Accéder, ou ne pas accéder au matériel informatique de son employé, telle est la question

Transcription

1 Accéder, ou ne pas accéder au matériel informatique de son employé, telle est la question Patrick Gingras, avocat et agent de marques de commerce Éloïse Gratton, avocate IT, 31 mars 2014

2 Les opinions exprimées dans cette présentation n engagent que les présentateurs et ne représentent pas nécessairement celles de leur employeur respectif, soit le ministère de la Justice du Québec et McMillan LLP.

3 «Accéder, ou ne pas accéder au matériel informatique de son employé, telle est la question» dans Les développements récents en droit du travail (2014), Barreau du Québec.

4

5 1. Le droit à la vie privée de l employé; 2. La nature des informations susceptibles d être emmagasinées dans un ordinateur; 3. Des facteurs à considérer pour déterminer: l attente de vie privée d un employé eu égard à l information emmagasinée dans un ordinateur; et la légitimé de la vérification par l employeur de l ordinateur utilisé par son employé.

6 1. Le droit à la vie privée de l employé

7 1. «[En] milieu de travail, il est raisonnable de s attendre que l employeur contrôle l utilisation des moyens de communication qui lui appartiennent. Toutefois, l employé a droit au respect de sa vie privée dans l exercice de ce contrôle. Les employés doivent ainsi être informés des motifs de contrôle et des mécanismes de contrôle dont ils peuvent être l objet. Ils doivent être clairement informés de leurs obligations et de leurs droits.» COMMISSION D ACCÈS À L INFORMATION DU QUÉBEC, Le courriel électronique, p.5.

8 1. Les ordinateurs : font partie intégrante de nos vies, tant personnelles que professionnelles; peuvent emmagasiner une quantité phénoménale d informations : des courriels, l historique de consultation des sites Internet, des photographies et des vidéos, etc.; susceptibles d être délicates; peuvent permettre l accès à des informations emmagasinées sur les serveurs des entreprises de services en ligne..

9 1. Dès lors qu entendons-nous par le droit à la vie privée d un employé?

10 1. Art. 3, 35 et 36 du Code civil du Québec et 5 et 24.1 de la Charte québécoise des droits et libertés de la personne; Pouvoir de surveillance et de contrôle lié à la subordination de l employé (art du C.c.Q.); Toute intrusion dans la vie privée de l employé doit être justifiée par des motifs rationnels et conduite par des moyens raisonnables et proportionnels de façon à porter minimalement atteinte à son droit à la vie privée.

11 2. La nature des informations susceptibles d être emmagasinées dans un ordinateur R. c. Vu, 2013 CSC 60, par. 40 à 43

12 1. Les ordinateurs stockent d immenses quantités de données, dont certaines, dans le cas des ordinateurs personnels, touchent à l ensemble de renseignements biographiques d ordre personnel. «[ ] en plus des courriels, le catalogue de toutes les informations personnelles de [l utilisateur], dont ses dossiers médicaux, d assurances personnelles, de comptabilité, d institutions financières, de testament et ses codes d accès à divers comptes.» Journeaux c. Perreault, 2011 QCCS 5187, par. 9.

13 2. Les ordinateurs renferment des données qui sont générées automatiquement, souvent à l insu de l utilisateur. Les métadonnées «accédé à plusieurs reprises à de l information confidentielle appartenant à l appelante après la fin de son emploi [et qu il] aurait même copié une partie de cette information sur des clés USB.» IMS Health Canada Inc. c. Th!Nk Business Insights Ltd, 2013 QCCA 1303, par. 16. Voir aussi Maax Bath inc. c. Agostino, 2013 QCCS 3646, Laushway v. Messervey, 2013 NSSC 47 et Scallon c. Desjardins Assurances générales, 2013 QCCQ 3497.

