Commission d’accès à l’information du Québec Dossier : 1019622-S Nom de l’entreprise: 9055-4635 Québec inc. (Alimentation Larouche) Date : 12 mai 2021 Membre : M e Lina Desbiens DÉCISION ENQUÊTE en vertu de la Loi sur la protection des renseignements personnels dans le secteur privé 1 . CONTEXTE [1] La Commission d’accès à l’information (la Commission) a procédé à une enquête à l’égard de 9055-4635 Québec inc., Alimentation Larouche (l’Entreprise), concernant l’utilisation d’un système qui permet de numériser, soit un permis de conduire ou une carte d’assurance maladie afin de vérifier l’âge d’un client qui achète du tabac.
[2] Lors de l’achat d’un produit du tabac, l’employé doit numériser l’une des deux cartes pour confirmer l’âge du client. La caisse enregistreuse ne peut pas finaliser la transaction s’il n’y a pas eu numérisation. Par la suite, la date de naissance du client apparaît sur la facture d’achat remise par le détaillant et est conservée dans le journal des transactions.
AVIS D’INTENTION ET OBSERVATIONS [3] Le 4 mars 2021, la Commission a transmis un avis d’intention à l’Entreprise à son adresse d’exploitation mentionnée au Registraire des entreprises. L’Entreprise a reçu l’avis d’intention le 12 mars 2021, tel qu’il appert de l’avis de Purolator.
1 RLRQ, c. P-39.1, Loi sur le privé.
1016882-S Page : 2 [4] L’avis informe l’Entreprise de l’intention de la Commission de rendre les ordonnances suivantes au motif qu’elle ne respecterait pas la Loi sur le privé :
- CESSER de collecter la date de naissance des clients qui achètent des produits du tabac;
- CESSER de conserver la date de naissance des clients; - DÉTRUIRE les dates de naissance des clients qui sont conservées. [5] Conformément à l’article 83 de la Loi sur le privé, la Commission a invité l’Entreprise à fournir ses observations et un délai de 30 jours lui a été accordé pour ce faire. L’Entreprise a été informée qu’à l’expiration du délai, la Commission rendrait une décision selon les informations contenues au dossier et ce, même si elle n’avait pas reçu d’observations. Au terme de ce délai et à ce jour, la Commission n’a reçu aucune observation supplémentaire.
ANALYSE 1. L’Entreprise est assujettie à la Loi sur le privé [6] L’Entreprise exploite une épicerie au Québec et est enregistrée au Registraire des entreprises du Québec [7] Elle est assujettie à la Loi sur le privé qui établit les règles particulières pour une entreprise qui recueille, des renseignements personnels à l’occasion de l’exploitation de son entreprise.
2. Les renseignements collectés sont des renseignements personnels [8] La Loi sur le privé prévoit que les renseignements qui concernent une personne physique et qui permettent de l’identifier constituent des renseignements personnels et ce, quelles que soient la nature de leur support et la forme sous laquelle ils sont accessibles 3 . [9] En l’espèce, le logiciel SMS utilisé par l’Entreprise enregistre les renseignements suivants dans un journal électronique 4 : - le prénom du commis ayant procédé à la transaction; - la date de la transaction; 2 Annexe 2. 3 Loi sur le privé, articles 1 et 2. 4 Annexe 21, journal électronique des transactions de l’Entreprise.
2 . détient, utilise ou communique
1016882-S Page : 3 - le numéro de facture attribué à la transaction; - le nom et le prix du produit vendu; - la date de naissance du client se procurant le produit contenant du tabac;
- le nom de l’institution financière ayant délivré la carte de crédit ainsi que les quatre derniers chiffres du numéro le cas échéant.
[10] L’Entreprise conserve les dates de naissance recueillies auprès de ses clients afin d’assurer sa défense advenant une poursuite pour avoir vendu du tabac à un mineur.
[11] À ce titre, la date de naissance d’une personne est un renseignement personnel. Il s’agit d’un renseignement intimement lié à la personne qui, en l’espèce, est associé à plusieurs indices apparaissant notamment sur la facture et le journal des transactions qui permettraient ultimement d’identifier une personne.
