Section surveillance

COMMISSION D’ACCÈS À L’INFORMATION DU QUÉBEC Dossier : 061063 Nom de l’entreprise : Banque Nationale du Canada Date : 28 septembre 2016 Membre : M e Diane Poitras DÉCISION OBJET ENQUÊTE en vertu de la Loi sur la protection des renseignements personnels dans le secteur privé 1 . [1] À la suite d’une plainte de Madame … et de Monsieur … (les plaignants), la Commission d’accès à l’information (la Commission) a procédé à une enquête, conformément à l’article 81 de la Loi sur le privé, concernant la collecte de renseignements personnels par la Banque Nationale du Canada (l’entreprise). LES FAITS [2] Selon les informations obtenues lors de cette enquête, les plaignants ont formulé une demande de crédit pour l’achat d’une piscine. Cette demande a été complétée chez le détaillant, mais visait l’obtention d’un prêt auprès de l’entreprise. [3] Dans le cadre de cette demande, le numéro d’assurance sociale, le numéro d’assurance maladie et le numéro de permis de conduire des deux plaignants ainsi que les avis de cotisations des deux ou trois années précédant la demande de crédit d’un des plaignants ont été exigés par le détaillant qui agissait au nom de l’entreprise aux fins du financement de l’achat. 1 RLRQ, c. P-39.1, la Loi sur le privé.

061063 Page : 2 [4] Si ces identifiants n’étaient pas fournis, le prêt était refusé. Les plaignants ont donc fourni les renseignements d’identité demandés. Toutefois, devant le refus de l’un des plaignants de fournir ses avis de cotisation, l’entreprise aurait exigé que son nom soit retiré du contrat de vente et de la demande de crédit. [5] Dans le cadre de l’enquête, l’entreprise a refusé de fournir sa version des faits, car elle soutient que la Commission n’a pas compétence pour statuer sur la présente plainte. Elle invoque une décision de la Commission rendue par la section juridictionnelle concernant une demande d’examen de mésentente. L’entreprise demande également à la Commission que l’enquête soit suspendue puisque les plaignants ont également porté plainte, pour les mêmes faits, au Commissariat à la vie privée du Canada. [6] Soulignons que l’enquêteur au dossier a indiqué à l’entreprise que la Commission considère que la Loi sur le privé s’applique à toute entreprise établie au Québec et demandé à nouveau à l’entreprise de fournir sa version des faits. Malgré cette mise en garde, celle-ci a de nouveau refusé de collaborer à l’enquête. OBSERVATIONS AU TERME DE L’ENQUÊTE [7] Le 31 mars 2010, la Commission, par l’entremise de son président, transmet à l’entreprise un avis d’intention l’informant des faits révélés par l’enquête et des dispositions législatives applicables. Elle souligne qu’à la lumière de l’enquête, l’entreprise ne semble pas avoir démontré la nécessité de recueillir le numéro d’assurance sociale, le numéro d’assurance maladie et le numéro de permis de conduire des plaignants par le biais du formulaire de demande de crédit. La Commission invite l’entreprise à fournir ses observations, soulignant qu’il lui appartient de démontrer la nécessité de recueillir ces renseignements aux fins de la demande de crédit. [8] La Commission n’a pas reçu d’observations de la part de l’entreprise à la suite de cet avis. [9] Le présent dossier d’enquête est assigné à la soussignée le 19 septembre 2013. [10] Compte tenu du délai écoulé depuis l’avis d’intention, la Commission transmet à l’entreprise, le 6 octobre 2014, un nouvel avis afin de vérifier si l’entreprise a modifié ses pratiques relatives à la cueillette de renseignements personnels lors d’une demande de crédit. Elle l’invite à nouveau à présenter ses observations et à produire des documents, s’il y a lieu.

