RECOMMANDÉ Montréal, le 10 octobre 2017 Maître … Vice-président associé Canadian Tire 2180, rue Yonge C.P. 770, succursale K Toronto (Ontario) M4P 2V8 Objet : Plainte à l’endroit de Canadian Tire N/Réf. : 1010268-S ______________________________________________________________ La présente donne suite à une plainte adressée à la Commission d’accès à l’information (la Commission) à l’encontre de Canadian Tire (l’entreprise). Objet de la plainte La plainte porte sur la collecte de renseignements personnels. Plus particulièrement, la plaignante allègue que l’entreprise a recueilli des renseignements personnels qui sont, selon elle, non nécessaires pour retourner un article, à savoir son nom, son adresse résidentielle et son numéro de téléphone. Enquête À la suite de cette plainte, la Direction de la surveillance de la Commission procède à une enquête, conformément à l’article 81 de la Loi sur la protection des renseignements personnels dans le secteur privé 1 . Elle écrit alors à l’entreprise pour obtenir sa version des faits, ainsi que des précisions quant à la pratique de l’entreprise et à la nécessité de collecter de tels renseignements personnels lors du retour d’articles. En plus de répondre aux questions de la Direction de la surveillance de la Commission, le vice-président associé transmet différents documents 2 relatifs à 1 RLRQ, c. P-39.1, ci-après la Loi sur le privé. 2 Voir notamment : Canadian Tire Retail Stores Customer Privacy Policy, Énoncé de politique en matière de protection des renseignements personnels de Canadian Tire, Politique en
Dossier : 1010268-S 2 la protection des renseignements personnels adoptés par l’entreprise et applicables à l’ensemble des magasins associés à l’entreprise. Analyse À la lumière des éléments révélés par l’enquête et des documents au dossier, la Commission doit déterminer si l’entreprise respecte les conditions de la Loi sur le privé en ce qui a trait aux renseignements personnels collectés lors du retour d’articles. La Loi sur le privé établit des règles relatives à la collecte, à l’utilisation, à la détention et à la communication de renseignements personnels à l’occasion de l’exploitation d’une entreprise 3 . Elle prévoit, entre autres, qu’une personne qui exploite une entreprise ne doit recueillir que les renseignements personnels nécessaires à l’objet du dossier qu’elle constitue sur autrui et qu’elle doit le faire par des moyens licites. 5. La personne qui recueille des renseignements personnels afin de constituer un dossier sur autrui ou d’y consigner de tels renseignements ne doit recueillir que les renseignements nécessaires à l’objet du dossier. Ces renseignements doivent être recueillis par des moyens licites. Le fardeau de démontrer le caractère nécessaire de la collecte des renseignements personnels repose sur l’entreprise 4 . Elle doit ainsi démontrer que l’objectif poursuivi est légitime, important et réel et que l’atteinte au droit à la vie privée que peut constituer cette collecte est proportionnelle à cet objectif. Ainsi, au cours de l’enquête le vice-président associé soutient que : « Nonobstant l’indépendance de nos marchands associés exploitants de magasins, tous les magasins sont exploités conformément à une politique commune concernant la protection des renseignements personnels, conforme aux dispositions de matière de protection de renseignements personnels de Canadian Tire, Foire aux questions concernant la protection des renseignements personnels de Canadian Tire. 3 Loi sur le privé, article 1; Code civil du Québec, RLRQ, c. C-1991, article 1525. 4 En ce qui concerne l’interprétation du caractère nécessaire des renseignements personnels, voir notamment : Laval (Société de transport de la Ville de) c. X., [2003] C.A.I. 667 (C.Q.); Grenier c. Centre hospitalier universitaire de Sherbrooke, [2010] C.A.I. 396.
Dossier : 1010268-S 3 la Loi sur la protection des renseignements personnels dans le secteur privé du Québec. […] Au titre de la politique commune concernant la protection des renseignements personnels, lorsque les magasins traitent un retour ou un échange de marchandise, ils recueillent des renseignements de base du client (nom, adresse et numéro de téléphone) afin d’établir son identité. Ils utilisent ensuite ces renseignements pour déceler des signes d’activités frauduleuses comme : - de fréquents retours effectués par un même client; - de nombreux remboursements obtenus par plusieurs personnes ayant la même adresse; et - la présentation de faux reçus, ou de faux bordereaux de crédit ou de débit, associés à de la marchandise volée. […] Au même titre de cette politique, les clients peuvent se voir demander de présenter une pièce d’identité avec photo afin de vérifier leurs renseignements. Les employés qui traitent les retours peuvent utiliser le permis de conduire d’un client pour vérifier son identité; le numéro du permis n’est pas conservé ni enregistré dans le système informatique du magasin. […] L’exigence de fournir des renseignements personnels de base et de présenter des documents confirmant ces renseignements est un élément important du programme de prévention des fraudes de Canadian Tire. Selon l’expérience de Canadian Tire et d’autres détaillants, cette exigence en soi, associée à la possibilité de réviser l’information pour discerner des signes de fraude, est une méthode efficace pour détecter et empêcher les tentatives de fraude. Si un propriétaire de magasin, par exemple, s’aperçoit d’une possibilité de fraude grâce à des dénombrements de stocks, des dénonciateurs ou d’autres façons, il peut procéder à une vérification des renseignements associés aux retours et aux échanges. S’il détermine la présence d’activités suspectes lors de cette vérification, par exemple des signes laissant supposer l’existence d’un réseau de voleurs ou de fraudeurs, il peut communiquer avec les forces de l’ordre. Nos magasins utilisent aussi d’autres manières de prévenir et de détecter la fraude, comme l’examen de l’état des articles retournés et la demande de reçu de caisse original du client. […] Canadian Tire reconnaît l’importance de préserver la sécurité et la confidentialité des renseignements personnels sous sa garde.
