A-639-05
2007 CAF 21
Paul Wansink, Paul Bernat et Henry Fenske (appelants)
c.
TELUS Communications Inc. et La commissaire à la protection de la vie privée du Canada (intimées)
Répertorié : Turner c. TELUS Communications Inc. (C.A.F.) (Renvoi : Wansink c. TELUS Communications Inc.)
Cour d’appel fédérale, juges Desjardins, Décary et Malone, J.C.A.—Vancouver, 12 décembre 2006; Ottawa, 29 janvier 2007.
Protection des renseignements personnels — Loi sur la protection des renseignements personnels et les documents électroniques — Appel de la décision de la Cour fédérale rejetant des demandes relatives à la décision de la Commissaire à la protection de la vie privée du Canada portant que l’intimée TELUS Communications Inc. (TELUS) respectait l’art. 5(3) de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) ainsi que les art. 4.2 et 4.7 de l’annexe I de cette loi — La technologie de reconnaissance de la voix permettant aux employés de TELUS d’accéder à son réseau informatisé interne et de l’utiliser en transmettant des commandes au moyen d’un téléphone oblige l’employé à fournir un échantillon de sa voix à partir duquel une empreinte vocale est créée et stockée — Les quatre employés qui ont porté plainte auprès de la Commissaire à la protection de la vie privée du Canada soutenaient qu’ils avaient été menacés de mesures disciplinaires pour leur refus de se prêter à la collecte d’empreinte vocale — La Cour fédérale a conclu qu’une personne raisonnable estimerait acceptable la fin pour laquelle la collecte avait été faite et que le consentement des employés n’était pas nécessaire car l’exception prévue à l’art.7(1)a) de la LPRPDE s’appliquait — Elle a commis une erreur lorsqu’elle a statué que l’art. 7(1) de la LPRPDE énumère d’autres exceptions au principe général exposé à l’art. 4.3 de l’annexe I en vertu desquelles le consentement peut ne pas être requis dans certaines circonstances appropriées — Elle a aussi commis une erreur lorsqu’elle a déclaré que l’exception visée à l’art. 7(1) de la LPRPDE s’appliquait puisque l’exception ne s’applique que dans les cas où le consentement ne peut être obtenu, pas lorsque le consentement est refusé — L’art. 27.1(1)b) de la LPRPDE ne s’appliquait pas puisqu’il protège les employés contre des représailles découlant de leur refus d’accomplir des fonctions de leur emploi qui porteraient atteinte aux droits à la protection des renseignements personnels de tiers — TELUS n’a pas porté atteinte à la LPRPDE du fait qu’elle a demandé le consentement à la collecte des caractéristiques vocales et quelle n’a pris jusqu’ici aucune mesure disciplinaire — Appel rejeté.
Il s’agissait d’un appel de la décision de la Cour fédérale rejetant les quatre demandes d’audience relatives à la décision de la Commissaire à la protection de la vie privée du Canada portant que l’intimée, TELUS Communications Inc. (TELUS), respectait le paragraphe 5(3) de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) ainsi que les articles 4.2 et 4.7 de l’annexe I de cette loi. En 2003, TELUS a introduit une nouvelle technologie désignée « e.Speak » dans ses pratiques opération-nelles. E.Speak recourt à la technologie de reconnaissance de la voix pour permettre à ses employés d’accéder à son réseau informatisé interne et de l’utiliser en transmettant des commandes au moyen d’un téléphone. Lorsque les employés tentent d’accéder à e.Speak, leur identité doit être vérifiée. Le système de vérification de l’identité que TELUS utilise oblige l’employé à fournir un échantillon de sa voix à partir duquel une empreinte vocale (une matrice de chiffres ) est créée et stockée. TELUS a demandé le consentement de certains employés qu’elle avait identifiés pour la collecte de leur empreinte vocale. Quatre employés ont porté plainte auprès de la Commissaire à la protection de la vie privée, soutenant que TELUS les avaient menacés de mesures disciplinaires pour leur refus de se prêter à la collecte d’empreinte vocale. Aucune mesure disciplinaire n’a encore été appliquée. La commissaire a conclu que les fins de la collecte des renseignements personnels étaient acceptables dans les circonstances, les employés en avaient été informés et des mesures de protection appropriées étaient en place pour protéger les renseignements issus des empreintes vocales. La commissaire a ensuite conclu que les exigences relatives au consentement énoncées à l’article 4.3 avaient été respectées. Dans le cadre de la demande qui lui a été soumise, la Cour fédérale a conclu qu’une personne raisonnable estimerait acceptable la fin pour laquelle la collecte avait été faite et que le consentement des employés n’était pas nécessaire car l’exception prévue à l’alinéa 7(1)a) de la LPRPDE s’appliquait, c’est-à-dire que la collecte était manifestement dans l’intérêt des employés et que le consentement des employés ne pouvait pas être obtenu en temps opportun.
