Décisions de la Cour fédérale

Informations sur la décision

Contenu de la décision

••••••••

Date : 20051129

Dossier : T-1865-04

Référence : 2005 CF 1601

ENTRE :

                                                           RANDY TURNER ET

                               THE TELECOMMUNICATIONS WORKERS UNION

                                                                                                                                        demandeurs

                                                                             et

                                               TELUS COMMUNICATIONS INC.

                                                                             

                                                                                                                                      défenderesse

                                                                             et

           LA COMMISSAIRE À LA PROTECTION DE LA VIE PRIVÉE DU CANADA           

                                                                                                                                  codéfenderesse

                                                                                                                                           T-1864-04

ENTRE :

                                                             PAUL BERNAT ET

                               THE TELECOMMUNICATIONS WORKERS UNION

                                                                                                                                        demandeurs

                                                                             et

                                               TELUS COMMUNICATIONS INC.

                                                                                                                                      défenderesse


                                                                             et

           LA COMMISSAIRE À LA PROTECTION DE LA VIE PRIVÉE DU CANADA           

                                                                                                                                  codéfenderesse

                                                                                                                                           T-1863-04

ENTRE :

                                                            HENRY FENSKE ET

                               THE TELECOMMUNICATIONS WORKERS UNION

                                                                                                                                        demandeurs

                                                                             et

                                               TELUS COMMUNICATIONS INC.

                                                                                                                                      défenderesse

                                                                             et

           LA COMMISSAIRE À LA PROTECTION DE LA VIE PRIVÉE DU CANADA           

                                                                                                                                  codéfenderesse

                                                                                                                                           T-1862-04

ENTRE :

                                                            PAUL WANSINK ET

                               THE TELECOMMUNICATIONS WORKERS UNION

                                                                                                                                        demandeurs

                                                                             et

                                               TELUS COMMUNICATIONS INC.


                                                                                                                                      défenderesse

                                                                             et

           LA COMMISSAIRE À LA PROTECTION DE LA VIE PRIVÉE DU CANADA           

                                                                                                                                  codéfenderesse

                                                  MOTIFS DE L'ORDONNANCE

LE JUGE GIBSON

INTRODUCTION

[1]                Par voie de demandes déposées le 15 octobre 2004, Paul Wansink, Henry Fenske, Paul Bernat et Randy Turner - agissant chacun de concert avec le Telecommunications Workers Union - ont demandé que la Cour entende la question ayant fait l'objet des plaintes qu'ils ont portées auprès de la Commissaire à la protection de la vie privée (la commissaire) et auxquelles celle-ci a répondu par des lettres datées du 3 septembre 2004. Les demandes ont été déposées en application du paragraphe 14(1) de la Loi sur la protection des renseignements personnels et les documents électroniques (la LPRPDE)[1], dont voici le libellé :



14. (1) Après avoir reçu le rapport du commissaire, le plaignant peut demander que la Cour entende toute question qui a fait l'objet de la plainte - ou qui est mentionnée dans le rapport - et qui est visée aux articles 4.1.3, 4.2, 4.3.3, 4.4, 4.6, 4.7 ou 4.8 de l'annexe 1, aux articles 4.3, 4.5 ou 4.9 de cette annexe tels que modifiés ou clarifiés par la section 1, aux paragraphes 5(3) ou 8(6) ou (7) ou à l'article 10.

14. (1) A complainant may, after receiving the Commissioner's report, apply to the Court for a hearing in respect of any matter in respect of which the complaint was made, or that is referred to in the Commissioner's report, and that is referred to in clause 4.1.3, 4.2, 4.3.3, 4.4, 4.6, 4.7 or 4.8 of Schedule 1, in clause 4.3, 4.5 or 4.9 of that Schedule as modified or clarified by Division 1, in subsection 5(3) or 8(6) or (7) or in section 10.


Les faits entourant les quatre demandes sont essentiellement identiques, sous réserve de quelques différences quant aux mesures de réparation sollicitées et aux arguments invoqués à l'appui de celles-ci.

[2]                Par ordonnance datée du 31 décembre 2004, le protonotaire Hargrave a joint les quatre demandes et déterminé que la demande dans le dossier T-1865-04 -celle de Randy Turner et de Telecommunications Workers Union - constitue [traduction] « le dossier principal dans l'instance en cours » . Les quatre demandes ont été entendues conjointement à Vancouver (Colombie-Britannique) les 20, 21 et 22 septembre 2005. Les présents motifs s'appliquent aux quatre demandes. Des ordonnances distinctes prévoyant les mêmes mesures de réparation seront émises.

[3]                 Par ordonnance datée du 22 février 2005, la protonotaire Tabib a autorisé la Commissaire à la protection de la vie privée du Canada à être constituée codéfenderesse dans le cadre des demandes réunies.

LES FAITS

a)          Les parties

[4]                Randy Turner, Paul Bernat, Paul Wansink et Henri Fenske (les demandeurs individuels) ont été, pendant toute la période en cause, des employés de Telus Communications Inc. et membres d'une unité de négociation d'employés de cet employeur qui était représentée exclusivement par le syndicat demandeur, le Telecommunications Workers Union.

[5]                Telus Communications Inc. (Telus) est une entreprise et un ouvrage de compétence fédérale qui fournit des services téléphoniques, des services d'Internet et d'autres services sur fil dans de nombreuses provinces du Canada, y compris l'Alberta et la Colombie-Britannique.

[6]                Le Telecommunications Workers Union (le TWU) est un syndicat au sens du Code canadien du travail qui représente les demandeurs individuels en matière d'emploi conformément aux dispositions d'une convention collective conclue entre le TWU et Telus. Le syndicat dit avoir déposé une plainte auprès de la commissaire et saisi la Cour en sa qualité d'agent négociateur accrédité au nom des demandeurs individuels.

[7]                La commissaire s'entend de la Commissaire à la protection de la vie privée nommée aux termes de l'article 53 de la Loi sur la protection des renseignements personnels[2]. La LPRPDE attribue certaines fonctions à la commissaire.

b)          « e.Speak » et « Nuance Verifier »


[8]                À la fin de 2002, Telus a introduit dans ses pratiques opérationnelles une nouvelle technologie, « e.Speak » , qui recourt àla technologie de reconnaissance de la voix pour permettre aux employés de Telus d'accéder au réseau informatisé interne de Telus et de l'utiliser en transmettant des commandes au moyen d'un téléphone, au lieu d'utiliser un terminal d'ordinateur désigné à cette fin ou d'obtenir l'accès au réseau par l'intermédiaire d'un autre employé, habituellement un commis. Grâce àe.Speak, les employés de Telus qui travaillent sur le terrain peuvent effectuer diverses opérations sur le réseau à partir de n'importe quel téléphone disponible, y compris un téléphone cellulaire. Munie d'importantes preuves à l'appui, Telus prétend que l'utilisation d'e.Speak lui a permis d'obtenir des avantages commerciaux en améliorant l'efficacité des employés et en réduisant les coûts.

[9]                 Étant donné qu'e.Speak constitue un lien direct au réseau informatique interne de Telus, l'identitéde l'employé qui tente d'accéder àe.Speak par téléphone doit être vérifiée de manière à protéger les renseignements confidentiels stockés dans les bases de données du réseau. On prétend qu'un accès non autorisé aux bases de données et aux renseignements confidentiels qui s'y trouvent occasionnerait à Telus un préjudice important.                                                                                                                          


[10]            Le système de vérification d'identité utilisé par Telus pour autoriser ou refuser l'accès à e.Speak est un programme informatique du nom de Nuance Verifier, lequel utilise une technologie de vérification du locuteur pour contrôler l'identité des personnes cherchant à accéder à e.Speak.        

[11]            Il semble que le programme Nuance Verifier ait été développé par une société par actions, Nuance Communications (Nuance), qui voit également à sa mise en marché.

[12]            Nuance décrit sa technologie de vérification du locuteur Nuance Verifier dans des documents écrits qu'elle diffuse et qui sont joints en annexe à l'affidavit de Randy Turner, déposé devant la Cour. En voici des extraits :

[traduction] L'authentification de la voix, qu'on désigne également par "vérification du locuteur", est définie comme consistant en la vérification automatisée de l'identité d'une personne, qu'elle dit être la sienne, et ce à partir des caractéristiques uniques de sa voix.

Il existe principalement trois manières de vérifier l'identité d'une personne : on peut procéder à partir de quelque chose qu'elle possède (une carte ou un badge d'identité), à partir de quelque chose qu'elle connaît (un mot de passe, un numéro d'identification personnelle, des renseignements personnels), ou à partir de quelque chose qui la constitue, c'est-à -dire ses données biométriques. La biométrie la plus connue est l'empreinte digitale. En fait, une empreinte vocale est aussi unique qu'une empreinte digitale. L'empreinte vocale mesure les caractéristiques comportementales propres à la façon dont s'exprime une personne, ainsi que les caractéristiques physiques de son tractus aérien. Au cours du processus d'authentification de la voix, la voix de l'utilisateur est comparée à l'empreinte vocale stockée pour vérifier l'identité qu'il prétend avoir.

Le processus d'authentification de la voix comporte de nombreux avantages par rapport à d'autres méthodes de vérification, y compris celles fondées sur la biométrie (empreintes digitales, de l'iris et du visage) :

·               L'authentification vocale est beaucoup plus sûre que les mots de passe et les numéros d'identification personnelle, lesquels peuvent être volés, devinés ou oubliés.

·               Elle est omniprésente et discrète : l'authentification vocale peut s'intégrer sans peine à l'expérience de l'appelant.

·               Elle n'exige pas de dispositif particulier, ni d'appareil à balayage - rien que la voix de l'utilisateur et un téléphone ou un micro.


[...]

Nuance Verifier utilise les données biométriques de la voix pour authentifier, de façon sûre, l'identité d'un appelant[3].[...]

[...]

Cette technologie biométrique saisit les caractéristiques physiques particulières de la voix humaine et les utilise dans l'identification des appelants.

[...]

Àl'instar d'une empreinte digitale, le logiciel d'authentification vocale Nuance Verifier crée des empreintes vocales individualisées pour authentifier l'identitédes appelants et des clients uniquement grâce à leur voix, ce qui permet un accès sûr à l'information[4].

[...]

Dans un environnement contrôlé, on obtiendra à peu près le même degré d'exactitude avec l'empreinte vocale que l'empreinte digitale. Toutefois, les empreintes digitales et les autres technologies biométriques (comme le balayage de l'iris et du visage) comportent des inconvénients considérables du point de vue pratique et du déploiement.

