Document d’orientation sur la surveillance vidéo secrète dans le secteur privé

Introduction et portée

Le Commissariat à la protection de la vie privée considère la surveillance vidéo secrète comme une utilisation de la technologie portant grandement atteinte à la vie privée. Sa nature même permet la collecte de nombreux renseignements personnels qui peuvent être superflus ou mener à des jugements sur la personne en cause qui n’ont rien à voir avec le but initial de la collecte de renseignements. Le Commissariat est d’avis que la surveillance vidéo secrète ne devrait être envisagée que dans des cas très précis.

Les lignes directrices énoncées ci-dessous s’appuient sur la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), la loi fédérale en matière de protection de la vie privée applicable au secteur privé. Elles ont pour objectif de définir les obligations et les responsabilités en matière de protection de la vie privée des organisations du secteur privé qui envisagent de recourir à la surveillance vidéo secrète ou qui l’utilisent déjà. Le Commissariat considère la surveillance vidéo comme étant secrète lorsqu’elle est effectuée à l’insu d’une personne.

Le présent document sert de complément aux lignes directrices suivantes sur la surveillance vidéo publiées par le Commissariat : Lignes directrices sur la surveillance vidéo au moyen d’appareils non dissimulés dans le secteur privé (préparées en collaboration avec l’Alberta et la Colombie-Britannique) et Lignes directrices concernant le recours, par les forces policières et les autorités chargées de l’application de la loi, à la surveillance vidéo dans les lieux publics.

Veuillez noter que ce qui suit ne vise qu’à servir de guide. Nous évaluons chacune des plaintes qui nous sont soumises au cas par cas.

Exigences de la LPRPDE applicables à la surveillance vidéo secrète

La LPRPDE régit la collecte, l’utilisation et la communication des renseignements personnels dans le cadre d’une activité commerciale et des renseignements personnels des employés et des candidats à un emploi dans le milieu de travail des employeurs réglementés par le gouvernement fédéral^{Note de bas de page 1}. La collecte d’images de personnes identifiables par la surveillance vidéo secrète est considérée comme une collecte de renseignements personnels. Les organisations qui envisagent de recourir à la surveillance vidéo secrète devraient connaître les critères qu’ils doivent respecter en matière de collecte, d’utilisation et de communication des images qu’elles obtiennent par la surveillance vidéo, conformément à la LPRPDE. Ces critères, présentés ci-dessous, portent sur les fins visées par la surveillance vidéo secrète, les questions relatives au consentement et les limites concernant la collecte de renseignements personnels par la surveillance vidéo secrète.

On croit souvent à tort que les organisations sont dégagées de leurs obligations en matière de protection de la vie privée lorsque la surveillance vidéo secrète est effectuée dans un lieu public. La LPRPDE prévoit en fait que toute collecte de renseignements personnels dans le cadre d’une activité commerciale ou par un employeur visés par la LPRPDE doit respecter les exigences décrites ci-dessous, indépendamment du lieu.

A. Fins visées

Une organisation qui envisage de faire surveiller une personne à son insu doit avant toute chose déterminer à quelles fins elle y aura recours. Qu’est-ce qui justifie la collecte de renseignements personnels sur la personne au moyen de la surveillance vidéo secrète? En vertu de la LPRPDE, une organisation peut recueillir, utiliser ou communiquer des renseignements personnels uniquement à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances (paragraphe 5(3)).

Avant de décider si elle aura recours à la surveillance vidéo secrète comme méthode de collecte de renseignements personnels, une organisation doit examiner attentivement dans quelles circonstances, à savoir où, quand et pourquoi, elle recueillerait de tels renseignements et de quelle nature seraient ceux-ci. De nombreux éléments doivent être pris en considération pour déterminer si une organisation a le droit d’exercer de la surveillance vidéo secrète. Compte tenu des différents contextes dans lesquels elle peut être utilisée, la façon dont les éléments entrent en jeu et sont analysés diffère selon les circonstances.

Motif démontrable et probant

Pour que les fins visées par une organisation soient considérées comme acceptables conformément à la LPRPDE, le motif de la collecte doit être évident et probant. En d’autres termes, l’organisation ne pourrait agir sur la base de simples soupçons. Elle doit pouvoir justifier pleinement son recours à la surveillance vidéo secrète comme méthode de collecte de renseignements personnels.

Collecte de renseignements par la surveillance pour arriver aux fins convenues

Les renseignements personnels que recueille l’organisation doivent être clairement liés à une fin et un objectif légitimes de l’entreprise. En outre, la probabilité selon laquelle la collecte de renseignements personnels contribuera à atteindre l’objectif de l’entreprise doit être élevée. L’organisation doit évaluer dans quelle mesure les renseignements personnels recueillis au moyen de la surveillance vidéo secrète serviront aux fins convenues.

