Facebook, Inc. c. Canada (Commissaire à la protection de la vie privée)

Facebook, Inc. c. Canada (Commissaire à la protection de la vie privée)
Base de données – Cour (s)
Décisions de la Cour fédérale
Date
2023-04-13
Référence neutre
2023 CF 534
Numéro de dossier
T-473-20
Contenu de la décision
Date : 20230413
Dossier : T-473-20
Référence : 2023 CF 534
[TRADUCTION FRANÇAISE]
Ottawa (Ontario), le 13 avril 2023
En présence de monsieur le juge Manson
ENTRE :
FACEBOOK, INC.
demanderesse
et
COMMISSAIRE À LA PROTECTION DE LA VIE PRIVÉE DU CANADA
défendeur
JUGEMENT ET MOTIFS
I. Introduction
[1] La demanderesse, Facebook, Inc. [Facebook] sollicite le contrôle judiciaire des [traduction] « décisions d’enquêter et de poursuivre l’enquête, le processus d’enquête [et du] rapport de conclusions no 2019-002 du 25 avril 2019 [le Rapport] du commissaire à la vie privée du Canada. »
[2] L’enquête et le Rapport découlent d’une plainte déposée le 19 mars 2018 [la plainte] au titre du paragraphe 11(1) de la Loi sur la protection des renseignements personnels et les documents électroniques, LC 2000, c 5 [la LPRPDE]. Préoccupés quant au respect de la LPRPDE par Facebook, trois députés fédéraux ont déposé cette plainte au vu de reportages dans les médias selon lesquels Cambridge Analytica – une société britannique d’experts-conseils en politique – avait eu accès aux renseignements personnels d’utilisateurs de Facebook à leur insu ou sans leur consentement.
II. Contexte
A. Les parties
[3] La demanderesse, Facebook, est une plateforme de « média social » bien connue. Elle mène des activités au Canada et ses services y sont également offerts – des millions de Canadiens utilisent Facebook pour échanger de l’information avec leurs « amis » et prendre part à d’autres activités sociales.
[4] Selon son modèle d’affaires, Facebook, notamment, permet à des annonceurs de diffuser leurs messages à des segments de sa base d’utilisateurs. Facebook recueille les renseignements personnels de ses utilisateurs et y a accès, ce qui lui permet d’accroître sa capacité à donner aux annonceurs un accès à des groupes d’utilisateurs aux caractéristiques communes. Une partie de ces renseignements peut également être transmise à des applications tierces hébergées sur la « plateforme » de Facebook.
[5] Le répondant, le commissaire à la protection de la vie privée du Canada [le commissaire], est un agent du Parlement et dirige le Commissariat à la protection de la vie privée [le Commissariat]. Le commissaire est nommé par le gouverneur en conseil en vertu de la Loi sur la protection des renseignements personnels, LRC 1985, c P-21. La mission du Commissariat consiste à protéger et à promouvoir le droit des personnes à la vie privée, et ce, par divers moyens, notamment en enquêtant sur les plaintes déposées au titre de la LPRPDE, en effectuant des vérifications, en publiant des rapports et en formulant des recommandations.
[6] Le mandat et la compétence du Commissariat sont prévus dans la Loi sur la protection des renseignements personnels et la LPRPDE. La Loi sur la protection des renseignements personnels énonce les détails concernant la nomination du commissaire et d’autres éléments relatifs à la nature de ses activités. Elle régit le droit à la vie privée des individus dans leurs interactions avec les institutions gouvernementales fédérales. Quant à elle, la LPRPDE confère au Commissariat la compétence à l’égard des organisations du secteur privé, comme Facebook. Les interactions avec ces organisations sont régies conformément à la Partie 1 de la LPRPDE; les dispositions de cette partie visent à établir un équilibre entre le droit des individus à la vie privée à l’égard de leurs renseignements personnels et le besoin des organisations du secteur privé de recueillir, d’utiliser et de communiquer ces renseignements à des fins raisonnables et acceptables (LPRPDE, art 3).
[7] L’article 11 de la LPRPDE prévoit que tout intéressé peut déposer auprès du commissaire une plainte contre une organisation qui contrevient à certaines dispositions de la même loi. Par ailleurs, l’article 13 confie au commissaire le mandat de produire, dans l’année suivant la date du dépôt de la plainte, un rapport dans lequel il présente ses conclusions et recommandations. Le commissaire peut, en vertu de l’alinéa 15a) de la LPRPDE, présenter à notre Cour une demande en lien avec une plainte déposée au titre de l’article 11. Après avoir entendu la question, et conformément à l’article 16, la Cour peut, en sus de toute autre réparation traditionnelle qu’elle accorde, ordonner à l’organisation visée de revoir ses pratiques en vue de se conformer aux dispositions de la LPRPDE, lui ordonner de publier un avis énonçant les mesures prises ou envisagées pour corriger ses pratiques, et accorder au plaignant des dommages-intérêts.
