Séjour à l’hôtel : Les heures d’arrivée et de départ d’une personne sont des renseignements personnels et ne doivent pas être communiquées sans son consentement

Rapport des conclusions en vertu de la LPRPDE n^o 2013-007

Le 7 août 2013

---

Une personne s’est plainte au Commissariat qu’un hôtel aurait communiqué des renseignements personnels à son sujet à son employeur, ce qui aurait contribué à son congédiement. Le plaignant prétend qu’un détective du service de police privé de son employeur aurait communiqué avec l’hôtel pour connaître ses heures d’arrivée et de départ lors de deux de ses séjours récents. Le plaignant explique que son travail l’amène régulièrement à rester à l’hôtel, et prétend que son employeur aurait sollicité ces renseignements dans le cadre d’une enquête visant à déterminer si les employés réclamaient des heures supplémentaires sans raison valable. Un employé de l’hôtel aurait communiqué les renseignements demandés par téléphone et ceux-ci auraient ensuite été utilisés dans le cadre d’un processus ayant mené au congédiement du plaignant.

Nous avons déterminé, à l’issue de notre enquête, que les heures d’arrivée et de départ constituaient des renseignements personnels, dans ce cas-ci, car elles se rapportent à un individu identifiable. En outre, il a été déterminé qu’aucune exception à la communication sans consentement en vertu de la Loi ne s’appliquait. Par conséquent, il a été conclu que les renseignements personnels de la personne ont été communiqués sans son consentement, ce qui contrevient à la Loi.

Le directeur général de l’hôtel a entrepris un examen des politiques de l’hôtel relatives à la communication des renseignements sur les clients à des tiers. La politique actuelle a été révisée pour décrire plus clairement les responsabilités du personnel à l’égard de cette question, pour indiquer que, dans la mesure du possible, toutes les demandes de communication de renseignements doivent être acheminées à la direction, et pour clarifier les situations dans lesquelles les renseignements sur les clients peuvent être communiqués aux organismes chargés de l’application de la loi. Cette politique a ensuite été communiquée de nouveau à l’ensemble des employés et affichée à des endroits clés. Par conséquent, le Commissariat a conclu que la plainte était fondée et résolue.

Rapport de conclusions

Plaintes déposées en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi)

1. Le plaignant allègue que l’hôtel aurait communiqué ses renseignements personnels à un tiers sans son consentement. Plus précisément, il allègue que des renseignements détaillés au sujet de deux séjours à l’hôtel du mis en cause auraient été communiqués à son ancien employeur dans le cadre d’une procédure qui a mené à son congédiement.

Résumé de l’enquête

Information fournie par le plaignant

2. Le plaignant indique qu’en avril 2009, il a découvert que l’hôtel avait communiqué à son employeur de l’époque ses heures d’arrivée et de départ relativement à deux séjours précis effectués plus tôt au cours de la même année.
3. Le plaignant a fourni au Commissariat une copie d’une page tirée du carnet de notes d’un détective du service de police privé de son employeur. Les renseignements figurant sur cette page comprenaient entre autres les coordonnées de l’hôtel, les heures d’arrivée et de départ du plaignant, ainsi que les numéros des chambres occupées par le plaignant pendant les deux séjours visés.
4. Lors d’un entretien téléphonique avec le Commissariat, le plaignant a expliqué qu’il devait souvent voyager pour son travail. Il croit que son employeur demandait à connaître les heures d’arrivée et de départ de ses employés pour vérifier s’ils réclamaient des heures supplémentaires sans raison valable.
5. Les renseignements communiqués par l’hôtel ont ensuite été utilisés dans le cadre d’une procédure disciplinaire entre le plaignant et son employeur qui a mené au congédiement du plaignant.

Information fournie par le mis en cause

6. Le mis en cause a communiqué ses observations au Commissariat en mai 2011. Il a indiqué que, pour autant qu’il sache, il avait reçu un appel d’un service de police local qui « menait une enquête sur un délit ». Il a indiqué qu’il avait fourni à la police les renseignements demandés, à savoir les heures d’arrivée et les heures de départ et peut-être le nom du superviseur du plaignant. Il ne se rappelle pas avoir communiqué d’autres renseignements.
7. Le mis en cause a aussi déclaré qu’il avait ensuite reçu un appel du service de police privé de l’employeur du plaignant demandant les mêmes renseignements — les heures d’arrivée et de départ — qui ont de nouveau été communiqués.

