Englander c. Telus Communications Inc.

Englander c. Telus Communications Inc.
Base de données – Cour (s)
Décisions de la Cour d'appel fédérale
Date
2004-11-17
Référence neutre
2004 CAF 387
Numéro de dossier
A-388-03
Notes
Décision rapportée
Contenu de la décision
--------------------------------------------------------
Date : 20041117
Dossier : A-388-03
Référence : 2004 CAF 387
CORAM : LE JUGE DÉCARY
LE JUGE NADON
LE JUGE MALONE
ENTRE :
MATHEW ENGLANDER
appelant
et
TELUS COMMUNICATIONS INC.
intimée
et
LE COMMISSAIRE À LA PROTECTION DE LA VIE PRIVÉE DU CANADA
intervenant
Audience tenue à Vancouver (Colombie-Britannique), le 7 octobre 2004
Motifs du jugement prononcés à Ottawa (Ontario), le 17 novembre 2004
MOTIFS DU JUGEMENT : LE JUGE DÉCARY
Y ONT SOUSCRIT : LE JUGE NADON
LE JUGE MALONE
Date : 20041117
Dossier : A-388-03
Référence : 2004 CAF 387
CORAM : LE JUGE DÉCARY
LE JUGE NADON
LE JUGE MALONE
ENTRE :
MATHEW ENGLANDER
appelant
et
TELUS COMMUNICATIONS INC.
intimée
et
LE COMMISSAIRE À LA PROTECTION DE LA VIE PRIVÉE DU CANADA
intervenant
MOTIFS DU JUGEMENT
LE JUGE DÉCARY
[1] Le présent appel soulève de nombreuses questions liées à l'interprétation de la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi ou la LPRPDE), L.C. 2000, ch. 5, et aux renseignements personnels publiés dans les annuaires téléphoniques. Certaines d'entre elles sont des questions de fond, touchant le point de savoir : s'il peut être demandé des droits aux abonnés qui veulent que leur numéro de téléphone reste confidentiel; quelle est la nature du consentement qu'exige la Loi pour l'inscription dans les annuaires téléphoniques de renseignements personnels concernant les nouveaux abonnés; quelles règles devraient orienter l'interprétation d'un code d'autoréglementation incorporé dans une loi; et si le Conseil de la radiodiffusion et des télécommunications canadiennes (le CRTC) a compétence exclusive pour statuer sur la légalité des droits perçus pour la protection des renseignements personnels. D'autres questions sont de nature procédurale : la qualité pour agir devant la Cour fédérale sous le régime de l'article 14 de la Loi; la nature de l' « audience » y visée; la question de savoir s'il convient d'user de retenue judiciaire à l'égard du rapport établi sur une plainte par le Commissaire à la protection de la vie privée du Canada (le commissaire), M. Radwanski, sous le régime de l'article 11, et, dans l'affirmative, la nature d'une telle retenue; et l'adjudication de dépens à un plaideur qui affirme être partie à un litige d'intérêt public.
[2] Les faits pertinents de la présente espèce sont exposés dans la décision attaquée de la Cour fédérale, publiée dans 2003 CFPI 205. Pour l'essentiel, la présente affaire résulte d'une plainte déposée par l'appelant contre l'intimée (TELUS) en vertu de l'article 11 de la Loi. L'appelant avait demandé au commissaire d'établir si le consentement que TELUS affirmait obtenir de ses nouveaux abonnés à la communication de renseignements personnels les concernant remplissait les conditions fixées par la Loi (la question du consentement) et si TELUS avait le droit de lui faire payer une redevance mensuelle pour son service de non-publication des numéros (service de non-publication ou service de numéro non inscrit), paiement auquel elle subordonne la non-publication de renseignements personnels dans ses annuaires téléphoniques (la question du tarif).
[3] Le commissaire a établi le rapport demandé et rejeté la plainte (Dossier de l'appelant [D.A.], vol. 1, p. 68). Ses motifs sont - c'est le moins qu'on puisse dire - plutôt laconiques.
[4] Concernant la question du tarif, il écrit ce qui suit :
[traduction][...] J'ai conclu que TELUS est habilitée [...] de facturer à ses clients des frais mensuels de 2 $ pour le service de non-publication. J'estime que cette pratique n'est pas déraisonnable et qu'elle ne contrevient pas au principe 4.3.3 de l'Annexe.
[D.A., vol. 1, page 70.]
[5] En ce qui a trait à la question du consentement, ses conclusions peuvent être récapitulées comme suit.
Concernant le paragraphe 5(3) de la Loi :
[traduction][...] une personne raisonnable jugerait que les pratiques de TELUS relatives à l'établissement du service et à la publication subséquente dans les pages blanches des renseignements personnels sur ses abonnés constituent des pratiques raisonnables de cueillette, d'utilisation et de divulgation des renseignements.
