Section surveillance

Commission d’accès à l’information du Québec Dossier : 1005592 Date : Le 29 septembre 2014 Membre: M e Diane Poitras X. Plaignante et CELLULAIRE PLUS Entreprise DÉCISION OBJET PLAINTE en vertu de la Loi sur la protection des renseignements personnels dans le secteur privé 1 . [1] Le 19 septembre 2012, la Commission d’accès à l’information (la Commission) est saisie d’une plainte à l’endroit de Cellulaire Plus concernant la collecte de renseignements personnels au sujet de M me … (la plaignante) à l’occasion d’une demande de mise en service d’un téléphone cellulaire. [2] La plaignante reproche à Cellulaire Plus d’avoir voulu recueillir des renseignements personnels qui n’étaient pas nécessaires à l’objet du dossier, plus précisément son numéro d’assurance sociale (NAS) et son numéro de permis de conduire, dans le cadre de la mise en service d’un téléphone cellulaire selon une offre de forfait corporatif. 1 RLRQ, c. P-39.1, la Loi sur le privé.

1005592 Page : 2 [3] La Commission a procédé à une enquête conformément à l’article 81 de la Loi sur le privé. LES FAITS [4] La plaignante explique qu’elle voulait se prévaloir du forfait de cellulaire corporatif offert par TELUS aux employés de la Ville de Gatineau. Selon la procédure prévue, elle a transmis sa demande par courriel à Cellulaire Plus. [5] Cellulaire Plus lui a demandé de compléter un formulaire. La plaignante y a inscrit son nom, ses deux dernières adresses résidentielles, sa date de naissance et son numéro de carte de crédit. Toutefois, elle a refusé de donner son NAS et n’a pas inscrit de numéro de permis de conduire, n’étant pas détentrice d’un tel permis. [6] N’ayant pas obtenu de réponse à sa demande, la plaignante s’est présentée à une succursale de Cellulaire Plus située à Gatineau. Le gérant du magasin a photocopié une pièce d’identité de la plaignante. Par la suite, elle a reçu un courriel de Cellulaire Plus lui mentionnant que l’activation du cellulaire n’était pas possible parce qu’elle ne détient pas de permis de conduire. On lui a donc proposé un forfait personnel. [7] La plaignante a porté plainte à la Commission et souhaite que Cellulaire Plus cesse d’exiger de ses clients leur numéro de permis de conduire ou leur NAS pour l’obtention de services de téléphonie sans fil. [8] M. …, propriétaire de la succursale Cellulaire Plus, a transmis sa version des faits à l’enquêteur de la Commission en novembre 2012. [9] Il indique qu’à titre de détaillant autorisé de TELUS, Cellulaire Plus agit pour son compte lors de la mise en service d’appareils sans fil sur ce réseau. Elle est donc tenue de respecter les politiques de TELUS, dont le processus d’identification d’un client et la vérification de son crédit. Il souligne également que ce processus est le même pour l’ensemble des clients de TELUS à travers le Canada. [10] Selon Cellulaire Plus, la première étape consiste à valider, en magasin, l’identité du client par le biais d’une carte d’identité gouvernementale avec photo. En l’espèce, la plaignante a fourni sa carte d’employée.

