RECOMMANDÉ Montréal, le 1 er octobre 2019 Monsieur Concoursweb.com 12153, rue Parent Montréal (Québec) H1B 2M2 Objet : Enquête concernant une plainte à l’endroit de Concoursweb.com Dossier : 1008229-S La présente vise à vous informer que la Commission d’accès à l’information (la Commission) ne donnera pas suite à la plainte portant sur la collecte de la date de naissance des participants aux concours affichés sur le site Internet de l’entreprise Concoursweb.com. La plainte L’entreprise gère un site Internet qui affiche plusieurs concours et tirages qu’elle organise. Elle publie également sur son site Internet des concours organisés par d’autres entreprises. Le plaignant indique que la formule d’adhésion en ligne requiert sa date de naissance et que plusieurs concours répertoriés sur ce site demandent le nom, l’adresse et la date de naissance. Résultat de l’enquête À la suite de cette plainte, la Commission a procédé à une enquête conformément à l’article 83 de la Loi sur la protection des renseignements personnels dans le secteur privé 1 . Il ressort de cette enquête les éléments suivants : • L’Entreprise demande la date de naissance afin de pouvoir participer à divers concours sur le site Internet www.concoursweb.com; 1 RLRQ, c. P-39.1, ci-après la Loi sur le privé.
1008229-S Page 2 • La date de naissance doit obligatoirement être indiquée pour s’inscrire sur le site Internet; • La date de naissance est recueillie lors de l’inscription d’une personne sur le site Internet de l’Entreprise, qui permet de participer aux concours qui sont offerts exclusivement par Concoursweb.com. Analyse L’entreprise est assujettie à la Loi sur le privé qui prévoit que seuls les renseignements nécessaires à l’objet du dossier qu’elle constitue sur une personne peuvent être recueillis. De plus, elle a l’obligation de prendre toutes les mesures de sécurité propres à assurer la protection des renseignements personnels qu’elle détient. Nécessité de la collecte L’’article 5 de la Loi sur le privé prévoit : 5. La personne qui recueille des renseignements personnels afin de constituer un dossier sur autrui ou d’y consigner de tels renseignements ne doit recueillir que les renseignements nécessaires à l’objet du dossier. Ces renseignements doivent être recueillis par des moyens licites. L’Entreprise justifie la nécessité de collecter la date de naissance comme suit : • Établir l’âge du participant au concours, particulièrement pour vérifier que le participant a au moins 18 ans; • Faciliter les envois des prix aux gagnants des concours en évitant de vérifier l’âge a posteriori; • Permettre à l’Entreprise de se conformer à des exigences de Revenu Québec et l’Agence du revenu du Canada. Il ressort de l’enquête qu’il n’y a pas d’exigences fiscales, clairement établies par les règles ou la jurisprudence soulevée par l’Entreprise, en lien avec la collecte obligatoire de la date de naissance lors de la participation aux concours. Dans le cadre de l’enquête, la Régie des alcools, des courses et des jeux (RACJ), Revenu Québec (RQ) et l’Agence du revenu du Canada (ARC) ont confirmé qu’il n’existe aucune exigence légale concernant la collecte et la conservation de
1008229-S Page 3 renseignements personnels d’un gagnant de concours. Plus particulièrement, seuls le nom et l’adresse du gagnant d’un prix doivent être fournis à la RACJ dans les 60 jours qui suivent la date de la désignation d’un gagnant d’un prix. La Commission conclut tout de même qu’il est nécessaire pour l’entreprise de recueillir l’âge des participants à ses concours. En effet, plusieurs concours sont réservés aux personnes âgées de plus de 18 ans. De plus, une vérification auprès des gagnants seulement aurait pour effet, d’une part, d’alourdir le processus de réclamation de prix et, d’autre part, de permettre à des personnes de moins de 18 ans de participer. Ce renseignement est donc nécessaire à l’entreprise qui doit toutefois prendre les mesures de sécurité propres à en assurer la protection des renseignements personnels qu’elle collecte. Mesures de sécurité, conservation et destruction L’article 10 de la Loi sur le privé prévoit que : 10. Toute personne qui exploite une entreprise doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits et qui sont raisonnables compte tenu, notamment, de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support. En l’espèce, il ressort de l’enquête que la conservation des renseignements personnels recueillis par l’entreprise est assurée sur un serveur physique sécurisé, plus précisément une base de données cryptée et sécurisée. L’Entreprise ne possède aucune politique de conservation et de destruction des renseignements personnels détenus sur ses clients. Cependant, elle affirme que la durée de conservation des renseignements personnels est de 10 ans, puisque certains participants reviennent jusqu’à 10 ans après leur dernière participation. Ensuite, les données électroniques sont supprimées de façon définitive de la base de données. Le président de l’entreprise est le seul à avoir accès aux renseignements personnels des personnes inscrites sur le site de Concoursweb.com. Enfin, aucune information concernant les clients n’est distribuée ou vendue.
1008229-S Page 4 La Commission constate que bien que l’Entreprise ne possède pas de politique de conservation des renseignements personnels collectés, elle applique certaines mesures de sécurité pour conserver les renseignements recueillis. Conclusion À la lumière des faits contenus au rapport d’enquête et de l’analyse qui précède, la Commission conclut que l’entreprise n’a pas contrevenu à la Loi sur le privé. Elle déclare la plainte non fondée et ferme le présent dossier. Toutefois, la Commission invite l’entreprise à adopter une politique de conservation et de destruction des renseignements personnels qu’elle détient sur ses clients. «Original signé» M e Lina Desbiens Membre de la Commission, section surveillance c. c.
Vous allez être redirigé vers la version la plus récente de la loi, qui peut ne pas être la version considérée au moment où le jugement a été rendu.