Bulletin d’interprétation : Exactitude

Mai 2013

L’un des principaux rôles du commissaire consiste à enquêter sur des plaintes en matière de protection de la vie privée à l’endroit d’organisations et à tenter de les résoudre. Ses conclusions sur une question donnée peuvent varier selon les faits propres à chaque cas ainsi que la position des parties en cause. Au fil du temps, les conclusions au sujet de certaines questions clés ont commencé à former des principes généraux pouvant servir de lignes directrices aux organisations.

Afin de résumer les principes généraux qui se sont dégagés des décisions judiciaires et des conclusions du commissaire, le CPVP publie des interprétations de certains concepts clés de la LPRPDE. Ces dernières n’ont pas force exécutoire, mais servent plutôt d’orientation à des fins de conformité à la LPRPDE. Elles peuvent évoluer et se préciser au fur et à mesure que la commissaire émet d’autres conclusions et que les tribunaux rendent d’autres décisions.

I. Dispositions législatives pertinentes

de la Loi sur la protection des renseignements personnels et les documents électroniques, L.C. 2000, ch. 5 (LPRPDE)

Principe 4.6 : Les renseignements personnels doivent être aussi exacts, complets et à jour que l’exigent les fins auxquelles ils sont destinés.

Principe 4.6.1 : Le degré d'exactitude et de mise à jour ainsi que le caractère complet des renseignements personnels dépendront de l'usage auquel ils sont destinés, compte tenu des intérêts de la personne. Les renseignements doivent être suffisamment exacts, complets et à jour pour réduire au minimum la possibilité que des renseignements inappropriés soient utilisés pour prendre une décision à son sujet.

Principe 4.6.2 : Une organisation ne doit pas systématiquement mettre à jour les renseignements personnels à moins que cela ne soit nécessaire pour atteindre les fins auxquelles ils ont été recueillis.

Principe 4.6.3 : Les renseignements personnels qui servent en permanence, y compris les renseignements qui sont communiqués à des tiers, devraient normalement être exacts et à jour à moins que des limites se rapportant à l'exactitude de ces renseignements ne soient clairement établies.

Principe 4.9.5 : Lorsqu’une personne démontre que des renseignements personnels sont inexacts ou incomplets, l’organisation doit apporter les modifications nécessaires à ces renseignements. Selon la nature des renseignements qui font l’objet de la contestation, l’organisation doit corriger, supprimer ou ajouter des renseignements. S’il y a lieu, l’information modifiée doit être communiquée à des tiers ayant accès à l’information en question.

Principe 4.9.6 : Lorsqu’une contestation n’est pas réglée à la satisfaction de la personne concernée, l’organisation prend note de l’objet de la contestation. S’il y a lieu, les tierces parties ayant accès à l’information en question doivent être informées du fait que la contestation n’a pas été réglée.

II. Interprétations générales des tribunaux

1.  Selon la Loi, les renseignements personnels ne doivent pas nécessairement être complètement exacts, complets et à jour. La Loi exige plutôt que les renseignements personnels soient aussi exacts, complets et à jour que l’exigent les fins auxquelles ils sont destinés. Par conséquent, c’est à la lumière de la fin à laquelle les renseignements sont destinés qu’il faut décider si les renseignements sont exacts, complets et à jour.  (Nammo c. Transunion of Canada Inc., 2010 CF 1284)
2. Une organisation ne peut échapper à l’obligation de se conformer au principe d’exactitude prévu par la LPRPDE simplement parce qu’elle a opté pour un système pratique d’un point de vue commercial.  Il n’y a aucune défense de nécessité pratique prévue dans la Loi.  (Nammo c. Transunion of Canada Inc., 2010 CF 1284)
3. L'idée selon laquelle il n’y a manquement que si les pratiques d’une organisation en matière d’exactitude sont inférieures aux normes de l’industrie est indéfendable.  Suivant cette interprétation, il faudrait logiquement conclure que si les pratiques d’une industrie tout entière sont contraires aux principes énoncés à l’annexe 1, il n’y a alors aucune violation de la Loi. Selon cette interprétation, les Canadiens ne pourraient effectivement pas contester les normes de l’industrie au motif qu’elles violeraient la Loi.  (Nammo c. Transunion of Canada Inc., 2010 CF 1284)
4. Les efforts visant à corriger les renseignements personnels d’un individu après le fait ne remédieront pas à une atteinte au principe d’exactitude (4.6). Le fait de remédier à la violation n’est pas une  issue de secours , mais plutôt un facteur à considérer au moment d’établir quelle mesure de réparation, le cas échéant, la Cour doit accorder aux termes de l’article 16 de la LPRPDE. (Nammo c. Transunion of Canada Inc., 2010 CF 1284)
5. L’organisation est soumise à une obligation continue de s’assurer que les renseignements personnels dont elle se sert sont exacts, complets et à jour; cette obligation ne surgit pas qu’à compter du moment o les personnes concernées l’informent que leurs renseignements personnels ne sont plus exacts, complets ni à jour. La responsabilité liée au contrôle et au maintien de dossiers exacts ne saurait être transférée des organisations aux individus. (Nammo c. Transunion of Canada Inc., 2010 CF 1284)
6. Lorsqu’il est indiqué qu’une organisation avise des tiers à qui elle avait déjà divulgué des renseignements inexacts, elle doit aussi leur fournir les renseignements modifiés de manière à  corriger la situation . (Nammo c. Transunion of Canada Inc., 2010 CF 1284)
7. Lorsqu’il s’agit d’examiner le caractère raisonnable d’une conduite liée à une violation du principe d’exactitude (aux fins d’évaluation des dommages-intérêts au titre de l’article 16 de la LPRPDE),  la Cour doit prendre en compte plusieurs facteurs, y compris la nature de la réponse au plaignant, les mesures prises pour enquêter sur l’inexactitude alléguée, les mesures prises pour corriger les renseignements recueillis dans les propres dossiers de l’organisation, les mesures prises pour corriger les faux renseignements que l’organisation a transmis à des tiers, les mesures prises pour informer le plaignant de l’évolution de l’enquête et la célérité avec laquelle l’organisation a pris ces mesures.  (Nammo c. Transunion of Canada Inc., 2010 CF 1284)
8.  Une agence d’évaluation du crédit tire profit de l’échange de renseignements personnels de tiers. Une telle entreprise, peut-être plus que d’autres types d’entreprise, doit saisir l’importance de l’exactitude des renseignements et de la correction rapide en cas d’erreur, et doit s’attendre à être tenue responsable lorsqu’elle ne le fait pas.  (Nammo c. Transunion of Canada Inc., 2010 CF 1284)

