Imprimeries Transcontinental inc. : la Commission d’accès à l’information du Québec ordonne à l’entreprise de cesser la collecte de données biométriques de ses employés

Dans une décision récente de la Commission d’accès à l’information du Québec (CAI), celle-ci a conclu que l’entreprise Imprimeries Transcontinental inc. (Transcontinental) avait collecté les données biométriques de ses employés en contravention à la Loi sur la protection des renseignements personnels dans le secteur privé (Loi sur le privé). En effet, Transcontinental n’a pas réussi à démontrer à la CAI la nécessité des renseignements personnels qu’elle collectait dans le but d’assurer la sécurité de ses employés et de leurs locaux, ainsi que de respecter les normes établies par la certification « Customs-Trade Partnership Against Terrorism » (CTPAT).

Il s’agit de la 10^e décision de la CAI en matière de biométrie depuis l’an 2000, d’où la pertinence de la décision s’inscrivant dans une réalité où les créations de banques de renseignements biométriques sont en forte croissance au Québec.

Ce que vous devez savoir

• L’obtention préalable d’un consentement à la collecte de renseignements personnels n’est pas un moyen de déroger aux exigences de la Loi sur le privé. En vertu de la Loi sur le privé, les entreprises ont l’obligation de s’assurer que leur collecte s’inscrit dans l’atteinte de fins préalablement déterminées, servant des intérêts sérieux et légitimes, et que cette collecte est nécessaire. L’obtention du consentement des employés à ce que leurs renseignements personnels soient collectés ne peut justifier une dérogation aux obligations des entreprises prévues à la Loi sur le privé.
• Les données biométriques sont des renseignements personnels de nature sensible jouissant d’un haut degré d’attente raisonnable en matière de vie privée. La CAI distingue les renseignements personnels de nature biométrique à d’autres renseignements traditionnellement collectés comme des identifiants uniques liés à des cartes ou des mots de passe, en ce que contrairement à ces derniers, les données biométriques ne peuvent être facilement remplacées en cas d’incident de confidentialité étant donné leur nature permanente et distinctive.
• L’entreprise a le devoir d’évaluer la possibilité de faire appel à d’autres moyens moins intrusifs afin d’atteindre leurs objectifs déterminés. Les entreprises qui collectent des renseignements personnels ont le devoir de minimiser l’atteinte à la vie privée des gens visés.
• Les normes spécifiques à certains standards d’industrie ne sont pas en elles-mêmes une preuve du caractère réel de l’objectif poursuivi. Bien qu’ils soient utiles pour démontrer le caractère légitime de l’objectif poursuivi, les standards ou normes d’industrie auxquels les entreprises adhèrent de façon volontaire ne constituent pas nécessairement en soi une démonstration que l’objectif poursuivi est réel. L’entreprise doit être en mesure de justifier comment la pratique répond à un enjeu concret et réel pour ses activités.

Contexte

Dans le contexte de la pandémie de la Covid-19, Transcontinental, une entreprise œuvrant dans le domaine de l’imprimerie, a implanté un système d’authentification à deux fonctionnalités, soit la reconnaissance faciale, ainsi que la prise de la température corporelle. L’objectif poursuivi pour l’entreprise était 1) d’assurer la sécurité de ses employés et de ses locaux en limitant la propagation du virus; et 2) de respecter les exigences de la certification CTPAT. En 2023, Transcontinental a cessé la prise de température de ses employés et a détruit les données recueillies. L’entreprise a cependant continué de collecter des données biométriques grâce à son système de reconnaissance faciale.

Décision

La CAI a conclu que Transcontinental contrevenait à la Loi sur le privé par son utilisation d’un système de reconnaissance faciale afin de collecter des renseignements personnels biométriques dans l’objectif de contrôler l’accès à ses locaux, d’assurer la sécurité de ses employés et, accessoirement, de respecter les exigences de la certification CTPAT.

