Section surveillance

Commission d’accès à l’information du Québec Dossier : 111310 Date : Le 29 septembre 2014 Membre: M e Lina Desbiens X. Plaignante c. ROGERS COMMUNICATIONS INC. Entreprise DÉCISION OBJET PLAINTE en vertu de la Loi sur la protection des renseignements personnels dans le secteur privé 1 . [1] Le 29 juin 2011, la Commission d’accès à l’information (la Commission) est saisie de la plainte de M me … (la plaignante) à l’endroit de Rogers Communications (l’entreprise) portant sur la collecte de renseignements personnels, plus précisément le numéro d’assurance sociale (NAS) et le numéro de permis de conduire de la plaignante, dans le cadre de la mise en service d’un téléphone cellulaire. [2] À la suite de cette plainte, la Commission a procédé à une enquête conformément à l’article 81 de la Loi sur le privé, qui fut complétée en mars 2012. 1 RLRQ, c. P-39.1, la Loi sur le privé.

111310 Page : 2 [3] L’enquête visait à recueillir et analyser les faits relatifs aux allégations de la plaignante afin de permettre à la Commission de déterminer si l’entreprise s’est conformée aux prescriptions de la Loi sur le privé en matière de collecte de renseignements personnels, plus particulièrement, sur l’exigence de l’entreprise de recueillir le numéro des pièces d’identité fournies lors de l’ouverture d’un compte. Résumé de l’enquête [4] L’enquête a permis de constater que l’entreprise a exigé de recueillir des renseignements personnels de la plaignante lors d’une demande d’ouverture d’un compte pour la mise en service d’un téléphone cellulaire, soit son NAS et sa date de naissance. L’entreprise lui a également demandé de présenter son permis de conduire. Devant son refus de fournir les renseignements demandés, on l’a informée du fait que l’entreprise ne pourrait procéder à l’ouverture du compte. [5] L’entreprise ne nie pas les faits en cause. Elle explique que lors de l’ouverture d’un compte, le client est invité à fournir ses nom, adresse, numéro de téléphone et sa date de naissance. En outre, le client est tenu de fournir deux renseignements d’identité qu’il peut choisir parmi une liste comprenant le NAS, le numéro de permis de conduire, de carte de crédit ou de passeport. Elle précise qu’il n’y a pas de copies faites des pièces d’identité demandées pour valider l’identité d’un client potentiel. Toutefois, le numéro de ces pièces est noté dans le dossier du client. [6] Dans le cadre de l’enquête, l’entreprise a expliqué que les renseignements personnels sont exigés afin de lui permettre d’authentifier l’identité du client potentiel, de mener une enquête de crédit, de prévenir toute fraude et d’assurer les paiements des clients. L’entreprise a précisé que la cueillette du NAS est optionnelle. Avis d’intention [7] Le 4 juillet 2013, la Commission transmet à l’entreprise un avis d’intention ainsi que le rapport factuel d’enquête, l’informant qu’elle envisage de lui ordonner de cesser de recueillir le NAS ou le numéro de permis de conduire d’une personne pour la mise en service d’un téléphone cellulaire.