061063 Page : 3 [11] Ce nouvel avis informe l’entreprise que l’article 1 de la Loi sur le privé prévoit qu’elle s’applique à toute personne qui recueille, détient, utilise ou communique à des tiers des renseignements personnels, à l’occasion de l’exploitation d’une entreprise au sens de l’article 1525 du Code civil du Québec 2 : 1. La présente loi a pour objet d’établir, pour l’exercice des droits conférés par les articles 35 à 40 du Code civil en matière de protection des renseignements personnels, des règles particulières à l’égard des renseignements personnels sur autrui qu'une personne recueille, détient, utilise ou communique à des tiers à l’occasion de l’exploitation d'une entreprise au sens de l'article 1525 du Code civil. Elle s’applique à ces renseignements quelle que soit la nature de leur support et quelle que soit la forme sous laquelle ils sont accessibles: écrite, graphique, sonore, visuelle, informatisée ou autre. […]. [12] L’avis précise : L’article 1525 du C.c.Q. prévoit que l’exercice, par une ou plusieurs personnes, d’une activité économique organisée, qu’elle soit ou non à caractère commercial, consistant dans la production ou la réalisation de biens, leur administration ou leur aliénation, ou dans la prestation de services, constitue l’exploitation d’une entreprise. Selon les informations au dossier, la banque exerce une activité économique au Québec au sens du C.c.Q. L’exercice de cette activité économique implique la collecte, la conservation, l’utilisation et la communication de renseignements personnels. [13] L’avis indique également que la Loi sur le privé prévoit qu’une entreprise ne doit recueillir que les renseignements nécessaires à l’objet d’un dossier constitué au nom d’un client. De plus, sauf dans les circonstances prévues par la loi, nul ne peut refuser d’acquiescer à une demande de bien ou de service à cause du refus de la personne qui formule la demande de lui fournir un renseignement personnel 3 . 2 RLRQ, c. CCQ-1991, le C.c.Q. 3 Les articles 5 et 9 de la Loi sur le privé sont cités dans l’avis.

061063 Page : 4 [14] L’avis cite également les dispositions suivantes du Code de la sécurité routière 4 et de la Loi sur l’assurance maladie 5 : Code de la sécurité routière 61. La Société délivre les permis suivants autorisant la conduite de véhicules routiers: le permis d’apprenti- conducteur, le permis probatoire, le permis de conduire et le permis restreint. Le titulaire d’un permis n’est tenu de produire celui-ci qu’à la demande d’un agent de la paix ou de la Société et à des fins de sécurité routière uniquement. Loi sur l’assurance maladie 9.0.0.1. La production de la carte d’assurance maladie ou de la carte d’admissibilité ne peut être exigée qu’à des fins liées à la prestation de services ou à la fourniture de biens ou de ressources en matière de santé ou de services sociaux dont le coût est assumé par le gouvernement, en tout ou en partie, directement ou indirectement, en vertu d’une loi dont l’application relève du ministre de la Santé et des Services sociaux. [15] Enfin, l’avis précise à l’entreprise qu’il lui appartient de démontrer le caractère nécessaire de la collecte des renseignements personnels pour l’objet du dossier et qu’en l’absence d’une telle démonstration, la Commission pourrait lui ordonner de cesser de recueillir les renseignements personnels non nécessaires au traitement d’une demande de prêt, notamment les numéros d’assurance sociale, d’assurance maladie et de permis de conduire, de même qu’une copie de l’avis de cotisation d’une personne. [16] L’entreprise transmet ses observations à la Commission en novembre 2014. Elle soutient qu’à titre d’entreprise de compétence fédérale, elle n’est pas assujettie à la Loi sur le privé, mais uniquement à la Loi sur la protection des renseignements personnels et des documents électroniques 6 . Puisqu’elle considère que la Loi sur le privé ne s’applique pas à elle, l’entreprise soumet que la Commission ne peut se saisir d’une plainte déposée contre elle ni émettre d’ordonnance exécutoire la visant. 4 RLRQ, c. C-24.2. 5 RLRQ, c. A-29. 6 L.C. 2000, ch. 5, LPRPDE.

