Source: https://www.priv.gc.ca/fr/a-propos-du-commissariat/ce-que-nous-faisons/consultations/consultation-sur-le-consentement-en-vertu-de-la-lprpde/gd_53_201709/
Timestamp: 2018-03-22 01:53:48+00:00
Document Index: 4009926

Matched Legal Cases: ['art. 3', '§ 11', '§ 980', '§ 31', '§ 709', '§ 51', '§ 1953', '§ 616', '§ 3', '§ 37', '§ 39', '§ 613', '§ 275', '§ 34', '§ 50', '§ 173', '§ 659', '§ 28', '§ 50', '§ 34', '§ 40', '§ 49', '§ 21', '§ 995']

Document d’orientation préliminaire : Pratiques inacceptables en matière de traitement des données – interprétation et application du paragraphe 5(3) - Commissariat à la protection de la vie privée du Canada
Ces lignes directrices préliminaires ont été publiées à des fins d’examen et de commentaires dans le cadre des travaux que le Commissariat a entrepris dans le but d’améliorer le modèle de consentement actuel en vertu de la LPRPDE. Veuillez visiter nos pages Web sur la Consultation sur le consentement en vertu de la LPRPDE pour plus d’information et sur l’Avis de consultation et appel de commentaires pour obtenir des instructions sur la façon de faire part de vos commentaires sur ce document.
Teneur du paragraphe 5(3)
Interprétation du paragraphe 5(3) par les tribunaux
Évaluation des fins visées par une organisation en application du paragraphe 5(3)
Fins inacceptables ou zones interdites
Le paragraphe 5(3) de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) est l’élément clé qui permet de déterminer si les organisations sont autorisées ou non à recueillir, à utiliser et à communiquer des renseignements personnels selon les fins visées. Il constitue la limite législative qui protège les individus contre les pratiques inacceptables des entreprises concernant les données. Ce paragraphe dissocie, d’une part, les pratiques légitimes de gestion des renseignements que les organisations peuvent adopter en conformité avec la loi et, d’autre part, les zones où elles ne peuvent s’aventurer, aussi appelées « zones interdites ». Dans le présent document d’orientation, le Commissariat à la protection de la vie privée du Canada énonce à la lumière des décisions judiciaires antérieures les principes directeurs de l’interprétation du paragraphe 5(3) de la LPRPDE. Il définit également une série de zones interdites qui, d’après les conclusions tirées et les vastes consultations menées un peu partout au Canada auprès d’intervenants et de groupes de discussion composés de citoyens, contreviennent selon lui à la LPRPDE du point de vue d’une personne raisonnable.
Le paragraphe 5(3) de la LPRPDE se lit comme suit :
1. Un principe directeur
Le paragraphe 5(3) « énonce un principe directeur sur lequel repose l’interprétation des diverses dispositions de la LPRPDE »Note de bas de page 1. Par ailleurs, il faut l’interpréter à la lumière de l’objectif sous-jacent de la partie 1 de la LPRPDE, qui consiste à assurer un équilibre entre le droit des individus à la vie privée à l’égard des renseignements personnels qui les concernent et le besoin des organisations de recueillir, d’utiliser ou de communiquer des renseignements personnelsNote de bas de page 2. Pour appliquer le paragraphe 5(3), il faut donc parvenir à un « équilibre des intérêts » de l’individu et de l’organisation viséeNote de bas de page 3.
2. Point de vue d’une personne raisonnable
En vertu du paragraphe 5(3), il faut parvenir à un équilibre de ces intérêts « du point de vue d’une personne raisonnable »Note de bas de page 4.
3. Exigence générale
Sous le régime de la LPRPDE, le paragraphe 5(3) énonce « une exigence générale »Note de bas de page 5 qui s’ajoute aux autres obligations incombant aux organisations de s’assurer que les fins de la collecte, de l’utilisation et de la communication des renseignements personnels se limitent à celles qu’une personne raisonnable estimerait acceptables dans les circonstances.