Les questions en litige étaient celles de savoir : 1) si la collecte, l’utilisation ou la communication des caractéristiques de la voix n’était faite « qu’à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances » au sens du paragraphe 5(3) de la LPRPDE; 2) si TELUS s’était acquittée de ses obligations en vertu de l’article 4.3 de l’annexe I (principe 3) en matière d’obtention du consentement de ses employés; et 3) si la LPRPDE interdit à un employeur de prendre des mesures disciplinaires à l’égard des employés qui refusent leur consentement à la collecte de renseignements personnels.
Arrêt : l’appel doit être accueilli.
La conclusion de la Cour fédérale selon laquelle les caractéristiques de la voix en l’espèce se trouvaient davantage à l’extrémité inférieure du spectre des droits à la protection des renseignements personnels était correcte. Qui plus est, TELUS utilise l’empreinte vocale, pas la voix elle-même.
1) La conclusion de la Cour fédérale selon laquelle les « circonstances » mentionnées au paragraphe 5(3) sont celles qui existent au moment où s’effectue la collecte, l’utilisation ou la communication des renseignements personnels était juste. La conclusion portant qu’une personne raisonnable estimerait acceptable l’utilisation de la nouvelle technologie de TELUS dans les circonstances était étayée par la preuve et ne révélait aucune erreur manifeste et dominante.
2) La deuxième question a soulevé l’interaction du principe 3 (article 4.3 de l’annexe 1) et du paragraphe 7(1) de la LPRPDE. La Cour a déclaré qu’étant donné le caractère non législatif de sa rédaction, l’annexe I ne se prête pas à l’interprétation rigoureuse habituellement possible. Les mentions répétées dans la LPRPDE de l’annexe I et les dispositions du paragraphe 5(1) prévoyant que « toute organisation doit se conformer aux obligations énoncées dans l’annexe I » donnent à penser que la LPRPDE peut faire l’objet d’une approche moins rigoureuse que celle qui serait normalement adoptée. Bien que l’article 4.3 précise que dans certaines circonstances il est possible de recueillir des renseignements à l’insu de la personne concernée et sans son consentement, le fait même que le législateur ait demandé expressément aux paragraphes 2(2) et 7(1) de ne pas tenir compte de la note donne une indication importante de sa volonté de restreindre les cas où le consentement à la collecte des renseignements personnels n’est pas requis à ceux qui sont exposés au paragraphe 7(1). Cette volonté est également confirmée par l’emploi de l’expression « ne peut [. . .] que » au paragraphe 7(1). La Cour fédérale a commis une erreur lorsqu’elle a statué que le paragraphe 7(1) de la LPRPDE énumère d’autres exceptions au principe général exposé à l’article 4.3 en vertu desquelles le consentement peut ne pas être requis dans certaines circonstances appropriées. Les exceptions à l’obligation d’obtention du consentement visées à l’article 4.3 sont exhaustivement énoncées au paragra-phe 7(1) de la LPRPDE. La Cour fédérale a aussi commis une erreur lorsqu’elle a déclaré que l’exception visée à l’alinéa 7(1)a) de la LPRPDE pouvait s’appliquer dans les circonstances. L’exception ne s’applique que dans les cas où le consentement ne peut être obtenu, pas lorsque le consentement est refusé ou donné. De même, si le consentement est refusé ou mis en doute, on ne peut dire que la collecte des caractéristiques de la voix est manifestement dans l’intérêt de l’employé. En outre, l’emploi de l’expression « en temps opportun » à l’alinéa 7(1)a) témoigne sans ambiguïté que l’exception vise à permettre à une organisation de procéder sans le consentement d’une personne seulement de manière exceptionnelle et temporaire. Par conséquent, TELUS avait l’obligation d’obtenir le consentement des plaignants avant de recueillir leurs caractéristiques vocales. Il n’est pas possible de créer une empreinte vocale à l’insu de l’intéressé et sans sa participation, donc sans son consente-ment. Enfin, parce que les éléments de preuve ne permettaient pas de voir clairement ce qu’on entendait par des mesures disciplinaires, il n’était pas possible de conclure que TELUS ne s’était pas acquittée des obligations que lui impose le principe 3.
3) L’alinéa 27.1(1)b) de la LPRPDE ne s’appliquait pas. Il protège les employés contre des représailles qui pourraient être faites en raison de leur refus de se conformer à des directives de l’employeur leur demandant d’accomplir des fonctions de leur emploi qui porteraient atteinte aux droits à la protection des renseignements personnels de tiers, visés par la section 1 de la LPRPDE.
