Entreprises et organisations privées

Collecte de renseignements personnels

Pourquoi, dans quel but souhaitez-vous collecter des renseignements personnels? Déterminer les objectifs d'utilisation des renseignements personnels que vous souhaitez collecter constitue la première étape de la démarche d'analyse. 

Vos objectifs doivent découler d'un intérêt sérieux, légitime et précis. Ils s'agit d'éléments fondateurs pour évaluer ensuite la nécessité de collecter des renseignements personnels.  

La collecte de renseignements personnels représente une atteinte au droit fondamental à la vie privée des citoyens. Vous devez donc recueillir uniquement les renseignements nécessaires à l'atteinte des objectifs que vous avez déterminés avant la collecte.

La nécessité : un critère fondamental

Cette évaluation de nécessité doit prédominer en toute circonstance. Elle permet de minimiser l’atteinte à la vie privée des personnes concernées. Elle est réalisée avant la collecte des renseignements personnels par les entreprises et les organisations privées.

L'évaluation de la nécessité de collecter des renseignements prévaut en toute circonstance et il faut savoir que l'obtention du consentement n'est pas pertinent à ce stade de l'analyse. 

Une fois recueillis, les renseignements devront être protégés : en limitant les renseignements personnels lors de la collecte, les risques de communication, de divulgation et d’utilisation interdites sont minimisés.

Évaluation de la nécessité : des conditions à remplir

La nécessité va au-delà de la simple utilité. Pour une entreprise, elle s’évalue par rapport à la finalité de la collecte et à sa proportionnalité. Ainsi, une collecte sera nécessaire si ces conditions sont toutes réunies :

• L’objectif poursuivi est légitime, important et réel;
  
  
• L’atteinte à la vie privée est proportionnelle à cet objectif, ce qui signifie plus précisément que : 
  • La collecte des renseignements est rationnellement liée aux objectifs;
  • L’atteinte au droit à la vie privée est minimisée. Autrement dit, il n’existe pas d’autres moyens d’atteindre les mêmes objectifs d’une façon qui porte moins atteinte à la vie privée;
  • La collecte, l’utilisation ou la communication du renseignement est nettement plus utile à l’entreprise que préjudiciable à la personne concernée.
    
    

Si la nécessité n’est pas établie, le droit à la vie privée des personnes doit primer. La collecte ne peut donc pas être effectuée. En cas de doute, un renseignement personnel est considéré comme n’étant pas nécessaire.

En règle générale, sous prétexte qu’une personne refuse de fournir un renseignement personnel, une entreprise ne peut pas :

• Refuser de fournir un bien ou un service;
  
  
• Rejeter une demande d’emploi.
  
  

Toutefois, elle peut le faire dans les situations suivantes :

• La collecte est nécessaire à la conclusion ou à l’exécution d’un contrat;
  
  
• La collecte est autorisée par la loi;
  
  
• Des motifs raisonnables permettent de croire que la demande de bien, de service ou d’emploi est illicite.
  
  

L’analyse de la nécessité d’une collecte est au cœur de plusieurs dossiers examinés par la Commission. Pour en savoir plus, consultez les décisions rendues par sa section de surveillance.

Fardeau de la preuve : qui doit démontrer qu'un renseignement est nécessaire?

C’est à l’entreprise de démontrer à la personne concernée que le renseignement personnel demandé est nécessaire.

Les citoyens qui jugent qu’une entreprise demande des renseignements qui ne sont pas nécessaires peuvent déposer une plainte à la Commission.

Les identifiants peuvent servir à s’assurer qu’une personne est bien celle qu’elle prétend être. Cette vérification a pour seul objectif de confirmer l’identité ou la qualité d’une personne. Habituellement, elle ne doit pas conduire à la collecte des renseignements inscrits sur ces documents.

Pour obtenir l’information générale sur les pièces d’identité, consultez la fiche pour les entreprises privées (PDF, 353 Ko).

Votre entreprise doit faire preuve de transparence à l’égard des personnes auprès de qui elle recueille des renseignements personnels. La mise en œuvre du principe de transparence est essentielle à la protection de leur vie privée. Pour leur permettre  d'exercer un contrôle sur celle-ci, vous devez leur fournir une information claire et simple concernant l'utilisation et la circulation de leurs renseignements personnels. Bien informés, les citoyens pourront ainsi faire valoir leurs droits en toute connaissance de cause.

La Loi sur le privé prévoit des informations à fournir par défaut lors de la collecte, et sur demande par la suite:

• Les objectifs pour lesquels les renseignements sont recueillis;
  
  
• Les moyens par lesquels les renseignements sont recueillis (formulaire, captation vidéo, etc.);
  
  
• Les droits d’accès et de rectification prévus par la Loi;
  
  
• Le droit de retirer son consentement à la communication ou à l’utilisation des renseignements recueillis.
  
  

Les informations suivantes doivent aussi être fournies, le cas échéant :

• Le nom du tiers pour qui la collecte est faite;
  • Par exemple, si vous recueillez les renseignements au nom d’une entreprise cliente, vous devez le mentionner;
    
    
• Le nom du tiers ou des catégories de tiers à qui il est nécessaire de communiquer les renseignements pour atteindre les objectifs justifiant la collecte;
  • Si, par exemple, une autre entreprise gère vos paiements, vous devez la nommer. Si les contrats varient ou restent à établir, vous pouvez indiquer une catégorie plus générale;
    
    
• La possibilité que les renseignements soient communiqués à l’extérieur du Québec;
  • Par exemple, si vous stockez les renseignements chez un fournisseur infonuagique en Ontario, vous devez le mentionner;
    
    
• Une mention du recours à une technologie comprenant des fonctions d'identification, de localisation ou de profilage et des moyens offerts pour activer ces fonctions. 
  
