Documents d'orientation du CPVP

Document d'orientation sur la surveillance vidéo secrète dans le secteur privé

Introduction et portée

Le Commissariat à la protection de la vie privée considère la surveillance vidéo secrète comme une utilisation de la technologie portant grandement atteinte à la vie privée. Sa nature même permet la collecte de nombreux renseignements personnels qui peuvent être superflus ou mener à des jugements sur la personne en cause qui nont rien à voir avec le but initial de la collecte de renseignements. Le Commissariat est davis que la surveillance vidéo secrète ne devrait être envisagée que dans des cas très précis.

Les lignes directrices énoncées ci-dessous sappuient sur la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), la loi fédérale en matière de protection de la vie privée applicable au secteur privé. Elles ont pour objectif de définir les obligations et les responsabilités en matière de protection de la vie privée des organisations du secteur privé qui envisagent de recourir à la surveillance vidéo secrète ou qui lutilisent déjà. Le Commissariat considère la surveillance vidéo comme étant secrète lorsquelle est effectuée à linsu dune personne.

Le présent document sert de complément aux lignes directrices suivantes sur la surveillance vidéo publiées par le Commissariat : Lignes directrices sur la surveillance vidéo au moyen dappareils non dissimulés dans le secteur privé (préparées en collaboration avec lAlberta et la Colombie-Britannique) et Lignes directrices concernant le recours, par les forces policières et les autorités chargées de lapplication de la loi, à la surveillance vidéo dans les lieux publics.

Veuillez noter que ce qui suit ne vise quà servir de guide. Nous évaluons chacune des plaintes qui nous sont soumises au cas par cas.

Exigences de la LPRPDE applicables à la surveillance vidéo secrète

La LPRPDE régit la collecte, lutilisation et la communication des renseignements personnels dans le cadre dune activité commerciale et dans le milieu de travail des employeurs réglementés par le gouvernement fédéral¹. La collecte dimages de personnes identifiables par la surveillance vidéo secrète est considérée comme une collecte de renseignements personnels. Les organisations qui envisagent de recourir à la surveillance vidéo secrète devraient connaître les critères quils doivent respecter en matière de collecte, dutilisation et de communication des images quelles obtiennent par la surveillance vidéo, conformément à la LPRPDE. Ces critères, présentés ci-dessous, portent sur les fins visées par la surveillance vidéo secrète, les questions relatives au consentement et les limites concernant la collecte de renseignements personnels par la surveillance vidéo secrète.

On croit souvent à tort que les organisations sont dégagées de leurs obligations en matière de protection de la vie privée lorsque la surveillance vidéo secrète est effectuée dans un lieu public. La LPRPDE prévoit en fait que toute collecte de renseignements personnels dans le cadre dune activité commerciale ou par un employeur visés par la LPRPDE doit respecter les exigences décrites ci-dessous, indépendamment du lieu.

A. Fins visées

Une organisation qui envisage de faire surveiller une personne à son insu doit avant toute chose déterminer à quelles fins elle y aura recours. Quest-ce qui justifie la collecte de renseignements personnels sur la personne au moyen de la surveillance vidéo secrète? En vertu de la LPRPDE, une organisation peut recueillir, utiliser ou communiquer des renseignements personnels uniquement à des fins quune personne raisonnable estimerait acceptables dans les circonstances (paragraphe 5(3)).

Avant de décider si elle aura recours à la surveillance vidéo secrète comme méthode de collecte de renseignements personnels, une organisation doit examiner attentivement dans quelles circonstances, à savoir où, quand et pourquoi, elle recueillerait de tels renseignements et de quelle nature seraient ceux-ci. De nombreux éléments doivent être pris en considération pour déterminer si une organisation a le droit dexercer de la surveillance vidéo secrète. Compte tenu des différents contextes dans lesquels elle peut être utilisée, la façon dont les éléments entrent en jeu et sont analysés diffère selon les circonstances.

Motif démontrable et probant

Pour que les fins visées par une organisation soient considérées comme acceptables conformément à la LPRPDE, le motif de la collecte doit être évident et probant. En dautres termes, lorganisation ne pourrait agir sur la base de simples soupçons. Elle doit pouvoir justifier pleinement son recours à la surveillance vidéo secrète comme méthode de collecte de renseignements personnels.

Collecte de renseignements par la surveillance pour arriver aux fins convenues

Les renseignements personnels que recueille lorganisation doivent être clairement liés à une fin et un objectif légitimes de lentreprise. En outre, la probabilité selon laquelle la collecte de renseignements personnels contribuera à atteindre lobjectif de lentreprise doit être élevée. Lorganisation doit évaluer dans quelle mesure les renseignements personnels recueillis au moyen de la surveillance vidéo secrète serviront aux fins convenues.

