Est-ce que le respect de votre vie privée est parti en fumée?

  • 13 mars 2019
  • Margery Pazdor et Katherine Rusk

La consommation et la vente de cannabis Ă  des fins rĂ©crĂ©atives sont devenues lĂ©gales au Canada le 17 octobre 2018. La lĂ©galisation va de pair avec plusieurs grandes prĂ©occupations juridiques, le respect de la vie privĂ©e Ă©tant devenu un thème prioritaire que doivent garder Ă  l’esprit les juristes, les consommateurs et les entreprises.

Le cannabis est encore illĂ©gal dans plusieurs pays et, n’en dĂ©plaise Ă  la lĂ©galisation au Canada, la consommation de cannabis est toujours hautement stigmatisĂ©e ici et ailleurs. Par consĂ©quent, les renseignements relatifs Ă  l’achat et Ă  la consommation de cannabis continuent d’ĂŞtre très dĂ©licats, mĂŞme en omettant les donnĂ©es mĂ©dicales qui y sont associĂ©es, lesquelles constituaient la principale prĂ©occupation en matière de protection de la vie privĂ©e avant la lĂ©galisation.

Bien que tout ce qui entoure la vente et la consommation de cannabis Ă  des fins rĂ©crĂ©atives soit toujours en cours de dĂ©veloppement, plusieurs consommateurs doivent actuellement fournir une foule de renseignements personnels pour se procurer du cannabis Ă  des fins rĂ©crĂ©atives. Cela est dĂ» en partie au fait que de nombreux consommateurs peuvent seulement avoir accès au produit en ligne, comme c’est actuellement le cas en Ontario, oĂą les commandes doivent se faire par le biais de la SociĂ©tĂ© ontarienne du cannabis. Un changement est pressenti dans cette pratique en 2019, mais les consommateurs n’ont qu’une seule option pour l’instant. En Colombie-Britannique, il est presque impossible pour la plupart des consommateurs de se procurer du cannabis en personne. Seuls quelques magasins autorisĂ©s Ă©taient ouverts dans la province au moment d’Ă©crire ces lignes, et aucun ne se trouvait dans les basses-terres continentales. Par consĂ©quent, la plupart des consommateurs sont contraints de commander leur produit en ligne. Ce faisant, ils doivent fournir leur nom, leur adresse, les renseignements de leur carte de crĂ©dit et leur date de naissance. En fait, ne serait-ce que pour accĂ©der Ă  la plupart des sites Web des magasins de dĂ©tail, la date de naissance est requise. Cette information est ensuite archivĂ©e par des tĂ©moins pour le confort du consommateur.

Tout archivage de renseignements personnels crĂ©e un risque que cette information soit accessible de façon inappropriĂ©e, au frais du respect de la vie privĂ©e du consommateur. Ă€ titre d’exemple, dans les journĂ©es qui ont suivi la lĂ©galisation, il y a eu une brèche en Ontario. Le 1er novembre 2018, la SociĂ©tĂ© ontarienne du Cannabis a appris que certains renseignements personnels de quelque 4 500 de ses clients avaient Ă©tĂ© accessibles en raison d’un dĂ©faut dans l’outil de suivi en ligne de Poste Canada1. Cette brèche a Ă©galement eu une incidence sur les personnes qui avaient signĂ© un formulaire de livraison, mĂŞme si elles ne s’Ă©taient pas procurĂ© du cannabis Ă  ce moment.

En plus des risques courants en matière d’atteinte Ă  la protection des donnĂ©es – comme les achats non autorisĂ©s par carte de crĂ©dit ou le vol d’identitĂ© –, la divulgation publique d’un simple achat pourrait avoir d’importantes rĂ©percussions sur certaines personnes dans le cas des donnĂ©es liĂ©es au cannabis. Certains employeurs, par exemple, interdisent toute consommation de cannabis Ă  leurs employĂ©s. Ă€ ce titre, une brèche qui permettrait de savoir qu’un employĂ© touchĂ© d’une telle interdiction s’est procurĂ© du cannabis dans un magasin en ligne pourrait avoir des consĂ©quences considĂ©rables.

Pour les consommateurs de cannabis qui habitent en appartement, dans un complexe ou dans une copropriĂ©tĂ©, un risque supplĂ©mentaire est l’obligation de la personne qui reçoit le colis (comme le concierge ou le gĂ©rant d’immeubles) de fournir une preuve d’âge avant de l’accepter. Cette simple exigence divulgue de façon immĂ©diate l’achat de cannabis par le rĂ©sident. Certains immeubles refusent d’accepter des colis qui exigent une preuve d’identitĂ©.

