue de l’offre du programme Marketing Intelliposte, mais nous avons établi que cette collecte n’est pas conforme à l’article 5 de la Loi, selon lequel une institution fédérale est tenue de recueillir auprès de l’individu lui-même les renseignements personnels et de l’informer du but de cette collecte, sauf dans certaines circonstances.
  2. De façon précise, le paragraphe 5(1) énonce qu’« [u]ne institution fédérale est tenue de recueillir auprès de l’individu lui-même, chaque fois que possible, les renseignements personnels destinés à des fins administratives le concernant, sauf autorisation contraire de l’individu ou autres cas d’autorisation prévus au paragraphe 8(2). » Le paragraphe 5(2) de la Loi stipule qu’« [u]ne institution fédérale est tenue d’informer l’individu auprès de qui elle recueille des renseignements personnels le concernant des fins auxquelles ils sont destinés ». Enfin, le paragraphe 5(3) précise que les paragraphes (1) et (2) ne s’appliquent pas dans les cas où leur observation risquerait a) soit d’avoir pour résultat la collecte de renseignements inexacts; b) soit de contrarier les fins ou de compromettre l’usage auxquels les renseignements sont destinés.
La collecte de renseignements personnels vise des fins administratives
  1. La SCP a fait valoir que l’utilisation et la communication des renseignements personnels d’individus en vue de l’offre de services de listes d’adresses de marketing ne visaient pas des « fins administratives », conformément à l’intention de la Loi. Nous avons donc d’abord examiné la question de savoir si l’article 5 s’appliquait, ce qui comprend celle de savoir si l’utilisation des renseignements d’un individu en vue de la prestation de services de listes d’adresses de marketing constituait un usage à des « fins administratives », comme le définit l’article 3 de la Loi, à savoir « l’usage de renseignements personnels concernant un individu dans le cadre d’une décision le touchant directement ».
  2. La jurisprudence touchant l’interprétation de la définition de « fins administratives » dans la Loi est limitée. Cependant, dans sa définition de fins administratives, la Politique sur la protection de la vie privéeNote de bas de page 16 du Secrétariat du Conseil du Trésor (SCT) précise ce qui suit : « Cela comprend tout usage de renseignements personnels afin de confirmer l’identité d’une personne (c.-à-d. à des fins d’authentification et de vérification) ainsi que de déterminer si celle-ci est admissible aux programmes gouvernementaux. » En outre, la Politique décrit le concept binaire de « fins non administratives » comme étant « l’usage de renseignements personnels pour une fin qui n’est pas liée à un processus de prise de décision touchant directement la personne. Cela comprend l’usage de renseignements personnels à des fins de recherche, de statistique, de vérification et d’évaluationNote de bas de page 17. »
  3. Cela concorde avec une décision du commissaire à l’information et à la protection de la vie privée de la Colombie-Britannique, qui affirme que la Loi (ainsi que la loi britanno-colombienne sur la protection des renseignements personnels) fait la « distinction fonctionnelle » entre la simple recherche ou l’usage à des fins statistiques (qui ne se qualifieront pas en tant que fins administratives), d’une part, et les décisions « administratives », d’autre part. De plus, en ce qui concerne le terme « fins administratives », lors des délibérations sur le projet de loi C-25 en vue de la présentation de la Loi, en 1977, le ministre de la Justice d’alors avait également défini les fins administratives en opposition directe aux fins statistiquesNote de bas de page 18.