B. L’enquête
[8] Le 19 mars 2018, remettant en question le respect de la LPRPDE par Facebook, trois députés fédéraux ont déposé au Commissariat une plainte contre Facebook au vu de reportages dans les médias selon lesquels Cambridge Analytica – une société britannique d’experts-conseils en politique – avait eu accès aux renseignements personnels d’utilisateurs de Facebook à leur insu ou sans leur consentement. Par le truchement de son application tierce « thisisyourdigitallife » [l’application TYDL] accessible à partir de la plateforme de Facebook, Aleksandr Kogan a obtenu les données en question, lesquelles ont par la suite été transmises à Cambridge Analytica.
[9] Dans la plainte, aucun des plaignants n’a allégué que Facebook avait indûment recueilli, utilisé ou communiqué ses renseignements personnels. Les plaignants demandaient plutôt au Commissariat de lancer un [traduction] « vaste examen de la conformité de Facebook à la [LPRPDE] pour avoir l’assurance que les renseignements personnels des Canadiens qui utilisent Facebook n’ont pas été compromis et que Facebook prend dorénavant des mesures adéquates pour protéger les renseignements personnels des Canadiens. »
[10] Le 23 mars 2018, comme l’exige le paragraphe 11(4) de la LPRPDE, le Commissariat a avisé Facebook qu’il avait reçu la plainte et que cette dernière ferait l’objet d’une enquête. Il a également transmis à Facebook un résumé des allégations visées et lui a demandé d’y répondre au plus tard le 12 avril 2018. Le 29 mars 2018, le Commissariat a demandé à Facebook de lui transmettre d’autres renseignements au plus tard le 20 avril 2018.
[11] Le Commissariat a mené l’enquête en collaboration avec le Commissariat à l’information et à la protection de la vie privée de la Colombie-Britannique [le CIPVP].
[12] Le Commissariat a procédé à l’examen de la plainte comme le prévoit le paragraphe 12(1) de la LPRPDE. L’enquête a constitué en grande partie à recevoir les éléments de preuve et les observations de Facebook. Le 13 avril 2018, Facebook a transmis ses premières observations partielles en réponse aux demandes de renseignements que le Commissariat lui avait soumises les 23 et 29 mars 2018. Subséquemment, soit le 28 mai et le 13 juillet 2018, Facebook a fourni des déclarations en complément à ces observations.
[13] Les échanges entre Facebook et le Commissariat se sont poursuivis tout au long de l’année 2018. Le Commissariat a également tenu, à quelques reprises à compter de décembre 2018, des rencontres en personne avec des représentants de Facebook.
C. Le Rapport
[14] Le 7 février 2019, le Commissariat a envoyé à Facebook un rapport d’enquête préliminaire [le Rapport préliminaire]. Dans ce rapport préliminaire, en plus de formuler cinq recommandations, le Commissariat a exposé ses conclusions préliminaires selon lesquelles Facebook n’avait pas respecté la LPRPDE. Facebook s’est vu offrir la possibilité de répondre au Rapport préliminaire avant que le Commissariat ne mette la dernière main à ses conclusions et recommandations ou ne les rende publiques.
[15] Facebook a communiqué au Commissariat une réponse initiale détaillée au Rapport préliminaire le 4 mars 2019, puis sa réponse écrite définitive, le 27 mars 2019.
[16] Tout au long de l’enquête, Facebook a allégué que le Commissariat n’avait pas compétence pour enquêter sur la plainte puisque rien ne prouvait que les données de quelque utilisateur canadien avaient été transmises à Cambridge Analytica. Le 4 avril 2019, le Commissariat a répondu par écrit à cette affirmation de Facebook. De l’avis du Commissariat, la portée de la plainte ne se limitait pas uniquement à l’atteinte à la protection des données par Cambridge Analytica; en effet, il était nécessaire de se pencher sur le traitement des renseignements personnels des Canadiens par Facebook de manière plus générale.
[17] La réponse de Facebook au Rapport préliminaire n’a pas permis de dissiper les préoccupations du Commissariat, pas plus qu’elle n’a donné suite aux recommandations de ce dernier. Ainsi, le 9 avril 2019, le Commissariat a fait parvenir une lettre à Facebook pour l’informer qu’il allait mettre la dernière main à ses conclusions et les publier. C’est ainsi que, le 25 avril 2019, le Rapport final du Commissariat a été rendu public.
[18] Selon le Rapport, Facebook ne s’est pas conformé à la LPRPDE. Le 25 avril 2019, peu de temps après la publication du Rapport, le commissaire a publiquement fait part de son intention de présenter, au titre de l’alinéa 15a) de la LPRPDE et avant l’expiration du délai d’un an précisé dans la même loi, une demande d’audition visant Facebook.
[19] Le 6 février 2020, le commissaire a déposé un avis de demande concernant le dossier no T-190-20 aux fins de la présentation d’une demande au titre de l’alinéa 15a) de la LPRPDE [la demande au titre de la LPRPDE].
[20] Le 15 avril 2020, Facebook a déposé l’avis de demande concernant le présent dossier (T‑473‑20), afin de solliciter le contrôle judiciaire des [traduction] « décisions d’enquêter et de poursuivre l’enquête, le processus d’enquête [et du] rapport de conclusions » [la demande de Facebook].