1005592 Page : 3 [11] L’étape suivante consiste à effectuer une demande d’ouverture de compte et une vérification de crédit auprès de TELUS. Outre le nom et l’adresse du client, TELUS exige deux renseignements afin de procéder à la vérification de crédit. Le client peut fournir 2 des 3 pièces suivantes : carte de crédit émise par une banque canadienne, permis de conduire ou carte d’assurance sociale. Cellulaire Plus affirme qu’elle n’accède pas au dossier de crédit du client : la vérification de crédit est effectuée uniquement par TELUS. [12] Dans le cas de la plaignante, la demande de mise en service initiale a été refusée par TELUS parce qu’elle n’a pas produit deux des pièces d’identité requises pour la vérification de son crédit personnel. En effet, elle a fourni son numéro de carte de crédit, mais ne détient pas de permis de conduire et a refusé de fournir son NAS. [13] Cellulaire Plus soutient également que TELUS, à titre d’entreprise de juridiction fédérale, se conforme entièrement aux lois et à la réglementation fédérales en matière de protection des renseignements personnels. Elle ajoute que la protection de l’identité est souvent en cause dans ce genre d’industrie et que des moyens nécessaires sont mis en œuvre pour s’assurer de l’exactitude des informations recueillies lors de l’ouverture d’un compte client. OBSERVATIONS AU TERME DE L’ENQUÊTE [14] Le 17 juin 2013, la Commission transmet à Cellulaire Plus le rapport d’enquête et un avis d’intention l’informant qu’elle envisage de lui ordonner de cesser de recueillir le NAS ou le numéro de permis de conduire d’une personne pour la mise en service d’un téléphone cellulaire dans le cadre d’un forfait corporatif. [15] L’avis prévoit que Cellulaire Plus peut faire parvenir à la Commission ses observations écrites additionnelles dans un délai de 30 jours. Cet avis a été transmis par courrier recommandé et reçu par Cellulaire Plus le 25 juin 2013. [16] Cellulaire Plus n’a pas soumis d’observations additionnelles à la suite de cet avis. [17] La Commission a également fait parvenir une copie de l’avis d’intention et du rapport d’enquête à TELUS, puisque Cellulaire Plus soutient qu’elle collige certains renseignements pour le compte de TELUS, à titre de détaillant autorisé de ses produits.

1005592 Page : 4 [18] TELUS a transmis ses observations à la Commission le 29 novembre 2013. Elle affirme qu’à titre d’entreprise fédérale de télécommunications, elle se conforme aux lois et à la réglementation fédérales en matière de protection des renseignements personnels, soit la Loi sur la protection des renseignements personnels et les documents électroniques 2 (LPRPDE). [19] Selon TELUS, le Commissariat à la protection de la vie privée du Canada considère raisonnable qu’une entreprise demande deux pièces d’identité pour confirmer la solvabilité ou l’identité d’un client potentiel. À ce propos, TELUS réfère la Commission à une enquête effectuée en vertu de la LPRPDE 3 dans le cadre de laquelle « le Commissariat a conclu qu’il est raisonnable d’obtenir deux pièces d’identité pour confirmer la solvabilité ou l’identité ». [20] TELUS ajoute que cette activité de validation de l’identité du client relève de ses fonctions essentielles qui sont effectuées pour son compte par ses détaillants. Elle soumet une décision concluant que les fonctions essentielles d’une entreprise de télécommunications relèvent de la compétence exclusive de l’autorité fédérale 4 et soutient que la plainte ne relève pas de la compétence constitutionnelle de la Commission. ANALYSE [21] La Commission doit déterminer si Cellulaire Plus est autorisée, en vertu des dispositions de la Loi sur le privé, à recueillir le NAS et le numéro de permis de conduire de la plaignante. Elle doit également disposer des arguments de Cellulaire Plus et de TELUS concernant sa compétence à l’égard de la présente plainte. La collecte de renseignements personnels [22] La présente plainte porte sur la collecte, par Cellulaire Plus, du numéro de permis de conduire et du NAS à des fins d’identification et d’enquête de crédit. Puisque ces renseignements concernent une personne physique et permettent de l’identifier 5 , ils constituent des renseignements personnels visés par les dispositions de la Loi sur le privé. 2 L.C. 2000, ch. 5. 3 Résumé de conclusions d’enquête en vertu de la LPRPDE no 2005-288, intitulé « Exigences relatives à l’identification pour obtenir des services de téléphone cellulaire ». 4 Téléphone Guèvremont Inc. c. P. G. Québec, [1994] 1 R.C.S. 878. 5 Art. 2 de la Loi sur le privé.

