Sollicitation commerciale et protection des renseignements personnels Présenté par M e Karl Delwaide Associé principal et membre-fondateur du groupe de pratique national Protection de l information et de la vie privée. Avec la collaboration de Joël Lightbound. Image : Salvatore Vuono / FreeDigitalPhotos.net
Ordre du jour 1. LPRPDÉ (Loi sur la protection des renseignements personnels et les documents électroniques) 2. Liste nationale de numéros de télécommunication exclus 3. Lois provinciales 4. Loi canadienne anti-pourriel
LPRPDÉ 1. LPRPDÉ Lois régissant la protection des renseignements personnels au Canada Loi sur la protection des renseignements personnels et les documents électroniques (L.C. 2000, ch. 5) [LPRPDÉ]
LPRPDÉ Pourquoi faut-il en tenir compte?
LPRPDÉ : Quels sont les enjeux? Speevak v. Canadian Imperial Bank of Commerce, 2010 CarswellOnt 1076. Renseignements personnels transmis à de mauvais numéros de télécopieur : 100 000 $ à un organisme de bienfaisance 42 500 $ aux conseillers juridiques du demandeur? $ pour chaque demandeur Ordonnance PHIPA HO-007 Commissaire à l information et à la protection de la vie privée/ontario. Clé USB contenant les renseignements personnels de 84 000 personnes perdue par les services de santé de la région de Durham. La commissaire a ordonné que des renseignements personnels transportés par appareil mobile soient protégés par un «chiffrement fort». Un recours collectif a été autorisé par la Cour supérieure de l Ontario.
LPRPDÉ : Principes généraux Renseignements personnels (RP) «tout renseignement factuel ou subjectif, consigné ou non, au sujet d une personne identifiable». Les RP comprennent : - l âge, le nom, les numéros d identification, le revenu, l origine ethnique ou le groupe sanguin de la personne identifiable; - ses opinions, les évaluations à son sujet, les commentaires à son propos, son état civil et les mesures disciplinaires prises à son égard; - ses dossiers d employé, ses dossiers de crédit, ses dossiers de prêts, ses dossiers médicaux, l existence d un conflit entre cette personne et un commerçant, ses intentions. Modification proposée : les «coordonnées d affaires».
LPRPDÉ : Principes généraux Collecte de renseignements personnels : Consentement : indiquer les fins auxquelles les renseignements personnels sont recueillis et obtenir le consentement avant ou durant la collecte. Obligation : ne recueillir que les renseignements personnels nécessaires aux fins déterminées. Utilisation et communication des renseignements personnels : Utilisation et communication fondées sur le consentement obtenu. Conservation des renseignements personnels : Uniquement selon ce qui est nécessaire et selon ce qui a été prévu. Il est important d élaborer des lignes directrices et des procédures pour la conservation et la destruction des renseignements personnels.
LPRPDÉ : Consentement Consentement en vertu de la LPRPDÉ - Principes 4.3 ++ Consentement explicite (actif) Consentement négatif Consentement implicite Le type de consentement obtenu est fonction : des attentes raisonnables de la personne de la sensibilité des renseignements des circonstances entourant la collecte
LPRPDÉ : Consentement négatif Utilisation du consentement négatif Décision n o 192 : consentement valable pour communiquer des RP à des fins secondaires de marketing. La commissaire a évalué l utilisation du consentement négatif: 1. il faut pouvoir démontrer que les RP ne sont pas confidentiels. 2. la situation de transmission de renseignements doit être circonscrite et bien définie. 3. les buts de l organisme doivent être circonscrits, bien définis, énoncés de manière raisonnablement claire et mentionnés au particulier. 4. une procédure pratique doit être établie pour un retrait facile et immédiat du consentement.
LPRPDÉ : Consentement négatif Étude de cas Plainte concernant RBC Plainte formulée par la Clinique d intérêt public et de politique d internet du Canada (CIPPIC) en 2008. Selon la CIPPIQ, la clause de retrait du consentement de RBC pour l emploi de renseignements sensibles à des fins secondaires comme la communication à d autres sociétés du groupe RBC ou à des fins de promotion n est pas valide. La CIPPIC évalue la possibilité de cibler «toutes les principales banques» ayant des conventions de compte client similaires. RBC DVM 2008 CCC : [TRADUCTION] 9.2 Consentement optionnel Nous pouvons employer ces renseignements pour : faire la promotion de nos produits et services et pour promouvoir les produits et services de tiers que nous sélectionnons [ ] par l entremise de différents moyens, dont le téléphone, l informatique ou la poste en ayant recours aux coordonnées que vous avez fournies; communiquer vos renseignements personnels à d autres sociétés de RBC Groupe Financier aux fins de vous présenter à elles ou de faire la promotion des produits et services qui pourraient vous intéresser; regrouper les renseignements dont nous disposons avec ceux que vous avez fournis à d autres sociétés au sein de RBC Groupe Financier.
