James c. Amazon.com.ca, Inc.
An organization does not violate PIPEDA's access principle by refusing disclosure until the requester's identity is confirmed.
At a glance
The Federal Court of Appeal dismissed Tamara James's appeal under PIPEDA after Amazon refused to disclose her personal information because she could not verify her identity. The case clarifies that an organization's identity-verification requirement before disclosure is lawful under PIPEDA's ninth principle.
Material facts
Tamara James filed a PIPEDA complaint against Amazon.com.ca, Inc. after Amazon refused to disclose her personal information because she could not provide the password for the Amazon account holding that information and was unwilling to reset it. The Office of the Privacy Commissioner abandoned its investigation, finding Amazon's response fair and reasonable. James applied to the Federal Court under PIPEDA s. 14, raising three issues: Amazon's alleged breach of the ninth principle (access), the sixth principle (accuracy), and the response-time requirement under s. 8(3). The Federal Court rejected all three grounds. James appealed to the Federal Court of Appeal.
Issues
- Did the Federal Court err by raising new issues not before the Privacy Commissioner? - Did the Federal Court err in finding that Amazon did not breach the ninth principle of PIPEDA's Schedule 1 by refusing to disclose personal information until identity was confirmed? - Did the Federal Court err in limiting the scope of James's claim under the sixth principle regarding the accuracy of her personal information?
Held
The appeal is dismissed with costs fixed at $500. The Federal Court committed no reviewable error on any of the three grounds raised.
Ratio decidendi
Under PIPEDA, an organization that withholds personal information pending confirmation of the requester's identity does not breach the individual's right of access under the ninth principle of Schedule 1, and the response-time clock under s. 8(3) does not begin to run until identity is sufficiently confirmed.
Reasoning
The Federal Court of Appeal applied the standard appellate standard of review from Housen v Nikolaisen: correctness for questions of law and palpable and overriding error for questions of fact or mixed fact and law. On the new-issues ground, the court found that the Federal Court had not raised new questions but merely assessed the sufficiency of evidence James herself had put forward; the identity question was squarely in issue before both the Commissioner and the Federal Court. A minor factual error in the Federal Court's reasons about Exhibit H (referencing the name 'Tashesha James') was not overriding because that name did not actually appear in the exhibit. On the ninth principle, the court found it was open to the Federal Court to conclude that Amazon's doubt about James's identity justified requesting additional verification before disclosure; the Federal Court's failure to cite PIPEDA s. 8(7) expressly was not an error because the provision was plainly considered. On the sixth principle and accuracy, the court upheld the Federal Court's finding that James raised this ground for the first time before the Federal Court without supporting evidence and that it had not been included in her original complaint to the Commissioner. The court dismissed James's allegation of reasonable apprehension of bias as falling far short of the applicable standard.
Obiter dicta
The court noted that Amazon could have faced liability had it disclosed the personal information without first obtaining adequate authorization — implying that identity verification before disclosure is not only permitted but potentially required.
Significance
This decision confirms that identity verification is a legitimate precondition to personal-information disclosure under PIPEDA, providing practical guidance to organizations handling access requests. It also reaffirms that a de novo Federal Court hearing under PIPEDA s. 14 is subject to standard appellate review on appeal, following the Housen framework, and that complainants cannot introduce new grounds before the Federal Court that were not raised in their Privacy Commissioner complaint.