[Ibid.]
Concernant le paragraphe 4.3 de l'annexe 1 :
[traduction][...] TELUS, dans le cadre de sa procédure d'établissement du service, obtient un consentement valable de ses clients lui permettant de publier leurs renseignements personnels dans son annuaire public, les pages blanches.
[Ibid.]
Et enfin, concernant le paragraphe 4.5 de l'annexe 1 :
[traduction][...] J'ai conclu que TELUS obtenait de ses clients un consentement valable lui permettant de publier leurs renseignements personnels dans ses pages blanches et, par ce fait même, que les clients consentaient à ce que leurs renseignements personnels soient mis à la disposition du public. TELUS communique seulement des renseignements publiquement disponibles à Dominion Information Services, en Colombie-Britannique, et à TELUS Advertising Services, en Alberta, conformément à la LPRDPE et tel que prévu par le Règlement précisant les renseignements auxquels le public a accès. Par conséquent, TELUS ne contrevient pas à la LPRDPE.
[Ibid.]
[6] Ces motifs ne nous aident pas beaucoup. Cependant, comme ce n'est pas le rapport, mais la plainte, que la Cour doit examiner dans la présente espèce (comme on verra plus loin), le rapport considéré dans son ensemble n'a guère d'importance en fin de compte.
[7] L'appelant a ensuite demandé à la Cour fédérale d'entendre les questions faisant l'objet de sa plainte en vertu de l'article 14 de la Loi. La Cour fédérale l'a débouté. Monsieur le juge Blais a formulé les conclusions suivantes dans l'exposé de ses motifs : l'audience n'était ni un recours contre le rapport du commissaire ni une demande de contrôle judiciaire de ce rapport, de sorte qu'il devait instruire l'affaire de novo; il convenait d'user d'une certaine retenue judiciaire à l'égard du rapport du commissaire concernant les décisions relevant manifestement de sa compétence; l'appelant avait qualité pour soulever la question du consentement, même en l'absence d'éléments tendant à prouver que TELUS aurait recueilli, utilisé ou communiqué des renseignements personnels le concernant sans son consentement; TELUS obtenait de ses abonnés un consentement valable dans le cadre de la Loi avant de publier dans ses annuaires des renseignements personnels les concernant; et la question du tarif, étant du ressort exclusif du CRTC, échappait à la compétence de la Cour fédérale. De plus, le juge Blais a refusé de reconnaître à l'appelant la qualité de plaideur dans un litige d'intérêt public et l'a condamné aux dépens, taxés à 11 906,41 $.
Genèse de la partie 1 de la LPRPDE
[8] Il serait important, pour bien comprendre et interpréter les dispositions applicables de la LPRPDE, de passer brièvement en revue l'histoire de cette loi, y compris de la partie de la norme de l'ACN qui y a été incorporée en annexe 1. La plupart des observations que je formulerai à ce sujet s'inspirent d'un ouvrage intitulé The Personal Information Protection and Electronic Documents Act, An Annotated Guide (Perrin, Black, Flaherty et Rankin, Toronto, Irwin Law Inc., 2001). Je tiens à exprimer ma reconnaissance aux distingués auteurs de cet ouvrage et à m'excuser auprès d'eux de les citer souvent textuellement.
[9] On avait déjà essayé, avant les années 1970, de protéger les renseignements personnels au moyen de divers documents internationaux. [traduction] « On s'est cependant vite rendu compte que ces documents - étant donné, en particulier, le raffinement croissant du traitement de l'information - étaient trop vagues pour garantir suffisamment les libertés civiles dans le domaine de la protection des renseignements personnels » (Annotated Guide, page 2). C'est dans ce contexte que le Conseil de l'Europe a établi en 1981 la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel (S.T.E. no 108, Strasbourg, 1981). De son côté, l'Organisation pour la coopération et le développement économiques (OCDE) a créé en 1978 un comité chargé d'élaborer des lignes directrices touchant les règles fondamentales qui devraient régir les flux transfrontières de données, ainsi que la protection des renseignements personnels et de la vie privée. Ce comité a élaboré les lignes directrices en question en consultant les experts qui travaillaient sur la Convention 108 au Conseil de l'Europe, [traduction] « mais l'activité de l'OCDE n'était pas orientée dans le sens de la réglementation, tandis que le Conseil de l'Europe a élaboré un ensemble de principes semblables qui ont été mis en oeuvre dans les législations nationales » (ibid., page 2). Les Lignes directrices de l'OCDE, publiées en 1981, [traduction] « comprenaient un ensemble de huit principes qui sont encore considérés comme les règles fondamentales de la loyauté en matière de services d'information » . Ces huit principes sont les suivants :
Principe de la limitation en matière de collecte
7. Il conviendrait d'assigner des limites à la collecte des données de caractère personnel et toute donnée de ce type devrait être obtenue par des moyens licites et loyaux et, le cas échéant, après en avoir informé la personne concernée ou avec son consentement.