[12] Par conséquent, la Commission est d’avis que l’Entreprise collecte un renseignement personnel à l’aide du logiciel SMS.
3. Les objectifs poursuivis par l’Entreprise [13] À deux reprises, l’Entreprise a été déclarée coupable d’avoir enfreint la Loi concernant la lutte contre le tabagisme des produits du tabac à un mineur la suspension du certificat d’inscription émis par Revenu Québec au détaillant d’effectuer la vente en détail des produits du tabac, ce qui a des conséquences financières importantes pour l’Entreprise. Elle a donc mis en place des mesures pour éviter que cela se reproduise.
[14] En colligeant la date de naissance des clients, l’Entreprise a pour objectifs de s’assurer que ses employés vérifient l’âge des clients voulant acheter des produits du tabac et de se constituer une défense pour contrer une éventuelle poursuite à la suite d’une infraction à la Loi sur le tabac.
5 RLRQ, c. L-6.2, la Loi sur le tabac. 6 Article 13.1 de la Loi sur le tabac. 7 Annexe 3, certificat d’inscription émis à l’entreprise 9055-4635 Québec inc.
5 qui interdit à quiconque de vendre 6 . Ces condamnations entrainent 7 , permettant
1016882-S Page : 4 4. La nécessité de la collecte de renseignements personnels [15] La Loi sur le privé prévoit que seuls les renseignements personnels nécessaires pour atteindre l’objectif poursuivi par l’Entreprise doivent être recueillis 8 . Une entreprise ne peut pas déroger à ces exigences, même avec le consentement de la personne concernée.
[16] Ainsi, une entreprise qui entend collecter et utiliser des renseignements personnels doit justifier la nécessité de cette collecte.
[17] Pour ce faire, elle doit démontrer le caractère légitime, important et réel de cette collecte et la proportionnalité de l’atteinte à la vie privée qu’elle constitue en lien avec les objectifs qu’elle poursuit 9 . a. Le caractère légitime, important et réel de la collecte de la date de naissance
[18] À la lumière des faits recueillis dans l’enquête, la Commission considère que la collecte de la date de naissance des clients pour contrôler ses employés n’a pas le caractère légitime et sérieux requis par la Loi sur le privé. La Commission reconnait toutefois que la mise en place de mesures visant à contrer une éventuelle poursuite est légitime, important et réel.
Contrôler les employés [19] La pratique de l’Entreprise consiste à recueillir des renseignements personnels sur ses clients afin de contrer les manquements de ses employés à respecter les exigences de la Loi sur le tabac et les politiques de l’Entreprise.
[20] Le système mis en place permet à la caisse enregistreuse de s’ouvrir si le permis de conduire ou la carte d’assurance maladie est numérisé et que l’âge correspond à l’âge légal. Ainsi, l’Entreprise contrôle ses employés qui ne pourraient vendre un produit du tabac à une personne âgée de moins de 18 ans et le risque d’infraction est diminué.
[21] La Loi sur le tabac interdit à une entreprise de vendre des produits du tabac à une personne âgée de 18 ans ou moins. Pour ce faire, la Loi sur le tabac impose au client qu’il prouve son âge au moyen d’une pièce d’identité
8 Loi sur le privé, article 5 9 Laval (Société de transport de la Ville de) c. X., [2003] C.A.I. 667 (C.Q.); Grenier c. Centre hospitalier universitaire de Sherbrooke, [2010] QCCQ 9397
1016882-S Page : 5 avec photo, délivrée par le gouvernement (permis de conduire ou carte d’assurance maladie). 10 [22] Permettre au client de prouver son âge à partir d’une pièce d’identité délivrée par le gouvernement est une exception au principe énoncé au Code de la sécurité routière 11 qui édicte que le permis de conduire ne peut être exigé que dans certaines situations spécifiques à la demande d’un agent de la paix ou de la Société de l’assurance automobile du Québec, et uniquement à des fins de sécurité routière. Cette exception doit donc être interprétée restrictivement.
[23] Rien dans la Loi sur le tabac ne permet à l’Entreprise de collecter les renseignements s’y retrouvant, dont la date de naissance inscrite sur ces cartes ni de la conserver.