14 2. Les ordinateurs renferment des données qui sont générées automatiquement, souvent à l insu de l utilisateur. L historique de navigation sur Internet, incluant la mémoire cache «Madame Côté se rend ensuite à la réception de l hôtel et vérifie l historique des utilisations faites sur l ordinateur du centre de santé depuis la veille. Elle constate qu il y a eu successivement des visites sur le site d Emploi-Québec (10 h 5), sur Facebook (10 h 46, 10 h 48, 10 h 53 et 11 h 38), sur le site enceinte.com (10 h 59) et des recherches sur les petites annonces pour une table à langer (11 h 19).» Durocher-Lalonde c Québec inc., 2011 QCCRT 490

15 3. Les ordinateurs conservent des fichiers et des données même après que les utilisateurs croient les avoir détruits «[TRADUCTION] [L]e fait qu un fichier ait été sélectionné et «supprimé» ne signifie pas normalement qu il a effectivement été supprimé; les systèmes d exploitation n «éliminent» pas les zéros et les uns associés à ce fichier lorsqu il est sélectionné pour suppression. La plupart des systèmes d exploitation modifient plutôt la table de fichiers principale pour indiquer que le bloc de mémoire de ce fichier est libre pour accueillir dans le futur d autres fichiers. [ ]» R. c. Vu, 2013 CSC 60, par. 43.

16

17 3. Les ordinateurs conservent des fichiers et des données même après que les utilisateurs croient les avoir détruits «When you send or receive Snaps, we also temporarily collect, process and store the contents of the Snaps (such as photos, videos and/or captions) on our servers. The contents of Snaps are also temporarily stored on the devices of recipients. Once all recipients have viewed a Snap, we automatically delete the Snap from our servers and the Snapchat mobile application is programmed to delete the Snap from the recipients devices. We cannot guarantee that deletion always occurs within a particular timeframe. We also cannot prevent others from making copies of your Snaps (e.g., by taking a screenshot). If we are able to detect that the recipient has captured a screenshot of a Snap that you send, we will attempt to notify you. In addition, as for any other digital information, there may be ways to access Snaps while still in temporary storage on recipients devices or, forensically, even after they are deleted. You should not use Snapchat to send messages if you want to be certain that the recipient cannot keep a copy.» (Nos soulignés)

18 4. Les ordinateurs qui sont connectés à Internet servent de portails à une quantité presque infinie de données qui sont partagées entre différents utilisateurs et stockées presque n importe où dans le monde. De même, un ordinateur connecté à un réseau permettra à la police d avoir accès à des renseignements se trouvant dans d autres appareils.

19 «[ ] les ordinateurs qui sont connectés à Internet servent de portails à une quantité presque infinie de données qui sont partagées entre différents utilisateurs et stockées presque n importe où dans le monde. De même, un ordinateur connecté à un réseau permettra à la police d avoir accès à des renseignements se trouvant dans d autres appareils. Par conséquent, la fouille d un ordinateur connecté à Internet ou à un réseau permet d avoir accès à des données et à des documents qui ne se trouvent pas concrètement dans le lieu où la fouille est autorisée.» R. c. Vu, 2013 CSC 60, par. 44. Voir aussi Journeaux c. Perreault, 2011 QCCS 5187, Images Turbo inc. c. Marquis, 2013 QCCS 2781 et Durocher-Lalonde c Québec inc., 2011 QCCRT 490.

20 3. Des facteurs à considérer pour déterminer: a) l attente de vie privée d un employé eu égard à l information emmagasinée dans un ordinateur; et b) la légitimé de la vérification par l employeur de l ordinateur utilisé par son employé et ainsi tenter

21 3. 1. d éviter l exclusion de la preuve (art (1) C.c.Q.) Le tribunal doit, même d'office, rejeter tout élément de preuve obtenu dans des conditions qui portent atteinte aux droits et libertés fondamentaux et dont l'utilisation est susceptible de déconsidérer l'administration de la justice.