Principe de la qualité des données
8. Les données de caractère personnel devraient être pertinentes par rapport aux finalités en vue desquelles elles doivent être utilisées et, dans la mesure où ces finalités l'exigent, elles devraient être exactes, complètes et tenues à jour.
Principe de la spécification des finalités
9. Les finalités en vue desquelles les données de caractère personnel sont collectées devraient être déterminées au plus tard au moment de la collecte des données et lesdites données ne devraient être utilisées par la suite que pour atteindre ces finalités ou d'autres qui ne soient pas incompatibles avec les précédentes et qui seraient déterminées dès lors qu'elles seraient modifiées.
Principe de la limitation de l'utilisation
10. Les données de caractère personnel ne devraient pas être divulguées ni fournies, ni utilisées à des fins autres que celles spécifiées conformément au paragraphe 9, si ce n'est : (a) avec le consentement de la personne concernée, ou (b) lorsqu'une règle de droit le permet.
Principe des garanties de sécurité
11. Il conviendrait de protéger les données de caractère personnel, grâce à des garanties de sécurité raisonnables, contre des risques tels que la perte des données ou leur accès, destruction, utilisation, modification ou divulgation non autorisés.
Principe de la transparence
12. Il conviendrait d'assurer, d'une façon générale, la transparence des progrès, pratiques et politiques, ayant trait aux données de caractère personnel. Il devrait être possible de se procurer aisément les moyens de déterminer l'existence et la nature des données de caractère personnel, et les finalités principales de leur utilisation, de même que l'identité du maître du fichier et le siège habituel de ses activités.
Principe de la participation individuelle
13. Toute personne physique devrait avoir le droit :
(a) d'obtenir du maître d'un fichier, ou par d'autres voies, confirmation du fait que le maître du fichier détient ou non des données la concernant;
(b) de se faire communiquer les données la concernant
i) dans un délai raisonnable;
ii) moyennant, éventuellement, une redevance modérée;
iii) selon des modalités raisonnables, et
iv) sous une forme qui lui soit aisément intelligible;
(c) d'être informée des raisons pour lesquelles une demande qu'elle aurait présentée conformément aux alinéas (a) et (b), est rejetée et de pouvoir contester un tel rejet, et
(d) de contester les données la concernant et, si la contestation est fondée, de les faire effacer, rectifier, compléter ou corriger.
Principe de la responsabilité
14. Tout maître des fichiers devrait être responsable du respect des mesures donnant effet aux principes énoncés ci-dessus.
[Lignes directrices de l'OCDE sur la protection de la vie privée et
les flux transfrontières de données de caractère personnel, 1980.]
[10] La contradiction entre l'approche d'autoréglementation proposée par l'OCDE et l'approche législative préconisée par le Conseil de l'Europe n'a pas manqué de s'exprimer aussi au Canada. La plupart des secteurs d'activité économique du pays pensaient qu'il serait défavorable aux affaires de légiférer sur la protection des renseignements personnels. Au début des années 1990, on a invité l'Association canadienne de normalisation (ACN) - organisme réunissant des représentants des consommateurs, de l'entreprise privée, des gouvernements fédéral et provinciaux, des syndicats, des associations professionnelles, etc. - à créer un comité chargé d'élaborer une norme de protection des données qui serait fondée sur les Lignes directrices de l'OCDE. L'ACN a élaboré une telle norme d'autoréglementation entre 1993 et 1995. En septembre 1995, l'ACN adoptait le Code type sur la protection des renseignements personnels, CAN/CSA-Q830-95 (la norme de l'ACN), que le Conseil des normes du Canada a approuvé en tant que Norme nationale du Canada en 1996. (Rappelons que le Conseil des normes du Canada est un organisme régi par la Loi sur le Conseil canadien des normes, L.R.C. 1985, ch. S-16.)
[11] La norme de l'ACN énonce dix principes dans sa partie 4. Elle reprend, dans une formulation et un ordre différents, les huit principes établis dans les Lignes directrices de l'OCDE. Les deux autres principes, soit ceux du consentement et de la possibilité de porter plainte, étaient déjà formulés à l'intérieur des articles 7 (Principe de la limitation en matière de collecte) et 13 (Principe de la participation individuelle) des Lignes directrices de l'OCDE. La partie 4 de la norme de l'ACN allait en fin de compte devenir l'annexe 1 de la Loi, annexe dont le texte est reproduit plus loin (paragraphe 21).
