RECOMMANDÉ Montréal, le 5 mai 2017 Monsieur … Président-directeur général … Mission Bon Accueil 606, rue De Courcelle Montréal (Québec) H4C 3L5 Objet : Plainte à l’endroit de la Mission Bon Accueil N/Réf. : 101 37 62 ______________________________________________________________ Le 9 avril 2016, la Commission d’accès à l’information (la Commission) est saisie d’une plainte à l’encontre de la Mission Bon Accueil (l’entreprise). La plainte porte sur la collecte de renseignements personnels qui, selon la plaignante, ne sont pas nécessaires ni pour s’inscrire ni pour renouveler annuellement son inscription à l’un des services offerts par l’entreprise, à savoir la Banque alimentaire. Plus particulièrement, la plainte est à l’effet que l’entreprise a exigé que la plaignante, bénéficiaire de l’aide sociale, fournisse ses relevés bancaires des trois mois précédents, en plus de plusieurs autres informations financières et documents gouvernementaux lors du renouvellement de son inscription à ce service. ENQUÊTE À la suite de cette plainte, la Direction de la surveillance de la Commission procède à une enquête, conformément à l’article 81 de la Loi sur la protection des renseignements personnels dans le secteur privé 1 . Il est, dès lors, demandé à l’entreprise de démontrer la nécessité de collecter les renseignements personnels demandés lors de l’inscription, ou de son renouvellement annuel, à sa Banque alimentaire, notamment les relevés 1 RLRQ, c. P-39.1, la Loi sur le privé.
1013762-S 2 bancaires des trois mois précédents. Il lui est également demandé de préciser les mesures de sécurité prises pour assurer la protection des renseignements personnels collectés. En septembre et novembre 2016, la conseillère juridique de l’entreprise répond à la Direction de la surveillance de la Commission. Elle ne conteste pas les faits à l’origine de la plainte. Toutefois, en ce qui concerne la nécessité de la collecte, elle soutient que : « la nécessité de collecter les renseignements personnels exigés aux termes de notre procédure d’admission des bénéficiaires de la banque alimentaire ainsi que de notre procédure de mise à jour des dossiers de la banque alimentaire (ci-après collectivement les « Procédures »), peut être démontrée suivant le test d’analyse du critère de nécessité tel qu’établi par la Cour du Québec dans l’Affaire STL. Il est de notre avis que nos objectifs poursuivis par notre collecte de renseignements personnels aux termes de nos Procédures sont légitimes, importants, urgents et réels et que l’atteinte au droit à la vie privée [de nos bénéficiaires] que peut constituer cette collecte est proportionnelle aux objectifs poursuivis. Objectifs poursuivis […] notre service de banque alimentaire existe depuis 1985. Ce service de premières nécessités poursuit directement les objets pour lesquels nous avons été constitués puisqu’avec ce service, nous offrons de l’aide alimentaire permettant aux familles et aux personnes vivant sous le seuil de pauvreté de se nourrir adéquatement. […] Comme ce service gratuit vise un groupe d’individus précis, nous nous sommes dotés de critères d’admission pour évaluer les demandes : vivre sous le seuil de la pauvreté; ne pas être sans-abris; vivre légalement au Canada. Ces critères sont vérifiés en analysant les renseignements personnels exigés aux termes de nos Procédures. Ainsi, nous constituons des dossiers sur nos bénéficiaires dans le but de déterminer leur admissibilité à notre service gratuit de banque alimentaire. Par cette collecte de renseignements
1013762-S 3 personnels, nous voyons à servir les personnes ciblées aux termes des objets pour lesquels nous avons été constitués. […] Conséquemment, nous estimons que les objectifs poursuivis par la collecte des renseignements personnels exigés aux termes de nos Procédures sont légitimes, importants, urgents et réels. Atteinte au droit à la vie privée versus les objectifs poursuivis […] Tout (…) bénéficiaire doit ouvrir un dossier chez nous [ou mettre à jour son dossier] suivant présentation des pièces demandées, soit une preuve d’identité, une preuve d’adresse et divers documents selon les sources de revenus [conformément à ce qui est prévu au document intitulé Banque alimentaire – Documents requis pour l’ouverture d’un nouveau dossier et pour mettre à jour un ancien dossier]. La pièce d’identité n’est demandée que pour fins de validation de l’identité. […] La preuve de résidence est requise afin de confirmer que le bénéficiaire ne vit pas dans la rue. […] Finalement, certaines preuves de revenus doivent être vérifiées pour chaque nouveau bénéficiaire ainsi que pour les mises à jour annuelles des dossiers bénéficiaires actifs. L’idée derrière cette vérification est de peindre un portrait le plus actuel de la situation financière du bénéficiaire dans un temps précis, soit