COMMISSION D’ACCÈS À L’INFORMATION DU QUÉBEC Dossier : 1005625 Nom de l’entreprise : Hunt Personnel Date : 13 août 2015 Membre : M e Diane Poitras DÉCISION OBJET PLAINTE en vertu de la Loi sur la protection des renseignements personnels dans le secteur privé 1 . [1] La Commission d’accès à l’information (la Commission) est saisie de la plainte de M me … (la plaignante) à l’endroit de Hunt Personnel (l’entreprise), une agence de placement et d’emploi. [2] Cette plainte porte sur la collecte de renseignements personnels par l’entreprise, plus précisément d’une copie de la carte d’assurance maladie de la plaignante lors d’une rencontre avec une conseillère en placement. [3] À la suite de cette plainte, la Commission a procédé à une enquête concernant cette pratique en matière de collecte de renseignements personnels. LES FAITS [4] Selon l’enquête, l’entreprise demande aux candidats de lui fournir une pièce d’identité afin de les identifier et de valider leur identité. Une copie de cette pièce d’identité est placée dans le dossier électronique sécurisé du candidat pour toute identification future au besoin; ce dossier est consulté uniquement par des employés de l’entreprise. 1 RLRQ, c. P-39.1, la Loi sur le privé.
1005625 Page : 2 [5] L’enquête a également porté sur les mesures de sécurité prises pour la conservation des renseignements personnels ainsi colligés par l’entreprise, mesures qui ne font pas l’objet de la présente décision. OBSERVATIONS AU TERME DE L’ENQUÊTE [6] La directrice des ressources humaines de l’entreprise a indiqué à l’enquêteur de la Commission qu’une copie de la carte d’assurance maladie de la plaignante a été recueillie uniquement pour valider son identité et à des fins d’identification future, au besoin. Elle affirme que les renseignements qui s’y trouvent ne serviront qu’à l’entreprise et qu’ils ne seront pas communiqués à un tiers. [7] Le 6 février 2015, la Commission transmet à l’entreprise un avis d’intention l’informant qu’elle pourrait conclure que l’entreprise a contrevenu à l’article 5 de la Loi sur le privé et lui ordonner : - de cesser de recueillir une copie d’une pièce d’identité d’une personne afin de valider son identité; - de détruire les copies de toutes les pièces d’identité qu’elle détient au sujet de ses clients. [8] Cet avis de la Commission indique qu’il appartient à l’entreprise de démontrer la nécessité de recueillir des renseignements personnels, pour une finalité donnée, en lien avec l’objet du dossier qu’elle constitue au sujet d’une personne. [9] Pour ce faire, l’entreprise doit démontrer, à l’aide d’éléments concrets et probants, que le ou les objectif(s) poursuivi(s) par cette collecte sont légitimes, importants, urgents et réels. De plus, l’entreprise doit démontrer que l’atteinte au droit à la vie privée que peut constituer cette collecte est proportionnelle aux objectifs poursuivis 2 . Notamment, elle doit démontrer qu’il n’existe pas d’autres moyens moins attentatoires à la protection des renseignements personnels qui permettent d’atteindre ces objectifs. 2 Laval (Société de transport de la Ville de) c. X., [2003] C.A.I. 667 (C.Q.); Grenier c. Centre hospitalier universitaire de Sherbrooke, [2010] QCCQ 93.