[12] Dans la préface à la première édition de sa norme, l'ACN note que celle-ci « a été élaborée selon le principe du consensus lequel est défini dans la Réglementation CSA concernant la normalisation comme étant "un accord substantiel auquel parviennent des personnes intéressées. Le consensus comporte une tentative de dissiper toute objection et va beaucoup plus loin que la majorité simple sans constituer nécessairement l'unanimité" » . L'ACN définit ensuite dans l'introduction du même document le contexte dans lequel sa norme a été adoptée :
Le Canada appartient à une économie mondiale qui repose sur la création, le traitement et l'échange de renseignements. La technologie sur laquelle repose l'économie de l'information offre un certain nombre d'avantages qui améliorent la qualité de nos vies. Cette technologie soulève toutefois des questions au sujet du respect du droit à la vie privée et du droit des individus de contrôler l'utilisation et la communication de renseignements personnels qui les concernent. Par la mise en oeuvre de méthodes honnêtes et éprouvées de gestion des renseignements personnels, les organismes peuvent témoigner concrètement de leur engagement envers la protection de ces renseignements. Les organismes doivent déterminer leurs besoins de renseignements personnels en tenant compte du désir des individus de garder un certain anonymat.
Le présent document est une norme canadienne volontaire visant la protection des renseignements personnels. La norme aborde deux grandes questions, à savoir la façon dont les organismes recueillent, utilisent, divulguent et protègent ces renseignements et le droit des individus de consulter les renseignements qui les concernent et, si c'est nécessaire, de les faire corriger. La norme est basée sur dix principes indépendants. Chaque principe est accompagné d'un commentaire explicatif.
Les organismes qui se proposent d'adopter la norme pourront se procurer un document de travail sur l'application des principes, document qu'ils pourront utiliser comme guide pour adopter des codes adaptés à leurs besoins.
La présente norme :
a) établit des principes concernant la gestion des renseignements personnels;
b) précise les exigences minimales que les organismes participants doivent respecter pour bien protéger les renseignements personnels qu'ils possèdent;
c) sensibilise la population canadienne à la façon dont devraient être protégés les renseignements personnels;
d) fournit les critères permettant à la communauté internationale d'évaluer la protection accordée aux renseignements personnels au Canada.
En 1984, le Canada s'est engagé à protéger les renseignements personnels lorsqu'il a signé les Lignes directrices régissant la protection de la vie privée et les flux transfrontières de données de caractère personnel de l'Organisation de coopération et de développement économiques (OCDE). L'élaboration de la présente norme repose sur les Lignes directrices de l'OCDE [...] La protection des renseignements personnels prend de plus en plus d'importance à l'échelle internationale.
[13] Dans l'intervalle, soit en 1994, le ministre de l'Industrie a créé le Comité consultatif sur l'autoroute de l'information, chargé de le conseiller sur la façon dont le Canada pourrait profiter le plus possible de l'autoroute de l'information. [traduction] « En réponse à un document de réflexion public sur le sujet, la plupart des représentants des consommateurs, commissaires à la protection de la vie privée et autres défenseurs de la vie privée ont déclaré qu'ils souhaitaient que celle-ci fût protégée par voie législative, tandis que la plupart des entreprises ont affirmé qu'elles pouvaient s'autoréglementer d'après la norme de l'ACN. » En 1995, le Comité consultatif a adressé au ministre une recommandation comme quoi le gouvernement devrait [traduction] « élaborer une législation cadre souple inspirée de la norme de l'ACN et se concerter avec les provinces afin d'harmoniser leurs efforts » (Annotated Guide, page XIV).
[14] Un document de consultation a été publié en janvier 1998. Soucieux de parvenir à un compromis par la discussion, le gouvernement a en fin de compte établi les critères suivants :
[traduction]
· La législation en question devrait être fondée sur la norme de l'ACN, qui était un document établi avec soin suivant le principe du consensus et dont chaque clause, encore qu'elle ne fût pas rédigée en style législatif, avait été négociée.
· Des règles uniformes devaient s'appliquer aux marchés de l'ensemble du pays, dans un contexte où les marchés convergeaient rapidement et où les entreprises qui relevaient précédemment de sphères de compétence différentes pénétraient maintenant sur les marchés les unes des autres (banques, compagnies d'assurances, sociétés de télécommunications, fournisseurs de services Internet, entreprises de tous secteurs pratiquant la vente directe, etc.).
· La législation ne devait pas dresser d'obstacles nouveaux et injustifiés aux échanges intérieurs et internationaux, ni ne devait désavantager les acteurs dignes de confiance en permettant la constitution d'abris contre la réglementation ou en donnant aux concurrents étrangers la possibilité d'échapper à celle-ci.