1005592 Page : 5 [23] En vertu de l’article 5 de cette loi, Cellulaire Plus doit démontrer que les renseignements qu’elle veut recueillir sont nécessaires à l’objet du dossier constitué au sujet de la plaignante, soit la mise en service d’un téléphone cellulaire dans le cadre d’un forfait corporatif : 5. La personne qui recueille des renseignements personnels afin de constituer un dossier sur autrui ou d'y consigner de tels renseignements ne doit recueillir que les renseignements nécessaires à l'objet du dossier. Ces renseignements doivent être recueillis par des moyens licites. [24] Le fardeau de démontrer la nécessité de recueillir des renseignements personnels repose sur l’entreprise qui demande les renseignements. [25] Quant au critère de nécessité, la Cour du Québec 6 propose d’interpréter ce critère à la lumière de la finalité poursuivie par l’entreprise qui recueille des renseignements personnels : [33] Ce principe d’interprétation, voulant que la nécessité doit être évaluée relativement aux fins pour lesquelles un renseignement est requis, est conforme à la lettre et à l’esprit de la loi. Il ne s’agit pas de déterminer ce qu’est la nécessité en soi, mais plutôt de chercher, dans le contexte de la protection des renseignements personnels, et pour chaque situation, ce qui est nécessaire à l’accomplissement de chaque fin particulière pour laquelle un organisme public plaide la nécessité. […] [44] […] Un renseignement sera donc nécessaire non pas lorsqu’il pourra être jugé absolument indispensable, ou au contraire simplement utile. Il sera nécessaire lorsque chaque fin spécifique poursuivie par l’organisme, pour la réalisation d’un objectif lié à ses attributions, sera légitime, importante, urgente et réelle, et lorsque l’atteinte au droit à la vie privée que pourra constituer la cueillette, la communication ou la conservation de chaque élément de renseignement sera proportionnelle à cette fin. Cette proportionnalité jouera en faveur de l’organisme lorsqu’il 6 Laval (Société de transport de la Ville de) c. X., [2003] C.A.I. 667 (C.Q.); Grenier c. Centre hospitalier universitaire de Sherbrooke, [2010] QCCQ 93. Ces décisions portent sur l’interprétation de l’article 64 de la Loi sur l’accès qui réfère également au critère de nécessité.

1005592 Page : 6 sera établi que l’utilisation est rationnellement liée à l’objectif, que l’atteinte est minimisée et que la divulgation du renseignement requis est nettement plus utile à l’organisme que préjudiciable à la personne. Autrement, le droit à la vie privée et à la confidentialité des renseignements personnels devra prévaloir. [nos soulignements] [26] En l’espèce, Cellulaire Plus soutient que la collecte des pièces d’identité et des numéros qui y sont inscrits est requise pour identifier le client et permettre à TELUS de vérifier son dossier de crédit avant la mise en service d’un téléphone cellulaire dans le contexte d’un forfait corporatif. Examinons chacune des finalités alléguées. - Identification d’un client [27] Dans plusieurs décisions 7 , la Commission a conclu que la collecte d’un numéro contenu sur une pièce d’identité, tels les numéros de permis de conduire ou d’assurance sociale, ou la photocopie de ces pièces, n’est pas nécessaire pour valider l’identité d’une personne. Cellulaire Plus peut demander de voir une pièce d’identité, au choix du client, pour atteindre cet objectif, sans qu’il ne soit nécessaire de recueillir l’identifiant contenu sur cette pièce ni de la photocopier. [28] En l’espèce, Cellulaire Plus explique qu’elle procède elle-même, en magasin, à la validation de l’identité de la personne à partir d’une carte d’identité valide avec photo. La plaignante a présenté sa carte d’employée de la ville de Gatineau et Cellulaire Plus en a fait une copie afin de la conserver. [29] Toutefois, l’entreprise n’a fait valoir aucun élément concret justifiant la nécessité de colliger une copie de la pièce pour les fins d’identification du client. [30] Dans ses observations, TELUS ne fait pas de distinction entre la nécessité de colliger le NAS et le numéro de permis de conduire pour l’identification d’un client ou pour la vérification de sa solvabilité. 7 Regroupement des comités logement et Association de locataires du Québec et Corporation des propriétaires immobiliers du Québec, [1995] C.A.I. 370; Julien c. Domaine Laudance, [2003] C.A.I. 77 ; Perreault c. Blondin, [2006] C.A.I. 162 ; X. et Loca-Meuble, CAI 08 11 10, 1er octobre 2013, c. Poitras; X. et Skyventure Montréal, C.A.I. 101888, 16 septembre 2013, c. Desbiens.