22 [12] Il faut également noter que les courriels en question existaient avant d'être obtenus par Touchette. Contrairement à l'affaire Mascouche, la violation des droits de monsieur Campeau n'a pas eu pour effet de créer une toute nouvelle preuve. Les courriels auraient pu être obtenus par Touchette et déposés en preuve par d'autres moyens légaux.. Pneus Touchette Distribution inc. c. Pneus Chartrand inc., 2012 QCCS 3241

23 Décision Preuve Atteinte à la vie privée Québec inc. c. Senécal, 2010 QCCS 3308 Pneus Touchette Distribution inc. c. Pneus Chartrand inc., 2012 QCCS 3241 Services alimentaires Delta Dailyfood Canada inc., 2012 QCCLP 7666 boite personnelle; utilisée pour le travail; mot de passe deviné. boite personnelle Hotmail; mesures de sécurité; utilisation d un logiciel espion pour obtenir le mot de passe. profil Facebook; subterfuge et moyens détournés afin de devenir «l ami». non prépondérance de la preuve sur la façon dont les courriels ont été obtenus oui oui même si la travailleuse a consenti à l accès, c est par des moyens dolosifs que l employeur y est arrivé Déconsidère l'administration non intérêt légitime; savait qu'un employé transmettait des informations ; savait que des courriels avaient été envoyés de son poste de travail pendant les heures de travail oui l unique but de la démarche était d espérer trouver de façon fortuite un élément de preuve qu il ne soupçonnait pas Images Turbo inc. c. Marquis, 2013 QCCS 2781 boites professionnelle et personnelle accessibles via un BlackBerry; aucune mesure de sécurité. oui UNIQUEMENT pour les courriels reçus après le 19 mai courriel «de frustration» communiqué à son conjoint non Commission des normes du travail c Québec inc., 2013 QCCQ boite personnelle; utilisée pour le travail; aucune mesure de sécurité. non

24 3. 2. tout recours pour atteinte à la vie privée de l employé.

25 3. a) Des facteurs à considérer pour déterminer: a) l attente de vie privée d un employé eu égard à l information emmagasinée dans un ordinateur C est l information emmagasinée dans l ordinateur susceptible d être découverte et utilisée par l employeur et non l ordinateur le matériel informatique - lui-même, qui est l objet d une protection. R. c. Cole, 2012 CSC 53, par. 42.

26 Quelle est l attente de vie privée d un employé à l égard de son appareil mobile personnel utilisé à des fins professionnelles? [8] [ ] Même si l on tient compte des politiques applicables de l employeur, cette attente en matière de respect de la vie privée était raisonnable dans les circonstances. Cependant, il s agissait d une attente réduite en matière de vie privée par comparaison avec le droit à la protection de la vie privée examiné dans l arrêt Morelli dans lequel, contrairement à la présente affaire, il était question d un ordinateur personnel [ ]. (R. c. Cole, 2012 CSC 53)

27 Ordinateur personnel (R. c. Morelli, 2010 CSC 8) [105] [ ] il est difficile d imaginer une atteinte plus grave à la vie privée d une personne que la perquisition de son domicile et la fouille de son ordinateur personnel. En effet, nos ordinateurs contiennent souvent notre correspondance la plus intime. Ils renferment les détails de notre situation financière, médicale et personnelle. [ ] Hébert c Québec inc. (Alpha Comptant), 2013 QCCQ 8863 Ordinateur professionnel (R. c. Cole, 2012 CSC 53) [3] Bien que les politiques et les pratiques en vigueur dans le milieu de travail puissent réduire l attente du particulier en matière de respect de sa vie privée à l égard d un ordinateur de travail, les réalités opérationnelles de ce genre ne font pas à elles seules disparaître complètement l attente : la nature des renseignements en jeu expose les préférences, intérêts, pensées, activités, idées et recherches de renseignements de l utilisateur individuel.

28 La propriété de l ordinateur Pertinent? 3. a) L environnement dans lequel est situé l'ordinateur peut aussi avoir une influence sur l expectative de vie privée au travail ou à la maison. Tremblay c. La Reine,REJB (C.A.).