· Le Commissaire à la protection de la vie privée serait chargé de la surveillance, suivant un modèle souple et exempt de lourdeur. Non seulement la mise en oeuvre de la législation devait pouvoir être contrôlée par des tiers indépendants, mais le commissaire devait être investi du pouvoir de contrôler les pratiques même en l'absence de plaintes.
· Le succès de la protection de la vie privée repose avant tout sur la conscience qu'ont tous les intéressés des droits, des attentes et des responsabilités en jeu, ainsi que des modalités réelles du traitement et de la circulation des données. À cet égard, le besoin de sensibilisation du public est immense, et le Commissaire à la protection de la vie privée a un rôle essentiel à jouer.
[Annotated Guide, pages XIV et XV.]
[15] En fin de compte, [traduction] « avec le plein appui des représentants du secteur privé qui avaient participé à l'élaboration de la norme de l'ACN, mais en suscitant la plus grande perplexité chez les experts de la protection de la vie privée et les juristes de tous les horizons, les rédacteurs de la législation en question se sont mis à la tâche d'incorporer le texte de cette norme tel quel dans la loi. Il a alors été décidé de l'y intégrer sous forme d'annexe et d'apporter au corps de la loi les modifications qui se révéleraient inévitablement nécessaires pour ajuster le libellé du code à un acte législatif » (Annotated Guide, page 11). C'est ainsi que la norme de l'ACN est devenue l'annexe 1 de la LPRPDE.
[16] La Loi a reçu la sanction royale le 13 avril 2000 et est entrée en vigueur en phases successives du 1er janvier 2001 au 1er janvier 2004.
[17] Le 20 janvier 2001, la Commission européenne a décrété que la LPRPDE remplissait les conditions fixées par la Directive sur la protection des données qu'avait adoptée l'Union européenne en 1995 dans le but de protéger les renseignements personnels et d'harmoniser les lois respectives de ses membres sur la protection de la vie privée. Par la suite, les données à caractère personnel des États membres de l'Union européenne peuvent être transférées au Canada (voir la décision européenne rendue dans le cadre de la Directive 95/46/CE en date du 20 janvier 2001, dont le texte anglais est reproduit à la page 1558 de Drapeau et Racicot, Federal Access to Information and Privacy Legislation, Annotated 2004, Toronto, Thomson Carswell, 2004).
Le cadre législatif
[18] La Loi comprend cinq parties. Seule la première, intitulée « Protection des renseignements personnels dans le secteur privé » , porte sur les questions de fond. Les autres parties règlent des questions techniques ou de forme (les documents électroniques, ainsi que la modification de la Loi sur la preuve au Canada, de la Loi sur les textes réglementaires et de la Loi sur la révision des lois). Seules les dispositions de la première partie sont applicables au présent appel.
[19] La première partie de la Loi est complétée par l'annexe 1, intitulée « Principes énoncés dans la Norme nationale du Canada intitulée Code type sur la protection des renseignements personnels, CAN/CSA-Q830-96 » . En vertu du paragraphe 5(1) de la Loi et sous réserve d'autres articles de celle-ci, toute organisation doit se conformer aux obligations énoncées dans l'annexe 1.
[20] La première partie de la Loi et son annexe 1 sont résumées comme suit dans les Lois du Canada :
La partie 1 du texte établit le droit à la protection des renseignements personnels recueillis, utilisés ou communiqués dans le cadre d'activités commerciales, dans le cadre d'une entreprise fédérale ou d'une province à l'autre ou d'un pays à l'autre.
Elle énonce les principes qui doivent régir la collecte, l'utilisation et la communication des renseignements personnels : la responsabilité, la détermination des fins de la collecte, l'obtention d'un consentement, la limitation de la collecte, de l'utilisation, de la communication et de la conservation, l'exactitude, l'existence de mesures de sécurité adéquates, l'accès facile aux politiques sur la gestion des renseignements personnels, l'accès d'un individu aux renseignements qui le concernent et la possibilité de porter plainte contre le non-respect des principes par une organisation.
De plus, elle octroie au Commissaire à la protection de la vie privée le pouvoir de recevoir les plaintes relatives au non-respect des principes, de procéder à l'examen de celles-ci et de tenter de parvenir à leur règlement. Certains différends non réglés peuvent être portés devant la Cour fédérale.
[21] Les dispositions suivantes sont particulièrement applicables au présent appel :
La Loi
Loi visant à faciliter et à promouvoir le commerce électronique en protégeant les renseignements personnels recueillis, utilisés ou communiqués dans certaines circonstances, en prévoyant l'utilisation de moyens électroniques pour communiquer ou enregistrer de l'information et des transactions et en modifiant la Loi sur la preuve au Canada, la Loi sur les textes réglementaires et la Loi sur la révision des lois
Loi sur la Protection des renseignements personnels et les documents électroniques
[...]
