Commission d’accès à l’information du Québec Dossier : 1014728-S Nom de l’entreprise : A 2 c’est mieux inc. Date : 14 décembre 2020 Membre : M e Cynthia Chassigneux DÉCISION PLAINTE en vertu de la Loi sur la protection des renseignements personnels dans le secteur privé 1 . APERÇU [1] La Commission d’accès à l’information (la Commission) est saisie d’une plainte à l’égard de « À 2 c’est mieux » (l’Entreprise) relative à la collecte de renseignements personnels lors de l’inscription en ligne sur le site Internet de l’Entreprise 2 . La plainte porte plus précisément sur la collecte du permis de conduire.
[2] À la suite de cette plainte, la Commission a contacté l’Entreprise pour obtenir sa version des faits quant à la nécessité de recueillir une copie du permis de conduire des personnes souhaitant s’inscrire sur son site Internet.
[3] La Commission a aussi demandé à l’Entreprise d’expliquer la nécessité de recueillir chacun des renseignements personnels figurant sur le formulaire de pré-inscription en ligne. Elle lui a aussi demandé de préciser les informations contenues dans la politique de l’Entreprise, en ce qui a trait à la conservation et à la destruction des renseignements ainsi recueillis mais aussi sur le lieu de conservation des renseignements personnels.
1 RLRQ, c. P-39.1, Loi sur le privé. 2 http://a2cestmieux.com.
1014728-S Page 2 AVIS D’INTENTION [4] Au terme de l’enquête, la Commission a transmis à l’Entreprise un avis d’intention l’informant des ordonnances et recommandations qu’elle pourrait rendre à son endroit 3 . [5] L’Entreprise a reçu l’avis d’intention le 4 novembre 2020 4 . Elle avait 30 jours pour présenter ses observations à la Commission. En date de la présente décision, la Commission n’a reçu aucune réponse de la part de l’Entreprise.
ANALYSE [6] L’Entreprise est une agence de rencontre qui exerce ses activités au Québec 5 , principalement dans la ville de Québec 6 . À ce titre, elle est soumise à la Loi sur le privé qui établit des règles relatives à la collecte, à l’utilisation, à la détention et à la communication de renseignements personnels à l’occasion de l’exploitation d’une entreprise au sens de l’article 1525 du Code civil du Québec 7 . [7] Ces règles visent à établir un équilibre entre le droit d’un individu au respect de sa vie privée et les besoins d’une entreprise en matière de collecte, d’utilisation et de communication des renseignements personnels dans le cadre de l’exercice de ses activités.
1. La nature des renseignements recueillis par l’Entreprise [8] La Loi sur le privé prévoit que tout renseignement qui concerne une personne physique et permet de l’identifier constitue un renseignement personnel 8 . [9] En l’espèce, pour pouvoir devenir membre de l’Entreprise, le (ou la) futur(e) membre doit compléter un formulaire de pré-inscription en ligne. Par la suite, une rencontre est fixée dans les bureaux de l’Entreprise, avec sa fondatrice, afin de compléter l’inscription 9 . 3 Loi sur le privé, article 83. 4 Comme indiqué sur le bordereau de transmission. 5 L’Entreprise est enregistrée au Registre des entreprises du Québec sous le numéro 1166742883. 6 Section « Questions-Réponses », https://a2cestmieux.com/questions-et-reponses. 7 RLRQ, c. CCQ-1991. 8 Loi sur le privé, article 2. 9 « Fonctionnement », https://a2cestmieux.com/fonctionnement.
1014728-S Page 3 [10] À la lumière des informations dont elle dispose et, après avoir pris connaissance du formulaire de pré-inscription et de la politique de confidentialité de l’Entreprise, la Commission est d’avis que les renseignements mentionnés dans ces différents documents et qui sont collectés par l’Entreprise sont des renseignements personnels.
a. Le permis de conduire [11] Le permis de conduire, document à l’origine de la plainte, comprend notamment la photo, les nom, prénom, date de naissance, adresse, taille et couleur des yeux de son titulaire.
[12] Il comprend également un numéro qui se compose de la première lettre du nom de famille et de chiffres référant, entre autres, aux jour et mois de naissance et aux deux derniers chiffres de l’année de naissance de la personne concernée. Ce numéro est propre à une personne physique qui, en principe, le conserve toute sa vie. Il constitue un identifiant unique.