29 La nature de l information recherchée. 3. a) «Plus l objet de la prétendue fouille se trouve près de l ensemble de renseignements biographiques d ordre personnel, plus ce facteur favorisera une attente raisonnable en matière de respect de la vie privée. Autrement dit, plus les renseignements sont personnels et confidentiels, plus les Canadiens raisonnables et bien informés seront disposés à reconnaître l existence d un droit au respect de la vie privée garanti par la Constitution.» R. c. Cole, 2012 CSC 53, par. 46

30 3. a) La nature de l information recherchée «[n]ul doute que les informations contenues dans l arborescence informatique de la boîte «Outlook» appartenant à Perreault revêtent un caractère confidentiel, singulièrement lorsqu il s'agit de communications avocat-client.» Journeaux c. Perreault, 2011 QCCS 5187, par. 24. Le tribunal prit soin de faire une distinction entre les courriels consultés par l employeur pour la période se situant avant le 19 mai 2012 et celle postérieure au 19 mai Images Turbo inc., c. Marquis 2013 QCCS

31 3. a) L endroit où l information est emmagasinée Boite de courriels personnelle utilisée à des fins professionnelles. Images Turbo inc. c. Marquis 2013 QCCS 2781 et Commission des normes du travail c Québec inc QCCQ Boite de courriels personnelle : «[ ] L enquête a révélé que monsieur Campeau aurait envoyé plusieurs courriels de son ordinateur du bureau à son adresse courriel personnelle «hotmail». CompuQuest a par la suite employé un logiciel afin de déceler le mot de passe de monsieur Campeau, afin d accéder à son compte hotmail. Une fois dans son compte, CompuQuest a pu déterminer que monsieur Campeau aurait transmis de son compte hotmail, à madame Daemen, et à d autres adresses courriels, des documents appartenant à Touchette.» Pneus Touchette Distribution inc. c. Pneus Chartrand inc., 2012 QCCS 3241.

32 3. a) Les mesures technologiques de protection «Les atteintes au droit à la vie privée peuvent être multiples et les tribunaux affirment plus facilement qu'il y a eu violation lorsque le document est gardé dans un lieu personnel, difficilement accessible ou encore que les circonstances reflètent le fait que son propriétaire ait, par son comportement, voulu manifester qu'il voulait en faire un document confidentiel, ce qui n est pas le cas ici.» Commission des normes du travail c Québec inc QCCQ 12264, par. 58

33 Mot de passe : [75] If the cellphone had been password protected or otherwise "locked" to users other than the appellant, it would not have been appropriate to take steps to open the cellphone and examine its contents without first obtaining a search warrant. (R. v. Fearon, 2013 ONCA 106, en appel à la CSC: Fearon c. R., 2013 CanLII (CSC)) Cryptographie (mot de passe) : [57] L'ordinateur est une preuve matérielle qui existait sans la violation des droits de l'intimé. Par contre, son contenu est une preuve dérivée, c'est-à-dire «une preuve matérielle découverte à la suite d'une déclaration obtenue illégalement» [ ]. (R. c. Boudreau-Fontaine, 2010 QCCA 1108)

34 L information effacée 3. a) La suppression d une information semble, dans un contexte criminel, être compatible avec l intention de dissimuler, et donc de maintenir une attente de vie privée, plutôt que de d abandonner, et d ainsi renoncer à une attente de vie privée. R. v. McNeice, 2013 BCCA 98.

35 3. b) Des facteurs à considérer pour déterminer: b) la légitimé de la vérification par l employeur de l ordinateur utilisé par son employé

36 3. b) - Le niveau d autorité de la personne qui demande la vérification «Le tribunal trouve déterminant le fait que c est plutôt la représentante de l employeur qui a agi, probablement de son propre chef, pour obtenir la preuve dans les circonstances qu on connaît. Ceci réaffirme la conviction du tribunal que le seul but de l action de la représentante était de tenter d améliorer son dossier en vue de l audience devant être tenue devant le tribunal. De plus, la représentante n avait aucun intérêt juridique. C est plutôt l employeur qui aurait pu en avoir un. L employeur n était pas présent à l audience et la représentante, qui a témoigné, n a jamais indiqué que l employeur l avait mandaté afin d agir ainsi.» Campeau et Services alimentaires Delta Dailyfood Canada inc., 2012 QCCLP 7666, par. 61.