How to cite (McGill 9e)
James v Amazon.com.ca, Inc., 2023 CAF 189 (FCA)
Authorities cited
- Housen v NikolaisenHousen v Nikolaisen, 2002 SCC 33, [2002] 2 SCR 235applied
- Canada v South Yukon Forest CorporationCanada v South Yukon Forest Corporation, 2012 FCA 165, [2012] FCJ No 669applied
Read full judgment
James c. Amazon.com.ca, Inc. Base de données – Cour (s) Décisions de la Cour d'appel fédérale Date 2023-09-14 Référence neutre 2023 CAF 189 Numéro de dossier A-33-23 Contenu de la décision Date : 20230914 Dossier : A-33-23 Référence : 2023 CAF 189 [TRADUCTION FRANÇAISE] CORAM : LE JUGE BOIVIN LE JUGE LOCKE LA JUGE ROUSSEL ENTRE : TAMARA JAMES appelante et AMAZON.COM.CA, INC. intimée Audience tenue à Montréal (Québec), le 14 septembre 2023. Jugement rendu à l’audience à Montréal (Québec), le 14 septembre 2023. MOTIFS DU JUGEMENT : LE JUGE LOCKE Date : 20230914 Dossier : A-33-23 Référence : 2023 CAF 189 CORAM : LE JUGE BOIVIN LE JUGE LOCKE LA JUGE ROUSSEL ENTRE : TAMARA JAMES appelante et AMAZON.COM.CA, INC. intimée MOTIFS DU JUGEMENT (Prononcés à l’audience à Montréal (Québec), le 14 septembre 2023.) LE JUGE LOCKE [1] Tamara James interjette appel d’une décision de la Cour fédérale (2023 CF 166, sous la plume du juge Yvan Roy) par laquelle a été rejetée sa demande présentée en vertu de l’article 14 de la Loi sur la protection des renseignements personnels et les documents électroniques, L.C. 2000, ch. 5 (LPRPDE). Pour les motifs qui suivent, l’appel sera rejeté. [2] Le paragraphe 14(1) de la LPRPDE permet de demander à la Cour fédérale d’entendre des questions visées par certaines dispositions de la LPRPDE qui ont fait l’objet d’une plainte au Commissariat à la protection de la vie privée (le Commissariat) après que le Commissariat a rendu un rapport sur la plainte ou a indiqué que l’examen de la plainte a été abandonné. [3] En l’espèce, Mme James a déposé une plainte en vertu de la LPRPDE contre l’intimée Amazon.com.ca, Inc. (Amazon) au motif qu’elle s’est vu refuser la communication de ses renseignements personnels détenus par l’intimée après avoir tenté sans succès d’en obtenir la communication. Le Commissariat a indiqué par la suite que l’enquête sur la plainte serait abandonnée parce que le refus d’Amazon de communiquer les renseignements personnels découlait de son incapacité à confirmer l’identité de Mme James. Le Commissariat a conclu que la réponse donnée par Amazon était équitable et raisonnable. Mme James n’a pas été en mesure de fournir le mot de passe associé au compte Amazon contenant les renseignements en cause. Mme James n’était pas non plus disposée à prendre les mesures requises pour réinitialiser le mot de passe. [4] La Cour fédérale a convenu avec le Commissariat qu’il n’avait pas été démontré qu’Amazon avait violé le droit de Mme James d’avoir accès à ses renseignements personnels (prévu au neuvième principe de l’annexe 1 de la LPRPDE) en lui refusant cette communication au motif qu’elle n’avait pas pu confirmer son identité. Au contraire, la Cour fédérale a conclu qu’Amazon aurait pu être blâmée si elle avait communiqué de tels renseignements sans avoir obtenu l’autorisation nécessaire. [5] La Cour fédérale a rejeté l’allégation de Mme James voulant que son incapacité à se faire communiquer les renseignements en question soit attribuable à des inexactitudes dans ces renseignements, en contravention avec le sixième principe. La Cour fédérale a fait remarquer que cette allégation n’avait pas été soulevée dans la plainte déposée auprès du Commissariat, et qu’elle n’était étayée par aucun élément de preuve. [6] La Cour fédérale a également rejeté l’argument de Mme James selon lequel Amazon n’avait pas répondu dans les délais impartis à sa demande de communication de renseignements personnels. La Cour fédérale a conclu qu’Amazon devait être en mesure de confirmer l’identité de Mme James pour que le délai de réponse (prévu au paragraphe 8(3) de la LPRPDE) commence à courir. [7] Mme James soulève plusieurs questions qui peuvent être résumées ainsi : la Cour fédérale a commis une erreur en soulevant de nouvelles questions; la Cour fédérale a commis une erreur en concluant qu’il n’y avait pas eu violation du neuvième principe concernant l’accès aux renseignements personnels; la Cour fédérale a commis une erreur en limitant la portée de sa compétence découlant du sixième principe concernant l’exactitude des