LPRPDÉ : Consentement négatif Décision n o 308 : Une personne a porté plainte après que sa banque n ait pas donné suite à son refus de recevoir avec ses relevés de compte de carte de crédit de la publicité pour des produits non connexes. Décision n o 238 : Une personne a porté plainte parce que sa banque exigeait des nouveaux clients qu ils consentent à l emploi de leur RP à des fins de marketing secondaire. Décision n o 116 : Un client a continué à recevoir des documents promotionnels non sollicités d une banque, des membres de son groupe et de ses filiales, même s il avait révoqué son consentement à cet égard.
LPRPDÉ : Consentement négatif Dépend dans une large mesure de la nature des renseignements. Principe 4.3.4 : les dossiers médicaux et le revenu sont presque toujours considérés comme des renseignements sensibles. SOYEZ VIGILANTS!
LPRPDÉ : Mesures de sécurité Quelle que soit la forme sous laquelle ils sont conservés, les RP doivent être protégés, au moyen de mesures de sécurité correspondant à leur degré de sensibilité, contre : la perte, le vol et la consultation, la communication, la copie, l utilisation ou la modification non autorisée. Trois méthodes de protection : Moyens matériels : par exemple, le verrouillage des classeurs et la restriction de l accès aux bureaux; Mesures techniques : par exemple, l usage de mots de passe, du chiffrement et de pare-feu; Mesures administratives : par exemple, autorisations sécuritaires, accès sélectif, formation du personnel et conclusion d ententes de confidentialité. Voir la décision n o 395 lecteur de disque manquant de la CIBC : nécessité non seulement d établir des politiques appropriées, mais également de veiller à une mise en application appropriée de ces politiques.
Mesures de sécurité : Statistiques Types d atteintes rapportées Source : Commissaire à la protection de la vie privée du Canada
2. Liste nationale de numéros de télécommunication exclus
Liste nationale de numéros de télécommunication exclus Pourquoi faut-il en tenir compte (bis)?
Liste nationale de numéros de télécommunication exclus Bell se voit imposer une amende de 1,3 M$ pour avoir enfreint les règles sur la LNNTE
Liste nationale de numéros de télécommunication exclus La liste nationale de numéros de télécommunication exclus : «Il est interdit au télévendeur de faire un appel à des fins de télémarketing au numéro d un consommateur qui figure sur la LNNTE, à moins que le consommateur n ait consenti expressément à recevoir ce genre de télécommunication de la part du télévendeur ou, s il y a lieu, du client du télévendeur». (Règles sur les télécommunications non sollicitées, Partie II, art. 4)
Liste nationale de numéros de télécommunication exclus L interdiction de faire des appels à des fins de télémarketing au numéro d un consommateur figurant sur la liste ne s applique pas : s il y a une relation d affaires en cours; et si le destinataire n a pas fait de demande d exclusion quant à la personne ou l organisme pour le compte duquel la télécommunication est faite. [Loi sur les télécommunications, art. 41.7(1)b)]
Liste nationale de numéros de télécommunication exclus Qu est-ce qu une «relation d affaires en cours»? Une relation découlant de ce qui suit : l achat de services ou l achat ou la location de produits par le destinataire, au cours des 18 mois précédant la date de la télécommunication, auprès de la personne ou de l organisme pour le compte duquel la télécommunication est faite; une demande y compris une demande de renseignements présentée, au cours des 6 mois précédant la date de la télécommunication, par le destinataire relativement à un produit ou un service offert par la personne ou l organisme pour le compte duquel la télécommunication est faite; un contrat conclu par écrit entre le destinataire de la télécommunication et la personne ou l organisme pour le compte duquel elle est faite, qui est toujours en vigueur ou qui est venu à échéance dans les 18 mois précédant la télécommunication. [Loi sur les télécommunications, art. 41(7)(2)]
Sollicitation par courrier Aucune restriction supplémentaire pour le moment! Image : Salvatore Vuono / FreeDigitalPhotos.net
3. Lois provinciales
Lois provinciales Ontario : Loi de 2004 sur la protection des renseignements personnels sur la santé Québec : Loi sur la protection des renseignements personnels dans le secteur privé Alberta : Personal Information Protection Act Colombie-Britannique : Personal Information Protection Act
Lois provinciales Ontario: Ordonnance H0-011 - Cancer Care Ontario: Envoi de résultats de tests de dépistage du cancer du colon par courrier, via ExpressPost, par Cancer Care Ontario. La réception de certains rapports ne peut être confirmée. La commissaire ordonne à Cancer Care Ontario de ne plus envoyer d informations personnelles en format papier. La commissaire énonce que «l utilisation de la technologie pour assurer le transfert sécuritaire des renseignements portant sur la santé n est pas seulement une option faisable, c est une nécessité».