37 3. b) - Le motif justifiant la vérification «Avant d entreprendre sa démarche, la représentante de l employeur n avait aucune indication voulant qu une situation frauduleuse se tramait par la travailleuse. D ailleurs, le résultat de cette fouille n en démontre aucune. La seule motivation de la représentante de l employeur était d espérer, en allant dans le profil Facebook de la travailleuse, trouver fortuitement une preuve pouvant l aider.» Campeau et Services alimentaires Delta Dailyfood Canada inc., 2012 QCCLP 7666, par. 59

38 3. b) - Le motif justifiant la vérification: Découverte forfuite - tomber par hasard sur un courriel d un employé démontrant son manque de loyauté - découverte d un document en lien avec un projet pour une compagnie dans le même secteur d activité - découverte d une version imprimée d un logo d un autre organisme - l interception d un courriel trop volumineux bloqué par le système informatique de l entreprise

39 3. b) - Le motif justifiant la vérification: Diminution de productivité Syndicat des travailleuses et travailleurs de Sucre Lantic - CSN et Sucre Lantic ltée (Michel De Carufel) D.T.E. 2010T-186, par. 181 et 182: «(..) Il ne s agit pas en l espèce d espionner un salarié dans ses activités de la vie courante alors qu il n est pas au travail, mais bien de vérifier si le plaignant effectuait le travail pour lequel il était payé par l employeur. Comme son travail exigeait qu il utilise un ordinateur, l employeur était en droit de vérifier l utilisation qui en était faite. [ ]»

40 3. b) - Le motif justifiant la vérification: L insurbordination de l employé

41 3. b) - Le motif justifiant la vérification: La plainte ou constat - usage inapproprié

42 3. b) - La nature de l utilisation de l ordinateur par l employé

43 3. b) - La récidive multiple et la violation répétée

44 - La gravité de l usage inapproprié 3. b)

45 3. b) - L opération d une entreprise personnelle en parallèle Vérification légitime de l ordinateur d un employé: - découverte d un document laissé dans le télécopieur par un employé - la participation à la mise sur pied d un CPE et réclamation d heures supplémentaires - la découverte d impressions relatives à un organisme inconnu - le fait que l employeur savait qu un employé transmettait des informations confidentielles à un concurrent du poste de travail de l employé. - Pneus Touchette Distribution inc. c. Pneus Chartrand inc.

46 3. b) - (d) Le consentement de l employé à la vérification

47 3. b) - Le consentement explicite ou implicite Québec inc. c. Senécal, le tribunal a tenu compte du fait que M. Senécal avait volontairement laissé derrière lui son ordinateur : «Il aurait été beaucoup plus facile pour Senécal de nettoyer son ordinateur avant de quitter Stock, de changer son adresse courriel en y retranchant le mot ou les lettres stock et de changer son mot de passe. Ainsi, ses communications privées auraient été beaucoup mieux protégées. Il aurait aussi été plus prudent de récupérer son ancien ordinateur ainsi que le disque dur qui s y trouve. Par analogie, un ordinateur peut être considéré comme un classeur électronique fermé à clé par une clé électronique. Ce classeur laissé sur place et que l on refuse de récupérer peut contenir toutes sortes d informations qui, si elles sont ainsi laissées sur place, peuvent devenir accessibles si elles ne sont pas bien protégées.»

48 3. b) - Le consentement explicite ou implicite L article 1(1) (j) de la Personal Information Protection Act SA 2003, c P-6.5. de l Alberta définit «personal employee information» comme suit : «personal employee information means, in respect of an individual who is a potential, current or former employee of an organization, personal information reasonably required by the organization for the purposes of (i) establishing, managing or terminating an employment or volunteer-work relationship, or (ii) managing a post-employment or post-volunteer-work relationship between the organization and the individual, but does not include personal information about the individual that is unrelated to that relationship.» Une disposition semblable se retrouve aussi dans la Personal Information Protection Act (SBC 2003, c 63) de la Colombie Britannique.

49 3. b) - La connaissance de l interdiction et de la vérification possible via la politique de l employeur L absence de politique peut, dans certains cas, faire échec au congédiement de l employé: «De surcroît, en l absence d une politique claire de l intimée quant à l usage du matériel informatique et en l absence de preuve d un préjudice quelconque à l employeur, ce motif ne saurait justifier le congédiement du plaignant, comme le souligne la Cour du Québec dans l affaire Commission des normes du travail c. Bourse de Montréal (2002) R.J.D.T. 617.» Belisle c. Rawdon (Municipalité) 2005 QCCRT 453, par. 168.