[13] Partant, la Commission est d’avis que les renseignements figurant sur le permis de conduire, incluant le numéro de celui-ci, constituent des renseignements personnels car ils permettent de faire connaître quelque chose sur une personne physique et de la distinguer d’une autre personne 10 . b. Les renseignements recueillis par le biais du formulaire de pré-inscription en ligne
[14] Pour solliciter les services de l’Entreprise, le (ou la) futur(e) membre doit remplir un formulaire de pré-inscription répondre aux questions suivantes :
₋ Quel est le choix du forfait sélectionné? ₋ Vous êtes un homme ou une femme? ₋ Vous êtes célibataire depuis combien de temps? ₋ Informations personnelles : o Prénom; o Nom; o Âge.
₋ Informations professionnelles : o Secteur d’activité professionnelle; o Votre titre;
10 Ségal c. Centre des services sociaux du Québec [1988] CAI 315. 11 https://a2cestmieux.com/preinscription/.
11 sur le site Internet de l’Entreprise et
1014728-S Page 4 o Votre revenu annuel; o Ville de résidence; o Téléphone; o Courriel. ₋ Autres informations : o Préférences pour correspondances téléphoniques; o Vous êtes-vous déjà inscrit sur Internet à un réseau de rencontres? Si oui, lequel? o Vous êtes-vous déjà inscrit à une agence de rencontre ou autre association? Si oui, lequel? o Vous avez découvert notre agence de quelle manière? o Questions ou commentaires.
[15] Plusieurs des informations recueillies par le biais du formulaire de pré-inscription permettent de faire connaître des renseignements sur une personne physique en particulier et permettent de la distinguer d’une autre personne. Il en va ainsi, plus particulièrement, des informations suivantes : sexe, durée du célibat, informations personnelles et professionnelles.
[16] Partant, la Commission est d’avis que ces renseignements constituent des renseignements personnels.
c. Les autres renseignements mentionnés dans la politique de confidentialité
[17] Pour évaluer l’admissibilité du (ou de la) futur(e) membre, la politique de confidentialité précise, à la section « Collecte et utilisation des renseignements personnels » 12 que : « Les renseignements personnels que peut recueillir À 2 c’est mieux auprès d’un membre éventuel afin d’évaluer son admissibilité peuvent comprendre, sans s’y limiter, son nom, son numéro de téléphone, son âge, ses revenus, son état matrimonial, sa profession, le nom de son employeur, sa taille, son poids, ses problèmes de santé, son permis de conduire, son casier judiciaire et ses dépendances » 13 . [18] Les renseignements mentionnés dans cette situation permettent de faire connaître quelque chose sur une personne physique et de la distinguer d’une autre personne, la Commission est donc d’avis que ces renseignements sont des renseignements personnels.
12 https://a2cestmieux.com/politique-de-confidentialite/. 13 Ibid.
1014728-S Page 5 [19] Après avoir déterminé la nature des renseignements recueillis par l’Entreprise, la Commission doit examiner si ceux-ci sont nécessaires à l’objet du dossier constitué par l’Entreprise.
2. La nécessité des renseignements personnels recueillis par l’Entreprise [20] La Loi sur le privé prévoit qu’une personne qui exploite une entreprise doit avoir un intérêt sérieux et légitime pour constituer un dossier sur autrui prévoit également qu’une entreprise ne doit recueillir que les renseignements personnels nécessaires à l’objet du dossier qu’elle constitue sur autrui entreprise ne peut déroger à ces exigences, même avec le consentement de la personne concernée.
[21] Ainsi, une entreprise qui entend collecter des renseignements personnels doit justifier la nécessité de cette collecte. Pour ce faire, une entreprise doit démontrer le caractère légitime, important et réel de cette collecte et la proportionnalité de l’atteinte à la vie privée qu’elle constitue en lien avec les objectifs qu’elle poursuit 16 . a. Le permis de conduire [22] En cours d’enquête, la fondatrice de l’Entreprise a indiqué qu’elle ne recueillerait plus la photocopie du permis de conduire pour vérifier l’identité du (ou de la) futur(e) membre 17 . Toutefois, en consultant la politique de confidentialité 18 de l’Entreprise, la Commission constate qu’il est encore mentionné que l’Entreprise peut collecter le permis de conduire des membres éventuels afin d’évaluer leur admissibilité.
[23] L’Entreprise a été invitée à présenter ses observations quant à savoir pourquoi il est toujours fait référence au permis de conduire dans la politique de confidentialité de son site Internet. Or, l’Entreprise n’a pas répondu à l’avis d’intention de la Commission.