Lois provinciales Alberta: Leon s Furniture Limited v. Alberta (Information and Privacy Commissioner), 2011 ABCA 94. Meubles Léon enregistre l information relative aux plaques d immatriculations et aux permis de conduire quand un client vient chercher ses achats à une date ultérieure afin d éviter le vol. Commissaire estime que cette pratique est illégale sous PIPA. La Cour du Banc de la Reine de l Alberta confirme cette décision. La Cour d appel l infirme énonçant qu il s agit d une utilisation pour des raisons légitimes.
Lois provinciales Colombie-Britannique: Ordonnance P11-02 - Economical Mutual Insurance Company Plainte contre Economical pour avoir obtenu le pointage de crédit d un client sans son consentement alors qu il renouvelait son assurance habitation. Le Bureau du Commissaire conclut que le but visé est raisonnable dans les circonstances. Economical doit cependant obtenir le consentement pour l utilisation à ces fins précises. Le Bureau ordonne à Economical d envoyer des avis et d obtenir le consentement avant de reprendre la collecte et l utilisation des pointages de crédit.
Lois provinciales Québec: Une attention particulière doit être portée à l article 17 de la loi québécoise. Les entreprises ont l obligation de s assurer de la protection adéquate des renseignements personnels transmis à l extérieur de la province. L entreprise a le devoir de refuser de communiquer ses renseignements si elle estime qu ils ne bénéficieront pas de mesures de protection similaires à celles de la loi québécoise. Ne s applique pas seulement entre entreprises, mais aussi entre division d une même entreprise. Un moyen d y arriver: une entente contractuelle.
4. Loi canadienne anti-pourriel Loi visant à promouvoir l efficacité et la capacité d adaptation de l économie canadienne par la réglementation de certaines pratiques qui découragent l exercice des activités commerciales par voie électronique et modifiant la Loi sur le conseil de la radiodiffusion et des télécommunications canadiennes, la Loi sur la concurrence, la Loi sur la protection des renseignements personnels et les documents électroniques et la Loi sur les télécommunications L.C. 2010, ch. 23
Loi canadienne anti-pourriel Pourquoi faut-il en tenir compte (encore!)?
Loi canadienne anti-pourriel Les «sanctions administratives pécuniaires» peuvent atteindre : 1 000 000 $ pour les particuliers 10 000 000 $ pour les sociétés [art. 20(4)]
Loi canadienne anti-pourriel De plus Droit privé d action [art. 47(1)] Versement au demandeur d une somme égale au montant de la perte ou des dommages qu il a subis [art. 51(1)a)] Les employeurs sont responsables des violations commises par leurs employés (art. 32 et 53) Les dirigeants, administrateurs ou mandataires d une société peuvent être tenus responsables (art. 31 et 52) Possibilité d un recours collectif
Loi canadienne anti-pourriel Devrait entrer en vigueur en 2012 Les dispositions de la loi canadienne antipourriel l emportent sur celles de la LPRPDÉ (art. 2) Image : digitalart / FreeDigitalPhotos.net
Loi canadienne anti-pourriel 6 (1) «Il est interdit d envoyer à une adresse électronique un message électronique commercial, de l y faire envoyer ou de permettre qu il soit envoyé, sauf si a) la personne à qui le message est envoyé a consenti expressément ou tacitement à le recevoir»
Loi canadienne anti-pourriel Qu est-ce qu un «message électronique commercial»? Un message électronique qui encourage la participation à une activité commerciale. Un «message électronique» s entend d un «message envoyé par tout moyen de télécommunication, notamment un message textuel, sonore, vocal ou visuel».
