Commission d’accès à l’information du Québec Dossier : 1023688-S Nom de l’entreprise: Héritage Ébénisterie Architecturale inc. Date : 14 juin 2021 Membre : M e Lina Desbiens
DÉCISION
ENQUÊTE en vertu de la Loi sur la protection des renseignements personnels dans le secteur privé 1 .
APERÇU [1] La Commission d’accès à l’information (la Commission) a procédé à une enquête à l’égard d’Héritage Ébénisterie Architecturale inc. (l’Entreprise) relativement à la collecte des renseignements personnels auprès de ses employés avec une caméra thermique et un outil de reconnaissance faciale, et ce, dans le contexte de la pandémie liée à la COVID-19. [2] La mise en service de la banque de mesures biométriques a été déclarée à la Commission par l’Entreprise à l’aide du Formulaire de déclaration d’une banque de caractéristiques ou de mesures biométriques 2 . Fonctionnement de la caméra thermique avec reconnaissance faciale [3] Sur la base des renseignements fournis par l’Entreprise dans le cadre de l’enquête, la Commission résume comme suit le fonctionnement du système de caméra thermique avec reconnaissance faciale. [4] Lorsqu’une personne entre dans l’Entreprise, elle doit traverser un portail et s’arrêter devant la caméra pour que sa température soit enregistrée. Une capture du visage permet d’associer ses caractéristiques avec les photos des employés déjà enregistrées et la température collectée. Si elle est de 38 degrés Celsius et plus, une lumière blanche s’allume et une alerte est transmise au
1 RLRQ, c. P-39.1, Loi sur le privé. 2 Annexe 4 du Rapport d’enquête.
1023688-S Page : 2
responsable des ressources humaines qui peut rencontrer cette personne afin de vérifier s’il s’agit d’un cas plausible de COVID-19 et ainsi prendre les mesures appropriées. [5] La température d’un employé est prise chaque fois qu’il passe devant la caméra. Elle est conservée dans un dossier au nom de l’employé et détruite dans les 14 jours suivants. [6] Tous les employés ont signé le Questionnaire de consentement Caméra Thermique suivant : « Je confirme que mon employeur m'a informé de l’installation sur mon lieu de travail d’une ou plusieurs caméras thermiques (les « caméras »), qui utilise une fonction de reconnaissance faciale. J'accorde mon consentement, afin que soit automatiquement recueillie ma température à chaque fois que je passerais devant l'une de ces caméras et que les températures prises soient recueillies dans un dossier à mon nom, pour que des variations de température puissent être décelées. Je comprends que les températures prises et recueillies pour mon compte ne seront accessibles qu'à moi-même et à des personnes qui doivent en prendre connaissance pour des raisons de sécurité, pour autant qu’elles soient soumises å des obligations de confidentialité, y compris le département des ressources humaines de la Compagnie. Je comprends que cette mesure n'engendre pas de diagnostic et qu'elle a été mise en place de manière préventive, afin de favoriser le maintien d'un environnement de travail sain et sécuritaire pour tous les employés. Je comprends également que, si la température prise par une caméra est supérieure à la normale des mesures de sécurité peuvent être imposées par mon employeur selon les circonstances, pouvant inclure de m’offrir une liste de recommandations à suivre ou de me refuser l'accès au lieu de travail. »
AVIS D’INTENTION ET OBSERVATIONS DE L’ENTREPRISE [7] Le 29 avril 2021, la Commission a transmis un avis d’intention à l’Entreprise à son adresse d’exploitation mentionnée au Registraire des entreprises. L’Entreprise a reçu l’avis d’intention le 6 mai 2021, tel qu’il appert de la confirmation de livraison de Purolator.