III. Questions en litige
A. La demande de Facebook est-elle tardive et, le cas échéant, une prorogation est-elle justifiée?
B. Le défaut du Commissariat de respecter le délai d’un an prévu au paragraphe 13(1) de la LPRPDE entraîne-t-il une perte de compétence et la nullité du Rapport?
C. Le Commissariat avait-il compétence pour enquêter sur la plainte, pour produire le Rapport ou pour présenter la demande au titre de la LPRPDE?
D. Le Commissariat a-t-il manqué à son devoir d’équité procédurale?
E. La demande au titre de la LPRPDE constitue-t-elle un recours subsidiaire adéquat à la demande de Facebook?
F. Norme de contrôle
[21] La norme de contrôle applicable à l’interprétation que fait le Commissariat au sujet de sa compétence est celle de la décision raisonnable (Canada (Ministre de la Citoyenneté et de l’Immigration) c Vavilov, 2019 CSC 65 aux para 65-68).
[22] La norme de contrôle applicable aux questions relatives à l’équité procédurale est celle de la décision correcte ou une norme de la même importance (Canadian Pacific Railway Company c Canada (Procureur général), 2018 CAF 69 aux para 34-35 et 54-55 [CPR], citant l’arrêt Établissement de Mission c Khela, 2014 CSC 24 au para 79). La question fondamentale est donc celle de savoir si la partie connaissait la preuve à réfuter et si elle a eu la possibilité de la réfuter (CPR, au para 41).
IV. Analyse
A. La demande de Facebook est-elle tardive et, le cas échéant, une prorogation est-elle justifiée?
[23] Sauf si une prorogation de délai est obtenue, une demande de contrôle judiciaire doit être présentée dans les 30 jours suivant la communication de la « décision ou de [l’]ordonnance » visée (Loi sur les Cours fédérales, LRC 1985, c F-7, art 18.1(2)).
[24] Le commissaire fait valoir que l’enquête et le rapport que Facebook tente de contester ont été achevés le 25 avril 2019, et que la demande de Facebook a été présentée quelque 355 jours plus tard, c’est-à-dire le 15 avril 2020, soit bien au-delà du délai de 30 jours prévu par la loi. En outre, le commissaire allègue que Facebook ne répond pas au critère pour l’obtention d’une prorogation du délai de 30 jours.
[25] Facebook prétend que le délai de 30 jours prévu au paragraphe 18.1(2) de la Loi sur les Cours fédérales ne s’applique pas. Selon elle, le paragraphe 18.1(1) de cette loi permet la présentation d’une demande de contrôle judiciaire portant sur un « objet », tandis que le délai prévu au paragraphe 18.1(2) ne s’applique qu’en lien avec une « décision ou [une] ordonnance ». Facebook soutient que la notion d’« objet » est plus vaste que celle de « décision » ou d’« ordonnance », et qu’elle conteste non pas une décision en particulier, mais bien une ligne de conduite.
[26] À titre subsidiaire, Facebook allègue qu’une prorogation de délai peut lui être accordée.
[27] Les paragraphes 18.1(1) et 18.1(2) de la Loi sur les Cours fédérales sont rédigés en ces termes :
18.1 (1) Une demande de contrôle judiciaire peut être présentée par le procureur général du Canada ou par quiconque est directement touché par l’objet de la demande.
(2) Les demandes de contrôle judiciaire sont à présenter dans les trente jours qui suivent la première communication, par l’office fédéral, de sa décision ou de son ordonnance au bureau du sous-procureur général du Canada ou à la partie concernée, ou dans le délai supplémentaire qu’un juge de la Cour fédérale peut, avant ou après l’expiration de ces trente jours, fixer ou accorder.
18.1 (1) An application for judicial review may be made by the Attorney General of Canada or by anyone directly affected by the matter in respect of which relief is sought.
(2) An application for judicial review in respect of a decision or an order of a federal board, commission or other tribunal shall be made within 30 days after the time the decision or order was first communicated by the federal board, commission or other tribunal to the office of the Deputy Attorney General of Canada or to the party directly affected by it, or within any further time that a judge of the Federal Court may fix or allow before or after the end of those 30 days.
[28] Notre Cour et la Cour d’appel fédérale ont reconnu que le terme « objet » utilisé au paragraphe 18.1(1) englobe plus qu’une simple décision ou ordonnance, et que le délai de 30 jours prévu au paragraphe 18.1(2) ne s’applique pas lorsque la contestation concerne une politique ou une ligne de conduite (voir May c CBC/Radio Canada, 2011 CAF 130 au para 10; Société Radio-Canada (Canadian Broadcasting Corporation) c Canada (Procureur général), 2016 CF 933 au para 26-27 [SRC]; et Fondation David Suzuki c Canada (Santé), 2018 CF 380 au para 173 [David Suzuki]).
