Extraits pertinents :

[2] La plaignante reproche à Cellulaire Plus d’avoir voulu recueillir des renseignements personnels qui n’étaient pas nécessaires à l’objet du dossier, plus précisément son numéro d’assurance sociale (NAS) et son numéro de permis de conduire, dans le cadre de la mise en service d’un téléphone cellulaire selon une offre de forfait corporatif.

[4] La plaignante explique qu’elle voulait se prévaloir du forfait de cellulaire corporatif offert par TELUS aux employés de la Ville de Gatineau. Selon la procédure prévue, elle a transmis sa demande par courriel à Cellulaire Plus.

[5] Cellulaire Plus lui a demandé de compléter un formulaire. La plaignante y a inscrit son nom, ses deux dernières adresses résidentielles, sa date de naissance et son numéro de carte de crédit. Toutefois, elle a refusé de donner son NAS et n’a pas inscrit de numéro de permis de conduire, n’étant pas détentrice d’un tel permis.

[7] La plaignante a porté plainte à la Commission et souhaite que Cellulaire Plus cesse d’exiger de ses clients leur numéro de permis de conduire ou leur NAS pour l’obtention de services de téléphonie sans fil.

Analyse 

[22] La présente plainte porte sur la collecte, par Cellulaire Plus, du numéro de permis de conduire et du NAS à des fins d’identification et d’enquête de crédit. Puisque ces renseignements concernent une personne physique et permettent de l’identifier5 , ils constituent des renseignements personnels visés par les dispositions de la Loi sur le privé.

[23] En vertu de l’article 5 de cette loi, Cellulaire Plus doit démontrer que les renseignements qu’elle veut recueillir sont nécessaires à l’objet du dossier constitué au sujet de la plaignante, soit la mise en service d’un téléphone cellulaire dans le cadre d’un forfait corporatif :

5. La personne qui recueille des renseignements personnels afin de constituer un dossier sur autrui ou d'y consigner de tels renseignements ne doit recueillir que les renseignements nécessaires à l'objet du dossier. Ces renseignements doivent être recueillis par des moyens licites.

[24] Le fardeau de démontrer la nécessité de recueillir des renseignements personnels repose sur l’entreprise qui demande les renseignements.

[25] Quant au critère de nécessité, la Cour du Québec6 propose d’interpréter ce critère à la lumière de la finalité poursuivie par l’entreprise qui recueille des renseignements personnels :

[33] Ce principe d’interprétation, voulant que la nécessité doit être évaluée relativement aux fins pour lesquelles un renseignement est requis, est conforme à la lettre et à l’esprit de la loi. Il ne s’agit pas de déterminer ce qu’est la nécessité en soi, mais plutôt de chercher, dans le contexte de la protection des renseignements personnels, et pour chaque situation, ce qui est nécessaire à l’accomplissement de chaque fin particulière pour laquelle un organisme public plaide la nécessité. […]

[44] […] Un renseignement sera donc nécessaire non pas lorsqu’il pourra être jugé absolument indispensable, ou au contraire simplement utile. Il sera nécessaire lorsque chaque fin spécifique poursuivie par l’organisme, pour la réalisation d’un objectif lié à ses attributions, sera légitime, importante, urgente et réelle, et lorsque l’atteinte au droit à la vie privée que pourra constituer la cueillette, la communication ou la conservation de chaque élément de renseignement sera proportionnelle à cette fin. Cette proportionnalité jouera en faveur de l’organisme lorsqu’il sera établi que l’utilisation est rationnellement liée à l’objectif, que l’atteinte est minimisée et que la divulgation du renseignement requis est nettement plus utile à l’organisme que préjudiciable à la personne. Autrement, le droit à la vie privée et à la confidentialité des renseignements personnels devra prévaloir.

[27] Dans plusieurs décisions7 , la Commission a conclu que la collecte d’un numéro contenu sur une pièce d’identité, tels les numéros de permis de conduire ou d’assurance sociale, ou la photocopie de ces pièces, n’est pas nécessaire pour valider l’identité d’une personne. Cellulaire Plus peut demander de voir une pièce d’identité, au choix du client, pour atteindre cet objectif, sans qu’il ne soit nécessaire de recueillir l’identifiant contenu sur cette pièce ni de la photocopier.

[32] Tel qu’indiqué précédemment, si Cellulaire Plus désire vérifier les renseignements d’identité fournis par un client, elle peut demander de voir une pièce d’identité avec photo. Par contre, Cellulaire Plus ne peut recueillir les informations contenues sur ce document, que ce soit en les notant dans le dossier ou en photocopiant le document. Le fait de noter le type de document consulté permet, au besoin, de documenter la vérification de l’identité faite par l’employé de Cellulaire Plus et d’en rendre compte à TELUS, tout en respectant la Loi sur le privé.

[33] Cette façon de faire permet un équilibre entre la protection des renseignements personnels, le respect de la vie privée des clients et le besoin de Cellulaire Plus de recueillir des renseignements personnels pour atteindre certaines finalités, dont celle de s’assurer de l’identité d’une personne avec qui elle s’apprête à contracter.

[37] Cellulaire Plus et TELUS prétendent que le NAS ou le permis de conduire sont nécessaires pour effectuer une enquête de crédit.

[38] La Commission a déjà conclu que les nom, adresse et date de naissance d’une personne suffisent pour effectuer, avec le consentement de la personne concernée, une enquête de crédit9.

[39] Au surplus, l’ancienne adresse du client ou un numéro de carte de crédit constituent des renseignements moins sensibles que le NAS ou le permis de conduire pour permettre, lorsque requis, de s’assurer d’obtenir le bon dossier de crédit. En l’espèce, la plaignante avait fourni ces renseignements. Cellulaire Plus et TELUS n’ont pas expliqué en quoi les renseignements fournis par la plaignante ne leur permettaient pas de vérifier son dossier de crédit.

[41] Ainsi, la Commission conclut que la collecte du NAS et du permis de conduire (numéro ou photocopie de la pièce d’identité) n’est pas nécessaire pour l’obtention du dossier de crédit d’une personne. Cellulaire Plus et TELUS n’ont pas démontré ce qui justifie de s’écarter de cette position en l’espèce.

[42] La Commission considère donc que Cellulaire Plus ne peut recueillir ces renseignements, même sur une base volontaire, pour le compte de TELUS. En effet, puisque l’article 5 de la Loi sur le privé est une disposition impérative, Cellulaire Plus ne peut y déroger, même avec le consentement de la personne concernée10.

CONCLUSION

[67] À la lumière de l’enquête et des observations de Cellulaire Plus et de TELUS, la Commission conclut que l’entreprise Cellulaire Plus a contrevenu à l’article 5 de la Loi sur le privé en recueillant des renseignements personnels non nécessaires à l’objet du dossier.

[68] Cellulaire Plus doit donc cesser toute collecte de renseignements personnels qui ne sont pas nécessaires à l’objet du dossier d’un client lors de la mise en service d’un téléphone cellulaire.

POUR CES MOTIFS, LA COMMISSION :

[69] DÉCLARE la plainte fondée.

[70] ORDONNE à Cellulaire Plus de cesser de recueillir le NAS, le numéro de permis de conduire et une copie d’une pièce d’identité d’une personne dans le cadre de la mise en service d’un téléphone cellulaire.