Décisions récentes et questions émergentes en vertu de la nouvelle loi sur la protection de la vie privée

Cette page Web a été archivée dans le Web

L’information dont il est indiqué qu’elle est archivée est fournie à des fins de référence, de recherche ou de tenue de documents. Elle n’est pas assujettie aux normes Web du gouvernement du Canada et elle n’a pas été modifiée ou mise à jour depuis son archivage. Pour obtenir cette information dans un autre format, veuillez communiquer avec nous.

Lancaster House
Conférence annuelle sur les droits de la personne et la vie privée au travail

Le 3 mai 2002
Toronto, Ontario

George Radwanski
Commissaire à la protection de la vie privée du Canada

(Le texte prononcé fait foi)


Je suis ravi de prendre la parole dans le cadre d'une conférence sur la vie privée et les droits de la personne, parce que la vie privée est l'un des droits les plus fondamentaux de la personne.

La vie privée, c'est ce qui nous permet de vivre en individus libres - libres de lire ce que nous voulons, de penser comme nous voulons, et de nous associer avec qui nous voulons. Elle nous laisse être qui nous sommes. Elle signifie que nous n'avons pas à passer notre vie sous l'oil scrutateur de quelqu'un d'autre - qui vérifie chaque geste, chaque achat et chaque interaction humaine; qui analyse nos habitudes de vie; qui interprète, bien ou mal, nos actions; qui juge, bien ou mal, nos intentions.

Les libertés de pensée, d'association, de conscience et de parole, pour ne nommer que celles-là, ont toutes leurs racines dans notre droit à la vie privée.

Ces droits et libertés, nous n'y renonçons pas en entrant au bureau ou à l'usine. Certes, il y a des exagérations lorsqu'on dit que l'employé perd tous ses droits quand il est au travail ou se trouve dans les locaux de l'employeur et utilise le matériel de l'employeur. Je ne crois pas cela, et les arbitres et les juges non plus, et vous non plus, j'en ai la certitude. Les employés ont depuis longtemps des droits reconnus, et bien établis, à la vie privée en milieu de travail.

L'adoption de la Loi sur la protection des renseignements personnels et les documents électroniques - la LPRPDE, comme on dit - a été une bénédiction pour ces droits. Elle codifie, en termes très clairs, un droit fondamental à la vie privée dans les milieux de travail auxquels elle s'applique. Elle établit fermement la primauté du consentement - le concept qui se trouve au cour de la vie privée - à la collecte, l'utilisation ou la communication de tout renseignement personnel. Et elle assortit le consentement d'une limite importante : même avec le consentement des intéressés, l'organisation ne peut recueillir, utiliser ou communiquer des renseignements au sujet de ses employés qu'à des fins qu'une personne raisonnable estimerait acceptables dans les circonstances. Cela signifie qu'on n'a pas à renoncer à tout droit à la vie privée pour avoir un emploi.

J'aimerais vous exposer certaines des décisions auxquelles j'en suis venu dans des causes concernant l'emploi en vertu de la LPRPDE. Je vais vous expliquer ce que ces genres de causes nous disent au sujet de la Loi, puis je dirai quand et comment les violations de la vie privée en milieu de travail peuvent être justifiées.

Mais d'abord, laissez-moi vous donner un bref aperçu de la Loi.

La Loi met dans la balance les droits à la vie privée des individus et les besoins des organisations de recueillir, d'utiliser et de communiquer des renseignements personnels. En voici les grandes lignes, dans une perspective d'emploi;

L'organisation visée par la Loi qui veut recueillir, utiliser ou communiquer des renseignements personnels concernant ses employés a besoin de leur consentement, sauf dans quelques circonstances bien précises et limitées.

Elle peut utiliser ou communiquer les renseignements personnels de ses employés à la seule fin pour laquelle ces derniers ont donné leur consentement au moment de la collecte des renseignements.

Même avec le consentement des intéressés, l'organisation doit limiter la collecte, l'utilisation et la communication des renseignements personnels aux fins qu'une personne raisonnable estimerait acceptables dans les circonstances.

Les employés ont le droit de voir les renseignements personnels que l'employeur détient à leur sujet, et d'en corriger les inexactitudes.

Il existe un droit de regard, que j'exerce avec mon bureau, pour veiller au respect de la loi et demander des réparations en cas de violation des droits des employés.