Information fournie par un tiers

8. L’employeur du plaignant a confirmé au Commissariat que le mis en cause avait volontairement communiqué les renseignements demandés à son service de police, et qu’il n’avait pas sollicité de mandat ou d’ordonnance du tribunal pour la production de ces renseignements. Le service de police de la ville où se trouve l’hôtel n’a reçu aucune demande de la part de l’employeur concernant l’obtention de renseignements auprès de l’hôtel dans cette affaire.
9. Par souci de clarté, il importe ici de préciser que cette plainte n’a pas trait à la collecte de renseignements personnels sur le plaignant par l’employeur, et que notre enquête porte uniquement sur la communication présumée par l’hôtel.

Demande

10. Pour rendre notre décision, nous avons appliqué le principe 4.3 de l’annexe 1 de la Loi et le paragraphe 2(1) et les alinéas 7(3)c.1) et 7(3)d) de la Loi.
11. Le principe 4.3 précise que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu’il ne soit pas approprié de le faire.
12. Le paragraphe 2(1) de la Loi indique en partie que les « renseignements personnels » concernent un individu identifiable.
13. Les alinéas 7(3)c.1) et d) de la Loi se lisent comme suit :

    Pour l’application de l’article 4.3 de l’annexe 1 et malgré la note afférente, l’organisation ne peut communiquer de renseignement personnel à l’insu de l’intéressé et sans son consentement que dans les cas suivants :
    c.1) elle est faite à une institution gouvernementale — ou à une subdivision d’une telle institution —, qui a demandé à obtenir le renseignement en mentionnant la source de l’autorité légitime étayant son droit de l’obtenir et le fait, selon le cas :

    (i) qu’elle soupçonne que le renseignement est afférent à la sécurité nationale, à la défense du Canada ou à la conduite des affaires internationales,
    (ii) que la communication est demandée aux fins du contrôle d’application du droit canadien, provincial ou étranger, de la tenue d’enquêtes liées à ce contrôle d’application ou de la collecte de renseignements en matière de sécurité en vue de ce contrôle d’application,
    (iii) qu’elle est demandée pour l’application du droit canadien ou provincial;

    [...]

    d) elle est faite, à l’initiative de l’organisation, à un organisme d’enquête, une institution gouvernementale ou une subdivision d’une telle institution et l’organisation, selon le cas, a des motifs raisonnables de croire que le renseignement est afférent à la violation d’un accord ou à une contravention au droit fédéral, provincial ou étranger qui a été commise ou est en train ou sur le point de l’être ou soupçonne que le renseignement est afférent à la sécurité nationale, à la défense du Canada ou à la conduite des affaires internationales.

Constatations

14. Dans nos constatations, nous nous sommes concentrés sur la communication présumée de renseignements au service de police privé de l’employeur du plaignant. Le Commissariat n’a reçu aucun élément probant qui corrobore que l’hôtel a communiqué des renseignements au service de police local. Le Commissariat est d’avis que cet élément est probablement attribuable à une défaillance de la mémoire du mis en cause (notamment en raison du fait que deux ans se sont écoulés entre la communication présumée et le moment où on a demandé à l’hôtel de se rappeler l’incident). Quoi qu’il en soit, cette situation met en relief l’importance de documenter les circonstances entourant toute communication de renseignements personnels, ainsi que les raisons la justifiant.

Est- ce que les heures d’arrivée et de départ constituaient des « renseignements personnels » dans cette situation?

15. Le paragraphe 2(1) de la Loi définit les renseignements personnels comme étant des renseignements se rapportant à un individu identifiable. Les renseignements présumément communiqués par l’hôtel — les heures d’arrivée et de départ — concernent clairement le plaignant dont l’identité était connue de la partie communiquant les renseignements et de la partie les recevant. À ce titre, le Commissariat estime que la communication des heures d’arrivée et de départ constitue, dans ces circonstances, une communication de renseignements personnels.