1005592 Page : 7 [31] Puisque l’atteinte à la vie privée que constitue la collecte de renseignements personnels doit être minimisée, la Commission conclut que la collecte du NAS ou du permis de conduire n’est pas nécessaire en l’espèce pour identifier le client. [32] Tel qu’indiqué précédemment, si Cellulaire Plus désire vérifier les renseignements d’identité fournis par un client, elle peut demander de voir une pièce d’identité avec photo. Par contre, Cellulaire Plus ne peut recueillir les informations contenues sur ce document, que ce soit en les notant dans le dossier ou en photocopiant le document. Le fait de noter le type de document consulté permet, au besoin, de documenter la vérification de l’identité faite par l’employé de Cellulaire Plus et d’en rendre compte à TELUS, tout en respectant la Loi sur le privé. [33] Cette façon de faire permet un équilibre entre la protection des renseignements personnels, le respect de la vie privée des clients et le besoin de Cellulaire Plus de recueillir des renseignements personnels pour atteindre certaines finalités, dont celle de s’assurer de l’identité d’une personne avec qui elle s’apprête à contracter. [34] Notons par ailleurs que certaines lois particulières en vertu desquelles certains documents sont émis édictent qu’ils ne peuvent être exigés que dans des situations spécifiques. [35] C’est le cas du Code de la sécurité routière 8 qui prévoit : Code de la sécurité routière 61. La Société délivre les permis suivants autorisant la conduite de véhicules routiers: le permis d’apprenti- conducteur, le permis probatoire, le permis de conduire et le permis restreint. Le titulaire d’un permis n’est tenu de produire celui-ci qu’à la demande d’un agent de la paix ou de la Société et à des fins de sécurité routière uniquement. [36] Ainsi, une personne n’est tenue de fournir son permis de conduire qu’à la demande d’un agent de la paix ou de la Société de l’assurance automobile du Québec, et uniquement à des fins de sécurité routière. Cellulaire Plus ne peut donc exiger de ses clients, comme en l’espèce, la production de ce document 8 RLRQ, c. C-24.2.

1005592 Page : 8 spécifique aux fins de la mise en service d’un téléphone cellulaire dans le contexte d’un forfait corporatif. - Vérification du dossier de crédit [37] Cellulaire Plus et TELUS prétendent que le NAS ou le permis de conduire sont nécessaires pour effectuer une enquête de crédit. [38] La Commission a déjà conclu que les nom, adresse et date de naissance d’une personne suffisent pour effectuer, avec le consentement de la personne concernée, une enquête de crédit 9 . [39] Au surplus, l’ancienne adresse du client ou un numéro de carte de crédit constituent des renseignements moins sensibles que le NAS ou le permis de conduire pour permettre, lorsque requis, de s’assurer d’obtenir le bon dossier de crédit. En l’espèce, la plaignante avait fourni ces renseignements. Cellulaire Plus et TELUS n’ont pas expliqué en quoi les renseignements fournis par la plaignante ne leur permettaient pas de vérifier son dossier de crédit. [40] La Commission souligne que le NAS est un identifiant unique pouvant faciliter l’accès à certaines bases de données et le vol d’identité s’il se retrouve entre les mains de personnes mal intentionnées. Puisqu’il existe des alternatives moins attentatoires à la protection des renseignements personnels, celles-ci doivent être privilégiées, selon le test de nécessité élaboré par la Cour du Québec. [41] Ainsi, la Commission conclut que la collecte du NAS et du permis de conduire (numéro ou photocopie de la pièce d’identité) n’est pas nécessaire pour l’obtention du dossier de crédit d’une personne. Cellulaire Plus et TELUS n’ont pas démontré ce qui justifie de s’écarter de cette position en l’espèce. [42] La Commission considère donc que Cellulaire Plus ne peut recueillir ces renseignements, même sur une base volontaire, pour le compte de TELUS. En effet, puisque l’article 5 de la Loi sur le privé est une disposition impérative, 9 Id. Voir aussi, Brazeau c. Sutera, [1996] J.L. 282 (R.L); Gasparrini c. Marciszewski, [1998] J.L. 318 (R.L); Colombie-Britannique, Office of the Information and Privacy Commissioner, Privacy Guidelines for Landlords and Tenants, 2010, en ligne : Oipc.bc.ca, <http://www.oipc.bc.ca/guidance-documents/1456>, consulté le 19 septembre 2014; Alberta, Office of the Information and Privacy Commissioner of Alberta, Privacy & Landlord-Tenant Matters, 2007, en ligne : Oipc.ab.ca, <http://www.Oipc.ab.ca/Content_Files/Files/Publications/Landlord_Tenant- FAQs_Mars2007.pdf>, consulté le 19 septembre 2014.