À l'heure actuelle, la Loi s'applique à tous les renseignements personnels, y compris les renseignements personnels sur la santé, qui sont recueillis, utilisés ou communiqués dans le cadre d'activités commerciales ou d'un emploi dans les entreprises fédérales. Les entreprises fédérales, ce sont essentiellement les banques, les lignes aériennes, les sociétés de télécommunications, les radiodiffuseurs et les sociétés de transport. La Loi s'applique aussi aux renseignements personnels détenus par les organismes sous réglementation provinciale lorsqu'ils sont vendus, loués ou échangés à l'extérieur de la province ou du pays.

En 2004, la Loi commencera à s'appliquer aux activités commerciales qui sont normalement de compétence provinciale, sauf dans les cas où les provinces ont adopté une loi essentiellement similaire, mais aujourd'hui, elle ne s'applique qu'à l'emploi dans les entreprises fédérales.

Certains pourraient penser que cela signifie que les employeurs des industries sous réglementation provinciale n'ont pas à s'en préoccuper. Voilà qui serait une erreur.

La Loi intègre des normes internationales sur la protection des données. Ces normes, elles ont été mises au point par l'OCDE, l'Union Européenne et divers organismes du secteur privé et de défense et de promotion. Elles ont été reprises, dans le monde entier, dans des codes volontaires et des lois sur la protection de la vie privée.

La plupart des provinces s'apprêtent à légiférer sur la protection de la vie privée. L'Ontario, comme vous le savez, a déjà enclenché le processus. Une de raisons qui amènent les provinces à légiférer, c'est qu'elles veulent faciliter les échanges de renseignements personnels avec des secteurs de compétence comme l'UE, qui insistent sur la protection des renseignements personnels de leurs citoyens. La législation provinciale n'arrivera à faciliter ces échanges de renseignements personnels que si elle s'applique aux renseignements personnels dans l'emploi. Le bon côté de l'affaire, c'est que la législation provinciale sur la protection de la vie privée s'appliquera probablement à l'emploi, et ressemblera beaucoup à la LPRPDE.

Donc, même pour les organisations qui n'y sont pas soumises, il y a des leçons à tirer de la Loi. Voyons maintenant certaines des conclusions que j'ai rendues au sujet de plaintes en vertu de la Loi, et certains des enseignements à en tirer.

Une plainte m'est venue d'un camionneur qui a été tenu par son employeur, une société de transport international, de remplir et de lui retourner un formulaire d'enregistrement au nouveau Programme d'autorisation des douanes de l'Agence des douanes et du revenu du Canada.

Le camionneur ne voulait pas que son employeur ait accès aux renseignements personnels qu'il devait fournir dans la demande. Il voulait remettre le formulaire de l'ADRC directement à l'ADRC. Il a donc refusé de le remettre à son employeur. Celui-ci lui a dit : « Retourne-nous le formulaire, sans quoi nous mettrons fin à ton emploi. » Et c'est ce qui est arrivé : il a mis fin à son emploi.

J'ai conclu que cette plainte était fondée. La Loi limite la collecte de renseignements à ce qui est nécessaire pour les fins de l'organisation. Oui, le chauffeur devait remplir une demande pour participer au programme. Mais c'est l'ADRC qui avait besoin du formulaire. Pas l'employeur. Il n'était donc pas nécessaire que les renseignements soient retournés à l'employeur, dans la mesure où ils l'étaient à l'ADRC.

Et la Loi exige que les renseignements soient recueillis de façon honnête et licite. Ma foi, la société a menacé son employé de congédiement s'il ne remettait pas les renseignements. Cela ne répond à aucun critère d'honnêteté, puisque l'employeur n'a même pas droit aux renseignements, de toute façon.

La leçon à tirer de cela, c'est que, bien souvent, l'observation de la loi sur la protection de la vie privée est une simple question de bon sens. Nous avions là un cas où l'employeur qui s'est mis dans le pétrin pour rien. Il lui suffisait de témoigner un peu de respect à l'employé, de regarder de près qui avait besoin de quels renseignements, et de reconnaître que la meilleure façon d'obtenir quelque chose, c'est de le demander et d'expliquer pourquoi on en a besoin. S'il avait pris cette approche, l'employeur ne se serait pas retrouvé dans le pétrin où il s'est mis.

Dans une autre affaire, une employée a adressé à son employeur un certain nombre de demandes de renseignements qu'il détenait à son sujet. L'employeur a rejeté ses demandes, et adressé des copies de sa réponse à deux représentants syndicaux et à son coordonnateur des relations de travail. L'employée ne leur avait pas envoyé de copies de ses demandes d'accès, et elle n'avait pas consenti à ce qu'il leur envoie des copies de sa réponse. Elle a donc porté plainte au Commissariat.