50 3. b) - e) Le moyen ou le procédé utilisé pour accéder à l information

51 3. b) - La licéité du moyen ou du procédé Un tel moyen illicite fut, à notre avis, utilisé par l employeur dans la décision Pneus Touchette Distribution inc. c. Pneus Chartrand inc QCCS L employeur utilisa un logiciel espion afin d obtenir le mot de passe du compte personnel Hotmail de son employé, mais le tribunal admet néanmoins en preuve les courriels ainsi obtenus.

52 3. b) - La licéité du moyen ou du procédé «En l espèce, la preuve démontre que l employeur a usé de subterfuge et de moyens détournés afin de devenir «l ami» de la travailleuse sur le réseau social. En conséquence, la preuve Facebook présentée par l employeur a été obtenue grâce à des moyens frauduleux. Ce constat est d autant plus vrai que l employeur a utilisé des informations personnelles et confidentielles de la travailleuse dans le seul but de créer un profil qui correspond parfaitement aux attentes de cette dernière.» Campeau et Services alimentaires Delta Dailyfood Canada inc QCCLP 7666.

53 3. b) - La licéité du moyen ou du procédé «Il ne s agit pas d un cas d interception de message, d une conversation par écoute électronique ou encore de la fouille d un ordinateur après avoir subtilisé un mot de passe. Il s agit de l'obtention de courriels qui existent bel et bien avant toute intervention prétendument illégale de la part de Mme Dagenais.» Commission des normes du travail c Québec inc.2013 QCCQ 12264, par 54.

54 3. b) - Le caractère raisonnable de la recherche des informations pertinentes «Les intérêts en matière de respect de la vie privée que met en jeu la fouille des ordinateurs diffèrent nettement de ceux en cause lors de la fouille de contenants tels des placards et des classeurs. En effet, les ordinateurs sont susceptibles de donner aux policiers accès à de vastes quantités de données sur lesquelles les utilisateurs n ont aucune maîtrise, dont ils ne connaissent peut-être même pas l existence ou dont ils peuvent avoir choisi de se départir, et qui d ailleurs pourraient fort bien ne pas se trouver concrètement dans le lieu fouillé. [ ]» R. c. Vu, 2013 CSC 60 (CanLII), par. 24.

55 3. b) - f) l urgence d agir aux fins de préserver l information

56 Questions? Patrick Gingras Éloïse Gratton

57 Conférence Legal IT 31 mars 2014 Accéder, ou ne pas accéder au matériel informatique de son employé, telle est la question Le CAIJ a trouvé des documents susceptibles de vous intéresser sur le sujet de la conférence : Accéder, ou ne pas accéder au matériel informatique de son employé, telle est la question 1. Défis et incidences juridiques des technologies et des médias sociaux en milieu de travail / Simon-Pierre Hébert [ Texte intégral -- Doctrine ] Texte intégral (via edoctrine) 2. Le respect du droit à la vie privée au travail: mythe ou réalité? / Yves Saint-André [ Texte intégral -- Doctrine ] Texte intégral (via edoctrine) 3. Naviguer sur Internet au travail : et si on nageait en eaux troubles? / Sylvain Lefebvre [ Texte intégral -- Doctrine ] Texte intégral (via edoctrine) 4. Preuve et surveillance des salariés: regard français / Bernard Bossu et Alexandre Barège [ Article de périodique ] Texte intégral (via HeinOnline) 5. Privacy in the workplace / Éloïse Gratton, Lyndsay Wasser [ Livre ] Réserver / Faire livrer Les recherchistes du CAIJ ont également identifié la législation, la jurisprudence et la doctrine relative aux questions juridiques suivantes : 1. Quelles sont les sources utiles à consulter au sujet d'internet? [ Question de recherche ] Consulter la fiche 2. Quelles sont les sources utiles à consulter sur les pouvoirs et les devoirs de l'employeur et des cadres? [ Question de recherche ] Consulter la fiche 3. L'utilisation d'internet au travail à des fins personnelles peut-elle conduire à l'imposition de mesures disciplinaires? [ Question de recherche ] Consulter la fiche Pour plus d information juridique, consulter le site du CAIJ.