L’objectif poursuivi par l’entreprise doit avoir un caractère légitime, important et réel

Bien qu’elle soit d’accord que la protection des installations et la gestion de l’accès aux locaux sont un objectif légitime, la CAI conclut que Transcontinental n’a pas démontré que cet objectif était réel dans le contexte spécifique de l’entreprise. En effet, l’utilisation de données biométriques n’était pas soutenue par des événements particuliers ou problématiques qui justifiaient la nécessité de la collecte. En outre, l’entreprise n’a pas présenté d’éléments de preuve démontrant un enjeu existant quant à la gestion des accès à ses locaux, de sorte que ce risque n’était que de nature hypothétique. Selon la CAI, l’objectif de contrôle des accès aux locaux relève davantage de la gestion courante et usuelle d’une entreprise et il ne s’agit donc pas d’un objectif suffisamment important qui justifierait la collecte de renseignements personnels de nature sensible. La CAI note toutefois qu’il est possible que le domaine d’activité d’une entreprise nécessite un niveau de sécurité plus accru, qui pourrait justifier l’utilisation, dans certains cas, de mesures biométriques. Or, la CAI juge que le domaine de l’imprimerie ne requiert pas un niveau de sécurité suffisant pour justifier l’usage de la reconnaissance faciale pour atteindre les objectifs allégués par l’entreprise.

La CAI conclut également que l’argument de Transcontinental à l’effet que le caractère réel de son objectif était soutenu par les exigences de la certification CTPAT ne pouvait être retenu étant donné que l’utilisation de systèmes d’authentification basés sur les données biométriques n’est pas une exigence, mais bien une suggestion de moyen pour assurer la sécurité physique des locaux. En effet, la CAI commente que les normes CTPAT prévoient elles-mêmes d’autres moyens moins intrusifs à la vie privée qui permettraient d’atteindre les objectifs de Transcontinental. Finalement, l’adhésion à cette certification est faite sur une base volontaire, de sorte qu’elle ne peut être utilisée comme justification pour déroger à ses obligations légales.

L’atteinte à la vie privée des individus doit être proportionnelle à l’objectif poursuivi

Étant donné le haut degré d’attente raisonnable en matière de vie privée face aux données biométriques, la CAI juge que leur collecte n’était pas proportionnelle aux objectifs visés par Transcontinental, et ce, notamment en raison de l’existence de moyens beaucoup moins intrusifs qui limiteraient l’atteinte à la vie privée des gens concernés et qui permettraient tout de même d’atteindre ses objectifs. La CAI conclut aussi que le préjudice résultant de la collecte est beaucoup plus élevé que les effets utiles apportés à l’entreprise, puisque même si la reconnaissance faciale peut être un moyen efficace, Transcontinental n’a pas démontré en quoi cette méthode amenait des avantages supérieurs, lesquels justifieraient l’atteinte qu’elle représente pour ses employés.

Impacts sur la conduite des affaires

La décision Transcontinental est un rappel pour les entreprises d’agir avec vigilance lorsqu’elles ont l’intention de collecter de renseignements personnels de nature sensible. Elles devraient considérer l’utilisation de moyens alternatifs moins intrusifs permettant d’atteindre ses objectifs, avant de recourir à des outils permettant de recueillir des renseignements biométriques. Dans la mesure où elles souhaitent utiliser un système nécessitant la collecte de renseignements sensibles, tels que des données biométriques, les entreprises devraient documenter : 1) les objectifs visés par la collecte; 2) les raisons pour lesquels ces objectifs sont réels et importants pour l’entreprise dans son contexte spécifique, lesquels objectifs répondent à des problématiques concrètes et réelles, et non pas des risques hypothétiques; et 3) l’évaluation des autres moyens considérés pour atteindre le même objectif et les raisons pour lesquelles des solutions alternatives ont été écartées ou ont été considérées inadéquates pour répondre à l’objectif visé.