1023688-S Page : 3
[8] L’avis d’intention informe l’Entreprise qu’à la lumière des informations dont elle dispose, la Commission pourrait conclure que : - L’Entreprise ne peut constituer un dossier contenant la fluctuation de la température corporelle de chacun de ses employés, ce qui est contraire à l’article 4 de la Loi sur le privé; - Elle ne peut collecter des renseignements biométriques permettant la reconnaissance faciale pour atteindre son objectif d’identifier les personnes dont la température corporelle est de 38 degrés Celsius ou plus, ce qui est contraire à l’article 5 de la Loi sur le privé; - Il n’est pas nécessaire pour l’Entreprise de collecter la température de ses employés par le biais d’un système biométrique utilisant la reconnaissance faciale pour atteindre l’objectif qu’elle poursuit, et qu’à ce titre, elle ne respecte pas l‘article 5 de la Loi sur le privé. [9] Cet avis d’intention l’informe également que la Commission pourrait lui ordonner de : - CESSER de constituer un dossier contenant la fluctuation de la température corporelle de chacun de ses employés; - CESSER de collecter des renseignements biométriques permettant la reconnaissance faciale; - CESSER de collecter la température corporelle de ses employés par le biais d’un système biométrique utilisant la reconnaissance faciale; - DÉTRUIRE les gabarits constitués à partir des images des visages; - DÉTRUIRE les données conservées relativement à ses employés. [10] Conformément à l’article 83 de la Loi sur le privé, la Commission a invité l’Entreprise à fournir ses observations dans un délai de 30 jours. L’Entreprise a été informée qu’à l’expiration du délai, la Commission rendrait une décision selon les informations contenues au dossier, et ce, même si elle n’avait pas reçu d’observations. À ce jour, la Commission n’a reçu aucune observation supplémentaire.
1023688-S Page : 4
ANALYSE 1. L’Entreprise est assujettie à la Loi sur le privé et à la Loi concernant le cadre juridique des technologies de l’information 3 [11] L’Entreprise offre des services de création et d’installation d’ameublements spécialisés pour des commerces et emploie une cinquantaine de personnes. [12] Elle exerce une activité commerciale au Québec, et à ce titre, elle est soumise à la Loi sur le privé à l’égard des renseignements personnels qu’elle collecte, conserve, utilise ou communique à des tiers. [13] Compte tenu que l’Entreprise a recours à un système biométrique basé sur la reconnaissance faciale et la prise de température corporelle, elle est également assujettie à la LCCJTI. Conformément à cette loi, l’Entreprise a déclaré à la Commission la mise en service de sa banque de mesures biométriques dans le formulaire de déclaration prévu à cet effet. 2. Les renseignements collectés sont des renseignements personnels [14] La Loi sur le privé prévoit que les renseignements qui concernent une personne physique et qui permettent de l’identifier constituent des renseignements personnels, et ce, quelles que soient la nature de leur support et la forme sous laquelle ils sont accessibles. [15] L’Entreprise collecte les renseignements des employés qui passent devant la caméra, et plus particulièrement : - la forme du visage; - la photographie du visage; - la température corporelle; - le nom de la personne. [16] En l’espèce, les renseignements collectés sont des renseignements personnels, puisqu’ils font connaître quelque chose sur quelqu’un et permettent également de distinguer cette personne par rapport à quelqu’un d’autre. Au surplus, certains des renseignements collectés sont des renseignements biométriques et de santé de nature sensible.
3 RLRQ, c. C-1.1, articles 44 et 45, la LCCJTI.
1023688-S Page : 5
OBLIGATIONS DE L’ENTREPRISE [17] La collecte et l’utilisation de renseignements biométriques par une entreprise sont encadrées par la LCCJTI et la Loi sur le privé. Cette dernière prévoit notamment qu’une entreprise doit avoir un intérêt sérieux et légitime pour constituer un dossier sur autrui. De plus, elle ne peut collecter que les renseignements personnels nécessaires pour atteindre l’objectif poursuivi. Cette règle ne peut être écartée même en obtenant le consentement des personnes concernées. 1. Intérêt sérieux et légitime pour constituer un dossier contenant les variations de température pour chacun des employés [18] À la lumière des faits recueillis dans l’enquête, la Commission considère que l’Entreprise n’a pas un intérêt sérieux et légitime pour constituer un dossier contenant la fluctuation de la température corporelle de chacun de ses employés. [19] En effet, comme il est mentionné dans le formulaire de consentement signé par les employés, l’Entreprise consigne dans un dossier particulier, créé au nom de chaque employé, la température enregistrée lors de leurs passages devant la caméra thermique à tout moment de la journée. [20] Il ressort de l’enquête qu’aucune instance gouvernementale n’impose la prise de température de manière systématique ni la constitution d’un dossier à cet effet. La Commission des normes, de l’équité, de la santé et de la sécurité au travail (CNESST) a mentionné que la prise de température des employés n’est pas requise pour les employeurs. De plus, l’Institut national de santé publique du Québec (INSPQ) indique que la fièvre est un des symptômes de la COVID-19, mais que la prise de température de manière systématique doit être utilisée avec « circonspection ». Quant à l’Agence de la santé publique du Canada, elle mentionne sur son site Internet que la fièvre et la température de plus de 38 degrés Celsius sont les symptômes les plus souvent signalés et surveillés. Le ministère de la Santé et des Services sociaux (MSSS) se réfère à la CNESST et ne recommande pas la prise de température quotidienne des employés par un employeur. [21] Ainsi, il peut être légitime pour un employeur de savoir si un employé qui entre au travail a des symptômes qui peuvent être liés à la COVID-19, comme la température corporelle. Toutefois, il n’est pas légitime, au sens de l’article 4 de la Loi sur le privé, de constituer un dossier sur chaque employé afin d’y conserver des renseignements de santé comme la fluctuation de leur température.