111310 Page : 3 Observations de l’entreprise [8] Le 9 septembre 2013, l’entreprise a apporté des précisions quant à ses pratiques en matière de collecte de pièces d’identité. [9] Avant de conclure des ententes et de fournir des services à ses clients, elle s’assure de leur solvabilité et de leur capacité de payer. Les services sont payables à l’utilisation et peuvent varier d’un mois à l’autre, selon les services additionnels utilisés par les clients. Elle procède donc à une vérification de crédit préalable pour chacun de ses futurs abonnés. [10] Pour ce faire, elle demande à ses clients leur date de naissance et deux pièces d’identité, dont une avec photo au choix du client parmi les pièces suivantes : carte d’assurance sociale, permis de conduire, carte de crédit, information bancaire, certificat de naissance, passeport canadien, carte de citoyenneté, carte de statut d’amérindien, carte de l’âge d’or et carte d’étudiante. Elle recueille le numéro de la pièce présentée. [11] L’entreprise soumet que ces pièces d’identité permettent de confirmer l’identité du client et sont nécessaires pour obtenir un rapport de crédit fiable, évitant ainsi des conséquences financières pour elle et le client. Selon l’entreprise, les pertes encourues en raison de créances irrécouvrables sont des enjeux majeurs de l’industrie. [12] Un client qui ne veut ni fournir une pièce d’identité, ni consentir à une enquête de crédit, peut quand même avoir accès aux services sans fil prépayés offerts par l’entreprise en payant la totalité du montant du contrat à l’avance. [13] L’entreprise souligne que sa pratique en matière de collecte des numéros des pièces d’identité a été confirmée dans des décisions antérieures de la Commission et du Commissaire à la protection de la vie privée du Canada 2 . [14] Finalement, elle précise qu’elle est une entreprise de télécommunications, domaine de juridiction exclusive fédérale. À ce titre, elle est assujettie à la Loi sur la protection des renseignements personnels et les documents électroniques 3 qu’elle dit respecter. Elle précise qu’elle soumet ses observations sans admission quant à la compétence de la Commission sur les questions soulevées par la présente plainte. 2 Cantel inc. C.A.I. 99 06 01, 22 décembre 1999 et Résumés de conclusions d’enquête en vertu de la LPRPDE n os 2002-104, 2003-151, 2003-204, 2003-217, 2005-288. 3 L.C., 2000, ch. 5, la LPRPDE.

111310 Page : 4 ANALYSE [15] D’une part, la Commission doit statuer sur la légalité de la cueillette de deux pièces d’identité lors d’une demande d’ouverture de compte chez l’entreprise. D’autre part, elle doit disposer de l’argument relatif à la compétence de la Commission à décider des questions soulevées par la présente plainte. [16] La Loi sur le privé s’applique à l’égard des renseignements personnels qu’une entreprise de biens ou de services 4 recueille, détient, utilise ou communique à des tiers. [17] En vertu de l’article 5 de la Loi sur le privé, l’entreprise ne peut recueillir que les renseignements nécessaires à l’objet du dossier, soit en l’espèce la mise en service d’un téléphone cellulaire. Cet article prévoit que : 5. La personne qui recueille des renseignements personnels afin de constituer un dossier sur autrui ou d'y consigner de tels renseignements ne doit recueillir que les renseignements nécessaires à l'objet du dossier. Ces renseignements doivent être recueillis par des moyens licites. [Nos soulignements] [18] Dans la présente affaire, les renseignements habituellement recueillis, soit les numéros relatifs aux deux pièces d’identité choisies parmi celles identifiées précédemment, constituent des renseignements personnels visés par la Loi sur le privé. [19] En effet, l’article 2 de cette loi définit la notion de renseignement personnel comme suit : 2. Est un renseignement personnel, tout renseignement qui concerne une personne physique et permet de l’identifier. [20] De plus, l’article 9 de cette loi prévoit qu’une entreprise ne peut refuser de donner un service au motif que la personne refuse de fournir des renseignements personnels qui ne sont pas nécessaires à l’objet du dossier : 4 Constitue l’exploitation d’une entreprise l’exercice, par une ou plusieurs personnes, d’une activité économique organisée, qu’elle soit ou non à caractère commercial, consistant dans la production ou la réalisation de biens, leur administration ou leur aliénation, ou dans la prestation de services (art. 1 de la Loi sur le privé et 1525 du Code civil du Québec).