TELUS n’a pas porté atteinte aux dispositions de la LPRPDE du fait qu’elle a effectivement demandé le consentement à la collecte des caractéristiques vocales et quelle n’a pris jusqu’ici aucune mesure disciplinaire.
lois et règlements cités
Loi sur la protection des renseignements personnels et les documents électroniques, L.C. 2000, ch. 5, art. 2(2), 5(1),(3), 7(1) (mod. par L.C. 2004, ch. 15, art. 98), 11, 14, 15(2), 27.1, ann. 1, art. 4.2, 4.3, 4.3.8, 4.7.
jurisprudence citée
décisions appliquées :
Englander c. Telus Communications Inc., [2005] 2 R.C.F. 572; 2004 CAF 387; Eastmond c. Canadien Pacifique Ltée, 2004 CF 852.
APPEL de la décision de la Cour fédérale (2005 CF 1601) rejetant quatre demandes relatives à la décision de la Commissaire à la protection de la vie privée du Canada portant que la collecte par TELUS Communications Inc. d’empreintes vocales d’employés respectait le paragraphe 5(3) de la Loi sur la protection des renseignements personnels et les documents électroniques ainsi que les articles 4.2 et 4.7 de l’annexe I de cette loi. Appel rejeté.
ont comparu :
Theodore Arsenault et David M. Aaron pour les appelants.
Lisa A. Warren pour l’intimée TELUS Communications Inc.
Steven J. Welchner et Kris Klein pour l’intimée la Commissaire à la protection de la vie privée du Canada.
avocats inscrits au dossier :
Shortt, Moore & Arsenault, Vancouver, pour les appelants.
Farris Vaughn Willis & Murphy LLP, Vancouver, pour l’intimée TELUS Communications Inc.
Welchner Law Group, Ottawa, et Direction des services juridiques, Commissariat à la protection de la vie privée du Canada, pour l’intimée la Commissaire à la protection de la vie privée du Canada.
Ce qui suit est la version française des motifs du jugement rendus par
[1]Le juge Décary, J.C.A. : Le présent appel concerne l’introduction par TELUS, en 2003, d’une nouvelle technologie, désignée « e.Speak », dans ses pratiques opérationnelles. E.Speak recourt à la technologie de reconnaissance de la voix pour permettre aux employés de TELUS d’accéder au réseau informa-tisé interne de TELUS et de l’utiliser en transmettant des commandes au moyen d’un téléphone, au lieu d’utiliser un terminal d’ordinateur désigné à cette fin ou d’obtenir l’accès au réseau par l’intermédiaire d’un autre employé, habituellement un commis. Grâce à e.Speak, les employés de TELUS qui travaillent sur le terrain peuvent effectuer diverses opérations sur le réseau à partir de n’importe quel téléphone disponible, notam-ment un téléphone cellulaire.
[2]Lorsque les employés tentent d’accéder à e.Speak par téléphone, leur identité doit être vérifiée de manière à protéger les renseignements confidentiels stockés dans les bases de données du réseau. Le système de vérification d’identité utilisé par TELUS pour autoriser ou refuser l’accès à e.Speak est un programme informatique du nom de Nuance Verifier, qui utilise une technologie de vérification du locuteur pour contrôler l’identité des personnes cherchant à accéder à e.Speak.
[3]Pour être en mesure d’utiliser la technologie de vérification du locuteur Nuance Verifier, l’employé doit d’abord participer à une « procédure d’inscription » permettant de générer une « signature vocale » (ou « empreinte vocale »). L’employé passe par une procédure d’inscription unique au cours de laquelle un échantillon de sa voix est enregistré et une empreinte vocale est créée et stockée. Les empreintes vocales ne sont pas des échantillons audio mais bien des matrices de chiffres représentant les caractéristiques de la voix et du conduit vocal de l’utilisateur. Selon la preuve produite par TELUS, ces signatures vocales sont stockées sous haute sécurité aussi longtemps que le fournisseur de l’échantillon demeure un employé de TELUS. L’accès à e.Speak exige ensuite la production d’une deuxième signature vocale, laquelle est à son tour numérisée et jumelée à la signature vocale de l’appelant saisie à l’inscription. En l’absence de concordance, l’accès est refusé. La signature vocale d’accès est détruite dans un délai d’un à deux mois.