1005625 Page : 3 [10] L’avis précise également que dans plusieurs décisions 3 , la Commission a conclu que généralement, la collecte d’un numéro contenu sur une pièce d’identité, tels les numéros de permis de conduire, d’assurance maladie ou d’assurance sociale, et la photocopie de ces pièces ne sont pas nécessaires pour valider l’identité d’une personne. L’entreprise peut demander de voir une pièce d’identité avec photo, au choix du client, pour atteindre cet objectif, sans qu’il ne soit nécessaire de recueillir l’identifiant contenu sur cette pièce ni de la photocopier. [11] Finalement, l’avis invite l’entreprise à compléter son dossier ou à fournir des observations dans les 30 jours de la date de réception de cet avis d’intention. [12] L’entreprise a transmis, par l’entremise de sa procureure, des observations à la suite de la réception de cet avis d’intention. [13] L’entreprise fait valoir que les renseignements sont remis volontairement par le candidat, auprès de la personne concernée, conformément à l’article 6 de la Loi sur le privé. Elle soumet que la collecte de ces renseignements est nécessaire pour lui permettre de placer un candidat chez un de ses clients, donc nécessaire à la conclusion d’un contrat (art. 9 de la Loi sur le privé). [14] De plus, l’entreprise soumet que cette collecte poursuit un objectif légitime, lié à ses attributions et qu’elle est plus utile à l’entreprise que préjudiciable à la personne concernée (le candidat). Elle explique qu’elle doit s’assurer de l’identité du candidat, qu’il est en droit de travailler et qu’il est en règle avec les lois du Québec, notamment qu’il a au moins 16 ans et est couvert par la Régie de l’assurance maladie du Québec (RAMQ). [15] L’entreprise soutient également que le numéro d’assurance maladie est nécessaire pour compléter un formulaire prescrit par la Commission de la santé et de la sécurité du travail (CSST) en cas de lésion professionnelle, soit l’avis de déclaration de l’accident (ADR), et pour qu’il puisse être fourni aux ambulanciers en cas d’urgence. Selon l’entreprise, pour que le candidat puisse être indemnisé par la CSST sans que la responsabilité de l’entreprise ne soit engagée plus que nécessaire, le candidat doit être en règle avec la RAMQ. 3 Regroupement des comités logement et Association de locataires du Québec et Corporation des propriétaires immobiliers du Québec, [1995] C.A.I. 370; Julien c. Domaine Laudance, [2003] C.A.I. 77 ; Perreault c. Blondin, [2006] C.A.I. 162 ; X. et Loca-Meuble, CAI 08 11 10, 1 er octobre 2013, c. Poitras; X. et Skyventure Montréal, C.A.I. 101888, 16 septembre 2013, c. Desbiens.
1005625 Page : 4 [16] Enfin, l’entreprise soutient que la Commission n’a aucune autorité pour ordonner la destruction des pièces d’identité qu’elle détient au sujet de ses clients. Elle cite des décisions de la Commission qui appuient, selon elle, cette affirmation. ANALYSE [17] La Loi sur le privé établit des règles relatives à la protection des renseignements personnels qu’une entreprise doit respecter. Dans le cadre de l’exploitation de son entreprise de placement de personnel 4 , Hunt Personnel est soumise à ces règles, notamment celles relatives à la collecte de renseignements personnels. [18] La photocopie de la carte d’assurance maladie d’une personne constitue une collecte de renseignements personnels, soit des renseignements qui concernent une personne physique et permettent de l’identifier. Il en est de même de la collecte du numéro inscrit sur cette carte. Règles relatives à la collecte de renseignements personnels [19] En vertu de l’article 5 de la Loi sur le privé, l’entreprise ne peut recueillir que les renseignements personnels nécessaires à l’objet du dossier constitué au sujet d’un postulant, soit l’évaluation d’une candidature : 5. La personne qui recueille des renseignements personnels afin de constituer un dossier sur autrui ou d’y consigner de tels renseignements ne doit recueillir que les renseignements nécessaires à l’objet du dossier. [20] Il appartient à l’entreprise de démontrer la nécessité de recueillir des renseignements personnels, pour une finalité donnée, en lien avec l’objet d’un dossier qu’elle constitue au sujet d’une personne. [21] D’emblée, il importe de rappeler que l’article 5 de la Loi sur le privé est une disposition impérative. L’entreprise ne peut donc y déroger, même avec le consentement de la personne concernée 5 . Elle ne peut recueillir des 4 Constitue l'exploitation d'une entreprise l'exercice, par une ou plusieurs personnes, d'une activité économique organisée, qu'elle soit ou non à caractère commercial, consistant dans la production ou la réalisation de biens, leur administration ou leur aliénation, ou dans la prestation de services (art. 1 de la Loi sur le privé et 1525 du Code civil du Québec, L.Q., 1991, c. 64.). 5 Laval (Société de transport de la Ville de) c. X. et Grenier c. Centre hospitalier universitaire de Sherbrooke, préc., note 2.