  4. Nous ne souscrivons pas à l’argument de la SCP selon lequel les renseignements personnels figurant dans la base de données sur le programme Marketing Intelliposte ne sont pas utilisés pour les types de « fins administratives » prévues dans la Loi. La SCP a soutenu que les services de publipostage qu’elle offre ne touchent pas les droits d’un individu et que, par conséquent, les renseignements personnels sous-jacents n’étaient pas utilisés à des fins administratives. Elle a fait valoir que le programme Marketing Intelliposte ne servait pas une fonction publique qui était généralement associée à des entités administratives en ce sens où il : i) n’affecte pas de ressources publiques; ii) ne statue pas sur des questions englobant des intérêts individuels; ou iii) ne touche pas la relation entre des individus et les institutions publiques. La SCP soutient que, dans le cadre de l’exploitation de ce programme purement commercial, aucune décision n’est prise au sujet d’un individu ou ne le touche directement aux fins administratives prévues dans la Loi. L’effet de l’argument de la SCP vise à limiter la portée du terme « fins administratives », qui, selon l’article 3 de la Loi, signifie « destination de l’usage de renseignements personnels concernant un individu dans le cadre d’une décision le touchant directement », à des processus décisionnels gouvernementaux plus classiques (par exemple si un ministère prend une décision concernant l’octroi d’un permis). Nous ne souscrivons pas à cette interprétation.
  5. À notre avis, l’interprétation de la SCP de la portée de « fins administratives » est trop restrictive. Des décisions sont prises au sujet d’individus dans le cadre du programme Marketing Intelliposte, particulièrement la décision consistant à intégrer le nom d’un individu dans une liste d’adresses qui servira par la suite à des fins de marketing. Les individus sont touchés directement par cette décision parce qu’ils sont alors ciblés essentiellement à des fins de marketing et qu’ils reçoivent du courrier non sollicité qui leur est destiné et qu’ils n’auraient autrement pas reçu.
  6. Si le Parlement avait voulu que la définition de « fins administratives » ne s’applique qu’à certains types de mesures décisionnelles touchant les individus, il aurait intégré le libellé explicite à cette fin dans la Loi, mais il ne l’a pas fait. À notre avis, le fait que la SCP ne se mène pas un processus décisionnel administratif gouvernemental « classique » (par exemple pour établir si elle doit délivrer un permis ou accepter une demande) ne signifie pas qu’elle le fait à l’extérieur de la portée de l’article 5 de la Loi. Par conséquent, à notre avis, l’article 5 s’applique aux renseignements personnels recueillis aux fins de la prestation de services de publipostage de la SCP.
La collecte indirecte de renseignements personnels n’est pas autorisée par les individus
  1. La SCP a fait valoir que même si les renseignements personnels servant à la prestation directe de services de publipostage sont décrits comme étant utilisés à des fins administratives, rien dans la conception du programme Marketing Intelliposte n’enfreint l’article 5 de la Loi. De façon précise, elle a soutenu que les individus l’ont implicitement autorisée à recueillir indirectement les renseignements conformément au paragraphe 5(1) de la Loi. La position de la SCP est que cette autorisation implicite de recueillir des renseignements personnels auprès de tiers (comme les renseignements figurant dans les sondages) découle du consentement des individus à permettre à ces tiers de transmettre leurs renseignements à des fins de recherche et de marketing. Selon la position de la SCP, l’autorisation implicite d’utiliser des renseignements personnels à l’extérieur du cadre de la distribution du courrier découle du fait que les individus acceptent généralement la livraison du courrier par la SCP et du fait qu’ils peuvent faire retirer leurs renseignements de la base de données du programme Marketing Intelliposte, comme le décrivent la Politique sur la protection des renseignements personnelsNote de bas de page 19 de la SCP, son « livret sur la protection des renseignements personnels », qui se trouve dans les points de vente, et son FRP intitulé « Exactitude des adresses et livraison du courrier » (PPU 001Note de bas de page 20).
  2. L’« autorisation » n’est pas définie dans la Loi, mais pour qu’un individu soit réputé avoir « autorisé » une pratique, il doit, à notre avis : i) connaître la pratique ou s’y attendre raisonnablement; et ii) avoir pris une mesure dont on peut déduire raisonnablement qu’il autorise la pratique, que ce soit de manière expresse, comme par le biais d’une autorisation signée, ou, à tout le moins, de manière implicite au moyen de son comportement.