1023688-S Page : 6
2. Nécessité de recueillir les renseignements personnels, dont les données biométriques [22] Pour évaluer la nécessité de recueillir des renseignements personnels, l’entreprise doit préciser les objectifs qu’elle poursuit en collectant ces renseignements et démontrer leur caractère légitime, important et réel et la proportionnalité de l’atteinte à la vie privée que la collecte constitue en lien avec les objectifs qu’elle poursuit 4 . a. L’objectif poursuivi par la collecte de la température corporelle et des données biométriques permettant la reconnaissance faciale doit être important, légitime et réel. [23] Il ressort de l’enquête que l’Entreprise poursuit deux objectifs. [24] D’une part, l’Entreprise veut prévenir une éclosion de COVID-19 en prenant, notamment, la température de toutes les personnes qui se présentent sur les lieux de travail. [25] D’autre part, en utilisant la reconnaissance faciale, l’Entreprise veut identifier rapidement les personnes dont la température corporelle est de 38 degrés Celsius et plus. [26] Les renseignements sont recueillis dans le but d’identifier l’employé, de constituer un dossier contenant la fluctuation de sa température corporelle et de transmettre une alerte lorsqu’elle est de 38 degrés Celsius et plus afin que des mesures appropriées soient prises. [27] La Commission est d’avis que la collecte systématique de la température des employés de l’Entreprise n’est pas légitime et que la collecte des renseignements biométriques permettant la reconnaissance faciale des employés n’a pas de lien rationnel avec les objectifs poursuivis. [28] En effet, la Commission reconnait qu’en tant qu’employeur, l’Entreprise a des obligations quant à la prise en charge de la santé et de la sécurité de ses employés et, par conséquent, a un intérêt réel de mettre en place des mesures particulières pour prévenir une éclosion de COVID-19. [29] Toutefois, la collecte de la température corporelle n’est ni une exigence légale ni une recommandation des instances responsables de la santé publique ou de la sécurité au travail. Cette collecte systématique n’est donc pas légitime.
4 Laval (Société de transport de la Ville de) c. X., [2003] C.A.I. 667 (C.Q.); Grenier c. Centre hospitalier universitaire de Sherbrooke, [2010] QCCQ 9397; Synergie Hunt International inc. c. Trinque Tessier, 2017 QCCQ 13747; Les 3 Piliers inc., CAI 1018507-S, 14 février 2020.