061063 Page : 5 [17] L’entreprise ajoute que la même plainte a fait l’objet d’une enquête élaborée par le Commissariat à la protection de la vie privée du Canada qui s’est prononcé dans un rapport de conclusions qu’elle joint à ses observations. [18] L’entreprise considère que : Les exigences, facteurs et motifs relevés dans ce rapport expliquent et justifient les collectes contestées devant la Commission. Celle des numéros de pièces d’identité, pour ne prendre que cet exempte, répond aux lourdes obligations qui incombent à la Banque de bien connaitre ses clients, de les identifier avec certitude et de bien gérer ses risques. La Banque a établi cette pratique dans l’objectif de concilier les différentes exigences législatives et réglementaires qui s’imposent à elle, de respecter de saines pratiques de gestion, y compris à l’égard de ses risques, et d’assurer une cohésion et harmonisation nécessaires sur le plan opérationnel dans la méthode d’identification et ses pratiques ne serait-ce que pour éviter les erreurs. Faut-il le préciser, la Banque est tenue d’exiger, dans un pan important de ses activités, soit lors de l’ouverture d’un compte bancaire par un particulier, deux pièces d’identité aux termes de l’article 4 du Règlement sur l’accès aux services bancaires de base. Dans son rapport, le Commissariat a évalué les explications et position de la Banque et a conclu que la plainte était résolue. Ainsi donc, en ce qui concerne [les plaignants] et la Banque, le sujet de la plainte a été complètement épuisé et le débat est clos. [19] L’entreprise conclut que même si la Commission refusait de déclarer la Loi sur le privé inapplicable, en l’espèce, elle serait justifiée de fermer le présent dossier de plainte au motif de chose jugée ou au nom de la saine administration de la justice. Elle soutient que l’intégrité du processus judiciaire et la protection relative au caractère définitif des instances s’opposent à ce qu’elle soit tenue de répondre à la même plainte une deuxième fois.

061063 Page : 6 ANALYSE [20] La Commission doit déterminer si l’entreprise était autorisée, en vertu des dispositions de la Loi sur le privé, à recueillir le NAS, le numéro d’assurance maladie et le numéro de permis de conduire des plaignants et les avis de cotisation de l’un d’eux. Elle doit également disposer des arguments de l’entreprise concernant sa compétence à l’égard de la présente plainte. La compétence de la Commission [21] L’entreprise estime qu’elle est assujettie uniquement aux dispositions de la LPRPDE et non à la Loi sur le privé parce qu’elle est une entreprise fédérale. Elle soutient donc que la Commission n’a pas compétence pour faire enquête et rendre une décision à son égard. Elle cite une décision rendue par la Commission dans le cadre d’une demande d’examen de mésentente (dossier 040930). [22] D’entrée de jeu, il importe de souligner que cette décision statue sur une demande d’examen de mésentente soumise à la section juridictionnelle de la Commission. La demande concernait l’accès et la rectification d’un dossier. [23] En l’espèce, c’est la section de surveillance qui est saisie d’une plainte en matière de collecte de renseignements personnels. La présente décision est rendue à la suite d’un processus d’enquête de nature administrative, selon un mode non contradictoire. [24] Pour cette raison, il ne saurait être question de « chose jugée, d’intégrité du processus judiciaire ou du principe du caractère définitif des instances ». La Commission n’a jamais rendu de décision concernant les faits faisant l’objet de la présente plainte et le Commissariat à la vie privée du Canada n’a pas rendu de décision de nature juridictionnelle qui tranche un litige entre deux parties, deux conditions essentielles à l’application du principe de la chose jugée 7 . 7 Roberge c. Bolduc, [1991] 1 S.C.R. 374. L’article 2848 al. 1 du Code civil du Québec prévoit : « 2848. L’autorité de la chose jugée est une présomption absolue; elle n’a lieu qu’à l’égard de ce qui a fait l’objet du jugement, lorsque la demande est fondée sur la même cause et mue entre les mêmes parties, agissant dans les mêmes qualités, et que la chose demandée est la même ». Pour sa part, la troisième édition de Termes juridiques, publiée par le ministère de la Justice du Québec, définit la chose jugée ainsi : « Qualité attribuée par la loi à toute décision juridictionnelle relativement à la contestation qu’elle tranche et qui empêche, sous réserve des voies de recours, que la même chose soit rejugée entre les mêmes parties dans un autre procès », en ligne : http://www.justice.gouv.qc.ca/francais/publications/generale/term es/auto-chose.htm# .