  3. En ce qui concerne les renseignements recueillis auprès de tiers qui ont cherché à obtenir un consentement (valide) pour les transmettre à la SCP à des fins de marketing, nous reconnaissons que cette pratique pourrait en théorie représenter une autorisation de procéder à la collecte indirecte des renseignements. À notre avis, pour respecter cette condition, la SCP devrait faire preuve de diligence raisonnable pour confirmer que les tiers ont en fait obtenu un consentement en vue de la communication des renseignements personnels à la SCP à des fins de marketing. Étant donné que rien n’indique que la SCP avait recueilli de cette façon les renseignements personnels du plaignant, nous n’avons pas examiné la diligence raisonnable qu’elle a exercée dans ce contexteNote de bas de page 21.
  4. Nous ne souscrivons pas à l’argument de la SCP selon lequel les individus autorisent de façon implicite la collecte indirecte de leurs renseignements personnels dans le cadre du programme Marketing Intelliposte en acceptant qu’elle leur envoie du courrier de façon générale et en n’ayant pas recours à l’option de retrait offerte sur son site Web. La SCP a affirmé que le terme « courrier » englobe du courrier transactionnel et publicitaire, et que, par conséquent, en recevant du courrier de façon générale, les individus l’autorisent de façon implicite à recueillir et à utiliser leurs renseignements personnels afin d’assurer la livraison du courrier publicitaire. Elle a fait valoir qu’elle avait obtenu l’autorisation de ménages canadiens de distribuer du courrier à leur adresse et qu’il serait absurde de leur demander de nouveau l’autorisation de leur distribuer du courrier. Elle a ajouté que les individus peuvent se retirer du programme Marketing Intelliposte en allant sur son site Web et que, en n’ayant pas recours à cette option, ils l’autorisaient de façon implicite à utiliser leurs renseignements personnels dans le cadre de ce programme.
  5. À notre avis, l’utilisation par les individus du service postal de façon générale et l’offre d’un mécanisme de retrait dans la Politique sur la protection des renseignements personnels de la SCP ne constituent pas une autorisation de la part des individus de procéder à la collecte indirecte de leurs renseignements personnels sur les colis et les enveloppes qu’ils reçoivent aux fins de l’exécution du programme Marketing Intelliposte. De manière précise, nous ne croyons pas : i) que la plupart des individus seraient au courant de l’existence de la pratique ou qu’ils s’y attendraient de façon raisonnable; et ii) qu’ils l’auraient autorisée de façon expresse ou par leur comportement. La pratique consistant à utiliser l’adresse ou les renseignements comportementaux à partir d’une enveloppe envoyée par la poste en vue de l’obtention de données sur les habitudes de magasinage en ligne, et à valider ou à corriger une liste d’adresses commerciales ne semble pas se rattacher dans une mesure suffisante à la distribution traditionnelle du courrier de manière à ce qu’une autorisation puisse découler de l’acte d’inscrire une adresse sur l’enveloppe ou, de façon plus générale, du recours par un individu aux services de distribution postale au Canada. Comme nous l’avons constaté lors d’une enquête précédente menée par la SCPNote de bas de page 22, le consentement éclairé est la question essentielle dans la présente affaire.
  6. En outre, nous n’avons reçu aucune observation de la part de la SCP selon laquelle une exception au titre du paragraphe 5(3) s’appliquerait dans la présente affaire, et aucune exception ne semble applicable sur la base des faits. Par conséquent, rien n’indique qu’une exception à l’exigence en matière de collecte directe s’applique dans ce contexte.
