« Vous pourriez faire l’objet de mesures correctives qui comprennent la résiliation de votre emploi avec Air Canada »
Lundi matin, 26 janvier 2015, deux articles rédigés par Daphné Cameron, journaliste pour le quotidien La Presse, ont capté mon attention. Les deux articles traitent d’un conflit chez Air Canada au sujet de l’implantation d’un nouvel horodateur. C’est que l’horodateur est particulier… Il requiert l’analyse d’empreintes digitales des employés du transporteur. La biométrie faisant partie d’une nouvelle réalité à laquelle nous serons tous confrontés tôt ou tard, le contrôle par l’employeur des allées et venues de ses employés n’y échappent pas… Que ce soit pour donner accès à certaines pièces ou sections des lieux de travail, pour enregistrer les entrées et sorties des employés, les raisons peuvent être nombreuses. Sont-elles légitimes? La question est moins claire.
Elle se complique d’autant plus lorsque l’entreprise est de compétence fédérale et qu’elle souhaite implanter son système au Québec, notamment. C’est ce qui est en train de se produire chez Air Canada, qui a déjà entrepris de moderniser son système de carte de poinçon devenu désuet. Aujourd’hui, elle fait face à quelques employés qui refusent de fournir leurs empreintes digitales, mais également à une cinquantaine de plaintes concernant les méthodes imposées par Air Canada. Le transporteur aérien n’hésite pas à forcer ses employés à se soumettre à ses nouvelles méthodes : « Vous pourriez faire l’objet de mesures correctives qui comprennent la résiliation de votre emploi avec Air Canada », mentionne une lettre reçue par l’un de ses employés.
La question est actuellement entre les mains d’arbitres puisque plusieurs griefs ont été déposés, ce qui a permis à la Commission d’accès à l’information d’affirmer qu’elle « ne dispose pas d’informations suffisantes pour trancher si elle a compétence ou non dans le dossier d’Air Canada ». Cependant, dès le lendemain de la publication des textes de Daphné Cameron, la Commission d’accès à l’information semblait se raviser et maintenant s’inquiéter de la situation chez Air Canada. En effet, Jean Chartier, président de la Commission, se dit « préoccupé par l’implantation d’une horloge de pointage à lecteur d’empreintes digitales par Air Canada à Montréal », annonçant du même souffle que « la Commission compte demander à Air Canada de lui fournir les informations relatives à la mise en place d’une banque de caractéristiques ou de mesures biométriques, conformément à la Loi concernant le cadre juridique des technologies de l’information », pouvait-on lire dans un communiqué du 27 janvier 2015. Devons-nous comprendre que le Québec aurait ainsi compétence pour légiférer en matière de vie privée dans une entreprise de compétence fédérale? Quoiqu’il en soit, Air Canada prétend plutôt être régie par les lois fédérales uniquement.
La question de compétence revêt toute son importance puisque la protection de la vie privée relativement à la collecte de données biométriques diffèrent selon qu’on l’examine sous l’œil de la Commission d’accès à l’information au Québec ou du Commissariat à la vie privée du Canada. Le Commissariat à la vie privée du Canada, dans son document « Des données au bout des doigts, La biométrie et les défis qu’elle pose à la protection de la vie privée », suggère aux organisations désirant obtenir les empreintes digitales d’une personne, de se référer aux critères établis dans l’arrêt R. c. Oakes. Ainsi, il s’agit d’évaluer la pertinence d’une mesure qui pourrait porter atteinte à la vie privée en fonction de quatre questions :
- Est-il démontré que la mesure est nécessaire pour répondre à un besoin précis?
- Répondra-t-elle vraisemblablement efficacement à ce besoin?
- La perte au chapitre de la vie privée serait-elle proportionnelle à l’avantage reçu?
- Existe-t-il un moyen moins envahissant d’arriver au même but?
En 2008, le Commissariat a conclu que la collecte d’empreintes digitales des participants à l’examen d’admission du Law School Admission Council n’était ni nécessaire ni efficace pour vérifier l’identité des personnes qui passent l’examen et la façon dont les données étaient utilisées. L’intrusion dans la vie privée a donc été considérée disproportionnée.
Cependant, en 2011, le même Commissariat à la vie privée du Canada a conclu que la méthode de collecte biométrique utilisée par le Graduate Management Admission Council : « GMAC authenticates test-takers with palm-vein scanning technology by identifying the vein patterns beneath the skin of the individual’s hand and then retaining the pattern in an encrypted numerical (binary) template (a “numerical key”) », passait le test proposé par la Cour Suprême du Canada. Ainsi, les participants au GMAT (graduate Management Admission Test), doivent se soumettre aux demandes d’identification biométriques, qualifiée de mesures acceptables.
La situation au Canada ne semble donc pas aussi claire qu’au Québec, qui s’est doté de règles précises à cet effet et dont la Commission est chargée de son application. La Loi concernant le cadre juridique des technologies de l’information, à ses articles 44 et 45, prévoit spécifiquement que le consentement express est nécessaire. La loi va même plus loin en obligeant de déclarer la création d’une banque de données biométriques à la Commission d’accès à l’information :
Art. 44 :
Nul ne peut exiger, sans le consentement exprès de la personne, que la vérification ou la confirmation de son identité soit faite au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques. L’identité de la personne ne peut alors être établie qu’en faisant appel au minimum de caractéristiques ou de mesures permettant de la relier à l’action qu’elle pose et que parmi celles qui ne peuvent être saisies sans qu’elle en ait connaissance.
Tout autre renseignement concernant cette personne et qui pourrait être découvert à partir des caractéristiques ou mesures saisies ne peut servir à fonder une décision à son égard ni être utilisé à quelque autre fin que ce soit. Un tel renseignement ne peut être communiqué qu’à la personne concernée et seulement à sa demande.
Ces caractéristiques ou mesures ainsi que toute note les concernant doivent être détruites lorsque l’objet qui fonde la vérification ou la confirmation d’identité est accompli ou lorsque le motif qui la justifie n’existe plus.
Art. 45 :
La création d’une banque de caractéristiques ou de mesures biométriques doit être préalablement divulguée à la Commission d’accès à l’information. De même, doit être divulguée l’existence d’une telle banque qu’elle soit ou ne soit pas en service.
La Commission peut rendre toute ordonnance concernant de telles banques afin d’en déterminer la confection, l’utilisation, la consultation, la communication et la conservation y compris l’archivage ou la destruction des mesures ou caractéristiques prises pour établir l’identité d’une personne.
La Commission peut aussi suspendre ou interdire la mise en service d’une telle banque ou en ordonner la destruction, si celle-ci ne respecte pas ses ordonnances ou si elle porte autrement atteinte au respect de la vie privée.
Il sera intéressant de voir comment seront interprétées la cueillette de données aussi personnelles que sont les empreintes digitales dans le cadre d’un contrôle des employés sur son lieu de travail. Le résultat risque également d’être différent selon qu’on se place sous l’œil de la Commission d’accès à l’information ou du Commissariat à la vie privée où l’obligation de fournir de telles données, même aussi personnelles, sera jugée comme une atteinte minimale à la vie privée s’il est démontré que les empreintes sont utilisées uniquement pour créer un code mathématique unique permettant d’identifier l’employé, qu’elles ne sont pas enregistrées et qu’elles et que les autres moyens ne sont pas efficaces ou trop coûteux. Des développements intéressants devraient avoir lieu sous peu concernant Air Canada et ses horodateurs 2.0…