[24] Partant, la Commission considère que la référence au permis de conduire dans la politique de confidentialité de l’Entreprise est source de confusion. Elle considère également que l’Entreprise n’a pas démontré en quoi il lui est
14 Loi sur le privé, article 4. 15 Loi sur le privé, article 5. 16 Laval (Société de transport de la Ville de) c. X., [2003] C.A.I. 667 (C.Q.); Grenier c. Centre hospitalier universitaire de Sherbrooke, [2010] QCCQ 9397; Synergie Hunt International inc. c. Trinque Tessier, 2017 QCCQ 13747. 17 Réponse de l’Entreprise en date du 10 mai 2017, réitérée le 14 novembre 2018. 18 Précité, note 10.
1014728-S Page 6 nécessaire de recueillir le permis de conduire pour évaluer l’admissibilité du (ou de la) futur(e) membre.
[25] En effet, l’Entreprise n’a pas démontré en quoi la collecte du permis de conduire est légitime, importante et réelle pour vérifier l’admissibilité du (ou de la) futur(e) membre. Elle n’a pas non plus démontré en quoi les avantages de recueillir le permis de conduire pour atteindre cet objectif sont plus importants que l’atteinte à la vie privée du (ou de la) futur(e) membre et plus importants que les conséquences susceptibles de résulter de cette collecte.
[26] De plus, la Commission rappelle qu’une entreprise peut demander qu’on lui présente une pièce d’identité, avec ou sans photo. Par contre, elle ne peut pas recopier le numéro qui y est inscrit, ni faire une copie de la pièce présentée 19 . [27] La Commission est donc d’avis qu’il n’est pas nécessaire pour l’Entreprise de collecter le permis de conduire du (ou de la) futur(e) membre pour vérifier son admissibilité.
b. Les renseignements personnels recueillis par le biais du formulaire de pré-inscription en ligne
[28] Au début du formulaire de pré-inscription en ligne, il est précisé que le profil et l’inscription du (ou de la) futur(e) membre ne seront complétés qu’après une rencontre personnalisée avec la fondatrice de l’Entreprise 20 . [29] À la fin du formulaire, il est fait mention des conditions d’admissibilité, à savoir que l’Entreprise n’accepte que les personnes qui répondent aux critères suivants : 1. Désire une relation sérieuse et durable; 2. Passé amoureux réglé et libre; 3. Non-fumeur; 4. Autonomie financière et intellectuelle; 5. Aucune dépendance; 6. Scolarité 21 . [30] Il est aussi précisé que « la satisfaction de notre clientèle est notre priorité. Cela nous oblige à être très sélectifs sur la qualité de nos membres. Nous nous réservons le droit de ne pas accepter une demande » 22 . 19 Voir notamment, COMMISSION D’ACCÈS À L’INFORMATION, Entreprises – Faites de bonnes affaires en ne collectant que ce qui est nécessaire, https://www.cai.gouv.qc.ca/documents/CAI_FI_pieces_identite_entreprises.pdf. 20 « Préinscription », https://a2cestmieux.com/preinscription/. 21 Ibid. 22 Ibid.
1014728-S Page 7 [31] Le but du formulaire de pré-inscription en ligne est de sélectionner les candidats qui répondent aux critères énoncés et de les contacter afin de compléter leur profil et inscription.
[32] Ainsi, s’il est possible de comprendre que certains renseignements personnels sont nécessaires pour que le (ou la) futur(e) membre soit contacté(e) par la relationniste de l’Entreprise afin d’organiser une rencontre en vue de compléter son profil et son inscription, il n’en va pas de même avec les renseignements suivants : ₋ durée du célibat; ₋ âge; ₋ secteur d’activité professionnelle; ₋ titre; ₋ revenu annuel; ₋ ville de résidence.
[33] En ce qui concerne l’âge et la ville de résidence, la Commission comprend que ceux-ci sont demandés pour s’assurer que le (ou la) futur(e) membre répond aux critères de sélection. En effet, il est indiqué sur le site Internet de l’Entreprise que les services de l’agence ne sont disponibles que « dans la ville de Québec (Capitale-Nationale) et les environs » 23 et que « l’âge de notre clientèle varie entre 30 et 70 ans » 24 . La Commission ne se prononcera donc pas sur la collecte de ces renseignements personnels.
[34] En ce qui concerne la durée du célibat, le secteur d’activité professionnelle, le titre et le revenu annuel, même s’il est possible de considérer que ces renseignements sont susceptibles de répondre aux critères « Passé amoureux réglé et libre » et « Autonomie financière et intellectuelle », cela ne veut pas dire qu’il est nécessaire de les collecter à l’étape de la pré-inscription en ligne et ce, d’autant plus que la fondatrice de l’Entreprise a déclaré qu’il n’y a pas de bonne réponse quant à la durée du célibat, que c’est du cas par cas 25 et qu’elle ne demande pas de preuve quant à l’emploi ou au revenu 26 . [35] L’Entreprise a été invitée à présenter ses observations quant à savoir pourquoi ces renseignements doivent obligatoirement être recueillis par le biais du formulaire de pré-inscription en ligne alors que tous les futurs membres rencontrent la fondatrice de l’agence. L’Entreprise n’a pas répondu à l’avis d’intention de la Commission.