Y a-t-il eu « communication » de renseignements personnels?

16. Dans ses observations au Commissariat, l’hôtel n’a pas contesté le fait que les heures d’arrivée et de départ du plaignant avaient été communiquées au service de police privé de l’employeur du plaignant. Ainsi, le Commissariat est convaincu qu’une communication de cette nature a bel et bien eu lieu.
17. Ni le plaignant ni le mis en cause dans cette affaire n’ont laissé entendre qu’un consentement exprès avait été obtenu pour cette communication.

Est-ce que le mis en cause peut invoquer une exception stipulée au paragraphe 7(3) de la Loi pour la divulgation de renseignements à l’insu et sans consentement de l’intéressé?

18. L’alinéa 7(3)c.1)(iii) de la Loi autorise la communication de renseignements personnels à l’insu et sans le consentement de l’intéressé si « elle est faite à une institution gouvernementale — ou à une subdivision d’une telle institution — qui a demandé à obtenir le renseignement en mentionnant la source de l’autorité légitime étayant son droit de l’obtenir et le fait [...] (iii) qu’elle est demandée pour l’application du droit canadien ou provincial ».
19. À notre avis, cette exception ne s’applique pas pour au moins deux raisons. Premièrement, aucune donnée probante ne permet de croire que le service de police privé a mentionné sa source d’autorité légitime au mis en cause (en tenant pour acquis qu’une telle légitimité existe, ce qui est incertain). Au contraire, les données probantes, y compris les observations de l’employeur du plaignant, donnent à penser qu’on a simplement demandé au mis en cause de fournir les renseignements et qu’il l’a fait de son plein gré.
20. En outre, la communication n’a pas été sollicitée aux fins de l’administration d’une loi fédérale ou provinciale. En fait, l’employeur du plaignant sollicitait des renseignements aux fins d’une enquête sur l’inconduite de l’employé. Bien que la réclamation excessive d’heures supplémentaires puisse constituer une « fraude » dans certains cas, il n’y a aucune donnée probante indiquant que l’employeur du plaignant menait une enquête criminelle. En fait, l’employeur du plaignant mentionne dans ses observations qu’il n’entendait pas déposer des accusations au pénal.
21. L’alinéa 7(3)d) de la Loi autorise la communication de renseignements personnels à l’insu ou sans le consentement de l’intéressé si elle est « faite à l’initiative de l’organisation, à un organisme d’enquête […] ». Le Commissariat observe que le service de police privé de l’employeur du plaignant n’est pas énuméré dans le Règlement précisant les organismes d’enquête de la Loi.
22. Ainsi, à notre avis, aucune exception stipulée au paragraphe 7(3) de la Loi n’aurait autorisé la communication sans consentement.
23. Par conséquent, la plainte en ce qui a trait à la communication de renseignements sans consentement est fondée.

Conclusion

24. Lors de la discussion initiale entre le Commissariat et le mis en cause, il a été déterminé que ce dernier avait mis en place une politique limitant la communication de renseignements personnels sur les clients à des tiers et à des organismes d’application de la loi. Toutefois, cette politique n’a peut-être pas été clairement expliquée.
25. En juillet 2013, l’hôtel a recruté un nouveau directeur général. À la suite d’une discussion entre cette personne et le Commissariat, l’hôtel a immédiatement entrepris un examen de sa politique relative à la communication de renseignements sur les clients. La politique a ensuite été modifiée pour décrire plus précisément les responsabilités du personnel à cet égard, et pour indiquer que, dans la mesure du possible, toutes les demandes de communication de renseignements devraient être aiguillées vers la direction. Elle précise également les circonstances dans lesquelles les renseignements sur les clients peuvent être communiqués à des organismes d’application de la loi.
26. Le nouveau directeur général a aussi demandé à son équipe de direction de diffuser à nouveau la politique afin de s’assurer que tous les employés l’ont lu et en comprennent le contenu. La politique a aussi été affichée aux endroits clés, accompagnée d’une mention précisant qu’il s’agit d’une question importante.
27. En conséquence, la question du consentement dont il est question dans la plainte a été jugée fondée et résolue.