  7. Nous tenons à souligner que, dans ses observations, la SCP a déclaré qu’à titre de société d’État, elle partage certaines similarités avec des entités du secteur privé comme une société d’État et que la Loi sur la protection des renseignements personnels et les documents électroniques (la « LPRPDENote de bas de page 23 »), et plus précisément son règlement d’application, autorise une organisation à utiliser et à communiquer à des fins commerciales des renseignements personnels accessibles au public sans obtenir un consentement, comme le précise le règlement d’application de la LPRPDENote de bas de page 24. Comme la SCP est une institution visée par la Loi sur la protection des renseignements personnels, et non pas par la LPRPDE, nous n’avons pas évalué le programme Marketing Intelliposte par rapport aux exigences énoncées dans la LPRPDE. Nous tenons toutefois à souligner qu’à l’exception des renseignements que la SCP recueille à partir de l’annuaire téléphonique public, aucun des renseignements utilisés dans le cadre du programme Marketing Intelliposte n’est accessible au public. En fait, comme la SCP le souligne dans son matériel de promotion, c’est le recours à ces « données opérationnelles exclusives » non accessibles au public (pour lesquelles elle n’obtient aucun consentement) qui rend ses services de listes d’adresses de marketing particulièrement utilesNote de bas de page 25.
  8. Par ailleurs, la SCP a soutenu qu’en exigeant qu’elle modifie ses pratiques d’obtention de l’autorisation des individus, on la soumettrait à une norme en matière de protection des renseignements personnels plus stricte que celle qui s’applique aux autres organismes canadiens qui exercent des activités opérationnelles semblables étant donné que, à son avis, les renseignements personnels en cause ne sont pas de nature délicate et que le risque de préjudice à l’endroit des individus est extrêmement faible. Cependant, sans égard à la nature délicate des renseignements personnels, le consentement à la collecte, à l’utilisation et à la communication de renseignements personnels est la pierre angulaire de la LPRPDE ainsi que des lois provinciales pour le secteur privé dans les circonstances extrêmement précises prévues par la loi (comme l’exception ci-dessus qui touche l’information accessible au public). De façon semblable à notre analyse ci-dessus de ce qui constitue une « autorisation », les lignes directrices conjointes délivrées par le CPVP et les commissariats à l’information et à la protection de la vie privée de l’Alberta et de la Colombie-Britannique pour l’obtention d’un consentement valable précisent que dans les cas où un individu ne s’attendrait raisonnablement pas à ce que ses renseignements personnels soient recueillis, utilisés ou communiqués d’une façon particulière, un consentement exprès est généralement exigéNote de bas de page 26.
  9. Pour toutes les raisons décrites ci-dessus, nous estimons que la SCP n’a pas obtenu l’autorisation des individus de procéder à la collecte indirecte de leurs renseignements personnels sur les colis et les enveloppes qu’elle livre aux fins de l’exécution du programme Marketing Intelliposte, et que, par conséquent, elle enfreint l’article 5 de la Loi.

Recommandations

  1. À la lumière de cette infraction à l’article 5 de la Loi, nous avons recommandé que la SCP cesse sa pratique courante consistant à utiliser et à communiquer des renseignements personnels tirés de ses données opérationnelles pour se livrer à des activités de publipostage sans avoir d’abord obtenu l’autorisation des individus de procéder à la collecte indirecte de leurs renseignements personnels.
  2. La SCP n’a pas souscrit à notre conclusion et n’a pas accepté de donner suite à cette recommandation. Elle a plutôt entamé des travaux visant à : i) améliorer la clarté des renseignements sur son site Web au sujet de l’utilisation qu’elle fait des renseignements personnels d’individus pour fournir des services de listes d’adresses de marketing, et accroître la visibilité des mécanismes de retrait connexes; ii) ajouter une brochure connexe dans ses points de vente; et iii) informer ses clients commerciaux au sujet de la façon de répondre aux questions des individus sur le courrier publicitaire qu’ils reçoivent dans le cadre du programme Marketing Intelliposte.