Dossier : 1010268-S 4 En conséquence, les renseignements personnels des clients recueillis lors d’un retour ou d’un échange sont uniquement conservés dans un dossier au magasin qui a traité la transaction et ne servent à aucune autre fin. […] De plus, tous les magasins du Groupe détail Canadian Tire ont mis en place une période de conservation de 24 mois des renseignements personnels recueillis lors d’une transaction de retour. Selon cette pratique, tous les renseignements personnels des clients sont détruits lorsqu’une période de 24 mois s’est écoulée après la plus récente date de transaction de retour. […] » Partant, la Commission constate que l’objectif poursuivi par l’entreprise, en demandant le nom, l’adresse et le numéro de téléphone des personnes retournant une marchandise, vise à « déceler des signes d’activités frauduleuses ». Elle constate que cet objectif est également mentionné dans le document Canadian Tire Retail Stores Customer Privacy Policy et ce, dans les termes suivants : 2. We let you know why we are collecting your personal information […] Refunds and Exchanges The same information required to complete an individual purchase may also be required when you return previously purchased merchandise to request a refund or exchange. In addition, this may also necessitate the cash register receipt in order to substantiate the purchase. Your name, residence address, and phone number will be required. That information may be recorded to monitor the frequency or pattern of returns or exchanges by individual customers, and provided to other Canadian Tire Associate Stores for similar purposes. All of this is done for the protection of our business and our customers in the prevention of fraud by other customers or employees. Controlling losses assures the store’s ongoing ability to serve its customers’ needs at competitive prices. The information is deleted on a regular basis, if the customer has not made any further returns for an extended
Dossier : 1010268-S 5 period. Valid photo ID may be required to validate the name and address provided. […] Il l’est aussi dans la Politique en matière de protection des renseignements personnels de l’entreprise, 2. Nous vous fournissons la raison pour laquelle nous recueillons un renseignement personnel Nous fournissons toujours la raison pour laquelle nous recueillons un renseignement personnel, que ce soit avant ou pendant la collecte de l’information. Nous pouvons recueillir, utiliser et communiquer vos renseignements personnels pour : […] - vérifier votre identité et prévenir les erreurs et la fraude; […] La Commission constate que l’information selon laquelle l’identité des personnes peut être vérifiée lors du retour d’articles est accessible non seulement sur le site Internet de l’entreprise, mais aussi dans ses magasins et au verso des factures émises lors de l’achat. La Commission constate également que les renseignements collectés « ne servent à aucune autre fin », que leur accès est restreint à certains employés et qu’ils sont détruits après une période de 24 mois. Elle constate aussi que, même si le permis de conduire peut-être exigé pour vérifier l’identité de la personne, aucun renseignement inscrit sur celui-ci n’est conservé ou enregistré par l’entreprise. La Commission considère donc, en l’espèce, que l’objectif poursuivi par l’entreprise est légitime, important et réel et que l’atteinte au droit à la vie privée que peut constituer le fait de demander le nom, l’adresse et le numéro de téléphone de la personne concernée lors du retour d’articles est proportionnelle à l’objectif poursuivi soit contrer la fraude 5 . Par conséquent, la Commission est d’avis que l’entreprise a démontré que le fait de demander ces renseignements personnels lors du retour d’articles est nécessaire. 5 Voir également X. c. Future Shop, CAI 11 11 95, 21 août 2013, c. Morissette.
Dossier : 1010268-S 6 Conclusion Considérant l’ensemble du dossier, la Commission considère que l’entreprise en demandant le nom, l’adresse et le numéro de téléphone des clients lors d’un retour d’articles ne contrevient pas à l’article 5 de la Loi sur le privé. La Commission ferme donc le présent dossier. « Original signé » Cynthia Chassigneux Juge administratif c. c. Madame …
Vous allez être redirigé vers la version la plus récente de la loi, qui peut ne pas être la version considérée au moment où le jugement a été rendu.