PARTIE 1
PROTECTION DES RENSEIGNEMENTS PERSONNELS DANS LE SECTEUR PRIVÉ
[...]
Objet
3. La présente partie a pour objet de fixer, dans une ère où la technologie facilite de plus en plus la circulation et l'échange de renseignements, des règles régissant la collecte, l'utilisation et la communication de renseignements personnels d'une manière qui tient compte du droit des individus à la vie privée à l'égard des renseignements personnels qui les concernent et du besoin des organisations de recueillir, d'utiliser ou de communiquer des renseignements personnels à des fins qu'une personne raisonnable estimerait acceptables dans les circonstances.
Champ d'application
4. (1) La présente partie s'applique à toute organisation à l'égard des renseignements personnels :
a) soit qu'elle recueille, utilise ou communique dans le cadre d'activités commerciales;
b) soit qui concernent un de ses employés et qu'elle recueille, utilise ou communique dans le cadre d'une entreprise fédérale.
[...]
(3) Toute disposition de la présente partie s'applique malgré toute disposition - édictée après l'entrée en vigueur du présent paragraphe - d'une autre loi fédérale, sauf dérogation expresse de la disposition de l'autre loi.
SECTION 1
PROTECTION DES RENSEIGNEMENTS PERSONNELS
5. (1) Sous réserve des articles 6 à 9, toute organisation doit se conformer aux obligations énoncées dans l'annexe 1.
(2) L'emploi du conditionnel dans l'annexe 1 indique qu'il s'agit d'une recommandation et non d'une obligation.
(3) L'organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu'à des fins qu'une personne raisonnable estimerait acceptables dans les circonstances.
[...]
7. (1) Pour l'application de l'article 4.3 de l'annexe 1 et malgré la note afférente, l'organisation ne peut recueillir de renseignement personnel à l'insu de l'intéressé et sans son consentement que dans les cas suivants :
[...]
d) il s'agit d'un renseignement réglementaire auquel le public a accès.
(2) Pour l'application de l'article 4.3 de l'annexe 1 et malgré la note afférente, l'organisation ne peut utiliser de renseignement personnel à l'insu de l'intéressé et sans son consentement que dans les cas suivants :
[...]
c.1) il s'agit d'un renseignement réglementaire auquel le public a accès;
[...]
(3) Pour l'application de l'article 4.3 de l'annexe 1 et malgré la note afférente, l'organisation ne peut communiquer de renseignement personnel à l'insu de l'intéressé et sans son consentement que dans les cas suivants :
[...]
h.1) il s'agit d'un renseignement réglementaire auquel le public a accès;
[...]
SECTION 2
RECOURS
Dépôt des plaintes11. (1) Tout intéressé peut déposer auprès du commissaire une plainte contre une organisation qui contrevient à l'une des dispositions de la section 1 ou qui omet de mettre en oeuvre une recommandation énoncée dans l'annexe 1.
[...]
Rapport du commissaire
13. (1) Dans l'année suivant, selon le cas, la date du dépôt de la plainte ou celle où il en a pris l'initiative, le commissaire dresse un rapport où :
a) il présente ses conclusions et recommandations;
[...]
(2) Il n'est toutefois pas tenu de dresser un rapport s'il est convaincu que, selon le cas :
a) le plaignant devrait d'abord épuiser les recours internes ou les procédures d'appel ou de règlement des griefs qui lui sont normalement ouverts;
b) la plainte pourrait avantageusement être instruite, dans un premier temps ou à toutes les étapes, selon des procédures prévues par le droit fédéral - à l'exception de la présente partie - ou le droit provincial;
c) le délai écoulé entre la date où l'objet de la plainte a pris naissance et celle du dépôt de celle-ci est tel que le rapport serait inutile;
d) la plainte est futile, vexatoire ou entachée de mauvaise foi.
Le cas échéant, il en informe le plaignant et l'organisation, motifs à l'appui.
[...]
Audience de la Cour
14. (1) Après avoir reçu le rapport du commissaire, le plaignant peut demander que la Cour entende toute question qui a fait l'objet de la plainte - ou qui est mentionnée dans le rapport - et qui est visée aux articles 4.1.3, 4.2, 4.3.3, 4.4, 4.6, 4.7 ou 4.8 de l'annexe 1, aux articles 4.3, 4.5 ou 4.9 de cette annexe tels que modifiés ou clarifiés par la section 1, aux paragraphes 5(3) ou 8(6) ou (7) ou à l'article 10.
[...]
15. S'agissant d'une plainte dont il n'a pas pris l'initiative, le commissaire a qualité pour :
a) demander lui-même, dans le délai prévu à l'article 14, l'audition de toute question visée à cet article, avec le consentement du plaignant;
b) comparaître devant la Cour au nom du plaignant qui a demandé l'audition de la question;
c) comparaître, avec l'autorisation de la Cour, comme partie à la procédure.