[29] Facebook conteste non pas une ligne de conduite, mais un processus. La plupart des affaires à l’issue desquelles il a été conclu que le délai prévu au paragraphe 18.1(1) ne s’applique pas portaient sur des pratiques ou politiques gouvernementales. À titre d’exemple, mentionnons le refus perpétuel de transmettre des documents (SRC), le recours continu à certaines pratiques comptables (Krause c Canada, [1999] 2 CF 476 (CA)), et la présentation de demandes de renseignements à répétition (Airth c Canada (Revenu national), 2006 CF 1442), qui ont été qualifiés d’objets non assujettis au délai prévu au paragraphe 18.1(2). Dans le même ordre d’idées, dans l’affaire David Suzuki, la contestation concernait une série de conduites alléguées de la part d’un organisme de réglementation qui continuait à homologuer des pesticides malgré le défaut de l’organisation défenderesse de respecter ses obligations redditionnelles. Chacune de ces affaires porte sur une ligne de conduite illégale perpétuelle ou répétitive plutôt que sur une enquête en particulier menant à une seule conclusion.
[30] Facebook conteste l’équité procédurale d’une seule enquête du Commissariat qui a abouti à une seule décision : le Rapport daté du 25 avril 2019. Facebook n’affirme pas que le commissaire s’est empêtré dans une série d’abus de procédure perdurant au-delà de la fin de l’enquête; ses allégations concernent précisément l’enquête et le rapport qui en a découlé.
[31] Il appert peut-être plus clairement de l’avis de demande que Facebook conteste non pas une ligne de conduite, mais bien une décision. Dans cet avis, Facebook déclare expressément qu’elle sollicite le contrôle judiciaire des [TRADUCTION] « décisions d’enquêter et de poursuivre l’enquête, le processus d’enquête [et du] rapport de conclusions » [non souligné dans l’original] et sollicite une prorogation du délai pour présenter sa demande. Facebook tente de qualifier de série de décisions la ligne de conduite qu’elle conteste, mais le présent contrôle judiciaire porte bel et bien sur la conduite du Commissariat pendant la tenue d’une enquête qui a abouti à la publication d’un rapport.
[32] Par conséquent, j’estime que le délai prévu au paragraphe 18.1(2) s’applique en l’espèce et que la demande de Facebook est hors délai. Il reste donc à décider si une prorogation du délai peut être accordée à Facebook.
[33] En l’espèce, la période visée s’est amorcée 30 jours après la publication du Rapport le 25 avril 2019, et a pris fin le jour de la présentation de l’avis de demande et de la demande de prorogation de délai, le 15 avril 2020. Cette période a donc été de 325 jours ou environ 11 mois.
[34] Le facteur qui joue pour décider si une prorogation de délai peut être accordée à une partie est de savoir si l’octroi de cette prorogation serait dans l’intérêt de la justice (Canada (Procureur général) c Larkman, 2012 CAF 204 au para 62 [Larkman]; et Grewal c Ministre de l’Emploi et de l’Immigration, 1985 CanLII 5550 (CAF)). Dans l’arrêt Larkman, la Cour d’appel fédérale énonce quatre questions non exhaustives auxquelles il est pertinent de répondre lorsqu’il s’agit de décider si une prorogation de délai serait dans l’intérêt de la justice :
1. La demanderesse a-t-elle manifesté une intention constante de poursuivre sa demande?
2. La demande a-t-elle un certain fondement?
3. Le défendeur a-t-il subi un préjudice en raison du retard?
4. La demanderesse a-t-elle une explication raisonnable pour justifier le retard?
(Larkman, au para 61)
(1) Une intention constante
[35] Facebook n’a pas manifesté une intention constante de poursuivre sa demande de contrôle judiciaire. Selon Facebook, ce n’est que lorsqu’elle a été informée des réparations [TRADUCTION] « exhaustives et sans précédent » que le commissaire sollicitait par le truchement de la demande au titre de la LPRPDE qu’elle a décidé de présenter sa demande de contrôle judiciaire. En outre, ce n’est que lorsqu’elle a reçu le dossier certifié du tribunal [le DCT] qu’elle a été mise au fait de certaines des conduites illicites du commissaire. Facebook soutient qu’elle a manifesté une intention constante de poursuivre sa demande de contrôle judiciaire depuis lors. Toutefois, rien n’indique que Facebook avait l’intention de poursuivre sa demande pendant la période s’échelonnant de la date du dépôt du Rapport à celle de la présentation de la demande au titre de la LPRPDE.
[36] Ce facteur milite en faveur du commissaire.
(2) Un certain fondement
[37] Je reconnais que la demande de Facebook a un certain fondement. Il s’agit d’un critère peu élevé, et Facebook a présenté des arguments qui permettent de croire que le commissaire n’avait pas la compétence nécessaire et a manqué à son devoir d’équité procédurale.
(3) Un préjudice pour le défendeur
[38] J’estime que le commissaire n’a subi aucun préjudice considérable en raison du retard. Certes, le commissaire allègue que le préjudice réside dans [TRADUCTION] « l’entrave à l’audition de la demande au titre de la LPRPDE que Facebook cherche à créer avec sa demande de contrôle judiciaire », mais cette entrave serait la même si Facebook avait présenté sa demande avant l’expiration du délai.