[...]

[...] En outre, la voix est beaucoup moins intrusive pour l'utilisateur final que l'empreinte digitale, de l'iris ou du visage. Les gens ne sont pas à l'aise avec le balayage de l'oeil ou du visage. Les empreintes digitales sont quelque peu moins intrusives, mais elles nécessitent un contact physique avec un appareil, ce qui en soi comporte des problèmes du point de vue pratique[5].

[13]            Pour être en mesure d'utiliser la technologie de vérification du locuteur Nuance Verifier, l'employé doit d'abord participer à une « procédure d'inscription » permettant de générer une « signature vocale » que Telus et Nuance qualifient parfois d' « empreinte vocale » .


[14]            Voici comment Nuance décrit la « procédure d'inscription » :

[traduction] L'appelant passe par une procédure d'inscription unique au cours de laquelle un échantillon de sa voix est enregistré et une empreinte vocale est créée et stockée. Les empreintes vocales ne sont pas des échantillons audio mais bien des matrices de chiffres représentant les caractéristiques de la voix et du tractus aérien de l'utilisateur[6].

[...]           

Les appelants prennent part à une brève procédure d'inscription unique durant laquelle ils répondent à plusieurs questions, permettant ainsi à Nuance Verifier de saisir et de stocker leur empreinte vocale[7].

[15]            Si l'on se fie à la preuve de Telus, d'importantes mesures de sécurité encadrent le stockage des signatures ou empreintes vocales saisies lors de l'inscription - des « matrices de chiffres » plutôt que des échantillons audio, comme en fait foi l'avant-dernier extrait -, sans doute aussi longtemps que le fournisseur de l'échantillon demeure à l'emploi de Telus ou continue à travailler avec Telus dans un poste nécessitant un accès à e.Speak par téléphone. L'accès à e.Speak exige ensuite la production d'une deuxième signature vocale ou empreinte vocale, laquelle est à son tour numérisée et jumelée à la signature vocale ou à l'empreinte vocale de l'appelant saisie à l'inscription. En cas de concordance, l'accès est autorisé. En l'absence de concordance, l'accès est refusé. La deuxième signature ou empreinte vocale - soit la [traduction] « signature vocale ou empreinte vocale d'accès » - est détruite relativement peu de temps après, soit dans un délai d'un à deux mois.


c)          Le processus de « consultation »

[16]            Telus a identifié certains de ses employés, dont les quatre demandeurs individuels, qui devront se soumettre à la procédure d'inscription. Telus a adopté la position selon laquelle l'efficacité et l'efficience du système e.Speak dépendent de l'inscription des employés ainsi identifiés. En l'absence d'inscription, un système parallèle d'accès sécurisé aux banques de données devra être établi, ce qui réduit l'efficience et l'efficacité. Bien que Telus prétende qu'elle a largement et efficacement consulté ses employés, et non pas leur agent négociateur, sur la mise en oeuvre d'e.Speak, elle a fait savoir que des [traduction] « mesures disciplinaires progressives » seraient imposées aux employés qui ne s'inscriraient pas.

[17]            Le demandeur individuel Henry Fenske s'est inscrit. Cela dit, il prétend y avoir été forcé et qu'il l'a fait contre son gré. Il a, semble-t-il, retiré son consentement à l'inscription. Les autres demandeurs individuels ont refusé de s'inscrire. À la date de l'audience que j'ai présidée, Telus n'avait pas encore appliqué les sanctions disciplinaires à l'encontre de l'un quelconque des demandeurs individuels, dans l'attente apparemment de l'issue de la présente instance.


[18]            Les demandeurs individuels prétendent qu'en aucun temps, lors de leur embauche par Telus ou dans le cadre de leur emploi chez Telus, n'ont-ils consenti à la collecte et à l'utilisation de renseignements personnels issus de leurs données biométriques. En outre, ils allèguent que la convention collective qui régit leurs conditions de travail ne prévoit pas que le TWU, leur représentant, y a consenti en leur nom. Les demandeurs individuels nient qu'il y ait eu une « véritable » consultation relativement à la mise en oeuvre d'e.Speak et rejettent de plus l'allégation de Telus selon laquelle celle-ci a [traduction] « [...] rigoureusement tenu compte de l'équilibre entre les besoins de l'entreprise, d'une part, et les droits de nos employés au respect de leur vie privée, d'autre part, et pris les mesures qui s'imposaient pour continuer à assurer la protection de la vie privée des employés » [8].

LES PLAINTES PORTÉES AUPRÈS DE LA COMMISSAIRE À LA VIE PRIVÉE


[19]            Randy Turner a saisi la commissaire d'une plainte détaillée de trente-six (36) pages et étayée par quelque quarante-et-une (41) pages de pièces[9]. Sa plainte porte une mention selon laquelle elle a été reçue au bureau de la commissaire le 13 février 2004. Dans sa plainte, M. Turner a allégué que la mise en oeuvre d'e.Speak par Telus contrevenait aux paragraphes 5(1) et (3) ainsi qu'à l'article 7 de la LPRPDE, ainsi qu'aux Principes 4.1.4. - plus particulièrement les alinéas c) et d) -, 4.3.1, 4.3.4, 4.3.5, 4.3.6, 4.3.8 et 4.4 de l'annexe 1 à la LPRPDE. En outre, M. Turner a prétendu que ces contraventions portaient atteinte aux dispositions de la Charte canadienne des droits et libertés[10], qu'elles contrevenaient aux principes d'équité et de raisonnabilité, qu'elles étaient irrationnelles et qu'elles constituaient un abus de pouvoir et de procédure.

[20]            Les autres demandeurs individuels ont déposé auprès de la commissaire des plaintes beaucoup moins structurées et complètes.

LES DISPOSITIONS DE LA LPRPDE QUI SONT PERTINENTES ÀLA PLAINTE DE RANDY TURNER AUPRÈS DE LA COMMISSAIRE AINSI QU'AUX PRÉSENTES DEMANDES

[21]            Le paragraphe 14(1) de la LPRPDE a été cité précédemment dans les présents motifs. Les autres dispositions de cette loi qui sont pertinentes quant à la plainte dont Randy Turner a saisi la commissaire et quant aux présentes demandes sont reproduites intégralement en annexe aux présents motifs.

LE RAPPORT DE LA COMMISSAIRE À LA PROTECTION DE LA VIE PRIVÉE


[22]            Pour les fins des présents motifs, je me concentrerai sur le rapport de la commissaire destiné au demandeur individuel Randy Turner, comme l'a fait l'avocat devant la Cour. Ce rapport est daté du 3 septembre 2004[11]. Après une brève introduction et un résumé de l'enquête menée, la représentante de la commissaire a rédigé ses conclusions en ces termes :

[traduction]Dans le passé, notre bureau a eu l'occasion de se pencher sur la question du consentement de l'employé à l'égard de certaines conditions d'emploi attentatoires à la vie privée. S'agissant du caractère approprié d'une condition d'emploi attentatoire à la vie privée, il faut garder à l'esprit l'objectif sous-tendant l'introduction de cette condition dans le contexte du critère de la personne raisonnable, énoncé au paragraphe 5(3) [de la LPRPDE].

Simplement dit, une personne raisonnable considérerait-elle qu'il convient en l'espèce pour Telus de recueillir votre empreinte vocale pour permettre l'accès aux fonctions d'e.Speak? L'entreprise a donné trois motifs justifiant l'introduction d'e.Speak dans sa technologie de mot de passe vocal : la sécurité, l'efficacité et la réduction des coûts. Il est clair qu'un tel système est plus efficace et moins coûteux que les procédures administratives et la gestion des mots de passe. Et il est logique que l'entreprise veuille faire des économies et accroître son efficacité pour demeurer concurrentielle dans l'industrie des télécommunications. Toutefois, l'argument le plus persuasif est la nécessité du recours à un mot de passe vocal pour assurer la sécurité. Telus a évalué les risques associés à la gestion d'une grande quantité de données concernant la clientèle, et conclu qu'e.Speak offrait le meilleur niveau de protection contre les accès illicites. Cette approche proactive vise à protéger les renseignements personnels de la clientèle et à satisfaire la clientèle, qui s'attend à ce que ses données soient protégées.

La Loi vise à établir un équilibre entre, d'une part, le droit d'une personne à la protection de sa vie privée en ce qui concerne ses renseignements personnels et, d'autre part, la nécessité pour les organisations de recueillir, d'utiliser ou de communiquer des renseignements personnels à des fins acceptables dans les circonstances. L'atteinte à la vie privée est-elle proportionnelle aux bénéfices que tirera vraisemblablement l'entreprise? Pour répondre à cette question, il faut d'abord évaluer dans quelle mesure l'empreinte vocale porte réellement atteinte à la vie privée.


Il ne fait aucun doute qu'une empreinte vocale constitue une atteinte à la personne. Telus recueille les caractéristiques comportementales et physiques qui rendent votre voix unique. Mais dans quelle mesure est-ce révélateur à votre égard? À elle seule, une empreinte vocale peut-elle révéler par exemple vos antécédents de travail, votre état de santé ou vos antécédents judiciaires, le cas échéant? À mon avis, l'empreinte vocale ne révèle que peu de choses à propos d'une personne; la question est donc de savoir si elle peut servir à révéler d'autres renseignements à propos d'une personne ou être autrement utilisée à mauvais escient. Bien entendu, vous avez exprimé des réserves quant aux divers usages auxquels pourrait être affectée votre empreinte vocale, par exemple pour espionner des employés ou identifier un employé participant à une émission radio pour critiquer son employeur. Mais ceux qui vous connaissent connaissent également votre voix. Si un employé ayant publiquement dénoncé son employeur dans le cadre d'une émission radiophonique a été entendu par son superviseur, la présence d'une empreinte vocale consignée dans les dossiers de l'employeur ne change rien aux chances qu'il a de démasquer son employé. En outre, Telus a démontré à notre satisfaction que sur le plan technique, elle ne peut utiliser les empreintes vocales dans la configuration technique actuelle que pour des fins d'authentification, et non pour espionner ou à d'autres fins préjudiciables. Dans le contexte de la présente plainte, l'utilisation d'une empreinte vocale uniquement à des fins d'authentification m'apparaît donc relativement inoffensive.