23 Section « Questions-Réponses », https://a2cestmieux.com/questions-et-reponses. 24 Section « Membres disponibles », https://a2cestmieux.com/membres-disponibles. 25 Réponse de l’Entreprise en date du 14 novembre 2018. 26 Réponses de l’Entreprise en date des 28 septembre 2017 et 14 novembre 2018.
1014728-S Page 8 [36] Par conséquent, la Commission considère que la durée du célibat, le secteur d’activité professionnelle, le titre et le revenu annuel du (ou de la) futur(e) membre ne sont pas nécessaires à l’étape de la pré-inscription en ligne. En effet, l’Entreprise n’a pas démontré en quoi il est légitime, important et réel de collecter ces renseignements en ligne, ni ce qu’elle serait empêchée de faire si ces renseignements n’étaient pas collectés à cette étape.
[37] Elle n’a pas non plus démontré en quoi les avantages de les recueillir en ligne sont plus importants que l’atteinte à la vie privée des personnes et plus importants que les conséquences susceptibles de résulter de cette collecte pour la personne concernée.
[38] De plus, ce n’est pas parce qu’un renseignement est « susceptible de répondre à » qu’il doit être collecté. Il faut que ce renseignement soit nécessaire à l’objet du dossier. Or, en l’espèce, rien n’indique qu’il est nécessaire de collecter ces renseignements à l’étape de la pré-inscription en ligne.
[39] Par ailleurs, en cours d’enquête, la fondatrice de l’Entreprise a déclaré qu’il « est possible de ne pas tout fournir et ça n’empêche pas de sélectionner quelqu’un » 27 . Or, en analysant le formulaire de pré-inscription, la Commission constate que lorsque les cases suivies d’un astérisque, soit toutes celles mentionnées précédemment, ne sont pas complétées au moment de cliquer sur le bouton « S’inscrire » 28 , les messages « Un ou plusieurs champs ont une erreur. S’il vous plaît, vérifiez et essayez à nouveau » et « Ce champ est requis » apparaissent à l’écran. La Commission n’accorde donc aucune valeur à la déclaration de la fondatrice.
c. Les autres renseignements personnels recueillis mentionnés dans la politique de confidentialité
[40] Comme mentionné précédemment, la politique de confidentialité de l’Entreprise indique que celle-ci peut collecter des renseignements qui ne figurent pas forcément dans le formulaire de pré-inscription en ligne. Il en va ainsi de l’état matrimonial, du nom de l’employeur, de la taille, du poids, des problèmes de santé, du casier judiciaire et des dépendances 29 . 27 Réponse de l’Entreprise en date du 14 novembre 2018. 28 Il convient de mentionner qu’au début de l’enquête la mention « Tous les champs sont obligatoires afin que votre demande soit traitée. Les gestionnaires de À deux c’est mieux se réservent le droit de refuser des candidatures si celles-ci considèrent que leur profil ne correspondent pas aux standards recherchés » apparaissait à la fin du formulaire de pré-inscription. Ce qui n’est plus le cas en date de la présente décision. 29 Précité, note 10.
1014728-S Page 9 [41] En ce qui concerne le casier judiciaire, la fondatrice de l’Entreprise précise qu’elle n’a jamais eu à le vérifier mais qu’elle pourrait le faire en cas de doute ou s’il arrivait quoi que ce soit à l’un de ses membres. Advenant une telle situation, elle indique qu’elle demanderait à son avocate de vérifier dans les registres publics 30 . Vu la déclaration de la fondatrice de l’Entreprise, la Commission considère qu’il n’est pas opportun de se prononcer à ce sujet.
[42] En ce qui concerne l’état matrimonial, le nom de l’employeur, la taille, le poids, les problèmes de santé et les dépendances du (ou de la) futur(e) membre pour évaluer son admissibilité, l’Entreprise n’a pas précisé en quoi il lui était nécessaire de recueillir ces renseignements personnels.
[43] La Commission rappelle qu’avant de collecter de tels renseignements, il est important de se demander en quoi ils sont nécessaires pour évaluer la candidature du (ou de la) futur(e) membre et en quoi l’atteinte aux droits et libertés et à la vie privée de cette personne que constitue cette collecte est en relation à l’objectif poursuivi.