Atteinte à la vie privée proportionnelle à lavantage qui en découle

La conciliation de lobligation de respecter le droit à vie privée avec le motif légitime de lentreprise de recueillir, dutiliser et de communiquer des renseignements personnels est un autre élément à prendre en considération. Lorganisation doit se demander si latteinte à la vie privée est proportionnelle à lavantage qui en découlera. Une organisation peut déterminer que la surveillance vidéo secrète constitue le moyen le plus approprié pour recueillir des renseignements personnels parce quil est le plus avantageux pour elle. Il nempêche que ces avantages doivent être soupesés par rapport à leur éventuelle atteinte à la vie privée de sorte quune personne raisonnable jugerait le recours à la surveillance secrète acceptable dans les circonstances.

Épuisement des mesures portant moins atteinte à la vie privée

Enfin, toute organisation qui envisage de recourir à la surveillance vidéo secrète doit examiner dautres moyens de recueillir les renseignements personnels, eu égard à la nature envahissante de la surveillance vidéo secrète. Lorganisation doit sassurer quune personne raisonnable jugerait la surveillance vidéo secrète comme le moyen le plus acceptable pour recueillir des renseignements personnels dans les circonstances comparativement aux méthodes portant moins atteinte à la vie privée.

B. Consentement

En règle générale, le consentement de la personne est exigé pour la collecte, lutilisation et la communication de renseignements personnels aux termes de la LPRPDE (principe 4.3). La surveillance vidéo secrète est possible si la personne intéressée y a consenti. Par exemple, on peut considérer quune personne a implicitement consenti à la collecte de renseignements personnels la concernant au moyen de la surveillance vidéo si elle a entamé officiellement une action en justice contre lorganisation et que lorganisation recueille les renseignements pour se défendre dans le cadre de la poursuite. Soulignons quun consentement implicite ne permet pas de recueillir des renseignements personnels de façon illimitée sur une personne; la collecte est restreinte aux renseignements utiles au bien-fondé de la cause et à lexposé de la défense.

Toutefois, dans la plupart des cas, la surveillance vidéo secrète est exercée sans consentement. La LPRPDE reconnaît que des situations limitées et particulières ne nécessitent aucun consentement (alinéa 7(1)(b)). Pour recueillir des renseignements au moyen de la surveillance vidéo sans le consentement de la personne, les organisations doivent être raisonnablement convaincues que :

• la collecte effectuée au su ou avec le consentement de lintéressé compromettrait lexactitude des renseignements ou laccès à ceux-ci;
• la collecte est raisonnable dans le cadre dune enquête sur la violation dun accord ou la contravention du droit fédéral ou provincial.

Cette exception à la règle de lavis et du consentement pourrait, dans certaines circonstances, faire en sorte que les renseignements personnels de tiers sont recueillis.

En milieu de travail, une organisation doit avoir une preuve importante pour appuyer les soupçons selon lesquels une relation de confiance a été brisée avant de mener une surveillance vidéo secrète. Lorganisation ne peut pas se restreindre à invoquer de simples soupçons; elle doit réellement fournir un motif probant.

Que le consentement soit obtenu ou pas, les organisations ont besoin dun motif raisonnable pour recueillir des renseignements.

C. Limitation de la collecte

Les organisations doivent sassurer de limiter le type et la quantité des renseignements personnels quelles recueillent au strict nécessaire pour la réalisation des fins visées (principe 4.4). Elles doivent déterminer précisément le type de renseignements personnels quelles veulent recueillir. Par ailleurs, la durée et létendue de la surveillance ne doivent pas aller au-delà des limites raisonnables pour que les organisations parviennent à leurs fins. La collecte doit également se faire dune manière équitable et légale.

En outre, les organisations doivent limiter la collecte dimages de personnes qui ne font pas lobjet dune enquête. Il pourrait y avoir des situations où la collecte de renseignements personnels de tiers² par lentremise dune surveillance vidéo secrète pourrait être considérée comme acceptable, si lorganisation a raison de croire que la collecte de renseignements sur le tiers est pertinente aux fins de la collecte de renseignements sur la personne en cause. Cela dit, en déterminant ce qui est raisonnable, lorganisation doit faire une distinction entre une personne quelle considère comme pertinente aux fins de la surveillance du sujet en cause et une personne qui se trouve simplement en compagnie du sujet. Le Commissariat estime que la collecte de renseignements personnels concernant ces dernières à leur insu et sans leur consentement nest pas permise en vertu de la LPRPDE.

Les organisations peuvent éviter de recueillir des images de personnes qui ne sont pas en cause dans le cadre de lenquête en restreignant la portée de la surveillance vidéo. Si de tels renseignements personnels sont saisis, ils doivent être supprimés ou dépersonnalisés le plus rapidement possible. Ces renseignements comprennent notamment les images des personnes mêmes, mais également tout renseignement qui pourrait servir à les identifier, comme des adresses et des plaques dimmatriculation. Le Commissariat préconise lutilisation du brouillage, si nécessaire. Le Commissariat est conscient des coûts que cette technique entraîne pour les organisations, mais considère la dépense justifiée puisque, dans le cadre de la LPRPDE, les renseignements personnels dune personne ne peuvent être recueillis, utilisés et communiqués sans son consentement, sauf dans des cas exceptionnels.

