Les récentes enquêtes issues de la section de surveillance de la Commission d’accès à l’information (la « CAI ») témoignent d’une application proactive et étendue de la Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P -39.1. (« Loi sur le privé »), telle qu’amendée par la Loi 25, puis invitent les entreprises à demeurer vigilante quant à la conformité et la nécessité de leurs pratiques.

Points clés à retenir pour les entreprises

  • La CAI adopte une approche de plus en plus proactive en matière de surveillance et peut examiner les politiques et les pratiques de gouvernance d’une entreprise à la suite d’une plainte plus circonscrite.
  • Les manquements aux exigences de transparences, comme la publication du titre et des coordonnées du responsable de la protection des renseignements personnels, ou d’une politique de confidentialité, risquent d’être relevés dans le cadre d’une enquête de la CAI.
  • Afin de respecter le critère de nécessité, la collecte du NAS par un locateur devrait être limitée aux situations d’impasse, notamment lorsque l’identité d’un individu ne peut être confirmée autrement.
  • Les projets impliquant des technologies de surveillance, comme la reconnaissance faciale, nécessitent une analyse rigoureuse de la nécessité, laquelle doit être appuyée de documentation concrète, détaillée et chiffrée.

1. Gestion immobilière Vesta inc.

Contexte

L’entreprise offre des services de gestion pour des immeubles locatifs. En septembre 2024, la CAI a ouvert une enquête à son endroit en réponse à la plainte de deux aspirants cessionnaires d’un bail de logement. L’enquête visait notamment la nécessité de la collecte du numéro d’assurance sociale (« NAS ») et d’une copie du permis de conduire dans le cadre du processus pour obtenir la location d’un appartement.

Éléments clés de la décision

Suivant la jurisprudence de la Cour du Québec, la CAI a confirmé que la nécessité d’utiliser le NAS peut être rencontrée dans le contexte d’une impasse, c’est-à-dire lorsque les circonstances particulières le justifient, notamment s’il y a un risque d’erreur réel sur l’identité du candidat.

Dans le cas du premier plaignant, la CAI a conclu qu’une inspection visuelle du permis de conduire était suffisante pour confirmer son identité. Dans le cas du second plaignant, les informations présentées sur le formulaire d’application, sur son permis de conduire et sur les résultats de l’enquête de crédit comportaient des disparités. L’impasse pouvait alors justifier la nécessité de collecter des renseignements additionnels, dont le NAS, pour vérifier l’identité de ce plaignant. Le NAS pouvait alors être fourni par téléphone afin de dénouer l’impasse.

De façon proactive, la CAI s’est également penchée sur les pratiques de l’entreprise eu égard aux exigences de la Loi 25. En visitant les sites Web de l’entreprise, elle a constaté que l’entreprise n’avait ni publié le titre et les coordonnées de son responsable à la protection des renseignements personnels, ni établi ou mis en œuvre des politiques et pratiques encadrant la gouvernance des renseignements personnels collectés. La CAI a également invité l’entreprise à publier une politique de confidentialité sur tout site Internet qu’elle utilise pour la collecte de renseignements personnels.

Conclusion

L’entreprise doit cesser de collecter le NAS lorsqu’aucune situation particulière ne le justifie et doit cesser de refuser des aspirants locataires ou cessionnaires au motif qu’ils n’ont pas fourni des renseignements personnels non nécessaires.

La CAI donne 30 jours à l’entreprise pour caviarder ou détruire les documents comportant des NAS non nécessaires, établir et mettre en œuvre des politiques et pratiques de gouvernance, publier des informations à ce sujet sur son site Internet et informer la CAI des mesures prises, dans les 90 jours.

Dispositions pertinentes de la Loi sur le privé 

  • 3.1 (publication du titre et des coordonnées du responsable de la protection des renseignements personnels);
  • 3.2 (obligation d’établir des pratiques et politiques de gouvernance à l’égard des renseignements personnels);
  • 5 (critère de la nécessité);
  • 8.2 (publication et diffusion d’une politique de confidentialité);
  • 9 (refus d’un bien ou d’un service pour l’exercice d’un droit accordé en vertu de la Loi sur le privé).

2. Métro inc.

Contexte 

Cette décision est la deuxième décision portant sur la biométrie rendue par la CAI, la première étant Marché d’alimentation Marcanio et Fils inc. rendue en 2021. Il s’agit également le deuxième volet d’une enquête portant sur un projet de reconnaissance faciale proposé par l’entreprise ayant pour but de prévenir le vol à l’étalage et la fraude, ainsi que la protection de ses employés et de sa clientèle dans ses établissements. Tandis que la première phase portait sur les dispositions de la Loi concernant le cadre juridique des technologies de l’information, RLRQ, c. C -1.1 relative à la biométrie1, la seconde visait plutôt la conformité du projet aux exigences de la Loi sur le privé, et plus particulièrement à savoir si la collecte projetée de renseignements personnels (images de visages et leurs représentations numériques) satisfait le critère de nécessité.

Éléments clés de la décision

De façon exceptionnelle, la CAI s’est penchée de façon prospective sur la collecte de renseignements personnels que l’entreprise entendait effectuer, puisque ce projet n’avait pas encore été mis en place. La CAI a examiné en profondeur le caractère réel, légitime et important des objectifs poursuivis par l’entreprise, laquelle s’est appuyée sur une preuve documentaire étoffée. L’entreprise a dressé un portrait chiffré des pertes et des incidents encourus, et a présenté d’autres mesures de prévention moins intrusives qui ont été mises en place. La CAI a également évalué la proportionnalité entre les avantages (dont la prévention, la dissuasion et la complémentarité à d’autres mesures) de ce projet et les inconvénients subis (dont la sensibilité des renseignements, le volume de la collecte et l’efficacité non démontrée du système) par les individus fréquentant les établissements visés.

Conclusion

La CAI a conclu que la collecte des renseignements personnels est nécessaire.

La CAI a également imposé certaines obligations de reddition de compte à l’entreprise, de manière semestrielle pour les deux prochaines années, notamment quant aux faux positifs et aux biais dans les algorithmes des systèmes projetés. La décision a été rendue sous réserve du premier volet de l’affaire, qui demeure toujours en litige devant la Cour du Québec.

Disposition pertinente de la Loi sur le privé

  • 5 (critère de la nécessité).

Pour plus d’information sur le cadre juridique applicable à la biométrie au Québec, nous vous référons également à notre article « Concilier biométrie et nécessité au Québec : une équation à trois variables » publié sur le CAIJ (en français) et à paraître dans Canadian Journal of Law and Technology (en anglais). Si vous avez d'autres questions concernant le cadre juridique de la biométrie au Québec, que ce soit en vertu de la Loi sur le privé ou de la Loi concernant le cadre juridique des technologies de l’information, veuillez communiquer avec notre groupe de Cybersécurité et de protection des données.