  3. Nous louons l’engagement de la SCP d’accroître la transparence étant donné que l’information sur l’utilisation qu’elle fait des renseignements personnels dans le cadre du programme Marketing Intelliposte et sur le mécanisme de retrait connexe pour les individus est actuellement difficile à trouver et incomplète. Cependant, à notre avis, ces mesures ne constituent pas l’obtention d’une autorisation de la part des individus comme l’exige l’article 5 et, par conséquent, elles ne corrigent pas l’infraction à la Loi. De façon précise, les mesures sur lesquelles la SCP travaille ne permettent pas de voir : i) à ce que les individus dont les renseignements personnels sont recueillis dans le cadre du programme Marketing Intelliposte soient tous au fait de cette situation; et ii) à ce que les individus touchés aient tous donné leur autorisation, de façon expresse ou par leur comportement, pour la pratique.
  4. Sur le plan pratique, les individus ne sont pas mis au courant des pratiques de la SCP ou ne se font pas offrir le choix (d’autoriser ou non la collecte indirecte de leurs renseignements personnels dans le cadre du programme Marketing Intelliposte) lorsqu’ils ont recours aux services de la SCP pour la distribution traditionnelle du courrier (comme l’envoi par la poste d’une enveloppe). Les mesures proposées par la SCP ciblent uniquement les individus qui interagissent de façon proactive avec la SCP par le biais de ses propriétés numériques ou dans ses points de vente, et seulement si ces individus cherchent les renseignements pertinents.
  5. Nous avons invité la SCP à examiner des options potentielles d’obtention d’une autorisation, notamment en communiquant par courrier avec les individus (à l’aide des coordonnées dont elle dispose) dans le cadre d’un processus d’envoi postal. La SCP a soutenu qu’elle avait envisagé la possibilité de faire un envoi postal au sujet du programme Marketing Intelliposte, mais qu’elle croyait que cette initiative ciblerait les ménages, et non pas les individus, ce qui ne lui permettrait donc pas d’atteindre son but d’offrir un choix individuel valable. Elle n’a pas proposé d’autres solutions de rechange au-delà des mesures de transparence décrites ci-dessus. Sans égard aux points de vue de la SCP au sujet des limites associées à un envoi postal unique par rapport au statu quo, ce type de mesure serait une façon beaucoup plus efficace et percutante de communiquer avec les Canadiens, particulièrement ceux qui décident de ne pas interagir avec la SCP par le biais de ses propriétés numériques, y compris la plupart des Canadiens qui seraient peu susceptibles de rechercher des communications sur la protection des renseignements personnels.
  6. En fait, nous sommes d’avis que la SCP pourrait bel et bien satisfaire à notre recommandation en ayant recours à un processus bien structuré d’envoi postal aux ménages qui informerait les particuliers résidents au sujet de la collecte de leurs renseignements personnels dans le cadre du programme Marketing Intelliposte et qui offrirait aux individus une option facilement accessible de retrait de la collecte de renseignements à cette fin.
  7. Par conséquent, nous maintenons notre recommandation selon laquelle la SCP doit cesser sa pratique courante consistant à utiliser et à communiquer des renseignements personnels tirés de ses données opérationnelles pour se livrer à des activités de publipostage sans avoir d’abord obtenu l’autorisation des individus de procéder à la collecte indirecte de leurs renseignements personnels.

Conclusion

  1. Nous avons conclu que le programme Marketing Intelliposte de la SCP est conforme aux exigences énoncées aux articles 4, 7 et 8 de la Loi, mais qu’il enfreint l’article 5 de cette dernière. Comme la SCP n’a pas accepté de prendre des mesures correctives en vue de rendre le programme Marketing Intelliposte conforme à la Loi, nous concluons que la plainte est fondée et n’a pas été résolue.
  2. Nous nous attendrions à ce que la SCP prenne les mesures que nous avons recommandées afin d’assurer la conformité de ses activités à la Loi. Également, nous exhortons la SCP à examiner de nouveau la possibilité de prendre des mesures correctives comme le recours à un processus acceptable d’envoi postal tel qu’il est mentionné au paragraphe 51 ci-dessus.
Date de modification :