à l’ouverture du dossier ou lors de sa mise à jour annuelle qui se fait dans la période comprise entre janvier et mars. (…) Dans tous les cas, les 3 derniers relevés de comptes bancaires sont requis puisque certains revenus ne peuvent être confirmés autrement. […] En raison des multiples sources de revenus que nos différents bénéficiaires peuvent avoir et en raison du haut nombre de dossiers admis par année, nous nous devons de vérifier les papiers qui sont le plus uniformes pour tous et qui nous permettent d’atteindre nos visées. Il serait un non-sens de ne pas chercher à uniformiser et à simplifier le nombre de documents exigés aux fins de nos vérifications. Il est de notre avis que d’exiger plus de documents pour confirmer le portrait financier d’une personne occasionnerait une plus grande atteinte à la vie privée comparativement aux documents exigés aux termes de nos Procédures. La vérification des preuves d’impôts ne nous permet pas de confirmer la situation financière d’une personne dans le temps souhaité, soit au moment d’une ouverture de dossier ou de mise
1013762-S 4 à jour de dossier. Les preuves d’impôts dressent un portrait de la situation financière pour l’année antérieure, ce qui fausse les données. […] Conséquemment, il est de notre avis qu’en l’espèce, l’atteinte au droit à la vie privée d’un bénéficiaire est proportionnelle aux objectifs que nous poursuivons ». En ce qui concerne la sécurité des renseignements personnels collectés, la conseillère juridique soutient que l’entreprise ne conserve « [a]ucune photocopie des renseignements personnels exigés. Nous les consultons aux fins de nos Procédures puis nous les remettons à nos bénéficiaires à la fin du rendez-vous. Ces documents ne peuvent pas non plus nous être transmis par courriel ni par télécopieur. Les bénéficiaires doivent nous les présenter en personne. Les renseignements sont ensuite inscrits électroniquement dans la base de données de la banque alimentaire qui est supportée par le logiciel SISA 3. […] ». Par ailleurs, la conseillère juridique allègue qu’en l’espèce l’entreprise n’a pas pris connaissance des documents présentés par la plaignante, car ceux-ci « ne concordaient pas avec ceux requis par notre procédure ». ANALYSE La Loi sur le privé établit certaines règles relatives à la protection des renseignements personnels qu’une entreprise doit respecter. Ces règles visent à établir un équilibre entre le droit d’un individu au respect de sa vie privée et les besoins d’une entreprise en matière de collecte de renseignements personnels dans le cadre de l’exercice de ses activités qu’elles soient ou non à caractère commercial. En l’espèce, la Commission doit déterminer si l’entreprise respecte les conditions de la Loi sur le privé en ce qui a trait aux renseignements personnels collectés lors de l’inscription ou de la mise à jour des dossiers des bénéficiaires de l’un des services offerts, soit la Banque alimentaire.
1013762-S 5 Principes applicables La Loi sur le privé prévoit qu’une entreprise ne doit recueillir que les renseignements personnels nécessaires à l’objet du dossier qu’elle constitue sur autrui. 5. La personne qui recueille des renseignements personnels afin de constituer un dossier sur autrui ou d’y consigner de tels renseignements ne doit recueillir que les renseignements nécessaires à l’objet du dossier. Ces renseignements doivent être recueillis par des moyens licites. La Loi sur le privé prévoit également qu’une entreprise doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels qu’elle détient, et ce, tout au long de leur cycle de vie. 10. Toute personne qui exploite une entreprise doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits et qui sont raisonnables compte tenu, notamment, de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support. Le fardeau de démontrer le caractère nécessaire de la collecte des renseignements personnels repose sur l’entreprise. Le critère de nécessité s’interprète à la lumière de la finalité poursuivie par l’entreprise qui recueille des renseignements personnels. Dans l’affaire Laval 2 , la Cour du Québec propose d’interpréter l’exigence de nécessité de la manière suivante : [44] […] Un renseignement sera donc nécessaire non pas lorsqu’il pourra être jugé absolument indispensable, ou au contraire simplement utile. Il sera nécessaire lorsque chaque fin spécifique poursuivie par l’organisme, pour la réalisation d’un objectif lié à ses attributions, sera légitime, importante, urgente et réelle, et lorsque l’atteinte au droit à la vie privée que pourra constituer la cueillette, la communication ou la conservation de chaque élément de renseignement sera proportionnelle à cette fin. Cette proportionnalité jouera en faveur de l’organisme 2 Laval (Société de transport de la Ville de) c. X., [2003] C.A.I. 667 (C.Q.).