Atteinte à la vie privée proportionnelle à l’avantage qui en découle

La conciliation de l’obligation de respecter le droit à la vie privée avec le motif légitime de l’entreprise de recueillir, d’utiliser et de communiquer des renseignements personnels est un autre élément à prendre en considération. L’organisation doit se demander si l’atteinte à la vie privée est proportionnelle à l’avantage qui en découlera. Une organisation peut déterminer que la surveillance vidéo secrète constitue le moyen le plus approprié pour recueillir des renseignements personnels parce qu’il est le plus avantageux pour elle. Il n’empêche que ces avantages doivent être soupesés par rapport à leur éventuelle atteinte à la vie privée de sorte qu’une personne raisonnable jugerait le recours à la surveillance secrète acceptable dans les circonstances.

Épuisement des mesures portant moins atteinte à la vie privée

Enfin, toute organisation qui envisage de recourir à la surveillance vidéo secrète doit examiner d’autres moyens de recueillir les renseignements personnels, eu égard à la nature envahissante de la surveillance vidéo secrète. L’organisation doit s’assurer qu’une personne raisonnable jugerait la surveillance vidéo secrète comme le moyen le plus acceptable pour recueillir des renseignements personnels dans les circonstances comparativement aux méthodes portant moins atteinte à la vie privée.

B. Consentement

En règle générale, le consentement de la personne est exigé pour la collecte, l’utilisation et la communication de renseignements personnels aux termes de la LPRPDE (principe 4.3). La surveillance vidéo secrète est possible si la personne intéressée y a consenti. Par exemple, on peut considérer qu’une personne a implicitement consenti à la collecte de renseignements personnels la concernant au moyen de la surveillance vidéo si elle a entamé officiellement une action en justice contre l’organisation et que l’organisation recueille les renseignements pour se défendre dans le cadre de la poursuite. Soulignons qu’un consentement implicite ne permet pas de recueillir des renseignements personnels de façon illimitée sur une personne; la collecte est restreinte aux renseignements utiles au bien-fondé de la cause et à l’exposé de la défense.

Toutefois, dans la plupart des cas, la surveillance vidéo secrète est exercée sans consentement. La LPRPDE reconnaît que des situations limitées et particulières ne nécessitent aucun consentement (alinéa 7(1)(b)). Pour recueillir des renseignements au moyen de la surveillance vidéo sans le consentement de la personne, les organisations doivent être raisonnablement convaincues que :

• la collecte effectuée au su ou avec le consentement de l’intéressé compromettrait l’exactitude des renseignements ou l’accès à ceux-ci;
• la collecte est raisonnable dans le cadre d’une enquête sur la violation d’un accord ou la contravention du droit fédéral ou provincial.

Cette exception à la règle de l’avis et du consentement pourrait, dans certaines circonstances, faire en sorte que les renseignements personnels de tiers sont recueillis.

En milieu de travail, une organisation doit avoir une preuve importante pour appuyer les soupçons selon lesquels une relation de confiance a été brisée avant de mener une surveillance vidéo secrète. L’organisation ne peut pas se restreindre à invoquer de simples soupçons; elle doit réellement fournir un motif probant.

Que le consentement soit obtenu ou pas, les organisations ont besoin d’un motif raisonnable pour recueillir des renseignements.

C. Limitation de la collecte

Les organisations doivent s’assurer de limiter le type et la quantité des renseignements personnels qu’elles recueillent au strict nécessaire pour la réalisation des fins visées (principe 4.4). Elles doivent déterminer précisément le type de renseignements personnels qu’elles veulent recueillir. Par ailleurs, la durée et l’étendue de la surveillance ne doivent pas aller au-delà des limites raisonnables pour que les organisations parviennent à leurs fins. La collecte doit également se faire d’une manière équitable et légale.

En outre, les organisations doivent limiter la collecte d’images de personnes qui ne font pas l’objet d’une enquête. Il pourrait y avoir des situations où la collecte de renseignements personnels de tiers^{Note de bas de page 2} par l’entremise d’une surveillance vidéo secrète pourrait être considérée comme acceptable, si l’organisation a raison de croire que la collecte de renseignements sur le tiers est pertinente aux fins de la collecte de renseignements sur la personne en cause. Cela dit, en déterminant ce qui est raisonnable, l’organisation doit faire une distinction entre une personne qu’elle considère comme pertinente aux fins de la surveillance du sujet en cause et une personne qui se trouve simplement en compagnie du sujet. Le Commissariat estime que la collecte de renseignements personnels concernant ces dernières à leur insu et sans leur consentement n’est pas permise en vertu de la LPRPDE.

Les organisations peuvent éviter de recueillir des images de personnes qui ne sont pas en cause dans le cadre de l’enquête en restreignant la portée de la surveillance vidéo. Si de tels renseignements personnels sont saisis, ils doivent être supprimés ou dépersonnalisés le plus rapidement possible. Ces renseignements comprennent notamment les images des personnes mêmes, mais également tout renseignement qui pourrait servir à les identifier, comme des adresses et des plaques d’immatriculation. Le Commissariat préconise l’utilisation du brouillage, si nécessaire. Le Commissariat est conscient des coûts que cette technique entraîne pour les organisations, mais considère la dépense justifiée puisque, dans le cadre de la LPRPDE, les renseignements personnels d’une personne ne peuvent être recueillis, utilisés et communiqués sans son consentement, sauf dans des cas exceptionnels.