111310 Page : 5 9. Nul ne peut refuser d'acquiescer à une demande de bien ou de service ni à une demande relative à un emploi à cause du refus de la personne qui formule la demande de lui fournir un renseignement personnel sauf dans l'une ou l'autre des circonstances suivantes: 1° la collecte est nécessaire à la conclusion ou à l'exécution du contrat; 2° la collecte est autorisée par la loi; 3° il y a des motifs raisonnables de croire qu'une telle demande n'est pas licite. En cas de doute, un renseignement personnel est réputé non nécessaire. [21] Cette règle de la nécessité de la collecte des renseignements personnels est impérative et une entreprise ne peut y déroger, même avec le consentement de la personne concernée 5 . En effet, l’obtention du consentement n’autorise pas l’entreprise à recueillir des renseignements qui ne sont pas nécessaires à l’objet du dossier. [22] Le fardeau de démontrer la nécessité de recueillir certains renseignements personnels repose sur l’entreprise. Elle doit démontrer qu’ils sont nécessaires à l’objet du dossier, en l’occurrence la mise en service d’un téléphone cellulaire. [23] L’entreprise allègue que la présentation des deux pièces d’identité, au choix du client, la collecte du numéro apparaissant sur ces pièces et de la date de naissance sont nécessaires aux fins d’identification du client, d’évaluation de son crédit, de la prévention de la fraude et du recouvrement des créances. Confirmation de l’identité du client [24] La Commission a déjà reconnu qu’une entreprise a le droit de vérifier l’identité d’un client pour l’achat ou la fourniture d’un bien ou d’un service payable par versements. Bien qu’une entreprise ne puisse exiger la production de pièces d’identité spécifiques, comme le permis de conduire ou la carte d’assurance maladie, elle peut néanmoins demander à un client qu’il fournisse, à son choix, des pièces d’identité reconnues pour confirmer son identité 6 . C’est 5 Laval (Société de transport de la Ville de) c. X., [2003] C.A.I. 667 (C.Q.), l’affaire Laval; Grenier c. Centre hospitalier universitaire de Sherbrooke, 2010 QCCQ 9397. 6 Regroupement des comités logement et Association de locataires du Québec et Corporation des propriétaires immobiliers du Québec, [1995] C.A.I. 370; Julien c. Domaine Laudance,

111310 Page : 6 le sens qu’il faut donner à la décision de la Commission, citée par l’entreprise, qui mentionne ce qui suit : En premier lieu, je tiens à vous informer que la Commission a reconnu aux entreprises le droit de s’assurer de l’identité d’un client pour l’achat ou la fourniture d’un bien ou d’un service payable par versement. Bien qu’une entreprise ne puisse exiger la production de pièces d’identité spécifiques, comme le permis de conduire ou la carte d’assurance maladie, elle peut néanmoins demander à un client qu’il fournisse à son choix des pièces d’identité reconnues. En deuxième lieu, Cantel nous a informés qu’elle laisse ce choix au client. Par ailleurs, comme nous le savons, l’identification du client est nécessaire à la vérification de ses antécédents de crédit. À la lumière de la preuve documentaire soumise par les deux parties, nous sommes d’avis qu’il n’y a plus matière à poursuivre l’examen de votre plainte. [25] Dans la décision rendue dans l’affaire Skyventure, la Commission a reconnu le droit d’authentifier l’identité des clients, mais a précisé qu’il n’est pas nécessaire, pour ce faire, de recueillir les numéros de la pièce d’identité présentée à cette fin : [28] En l’espèce, l’entreprise demande la présentation d’une pièce d’identité afin de valider le nom, le prénom et la date de naissance de ses clients. De plus, elle collecte une partie de l’identifiant de la pièce d’identité exhibée afin de faire la preuve de cette vérification et pour se protéger contre la fraude. Ainsi, dans le cas où une compagnie émettrice d’une carte de crédit refuserait de payer pour des transactions, l’entreprise pourrait prouver qu’il s’agit bien de la personne qui a obtenu le service. [29] Selon la Commission, le droit de l’entreprise d’exiger la confirmation de l’identité de la personne au moyen de la présentation d’une pièce d’identité ne va [2003] C.A.I. 77 ; Perreault c. Blondin, [2006] C.A.I. 162 ; X. et Loca-Meuble, CAI 08 11 10, 1 er octobre 2013, c. Poitras; X. et Skyventure Montréal, C.A.I. 101888, 16 septembre 2013, c. Desbiens.