D'autre part, la nécessité pour Telus de demeurer concurrentielle a une incidence très concrète sur les employés. Si un tiers accédait à des données concernant la clientèle, la confiance qu'ont les consommateurs dans la capacité de l'entreprise de protéger ses renseignements serait sérieusement ébranlée. Sur le marché actuel où la concurrence est très vive, les consommateurs se tourneraient probablement vers une autre entreprise et pourraient ainsi infliger d'énormes pertes à Telus. Les économies découlant de la rationalisation des pratiques commerciales sont également importantes sur le marché actuel. L'entreprise qui ne peut pas faire des bénéfices et demeurer concurrentielle se voit contrainte de fermer ses portes, avec les pertes d'emploi qui s'ensuivent. Étant donné que l'empreinte vocale ne semble pas constituer une mesure indûment envahissante, il appert qu'on a atteint un juste équilibre. Cela ne veut pas dire que n'importe quelle mesure attentatoire à la vie privée prise par une entreprise serait considérée appropriée. L'atteinte à la vie privée doit toujours être soupesée en fonction des bénéfices, et les objectifs sous-tendant la mesure doivent être fondés sur un besoin justifiable.

À notre avis, une personne raisonnable estimerait probablement que les fins poursuivies par Telus sont acceptables dans les circonstances. L'entreprise en a informé les employés, et elle a clairement mis en place des mesures de protection appropriées pour protéger les renseignements issus des empreintes vocales. Compte tenu de ce qui précède, je conclus que Telus se conforme au paragraphe 5(3) ainsi qu'aux principes 4.2 et 4.7.

Pour revenir à la question du consentement, les employés sont tenus, comme condition d'emploi, de consigner certains renseignements relatifs à leur emploi. Telus est-elle tenue de vous offrir une autre possibilité? Étant donné que les fins (expliquées aux employés) visées par la collecte et l'utilisation de l'empreinte vocale sont raisonnables, et que le recours à un mécanisme autre que e.Speak n'assurerait pas le niveau de sécurité souhaité et, partant, ne permettrait pas l'atteinte de ces objectifs, je dois répondre par la négative. Je suis d'avis que la collecte et l'utilisation de cette donnée biométrique particulière dans les circonstances est raisonnable. Je conclus donc que les exigences relatives au consentement énoncées au principe 4.3 ont été remplies.

En conséquence, je conclus à l'absence de bien-fondé de la partie de votre plainte concernant la collecte de l'empreinte vocale.


Vous avez également soulevé des réserves quant à l'application concernant les rapports d'absence. Nous convenons qu'e.Speak ne devrait pas demander aux employés de consigner les raisons médicales expliquant leur état de santé. Fournir un tel renseignement à un gestionnaire pour justifier la prise d'une journée de maladie est une mesure excessive qui contrevient au principe 4.4, lequel restreint la collecte de renseignements personnels à ce qui est nécessaire aux fins déterminées. Telus a convenu de modifier l'application relative aux rapports d'absence dans e.Speak de manière à ce que les employés n'aient pas à préciser les motifs pour lesquels ils sont malades. Je demande à l'entreprise de me faire rapport dans les 120 jours de la date de la présente conclusion pour confirmer la mise en oeuvre de ces modifications.

En conséquence, je considère résolue la partie de votre plainte traitant de la collecte des renseignements personnels au moyen de l'application concernant les rapports d'absence.

[Non souligné dans l'original]

[23]            La représentante de la commissaire poursuit sa lettre en faisant état des recours qui s'offrent au demandeur Randy Turner en application de l'article 14 de la LPRPDE - recours dont se sont prévalus les demandeurs individuels en l'espèce. À l'audience, aucun recours ne visait la conclusion de la commissaire quant aux raisons médicales justifiant les congés de maladie, puisque chaque demandeur individuel a essentiellement eu gain de cause devant la commissaire à cet égard.

LES MESURES DE RÉPARATION DEMANDÉES

[24]            Les mesures de réparation sollicitées en l'espèce n'étaient pas tout à fait identiques, d'un demandeur àl'autre, dans les avis de demande déposés. Cela dit, les demandeurs ont sollicité un ensemble uniforme de réparations dans leur mémoire conjoint des faits et du droit :

[traduction] Les demandeurs sollicitent :


Un jugement déclaratoire portant que Telus a contrevenu aux paragraphes 5(1) et 5(3) de la LPRPDE en obligeant ses employés, y compris les demandeurs, à fournir des renseignements personnels à caractère biométrique devant servir à authentifier leur identité.

Un jugement déclaratoire portant que Telus a contrevenu aux paragraphes 5(1) et 5(3) de la LPRPDE en obligeant ses employés à fournir les raisons médicales justifiant la prise de congés de maladie.

Une ordonnance fondée sur l'alinéa 16a) de la LPRPDE enjoignant à Telus de corriger ses pratiques en :

1.          renonçant à obliger ses employés à fournir des renseignements personnels à caractère biométrique; et

2.          renonçant à obliger ses employés à fournir les raisons médicales justifiant la prise de congés de maladie.

Une ordonnance fondée sur l'alinéa 16b) de la LPRPDE enjoignant à Telus de publier un avis énonçant les mesures prises ou envisagées pour corriger ses pratiques.

Une ordonnance fondée sur l'alinéa 16c) de la LPRPDE enjoignant à Telus d'accorder des dommages-intérêts - dont le montant sera déterminé par la Cour - au demandeur Henry Fenske en réparation de l'humiliation qu'il a subie par suite de la contravention de Telus à la LPRPDE.

Dépens de la présente demande

Toute autre mesure de réparation demandée par l'avocat lors de l'audition de la présente demande et que la Cour jugera appropriée.


[25]            Au terme de l'audience, la liste précédente énumérant les réparations demandées a été revue. L'avocate de Telus a prétendu que si les demandeurs obtenaient gain de cause, elle devrait avoir l'occasion de se pencher sur les mesures de réparation sollicitées et de faire valoir son point de vue tant sur leur forme que sur leur contenu. L'avocat de la commissaire ne s'est pas prononcé sur les réparations appropriées, sinon de dire qu'aucuns dépens ne devraient être adjugés ou imposés à la commissaire. Toujours sur la question des dépens, l'avocat des demandeurs a soutenu que si Telus obtenait gain de cause, aucuns dépens ne devraient être adjugés contre les demandeurs parce que la demande a soulevédes questions graves de portée générale et parce que Telus a eu un comportement quelque peu cavalier à l'endroit de ses employés quant à la mise en oeuvre d'e.Speak et de la technologie Nuance Verifier - argument pour lequel jprouve une certaine sympathie.

[26]            Comme nous l'avons souligné, les demandeurs ont abandonné la seconde mesure de réparation demandée au regard de la fourniture des raisons médicales justifiant la prise de congés de maladie, étant donné qu'ils ont essentiellement eu gain de cause devant la commissaire à ce chapitre.

[27]            Une modification au premier volet de la troisième mesure de réparation a été proposée de manière à exclure toute injonction interdisant que les employés soient contraints de fournir des renseignements personnels à caractère biométrique advenant une modification à la convention collective en cause pour prévoir une telle éventualité. Le deuxième volet de la troisième mesure de réparation, c'est-à-dire l'obtention d'une ordonnance enjoignant à Telus de renoncer à obliger ses employés à fournir des raisons médicales justifiant la prise de congés de maladie, a lui aussi été abandonné.

[28]            Enfin, j'ai informé les avocats que je n'étais pas enclin à ordonner le versement de dommages-intérêts.

[29]            À l'audience, les avocats n'ont pas demandé d'autres mesures de réparation.

LES QUESTIONS EN LITIGE

[30]            Une procédure introduite sous le régime de l'article 14 de la LPRPDE n'est pas un contrôle judiciaire du rapport de la commissaire, ni de ses conclusions ou recommandations. Il s'agit plutôt d'une demande nouvelle, adressée à la Cour, qui s'apparente à une procédure de novo. Voici ce qu'a écrit le juge Décary aux paragraphes 47 et 48 de l'arrêt Englander c. Telus Communications Inc.[12] :

[...] Je ne vois aucune différence du point de vue procédural entre la possibilité de « former un recours devant le tribunal » ( « apply to the Court for a remedy » ) garantie par le paragraphe 77(1) de la Loi sur les langues officielles et celle de demander « que la Cour entende » une question ( « apply to the Court for a hearing » ) que prévoit le paragraphe 14(1) de la Loi. Les enquêtes qu'effectuent la commissaire aux langues officielles et la commissaire à la protection de la vie privée à la suite d'une plainte suivent fondamentalement le même modèle. Dans les deux cas, le plaignant peut former une demande devant la Cour fédérale, demande qui fera l'objet d'une instruction sommaire. Ce qui est en question dans les deux sortes de procédures, ce n'est pas le rapport de la commissaire, mais la conduite de la partie contre laquelle la plainte est déposée. Et le pouvoir de réparation de la Cour sous le régime de la LPRPDE, même s'il n'est pas défini dans le langage de la Charte est remarquablement large.

Par conséquent, suivant l'interprétation retenue dans l'arrêt Forum des maires, l'audience visée au paragraphe 14(1) de la Loi est une procédure de novo analogue à une action, et le rapport de la commissaire, s'il est produit en preuve, peut être contesté ou contredit comme n'importe quel autre élément de la preuve documentaire.

[31]            Au vu de ce qui précède, l'avocat du demandeur a relevé les questions en litige en l'espèce comme étant :


1.              [traduction] Telus a-t-elle satisfait à ses obligations découlant de la LPRPDE, soit obtenir le consentement préalable des employés avant de recueillir et d'utiliser les renseignements personnels à caractère biométrique qui leur sont propres?

2.              Les motifs invoqués par Telus pour recueillir et utiliser des renseignements personnels à caractère biométrique constituent-ils des fins qu'une personne raisonnable estimerait acceptables dans les circonstances?[13]

[32]            Bien que l'avocate de Telus formule les questions en litige d'une manière différente, je suis convaincu qu'il n'y a pas de désaccord sur le fond. Cela dit, l'avocate de Telus soulève une troisième question litigieuse, soit la qualité pour agir du TWU en l'espèce.