[24] L’enquête ne permet pas ce renseignement personnel a un caractère légitime important et réel pour se conformer à la Loi sur le tabac.
Contrer une éventuelle poursuite [25] La date de naissance est conservée, avec d’autres renseignements, à la suite de la transaction afin d’assurer la défense de l’Entreprise advenant une poursuite pour avoir vendu du tabac à un mineur.
[26] Une défense de diligence raisonnable est requise lors d’infraction à la Loi sur le tabac. Il ne s’agit pas d’une obligation de résultat justifiant de colliger la date de naissance sur chaque facture d’achat de produit du tabac.
[27] La Commission reconnait toutefois que la mise en place de mesures visant à contrer une éventuelle poursuite est légitime, important et réel. De répondre à une éventuelle poursuite en prouvant que le client qui a acheté des produits du tabac avait plus de 18 ans est effectivement une bonne défense.
[28] L’Entreprise doit également proportionnelle à l’atteinte à la vie privée de ses clients.
10 Article 13.1 de la Loi sur le tabac. 11 RLRQ, c. C-24.2, art. 61.
de conclure que la collecte de
démontrer que cette collecte est
1016882-S Page : 6 b. Proportionnalité de l’atteinte à la vie privée en lien avec l’objectif recherché
[29] Le fait de collecter la date de naissance en numérisant le permis de conduire ou la carte d’assurance maladie afin de vérifier l’âge d’un client qui achète un produit du tabac et la conserver est une atteinte à sa vie privée. Pour être justifiée, l’atteinte à la vie privée doit être minimisée afin qu’elle ne soit pas disproportionnée par rapport aux objectifs recherchés.
[30] En l’espèce, la Loi sur le tabac prévoit qu’une personne qui achète un produit du tabac doit prouver qu’elle a plus de 18 ans. Pour ce faire, elle peut utiliser une des deux cartes avec photo émises par des autorités gouvernementales.
[31] Le fait pour l’Entreprise de numériser cette carte pour conserver l’information relative à l’âge est disproportionné de l’obligation qui est faite au client. Cette collecte est faite uniquement au bénéfice de l’Entreprise pour contrôler le travail de ses employés et pour constituer une preuve éventuelle.
[32] L’Entreprise a tenté de minimiser la collecte en n’en recueillant que la date de naissance plutôt qu’une copie de la pièce d’identité, mais cela n’est pas suffisant.
[33] En effet, d’autres alternatives, pour s’assurer que les employés demandent une preuve d’âge, pourraient être envisagées sans que la date de naissance soit recueillie, inscrite sur la facture et conservée.
[34] Par exemple, l’Entreprise pourrait exiger des employés qu’ils notent le type de document consulté pour vérifier l’âge de chaque client qui achète un produit du tabac. Cette méthode permettrait à l’Entreprise de documenter la vérification de l’âge faite par les employés, tout en respectant la Loi sur le privé 12 . [35] La Commission est d’avis que l’atteinte à la vie privée n’est pas proportionnelle à l’objectif visé de s’assurer que ses employés ne vendent pas de produit du tabac aux mineurs et se défendre dans le cas d’éventuelle poursuite.
12 Skyventure Montréal, C.A.I. 101888, 16 septembre 2013, c. Desbiens; Commission scolaire de la Capitale et Ministère de l’Éducation, du Loisir et du Sport, C.A.I 111534-S et 111582-S, 9 septembre 2015, c. Desbiens.
1016882-S Page : 7 [36] En effet, la collecte de la date de naissance n’est pas nécessaire pour s’assurer que les employés exigent la présentation d’une carte d’identité avec photo lors de l’achat de produits du tabac.
POUR CES MOTIFS, LA COMMISSION : DÉCLARE la plainte recevable et ordonne à l’Entreprise de : - CESSER de collecter la date de naissance des clients qui achètent des produits du tabac; - CESSER de conserver la date de naissance des clients; - DÉTRUIRE les dates de naissance des clients qui sont conservées. Original signé M e Lina Desbiens Membre de la section surveillance de la Commission d’accès à l’information