La Commission d'accès à l'information pose une limite à la collecte des renseignements personnels

[1] Nous connaissons tous la Commission d’accès à l’information (CAI), organisme gouvernemental qui administre la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels¹ et la Loi sur la protection des renseignements personnels dans le secteur privé². Comme l’intitulé de ces deux lois le laisse entendre, la CAI a le double mandat de protéger la vie privée et de garantir l’accès à l’information. Ses fonctions sont multiples, mais celles qui nous intéressent sont la fonction d’adjudication qu’elle exerce lorsqu’elle entend en révision les décisions des organismes publics et des entreprises privées relativement à des demandes d’accès de citoyens, à des demandes de modification de leurs dossiers, etc. ainsi que la fonction de contrôle et de surveillance en rapport avec la collecte, la détention, l’utilisation et la communication de renseignements personnels. À cet égard, la CAI détient des pouvoirs d’enquête qui lui sont conférés par l’article 81 de la Loi sur le secteur privé :

« La Commission peut, de sa propre initiative ou sur la plainte d’une personne intéressée, faire enquête […] sur toute matière relative à la protection des renseignements personnels ainsi que sur les pratiques d’une personne qui exploite une entreprise et recueille, détient, utilise ou communique à des tiers de tels renseignements. »

(articles correspondants dans la Loi sur l’accès : 123 et 127)

[2] Au cours des derniers mois, la CAI a traité trois plaintes particulièrement intéressantes formulées par des citoyens et portant sur la pratique très répandue dans certaines entreprises qui consiste à demander des renseignements personnels — comme le numéro d’assurance sociale, le numéro d’assurance-maladie ou le permis de conduire de leurs clients — avant de fournir certains biens ou de rendre certains services.

[3] Le 4 décembre 2001, la Commission rendait sa décision sur deux de ces plaintes, l’une dans Moses c. Caisse populaire Notre-Dame-de-la-Garde³ et l’autre dans Comeau c. Bell Mobilité⁴. Le 16 avril 2002, elle rendait sa décision sur une troisième plainte portée contre la propriétaire d’un immeuble à logements, dans St-Pierre c. Demers-Dion⁵.

[4] Caisse populaire Notre-Dame-de-la-Garde : Dans cette affaire, le plaignant s’est présenté à la caisse populaire pour ouvrir un compte ; on lui a demandé de fournir son permis de conduire et sa carte d’assurance-maladie; ces documents furent photocopiés et conservés par la Caisse. D’autres pièces d’identité auraient pu être demandées, par exemple un passeport, une carte d’assurance sociale, une carte de crédit, une carte d’identité d’étudiant, une carte de la sécurité de la vieillesse, un certificat de citoyenneté… Ce que le plaignant reproche à la Caisse, c’est d’avoir photocopié ces cartes et d’avoir gardé les photocopies. Il en demande la destruction. La Caisse s’est défendue, alléguant que, en raison des opérations d’une caisse populaire, l’identification du membre est primordiale. Elle a même l’obligation, en vertu du Règlement sur le recyclage des produits de la criminalité⁶, de compétence fédérale, de vérifier l’identité des personnes faisant affaire avec elle.

[5] L’article 5 de la Loi sur le secteur privé prévoit que seuls les renseignements nécessaires à l’objet d’un dossier peuvent être recueillis, et ils ne peuvent l’être que par des moyens licites. De plus, l’article 9 énonce que nul ne peut refuser d’acquiescer à une demande de bien ou de service sous prétexte qu’une personne refuse de fournir un renseignement personnel, sauf si ce renseignement est nécessaire au contrat ; cet article précise encore que la collecte doit être autorisée par la loi.