111310 Page : 7 pas jusqu’à lui permettre de collecter et conserver le numéro de la pièce d’identité présentée à cette fin, et ce, même en partie. [30] De plus, la collecte et la conservation du numéro inscrit sur une pièce d’identité ou d’une partie de ce numéro ne sont pas nécessaires pour prévenir la fraude. [31] En effet, l’entreprise peut noter dans le dossier quelle pièce d’identité a été présentée à des fins d’identification, mais elle n’est pas justifiée de recueillir le numéro de l’identifiant, car cela n’est pas nécessaire à l’objet du dossier au sens de l’article 5 de la Loi sur le privé. La signature de l’employé attestant avoir vu la pièce d’identité du participant ainsi que la signature du formulaire par ce dernier sont des mesures permettant de prouver que l’identité du participant a bien été vérifiée. [32] Par ailleurs, bien que le choix de la pièce d’identité présentée à des fins d’identification soit laissé au client, cela ne justifie pas la collecte de ces identifiants. [26] Selon la Commission, bien que l’entreprise puisse demander de voir des pièces d’identité afin de vérifier l’identité de ses clients, elle ne peut recueillir leur numéro pas plus qu’elle ne peut conserver une copie de ces documents. En effet, l’entreprise peut noter dans le dossier du client laquelle des pièces d’identité a été présentée, mais elle n’a pas convaincu la Commission de la nécessité de recueillir le numéro de pièce pour identifier le client. [27] Par ailleurs, le Code de la sécurité routière 7 prévoit que le permis de conduire ne peut être exigé que dans des situations particulières. [28] Plus précisément, l’article 61 al. 2 du Code de la sécurité routière précise que : 61. [...] Le titulaire d’un permis n’est tenu de produire celui-ci qu’à la demande d’un agent de la paix ou de la Société et à des fins de sécurité routière uniquement. [29] Ainsi, l’entreprise ne peut obliger une personne à s’identifier au moyen d’un permis de conduire. 7 RLRQ, c. C-24.2.

111310 Page : 8 Enquête de crédit, prévention de la fraude et recouvrement de créance [30] L’entreprise allègue qu’il est nécessaire qu’elle s’assure de la solvabilité et de la capacité de payer de ses clients avant de conclure une entente de service. Elle doit donc procéder à une vérification de crédit préalable pour chacun de ses abonnés. [31] Pour ce faire elle recueille le numéro de la pièce que le client fournit, à son choix, parmi l’une ou l’autre des pièces mentionnées précédemment. L’entreprise allègue qu’il est généralement pratique et facile de fournir le NAS, le numéro de permis de conduire ou d’une carte de crédit. Elle considère qu’à défaut de pièces d’identité fiables, le rapport de crédit obtenu peut s’avérer inexact ou incomplet, entraînant des conséquences financières importantes. [32] Elle ajoute que si la Commission interdisait la collecte du NAS ou du numéro de permis de conduire, d’une part, un certain nombre de clients pourraient ne plus répondre aux exigences d’une enquête de solvabilité et d’autre part, les cas de fraude d’abonnement ainsi que les risques de créances irrécouvrables augmenteraient. [33] Dans plusieurs décisions 8 , la Commission a conclu que seuls les nom, adresse, numéro de téléphone et date de naissance d’une personne sont nécessaires pour effectuer une vérification de crédit. L’entreprise n’a apporté aucun élément permettant à la Commission de s’écarter de ces décisions. La Commission conclut donc que seuls ces renseignements sont nécessaires à la conclusion d’un contrat de mise en service d’un téléphone cellulaire. [34] En effet, le NAS n’est pas nécessaire pour effectuer une enquête de crédit et ne peut être recueilli, même avec le consentement du client. D’ailleurs, le fait que la collecte de cet identifiant soit optionnelle démontre bien qu’il n’est pas nécessaire pour procéder à une vérification de son crédit ou au recouvrement d’une créance. [35] Par ailleurs, le numéro de permis de conduire est un identifiant créé pour les fins de l’application du Code de la sécurité routière. L’entreprise n’a pas davantage démontré la nécessité de requérir auprès de ses clients leur numéro de permis de conduire pour ces fins. 8 Regroupement des comités logement et Association de locataires du Québec et Corporation des propriétaires immobiliers du Québec, préc., note 6; Julien c. Domaine Laudance, préc., note 6; Perreault c. Blondin, préc., note 6.