[33]            À l'instar de Telus, l'avocat de la commissaire soulève lui aussi la question de la qualité pour agir du TWU. En outre, l'avocat de la commissaire soulève des questions concernant : la valeur probante qu'il convient d'accorder aux facteurs dont la commissaire a tenu compte dans la pondération des droits des parties au regard du paragraphe 5(3) de la LPRPDE; s'il convient pour la Cour d'appliquer le cadre juridique et analytique ainsi que les facteurs qu'a considérés la commissaire dans l'exercice de pondération de ces droits; le rôle qu'est appelé à jouer un syndicat comme le TWU lorsqu'un employeur comme Telus cherche à obtenir le consentement de ses employés à l'égard de la collecte et l'utilisation de renseignements personnels; et les principes qui doivent régir l'appréciation du consentement des demandeurs à la collecte et à l'utilisation de leurs renseignements personnels conformément au principe 4.3 de l'annexe 1 à la LPRPDE.


ANALYSE

a)          La qualité pour agir du Telecommunications Workers Union

[34]            Le paragraphe 11(1) de la LPRPDE (reproduit en annexe aux présents motifs) prévoit que tout intéressé peut déposer auprès du commissaire une plainte contre une organisation comme Telus qui contrevient à l'une des dispositions de la section 1 de la LPRPDE ou qui omet de mettre en oeuvre une « recommandation » énoncée dans l'annexe 1. Les articles 5 à 10 de la LPRPDE constituent cette section 1 et sont chapeautés par la rubrique « Protection des renseignements personnels » . Les « principes » énoncés dans l'annexe aux présents motifs se trouvent tous à l'annexe 1 de la LPRPDE et font vraisemblablement partie des « recommandations » visées au paragraphe 11(1). Les demandeurs individuels ont déposé de telles plaintes, lesquelles ont fait l'objet d'une enquête et auxquelles la commissaire a répondu, donnant ainsi lieu à la présente instance. Le Telecommunications Workers Union n'a pas déposé une telle plainte et les avocats de Telus et de la commissaire ont prétendu que, n'étant pas un « intéressé » , il n'en avait pas le droit.


[35]            En application du paragraphe 14(1) de la LPRPDE[14], un plaignant peut demander à la Cour de l'entendre après avoir reçu le rapport du commissaire concernant sa plainte. Le Telecommunications Workers Union prétend saisir la Cour conformément au paragraphe 14(1) de la LPRPDE.

[36]            Je suis convaincu que le Telecommunications Workers Union ne pouvait saisir la Cour et qu'il n'est pas partie à l'instance. Comme je l'ai déjà souligné, celui-ci n'a pas déposé de plainte en conformité avec le paragraphe 11(1) de la LPRPDE et, partant, n'est pas un « plaignant » au sens du paragraphe 14(1). En outre, même à supposer que celui-ci ait été un « plaignant » en bonne et due forme, la Cour ne dispose d'aucune preuve selon laquelle le syndicat aurait reçu l'un quelconque des rapports de la commissaire dont la Cour est saisie, ou qu'il aurait eu le droit de les recevoir.

[37]            Enfin, je suis convaincu que pour les fins de cette question litigieuse, le Telecommunications Workers Union n'est pas un « intéressé » au sens du paragraphe 11(1) de la LPRPDE. Je n'ai pas à me pencher sur la question de savoir s'il convient d'étendre la définition d' « intéressé » au Telecommunications Workers Union - ou à un syndicat équivalent - lorsqu'une convention collective signée entre lui et un employeur, comme Telus, l'autorise ou l'oblige à représenter ses membres, pour les fins du consentement, en rapport avec une question visée par la LPRPDE.


[38]            En définitive, j'ai indiqué au cours de l'audience que je rendrais une ordonnance rayant le nom du Telecommunications Workers Union comme demandeur en l'instance. Cette conclusion de la Cour n'a essentiellement eu aucune incidence sur l'audience, étant donné que le même avocat représentait devant la Cour les demandeurs individuels et le Telecommunications Workers Union.

b)          En l'espèce, la collecte de renseignements personnels a-t-elle étéeffectuée uniquement à des fins qu'une personne raisonnable estimerait acceptables dans les circonstances ?

[39]            Telle que formulée, la question en litige reflète le libellé du paragraphe 5(3) de la LPRPDE énoncé dans l'annexe aux présents motifs. Il s'agit de la reconnaissance des caractéristiques de la voix d'une personne comme étant des renseignements personnels; celle-ci n'est pas contestée en l'espèce et je l'accepte sans réserve. Le paragraphe 5(3) appelle une pondération des droits du point de vue d'une personne raisonnable. En l'espèce, il s'agit des intérêts commerciaux allégués par Telus par rapport aux droits à la vie privée de ses employés, comme l'ont fait valoir les demandeurs individuels. Aucun droit n'est absolu.

[40]            S'exprimant au nom de la Cour, le juge Binnie a écrit au paragraphe 25 de l'arrêt R. c. Tessling[15] :

La vie privée étant une notion protéiforme, il est difficile de fixer la limite du « caractère raisonnable » . Dans l'arrêt Plant, précité, p. 293, le juge Sopinka a proposé la solution suivante relativement à l'aspect informationnel du droit à la vie privée :


Étant donnéles valeurs sous-jacentes de dignité, d'intégritéet d'autonomie qu'il consacre, il est normal que l'article 8 de la Charte protège un ensemble de renseignements biographiques d'ordre personnel que les particuliers pourraient, dans une société libre et démocratique, vouloir constituer et soustraire à la connaissance de l'État. Il pourrait notamment s'agir de renseignements tendant à révéler des détails intimes sur le mode de vie et les choix personnels de l'individu.                                                                                                                            [souligné dans l'original]

[41]            Bien que dans l'arrêt Tessling la Cour suprême se soit penchée sur la notion de vie privée dans un cadre passablement différent, soit celui du droit pénal et d'une contestation fondée sur la Charte, je suis convaincu que son raisonnement s'applique en l'espèce. La protection de la vie privée est une notion variable et évolutive, c'est-à-dire « protéiforme » . Les droits en matière de vie privée ne sont ni absolus, ni insignifiants. Situés entre ces deux extrêmes, ils varient selon le contexte factuel dans lequel s'inscrit leur examen. Compte tenu de la preuve dont je suis saisi, je fais mienne la conclusion de la commissaire selon laquelle les caractéristiques de la voix sont certes des renseignements personnels, mais se trouvant davantage à l'extrémité inférieure du spectre que je viens de décrire, quoiqu'en disent les demandeurs individuels.


[42]            Dans l'arrêt R. c. Edwards[16], toujours en droit pénal, le juge Cory a énuméré divers facteurs à prendre en compte par la Cour, au vu de la preuve dont elle dispose, pour décider s'il existe une attente raisonnable en matière de vie privée. L'un de ces facteurs consistait àsavoir si ces renseignements se trouvaient déjà entre les mains des tiers. La voix d'un individu est une caractéristique unique de sa personne qu'il expose chaque jour à un nombre plus ou moins grand de personnes. Je suis convaincu qu'on peut dire sans se tromper que, dans le cadre de leur emploi, les demandeurs individuels ont exposé chaque jour les caractéristiques uniques de leur voix à des collègues, et probablement aussi à des tiers. C'est cette même caractéristique unique de leur personne que Telus a cherché à faire enregistrer - et pas simplement à faire exposer - sous forme numérique, et non pas dans sa forme naturelle.

[43]            Telus a fourni à ses employés une quantité appréciable d'informations - quoique intéressées -concernant les caractéristiques de la technologie Nuance Verifier, les fins auxquelles serviraient les enregistrements numériques des caractéristiques de la voix et les mesures de sécurité qui seraient prises pour protéger les enregistrements numériques.

[44]            Par contraste, l'avocat des demandeurs individuels a soulevé le spectre des utilisations futures possibles sur fond orwellien et dans l'éventualitéhautement hypothétique d'une violation des mesures de sécurité adoptées par Telus.


[45]            Je suis convaincu que le critère des fins qu'une personne raisonnable estimerait acceptables dans les circonstances doit être appliqué compte tenu des circonstances telles qu'elles existent. J'accepte que les circonstances puissent changer, que de nouvelles utilisations et de nouvelles applications puissent être envisagées et adoptées, et que de nouvelles technologies visant à déjouer les mesures de sécurité puissent être développées. Je suis convaincu que ce n'est que lorsqu'elles seront concrètes et significatives, et non pas hypothétiques, qu'il conviendra de se pencher sur ces nouvelles utilisations et applications, et sur les modifications technologiques susceptibles de rendre insuffisantes les mesures de sécurité prises par Telus.

[46]            Je suis également convaincu que les propos qui précèdent sont étayés par le raisonnement du juge Binnie au paragraphe 55 de l'arrêt Tessling, précité, où celui-ci a commenté en ces termes le raisonnement de la juge de la Cour d'appel :

Je suis d'accord avec la juge Abella que le spectre de la surveillance technologique de nos résidences par l'État a de quoi inquiéter vivement. Notre divergence d'opinion tient peut-être à ce que j'estime qu'il faut évaluer les techniques en fonction de leurs capacités actuelles. Tout développement qui pourra survenir devra être examiné par les tribunaux. Les problèmes devraient être analysés au moment où ils se posent véritablement. [...]

                                                                                         [souligné dans l'original]

À mon sens, les propos du juge Binnie s'appliquent directement en l'espèce si on les modifie de la manière suivante :

Je suis d'accord [...] que le spectre de l'utilisation par Telus d'empreintes vocales - recueillies avec le consentement des personnes concernées à des fins particulières - à des fins qui constituent une extension déraisonnable du dessein original, ou le spectre d'une violation des mesures de sécurité protégeant le stockage des empreintes vocales, a de quoi inquiéter vivement. Notre divergence d'opinion tient peut-être à ce que j'estime qu'il faut évaluer la collecte et l'utilisation en fonction des circonstances actuelles. Les tribunaux se pencheront en temps et lieu sur tout développement qui surviendra alors. Les problèmes devraient être analysés au moment où ils se posent véritablement.

[47]            Toujours dans l'arrêt Englander c. TELUS Communications Inc., le juge Décary a écrit aux paragraphes 38 et 39 :


L'objet de la LPRPDE est tout à fait différent. Il est certes axé sur la protection de la vie privée des personnes, mais il se rapporte aussi à la collecte, à l'utilisation et à la communication de renseignements personnels par les organisations. Cet objet est de faire en sorte que lesdites collecte, utilisation et communication soient exécutées d'une manière qui concilie, dans toute la mesure du possible, le droit de la personne à la vie privée et les besoins de l'organisation. Il y a donc deux intérêts concurrents dans l'objet de la LPRPDE : le droit de la personne à la vie privée d'une part, et le besoin commercial d'accès aux renseignements personnels d'autre part. Cependant, il y est expressément reconnu - par l'emploi des termes « à des fins qu'une personne raisonnable estimerait acceptables dans les circonstances » , qui sont repris au paragraphe 5(3) - que le droit à la vie privée n'est pas absolu.