Loi canadienne anti-pourriel Définition très large d une «activité commerciale». «tout acte isolé ou activité régulière qui revêt un caractère commercial, que la personne qui l accomplit le fasse ou non dans le but de réaliser un profit». La définition de message électronique commercial comprend également un message comportant une demande de consentement en vue de la transmission d un message! [art. 1(3)].
Loi canadienne anti-pourriel Exceptions pour les messages électroniques commerciaux qui sont uniquement : des messages qui donnent, à la demande de la personne qui les reçoit, un prix ou une estimation; des messages qui facilitent, complètent ou confirment la réalisation d une opération commerciale; des messages qui donnent des renseignements en matière de garantie, de rappel ou de sécurité à l égard de biens ou de produits utilisés ou achetés par les personnes qui reçoivent ces messages ou de services obtenus par celles-ci; des messages qui donnent des éléments d information factuels sur l utilisation ou l achat, pendant une certaine période, de biens, produits ou services ou au titre d un abonnement, d une adhésion, d un compte, d un prêt ou de toute autre relation semblable; des messages au moyen desquels sont livrés des biens, produits ou services. [art. 6(6)]
Loi canadienne anti-pourriel Quel type de consentement est requis? Consentement exprès (ou actif) s il n y a aucune exclusion, par exemple au titre d une relation d affaires en cours. [art. 6 (1)a)] Aux fins d obtenir un consentement, une personne doit : énoncer les fins auxquelles le consentement est sollicité; indiquer les renseignements réglementaires permettant d identifier la personne qui sollicite le consentement; indiquer tout autre renseignement précisé par règlement. [art. 10 (1)]
Loi canadienne anti-pourriel Quel type de consentement est requis? Le consentement tacite est suffisant dans certains cas restreints, notamment s il y a une «relation d affaires en cours». Le consentement tacite est également suffisant dans le cas de messages envoyés à des personnes qui ont communiqué ou «publié bien en vue» leur adresse électronique sans aucune mention précisant qu elles ne veulent recevoir aucun message non sollicité, et lorsque le message envoyé a un lien soit avec l exercice des attributions des personnes à qui le message est envoyé, soit avec leur entreprise commerciale ou les fonctions qu elles exercent au sein d une telle entreprise. [art. 10(9)]
Loi canadienne anti-pourriel Relation d affaires en cours? Une relation découlant de ce qui suit : d un achat, d un louage ou d un troc au cours des deux ans précédant la date d envoi du message; l acceptation d une possibilité d affaires, d investissement ou de jeu au cours des deux ans précédant la date d envoi du message; un contrat écrit actuellement en vigueur ou échu au cours des deux ans précédant la date d envoi du message; une demande, notamment une demande de renseignements, présentée au cours des 6 mois précédant la date d envoi du message. [art. 10 (10)]
Loi canadienne anti-pourriel Quelles informations doivent figurer dans le message envoyé? Les messages électroniques doivent comprendre : des renseignements permettant d identifier la personne qui envoie le message; les coordonnées valides de la personne qui envoie le message; la description d un mécanisme d exclusion. [art. 6(2)]
Loi canadienne anti-pourriel Recours prévus à la Loi Possibilité d obtenir une injonction (art. 41) Droit privé d action par quiconque prétend être touché par une contravention [art. 47(1)] Obligation de verser au demandeur une somme égale au montant de la perte ou des dommages qu il a subis ou des dépenses qu il a engagées [art. 51(1)a)] Possibilité de recours collectifs Responsabilité personnelle des dirigeants (art. 31 et 52) Encore une fois, SOYEZ VIGILANTS!
Loi canadienne anti-pourriel Une dernière chose : les projets de règlements Industrie Canada (9 juillet 2011) précise la signification de «liens familiaux» précise les obligations lorsque le consentement est obtenu au nom d une autre personne CRTC (30 juin 2011) précise les renseignements requis dans tout message électronique commercial précise que toute demande de consentement doit être faite par écrit les règlements définitifs n ont pas encore été publiés.
Conformité globale LPRPDÉ + Loi canadienne anti-pourriel + Lois provinciales =?
Merci! M e Karl Delwaide 514.397.7563 kdelwaide@fasken.com Avec la collaboration de Joël Lightbound.