4. Nécessaire mais non suffisant
Pour se conformer au paragraphe 5(3), il ne suffit pas de prouver la conformité aux autres dispositions de la Loi. Par exemple, même avec le consentement de l’intéressé, une organisation doit montrer que les fins de la collecte, de l’utilisation ou de la communication de renseignements personnels sont en premier lieu des fins qu’une personne raisonnable estimerait acceptables dans les circonstances.
Inversement, la conformité au paragraphe 5(3) ne signifie pas systématiquement qu’il y a conformité aux autres dispositions de la Loi. Même si les fins visées sont jugées acceptables en vertu du paragraphe 5(3), l’organisation doit aussi s’assurer que les autres exigences de la Loi en matière de protection des renseignements personnels sont respectéesNote de bas de page 6.
Pour évaluer le paragraphe 5(3), il faut déterminer si les fins sont acceptables « dans les circonstances ». C’est pourquoi leur caractère acceptable doit être « analysé de manière contextuelle » et cette analyse doit prendre en compte les faits particuliers entourant la collecte, l’utilisation et la communication, « ce qui laisse supposer une flexibilité et une variabilité en fonction des circonstances »Note de bas de page 7.
Pour appliquer le paragraphe 5(3), les tribunaux ont généralement cherché à savoir si : « 1) la collecte, l’utilisation ou la publication de renseignements personnels étaient dirigés vers un véritable intérêt commercial et 2) si la perte de confidentialité était proportionnelle aux avantages obtenus ».Note de bas de page 8 Dans Turner c. Telus Communications Inc., en rendant une décision par la suite confirmée par la Cour d’appel fédérale, la Cour fédérale a défini les facteurs suivants pour déterminer si la fin visée par une organisation était conforme au paragraphe 5(3) :
le caractère délicat des renseignements personnels en question;
le besoin ou les intérêts commerciaux légitimes des fins visées par l’organisation;
l’efficacité de la collecte, de l’utilisation et de la communication pour répondre au besoin de l’organisation;
la proportionnalité de l’atteinte à la vie privée par rapport aux avantagesNote de bas de page 9.
En nous appuyant sur les principes directeurs et le cadre d’évaluation présentés ci-dessus, sur l’expérience pratique du Commissariat concernant l’application du paragraphe 5(3) dans le cadre de celle de la LPRPDE depuis plus de 15 ans ainsi que sur les commentaires recueillis au cours de notre consultation sur le consentement, nous avons conclu qu’une personne raisonnable estimerait généralement « inacceptables » les fins suivantes de la collecte, de l’utilisation ou de la communication de renseignements personnels. Les pratiques suivantes, qui pourraient évoluer au fil du temps, sont actuellement considérées comme des zones interdites en vertu de la LPRPDE.
1 : Collecte, utilisation ou communication qui autrement serait illégale
Les individus devraient avoir la certitude que leurs renseignements personnels ne seront pas recueillis, utilisés ou communiqués à des fins contrevenant aux lois du Canada ou de ses provinces. C’est ce que confirme le principe 4 de la LPRPDE, en vertu duquel la collecte doit se faire « de façon honnête et licite ».
Par exemple, une « personne raisonnable » estimerait généralement inacceptable toute collecte, utilisation ou communication de ses renseignements personnels qui contreviendrait à la législation régissant les rapports de solvabilité. Dans le Rapport de conclusions en vertu de la LPRPDE no 2016-002, le Commissariat a jugé inacceptable qu’une association de propriétaires utilise une « liste des mauvais locataires ». Cette pratique, qui revenait à agir à titre d'agence d'évaluation du crédit sans être titulaire d'une licence à cet effet, contrevenait ainsi à la législation provinciale en la matière. De même, dans son Rapport de l’enquête sur le Programme de publicité pertinente de Bell, le Commissariat a conclu que l’utilisation par l’entreprise des renseignements sur la cote de crédit pour présenter des publicités ciblées n’était pas autorisée en vertu de la Loi sur les renseignements concernant le consommateur de l’Ontario et qu’elle était donc inacceptable en vertu du paragraphe 5(3) de la LPRPDE.