La LPRPDE est un compromis, sous le rapport aussi bien de la forme que du fond.

[48]            Compte tenu, d'une part, de ce qui précède et, d'autre part, de la brève analyse précédente portant sur le caractère délicat des empreintes vocales comme renseignements personnels, les mesures de sécurité mises en oeuvre par Telus, les intérêts commerciaux légitimes de Telus tel qu'il ressort de la preuve dont dispose la Cour et que vise la collecte d'empreintes vocales, l'efficacité de l'utilisation des empreintes vocales dans l'atteinte de ces objectifs, le caractère raisonnable de la collecte d'empreintes vocales par rapport à d'autres méthodes permettant d'atteindre le même niveau de sécurité à des coûts et avec des avantages opérationnels comparables, et la proportionnalité de l'atteinte à la vie privée par rapport au coût et aux avantages opérationnels compte tenu des mesures de sécuritéfournies par Telus, je conclus qu'une personne raisonnable estimerait acceptable la collecte des renseignements issus des empreintes vocales en l'espèce, dans les circonstances pertinentes à la présente instance et compte tenu des mesures de sécurité prises par Telus.


c)          Telus s'est-elle acquittée des obligations qui lui incombent en vertu de la LPRPDE en matière de consentement?

[49]            Il n'a pas été contesté devant la Cour que le consentement à la collecte, àl'utilisation ou à la communication de renseignements personnels provenant d'un employé est nécessaire « à moins qu'il ne soit pas approprié de le faire » , et sous réserve de certaines exceptions. Le principe général est consacré au principe 4.3, dont les dispositions pertinentes sont reproduites à l'annexe jointe aux présents motifs. Je suis convaincu que l'exception « à moins qu'il ne soit pas approprié de le faire » ne s'applique pas en l'espèce.

[50]            Le paragraphe 7(1) de la Loi, dont le libellé a aussi été reproduit en annexe, énumère d'autres exceptions au principe général. Seules deux de ces exceptions pourraient s'appliquer en l'espèce : premièrement, celle qui figure à l'alinéa 7(1)a) portant que la collecte du renseignement est manifestement dans l'intérêt de l'intéressé et que le consentement ne peut être obtenu auprès de celui-ci en temps opportun; deuxièmement, celle qui est énoncée à l'alinéa 7(1)d), soit qu'il s'agit d'un renseignement réglementaire auquel le public a accès.


[51]            Sur la base des faits dont dispose la Cour où l'employeur sollicite le consentement d'un grand nombre de ses employés, qui le lui donnent, sauf pour une très petite minorité - comme en l'espèce -, j'hésite à conclure que le Parlement a voulu que cette petite minorité puisse paralyser l'action que l'employeur juge aller dans le sens de ses intérêts commerciaux, et acceptée comme telle par la vaste majorité des employés concernés. J'estime que cette situation est visée par l'alinéa 7(1)a). Par conséquent, dans les circonstances dont la Cour est saisie en l'espèce, une organisation - en l'occurrence Telus - est habilitée à recueillir des renseignements personnels sans le consentement des intéressés, comme les demandeurs individuels, lorsque cette collecte est manifestement dans l'intérêt des intéressés et que leur consentement ne peut être obtenu en temps opportun.

[52]            Au vu des faits de l'espèce, Telus a cherché à obtenir des empreintes vocales d'un grand nombre d'employés dont la vaste majorité ont consenti. Ceux qui n'ont pas consenti savaient que Telus désirait obtenir leur consentement. Ils ont continué à refuser de consentir, de sorte que leur consentement ne puisse être obtenu « en temps opportun » . Ils ont exercé leur droit de porter plainte auprès de la commissaire. Ils ont obtenu de la commissaire un rapport concluant que le souhait de Telus d'obtenir leur consentement était raisonnable. Ces mêmes employés se sont prévalus de leur droit de saisir la Cour pour qu'elle se livre à un examen de novo de la situation. À supposer que la Cour ne leur donne pas gain de cause, et ce sera le cas, il ne serait pas dans l'intérêt de la justice qu'il en résulte une impasse.


[53]            Je suis convaincu que les présentes circonstances sont celles que vise l'alinéa 7(1)a) de la LPRPDE. Bien que cette disposition ne permette pas à Telus de procéder intégralement à la mise en oeuvre de e.Speak ni d'obliger les employés à s'y inscrire, j'estime qu'elle habilitera Telus, d'une part, à poursuivre la mise en oeuvre d'e.Speak au rythme actuel et, d'autre part, àimposer des « mesures disciplinaires progressives » raisonnables dans les circonstances aux employés qui, comme les demandeurs individuels, continueront à refuser de consentir.

[54]            Par contre, j'en viens également à la conclusion que l'alinéa 7(1)d) de la LPRPDE n'est d'aucun secours à Telus en l'espèce. Bien que l'on puisse prétendre que « le public a accès » aux caractéristiques vocales, cette forme de renseignements personnels n'est visée par aucun règlement pris en application de la LPRPDE.

[55]            Si l'analyse que je fais de la portée de l'alinéa 7(1)a) de la LPRPDE s'avère erronée, je crois qu'il existe une autre solution pour éviter l'impasse susceptible de découler de l'obligation absolue d'obtenir le consentement de chaque intéressé. Voici mon analyse.

[56]            Il n'a pas été contesté devant la Cour que trois (3) des demandeurs individuels n'ont jamais donné leur consentement pour participer à la procédure d'inscription de Nuance Verifier. Le quatrième demandeur individuel a donné son consentement et pris part au processus, mais il a retiré son consentement conformément au droit que lui reconnaît le principe 4.3.8.


[57]            L'avocat des demandeurs individuels prétend que le consentement à la communication de renseignements personnels à caractère biométrique est une condition d'emploi et qu'à ce titre, vu la convention collective conclue entre Telus et le TWU pour le compte de certains employés de celle-ci, dont les demandeurs individuels, un tel consentement - eût-il été donné - ne pourrait leur être opposé étant donnéque [traduction] « [les] conditions d'emploi doivent être négociées avec le Telecommunications Workers Union, ce qui n'a pas eu lieu en matière de communication des renseignements personnels à l'égard de laquelle un consentement est recherché dans le cadre de l'instance » .

[58]            L'avocate de Telus prétend que le consentement à la communication des renseignements personnels en cause n'est tout simplement pas une condition d'emploi et que, partant, les efforts faits par Telus pour obtenir directement des demandeurs individuels leur consentement sont tout à fait appropriés et que le TWU n'avait rien à voir avec l'obtention de ces consentements.

[59]            J'accepte les prétentions de Telus à cet égard. Cela dit, lorsqu'il appert clairement à la Cour qu'il est de notoriété publique que les relations entre Telus et le TWU - représentant un nombre important d'employés de Telustaient loin dtre cordiales pendant toute la période pertinente, il s'avère pour le moins surprenant - voire étonnant - que Telus n'ait pas apparemment mis le TWU à contribution pour l'obtention des consentements à la mise en oeuvre d'e.Speak.


[60]            Il n'est pas contesté devant la Cour que, malgré le refus des trois demandeurs individuels de consentir aux échantillons vocaux et le retrait du consentement du quatrième, la grande majorité de leurs collègues chez Telus touchés par la mise en oeuvre de e.Speak ont consenti et fourni des échantillons vocaux pour l'application de Nuance Verifier. Il n'est pas non plus contesté qu'une personne stant portée volontaire pour fournir un échantillon vocal s'est avérée incapable de remplir les exigences et ce, pour des raisons médicales. Des dispositions ont été prises pour l'accommoder. Enfin, il n'est pas non plus contesté qu'en dépit des « menaces » de Telus d'imposer des « mesures disciplinaires progressives » aux employés à qui elle avait demandé de s'inscrire et qui lui ont opposé un refus, aucune mesure disciplinaire n'a été imposée et que rien dans les éléments de preuve dont dispose la Cour ne démontre que ces mesures auraient pu comprendre un renvoi, ce qui aurait de fait élevé le consentement au rang de condition d'emploi.

[61]            Au vu de la preuve dont je suis saisi, je suis convaincu que Telus a eu une conduite quelque peu cavalière lorsqu'elle a tenté d'obtenir le consentement de ses employés à la procédure d'inscription et que, depuis le début de ladite procédure, elle s'est montrée peu disposée à dire ce qu'elle entendait par « mesures disciplinaires progressives » . Cela dit, j'estime que Telus a été assez franche sur d'autres aspects de ses consultations avec les employés qu'elle souhaitait voir s'inscrire, qu'elle a été raisonnablement patiente au cours de cette procédure et que, règle générale, elle n'a pas contraint ses employés à s'inscrire ni ne les a-t-elle harcelés à cette fin.


[62]            La question en litige se résume donc àceci : « Quelles sont les conséquences découlant de l'omission de Telus d'obtenir le consentement d'une petite minorité d'employés concernés, en l'occurrence les demandeurs individuels, à s'inscrire au programme e.Speak, alors que l'application de « mesures disciplinaires progressives » pour sanctionner leur refus n'est pas seulement implicite mais bien explicite, et que la Cour n'est saisie d'aucune preuve portant que Telus poussera ces « mesures disciplinaires progressives » jusqu'au renvoi, faisant ainsi du consentement une condition d'emploi? » .

[63]            À mon avis, cette question n'a pas à être examinée ici. Telus a mis en oeuvre e.Speak dans une très large mesure. Une très petite minorité d'employés - peut-être seuls les demandeurs individuels mais peut-être aussi d'autres employés - s'y opposent en principe. Rien ne permet de conclure que les « mesures disciplinaires progressives » susceptibles d'être imposées aux employés récalcitrants puissent aller jusqu'à leur renvoi. Jusqu'ici, j'accepte les prétentions de l'avocate de Telus selon lesquelles Telus a simplement agi, dans l'exercice de ses droits de gestion résiduels, selon ce qu'elle croit être dans le meilleur intérêt de son entreprise et donc - on pourrait le croire - de ses employés, y compris les demandeurs individuels. Je ne peux conclure que l'obligation de Telus d'obtenir le consentement des demandeurs individuels à la mise en oeuvre du système e.Speak l'empêche de mettre en oeuvre ce système à l'égard de la grande majorité de ses employés à qui elle souhaite le rendre applicable.

