Chapitre 12 : Plaintes concernant la protection de la vie privée, atteintes à la vie privée et enquêtes
Introduction
Le commissaire à l’information et à la protection de la vie privée (CIPVP) a le pouvoir, en vertu de la loi, de mener une enquête sur la collecte, l’utilisation, la divulgation, la conservation, la sécurité, et le transfert à des archives et la destruction des renseignements personnels.
Si une personne pense qu’une institution a collecté, utilisé ou divulgué ses renseignements personnels d’une manière non conforme à la loi, elle peut porter plainte auprès du CIPVP.
Les institutions peuvent aussi déclarer de leur propre initiative des atteintes à la vie privée si elles découvrent qu’une personne non autorisée a accédé à des renseignements personnels ou que des renseignements personnels ont été divulgués d’une manière non conforme à la loi, soit intentionnellement, soit par erreur.
Dans de rares cas, c’est le CIPVP qui est à l’origine d’une plainte concernant la protection de la vie privée, par exemple quand le CIPVP considère qu’une affaire mérite une enquête, mais que personne n’a porté plainte.
Ce chapitre est un aperçu de l’approche du CIPVP pour les enquêtes concernant la protection de la vie privée et les atteintes à la vie privée.
Plaintes concernant la protection de la vie privée
Les personnes ont le droit de porter plainte auprès du CIPVP quand elles pensent qu’une institution n’a pas respecté les règles de protection de la vie privée pour collecter, utiliser, divulguer, conserver, assurer la sécurité, et transférer à des archives ou détruire leurs renseignements personnels.
Les plaintes concernant la protection de la vie privée sont habituellement la conséquence d’une atteinte à la vie privée, c’est-à-dire d’un incident où les méthodes de collecte, de conservation, d’utilisation, de divulgation, et de transfert à des archives ou de destruction des renseignements personnels n’ont pas respecté les dispositions de la loi.
Il est recommandé de tenter de régler les plaintes concernant la protection de la vie privée directement avec les institutions. Celles-ci sont obligées de collaborer avec les personnes concernées pour répondre à leurs sujets de préoccupation en matière de protection de la vie privée.
Si une personne pense qu’une institution n’a pas répondu de manière satisfaisante à ses sujets de préoccupation, elle peut porter plainte auprès du CIPVP. Le CIPVP exige que cette personne indique dans une formule les renseignements suivants :
- ses propres coordonnées (nom, adresse, téléphone);
- le nom de l’institution;
- des précisions sur la nature de la plainte;
- des précisions sur la marche à suivre pour régler la plainte.
La formule de plainte concernant la protection de la vie privée doit être présentée au registraire du CIPVP.
Atteintes à la vie privée déclarées par les institutions
Les institutions peuvent également déclarer de leur propre initiative les atteintes à la vie privée et les incidents dans ce domaine au CIPVP. Bien que la loi ne l’exige pas, cette déclaration par les institutions, de leur propre initiative, de graves atteintes à la vie privée constitue une pratique exemplaire.
La déclaration des graves atteintes à la vie privée permet au CIPVP de comprendre la nature de ces atteintes et les mesures prises pour les maîtriser et y donner suite. Le partage de manière proactive de l’information recueillie lors de la propre enquête interne d’une institution et la description détaillée de sa réaction à une atteinte à la vie privée aident le CIPVP à déterminer si un complément d’enquête ou des mesures correctives sont nécessaires.
Processus d’enquête sur la protection de la vie privée
Le CIPVP dispose de pouvoirs étendus dans le contexte des enquêtes concernant la protection de la vie privée. C’est une atteinte à la vie privée qui justifie le plus souvent une enquête. De plus, le CIPVP peut également formuler des commentaires au sujet des implications pour la protection de la vie privée de dispositions législatives proposées ou de programmes gouvernementaux.
Au terme d’une enquête, le CIPVP peut ordonner à une institution de renoncer à une pratique de collecte des renseignements personnels et de détruire une série de renseignements personnels collectés en infraction avec la loi.
Le CIPVP peut gérer les enquêtes concernant la protection de la vie privée, soit de manière formelle, soit de manière informelle. Dans un cas comme dans l’autre, l’institution doit communiquer de l’information et participer à des discussions et à des réunions avec le CIPVP.
Une plainte concernant la protection de la vie privée peut être gérée de manière informelle quand la personne ayant porté plainte et l’institution peuvent s’entendre sur la méthode à employer pour résoudre le problème. Cela exige habituellement de partager de l’information afin de comprendre ce qui s’est passé ou la raison pour laquelle les renseignements ont été utilisés d’une certaine façon.
Dans des cas comme celui-ci, le CIPVP peut confirmer le règlement de la plainte en adressant une lettre à l’institution plutôt que de publier un rapport d’enquête officiel. Si la plainte n’est pas résolue d’une manière mutuellement satisfaisante, une enquête formelle concernant la protection de la vie privée prendra le relais. Il arrive également que la personne ayant porté plainte ne soit pas satisfaite, mais que le CIPVP rejette la plainte à un stade précoce en raison des informations qui lui sont présentées. Si une plainte n’est pas réglée ou rejetée très tôt, une enquête formelle peut avoir lieu.
Dans une enquête formelle concernant la protection de la vie privée, le CIPVP suit les principales étapes décrites ci-dessous.
Avis et demande d’information : le CIPVP avise l’institution du dépôt d’une plainte et s’informe sur la position de l’institution à ce sujet.
Enquête : l’enquête peut exiger le déplacement de l’enquêteur à l’institution ou des réunions avec des membres du personnel clés. Des copies des documents pertinents doivent être fournies.
Ébauche de rapport : le CIPVP peut conclure son enquête par une lettre, dans les cas simples. Dans d’autres cas, le traitement de la plainte se poursuit par la rédaction d’une ébauche de rapport. En cas d’atteinte à la vie privée, l’ébauche de rapport peut contenir des recommandations pour prévenir de futures atteintes à la vie privée.
L’institution et la personne qui a porté plainte sont priées de communiquer leurs commentaires sur les erreurs ou les omissions de l’ébauche de rapport.
Rapport final : les enquêtes formelles peuvent donner lieu à un rapport officiel public, habituellement si cette question présente un intérêt pour le public. Si des recommandations ont été formulées, le CIPVP demande des preuves de leur mise en œuvre dans les six mois suivant la date du rapport final.
Ces preuves peuvent prendre la forme d’une lettre et d’une documentation à l’appui, comme la copie d’une nouvelle politique ou d’un formulaire d’avis.
Suivi : sous six mois, le CIPVP communique avec l’institution pour connaître l’avancement de la mise en œuvre des recommandations et, si rien n’a été fait, pour quelle raison.