16. La Cour peut, en sus de toute autre réparation qu'elle accorde :
a) ordonner à l'organisation de revoir ses pratiques de façon à se conformer aux articles 5 à 10;
b) lui ordonner de publier un avis énonçant les mesures prises ou envisagées pour corriger ses pratiques, que ces dernières aient ou non fait l'objet d'une ordonnance visée à l'alinéa a);
c) accorder au plaignant des dommages-intérêts, notamment en réparation de l'humiliation subie.
17. (1) Le recours prévu aux articles 14 ou 15 est entendu et jugé sans délai et selon une procédure sommaire, à moins que la Cour ne l'estime contre-indiqué.
[...]
SECTION 4
DISPOSITIONS GÉNÉRALES
27. (1) Toute personne qui a des motifs raisonnables de croire qu'une autre personne a contrevenu à l'une des dispositions de la section 1, ou a l'intention d'y contrevenir, peut notifier au commissaire des détails sur la question et exiger l'anonymat relativement à cette dénonciation.
An Act to support and promote electronic commerce by protecting personal information that is collected, used or disclosed in certain circumstances, by providing for the use of electronic means to communicate or record information or transactions and by amending the Canada Evidence Act, the Statutory Instruments Act and the Statute Revision Act
Personal Information Protection
and Electronic Documents Act
...
PART 1
PROTECTION OF PERSONAL INFORMATION IN THE PRIVATE SECTOR
...
Purpose
3. The purpose of this Part is to establish, in an era in which technology increasingly facilitates the circulation and exchange of information, rules to govern the collection, use and disclosure of personal information in a manner that recognizes the right of privacy of individuals with respect to their personal information and the need of organizations to collect, use or disclose personal information for purposes that a reasonable person would consider appropriate in the circumstances.
Application
4. (1) This Part applies to every organization in respect of personal information that
(a) the organization collects, uses or discloses in the course of commercial activities; or
(b) is about an employee of the organization and that the organization collects, uses or discloses in connection with the operation of a federal work, undertaking or business.
...
(3) Every provision of this Part applies despite any provision, enacted after this subsection comes into force, of any other Act of Parliament, unless the other Act expressly declares that that provision operates despite the provision of this Part.
DIVISION 1
PROTECTION OF PERSONAL INFORMATION
5. (1) Subject to sections 6 to 9, every organization shall comply with the obligations set out in Schedule 1.
(2) The word "should", when used in Schedule 1, indicates a recommendation and does not impose an obligation.
(3) An organization may collect, use or disclose personal information only for purposes that a reasonable person would consider are appropriate in the circumstances.
...
7. (1) For the purpose of clause 4.3 of Schedule 1, and despite the note that accompanies that clause, an organization may collect personal information without the knowledge or consent of the individual only if
...
(d) the information is publicly available and is specified by the regulations.
(2) For the purpose of clause 4.3 of Schedule 1, and despite the note that accompanies that clause, an organization may, without the knowledge or consent of the individual, use personal information only if
...
(c.1) it is publicly available and is specified by the regulations;
...
(3) For the purpose of clause 4.3 of Schedule 1, and despite the note that accompanies that clause, an organization may disclose personal information without the knowledge or consent of the individual only if the disclosure is
...
(h.1) of information that is publicly available and is specified by the regulations;
...
DIVISION 2
REMEDIES
Filing of Complaints
11. (1) An individual may file with the Commissioner a written complaint against an organization for contravening a provision of Division 1 or for not following a recommendation set out in Schedule 1.
...
Commissioner's Report
13. (1) The Commissioner shall, within one year after the day on which a complaint is filed or is initiated by the Commissioner, prepare a report that contains
(a) the Commissioner's findings and recommendations;
...
(2) The Commissioner is not required to prepare a report if the Commissioner is satisfied that
(a) the complainant ought first to exhaust grievance or review procedures otherwise reasonably available;
(b) the complaint could more appropriately be dealt with, initially or completely, by means of a procedure provided for under the laws of Canada, other than this Part, or the laws of a province;
(c) the length of time that has elapsed between the date when the subject-matter of the complaint arose and the date when the complaint was filed is such that a report would not serve a useful purpose; or
(d) the complaint is trivial, frivolous or vexatious or is made in bad faith.
If a report is not to be prepared, the Commissioner shall inform the complainant and the organization and give reasons.
...
Hearing by Court
14. (1) A complainant may, after receiving the Commissioner's report, apply to the Court for a hearing in respect of any matter in respect of which the complaint was made, or that is referred to in the Commissioner's report, and that is referred to in clause 4.1.3, 4.2, 4.3.3, 4.4, 4.6, 4.7 or 4.8 of Schedule 1, in clause 4.3, 4.5 or 4.9 of that Schedule as modified or clarified by Division 1, in subsection 5(3) or 8(6) or (7) or in section 10.