111310 Page : 9 [36] Enfin, les éléments au dossier ne permettent pas à la Commission de conclure à la nécessité pour l’entreprise de recueillir d’autres renseignements que les nom, adresse, numéro de téléphone et date de naissance d’une personne afin de réduire la fraude et le recouvrement des créances dues, l’entreprise n’en ayant pas fait la démonstration. [37] En conclusion, la Commission considère que l’entreprise peut demander à ses clients de présenter des pièces d’identité afin de vérifier leur identité, mais elle ne peut recueillir les numéros de ces pièces, pas plus que le NAS, afin de faire des vérifications d’identité ou des enquêtes de crédit. Compétence de la Commission d’accès à l’information [38] Subsidiairement, l’entreprise souligne qu’elle a soumis ses observations sans admission quant à la compétence de la Commission sur les questions soulevées par la présente plainte. Le seul motif allégué est le fait qu’elle est une entreprise de télécommunications, domaine de juridiction exclusive fédérale. À ce titre, elle serait assujettie uniquement à la LPRPDE et considère en respecter les principes applicables. [39] La Commission a compétence pour faire enquête sur l’application de la Loi sur le privé : 81. La Commission peut, de sa propre initiative ou sur la plainte d'une personne intéressée, faire enquête ou charger une personne de faire enquête sur toute matière relative à la protection des renseignements personnels ainsi que sur les pratiques d'une personne qui exploite une entreprise et recueille, détient, utilise ou communique à des tiers de tels renseignements. [40] Cette loi s’applique à toute personne qui recueille, détient, utilise ou communique à des tiers des renseignements personnels à l’occasion de l’exploitation d’une entreprise au Québec 9 . [41] Rogers exerce une activité économique organisée de nature commerciale qui consiste en la vente de produits et services. Il s’agit donc d’une entreprise au sens de l’article 1525 Code civil du Québec. L’exercice de cette activité économique implique la collecte, la conservation, l’utilisation et la communication de renseignements personnels. 9 Article 1 de la Loi sur le privé et 1525 du Code civil du Québec.

111310 Page : 10 [42] Ainsi, Rogers est soumis à la Loi sur le privé, une loi d’application générale qui établit des règles particulières à l’égard de la protection des renseignements personnels dans le cadre de l’exploitation d’une entreprise au Québec. [43] Pour que la Commission conclue à l’inapplicabilité de la Loi sur le privé en l’espèce, l’entreprise devait démontrer que cette loi affecte un de ses éléments essentiels au point d’entraver l’exercice de la compétence fédérale en matière de télécommunications. C’est ce qu’a souligné la Cour suprême dans un arrêt récent 10 : [63] Quoique l’exclusivité des compétences demeure une doctrine constitutionnelle valide, la Cour a dénoncé le recours exagéré à celle-ci. Une application élargie de cette doctrine est à contre-courant de la conception moderne du fédéralisme coopératif qui préconise l’application, dans la mesure du possible, des lois adoptées par les deux ordres de gouvernement. […] [64] Dans les rares circonstances dans lesquelles la doctrine de l’exclusivité des compétences s’applique, la loi provinciale sera inapplicable dans la mesure où son application « entraverait » le contenu essentiel d’une compétence fédérale. Il y a entrave lorsqu’il y a « atteinte grave ou importante » à la compétence fédérale, particulièrement à notre « époque de fédéralisme coopératif souple » […] [44] Or, les faits au dossier et les observations présentées ne démontrent pas en quoi l’application de la Loi sur le privé, dans le cas de la vérification de l’identité d’un client et de sa solvabilité, touche à un élément essentiel des activités de télécommunications. L’entreprise n’a présenté aucun élément concret à cet effet, elle a seulement allégué de manière générale l’exclusivité de la compétence fédérale en matière de télécommunications. [45] D’ailleurs, la Commission et la Cour du Québec ont déjà conclu à l’application de la Loi sur le privé à des entreprises de compétence fédérale, y compris Rogers 11 . 10 Banque de Montréal c. Marcotte, 2014 CSC 55. 11 Voir notamment : Nadler c. Rogers Communications Inc., 2014 QCCQ 5609; Lamarre c. Banque Laurentienne, C.A.I. 99 09 63, 21 août 2002, c. Boissinot, Laporte et Stoddart, AZ- 5014474; Pierre c. Fédéral Express Canada Ltée, [2003] C.A.I. 139; Rioux c. Recyclage Kebec inc., [2000] CAI 117; Jabre c. Middle East Airlines-AirLiban S.A.L., [1998] C.A.I. 404; Laperrière c. Air Canada, révision accordée pour d’autres motifs (C.S., 1997-10-08, appel