[6] On peut se demander dans quelles circonstances la loi a prévu que la carte d’assurance-maladie et le permis de conduire pouvaient être requis, dans quels cas la collecte des renseignements qu’ils contiennent était autorisée. Ce sont les lois qui ont créé cette carte et ce permis qui y pourvoient. Ainsi, l’article 9.0.0.1 de la Loi sur l’assurance maladie⁷ prévoit que :

« La production de la carte d’assurance maladie […] ne peut être exigée qu’à des fins liées à la prestation de services ou à la fourniture de biens ou de ressources en matière de santé ou de services sociaux

[…] »

[7] De la même manière, l’article 61 alinéa 2 du Code de la sécurité routière⁸ prévoit que :

« […] Le titulaire d’un permis n’est tenu de produire celui-ci qu’à la demande d’un agent de la paix ou de la Société et à des fins de sécurité routière uniquement. »

[8] Comme, en l’espèce, il est clair que la production du numéro de la carte d’assurance-maladie n’était pas requise pour les soins de santé, et que la production du permis de conduire ne servait pas à des fins de sécurité routière, la collecte de ces renseignements personnels n’était pas autorisée par la loi. Il n’a pas été démontré non plus que ces renseignements étaient nécessaires à l’objet du contrat. Pour ces raisons, la CAI a donné raison au plaignant et a conclu que la caisse populaire ne pouvait requérir ni le numéro d’assurance-maladie ni le permis de conduire de ses membres, non plus que les conserver.

[9] Bell Mobilité: Dans cette affaire, le plaignant désirait obtenir de l’entreprise le service SCP numérique. Afin de vérifier son dossier de crédit, on lui demandait son numéro d’assurance sociale ou son permis de conduire : il a refusé. Il devait alors faire un dépôt de sécurité ou adopter la formule des forfaits prépayés, option qu’il a refusée également. Bell Mobilité a donc refusé de lui fournir le service qu’il demandait.

[10] C’est la Loi de l’impôt sur le revenu⁹ qui a créé le numéro d’assurance sociale, à son article 237 (1). Au paragraphe (2), on lit que :

« […] toute personne tenue de remplir une déclaration de renseignements qui doit comporter le numéro d’assurance sociale […] d’une personne

[…]

b) ne peut sciemment, sans le consentement écrit de la personne, utiliser ou communiquer le numéro ou permettre qu’il soit communiqué autrement que conformément à la présente loi et à son règlement. »

[11] Le numéro d’assurance sociale ne peut donc être recueilli qu’à des fins fiscales. Nous avons vu ce qu’il en était pour le permis de conduire dans le dossier précédent. Là encore, Bell Mobilité n’a pas démontré que ces renseignements étaient nécessaires à l’objet du contrat.

[12] La CAI donne encore raison au plaignant et ordonne à Bell Mobilité de ne plus requérir ni conserver le numéro d’assurance sociale et le permis de conduire de ses clients.

[13] Demers-Dion : Dans cette récente affaire, avril 2002, le plaignant, un locataire, a vu sa candidature à la location d’un logement écartée parce qu’il avait refusé de fournir à la propriétaire son numéro d’assurance sociale. Évidemment, la CAI a tenu le même raisonnement dans ce dossier que dans les deux précédents. L’originalité de cette décision tient au fait qu’un nouvel élément a été présenté en cours d’instance par la propriétaire. Elle s’engageait, à l’avenir, à ne demander ce renseignement que sur une base facultative. La CAI s’est empressée de fermer cette porte et a rendu une même ordonnance en précisant que ce renseignement ne pouvait être demandé même sur une base facultative, sans élaborer plus avant sur la question.

[14] La situation semble donc être claire en ce qui concerne la divulgation des numéros d’assurance-maladie, d’assurance sociale et du permis de conduire, qui ne pourront plus être utilisés par qui que ce soit, même de consentement, sauf conformément aux lois qui les ont créés. Toutefois, qu’en est-il de l’applicabilité de ces ordonnances de la CAI ? Il est évident que les caisses populaires doivent vérifier l’identité de leurs membres, et que les commerçants sont fondés à vérifier la solvabilité des personnes avec qui elles font affaire. On peut se demander comment les entreprises réagiront et de quelles manières elles pourront se protéger dorénavant contre leurs mauvais payeurs. Et si les entreprises passaient outre et continuaient la collecte de ces renseignements ou refusaient de rendre les services ou de fournir les biens requis, quelle sera la réelle sanction ?

N.D.L.R. : Une requête pour permission d’appeler a été présentée dans ce dossier.

Consultez d’autres textes en matière d’Accès à l’information sur le Blogue SOQUIJ.