...
15. The Commissioner may, in respect of a complaint that the Commissioner did not initiate,
(a) apply to the Court, within the time limited by section 14, for a hearing in respect of any matter described in that section, if the Commissioner has the consent of the complainant;
(b appear before the Court on behalf of any complainant who has applied for a hearing under section 14; or
(c) with leave of the Court, appear as a party to any hearing applied for under section 14.
16. The Court may, in addition to any other remedies it may give,
(a) order an organization to correct its practices in order to comply with sections 5 to 10;
(b) order an organization to publish a notice of any action taken or proposed to be taken to correct its practices, whether or not ordered to correct them under paragraph (a); and
(c) award damages to the complainant, including damages for any humiliation that the complainant has suffered.
17. (1) An application made under section 14 or 15 shall be heard and determined without delay and in a summary way unless the Court considers it inappropriate to do so.
...
DIVISION 4
GENERAL
27. (1) Any person who has reasonable grounds to believe that a person has contravened or intends to contravene a provision of Division 1, may notify the Commissioner of the particulars of the matter and may request that their identity be kept confidential with respect to the notification.
Le Code type
ANNEXE 1
(article 5)
PRINCIPES ÉNONCÉS DANS LA NORME NATIONALE DU CANADA INTITULÉE CODE TYPE SUR LA PROTECTION DES RENSEIGNEMENTS PERSONNELS, CAN/CSA-Q830-96
4.1 Premier principe - Responsabilité
Une organisation est responsable des renseignements personnels dont elle a la gestion et doit désigner une ou des personnes qui devront s'assurer du respect des principes énoncés ci-dessous.
[...]
4.1.4
Les organisations doivent assurer la mise en oeuvre des politiques et des pratiques destinées à donner suite aux principes, y compris :
a) la mise en oeuvre des procédures pour protéger les renseignements personnels;
[...]
d) la rédaction des documents explicatifs concernant leurs politiques et procédures.
4.2 Deuxième principe - Détermination des fins de la collecte des renseignements
Les fins auxquelles des renseignements personnels sont recueillis doivent être déterminées par l'organisation avant la collecte ou au moment de celle-ci.
[...]
4.2.2
Le fait de préciser les fins de la collecte de renseignements personnels avant celle-ci ou au moment de celle-ci permet à l'organisation de déterminer les renseignements dont elle a besoin pour réaliser les fins mentionnées. Suivant le principe de la limitation en matière de collecte (article 4.4), l'organisation ne doit recueillir que les renseignements nécessaires aux fins mentionnées.
4.2.3
Il faudrait préciser à la personne auprès de laquelle on recueille des renseignements, avant la collecte ou au moment de celle-ci, les fins auxquelles ils sont destinés. Selon la façon dont se fait la collecte, cette précision peut être communiquée de vive voix ou par écrit. Par exemple, on peut indiquer ces fins sur un formulaire de demande de renseignements.
4.2.4
Avant de se servir de renseignements personnels à des fins non précisées antérieurement, les nouvelles fins doivent être précisées avant l'utilisation.
[...]
4.3 Troisième principe - Consentement
Toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire.
[note omise]
4.3.1
Il faut obtenir le consentement de la personne concernée avant de recueillir des renseignements personnels à son sujet et d'utiliser ou de communiquer les renseignements recueillis. Généralement, une organisation obtient le consentement des personnes concernées relativement à l'utilisation et à la communication des renseignements personnels au moment de la collecte. Dans certains cas, une organisation peut obtenir le consentement concernant l'utilisation ou la communication des renseignements après avoir recueilli ces renseignements, mais avant de s'en servir, par exemple, quand elle veut les utiliser à des fins non précisées antérieurement.
4.3.2
Suivant ce principe, il faut informer la personne au sujet de laquelle on recueille des renseignements et obtenir son consentement. Les organisations doivent faire un effort raisonnable pour s'assurer que la personne est informée des fins auxquelles les renseignements seront utilisés. Pour que le consentement soit valable, les fins doivent être énoncées de façon que la personne puisse raisonnablement comprendre de quelle manière les renseignements seront utilisés ou communiqués.
4.3.3
Une organisation ne peut pas, pour le motif qu'elle fournit un bien ou un service, exiger d'une personne qu'elle consente à la collecte, à l'utilisation ou à la communication de renseignements autres que ceux qui sont nécessaires pour réaliser les fins légitimes et explicitement indiquées.
4.3.4
La forme du consentement que l'organisation cherche à obtenir peut varier selon les circonstances et la nature des renseignements.