renseignements; [8] Parce que la Cour fédérale entend de novo les demandes fondées sur l’article 14 de la LPRPDE (sans faire preuve de retenue envers la décision du Commissariat), la norme de contrôle habituelle applicable en appel, énoncée dans l’arrêt Housen c. Nikolaisen, 2002 CSC 33, [2002] 2 R.C.S. 235, s’applique. Les questions de droit sont examinées selon la norme de la décision correcte et la Cour n’intervient que dans les cas d’erreurs manifestes et dominantes en ce qui concerne les questions de fait ou les questions mixtes de fait et de droit ne comportant pas de question de droit isolable. Par erreur manifeste et dominante, on entend une erreur évidente qui touche directement à l’issue de l’affaire : Canada c. South Yukon Forest Corporation, 2012 CAF 165, [2012] A.C.F. no 669 at para. 46. [9] Les arguments avancés par Mme James sur les questions qu’elle soulève sont trop nombreux pour pouvoir les examiner individuellement. Il suffit de dire que nous ne pouvons conclure que la Cour fédérale a commis une erreur de droit ou une erreur manifeste et dominante sur l’un ou l’autre des points qu’elle soulève. [10] Les nouvelles questions alléguées soulevées par la Cour fédérale concernent la pièce H jointe à l’affidavit de Mme James, qui comprend des documents relatifs à une transaction par carte de crédit contestée. La Cour fédérale a souligné que la transaction en question était au nom d’une certaine Tashesha James. La Cour fédérale a noté que Mme James prétend qu’elle et Tashesha James sont une seule et même personne, mais est parvenue à la conclusion que l’information contenue dans la pièce H était peu utile en raison du manque de détails et de documents à l’appui. La Cour fédérale semble avoir commis une erreur dans l’observation qu’elle a formulée au paragraphe 23 de ses motifs, selon laquelle l’adresse de facturation indiquée sur le reçu d’expédition était au nom de Tashesha James. Il ne s’agit toutefois pas d’une erreur dominante, puisque ce nom ne figure pas à la pièce H. [11] La Cour fédérale n’a pas soulevé de nouvelle question. Elle a plutôt conclu que certains éléments de preuve présentés par Mme James à l’appui de ses arguments étaient insuffisants. Il était loisible à la Cour fédérale de parvenir à cette conclusion. En outre, la question de l’identité de Mme James était directement en litige tant devant la Cour fédérale que devant le Commissariat. [12] De plus, nous rejetons entièrement l’argument avancé par Mme James voulant que l’analyse de la Cour fédérale sur cette question soulève une crainte raisonnable de partialité. Le dossier est loin de répondre au critère applicable à une allégation aussi importante. [13] Nous ne voyons aucune erreur susceptible de contrôle dans la conclusion tirée par la Cour fédérale selon laquelle Amazon n’a pas violé le neuvième principe. La Cour fédérale s’est fondée sur les éléments de preuve à sa disposition pour conclure qu’il existait un doute suffisant sur l’identité de Mme James pour justifier qu’Amazon demande des renseignements supplémentaires avant de communiquer les renseignements personnels demandés. La Cour fédérale avait le droit de parvenir à une telle conclusion. Il aurait été préférable qu’elle mentionne explicitement le paragraphe 8(7) de la LPRPDE, mais son défaut de ce faire ne constituait pas une erreur, puisqu’elle a de toute évidence tenu compte de cette disposition. [14] De même, il était loisible à la Cour fédérale de conclure que les éléments de preuve ne suffisaient pas à étayer l’allégation de Mme James selon laquelle son incapacité à obtenir communication des renseignements en question était due aux inexactitudes contenues dans ces renseignements. [15] L’appel sera donc rejeté avec dépens, fixés à la somme globale de 500 $. « George R. Locke » j.c.a Traduction certifiée conforme Sébastien D’Auteuil, jurilinguiste COUR D’APPEL FÉDÉRALE AVOCATS INSCRITS AU DOSSIER Dossier : A-33-23 INTITULÉ : TAMARA JAMES c. AMAZON.COM.CA, INC. LIEU DE L’AUDIENCE : MONTRÉAL (QUÉBEC) DATE DE L’AUDIENCE : Le 14 septembre 2023 MOTIFS DU JUGEMENT : LE JUGE BOIVIN LE JUGE LOCKE LA JUGE ROUSSEL PRONONCÉS À L’AUDIENCE PAR : LE JUGE LOCKE COMPARUTIONS : Tamara James l’appelante (POUR SON PROPRE COMPTE) Alexandra Quigley Audrey Nardini Pour l’intimée AVOCATS INSCRITS AU DOSSIER : Alexandra Quigley Dentons Canada S.E.N.C.R.L. Montréal (Québec) Pour l’intimée
Source: decisions.fca-caf.gc.ca