[64]            L'avocat des demandeurs individuels invoque le principe 4.3.3 à l'encontre de ma conclusion à cet égard. J'en reproduis le libellé par souci de commodité, tel qu'il appert dans l'annexe aux présents motifs :

Une organisation ne peut pas, pour le motif qu'elle fournit un bien ou un service, exiger d'une personne qu'elle consente à la collecte, à l'utilisation ou à la communication de renseignements autres que ceux qui sont nécessaires pour réaliser les fins légitimes et explicitement indiquées.


En toute déférence, je ne suis pas d'accord que les efforts déployés par Telus pour obtenir des demandeurs individuels qu'ils se soumettent au système e.Speak l'ont été « pour le motif qu'elle fournit un bien ou un service » . En définitive, bien que ma conclusion à cet égard ne change rien au résultat en l'espèce, je ne puis dire que les demandeurs individuels sont habilités à invoquer le principe 4.3.3 sur cette question.

[65]            Cela dit, indépendamment de mon analyse relative à l'interprétation de l'alinéa 7(1)a) de la LPRPDE, je conclus néanmoins que Telus a respecté ses obligations en matière de consentement qui lui incombaient sous le régime de la LPRPDE au regard de la mise en oeuvre d'e.Speak. En rendant e.Speak applicable uniquement aux employés qui ont consenti à l'inscription, Telus a agi dans le cadre de ses droits de gestion résiduels. L'examen des conséquences des « mesures disciplinaires progressives » imposées à l'encontre de la petite minorité d'employés ayant refusé de donner leur consentement - comme ils en ont le droit - devra être reporté à plus tard, dans le cadre d'une autre instance.

d)          Les autres questions litigieuses soulevées par la commissaire


[66]            Comme je l'ai déjà indiqué dans les présents motifs, l'avocat de la commissaire a soulevé d'autres questions litigieuses, y compris celle de savoir l'importance qu'il convient d'accorder aux facteurs dont la commissaire a tenu compte dans son rapport qui a donné lieu à la présente instance; si la Cour doit appliquer le cadre analytique et les critères juridiques étudiés par la commissaire dans l'exercice de pondération des droits des parties, prévu au paragraphe 5(3) de la LPRPDE; le rôle qu'est appelé à jouer le TWU dans l'obtention du consentement des demandeurs individuels et les principes devant guider la question de savoir si les demandeurs individuels ont consenti àla collecte et à l'utilisation de leurs renseignements personnels.

[67]            Ces questions ont été abordées dans une certaine mesure, directement ou indirectement, dans l'analyse qui précède. Dans la mesure où elles n'ont pas été analysées, j'hésite à y répondre parce qu'elles invitent indirectement la Cour à se prononcer sur des questions qui ne se poseraient que dans le cadre d'un contrôle judiciaire. Dans la mesure où ces questions n'ont pas été analysées, la Cour répond qu'elle doit être guidée par la jurisprudence de la Cour d'appel fédérale et, à défaut, par d'autres décisions de la Cour lorsque le contexte s'y prête et, encore à défaut, par les obligations que la Cour elle-même estime relever de la LPRPDE. Autrement et brièvement dit, il n'appartient pas à la commissaire, quelles que soient ses connaissances sur les questions dont la Cour est saisie, d'établir les priorités de la Cour lorsqu'il s'agit, comme en l'espèce, d'audiences analogues à des procédures de novo.

[68]            En conséquence, je refuse de me saisir des questions soulevées par la commissaire dans la mesure où elles n'ont pas déjà été abordées dans les présents motifs.

CONCLUSION

[69]            Les demandes seront rejetées. Comme je l'ai déjà indiqué, je rendrai des ordonnances portant radiation du Telecommunications Workers Union comme demandeur dans chaque instance.


LES DÉPENS

[70]            Encore une fois, comme je l'ai déjà indiqué dans les présents motifs, l'avocat des demandeurs individuels a prétendu que les questions soulevées dans les présentes demandes revêtaient une grande importance et avaient une portée générale. J'en conviens. En outre, l'avocat des demandeurs individuels a souligné que Telus n'avait pas fait preuve de sensibilité ni de franchise dans ses démarches visant à obtenir le consentement, non pas uniquement des demandeurs individuels mais également d'un grand nombre de leurs collègues de travail, à la mise en oeuvre du système e.Speak. Il a tout particulièrement évoqué la menace des « mesures disciplinaires progressives » jamais définies qui pesaient sur ces employés, exerçaient sur eux des pressions injustes et laissent entrevoir de grandes incertitudes quant à la stabilité de leur emploi. Cette prétention m'est également sympathique.

[71]            En définitive, conformément au pouvoir discrétionnaire dont la Cour est investie en application du paragraphe 400(1) des Règles de la Cour fédérale (1998)[17], je n'adjugerai aucuns dépens entre Telus et les demandeurs individuels, ni entre Telus et le Telecommunications Workers Union.

[72]            Enfin, je n'adjugerai aucuns dépens en faveur de la commissaire à la vie privée du Canada ou contre celle-ci. Les prétentions de l'avocat de la commissaire se sont avérées très utiles àla Cour.

                                                                        « Frederick E. Gibson »                      

                                                                                                     Juge                                      

Ottawa (Ontario)

Le 29 novembre 2005

Traduction certifiée conforme

Thanh-Tram Dang, B.C.L., LL.B


                                              ANNEXE

                                        (L.C. 2000, ch. 5)















3. La présente partie a pour objet de fixer, dans une ère où la technologie facilite de plus en plus la circulation et l'échange de renseignements, des règles régissant la collecte, l'utilisation et la communication de renseignements personnels d'une manière qui tient compte du droit des individus à la vie privée à l'égard des renseignements personnels qui les concernent et du besoin des organisations de recueillir, d'utiliser ou de communiquer des renseignements personnels à des fins qu'une personne raisonnable estimerait acceptables dans les circonstances.

...

5. (1) Sous réserve des articles 6 à 9, toute organisation doit se conformer aux obligations énoncées dans l'annexe 1.

(2) L'emploi du conditionnel dans l'annexe 1 indique qu'il s'agit d'une recommandation et non d'une obligation.

(3) L'organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu'à des fins qu'une personne raisonnable estimerait acceptables dans les circonstances.

...

7. (1) Pour l'application de l'article 4.3 de l'annexe 1 et malgré la note afférente, l'organisation ne peut recueillir de renseignement personnel à l'insu de l'intéressé et sans son consentement que dans les cas suivants_:

a) la collecte du renseignement est manifestement dans l'intérêt de l'intéressé et le consentement ne peut être obtenu auprès de celui-ci en temps opportun;

b) il est raisonnable de s'attendre à ce que la collecte effectuée au su ou avec le consentement de l'intéressé puisse compromettre l'exactitude du renseignement ou l'accès à celui-ci, et la collecte est raisonnable à des fins liées à une enquête sur la violation d'un accord ou la contravention du droit fédéral ou provincial;

c) la collecte est faite uniquement à des fins journalistiques, artistiques ou littéraires;

d) il s'agit d'un renseignement réglementaire auquel le public a accès;

e) la collecte est faite en vue_:

(I) soit de la communication prévue aux sous-alinéas (3)c.1)(I) ou d)(ii),

(ii) soit d'une communication exigée par la loi. ...

11. (1) Tout intéressé peut déposer auprès du commissaire une plainte contre une organisation qui contrevient à l'une des dispositions de la section 1 ou qui omet de mettre en oeuvre une recommandation énoncée dans l'annexe 1.

(2) Le commissaire peut lui-même prendre l'initiative d'une plainte s'il a des motifs raisonnables de croire qu'une enquête devrait être menée sur une question relative à l'application de la présente partie.

..

14. (1) Après avoir reçu le rapport du commissaire, le plaignant peut demander que la Cour entende toute question qui a fait l'objet de la plainte -- ou qui est mentionnée dans le rapport -- et qui est visée aux articles 4.1.3, 4.2, 4.3.3, 4.4, 4.6, 4.7 ou 4.8 de l'annexe 1, aux articles 4.3, 4.5 ou 4.9 de cette annexe tels que modifiés ou clarifiés par la section 1, aux paragraphes 5(3) ou 8(6) ou (7) ou à l'article 10.

(2) La demande est faite dans les quarante-cinq jours suivant la transmission du rapport ou dans le délai supérieur que la Cour autorise avant ou après l'expiration des quarante-cinq jours.

(3) Il est entendu que les paragraphes (1) et (2) s'appliquent de la même façon aux plaintes visées au paragraphe 11(2) qu'à celles visées au paragraphe 11(1).

...

16. La Cour peut, en sus de toute autre réparation qu'elle accorde :

a) ordonner à l'organisation de revoir ses pratiques de façon à se conformer aux articles 5 à 10;

b) lui ordonner de publier un avis énonçant les mesures prises ou envisagées pour corriger ses pratiques, que ces dernières aient ou non fait l'objet d'une ordonnance visée à l'alinéa a);

c) accorder au plaignant des dommages-intérêts, notamment en réparation de l'humiliation subie.

ANNEXE 1

(article 5)

PRINCIPES ÉNONCÉS DANS LA NORME NATIONALE DU CANADA INTITULÉE CODE TYPE SUR LA PROTECTION DES RENSEIGNEMENTS PERSONNELS, CAN/CSA-Q830-96

...

4.1.4

Les organisations doivent assurer la mise en oeuvre des politiques et des pratiques destinées à donner suite aux principes, y compris :

a) la mise en oeuvre des procédures pour protéger les renseignements personnels;

b) la mise en place des procédures pour recevoir les plaintes et les demandes de renseignements et y donner suite;

c) la formation du personnel et la transmission au personnel de l'information relative aux politiques et pratiques de l'organisation; et

d) la rédaction des documents explicatifs concernant leurs politiques et procédures.

...

4.2 Deuxième principe -- Détermination des fins de la collecte des renseignements

Les fins auxquelles des renseignements personnels sont recueillis doivent être déterminées par l'organisation avant la collecte ou au moment de celle-ci.

4.2.1

L'organisation doit documenter les fins auxquelles les renseignements personnels sont recueillis afin de se conformer au principe de la transparence (article 4.8) et au principe de l'accès aux renseignements personnels (article 4.9).

4.2.2

Le fait de préciser les fins de la collecte de renseignements personnels avant celle-ci ou au moment de celle-ci permet à l'organisation de déterminer les renseignements dont elle a besoin pour réaliser les fins mentionnées. Suivant le principe de la limitation en matière de collecte (article 4.4), l'organisation ne doit recueillir que les renseignements nécessaires aux fins mentionnées.