[44] Même s’il est indiqué dans la politique de confidentialité que ces renseignements « peuvent être » et non pas « sont » recueillis par l’Entreprise pour évaluer l’admissibilité d’un membre éventuel, la Commission considère que plusieurs des renseignements personnels mentionnés dans la politique de confidentialité de l’Entreprise sont sensibles, notamment ceux relatifs à la santé et aux dépendances.
[45] Elle considère de plus que l’Entreprise n’a pas démontré en quoi la collecte du nom de l’employeur, de la taille, du poids, des problèmes de santé et des dépendances est légitime, importante et réelle pour vérifier l’admissibilité du (ou de la) futur(e) membre, ni ce qu’elle serait empêchée de faire si ces renseignements n’étaient pas collectés. Et ce, même si elle a été invitée à le faire.
[46] Elle considère également que l’Entreprise n’a pas non plus démontré en quoi les avantages de recueillir ces renseignements sont plus importants que l’atteinte à la vie privée du (ou de la) futur(e) membre et plus importants que les conséquences susceptibles de résulter de cette collecte.
[47] La Commission est donc d’avis qu’il n’est pas nécessaire pour l’Entreprise de collecter le nom de l’employeur, la taille, le poids, les problèmes de santé et les dépendances du (ou de la) futur(e) membre pour vérifier son admissibilité.
30 Réponse de l’Entreprise en date du 14 novembre 2018.
1014728-S Page 10 3. Les mesures de sécurité propres à assurer la protection des renseignements personnels recueillis par l’Entreprise
[48] L’Entreprise fait affaire avec un prestataire de service en ce qui concerne la collecte des renseignements personnels par le biais du formulaire de pré-inscription en ligne. Cependant, l’enquête a révélé qu’il n’existait pas de contrat entre eux en ce qui a trait aux obligations du prestataire au sujet des renseignements personnels recueillis par le biais du formulaire de pré-inscription en ligne qu’il administre 31 . [49] L’Entreprise a été invitée à présenter ses observations quant à cette absence de contrat et à faire état de ce qu’elle entendait faire pour y remédier. Or, l’Entreprise n’a pas répondu à l’avis d’intention de la Commission.
[50] La Commission rappelle qu’une personne qui recueille, détient, utilise ou communique à des tiers des renseignements personnels à l’occasion de l’exploitation d’une entreprise doit prendre des mesures pour assurer la sécurité des renseignements personnels qu’elle collecte directement ou par le biais d’un prestataire de service, comme en l’espèce 32 . Vu cette absence de contrat, la Commission considère que l’Entreprise n’a pas pris les mesures de sécurité propres à assurer la protection des renseignements personnels.
CONCLUSION [51] Ainsi, à la lumière de l’enquête et en l’absence de réponse à son avis d’intention, la Commission conclut que l’Entreprise ne respecte pas les articles 4 et 5 de la Loi sur le privé en collectant par le biais de son formulaire de pré-inscription en ligne des renseignements personnels non nécessaires.
[52] Elle conclut également que l’Entreprise ne respecte par l’article 10 de la Loi sur le privé du fait de l’absence de contrat entre elle et son prestataire de service quant à la protection des renseignements personnels.
POUR CES MOTIFS, LA COMMISSION : [53] ORDONNE à l’Entreprise de cesser de recueillir, par le biais de son formulaire de pré-inscription en ligne la durée du célibat, le secteur d’activité professionnelle, le titre et le revenu annuel du (ou de la) futur(e) membre;
31 Réponses de l’Entreprise en date des 14 novembre 2018 et 24 avril 2019. 32 Loi sur le privé, article 10 et Loi concernant le cadre juridique des technologies de l’information, RLRQ, c. C-1.1, article 26.
1014728-S Page 11 [54] ORDONNE à l’Entreprise de modifier sa politique de confidentialité afin que
• le permis de conduire ne soit plus mentionné comme étant un renseignement personnel recueilli par l’Entreprise;
• l’état matrimonial, le nom de l’employeur, la taille, le poids, les problèmes de santé et les dépenses du (ou de la) futur(e) membre ne figurent plus au nombre des renseignements personnels qu’elle peut collecter pour évaluer leur admissibilité, ces renseignements n’étant pas nécessaires à l’objet du dossier;
[55] RECOMMANDE à l’Entreprise d’établir un contrat avec son prestataire de service afin de prévoir les droits et les obligations quant à la protection des renseignements personnels recueillis en ligne par le biais du formulaire de pré-inscription.
Original signé Cynthia Chassigneux Membre de la Commission, section de surveillance