La collecte de renseignements personnels représente une atteinte au droit fondamental à la vie privée des citoyens. Vous devez donc recueillir uniquement les renseignements nécessaires à l'atteinte des objectifs que vous avez déterminés avant la collecte.
La nécessité : un critère fondamental
Cette évaluation de nécessité doit prédominer en toute circonstance. Elle permet de minimiser l’atteinte à la vie privée des personnes concernées. Elle est réalisée avant la collecte des renseignements personnels par les entreprises et les organisations privées.
L'évaluation de la nécessité de collecter des renseignements prévaut en toute circonstance et il faut savoir que l'obtention du consentement n'est pas pertinent à ce stade de l'analyse.
Une fois recueillis, les renseignements devront être protégés : en limitant les renseignements personnels lors de la collecte, les risques de communication, de divulgation et d’utilisation interdites sont minimisés.
Évaluation de la nécessité : des conditions à remplir
La nécessité va au-delà de la simple utilité. Pour une entreprise, elle s’évalue par rapport à la finalité de la collecte et à sa proportionnalité. Ainsi, une collecte sera nécessaire si ces conditions sont toutes réunies :
- L’objectif poursuivi est légitime, important et réel;
- L’atteinte à la vie privée est proportionnelle à cet objectif, ce qui signifie plus précisément que :
- La collecte des renseignements est rationnellement liée aux objectifs;
- L’atteinte au droit à la vie privée est minimisée. Autrement dit, il n’existe pas d’autres moyens d’atteindre les mêmes objectifs d’une façon qui porte moins atteinte à la vie privée;
- La collecte, l’utilisation ou la communication du renseignement est nettement plus utile à l’entreprise que préjudiciable à la personne concernée.
Si la nécessité n’est pas établie, le droit à la vie privée des personnes doit primer. La collecte ne peut donc pas être effectuée. En cas de doute, un renseignement personnel est considéré comme n’étant pas nécessaire.
En règle générale, sous prétexte qu’une personne refuse de fournir un renseignement personnel, une entreprise ne peut pas :
- Refuser de fournir un bien ou un service;
- Rejeter une demande d’emploi.
Toutefois, elle peut le faire dans les situations suivantes :
- La collecte est nécessaire à la conclusion ou à l’exécution d’un contrat;
- La collecte est autorisée par la loi;
- Des motifs raisonnables permettent de croire que la demande de bien, de service ou d’emploi est illicite.
L’analyse de la nécessité d’une collecte est au cœur de plusieurs dossiers examinés par la Commission. Pour en savoir plus, consultez les décisions rendues par la Section de la surveillance.
Fardeau de la preuve : qui doit démontrer qu'un renseignement est nécessaire?
C’est à l’entreprise de démontrer à la personne concernée que le renseignement personnel demandé est nécessaire.
Les citoyens qui jugent qu’une entreprise demande des renseignements qui ne sont pas nécessaires peuvent déposer une plainte à la Commission.