1005625 Page : 5 renseignements qui ne sont pas nécessaires à l’objet du dossier sous prétexte que la personne concernée les a fournis sur une base volontaire. [22] L’article 6 de la Loi sur l’accès, cité par l’entreprise, prévoit : 6. La personne qui recueille des renseignements personnels sur autrui doit les recueillir auprès de la personne concernée, à moins que celle-ci ne consente à la cueillette auprès de tiers. Toutefois, elle peut, sans le consentement de la personne concernée, recueillir ces renseignements auprès d’un tiers si la loi l’autorise. Elle peut faire de même si elle a un intérêt sérieux et légitime et si l’une ou l’autre des conditions suivantes se réalise: 1° les renseignements sont recueillis dans l’intérêt de la personne concernée et ils ne peuvent être recueillis auprès de celle-ci en temps opportun; 2° la cueillette auprès d’un tiers est nécessaire pour s’assurer de l’exactitude des renseignements. (Nos soulignements) [23] Cette disposition précise auprès de qui une entreprise peut recueillir des renseignements personnels. Le consentement auquel réfère cette disposition concerne la collecte auprès d’une autre personne que celle concernée par les renseignements. Il ne permet pas de déroger au principe de nécessité de la collecte prévue par l’article 5 de cette loi. [24] Ainsi, l’entreprise ne peut colliger que les renseignements autorisés selon l’obligation prévue à l’article 5 de la Loi sur le privé. Tel qu’indiqué précédemment, tant la Cour du Québec que la Commission ont conclu que cette limite concernant la nature des renseignements pouvant être recueillis par une entreprise ne peut être écartée par le consentement de la personne concernée. L’article 5 est une disposition impérative à laquelle on ne peut déroger par consentement. [25] Quant à l’article 9 de la Loi sur le privé, également invoqué par l’entreprise, il lui interdit de refuser d’acquiescer à une demande de bien ou de service ou à une demande relative à un emploi à cause du refus de la personne qui formule la demande de lui fournir un renseignement personnel, sauf en certaines circonstances. La question à déterminer en l’espèce concerne la légalité de la collecte du numéro d’assurance maladie d’un candidat ou d’une
1005625 Page : 6 photocopie de sa carte d’assurance maladie par l’entreprise. L’article 9 n’est donc pas pertinent. [26] Pour conclure au caractère nécessaire de la collecte d’un renseignement personnel, l’entreprise doit démontrer, à l’aide d’éléments concrets et probants, que le ou les objectif(s) poursuivi(s) par cette collecte sont légitimes, importants, urgents et réels. De plus, l’entreprise doit démontrer que l’atteinte au droit à la vie privée que peut constituer cette collecte est proportionnelle aux objectifs poursuivis. Notamment, elle doit démontrer qu’il n’existe pas d’autres moyens moins attentatoires à la protection des renseignements personnels qui permettent d’atteindre ces objectifs 6 . [27] En l’espèce, l’entreprise n’a pas démontré la nécessité de recueillir une copie de la carte d’assurance maladie d’un candidat ni le numéro qui y est inscrit. [28] En effet, pour s’assurer de l’identité d’une personne qui se présente à ses bureaux, l’entreprise peut consulter une pièce d’identité, au choix du candidat, sans qu’il ne soit nécessaire d’en faire une copie. Il en est de même de la vérification de l’âge du candidat. [29] Quant au fait de vérifier si une personne est couverte par le