Les représentants syndicaux avaient assisté à la première réunion où il avait été question de l'accès aux renseignements personnels de la plaignante. Et le coordonnateur des relations de travail avait en sa possession des documents auxquels la plaignante avait demandé accès. L'employeur a fait valoir que, compte tenu du rôle qu'ils avaient joué, la plaignante avait implicitement consenti aux communications.

J'ai conclu que, pour la communication des renseignements aux représentants syndicaux, ce consentement implicite n'avait pas été donné. Ils avaient assisté à la première réunion. Mais la plaignante avait présenté les demandes d'accès personnellement, sans faire intervenir le syndicat. Elle avait le droit de demander accès à ses renseignements sans l'intervention syndicale, et l'employeur n'avait pas à mettre le syndicat au courant de sa réponse.

Donc, cet aspect de la plainte était fondé.

Quant à la communication au coordonnateur des relations de travail, il s'agissait d'une autre affaire. C'est lui qui avait en sa possession les documents que la plaignante demandait. Étant donné le rôle direct qu'il avait joué dans la demande d'accès, il convenait que l'employeur l'informe de sa décision de refuser à la plaignante l'accès aux documents. J'ai conclu que cet aspect de la plainte n'était pas fondé.

Quels enseignements faut-il en tirer – La Loi énonce que les organisations, lorsqu'elles ont à déterminer la forme de consentement à utiliser, doivent tenir compte du caractère délicat des renseignements et des attentes raisonnables de l'individu. En l'occurrence, l'employeur n'avait qu'à examiner la situation et à évaluer ce qui était raisonnable. Puisque la plaignante avait formulé ses demandes d'accès indépendamment du syndicat, et sans lui envoyer de copie de sa correspondance, rien de ce qu'elle n'a fait n'indiquait son consentement tacite au partage des réponses avec lui. Mais il est raisonnable de s'attendre que celui qui a le contrôle des renseignements demandés - le coordonnateur des relations de travail - doive être informé d'une décision concernant l'accès aux renseignements en question.

Encore une fois, ce n'est pas compliqué. En général, ne tenez pas le consentement pour acquis et, en cas de doute, vérifiez. C'est dans une large mesure une question de gros bon sens - et, pourrais-je ajouter, une bonne pratique de gestion.

Il arrive, bien sûr, comme dans le cas du coordonnateur des relations de travail, qu'il soit parfaitement logique d'envoyer à un tiers une copie de sa réponse, mais, en règle générale, il vaut mieux s'en abstenir. Il vaut mieux laisser l'individu décider lui-même de partager ou pas la réponse. C'est le conseil que nous avons donné à l'employeur dans ce cas, et je suis heureux de dire qu'il l'a appliqué dans le traitement des demandes d'accès par la suite.

S'il y a une leçon générale à tirer de ces décisions, c'est que les bonnes pratiques en matière de protection de la vie privée sont essentiellement une question de bon sens.

Permettez-moi maintenant de passer à une question plus générale touchant la vie privée en milieu de travail et l'application de la LPRPDE, à savoir la question de l'équilibre entre les besoins légitimes de renseignements personnels pour l'organisation et le droit des employés à la vie privée.

Ce n'est pas vraiment différent du critère de la personne raisonnable : les renseignements personnels sont-ils recueillis, utilisés ou communiqués à des fins qu'une personne raisonnable estimerait acceptables dans les circonstances. Mais cela touche un genre d'analyse qui est un peu plus difficile et complexe que l'approche du gros bon sens dont j'ai parlé dans les exemples qui précèdent.

Prenons l'exemple de la surveillance de l'utilisation d'Internet et du courriel. L'exemple est apprioprié pour un groupe comme le vôtre, parce qu'on fait souvent valoir que la surveillance d'Internet et du courriel est un élément nécessaire de l'obligation patronale de prévenir le harcèlement en milieu de travail. Je ne suis pas d'accord, et j'y reviendrai dans un instant.

Certains d'entre vous connaissez peut-être l'étude, publiée en juillet dernier par la Privacy Foundation, sur la surveillance électronique des travailleurs informatisés - des employés qui font une utilisation régulière d'Internet ou du courriel au travail. Aux États-Unis, c'est environ 30 % des travailleurs, et on estime que c'est à peu près la même chose au Canada.

