Extraits pertinents :

[1] La Commission d’accès à l’information (la Commission) est saisie d’une plainte déposée le 5 décembre 2011 par monsieur A… (le plaignant) concernant la transmission à un tiers par le dirigeant du Club de golf
Beloeil (l’entreprise) de renseignements personnels le concernant, et ce, sans son consentement.

Faits 

[3] Le plaignant pratiquait le golf et était un membre actif de l’entreprise entre 2007 et 2011, laquelle avait recueilli et détenait certains renseignements personnels le concernant.

[4] Le 11 juin 2010, une citation à comparaître est émise à l’endroit d’un représentant de l’entreprise l’enjoignant de se présenter le 18 juin suivant devant la Commission des relations du travail afin de témoigner dans une cause opposant un particulier à la Ville de Saint-Basile-Le-Grand.

[5] De façon contemporaine, un représentant de l’entreprise communique avec l’avocat ayant signifié le subpoena en question. L’avocat l’avise qu’il souhaite obtenir la liste des départs de golf du plaignant pour une période donnée et l’informe qu’une communication anticipée de cette liste, avant la tenue de l’instance, simplifierait les obligations de l’entreprise.

[6] En raison de ce qui précède, le directeur général de l’entreprise à cette époque, monsieur B…, accepte de transmettre à l’avocat un document répertoriant l’ensemble des départs de golf du plaignant entre les 23 avril et 30 octobre 2009. Les informations suivantes y apparaissent : le nom du plaignant, ses scores, les dates de chacun de ses départs, l’identification de ses parcours, l’heure du début des parties, une mention de réservation et la durée des parties.

[11] Après avoir communiqué avec l’avocat ayant notifié le subpoena, monsieur B… a décidé de lui transmettre un document répertoriant les données liées aux départs de golf du plaignant pour la saison 2009. Par ailleurs, l’avocat en question avait mentionné que son client avait une connaissance assez précise des habitudes de jeu du plaignant.

[13] En ce qui concerne le volet de la demande de l’analyste-enquêteur relatif à la politique de confidentialité de l’entreprise, monsieur C… mentionne qu’il n’en existe aucune, mais que l’organisation s’efforce de préserver le caractère confidentiel des renseignements sensibles qu’elle collecte.

[14] Monsieur C… estime que la liste des départs de golf des membres de l’entreprise ne contient pas d’information sensible puisque ces mêmes membres ont un accès au site Internet de l’entreprise pour réserver leurs départs et inscrire leurs résultats. Ceci leur permet de prendre connaissance des données fournies par les partenaires de jeu. De plus, les grilles journalières de jeu sont accessibles à tous les membres et demeurent affichées sur le site pendant plusieurs jours.

Analyse

[20] L’article 13 de la Loi sur le privé édicte certaines normes auxquelles doit se soumettre toute entreprise en matière d’utilisation et de communication de renseignements personnels contenus dans un dossier qu’elle détient. Cette disposition législative est libellée comme suit : [...]

13. Nul ne peut communiquer à un tiers les renseignements personnels contenus dans un dossier qu'il détient sur autrui ni les utiliser à des fins non pertinentes à l'objet du dossier, à moins que la personne concernée n'y consente ou que la présente loi ne le prévoie.

[21] Quant à la notion de renseignement personnel, celle-ci est définie à l’article 2 de cette même loi :

2. Est un renseignement personnel, tout renseignement quiconcerne une personne physique et permet de l'identifier

[22] Après avoir pris connaissance des informations contenues sur la liste que l’entreprise a communiquée à un tiers vers le mois de juin 2010, la Commission conclut que ce document renferme effectivement des renseignements personnels concernant le plaignant au sens de l’article 2 précité. Son nom et les détails relatifs à la fréquence ainsi qu’à la durée des parties de golf qu’il a jouées lors de la saison 2009 sont des renseignements qui entrent dans cette catégorie. Ces renseignements le concernent et permettent de l’identifier.

[23] Or, l’article 13 de la Loi sur le privé prévoit que nul ne peut communiquer à un tiers les renseignements personnels qu’une entreprise détient à moins que la personne concernée n’y consente, ce qui n’est pas le cas en l’espèce.

[24] Ainsi, force est de conclure que l’entreprise n’a pas respecté son devoir de discrétion que lui impose la loi.

[27] En ce qui concerne la réception d’une citation à comparaître, celle-ci somme le témoin de se présenter devant le tribunal compétent, mais ne l’autorise aucunement à transmettre à l’avance un renseignement personnel. Il appartient au juge qui préside l’audience de disposer de l’admissibilité en preuve d’un élément requis par un procureur. Ainsi, il est inexact de prétendre que l’entreprise devait obéir à un ordre de la Cour en communiquant à l’avance le document réclamé par le procureur. Cette conduite dénote une incompréhension de la portée et des conséquences réelles d’une citation à comparaître.

[28] Quant au deuxième point soulevé par l’entreprise, à savoir que le plaignant aurait implicitement adhéré aux règles de fonctionnement de l’entreprise relativement à la publicité de certains renseignements personnels le concernant, la Commission ne partage pas ce point de vue. Une renonciation à un droit aussi fondamental se doit d’être exprimée de façon plus claire, ce qui n’est pas le cas en l’espèce. Par ailleurs, le fait d’avoir accès aux départs des partenaires de jeu sur le site Internet de l’entreprise pendant quelques jours est une chose; la transmission à un tiers, environ un an plus tard, de l’ensemble des données relatées précédemment sur un document dans le cadre d’un litige en est une autre. Les fins poursuivies se distinguent et la divulgation des renseignements dans un tel contexte ne peut se justifier dans les circonstances.

[32] Considérant que les agissements de l’entreprise semblent refléter davantage une méconnaissance de ses obligations et des droits corollaires du plaignant en matière de protection des renseignements personnels, la Commission estime que le remède approprié dans les circonstances se limitera à lui recommander la mise en place de mesures afin d’éviter que ce genre de situation ne survienne de nouveau.

[33] Conséquemment, la Commission invite l’entreprise à se doter, dans un délai raisonnable, d’une politique interne relative à la protection des renseignements personnels qu’elle collecte et utilise.

POUR CES MOTIFS, LA COMMISSION :

[34] DÉCLARE la plainte fondée;

[35] RECOMMANDE à l’entreprise de se doter dans un délai de six mois de la réception de la présente décision d’une politique de confidentialité des renseignements personnels qu’elle détient sur autrui.