Nécessité de la documentation

Les organisations doivent documenter leur pratique de manière appropriée afin que les obligations relatives à la protection de la vie privée soient respectées et que les organisations soient protégées en cas de plainte en matière de protection de la vie privée. Les organisations doivent mettre en place une politique générale pour les guider dans le processus de prise de décisions et pour réaliser la surveillance vidéo secrète de la manière la plus respectueuse de la vie privée possible. Un dossier devrait également être préparé pour chaque décision de faire de la surveillance vidéo, ainsi qu’un autre pour rendre compte de son avancement et de ses résultats.

1. Politique sur la surveillance vidéo secrète

La politique sur la surveillance vidéo secrète que doivent mettre en place les organisations devrait :

• préciser les critères à remplir en matière de protection de la vie privée avant que la surveillance vidéo secrète ne soit entreprise;
• exiger que la décision soit étayée par des documents à l’appui, y compris sa justification et son objectif;
• exiger que l’autorisation d’exercer la surveillance vidéo provienne d’un échelon approprié de l’organisation;
• limiter la collecte des renseignements personnels au strict nécessaire pour atteindre les fins convenues;
• limiter l’utilisation de la surveillance aux fins convenues;
• exiger que les données de surveillance soient mises en mémoire de façon sécuritaire;
• désigner les personnes autorisées à voir les enregistrements au sein de l’organisation;
• définir les procédures pour traiter les renseignements concernant des tiers;
• prévoir un délai de conservation des données de surveillance;
• énoncer les procédures pour détruire les images de façon sécuritaire.

2. Documentation des cas précis de surveillance vidéo

La façon dont les exigences de la politique sur la surveillance vidéo de l’organisation ont été respectées devrait être exposée de manière détaillée et devrait comprendre :

• une description des différentes mesures prises et leur résultat;
• une description du type de renseignements à recueillir au moyen de la surveillance;
• la durée de la surveillance;
• le nom des personnes qui ont eu accès aux données de surveillance;
• les fins pour lesquelles la surveillance a été utilisée;
• quand et comment les images ont été retirées;
• une entente de services avec tout tiers embauché pour exercer la surveillance, s’il y a lieu.

Pratiques exemplaires pour le recours à des agences d’enquête privées

De nombreuses organisations embauchent des agences d’enquête privées pour qu’elles effectuent pour leur compte de la surveillance vidéo secrète. Tant l’organisation qui embauche que l’agence d’enquête privée doivent s’assurer que la collecte, l’utilisation et la communication des renseignements personnels sont toutes effectuées conformément aux lois en matière de protection de la vie privée. Le Commissariat recommande fortement aux parties de conclure une entente de services comprenant :

• une attestation de l’organisation qui embauche stipulant qu’elle a le pouvoir, en vertu de la LPRPDE, de recueillir les renseignements personnels sur la personne faisant l’objet de l’enquête auprès de l’agence d’enquête privée et de les communiquer à cette dernière;
• une description claire et précise des fins visées par la surveillance et du type de renseignements personnels demandés par l’organisation qui embauche;
• la condition selon laquelle la collecte de renseignements personnels se limitera aux fins visées par la surveillance;
• la disposition selon laquelle la collecte de renseignements sur des tiers sera évitée à moins que celle-ci soit pertinente aux fins de la collecte de renseignements sur la personne en cause;
• une déclaration selon laquelle tous les renseignements personnels superflus recueillis sur des tiers au cours de la surveillance ne seront ni utilisés ni communiqués et qu’ils seront supprimés ou dépersonnalisés le plus rapidement possible;
• la confirmation de l’agence d’enquête privée qu’elle recueillera des renseignements personnels conformément aux lois en vigueur, y compris à la LPRPDE;
• la confirmation selon laquelle l’agence d’enquête privée formera adéquatement ses enquêteurs concernant l’obligation de protéger le droit à la vie privée et concernant l’utilisation appropriée de l’équipement technique utilisé pour la surveillance;
• la condition que les renseignements personnels recueillis dans le cadre de la surveillance seront gardés dans un endroit sûr tant par l’organisation qui embauche que par l’agence d’enquête privée;
• la condition selon laquelle toutes les directives de l’organisation qui embauche seront notées;
• une disposition interdisant le recours à un sous-traitant à moins d’une entente écrite préalable et à moins que le sous-traitant souscrive à toutes les exigences de l’entente de services;
• le délai de conservation prévu pour les renseignements personnels et les directives de destruction sécuritaire de ces renseignements;
• une disposition permettant à l’organisation qui embauche d’effectuer une vérification.