[39] Rien n’indique que d’autres retards sont associés à la présentation tardive de la demande de Facebook.
(4) Une explication raisonnable pour justifier le retard
[40] À l’instar de la juge en chef adjointe Gagné au sujet de la requête en radiation que le commissaire a présentée, je souligne le caractère minimaliste des arguments que Facebook a fournis dans son avis de demande pour justifier une prorogation de délai. Facebook s’est contentée de dire que sa « demande a été rendue nécessaire en raison de la demande [du Commissariat] et d’[in]voquer un changement dans son équipe d’avocats » (voir Canada (Commissariat à la protection de la vie privée) c Facebook, Inc, 2021 CF 599 au para 98 [Facebook 2021]).
[41] À l’audience et dans ses déclarations écrites, Facebook a précisé que la présentation tardive de sa demande découle de la décision du commissaire de présenter la demande au titre de la LPRPDE, des réparations [TRADUCTION] « exhaustives et sans précédent » que ce dernier cherche à obtenir, ainsi que de l’accès au DCT que Facebook n’aurait eu que récemment.
[42] Je ne souscris pas à la thèse selon laquelle il existe une explication raisonnable qui justifie le retard. Je ne crois pas que la portée des réparations que l’on tente d’obtenir par le truchement d’une demande connexe constitue une explication raisonnable qui justifie un retard. En outre, si Facebook n’a pas été informée de la portée des réparations que le commissaire chercherait à obtenir, ce dernier a annoncé son intention de présenter une demande au titre de l’article 15, et ce, le jour même de la publication du Rapport.
[43] Facebook a affirmé que le retard est attribuable au fait qu’elle n’avait pas eu accès au DCT; cette explication n’est pas fondée. Facebook n’a pu avoir accès au DCT qu’après avoir présenté sa demande. Ce que la société a appris après la présentation de sa demande ne saurait être invoqué pour justifier son retard à présenter cette même demande.
[44] Par ailleurs, l’omission de l’avocat ne constitue généralement pas une explication raisonnable qui justifie un retard (Kiflom c Canada (Citoyenneté et Immigration), 2020 CF 205 au para 37).
(5) Les autres facteurs
[45] Les deux parties font valoir d’autres facteurs qui méritent que l’on s’y attarde.
[46] Encore une fois, Facebook, invoque les réparations [TRADUCTION] « exhaustives » que le commissaire cherche à obtenir, ainsi que l’incidence majeure que la demande au titre de la LPRPDE pourrait avoir sur Facebook. La société souligne également les conséquences que le Rapport pourrait avoir sur un recours collectif concernant une poursuite contre Facebook pour manquement à la LPRPDE. Sur un plan plus général, Facebook allègue qu’une inconduite ne doit pas échapper au contrôle et que, comme la Cour examinera tout de même ses prétentions, l’octroi d’une prorogation de délai et un jugement sur le fond dans sa demande ne constitueraient pas une utilisation peu judicieuse des ressources.
[47] Le commissaire invoque plusieurs autres facteurs, notamment l’importance du retard, la qualité de partie avertie de Facebook qui a eu des échanges avec le commissaire tout au long de l’enquête et la possibilité pour Facebook d’obtenir le résultat souhaité en contestant la demande au titre de la LPRPDE plutôt qu’en présentant sa propre demande.
[48] Je ne souscris pas aux autres facteurs que Facebook invoque. Comme je le mentionne plus haut, la portée des réparations que l’on cherche à obtenir par le truchement de la demande au titre de la LPRPDE n’est pas pertinente. Facebook peut contester ces réparations et leur portée dans cette demande.
[49] Je ne suis également pas d’avis que le recours collectif en instance dans le dossier de la Cour no T-1201-20 revête une importance particulière en l’espèce. Facebook affirme que, si elle obtient gain de cause en l’espèce et que la nullité du Rapport est prononcée, elle allèguera que les demandeurs dans le dossier no T-1201-20 n’ont pas qualité pour présenter une demande au titre du paragraphe 14(1) de la LPRPDE. Pour sa part, le commissaire soutient qu’il importe peu que Facebook obtienne gain de cause ou non puisque la présentation d’une demande au titre du paragraphe 14(1) n’est pas tributaire de la publication d’un rapport. Somme toute, l’incidence sur ce recours collectif que pourrait avoir une décision sur le fondement de la présente affaire n’est pas limpide.
[50] Par ailleurs, l’avis de demande dans le dossier no T-1201-20 a été déposé le 7 octobre 2020, soit plusieurs mois après que Facebook a amorcé le processus relatif à la présente demande. Ainsi, on ne saurait raisonnablement estimer qu’il s’agit d’une explication justifiant le retard de Facebook et, quoi qu’il en soit, le fait que des personnes aient décidé d’intenter des poursuites au vu des résultats de l’enquête ne milite pas nécessairement en faveur de la prorogation de délai que Facebook sollicite.