1023688-S Page : 7
[30] Par ailleurs, l’objectif d’identifier les personnes dont la température corporelle est de 38 degrés Celsius ou plus est légitime dans le contexte de la vérification de symptômes pouvant être liés à la COVID-19. Toutefois, la collecte de renseignements biométriques permettant la reconnaissance faciale pour identifier ces personnes n’est pas importante, légitime et réelle. [31] En effet, l’Entreprise ne compte qu’une cinquantaine d’employés pour l’administration, le service à la clientèle et la production, dont certains sont en télétravail. Seuls les employés de production doivent se présenter sur les lieux de travail, ce qui réduit le nombre de personnes présentes physiquement. [32] La prise de température peut sembler plus objective qu’un questionnaire. Toutefois, le recours à la collecte de caractéristiques ou de mesures biométriques pour identifier rapidement les personnes relève davantage de l’utilité ou de la commodité que d’un problème important et réel. L’Entreprise n’a pas démontré que l’objectif poursuivi par la collecte de la température corporelle et des données biométriques permettant la reconnaissance faciale est important, légitime et réel. [33] En effet, la crainte que des employés se présentent au travail même s’ils ont des symptômes de la COVID-19 ou qu’ils ne répondent pas avec exactitude au questionnaire suggéré par la CNESST n’est pas démontrée par des exemples concrets démontrant son importance. [34] De plus, l’utilisation des caméras thermiques représente un risque de ne pas repérer des personnes infectées, puisque certaines sont asymptomatiques et que le dispositif peut être contourné par la prise de médicaments qui réduisent la température corporelle. [35] Par conséquent, la Commission conclut que l’Entreprise ne peut collecter des renseignements biométriques permettant la reconnaissance faciale pour atteindre son objectif d’identifier les personnes dont la température corporelle est de 38 degrés Celsius ou plus, ce qui est contraire à l’article 5 de la Loi sur le privé. b. La collecte des renseignements personnels doit être proportionnelle à l’objectif poursuivi. [36] Pour évaluer la proportionnalité de l’atteinte à la vie privée, il faut tenir compte de la nature sensible des renseignements personnels collectés, des autres moyens à la disposition de l’Entreprise et des conséquences pour les personnes concernées. [37] En l’espèce, l’Entreprise recueille la forme du visage, la photographie du visage, la température corporelle et le nom de la personne. Les renseignements biométriques de santé et d’identification sont de nature sensible et leur collecte
1023688-S Page : 8
porte atteinte à la vie privée des personnes qui entrent dans l’établissement de l’Entreprise. Cette collecte systématique n’est pas proportionnelle aux objectifs poursuivis de minimiser les risques d’éclosion et d’identification rapide des employés qui présentent une température élevée. [38] En effet, l’objectif poursuivi est de vérifier un des symptômes qui peut être lié à la COVID-19. Toutefois, la prise de température systématique tout au cours de la journée et la conservation de ces renseignements pendant 14 jours dans un dossier constitué à cet effet rend cette collecte disproportionnée à l’objectif poursuivi. [39] Quant à l’évaluation des autres moyens disponibles moins intrusifs, l’Entreprise semble avoir opté pour l’utilité ou la commodité qu’offre la biométrie. En effet, elle a écarté l’option d’utiliser des thermomètres jetables considérant la difficulté d’un approvisionnement dans un contexte de pandémie. Elle a également rejeté l’option d’utiliser des thermomètres frontaux infrarouges numériques sans contact, n’ayant pas pu obtenir une recommandation d’un pharmacien et en considérant le coût de la ressource assignée à la prise de température. [40] Ces moyens portent moins atteinte à la vie privée des personnes concernées en minimisant la collecte de renseignements personnels et en n’impliquant pas le recours à la reconnaissance faciale. [41] Il ne ressort pas de l’enquête que les avantages de recourir à la reconnaissance faciale pour identifier les employés et associer la température à leur dossier sont plus importants que l’atteinte à leur vie privée. [42] La Commission conclut que la collecte de renseignements personnels qui porte atteinte à la vie privée des employés n’est pas proportionnelle à l’objectif poursuivi de prendre la température des personnes qui viennent travailler pour réduire les risques d’une éclosion et de les identifier afin de prendre les mesures adéquates.
1023688-S Page : 9
POUR CES MOTIFS, LA COMMISSION : [43] DÉCLARE la plainte recevable; [44] ORDONNE à l’Entreprise, dans les 30 jours suivant la réception de la présente décision, de: - CESSER de constituer un dossier contenant la fluctuation de la température corporelle de chacun de ses employés; - CESSER de collecter des renseignements biométriques permettant la reconnaissance faciale; - CESSER de collecter la température corporelle de ses employés par le biais d’un système biométrique utilisant la reconnaissance faciale; - DÉTRUIRE les gabarits constitués à partir des images des visages; - DÉTRUIRE les données conservées relativement à ses employés.
Original signé
M e Lina Desbiens Membre de la section surveillance de la Commission d’accès à l’information