061063 Page : 7 [25] En matière de surveillance, la Commission a compétence notamment pour faire enquête sur l’application de la Loi sur le privé : 81. La Commission peut, de sa propre initiative ou sur la plainte d’une personne intéressée, faire enquête ou charger une personne de faire enquête sur toute matière relative à la protection des renseignements personnels ainsi que sur les pratiques d’une personne qui exploite une entreprise et recueille, détient, utilise ou communique à des tiers de tels renseignements. [26] Selon son article 1, la Loi sur le privé s’applique à toute personne qui recueille, détient, utilise ou communique à des tiers des renseignements personnels, à l’occasion de l’exploitation d’une entreprise au sens de l’article 1525 du C.c.Q. : 1. La présente loi a pour objet d’établir, pour l’exercice des droits conférés par les articles 35 à 40 du Code civil en matière de protection des renseignements personnels, des règles particulières à l'égard des renseignements personnels sur autrui qu'une personne recueille, détient, utilise ou communique à des tiers à l’occasion de l'exploitation d'une entreprise au sens de l'article 1525 du Code civil. Elle s’applique à ces renseignements quelle que soit la nature de leur support et quelle que soit la forme sous laquelle ils sont accessibles: écrite, graphique, sonore, visuelle, informatisée ou autre. […] [27] Selon l’article 1525 du C.c.Q. l’exploitation d’une entreprise constitue l’exercice, par une ou plusieurs personnes, d’une activité économique organisée, qu’elle soit ou non à caractère commercial, consistant dans la production ou la réalisation de biens, leur administration ou leur aliénation, ou dans la prestation de services. [28] À la lumière des informations au dossier de la Commission, l’entreprise offre, au Québec, « des services de dépôts, de prêts, de cartes de crédit, de débit et de paiement, des services de fiducie, de garde de courtage, d’assurance et autres services financiers personnels » 8 . 8 Formulaire no 0525-1 de demande de crédit de la Banque nationale du Canada, au dossier de la Commission : section « Collecte et utilisation de renseignements personnels » - point (a).

061063 Page : 8 [29] Elle exerce, au Québec, une activité économique organisée de nature commerciale qui consiste à offrir divers services financiers bancaires. Il s’agit donc d’une entreprise au sens de l’article 1525 du C.c.Q. L’exercice de cette activité économique implique la collecte, la conservation, l’utilisation et la communication de renseignements personnels, comme en témoigne le formulaire de demande de crédit transmis par les plaignants. [30] Pour ces motifs, l’entreprise rencontre les critères d’assujettissement de la Loi sur le privé. [31] Toutefois, elle prétend qu’à titre d’entreprise bancaire, elle est soumise uniquement aux règles fédérales en matière de protection des renseignements personnels. [32] La Commission n’est pas de cet avis. [33] Pour conclure à l’inapplicabilité de la Loi sur le privé comme le soutient l’entreprise, la Commission devrait être convaincue que cette loi affecte un de ses éléments vital ou essentiel, au point d’entraver le plein exercice de la compétence fédérale en matière de banques 9 . Cette conclusion doit reposer sur des éléments concrets et probants et non sur la seule allégation de l’entreprise. Comme l’a souligné récemment la Cour suprême 10 : [63] Quoique l’exclusivité des compétences demeure une doctrine constitutionnelle valide, la Cour a dénoncé le recours exagéré à celle‑ci. Une application élargie de cette doctrine est à contre‑courant de la conception moderne du fédéralisme coopératif qui préconise l’application, dans la mesure du possible, des lois adoptées par les deux ordres de gouvernement. […] [64] Dans les rares circonstances dans lesquelles la doctrine de l’exclusivité des compétences s’applique, la loi provinciale sera inapplicable dans la mesure où son application « entraverait » le contenu essentiel d’une compétence fédérale. Il y a entrave lorsqu’il y a « atteinte grave ou importante » à la compétence fédérale, particulièrement à notre « époque de fédéralisme coopératif souple » […]. 9 Banque de Montréal c. Marcotte, 2014 CSC 55; Banque canadienne de l’Ouest c. Alberta, 2007 CSC 22. 10 Banque de Montréal c. Marcotte, préc., note 9.