[51] Je souscris à l’opinion du commissaire selon laquelle la nature non définitive de la conduite que Facebook conteste est un facteur à prendre en considération, en plus de ceux énoncés dans l’arrêt Larkman. L’enquête et le Rapport sont, en soi, sans grandes conséquences réelles. Pour engager des procédures d’exécution, le commissaire doit obtenir gain de cause quant à la demande au titre de la LPRPDE, demande que Facebook peut contester et a effectivement contestée.
[52] Dans l’ensemble, je ne suis pas d’avis qu’une prorogation du délai serait dans l’intérêt de la justice. Dans l’arrêt Larkman, la Cour d’appel fédérale attire notre attention sur l’importance du délai de 30 jours prévu au paragraphe 18.1(2). Elle met l’accent sur le principe du caractère définitif des décisions et nous met en garde contre l’introduction inopinée de demande de contrôle judiciaire longtemps après que la décision a été communiquée aux parties et que celles‑ci ont agi sur la foi de cette décision (Larkman, aux para 87-88). Ce principe joue en l’espèce.
[53] Aussi court soit-il, le retard à présenter une demande de contrôle judiciaire doit pouvoir être expliqué, sans quoi la Cour peut refuser de proroger le délai (Larkman, au para 86). Les prorogations de délai favorisent l’accès à la justice et sont particulièrement nécessaires dans les cas où les demandeurs ne sont pas en mesure de respecter le délai en raison d’obstacles à la justice d’ordre financier, médical ou social (Wenham c Canada (Procureur général), 2018 CAF 199 au para 50). Facebook, qui est une partie avertie ayant été représentée par un avocat tout au long de l’enquête, ne se heurte tout simplement pas à de tels obstacles.
[54] Facebook est hors délai et n’a pas droit à une prorogation. Cet élément permet à lui seul de statuer sur la demande. Cela dit, s’il devait être conclu que j’ai eu tort à ce sujet, j’examinerai le fondement de la demande de Facebook.
B. Le défaut du Commissariat de respecter le délai d’un an prévu au paragraphe 13(1) de la LPRPDE entraîne-t-il une perte de compétence et la nullité du Rapport?
[55] La plainte a été déposée le 19 mars 2018 et le Rapport a été publié le 25 avril 2019. Le Rapport a donc été publié après l’expiration du délai d’un an prévu au paragraphe 13(1) de la LPRPDE, lequel paragraphe est rédigé en ces termes :
13 (1) Dans l’année suivant, selon le cas, la date du dépôt de la plainte ou celle où il en a pris l’initiative, le commissaire dresse un rapport où :
a) il présente ses conclusions et recommandations;
b) il fait état de tout règlement intervenu entre les parties;
c) il demande, s’il y a lieu, à l’organisation de lui donner avis, dans un délai déterminé, soit des mesures prises ou envisagées pour la mise en œuvre de ses recommandations, soit des motifs invoqués pour ne pas y donner suite;
d) mentionne, s’il y a lieu, l’existence du recours prévu à l’article 14.
13 (1) The Commissioner shall, within one year after the day on which a complaint is filed or is initiated by the Commissioner, prepare a report that contains
(a) the Commissioner’s findings and recommendations;
(b) any settlement that was reached by the parties;
(c) if appropriate, a request that the organization give the Commissioner, within a specified time, notice of any action taken or proposed to be taken to implement the recommendations contained in the report or reasons why no such action has been or is proposed to be taken; and
(d) the recourse, if any, that is available under section 14.
[56] Selon Facebook, le défaut du commissaire de respecter ce délai entraîne une perte de compétence ainsi que la [traduction] « nullité » du Rapport. Facebook fait valoir que le mot shall utilisé dans la version anglaise du paragraphe 13(1) appelle une obligation et que, par conséquent, le commissaire était tenu de dresser un rapport en temps opportun.
[57] Le commissaire affirme que la Cour doit s’abstenir de statuer sur cette question puisque Facebook ne l’a pas soulevée avant de déposer la présente demande. Le commissaire soutient que, si la Cour devait examiner la question, la norme de contrôle applicable à l’interprétation qu’il a faite quant au délai serait celle de la décision raisonnable. Il ajoute que, comme aucune raison n’est offerte, la Cour pourrait tenir compte des raisons que le commissaire a avancées au sujet du délai dans des affaires similaires où il a été statué sur le caractère raisonnable de la décision implicite.
[58] De l’avis du commissaire, le paragraphe 13(1) de la LPRPDE est une disposition [traduction] « directive » et non [traduction] « impérative ». Le non-respect d’une disposition [traduction] « impérative » emporte la nullité de toute mesure subséquente, tandis que le non‑respect d’une disposition [traduction] « directive » n’a pas cet effet (voir également Alberta (Information and Privacy Commissioner) c Alberta Teachers’ Association, 2011 CSC 61 au para 73 [Alberta Teachers], citant Practice and Procedure Before Administrative Tribunals (feuilles mobiles), vol. 3, aux p 22-126 à 22-126.1).
[59] La Cour suprême a mis en doute l’utilité de faire une distinction entre les dispositions directives et impératives et s’est demandé en quoi le processus habituel d’interprétation législative s’en trouvait amélioré (Alberta Teachers, au para 74, citant Colombie-Britannique (Procureur général) c Canada (Procureur général), [1994] 2 RCS 41 à la p 123).