Selon un autre cas cité en exemple, les organisations qui obligent les individus à subir un test génétique ou à en communiquer les résultats, comme condition préalable à la fourniture de biens ou de services ou à la conclusion d’un contrat, contreviendront au projet de loi S 201 (Loi visant à interdire et à prévenir la discrimination génétique) de 2017. Ainsi, conformément à la Déclaration concernant l’utilisation des résultats des tests génétiques par les compagnies d’assurances de personnes et au document d’orientation intitulé Tests génétiques offerts directement aux consommateurs et protection de la vie privée publiés par le Commissariat, cette pratique est donc réputée une zone interdite.
2 : Profilage ou catégorisation donnant lieu à un traitement injuste, contraire à l’éthique ou discriminatoire
À l’ère des mégadonnées, il est de plus en plus important de comprendre le lien entre la collecte, l’utilisation et la communication de renseignements personnels en amont et leurs effets discriminatoires en avalNote de bas de page 10. Une analyse des données – ou tout autre type de profilage ou de catégorisation – donnant lieu à des conclusions concernant des individus ou des groupes, dans le but d’établir leur profil d’une manière qui pourrait aboutir à une discrimination fondée sur des motifs interdits en vertu de la législation sur les droits de la personne, ne serait pas jugée acceptable selon le critère de la « fin acceptable » prévu au paragraphe 5(3).
Le profilage qui entraîne une discrimination au sens de la législation sur les droits de la personne sera toujours inacceptable en vertu du paragraphe 5(3), mais une évaluation au cas par cas s’impose pour déterminer si un résultat est injuste ou contraire à l’éthique. Toutefois, les organisations devraient savoir qu’un profilage ou une catégorisation injuste ou contraire à l’éthique sera aussi généralement jugé inacceptable en vertu du paragraphe 5(3).
Cette logique est conforme à l’esprit de la résolution sur les mégadonnées adoptée par des commissaires à la protection des données et à la vie privée du monde entier au cours de leur conférence annuelle tenue à Maurice en 2014. Les commissaires se sont alors engagés à exhorter toutes les parties à montrer que les décisions concernant l’utilisation des mégadonnées sont équitables, transparentes et responsables; que les résultats du profilage sont responsables, équitables et éthiques; et que tout préjudice subi par des individus en raison de résultats entièrement automatisés faussement positifs ou négatifs est évité.
3 : Collecte, utilisation ou communication à des fins qui causent ou sont susceptibles de causer un préjudice grave à des individus
Dans le marché numérique, des individus font chaque jour de nombreux compromis au chapitre de leur vie privée pour exercer leur liberté en tant que consommateurs. Par exemple, ils renoncent à leur vie privée dans une mesure raisonnable pour bénéficier d’aspects pratiques et de choix. Les individus devraient être libres de prendre eux-mêmes des décisions éclairées quant à la mesure dans laquelle ils sont prêts à renoncer à leur vie privée pour obtenir certains produits ou services.
Le Commissariat considère toutefois qu’une personne raisonnable estimerait inacceptable que les organisations obligent un individu à subir un préjudice grave au chapitre de sa vie privée en contrepartie connue ou probable de produits ou de services. Par « préjudice grave », on entend notamment « la lésion corporelle, l’humiliation, le dommage à la réputation ou aux relations, la perte financière, le vol d’identité, l’effet négatif sur le dossier de crédit, le dommage aux biens ou leur perte, et la perte de possibilités d’emploi ou d’occasions d’affaires ou d’activités professionnellesNote de bas de page 11 ».