4.2.3

Il faudrait préciser à la personne auprès de laquelle on recueille des renseignements, avant la collecte ou au moment de celle-ci, les fins auxquelles ils sont destinés. Selon la façon dont se fait la collecte, cette précision peut être communiquée de vive voix ou par écrit. Par exemple, on peut indiquer ces fins sur un formulaire de demande de renseignements.

4.2.4

Avant de se servir de renseignements personnels à des fins non précisées antérieurement, les nouvelles fins doivent être précisées avant l'utilisation. À moins que les nouvelles fins auxquelles les renseignements sont destinés ne soient prévues par une loi, il faut obtenir le consentement de la personne concernée avant d'utiliser les renseignements à cette nouvelle fin. Pour obtenir plus de précisions sur le consentement, se reporter au principe du consentement (article 4.3).

4.2.5

Les personnes qui recueillent des renseignements personnels devraient être en mesure d'expliquer à la personne concernée à quelles fins sont destinés ces renseignements.

4.2.6

Ce principe est étroitement lié au principe de la limitation de la collecte (article 4.4) et à celui de la limitation de l'utilisation, de la communication et de la conservation (article 4.5).

4.3 Troisième principe - Consentement

Toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire.

Note_: Dans certaines circonstances, il est possible de recueillir, d'utiliser et de communiquer des renseignements à l'insu de la personne concernée et sans son consentement. Par exemple, pour des raisons d'ordre juridique ou médical ou pour des raisons de sécurité, il peut être impossible ou peu réaliste d'obtenir le consentement de la personne concernée. Lorsqu'on recueille des renseignements aux fins du contrôle d'application de la loi, de la détection d'une fraude ou de sa prévention, on peut aller à l'encontre du but visé si l'on cherche à obtenir le consentement de la personne concernée. Il peut être impossible ou inopportun de chercher à obtenir le consentement d'un mineur, d'une personne gravement malade ou souffrant d'incapacité mentale. De plus, les organisations qui ne sont pas en relation directe avec la personne concernée ne sont pas toujours en mesure d'obtenir le consentement prévu. Par exemple, il peut être peu réaliste pour une oeuvre de bienfaisance ou une entreprise de marketing direct souhaitant acquérir une liste d'envoi d'une autre organisation de chercher à obtenir le consentement des personnes concernées. On s'attendrait, dans de tels cas, à ce que l'organisation qui fournit la liste obtienne le consentement des personnes concernées avant de communiquer des renseignements personnels.

...

4.3.1

Il faut obtenir le consentement de la personne concernée avant de recueillir des renseignements personnels à son sujet et d'utiliser ou de communiquer les renseignements recueillis. Généralement, une organisation obtient le consentement des personnes concernées relativement à l'utilisation et à la communication des renseignements personnels au moment de la collecte. Dans certains cas, une organisation peut obtenir le consentement concernant l'utilisation ou la communication des renseignements après avoir recueilli ces renseignements, mais avant de s'en servir, par exemple, quand elle veut les utiliser à des fins non précisées antérieurement.

4.3.2

Suivant ce principe, il faut informer la personne au sujet de laquelle on recueille des renseignements et obtenir son consentement. Les organisations doivent faire un effort raisonnable pour s'assurer que la personne est informée des fins auxquelles les renseignements seront utilisés. Pour que le consentement soit valable, les fins doivent être énoncées de façon que la personne puisse raisonnablement comprendre de quelle manière les renseignements seront utilisés ou communiqués.

...

4.3.4

La forme du consentement que l'organisation cherche à obtenir peut varier selon les circonstances et la nature des renseignements. Pour déterminer la forme que prendra le consentement, les organisations doivent tenir compte de la sensibilité des renseignements. Si certains renseignements sont presque toujours considérés comme sensibles, par exemple les dossiers médicaux et le revenu, tous les renseignements peuvent devenir sensibles suivant le contexte. Par exemple, les nom et adresse des abonnés d'une revue d'information ne seront généralement pas considérés comme des renseignements sensibles. Toutefois, les nom et adresse des abonnés de certains périodiques spécialisés pourront l'être.

4.3.5

Dans l'obtention du consentement, les attentes raisonnables de la personne sont aussi pertinentes. Par exemple, une personne qui s'abonne à un périodique devrait raisonnablement s'attendre à ce que l'entreprise, en plus de se servir de son nom et de son adresse à des fins de postage et de facturation, communique avec elle pour lui demander si elle désire que son abonnement soit renouvelé. Dans ce cas, l'organisation peut présumer que la demande de la personne constitue un consentement à ces fins précises. D'un autre côté, il n'est pas raisonnable qu'une personne s'attende à ce que les renseignements personnels qu'elle fournit à un professionnel de la santé soient donnés sans son consentement à une entreprise qui vend des produits de soins de santé. Le consentement ne doit pas être obtenu par un subterfuge.

4.3.6

La façon dont une organisation obtient le consentement peut varier selon les circonstances et la nature des renseignements recueillis. En général, l'organisation devrait chercher à obtenir un consentement explicite si les renseignements sont susceptibles d'être considérés comme sensibles. Lorsque les renseignements sont moins sensibles, un consentement implicite serait normalement jugé suffisant. Le consentement peut également être donné par un représentant autorisé (détenteur d'une procuration, tuteur).

4.3.7

Le consentement peut revêtir différentes formes, par exemple :

a) on peut se servir d'un formulaire de demande de renseignements pour obtenir le consentement, recueillir des renseignements et informer la personne de l'utilisation qui sera faite des renseignements. En remplissant le formulaire et en le signant, la personne donne son consentement à la collecte de renseignements et aux usages précisés;

b) on peut prévoir une case où la personne pourra indiquer en cochant qu'elle refuse que ses nom et adresse soient communiqués à d'autres organisations. Si la personne ne coche pas la case, il sera présumé qu'elle consent à ce que les renseignements soient communiqués à des tiers;

c) le consentement peut être donné de vive voix lorsque les renseignements sont recueillis par téléphone; ou

d) le consentement peut être donné au moment où le produit ou le service est utilisé.

4.3.8Une personne peut retirer son consentement en tout temps, sous réserve de restrictions prévues par une loi ou un contrat et d'un préavis raisonnable. L'organisation doit informer la personne des conséquences d'un tel retrait.

4.4 Quatrième principe - Limitation de la collecte

L'organisation ne peut recueillir que les renseignements personnels nécessaires aux fins déterminées et doit procéder de façon honnête et licite.

4.4.1

Les organisations ne doivent pas recueillir des renseignements de façon arbitraire. On doit restreindre tant la quantité que la nature des renseignements recueillis à ce qui est nécessaire pour réaliser les fins déterminées. Conformément au principe de la transparence (article 4.8), les organisations doivent préciser la nature des renseignements recueillis comme partie intégrante de leurs politiques et pratiques concernant le traitement des renseignements.

...

4.7 Septième principe - Mesures de sécurité

Les renseignements personnels doivent être protégés au moyen de mesures de sécurité correspondant à leur degré de sensibilité.

4.7.1

Les mesures de sécurité doivent protéger les renseignements personnels contre la perte ou le vol ainsi que contre la consultation, la communication, la copie, l'utilisation ou la modification non autorisées. Les organisations doivent protéger les renseignements personnels quelle que soit la forme sous laquelle ils sont conservés.

4.7.2

La nature des mesures de sécurité variera en fonction du degré de sensibilité des renseignements personnels recueillis, de la quantité, de la répartition et du format des renseignements personnels ainsi que des méthodes de conservation. Les renseignements plus sensibles devraient être mieux protégés. La notion de sensibilité est présentée à l'article 4.3.4.

4.7.3

Les méthodes de protection devraient comprendre :

a) des moyens matériels, par exemple le verrouillage des classeurs et la restriction de l'accès aux bureaux;

b) des mesures administratives, par exemple des autorisations sécuritaires et un accès sélectif; et

c) des mesures techniques, par exemple l'usage de mots de passe et du chiffrement.

4.7.4

Les organisations doivent sensibiliser leur personnel à l'importance de protéger le caractère confidentiel des renseignements personnels.

4.7.5

Au moment du retrait ou de la destruction des renseignements personnels, on doit veiller à empêcher les personnes non autorisées d'y avoir accès (article 4.5.3).          

3. The purpose of this Part is to establish, in an era in which technology increasingly facilitates the circulation and exchange of information, rules to govern the collection, use and disclosure of personal information in a manner that recognizes the right of privacy of individuals with respect to their personal information and the need of organizations to collect, use or disclose personal information for purposes that a reasonable person would consider appropriate in the circumstances.

...

5. (1) Subject to sections 6 to 9, every organization shall comply with the obligations set out in Schedule 1.

(2) The word "should", when used in Schedule 1, indicates a recommendation and does not impose an obligation.

(3) An organization may collect, use or disclose personal information only for purposes that a reasonable person would consider are appropriate in the circumstances.

...

7. (1) For the purpose of clause 4.3 of Schedule 1, and despite the note that accompanies that clause, an organization may collect personal information without the knowledge or consent of the individual only if

(a) the collection is clearly in the interests of the individual and consent cannot be obtained in a timely way;

(b) it is reasonable to expect that the collection with the knowledge or consent of the individual would compromise the availability or the accuracy of the information and the collection is reasonable for purposes related to investigating a breach of an agreement or a contravention of the laws of Canada or a province;

(c) the collection is solely for journalistic, artistic or literary purposes;

(d) the information is publicly available and is specified by the regulations; or

(e) the collection is made for the purpose of making a disclosure

(I) under subparagraph (3)(c.1)(I) or (d)(ii), or

(ii) that is required by law.

...

11. (1) An individual may file with the Commissioner a written complaint against an organization for contravening a provision of Division 1 or for not following a recommendation set out in Schedule 1.

(2) If the Commissioner is satisfied that there are reasonable grounds to investigate a matter under this Part, the Commissioner may initiate a complaint in respect of the matter.

...

14. (1) A complainant may, after receiving the Commissioner's report, apply to the Court for a hearing in respect of any matter in respect of which the complaint was made, or that is referred to in the Commissioner's report, and that is referred to in clause 4.1.3, 4.2, 4.3.3, 4.4, 4.6, 4.7 or 4.8 of Schedule 1, in clause 4.3, 4.5 or 4.9 of that Schedule as modified or clarified by Division 1, in subsection 5(3) or 8(6) or (7) or in section 10.