Nécessité de la documentation

Les organisations doivent documenter leur pratique de manière appropriée afin que les obligations relatives à la protection de la vie privée soient respectées et que les organisations soient protégées en cas de plainte en matière de protection de la vie privée. Les organisations doivent mettre en place une politique générale pour les guider dans le processus de prise de décisions et pour réaliser la surveillance vidéo secrète de la manière la plus respectueuse de la vie privée possible. Un dossier devrait également être préparé pour chaque décision de faire de la surveillance vidéo, ainsi quun autre pour rendre compte de son avancement et de ses résultats.

1. Politique sur la surveillance vidéo secrète

La politique sur la surveillance vidéo secrète que doivent mettre en place les organisations devrait :

• préciser les critères à remplir en matière de protection de la vie privée avant que la surveillance vidéo secrète ne soit entreprise;
• exiger que la décision soit étayée par des documents à lappui, y compris sa justification et son objectif;
• exiger que lautorisation dexercer la surveillance vidéo provienne dun échelon approprié de lorganisation;
• limiter la collecte des renseignements personnels au strict nécessaire pour atteindre les fins convenues;
• limiter lutilisation de la surveillance aux fins convenues;
• exiger que les données de surveillance soient mises en mémoire de façon sécuritaire;
• désigner les personnes autorisées à voir les enregistrements au sein de lorganisation;
• définir les procédures pour traiter les renseignements concernant des tiers;
• prévoir un délai de conservation des données de surveillance;
• énoncer les procédures pour détruire les images de façon sécuritaire.

2. Documentation des cas précis de surveillance vidéo

La façon dont les exigences de la politique sur la surveillance vidéo de lorganisation ont été respectées devrait être exposée de manière détaillée et devrait comprendre :

• une description des différentes mesures prises et leur résultat;
• une description du type de renseignements à recueillir au moyen de la surveillance;
• la durée de la surveillance;
• le nom des personnes qui ont eu accès aux données de surveillance;
• les fins pour lesquelles la surveillance a été utilisée;
• quand et comment les images ont été retirées;
• une entente de services avec tout tiers embauché pour exercer la surveillance, sil y a lieu.

Pratiques exemplaires pour le recours à des agences denquête privées

De nombreuses organisations embauchent des agences denquête privées pour quelles effectuent pour leur compte de la surveillance vidéo secrète. Tant lorganisation qui embauche que lagence denquête privée doivent sassurer que la collecte, lutilisation et la communication des renseignements personnels sont toutes effectuées conformément aux lois en matière de protection de la vie privée. Le Commissariat recommande fortement aux parties de conclure une entente de services comprenant :

• la confirmation que lagence denquête privée est un « organisme denquête » aux termes du Règlement précisant les organismes denquête de la LPRPDE;
• une attestation de lorganisation qui embauche stipulant quelle a le pouvoir, en vertu de la LPRPDE, de recueillir les renseignements personnels sur la personne faisant lobjet de lenquête auprès de lagence denquête privée et de les communiquer à cette dernière;
• une description claire et précise des fins visées par la surveillance et du type de renseignements personnels demandés par lorganisation qui embauche;
• la condition selon laquelle la collecte de renseignements personnels se limitera aux fins visées par la surveillance;
• la disposition selon laquelle la collecte de renseignements sur des tiers sera évitée à moins que celle-ci soit pertinente aux fins de la collecte de renseignements sur la personne en cause;
• une déclaration selon laquelle tous les renseignements personnels superflus recueillis sur des tiers au cours de la surveillance ne seront ni utilisés ni communiqués et quils seront supprimés ou dépersonnalisés le plus rapidement possible;
• la confirmation de lagence denquête privée quelle recueillera des renseignements personnels conformément aux lois en vigueur, y compris à la LPRPDE;
• la confirmation selon laquelle lagence denquête privée formera adéquatement ses enquêteurs concernant lobligation de protéger le droit à la vie privée et concernant lutilisation appropriée de léquipement technique utilisé pour la surveillance;
• la condition que les renseignements personnels recueillis dans le cadre de la surveillance seront gardés dans un endroit sûr tant par lorganisation qui embauche que par lagence denquête privée;
• la condition selon laquelle toutes les directives de lorganisation qui embauche seront notées;
• une disposition interdisant le recours à un sous-traitant à moins dune entente écrite préalable et à moins que le sous-traitant souscrive à toutes les exigences de lentente de services;
• le délai de conservation prévu pour les renseignements personnels et les directives de destruction sécuritaire de ces renseignements;
• une disposition permettant à lorganisation qui embauche deffectuer une vérification.

Mai 2009