III. Application par le CPVP dans divers contextes

La question de savoir si une organisation satisfait aux obligations que la LPRPDE lui impose en matière d’exactitude dépend des faits révélés par l’enquête faisant suite à chaque plainte. Les exemples suivants illustrent comment le principe d’exactitude a été interprété et appliqué par le CPVP, de même que certaines des conclusions qu’il a tirées dans différents contextes.

• Les renseignements personnels doivent être complets et à jour aux fins de tenue du dossier d’un employé.
  • Résumé de conclusions d’enquête en vertu de la LPRPDE n^o 2002-73 : Une entreprise de télécommunication est priée d’adopter des pratiques uniformes de conservation.
• LaLPRPDE oblige les organisations à adopter des mesures de sécurité adéquates pour s’assurer que les renseignements personnels qu’elles détiennent sont exacts.
  • Résumé de conclusions d’enquête en vertu de la LPRPDE n^o 2006-344 : Le coffret de sreté d’un couple ouvert par erreur.
  • Résumé de conclusions d’enquête en vertu de la LPRPDE n^o 2007-381 : La banque rehausse ses mesures de sécurité après que les renseignements personnels d’une personne ont été utilisés par un imposteur pour ouvrir un compte de carte de crédit.
• Une organisation n’était pas tenue de modifier ou de mettre à jour des renseignements personnels qui étaient aussi exacts, complets et à jour que l’exigeaient les fins fiscales et comptables relatives aux investissements du plaignant (c.-à-d. les fins pour lesquelles ces renseignements ont été recueillis et utilisés) avant de les présenter à un tribunal pour les besoins de celui ci.
  • Résumé de conclusions d’enquête en vertu de la LPRPDE n^o 2009-005 : Les renseignements financiers d’un homme sont communiqués aux avocats de sa femme par un cabinet d’experts-comptables ayant mal respecté une citation à témoin.
• Il a été jugé qu’une organisation avait violé le principe d’exactitude parce qu’elle ne s’était pas assurée que les renseignements personnels qu’elle avait divulgués à la police étaient aussi exacts que possible.
  • Résumé de conclusions d’enquête en vertu de la LPRPDE n^o 2002-53 : Une banque est accusée d’avoir fourni au service de police des photos de surveillance de la mauvaise personne
• En présentant des renseignements potentiellement dépassés ou incomplets provenant d’une source de données aux liens rompus, l’agence d'évaluation du crédit pourrait augmenter le risque que des renseignements inappropriés soient utilisés pour prendre une décision en matière de crédit concernant un individu, en violation du principe 4.6.1.
  • Résumé des conclusions en vertu de la LPRPDE n^o 2011-009 : Une agence d’évaluation du crédit retranche du rapport de solvabilité d’une personne, à l’insu de celle-ci, l’historique de remboursement d’un prêt.
• Des renseignements inexacts sur les antécédents en matière de crédit peuvent avoir des répercussions négatives sur l’individu concerné.
  • Résumé de conclusions d’enquête en vertu de la LPRPDE n^o 2003-224 : Une banque omet de corriger une divergence concernant la cote de solvabilité et de donner accès à des dossiers financiers.
  • Résumé de conclusions d’enquête en vertu de la LPRPDE n^o 2003-163 : Une banque manque à son obligation de tenir des renseignements personnels à jour et exacts.

Droit de modifier des renseignements inexacts et d’en aviser des tiers

• Une personne doit démontrer que les renseignements détenus par une organisation sont inexacts pour que celle-ci soit obligée de les modifier.
  • Résumé de conclusions d’enquête en vertu de la LPRPDE n^o 2005-293 : La commissaire examine les allégations portées contre une compagnie d’assurances concernant l’accès à des renseignements personnels, ainsi que leur communication inappropriée et le refus d’y apporter des corrections
  • Résumé de conclusions d’enquête en vertu de la LPRPDE n^o 2006-359 : Communication de renseignements inexacts par une banque au sujet d’un chèque sans provisions
  • Résumé de conclusions d’enquête en vertu de la LPRPDE n^o 2002-70 : Une banque est accusée d’attribuer une réputation de solvabilité erronée
• Une organisation a été jugée comme ayant respecté ses obligations en vertu du principe 4.9.6 lorsqu’elle a donné à une personne la possibilité de fournir une déclaration concernant une entrée qu’elle contestait. L’organisation a ensuite enregistré la déclaration et l’a jointe au dossier de crédit de la personne, avant de la communiquer à tous les tiers ayant accès à l’information sur le crédit de la personne.
  • Résumé de conclusions d’enquête en vertu de la LPRPDE n^o 2002-102 : Une personne s’oppose à la réponse tardive d’une agence relativement à son dossier de crédit