[60] Je fais mien l’avis de la Cour suprême selon lequel la distinction entre les dispositions directives et impératives est principalement illusoire en pratique. Par ailleurs, les méthodes habituelles d’interprétation des lois me permettent de conclure que la décision du commissaire est raisonnable.
[61] Le paragraphe 13(1) de la LPRPDE exige du commissaire qu’il produise un rapport sur une plainte dans un délai d’un an; ce délai étant assujetti à certaines exceptions. Il s’agit d’un droit en matière de procédure conféré à la fois aux organisations visées par une enquête et aux personnes qui déposent une plainte au titre de la LPRPDE. C’est ce qui ressort clairement de l’esprit de la LPRPDE. Le paragraphe 13(3) prévoit qu’un rapport « est transmis sans délai au plaignant et à l’organisation ». En outre, aux termes de l’article 14, le plaignant peut demander que notre Cour entende toute question « qui est mentionnée dans le rapport » du commissaire. Les obligations du commissaire à l’égard du plaignant quant à la tenue d’une enquête et à la production d’un rapport en réponse à une plainte deviendraient nulles si le commissaire pouvait se récuser en laissant tout simplement s’écouler une année.
[62] Comme la Cour d’appel l’a déclaré dans certains contextes, une approche plus raisonnable consiste à exiger l’existence d’une « disposition expresse » pour faire perdre sa compétence à un tribunal à l’échéance d’un délai prescrit (In re Loi antidumping et in nouvelle audition dans la décision A-16-77, 1979 CanLII 4040 (CAF), [1980] 1 CF 233 à la p 238 [In re antidumping]; voir également l’examen d’un délai qu’une cour doit respecter dans l’arrêt Breslaw c Canada (Procureur général), 2005 CAF 355 aux para 33-37 [Breslaw]). L’expiration du délai permet à Facebook – ou au plaignant – de demander qu’un rapport lui soit transmis dès que possible, mais elle ne prive pas le commissaire de sa compétence, pas plus qu’elle n’entraîne la nullité du Rapport (Breslaw, au para 37; et In re antidumping, aux p 238-239).
[63] Pour appuyer sa thèse, Facebook invoque l’arrêt de la Cour d’appel de l’Alberta Alberta Teachers’ Association v Alberta (Information and Privacy Commissioner), 2010 ABCA 26 [Alberta Teachers ABCA] (arrêt que la Cour suprême a infirmé au motif que la question ne se posait pas : Alberta Teachers, au para 76). Cependant, la Cour d’appel de l’Alberta n’a pas soutenu que le non-respect d’un délai entraîne la perte de compétence :
[traduction]
[22] […] La question à trancher concerne essentiellement l’interprétation des lois. Un délai prescrit par une loi n’a pas été respecté. Quelles sont les conséquences que le législateur avait en tête? Il est essentiel, en l’espèce, de savoir si l’on doit conclure que l’intention du législateur était de faire en sorte que le manquement au devoir public énoncé au paragraphe 50(5) de [la Personal Information Protection Act, SA 2003, c P-6.5] entraînerait automatiquement et inexorablement une conséquence définitive. L’objet de la loi et l’intention plus large du législateur ne devraient pas être balayés du revers de la main. Qui plus est, une conséquence automatique et inexorable vise souvent des parties qui ne peuvent exercer aucune influence sur le processus.
[…]
[35] Je déduis que le législateur cherchait à parvenir à un équilibre, à savoir rendre impératives les dispositions relatives au délai et prévoir une conséquence en cas de non‑respect; cette conséquence étant l’arrêt du processus d’enquête dès lors que l’on s’y oppose. Toutefois, je conclus également qu’il est possible de se soustraire à cette conséquence en démontrant à la fois :
a) qu’il y a une cohérence substantielle entre l’objet des dispositions relatives au délai et la raison qui justifie ce délai, la responsabilité à son égard, l’existence d’une dispense quant à son application, la présence d’un élément inhabituellement complexe ainsi que la résolution avérée ou possible de la plainte en temps opportun;
b) que les parties n’ont subi aucun préjudice ou, subsidiairement, que le préjudice aux principes que [la Personal Information Protection Act, SA 2003, c P-6.5] vise à défendre l’emporte sur tout préjudice que les parties ont subi.
(Alberta Teachers ABCA, aux para 22, 35)
[64] Même avec cette formulation, je suis d’avis qu’il n’y a pas lieu de conclure à la perte de compétence. Au vu des faits de l’espèce, le retard d’un mois est attribuable, au moins en partie, à la demande que Facebook a présentée afin de disposer de plus de temps pour répondre au rapport préliminaire, ainsi qu’aux efforts légitimes que les parties ont déployés pour tenter d’en arriver à une entente.
[65] Qui plus est, rien n’indique que le retard d’un mois s’est traduit par un quelconque préjudice pour Facebook ou par un important préjudice aux principes que la LPRPDE vise à défendre.
C. Le Commissariat avait-il compétence pour enquêter sur la plainte, pour produire le Rapport ou pour présenter la demande au titre de la LPRPDE?