  

Notez que vous ne pouvez pas recueillir de renseignements personnels auprès d’un tiers sans le consentement de la personne concernée ou d’une exception légale. Vous pouvez toutefois le faire, si vous avez un intérêt sérieux et légitime, dans l’un des deux cas suivants :

• Les renseignements sont recueillis dans l’intérêt de la personne concernée et ne peuvent être recueillis auprès de celle-ci en temps opportun;
  
  
• La cueillette auprès d’un tiers est nécessaire pour s’assurer de l’exactitude des renseignements.

Vous devez aussi fournir à la personne concernée qui le demande les informations suivantes :

• Les renseignements personnels qui sont recueillis auprès d’elle;
  
  
• Les catégories de personnes qui ont accès à ces renseignements au sein de l’entreprise;
  
  
• La durée de conservation des renseignements personnels;
  
  
• Les coordonnées du responsable de la protection des renseignements personnels.

La Commission vous invite à faire preuve de la plus grande transparence possible lorsque vous recueillez des renseignements personnels, que la collecte se fasse directement auprès des personnes concernées ou auprès d’un tiers. Même si les personnes concernées n’en font pas la demande, communiquez-leur les informations facultatives pertinentes selon la situation.

Peu importe le moyen ou l’outil technologique utilisé pour la collecte, vous gagnez à être proactif en matière de communication avec les citoyens. L’information que vous fournissez doit être claire, compréhensible, accessible et adaptée au support de communication.

La publication d’une politique de confidentialité est obligatoire si vous recueillez des renseignements personnels à l’aide d’une technologie, peu importe laquelle. Cette politique doit être publiée dans votre site Web ou diffusée par tout autre moyen permettant aux personnes concernées d’en prendre connaissance. Elle leur permet d’être informées des renseignements que vous recueillez sur elles.

Par exemple, quand vous recueillez des renseignements personnels au moyen de votre site Web ou d’une application mobile, les personnes concernées doivent avoir accès à votre politique de confidentialité.

Qu’est-ce qu’une politique de confidentialité?

Il s’agit d’une politique expliquant les pratiques d’une entreprise pour protéger les renseignements personnels recueillis au moyen de cette technologie. Son objectif est d’informer les personnes concernées des renseignements qui sont ainsi recueillis et de la façon dont votre organisation utilisera, conservera et protégera ceux-ci.

Cette politique doit être adaptée au contexte dans lequel elle s’inscrit et informer les personnes :

• Des renseignements personnels collectés par ce moyen technologique et des fins pour lesquelles ils sont recueillis;
  
  
• Des tiers à qui ils pourraient être communiqués et dans quels contextes;
  
  
• Des mesures de protection mises en place pour préserver leur confidentialité;
  
  
• Du recours à l’utilisation de témoins de connexion (cookies), si tel est le cas;
  
  
• Des droits et des recours des personnes concernées;
  
  
• De toute modification apportée à la politique, si tel est le cas.
  
  

La politique de confidentialité doit permettre aux personnes concernées de comprendre l’utilisation et la circulation de leurs renseignements. Elles doivent pouvoir comprendre vos pratiques liées à cette collecte réalisée à l’aide d’un moyen technologique. Par conséquent, cette politique doit être rédigée en termes simples et clairs.

Guide de rédaction d'une politique de confidentialité

La Commission a élaboré un guide pour rédiger une politique de confidentialité simple et claire (PDF, 583 Ko).

Ce guide vise à répondre aux questions suivantes :

• Qu’est-ce qu’une politique de confidentialité?
  
  
• Que devrait contenir une telle politique?
  
  
• Comment rédiger une politique en termes simples et clairs?

Si vous recueillez des renseignements personnels en offrant des produits ou des services technologiques disposant de paramètres de confidentialité, vous devez :

• Vous assurer que les paramètres de confidentialité par défaut assurent le plus haut niveau de confidentialité, et ce, sans aucune intervention de la personne concernée.
  
  

Les paramètres de confidentialité d’un témoin de connexion ne sont pas visés par cette exigence. 

Vous devrez fournir des informations supplémentaires aux personnes concernées si vous collectez leurs renseignements en utilisant une technologie comprenant des fonctions permettant :

• D’identifier ces personnes;
  
  
• De les localiser;
  
  
• D’effectuer un profilage à leur sujet. La Loi définit le profilage comme « la collecte et l’utilisation de renseignements personnels afin d’évaluer certaines caractéristiques d’une personne physique, notamment à des fins d’analyse du rendement au travail, de la situation économique, de la santé, des préférences personnelles, des intérêts ou du comportement de la personne ».
  
  

Quand vous avez recours à ces technologies, vous devez informer les personnes, dès le départ :

• De l'utilisation d'une telle technologie;
  
  
• Des moyens offerts pour activer les fonctions d’identification, de localisation ou de profilage.
  
  

Par conséquent, vous ne pouvez pas activer ces fonctions par défaut. La personne concernée doit pouvoir le faire elle-même, volontairement.

Biométrie

La biométrie constitue une famille de technologies particulières qui permettent d'identifier les personnes à partir de caractéristiques physiques, comportementales ou biologiques. Elle est encadrée de manière particulière dans la Loi. Pour en savoir plus, consultez la page sur la biométrie.

Si vous recueillez des renseignements personnels dans l'objectif de les utiliser afin de rendre des décisions entièrement automatisées, vous avez l'obligation de fournir des informations supplémentaires aux personnes concernées et de leur permettre d'exiger une intervention humaine. Pour plus d'information, consultez la section sur les décisions automatisées.