Aux États-Unis, 14 millions d'employés - 35 % des travailleurs informatisés - sont soumis à une surveillance continue et généralisée de l'utilisation qu'ils font d'Internet ou du courriel. Avec la diminution du coût des logiciels de surveillance, le nombre augmente près de deux fois plus vite que le nombre d'employés qui ont accès à Internet.

C'est une violation de la vie privée, tout autant que les fouilles des bureaux, casiers, vêtements et effets personnels. La surveillance du courriel et de la navigation dans le Web, c'est de la collecte et de l'utilisation des renseignements personnels des employés. Les renseignements ne sont pas tous personnels, mais certains le sont. Les renseignements personnels peuvent être à caractère délicat - surtout si, comme c'est habituellement le cas, l'employeur permet une certaine utilisation personnelle du système de courriel et du Web, pendant les pauses repas, par exemple. Et même là où il ne le permet pas, le simple fait de la surveillance électronique, au hasard ou continue, prive l'employé de tout sentiment d'intimité et d'autonomie.

Mais la protection de la vie privée en milieu de travail ou ailleurs n'est pas un droit absolu, et il y a des cas où une violation de la vie privée se justifie. Comment donc savoir quand ?

Permettez-moi faire une mise au point avant de dire ce que j'ai à vous dire : je n'ai pas encore eu de plainte à traiter à ce sujet en vertu de la LPRPDE, et je ne rends pas de décisions anticipées sur des causes hypothétiques. Mais je peux vous donner une idée de ma façon de voir comment doivent s'appliquer les principes de la Loi.

Toute proposition visant à entraver ou à limiter la vie privée doit, à mon sens, répondre à quatre critères : il doit être possible d'en démonter la nécessité pour répondre à un besoin précis; elle doit être probablement une solution efficace pour répondre à ce besoin; elle doit être proportionnelle à l'ampleur et à l'importance du problème; et il ne doit pas y avoir de mesure moins intrusive pour arriver à la même fin.

Il faut appliquer ces critères dans tous les cas, que la violation de la vie privée découle d'initiatives législatives ou de réglementation, de décisions administratives comme la surveillance vidéo des lieux publics par la police, ou de pratiques de gestion comme le dépistage des drogues.

Voyons comment ils pourraient s'appliquer à la surveillance de l'utilisation que les employés font de l'ordinateur.

Peut-on démontrer qu'elle est nécessaire pour répondre à un besoin précis – Cette première étape d'importance cruciale est trop souvent oubliée. C'est particulièrement le cas lorsque les pressions pour l'adoption de la surveillance vient des fabricants du logiciel.

La raison habituelle par laquelle les employeurs justifient une surveillance électronique généralisée, c'est qu'ils s'inquiètent des pertes de temps des employés, de la fuite de documents confidentiels, et de la responsabilité du contenu des messages ou des documents dans le Web.

Ces préoccupations ne sont pas insignifiantes. Les employeurs doivent pouvoir vérifier que leurs employés ne font pas leurs achats personnels en ligne pendant qu'ils sont censés travailler. Ils doivent pouvoir protéger leur propriété intellectuelle. Ils doivent pouvoir se protéger contre la responsabilité pour toutes sortes de choses, depuis les propos diffamatoires jusqu'au harcèlement en milieu de travail. Personne ne remet rien de tout cela en cause. Et si l'employeur fait la preuve de problèmes particuliers dans l'un de ces domaines, il se peut très bien qu'il ait répondu à ce premier critère.

Mais s'il s'agit d'un besoin exprimé dans l'abstrait, ce ne sera habituellement pas suffisant. Il peut y avoir des cas où, par exemple, le risque de fuite de documents confidentiels est tellement grand et si évident qu'il n'y a pas lieu de l'expliquer en détail. Il peut y avoir des lieux de travail où il est traité de questions si délicates qu'il suffit d'un risque hypothétique, de la possibilité d'un problème, ou de quelque chose qui pourrait arriver. Mais, normalement, je ne me contenterais pas de conjectures ni de généralisations. Je demanderais que l'employeur fasse la démonstration de l'existence d'un problème réel et précis.

Après avoir appliqué ce premier critère, il faut démontrer que la violation proposée de la vie privée sera probablement un moyen efficace de régler le problème.