[66] Facebook affirme que le Commissariat n’avait pas compétence pour adopter sa ligne de conduite et que, de ce fait, cette ligne de conduite était déraisonnable. Facebook présente trois arguments à l’appui de cette thèse :
Le Commissariat a outrepassé son pouvoir d’enquête en procédant à une vérification plutôt qu’à une enquête.
Les plaignants n’avaient pas qualité pour déposer la plainte.
La plainte et l’enquête n’avaient pas de lien réel et important avec le Canada.
(1) Le Commissariat a-t-il outrepassé son pouvoir d’enquête en procédant à une vérification plutôt qu’à une enquête?
[67] Facebook affirme que le Commissariat, prétendant mener une enquête au sujet d’un manquement en particulier à la LPRPDE, s’est plutôt adonné à une « vérification exhaustive » des pratiques de Facebook en matière de gestion des renseignements personnels. Facebook soutient que le Commissariat a arrêté son choix sur la tenue d’une enquête en raison de l’étendue des recours que ce processus offre, notamment la possibilité de s’adresser à notre Cour afin d’obtenir l’une ou l’autre des diverses réparations prévues à l’article 16 de la LPRPDE.
[68] La LPRPDE confère au commissaire des pouvoirs distincts en matière d’enquête et de vérification. C’est à la section 3 de cette loi que les pouvoirs du commissaire en matière de vérification sont énoncés, tandis que ses pouvoirs en matière d’enquête sont énoncés à la section 2. Selon les prétentions de Facebook, les fins d’une enquête diffèrent de celles d’une vérification en ce sens que la portée d’une enquête se limite à un manquement à la LPRPDE en particulier, tandis qu’une vérification permet d’évaluer la conformité d’une organisation à la LPRPDE dans son ensemble.
[69] Je ne souscris pas à la thèse de Facebook selon laquelle le commissaire a, à tort, mené une enquête plutôt qu’une vérification. La LPRPDE ne permet pas au commissaire de choisir la procédure à suivre lors du dépôt d’une plainte. Selon le paragraphe 12(1) de cette loi, à moins que l’une des rares exceptions prévues par la loi rende la plainte irrecevable, le commissaire « procède à l’examen de toute plainte » (la version anglaise de ce passage étant rédigée en ces termes : « shall conduct an investigation in respect of a complaint »). Le mot shall, utilisé dans la version anglaise, impose au commissaire la tenue de l’enquête et ne lui confère pas le pouvoir discrétionnaire auquel Facebook fait allusion.
[70] Reste donc à savoir si la plainte est recevable.
(2) Les plaignants avaient-ils qualité pour déposer la plainte?
[71] Facebook allègue que l’enquête du Commissariat n’était pas raisonnable parce que les plaignants n’étaient pas personnellement liés au manquement présumé. Rien dans la plainte ne permettait de conclure que les plaignants étaient des utilisateurs de Facebook ou qu’ils avaient des raisons de croire que leurs données auraient été compromises des suites de l’incident impliquant Cambridge Analytica.
[72] En vertu du paragraphe 11(1) de la LPRPDE, une personne peut déposer une plainte contre une organisation qui contrevient à certaines dispositions de cette loi. Figurant à la section 2 de la LPRPDE, le paragraphe 11(1) est rédigé en ces termes :
11 (1) Tout intéressé peut déposer auprès du commissaire une plainte contre une organisation qui contrevient à l’une des dispositions des sections 1 ou 1.1, ou qui omet de mettre en œuvre une recommandation énoncée dans l’annexe 1.
11 (1) An individual may file with the Commissioner a written complaint against an organization for contravening a provision of Division 1 or 1.1 or for not following a recommendation set out in Schedule 1.
[73] Pour démontrer qu’un plaignant doit être personnellement lié à un manquement présumé, Facebook brandit plusieurs arguments fondés sur le libellé du paragraphe 11(1) et sur le contexte de la section 2 de la LPRPDE :
[traduction]
Les termes « tout intéressé » qui figurent au paragraphe 11(1) précisent qui a qualité pour déposer une plainte. Ces mots font référence à une personne qui a « un intérêt direct et personnel » (Dubé c Thibault, 2000 CanLII 18353 (QC CQ) au para 26). Ainsi, le plaignant doit avoir un intérêt personnel à l’égard du manquement présumé. Le libellé français ne fait pas moins autorité que le libellé anglais. La version française ayant un sens plus limité, c’est ce sens qu’il faut favoriser (R c Daoust, 2004 CSC 6 aux para 26-29).
Le paragraphe 11(1) permet le dépôt d’une plainte même en l’absence de motif raisonnable. En revanche, selon le paragraphe 11(2), le commissaire doit avoir des « motifs raisonnables de croire qu’une enquête devrait être menée sur [la] question ». Le fait d’interpréter le paragraphe 11(1) comme s’il autorisait une personne à déposer une plainte au sujet d’un manquement présumé qui ne concerne qu’autrui donnerait lieu à une absurdité : le commissaire serait le seul individu au monde à qui i