061063 Page : 9 [34] Dans l’affaire Banque de Montréal c. Marcotte 11 , la Cour conclut à l’application de dispositions de la Loi sur la protection du consommateur 12 aux banques en ces termes : [68] […] Les dispositions de la L.P.C. n’empêchent pas les banques de prêter de l’argent ou de convertir des devises; elles exigent seulement que ces frais de conversion soient mentionnés au consommateur. [69] […] Les dispositions qui prévoient la mention des frais et les recours possibles ont effectivement une incidence sur la façon dont les banques exercent un certain aspect de leurs activités, mais, comme nous l’avons vu précédemment, cette incidence ne saurait être assimilée à une entrave. Il est difficile d’imaginer comment ces dispositions pourraient forcer le Parlement à légiférer de manière à les écarter, à défaut de quoi, sa capacité de réaliser l’objectif pour lequel la compétence exclusive sur les banques lui a été attribuée serait entravée. […] [35] Dans le présent dossier, l’entreprise n’a fourni aucun élément concret permettant à la Commission de conclure que les règles relatives à la collecte des renseignements faisant l’objet de la plainte constituent une entrave au contenu essentiel de la compétence fédérale sur les banques 13 . Elle s’est limitée à invoquer le fait qu’elle était une entreprise de compétence fédérale. [36] Or, plusieurs entreprises ont, dans le cadre de leurs activités, à bien connaître leurs clients, à valider leur identité et à vérifier leur solvabilité afin de bien gérer les risques. Il ne s’agit pas d’enjeux propres au domaine bancaire. Même les dispositions réglementaires et les directives invoquées par l’entreprise dans le cadre de l’enquête réalisée par le Commissariat fédéral à la vie privée 14 afin de justifier la collecte de ces renseignements ne sont pas propres aux banques. [37] Quant à l’argument voulant que le Commissariat fédéral à la vie privée se soit déjà prononcé sur la légalité de la collecte des renseignements faisant 11 Id. 12 RLRQ, c. P-40.1, la LPC. 13 Voir notamment : Banque canadienne de l’Ouest c. Alberta, préc., note 9. 14 Selon le Rapport de conclusions 6100-02155 et 6100-02228, transmis par l’entreprise, elle invoque notamment le Règlement sur le recyclage des produits de la criminalité et le financement des activités terroristes et la ligne directrice B-8 : Mécanismes de dissuasion et de détection du recyclage des produits de la criminalité et le financement des activités terroristes du Bureau du surintendant des institutions financières.

061063 Page : 10 l’objet de la plainte, la Commission ne croit pas que cela dispense l’entreprise de respecter les dispositions de la Loi sur le privé applicables en l’espèce. [38] D’abord, le Commissariat fédéral à la vie privée s’est prononcé sur la légalité de cette collecte au regard des dispositions de la LPRPDE et non de celles de la Loi sur le privé. [39] Comme l’indique la Cour suprême, « le simple fait que le Parlement ait légiféré sur une matière n’empêche pas les provinces de légiférer sur la même matière […] », d’autant plus lorsque cette matière se situe dans le cadre de leur compétence constitutionnelle. [40] La doctrine de la prépondérance fédérale ne s’applique qu’en cas de conflit entre la loi fédérale et la loi provinciale. La Cour suprême indique que s’il est possible pour une entreprise de se conformer aux lois fédérale et provinciale en satisfaisant aux critères de la loi la plus stricte, il n’y a pas de conflit 15 . De plus, c’est à la partie qui invoque la prépondérance fédérale qu’incombe le fardeau de la preuve : elle « doit d’abord établir l’objet de la loi fédérale pertinente et ensuite prouver que la loi provinciale est incompatible avec cet objet » 16 . [41] La Commission comprend des décisions plus récentes de la Cour suprême qu’il faut favoriser une interprétation visant la conciliation des lois provinciales et fédérales applicables à une situation donnée, surtout lorsque les deux lois poursuivent, par des moyens semblables, le même objet et la même finalité. [42] En l’espèce, la Loi sur le privé et la LPRPDE visent le même objectif, soit la protection des renseignements personnels et, par conséquent, la protection du public. Elles limitent toutes deux la collecte de renseignements personnels et prévoient que seuls les renseignements nécessaires peuvent être recueillis par une entreprise 17 . L’entreprise n’a pas démontré l’existence d’un conflit entre ces lois. [43] La Commission conclut donc que la collecte de renseignements personnels faisant l’objet de la présente plainte est soumise aux règles applicables de la Loi sur le privé et qu’elle a compétence pour statuer sur celle- ci. 15 Procureur général de la Colombie-Britannique c. Lafarge Canada Inc., 2007 CSC 23. 16 Banque de Montréal c. Marcotte, préc., note 9, paragr. 73. 17 Article 5 de la Loi sur le privé et article 5 et principe 4.4 de l’annexe de la LPRPDE.