Les magasins de vente au dĂ©tail et les consommateurs doivent avant toute chose rĂ©flĂ©chir aux renseignements personnels qui doivent ĂŞtre recueillis. Le Commissariat Ă  l’information et Ă  la protection de la vie privĂ©e de la Colombie-Britannique a publiĂ© un document d’orientation Ă  l’intention des magasins de dĂ©tail et des acheteurs de cannabis dans lequel il explique la façon dont devrait s’appliquer la Personal Information Protection Act de la Colombie-Britannique2. Le document encourage les entreprises Ă  recueillir et Ă  archiver le moins de renseignements personnels possible. Par exemple, il incite les magasins Ă  examiner l’identitĂ© des clients pour les ventes en personne afin de s’assurer que l’âge minimum est respectĂ©, mais conseille de ne pas archiver ces renseignements. Ă€ l’Ă©chelle fĂ©dĂ©rale, la Loi sur la protection des renseignements personnels et les documents Ă©lectroniques exige des entreprises qu’elles limitent au minimum la quantitĂ© et le type de renseignements personnels qu’elles recueillent pour respecter les objectifs Ă©tablis. Toutefois, dans certains cas, les magasins de vente au dĂ©tail peuvent ne pas se rendre compte qu’ils recueillent des renseignements personnels. Par exemple, Ă  l’ĂŽle-du-Prince-Édouard, le magasin qu’exploite le gouvernement utilisait un appareil pour scanner des cartes d’identitĂ© afin d’en vĂ©rifier la lĂ©gitimitĂ©, mais archivait sans le savoir et de façon non intentionnelle les renseignements personnels des cartes d’identitĂ© dans le dispositif de balayage3.

Le traitement des achats de cannabis par carte de crĂ©dit constitue une autre source de risque en matière de protection de la vie privĂ©e. Les relevĂ©s de carte de crĂ©dit divulguent les achats de cannabis. Par exemple, les transactions Ă  la SociĂ©tĂ© ontarienne du Cannabis apparaissent dans le relevĂ© sous « OCS/SCO », alors que les achats au British Columbia Cannabis Store apparaissent sous « BCS Online Vancouver ». Les Canadiens et les Canadiennes qui voyagent beaucoup courent aussi le risque qu’un examen de leur compte de carte de crĂ©dit dans un territoire de compĂ©tence oĂą le cannabis n’est pas lĂ©gal mène Ă  la divulgation de ces renseignements aux forces de l’ordre de ce pays. Le Commissariat Ă  la protection de la vie privĂ©e du Canada prĂ©voit de publier un document d’orientation sur les transactions de cannabis Ă  l’intention des magasins de vente au dĂ©tail et des consommateurs.

En somme, la vente et la consommation de cannabis Ă  des fins rĂ©crĂ©atives comme elles se font actuellement posent certains risques en matière de protection de la vie privĂ©e. Ă€ mesure que l’industrie se dĂ©veloppe, il est probable que plusieurs de ces problèmes soient abordĂ©s et rĂ©solus. Entre-temps, les consommateurs de cannabis et les entreprises qui en vendent devraient tenir compte de ces risques potentiels et s’adapter en consĂ©quence. Pour les entreprises, cela signifie possiblement des Ă©valuations de sĂ©curitĂ© et de protection de la vie privĂ©e afin de veiller Ă  ce que, Ă  la suite de l’identification et de l’attĂ©nuation des risques pertinents, les renseignements personnels qui sont recueillis soient convenablement gĂ©rĂ©s et protĂ©gĂ©s.

Margery Pazdor est une avocate de la Community Social Services Employers’ Association de la Colombie-Britannique. Katherine Rusk est une avocate chez Bennett Jones.

Notes de bas de page

1. Artuso, Antonella, “Names of recreational cannabis buyers hacked”, (November 18, 2018) Toronto Sun : https://torontosun.com/news/provincial/exclusive-names-of-recreational-cannabis-buyers-hacked.

2. Commissariat Ă  l’information et Ă  la protection de la vie privĂ©e de la Colombie-Britannique, document d’orientation, PIPA:Protecting Personal Information: Cannabis Transactions, octobre 2018, https://www.oipc.bc.ca/guidance-documents/2248.

3. CBC News, “Privacy commissioner investigating personal data collection at cannabis stores,” (19 octobre 2018) CBC online: https://www.cbc.ca/news/canada/prince-edward-island/pei-cannabis-stores-scanning-ids-1.4866267.

4. Colin Perkel, "Privacy commissioner concerned about potential fallout of credit card use for legal online pot purchases", (18 novembre 2018), The Globe and Mail: https://www.theglobeandmail.com/cannabis/article-privacy-commissioner-concerned-about-potential-fallout-of-credit-card/.