4 : Publication de renseignements personnels dans le but de réclamer un paiement aux individus pour retirer ces renseignements
Le Commissariat a produit beaucoup d’écrits concernant les défis auxquels se heurtent les utilisateurs pour protéger leur réputation en ligne. Il n’a pas encore formulé sa position de principe sur cet enjeu complexe. Le Commissariat a toutefois détecté une pratique qui, à son avis, contrevient manifestement à la LPRPDE, en l’occurrence la publication en ligne de renseignements personnels sensibles principalement dans le but de réclamer un paiement aux individus pour retirer ces renseignements. Bref, d’après nous, il est improbable qu’une personne raisonnable considère le « chantage » comme une fin acceptable. La Cour fédérale du Canada est allée dans le même sens lorsqu’elle a confirmé les conclusions de notre enquête sur Globe24h.
5 : Obligation de communiquer le mot de passe des comptes de médias sociaux aux fins de la sélection des employés
La LPRPDE, telle que modifiée par la Loi sur la protection des renseignements personnels numériques, protège les renseignements personnels des employés d’une entreprise fédérale (organisations sous réglementation fédérale, par exemple les banques, les transporteurs aériens et les sociétés de télécommunications) et de ceux qui postulent pour le devenir. Étant donné le rapport de force inégal entre l’employeur et l’employé ou le candidat à un poste, il y a un risque que les employeurs demandent plus de renseignements que nécessaire pour évaluer le mérite d’un individu et que les individus, pour leur part, aient l’impression de subir une pression indue pour fournir ces renseignements par crainte de perdre leur emploi ou de ne pas être sélectionnés. Dans certains cas, les employeurs peuvent aller trop loin et demander à leurs employés ou à des candidats à un poste de leur donner accès à des zones de leurs comptes de médias sociaux protégées au moyen d’un mot de passe. La demande d’un mot de passe pour avoir accès à ces zones privées pourrait dévoiler d’énormes quantités de renseignements personnels très sensibles qui ne sont ni pertinents ni nécessaires pour les fins des opérations commerciales légitimes de l’employeur. De nombreux États américains ont adopté des lois interdisant cette pratique.Note de bas de page 12 Le Commissariat est d’accord avec l’idée qu’une personne raisonnable estimerait généralement inacceptable que l’employeur exige le mot de passe des comptes de médias sociaux aux fins de la sélectionNote de bas de page 13 des employés.
6 : Surveillance exercée par une organisation au moyen des fonctions audio ou vidéo de l’appareil de l’individu lui-même
Rien ne peut porter davantage atteinte à la vie privée que d’être suivi à la trace au moyen des fonctions audio ou vidéo de l’appareil d’un individu que cela soit fait secrètement, c’est-à-dire à son insu ou sans son consentement, ou même avec son soi-disant consentement, lorsque cette pratique est nettement disproportionnée par rapport à l’objectif commercial visé.
Dans le Rapport de conclusions en vertu de la LPRPDE no 2013-016, le Commissariat a constaté qu’un logiciel espion appelé « Detective Mode » utilisé par plusieurs entreprises de location avec option d’achat pour retrouver secrètement des ordinateurs portables manquants avait permis de recueillir subrepticement des frappes, des captures d’écran, des photographies prises au moyen de la caméra Web et d’autres renseignements. Il a conclu que la perte de vie privée en résultant était nettement disproportionnée par rapport aux avantages éventuels.
L’activation régulière ou constante des fonctions audio ou vidéo d’un appareil pour fournir un service peut être autorisée si l’individu est pleinement conscient de cette pratique et exerce un contrôle sur celle ci et que les renseignements saisis ne sont pas enregistrés, utilisés, communiqués ni conservés dans un but autre que celui de fournir le service en question.
Une fin qu’une personne raisonnable estimerait acceptable est un concept souple dont la définition exige du temps, une réflexion attentive et une expérience pratique. Dans les faits, le critère du caractère acceptable nécessitera une analyse contextuelle, mais nous jugeons utile – par souci de transparence envers les individus et les organisations – de citer des exemples illustrant nos attentes, comme ceux présentés ici. Nous avons l’intention de revoir et de mettre à jour périodiquement la liste des « zones interdites » ci dessus lorsque ce sera nécessaire.