La surveillance électronique de l'utilisation d'un ordinateur est-elle efficace – La réponse à cela, bien sûr, dépend de ce que l'on entend par « efficace ». Elle est un moyen de parvenir à une fin, et c'est la façon dont vous définissez la fin qui détermine si elle est efficace. Si vous la définissez en termes étroits, comme la capacité de prendre l'employé en défaut, elle est habituellement efficace. Je ferais valoir qu'elle ne permet d'attaquer qu'un symptôme du problème, et pas le problème même. Si la fin visée est un milieu de travail en santé et productif, où chacun peut faire la meilleure utilisation des outils électroniques dont il dispose, elle est moins efficace.

Quand est-il du troisième critère, la proportionnalité – Cela dépend, bien sûr, de l'ampleur du problème et de la façon dont vous avez défini la fin visée. Mais dans la plupart des cas que j'ai vus dans mes lectures, la surveillance électronique c'est comme prendre un marteau pour tuer une mouche.

Il peut très bien y avoir des milieux extraordinairement névralgiques, où les conséquences d'une utilisation abusive du courriel ou d'Internet risquent d'être si graves qu'elles justifieraient une surveillance systématique. Je demeure sceptique chaque fois qu'on fait ce genre d'affirmation, que passerais toujours au peigne fin. Vous devriez le faire vous aussi. Rappelez-vous : nous parlons de cette absence complète de vie privée qui découle de la conscience que vos activités et déclarations peuvent être observées ou enregistrées à tout moment. Ceux qui ont vécu dans des prisons, et dans des États policiers, nous disent que c'est exactement ce qui est le plus oppressif. Soit dit en passant, c'est aussi pourquoi je suis tellement contre la surveillance vidéo des lieux publics par la police, pratique que j'ai dénoncée maintes fois de par le pays.

Enfin, y a-t-il une façon moins intrusive d'atteindre le but visé – Oui, si le but visé est autre chose que de prendre le monde en défaut.

Soyons clair : je suis tout à fait convaincu que les employeurs devraient avoir des politiques claires sur l'utilisation appropriée du courriel et du Web. La communication de cette politique aux employés contribuera pour beaucoup à éviter l'utilisation abusive de ces outils.

Si l'employeur craint que les employés perdent leur temps, il y a de meilleurs moyens que la surveillance systématique pour le vérifier - comme analyser ce qui est produit dans le cours d'une journée. L'employeur dispose de toute une gamme de techniques de gestion traditionnelles pour les employés qui perdent leur temps.

L'obligation patronale de prévenir le harcèlement oblige à prendre toutes les mesures raisonnables pour prévenir le harcèlement, et à en traiter efficacement lorsqu'il y en a. Il faut avoir une politique efficace contre le harcèlement et donner la formation voulue aux employés. Mais la surveillance systématique ne s'impose pas obligatoirement.

Et s'il faut une certaine surveillance électronique, l'employeur devrait tâcher d'atteindre ses fins sans violer la vie privée plus qu'il n'est absolument nécessaire. Certains genres de surveillance sont plus intrusifs que d'autres. Quelle que soit la méthode choisie, l'enquête directe suite à un soupçon raisonnable est toujours préférable à la surveillance sans discernement. L'employeur doit toujours opter d'abord pour la solution la moins intrusive, quitte à appliquer une mesure plus intrusive si la première ne donne pas les résultats voulus.

Cette analyse est la meilleure façon de traiter de la question complexe de l'équilibre à réaliser entre les droits à la vie privée et le besoin de renseignements personnels pour l'organisation. Qu'il s'agisse de dépistage des drogues, de vérification des antécédents, de la surveillance vidéo au travail ou ailleurs, ou de fouilles physiques, les employeurs doivent se poser ces questions. La violation de la vie privée vise-t-elle un problème précis dont la démonstration peut être faite – Est-il possible de démontrer qu'elle est une solution efficace au problème – Est-elle proportionnelle – Et y a-t-il une façon de faire moins intrusive ?

Le respect de la vie privée en milieu de travail impose certaines contraintes aux employeurs. Ils doivent se demander d'abord qui a vraiment besoin de savoir quoi. Ils doivent savoir quels renseignements personnels ils recueillent et ce qu'ils en font. Ils doivent être honnêtes avec eux-mêmes sur ce qu'ils ont besoin de savoir, et réprimer leur curiosité lorsqu'elle est inconciliable avec le respect de la vie privée des employés.

C'est un défi, bien sûr. Mais c'est aussi, tout simplement, une bonne pratique d'affaires. Un milieu de travail doté d'un personnel heureux, dont l'employeur respecte les droits à la vie privée, est un milieu de travail productif. Et cela donne un avantage concurrentiel à l'entreprise qui respecte la vie privée.

Date de modification :