régime d’assurance maladie du Québec, aux fins d’emploi ou d’indemnisation par la CSST en cas de lésion professionnelle, l’entreprise n’a pas indiqué la source légale de ces obligations. Si de telles obligations incombaient aux employeurs, l’ensemble des employeurs du Québec recueillerait une photocopie de la carte d’assurance maladie de leurs employés ou le numéro qui y est inscrit. Or, il n’en est rien. [30] Au surplus, une entreprise qui souhaiterait s’assurer de ces éléments pourrait simplement demander de voir la carte d’assurance maladie, sans qu’il ne soit nécessaire d’en faire une photocopie ni d’en colliger le numéro qui y est inscrit. [31] Certes, un employeur, de par son rôle, doit détenir et recueillir des renseignements au sujet de ses employés, comme le soutient l’entreprise et il 6 Id. Voir également X. et EB Games, C.A.I. 08 18 56, 23 octobre 2013, c. Desbiens; X. et Lépine Cloutier Ltée, C.A.I. 08 09 43, 14 mars 2014, c. Poitras; Garderie Cœur d’Enfant Inc., C.A.I. 08 02 72, 31 mars 2014, c. Poitras; P.S. c. Centre de santé et de services sociaux du Coeur-de-l'Île, 2012 QCCAI 268; X. et La Compagnie Nationale Money Mart (Insta-Chèques), C.A.I. 08 02 60, 17 mai 2013, c. Chartier; X. et 9038-5055 Québec inc. (Le Palace), C.A.I. 07 05 51, 23 mars 2012, c. Constant.
1005625 Page : 7 en est de même de celle-ci envers ses candidats. Toutefois, seuls les renseignements nécessaires à l’objet du dossier de l’employé ou du candidat peuvent être recueillis. [32] En ce qui concerne plus particulièrement le formulaire à compléter en cas de lésion professionnelle, la procédure prévue par la Loi sur les accidents du travail et les maladies professionnelles 7 prévoit que le travailleur doit d’abord remettre un formulaire à l’employeur (attestation médicale), formulaire qui contiendra son numéro d’assurance maladie le cas échéant. S’il doit s’absenter du travail plus de 14 jours, le travailleur complète lui-même un formulaire de réclamation prescrit à cet effet. [33] D’ailleurs, la procureure de l’entreprise semble admettre qu’il n’existe pas d’obligation pour l’entreprise de recueillir une copie de la carte d’assurance maladie ou le numéro qui y est inscrit lorsqu’elle affirme « bien qu’il n’y ait pas d’obligation à cet égard, la prudence exige que ce soit fait, et il n’y a aucune contre-indication de le faire ». [34] Une lecture de la Loi sur l’assurance maladie 8 , plus particulièrement de l’article 9.0.0.1, indique que le législateur a voulu réduire les situations ou cette carte peut être exigée : 9.0.0.1. La production de la carte d’assurance maladie ou de la carte d’admissibilité ne peut être exigée qu’à des fins liées à la prestation de services ou à la fourniture de biens ou de ressources en matière de santé ou de services sociaux dont le coût est assumé par le gouvernement, en tout ou en partie, directement ou indirectement, en vertu d’une loi dont l’application relève du ministre de la Santé et des Services sociaux. [35] La Commission considère que la collecte d’une copie de la carte d’assurance maladie de l’ensemble des candidats ou du numéro qui y est inscrit, dans un objectif de prudence, d’identification ou pour s’assurer que la personne est couverte par le régime d’assurance maladie, constitue, en l’espèce une mesure disproportionnée par rapport à l’objectif recherché. [36] L’entreprise doit donc cesser la collecte systématique de ces renseignements. 7 RLRQ, c. A-3.001. 8 RLRQ, c. A-29.