R. c. Spencer, [2014] 2 R.C.S. 212, par. 63.
LPRPDE, art. 3; A.T. c. Globe24h.com, 2017 CF 114, par. 73 (« Globe24h.com »).
Turner c. Telus Communications Inc., 2005 CF 1601, ¶39, confirmée dans 2007 CAF 21 (« Turner »). Voir aussi Eastmond c. Canadian Pacific Railway, 2004 CF 852, par. 129 (« Eastmond »)
Turner c. Telus Communications Inc., 2005 CF 1601, par. 39, confirmée dans 2007 CAF 21 (« Turner »). Voir aussi Eastmond c. Canadian Pacific Railway, 2004 CF 852, par. 129 (« Eastmond »).
A.T. c. Globe24h.com, 2017 CF 114, par. 73 (« Globe24h.com »).
R. c. Spencer, [2014] 2 RCS 212, ¶63.
Eastmond, par. 131.
Globe24h.com, par. 74, citation de Turner au par. 48.
Turner, ¶48. Voir aussi Eastmond, ¶¶127, 177, 179-181; Globe24h.com, ¶74; Penny Lane Entertainment Group c. Alberta (commissaire à l’information et à la vie privée), 2009 ABQB 140, ¶¶58-61; Leon’s Furniture Limited c. Alberta (commissaire à l’information et à la vie privée), 2011 ABCA 94, ¶¶58-62.
Voir « Protection de la vie privée en amont, discrimination en aval : les conséquences (non) intentionnelles de l’analyse des données ». Allocution prononcée par Patricia Kosseim à la 18e conférence annuelle Reboot sur la protection de la vie privée et la sécurité, le 10 février 2017.
Conformément à la notion de seuil de « préjudice grave » tel que défini à l’alinéa 10.1(7) de la LPRPDE (pas encore en vigueur).
Voir p. ex. Arkansas Ark. Code § 11-2-124; California Calif. Lab. Code § 980; Colorado C.R.S. 8-2-127; Connecticut Conn. Gen. Stat. § 31-40x (2015 S.B. 425, Act 16); Delaware 19 Del. Code § 709A; Illinois 820 ILCS 55/10; Louisiana La. Rev. Stat. § 51:1951 to §§ 1953 and 1955; Maine 26 M.R.S. § 616 to 619; Maryland Md. Code, Labor and Emp. Law § 3-712; Michigan MCL § 37.271-37.278; Montana Mont. Code Ann. § 39-2-307; Nebraska Neb. Rev. Stat. 48-3501 et seq.; Nevada NRS § 613.135; New Hampshire N.H. Rev. Stat. § 275:74; New Jersey N.J. Stat. § 34:6B-6; New Mexico N.M. Stat. § 50-4-34 (covers job applicants only); Oklahoma 40 Okla. Stat. § 173.2; Oregon O.R.S. § 659A.330; Rhode Island R.I. Gen. Laws § 28-56-1 to -6; Tennessee Tenn. Code §§ 50-1-1001 to -1004; Utah Code § 34-48-201 et seq.; Virginia Va. Code § 40.1-28.7:5; Washington RCW §§ 49.44.200 and 49.44.205; West Virginia W.V. Code § 21-5H-1; Wisconsin Wis. Stat. § 995.55.
Ce concept de zone interdite a été limité au processus de sélection du personnel parce que la pratique qui consiste à exiger des mots de passe pour avoir accès aux comptes de médias sociaux y a été observée. Il ne faudrait pas nécessairement en conclure que cette pratique est acceptable dans d’autres contextes. Si cette pratique devait se répandre de façon inappropriée dans d’autres contextes de négociations inégales (dans le cas par exemple d’un locateur-preneur à bail), nous envisagerons d’en faire une règle d’application générale.