1013762-S 6 lorsqu’il sera établi que l’utilisation est rationnellement liée à l’objectif, que l’atteinte est minimisée et que la divulgation du renseignement requis est nettement plus utile à l’organisme que préjudiciable à la personne. Autrement, le droit à la vie privée et à la confidentialité des renseignements personnels devra prévaloir. [Nos soulignements] En 2010, la Cour du Québec 3 a appliqué à nouveau ce test lors de l’interprétation du critère de nécessité en précisant que : [153] Ce test a l’avantage de tenir compte de la nature du renseignement et du besoin réel de l’organisme dans l’exercice de ses attributions en comparant le degré d'exigence que commande le besoin à l’expectative du préjudice pouvant être causé par l’atteinte aux droits de la personne. [154] Ce test a pour effet pratique de soupeser les besoins de l’un dans l’optique de la finalité de ses fonctions et le préjudice pouvant être causé à l’autre. Ce test a été repris à plusieurs occasions par la Commission. Ainsi, l’entreprise doit démontrer, à l’aide d’éléments concrets et probants, que les objectifs poursuivis par la collecte des relevés bancaires des trois mois précédents sont légitimes, importants, urgents et réels et que l’atteinte au droit à la vie privée que peut constituer cette collecte est proportionnelle à ces objectifs. Application du test de nécessité Les objectifs poursuivis sont-ils légitimes, importants, urgents et réels ? La Commission constate que l’objectif poursuivi par l’entreprise est « de fournir des services pour aider les personnes défavorisées principalement de la grande région de Montréal en accomplissant les buts suivants : […] prendre soin et fournir des services de première nécessité et d’autres programmes ou services, afin de diminuer la pauvreté et la souffrance qui en résulte et d’améliorer la qualité de vie pour tous ceux qui sont dans le besoin; […] » 4 . 3 Grenier c. Centre hospitalier universitaire de Sherbrooke, [2010] C.A.I. 396. 4 Extrait des lettres patentes de l’entreprise déposées auprès du Registraire des entreprises le 18 août 2009.
1013762-S 7 L’entreprise a ainsi créé, en 1985, une Banque alimentaire afin de soutenir « les personnes qui en ont besoin » 5 , étant entendu que « ce service s’adresse essentiellement aux personnes qui vivent sous le seuil de pauvreté » 6 . Pour s’assurer de l’admissibilité des personnes, la Commission constate que l’entreprise a établi, comme mentionné par la conseillère juridique, des critères d’admission, à savoir : vivre sous le seuil de la pauvreté; ne pas être sans-abris; vivre légalement au Canada. La Commission constate également que, pour vérifier le premier critère, l’entreprise demande à chaque personne âgée de 18 ans et plus de présenter différents documents au moment de son inscription à la Banque alimentaire et du renouvellement annuel. Ainsi, comme indiqué dans le document intitulé Banque alimentaire – Documents requis pour l’ouverture d’un nouveau dossier, si la personne est bénéficiaire de l’aide sociale, comme en l’espèce, elle doit présenter ses relevés bancaires des trois mois précédents et son carnet de réclamation. La Commission constate que l’entreprise demande les relevés bancaires des trois mois précédents, car cela lui permet, comme mentionné par la conseillère juridique, « de prendre une photo dans un temps donné de la situation financière du bénéficiaire. En raison du temps de l’année, certains n’auraient pas tous les papiers émis par le gouvernement au moment requis. Certains revenus qui sont déposés par dépôt direct n’apparaitront que sur les relevés bancaires. […] En raison des multiples sources de revenus que nos différents bénéficiaires peuvent avoir et en raison du haut nombre de dossiers admis par année, nous nous devons de vérifier les papiers qui sont le plus uniformes pour tous et qui nous permettent d’atteindre notre objectif » 7 . À la lumière des réponses et documents transmis par l’entreprise, la Commission est d’avis que pour s’assurer que les personnes qui s’inscrivent à la Banque 5 Section « Banque Alimentaire » du site Web de l’entreprise. 6 Id. 7 Voir réponse de l’entreprise du 21 septembre 2016.