1005592 Page : 9 Cellulaire Plus ne peut y déroger, même avec le consentement de la personne concernée 10 . La compétence de la Commission [43] La Commission doit également disposer de l’argument de Cellulaire Plus et de TELUS voulant qu’elle n’ait pas compétence pour se prononcer sur la présente plainte qui relèverait, selon ces deux entreprises, du Commissaire fédéral à la vie privée. [44] La Commission a compétence pour faire enquête sur l’application de la Loi sur le privé : 81. La Commission peut, de sa propre initiative ou sur la plainte d’une personne intéressée, faire enquête ou charger une personne de faire enquête sur toute matière relative à la protection des renseignements personnels ainsi que sur les pratiques d’une personne qui exploite une entreprise et recueille, détient, utilise ou communique à des tiers de tels renseignements. [45] Selon son article 1, la Loi sur le privé s’applique à toute personne qui recueille, détient, utilise ou communique à des tiers des renseignements personnels, à l’occasion de l’exploitation d’une entreprise au sens de l’article 1525 du Code civil du Québec 11 : 1. La présente loi a pour objet d’établir, pour l’exercice des droits conférés par les articles 35 à 40 du Code civil en matière de protection des renseignements personnels, des règles particulières à l'égard des renseignements personnels sur autrui qu'une personne recueille, détient, utilise ou communique à des tiers à l’occasion de l'exploitation d'une entreprise au sens de l'article 1525 du Code civil. Elle s’applique à ces renseignements quelle que soit la nature de leur support et quelle que soit la forme sous laquelle ils sont accessibles: écrite, graphique, sonore, visuelle, informatisée ou autre. […] 10 Laval (Société de transport de la Ville de) c. X., préc., note 6; Grenier c. Centre hospitalier universitaire de Sherbrooke, préc., note 6. 11 RLRQ, le C.c.Q.

1005592 Page : 10 [46] L’article 1525 du C.c.Q. édicte que constitue l’exploitation d’une entreprise l’exercice, par une ou plusieurs personnes, d’une activité économique organisée, qu’elle soit ou non à caractère commercial, consistant dans la production ou la réalisation de biens, leur administration ou leur aliénation, ou dans la prestation de services. [47] Selon les informations au dossier de la Commission, Cellulaire Plus est une entreprise enregistrée au Québec qui vend des produits de téléphonie cellulaire; elle est notamment un détaillant autorisé de TELUS. L’établissement concerné est situé à Gatineau. [48] Cellulaire Plus exerce une activité économique organisée de nature commerciale qui consiste en la vente de produits et services. Il s’agit donc d’une entreprise au sens de l’article 1525 du C.c.Q. L’exercice de cette activité économique implique la collecte, la conservation, l’utilisation et la communication de renseignements personnels. [49] Cellulaire Plus est donc assujettie aux dispositions de la Loi sur le privé. [50] TELUS prétend que la Commission n’a pas compétence parce que Cellulaire Plus applique ses politiques et qu’elle est, à titre d’entreprise en télécommunication, soumise uniquement aux règles fédérales en matière de protection des renseignements personnels. Elle ajoute que la validation de l’identité d’un client relève de ses fonctions essentielles qui sont effectuées pour son compte par ses détaillants. [51] La Commission n’est pas de cet avis. [52] D’abord, tel qu’exposé précédemment, Cellulaire Plus est une entreprise au sens du C.c.Q. dont les activités consistent à exploiter un commerce de détail. À ce titre, elle est soumise à la Loi sur le privé, loi d’application générale qui, tel que le stipule l’article 1, s’applique à l’égard des renseignements personnels sur autrui qu’une personne recueille, détient, utilise ou communique à des tiers à l’occasion de l’exploitation d’une entreprise. [53] D’autre part, pour conclure à l’inapplicabilité de la Loi sur le privé comme le soutient TELUS, la Commission devrait conclure que cette loi affecte un élément vital ou essentiel de l’entreprise, au point d’entraver le plein exercice de la compétence fédérale en matière de télécommunication 12 . Cette conclusion 12 Téléphone Guèvremont Inc. c. P. G. Québec, préc., note 4.