(2) The application must be made within forty-five days after the report is sent or within any further time that the Court may, either before or after the expiry of those forty-five days, allow.

(3) For greater certainty, subsections (1) and (2) apply in the same manner to complaints referred to in subsection 11(2) as to complaints referred to in subsection 11(1).

...

16. The Court may, in addition to any other remedies it may give,

(a) order an organization to correct its practices in order to comply with sections 5 to 10;

(b) order an organization to publish a notice of any action taken or proposed to be taken to correct its practices, whether or not ordered to correct them under paragraph (a); and

(c) award damages to the complainant, including damages for any humiliation that the complainant has suffered.

SCHEDULE 1

(Section 5)

PRINCIPLES SET OUT IN THE NATIONAL STANDARD OF CANADA ENTITLED MODEL CODE FOR THE PROTECTION OF PERSONAL INFORMATION, CAN/CSA-Q830-96

...4.1.4

Organizations shall implement policies and practices to give effect to the principles, including

(a) implementing procedures to protect personal information;

(b) establishing procedures to receive and respond to complaints and inquiries;

c) training staff and communicating to staff information about the organization's policies and practices; and

(d) developing information to explain the organization's policies and procedures.

...

4.2 Principle 2 -- Identifying Purposes

The purposes for which personal information is collected shall be identified by the organization at or before the time the information is collected.

4.2.1

The organization shall document the purposes for which personal information is collected in order to comply with the Openness principle (Clause 4.8) and the Individual Access principle (Clause 4.9).

4.2.2

Identifying the purposes for which personal information is collected at or before the time of collection allows organizations to determine the information they need to collect to fulfil these purposes. The Limiting Collection principle (Clause 4.4) requires an organization to collect only that information necessary for the purposes that have been identified.

4.2.3

The identified purposes should be specified at or before the time of collection to the individual from whom the personal information is collected. Depending upon the way in which the information is collected, this can be done orally or in writing. An application form, for example, may give notice of the purposes.

4.2.4

When personal information that has been collected is to be used for a purpose not previously identified, the new purpose shall be identified prior to use. Unless the new purpose is required by law, the consent of the individual is required before information can be used for that purpose. For an elaboration on consent, please refer to the Consent principle (Clause 4.3).

4.2.5

Persons collecting personal information should be able to explain to individuals the purposes for which the information is being collected.

4.2.6

This principle is linked closely to the Limiting Collection principle (Clause 4.4) and the Limiting Use, Disclosure, and Retention principle (Clause 4.5).

4.3 Principle 3 - Consent

The knowledge and consent of the individual are required for the collection, use, or disclosure of personal information, except where inappropriate.

Note: In certain circumstances personal information can be collected, used, or disclosed without the knowledge and consent of the individual. For example, legal, medical, or security reasons may make it impossible or impractical to seek consent. When information is being collected for the detection and prevention of fraud or for law enforcement, seeking the consent of the individual might defeat the purpose of collecting the information. Seeking consent may be impossible or inappropriate when the individual is a minor, seriously ill, or mentally incapacitated. In addition, organizations that do not have a direct relationship with the individual may not always be able to seek consent. For example, seeking consent may be impractical for a charity or a direct-marketing firm that wishes to acquire a mailing list from another organization. In such cases, the organization providing the list would be expected to obtain consent before disclosing personal information.

...

4.3.1

Consent is required for the collection of personal information and the subsequent use or disclosure of this information. Typically, an organization will seek consent for the use or disclosure of the information at the time of collection. In certain circumstances, consent with respect to use or disclosure may be sought after the information has been collected but before use (for example, when an organization wants to use information for a purpose not previously identified).

4.3.2

The principle requires "knowledge and consent". Organizations shall make a reasonable effort to ensure that the individual is advised of the purposes for which the information will be used. To make the consent meaningful, the purposes must be stated in such a manner that the individual can reasonably understand how the information will be used or disclosed.

...

4.3.4

The form of the consent sought by the organization may vary, depending upon the circumstances and the type of information. In determining the form of consent to use, organizations shall take into account the sensitivity of the information. Although some information (for example, medical records and income records) is almost always considered to be sensitive, any information can be sensitive, depending on the context. For example, the names and addresses of subscribers to a newsmagazine would generally not be considered sensitive information. However, the names and addresses of subscribers to some special-interest magazines might be considered sensitive.

4.3.5

In obtaining consent, the reasonable expectations of the individual are also relevant. For example, an individual buying a subscription to a magazine should reasonably expect that the organization, in addition to using the individual's name and address for mailing and billing purposes, would also contact the person to solicit the renewal of the subscription. In this case, the organization can assume that the individual's request constitutes consent for specific purposes. On the other hand, an individual would not reasonably expect that personal information given to a health-care professional would be given to a company selling health-care products, unless consent were obtained. Consent shall not be obtained through deception.

4.3.6

The way in which an organization seeks consent may vary, depending on the circumstances and the type of information collected. An organization should generally seek express consent when the information is likely to be considered sensitive. Implied consent would generally be appropriate when the information is less sensitive. Consent can also be given by an authorized representative (such as a legal guardian or a person having power of attorney).

4.3.7

Individuals can give consent in many ways. For example:

(a) an application form may be used to seek consent, collect information, and inform the individual of the use that will be made of the information. By completing and signing the form, the individual is giving consent to the collection and the specified uses;

(b) a checkoff box may be used to allow individuals to request that their names and addresses not be given to other organizations. Individuals who do not check the box are assumed to consent to the transfer of this information to third parties;

c) consent may be given orally when information is collected over the telephone; or

(d) consent may be given at the time that individuals use a product or service.

4.3.8

An individual may withdraw consent at any time, subject to legal or contractual restrictions and reasonable notice. The organization shall inform the individual of the implications of such withdrawal.

4.4 Principle 4 - Limiting Collection

The collection of personal information shall be limited to that which is necessary for the purposes identified by the organization. Information shall be collected by fair and lawful means.

4.4.1                        

                                                                                                 

Organizations shall not collect personal information indiscriminately. Both the amount and the type of information collected shall be limited to that which is necessary to fulfil the purposes identified. Organizations shall specify the type of information collected as part of their information-handling policies and practices, in accordance with the Openness principle (Clause 4.8).

....

4.7 Principle 7 - Safeguards

Personal information shall be protected by security safeguards appropriate to the sensitivity of the information.

4.7.1

The security safeguards shall protect personal information against loss or theft, as well as unauthorized access, disclosure, copying, use, or modification. Organizations shall protect personal information regardless of the format in which it is held.

4.7.2

The nature of the safeguards will vary depending on the sensitivity of the information that has been collected, the amount, distribution, and format of the information, and the method of storage. More sensitive information should be safeguarded by a higher level of protection. The concept of sensitivity is discussed in Clause 4.3.4.

4.7.3

The methods of protection should include

(a) physical measures, for example, locked filing cabinets and restricted access to offices;

(b) organizational measures, for example, security clearances and limiting access on a "need-to-know" basis; and

(c) technological measures, for example, the use of passwords and encryption.

4.7.4

Organizations shall make their employees aware of the importance of maintaining the confidentiality of personal information.

4.7.5

Care shall be used in the disposal or destruction of personal information, to prevent unauthorized parties from gaining access to the information (see Clause 4.5.3).


                                     COUR FÉDÉRALE

                      AVOCATS INSCRITS AU DOSSIER

DOSSIER :                            T-1865-04

INTITULÉ :                           RANDY TURNER ET

THE TELECOMMUNICATIONS WORKERS

UNION

                                                                                          demandeurs

et

TELUS COMMUNICATIONS INC.

                                                                                        défenderesse

et

LA COMMISSAIRE À LA PROTECTION DE LA VIE PRIVÉE DU CANADA

                                                                                     codéfenderesse

LIEU DE L'AUDIENCE :      VANCOUVER (C.-B.)

DATE DE L'AUDIENCE :    LES 20, 21 ET 22 SEPTEMBRE 2005

MOTIFS DE L'ORDONNANCE : LE JUGE GIBSON

DATE DES MOTIFS :           LE 29 NOVEMBRE 2005

COMPARUTIONS :

David Aaron                            POUR LES DEMANDEURS

Lisa Warren                             POUR LA DÉFENDERESSE

Steven Welchner, Jennifer Barrigar                     POUR LA CODÉFENDERESSE

AVOCATS INSCRITS AU DOSSIER:

Shortt, Moore & Arsenault        POUR LES DEMANDEURS

Avocats                                  

Vancouver (Colombie-Britannique)

Farris, Vaughan, Wills & Murphy                       POUR LA DÉFENDERESSE

Avocats

Vancouver (Colombie-Britannique)

Welchner Law Office,              POUR LA CODÉFENDERESSE

Avocats

Ottawa (Ontario)                  




[1] L.C. 2000, ch. 5.

[2] L.R.C. (1985), ch. P-21.

[3] Dossier des demandeurs, volume 2, onglet F, à la page 187. Dans une note infrapaginale du texte cité, le mot « biométrique » est défini comme [traduction] « la vérification ou l'identification automatisée d'une personne au moyen de ses caractéristiques physiologiques ou comportementales » .

[4] Dossier des demandeurs, volume 2, onglet G, à la page 197.

[5] Dossier des demandeurs, volume 2, onglet F, à la page 189.

[6]Dossier des demandeurs, volume 2, onglet F, à la page 187.

[7]Dossier des demandeurs, volume 2, onglet G, à la page 197.

[8]Dossier des demandeurs, volume 2, onglet B, paragraphe 5, à la page 170.

[9] Dossier des demandeurs, volume 2, onglet N, aux pages 232 à 270.

[10]Partie I de la Loi constitutionnelle de 1982 (L.R.C. 1985, annexe II, no 44), constituant l'annexe B de la Loi de 1982 sur le Canada (R.-U.), 1982, ch. 11.

[11]Dossier des demandeurs, volume 2, onglet O, aux pages 271 à 277.

[12] [2004] A.C.F. no 1935 (Q.L.) (C.A.F.).

[13]Mémoire des faits et du droit des demandeurs, volume distinct, page 12.

[14]Dont le libellé apparaît au paragraphe [1] des présents motifs.

[15][2004] 3 R.C.S. 432.

[16][1996] 1 R.C S. 128.

[17] DORS/98-106.


 Vous allez être redirigé vers la version la plus récente de la loi, qui peut ne pas être la version considérée au moment où le jugement a été rendu.