1013762-S 8 alimentaire vivent sous le seuil de la pauvreté, l’entreprise doit vérifier leurs revenus. Cette mesure, comme mentionné par la conseillère juridique, vise à contrer « des cas d’abus où des gens qui ne se qualifiaient pas comme étant à faibles revenus ont bénéficié de notre service gratuit de banque alimentaire, empêchant ainsi aux autres qui se qualifiaient d’y avoir droit ». Dès lors, la Commission considère que les objectifs poursuivis par l’entreprise en demandant les relevés bancaires des trois mois précédents aux personnes qui s’inscrivent à la Banque alimentaire afin de s’assurer qu’elles vivent sous le seuil de la pauvreté sont légitimes, importants et réels. L’atteinte au droit à la vie privée que peut constituer cette collecte est-elle proportionnelle aux objectifs poursuivis ? La Commission constate que les documents demandés pour s’inscrire, ou renouveler annuellement son inscription, à la Banque alimentaire ne sont pas conservés par l’entreprise. Ces documents, comme le mentionne la conseillère juridique de l’entreprise, sont consultés lors de l’inscription pour vérifier l’identité, l’adresse et les revenus de la personne souhaitant s’inscrire, ou renouveler son inscription au service. Les documents sont remis à leur titulaire, à la fin du rendez-vous avec l’un des bénévoles, une fois les vérifications effectuées. De plus, ces documents ne peuvent être transmis ni par courriel ni par télécopieur et aucune photocopie n’est faite par l’entreprise. La Commission constate également que l’entreprise inscrit et conserve dans sa base de données l’identité, l’adresse et le montant des revenus de la personne qui s’inscrit à son service de Banque alimentaire. Elle constate aussi que la photo du bénéficiaire est conservée dans cette base de données. La Commission constate ensuite que l’entreprise conserve les renseignements personnels des bénéficiaires tant que ceux-ci ont recours aux services de l’entreprise. Elle constate aussi que les bénéficiaires peuvent, verbalement ou par écrit, demander à ce que leurs renseignements personnels soient supprimés de la base de données de l’entreprise. À la lumière de ce qui précède, la Commission considère que l’entreprise a démontré que le fait de demander les relevés bancaires des trois mois précédents et d’inscrire le montant des revenus de la personne qui souhaite s’inscrire, ou renouveler annuellement son inscription, à la Banque alimentaire est rationnellement lié à l’objectif poursuivi par celle-ci. En effet, il ressort des éléments contenus au dossier que cette procédure permet à l’entreprise de
1013762-S 9 s’assurer que les personnes inscrites à la Banque alimentaire vivent sous le seuil de la pauvreté. La Commission considère donc, en l’espèce, que l’atteinte au droit à la vie privée que peut constituer le fait pour l’entreprise de demander les relevés bancaires des trois mois précédents est proportionnelle à l’objectif poursuivi soit garantir la distribution de denrées alimentaires aux personnes vivant sous le seuil de la pauvreté. Par conséquent, la Commission est d’avis que l’entreprise a démontré que le fait de demander les relevés bancaires des trois mois précédents est nécessaire à l’exercice de ses attributions. Elle est également d’avis, au regard des différents éléments décrits précédemment, que l’entreprise prend toutes les mesures de sécurité propres à assurer la protection des renseignements personnels inscrits dans sa base de données. CONCLUSION Considérant l’ensemble du dossier, la Commission considère que l’entreprise, en demandant les relevés bancaires des trois mois précédents, ne contrevient pas à l’article 5 de la Loi sur le privé. La Commission considère également que les mesures de sécurité prises par l’entreprise pour assurer la protection des renseignements personnels sont conformes à l’article 10 de la Loi sur le privé. La Commission ferme donc le présent dossier. « Original signé » Cynthia Chassigneux Juge administratif c. c. Madame …
Vous allez être redirigé vers la version la plus récente de la loi, qui peut ne pas être la version considérée au moment où le jugement a été rendu.