1005625 Page : 8 L’autorité de la Commission pour ordonner la destruction des renseignements [37] L’article 12 de la Loi sur le privé, invoqué par l’entreprise au soutien de sa contestation de l’autorité de la Commission pour ordonner la destruction des renseignements concernant ses clients, prévoit : 12. L’utilisation des renseignements contenus dans un dossier n’est permise, une fois l’objet du dossier accompli, qu’avec le consentement de la personne concernée, sous réserve du délai prévu par la loi ou par un calendrier de conservation établi par règlement du gouvernement. [38] Cette règle concerne l’utilisation que doit faire une entreprise des renseignements qu’elle détient, lorsque l’objet du dossier pour lequel ils ont été recueillis est accompli. [39] Dans l’affaire Équifax Canada c. Fugère 9 , la Cour du Québec a conclu que la Commission, selon les termes de cette disposition, n’a pas compétence pour se prononcer sur le caractère périmé d’un renseignement personnel ni « pour ordonner la suppression de renseignements jugés périmés ». [40] Dans cette décision, la Cour précise qu’il appartient au gouvernement d’établir les règles relatives à la conservation et à l’utilisation des renseignements personnels et que la Commission ne peut, dans l’intervalle, fixer des périodes de conservation selon sa discrétion. [41] Cette situation diffère de celle qui fait l’objet du présent dossier. En effet, il ne s’agit pas de déterminer si des renseignements sont périmés ou s’ils peuvent être conservés et utilisés même si l’objet du dossier est accompli, mais de déterminer si des renseignements pouvaient être recueillis par l’entreprise. Si l’entreprise n’avait pas le droit de les recueillir parce qu’ils ne répondent pas au critère de nécessité de l’article 5 de la Loi sur le privé, elle ne peut, en toute logique, les conserver et les utiliser, et ce, même si aucun calendrier de conservation n’a été établi par règlement du gouvernement. [42] La Loi sur le privé prévoit : 83. Au terme d’une enquête relative à la collecte, à la détention, à la communication ou à l’utilisation de renseignements personnels par une personne qui exploite une entreprise, la Commission peut, après lui avoir fourni l’occasion de présenter ses observations, lui recommander ou 9 [1998] C.A.I. 510 (C.Q.).
1005625 Page : 9 lui ordonner l’application de toute mesure corrective propre à assurer la protection des renseignements personnels. Elle peut fixer des délais pour l’exécution des mesures qu’elle ordonne. [43] Ainsi, la Commission a le pouvoir d’ordonner la destruction de renseignements personnels qu’une entreprise n’avait pas le droit de recueillir. La jurisprudence citée par l’entreprise ne concerne pas cette situation. Conclure autrement enlèverait tout pouvoir utile à la Commission de faire respecter les dispositions de la Loi sur le privé concernant la collecte de renseignements personnels. CONCLUSION [44] À la lumière de l’enquête, des observations de l’entreprise et des autres éléments au dossier, la Commission conclut que l’entreprise a contrevenu à l’article 5 de la Loi sur le privé en recueillant une copie des cartes d’assurance maladie de ses candidats ou le numéro qui y est inscrit. POUR CES MOTIFS, LA COMMISSION : [45] DÉCLARE la plainte fondée; [46] ORDONNE à l’entreprise de cesser de recueillir une copie de la carte d’assurance maladie de ses candidats ou le numéro contenu sur cette carte; [47] ORDONNE à l’entreprise de détruire toutes les photocopies des cartes d’assurance maladie qu’elle détient au sujet de ses candidats et tous leurs numéros d’assurance maladie; [48] ORDONNE à l’entreprise d’informer la Direction de la surveillance de la Commission des mesures prises pour assurer le respect de cette ordonnance dans un délai de 60 jours de la réception de la présente décision. Diane Poitras Juge administratif
Vous allez être redirigé vers la version la plus récente de la loi, qui peut ne pas être la version considérée au moment où le jugement a été rendu.