[4]TELUS a identifié certains de ses employés comme ceux qui devaient se soumettre à la procédure d’inscription. Elle a demandé leur consentement à la collecte des empreintes vocales. Trois employés, Randy Turner, Paul Wansink et Paul Bernat ont refusé. Un quatrième, Henry Fenske, s’est prêté à la collecte de son empreinte vocale, mais, dit‑il, sous la coercition. Il a ultérieurement retiré son consentement et TELUS n’a pas utilisé son empreinte vocale. Randy Turner s’est récemment désisté de l’appel, ce qui explique la modification de l’intitulé, mais par entente entre les parties, son affidavit reste au dossier.
[5]Les quatre employés soutiennent que TELUS les menaçait de mesures disciplinaires pour leur refus de se prêter à la collecte d’empreinte vocale. TELUS a fait savoir qu’elle pourrait imposer des [traduction] « mesures disciplinaires progressives », sans en préciser la nature, aux employés qui ne s’inscriraient pas. Aucune mesure disciplinaire n’a été appliquée, dans l’attente de l’issue de la présente procédure.
[6]En février 2004, les quatre employés ont déposé une plainte contre les pratiques de prise d’empreintes vocales de TELUS auprès de la commissaire à la protection de la vie privée du Canada en vertu de l’article 11 de la Loi sur la protection des renseigne-ments personnels et les documents électroniques, L.C. 2000, ch. 5 (LPRPDE). La commissaire a mené une enquête et établi un rapport, daté du 3 septembre 2004. Dans son rapport, la commissaire a conclu que TELUS respectait le paragraphe 5(3) de la LPRPDE ainsi que les articles 4.2 (principe 2) et 4.7 (principe 7) de l’annexe 1 : les fins de la collecte des renseignements personnels étaient acceptables dans les circonstances, les employés en avaient été informés et des mesures de protection appropriées étaient en place pour protéger les renseignements issus des empreintes vocales. La commissaire a ensuite conclu, sans élaborer davantage, que les exigences relatives au consentement énoncées à l’article 4.3 (principe 3) avaient été respectées.
[7]Les plaignants ont alors demandé, en vertu de l’article 14 de la LPRPDE, d’être entendus par la Cour fédérale. La commissaire a obtenu l’autorisation, en vertu du paragraphe 15(2), de comparaître comme partie à la procédure.
[8]Le 29 novembre 2005, le juge Gibson (2005 CF 1601) a rejeté les quatre demandes sans adjuger de dépens. Il a conclu qu’une personne raisonnable estime-rait acceptable la fin pour laquelle la collecte avait été faite (paragraphe 5(3) de la Loi). Il a ensuite conclu que le consentement des employés n’était pas nécessaire car, à son avis, l’exception prévue à l’alinéa 7(1)a) de la Loi s’appliquait, c’est‑à‑dire que la collecte était manifeste-ment dans l’intérêt des employés et que le consentement des employés ne pouvait être obtenu en temps opportun. Il s’est expressément refusé à décider quels seraient les droits respectifs de TELUS et des employés ayant refusé leur consentement dans le contexte du droit du travail.
Les dispositions législatives pertinentes
Loi sur la protection des renseignements personnels et les documents électroniques
2. [. . .]
(2) Dans la présente partie, la mention des articles 4.3 ou 4.9 de l’annexe 1 ne vise pas les notes afférentes.
[. . .]
5. [. . .]
(3) L’organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu’à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances.
[. . .]
7. (1) Pour l’application de l’article 4.3 de l’annexe 1 et malgré la note afférente, l’organisation ne peut recueillir de renseignement personnel à l’insu de l’intéressé et sans son consentement que dans les cas suivants :
a) la collecte du renseignement est manifestement dans l’intérêt de l’intéressé et le consentement ne peut être obtenu auprès de celui‑ci en temps opportun;
b) il est raisonnable de s’attendre à ce que la collecte effectuée au su ou avec le consentement de l’intéressé puisse compromettre l’exactitude du renseignement ou l’accès à celui‑ci, et la collecte est raisonnable à des fins liées à une enquête sur la violation d’un accord ou la contravention du droit fédéral ou provincial;
[. . .]
27.1 (1) Il est interdit à l’employeur de congédier un employé, de le suspendre, de le rétrograder, de le punir, de le harceler ou de lui faire subir tout autre inconvénient, ou de le priver d’un avantage lié à son emploi parce que :
[. . .]
b) l’employé, agissant de bonne foi et se fondant sur des motifs raisonnables, a refusé ou a fait part de son intention de refuser d’accomplir un acte qui constitue une contravention à l’une des dispositions de la section 1;
[. . .]
ANNEXE 1
(article 5)
PRINCIPES ÉNONCÉS DANS LA NORME NATIONALE DU CANADA INTITULÉE CODE TYPE SUR LA PROTECTION DES RENSEIGNEMENTS PERSONNELS, CAN/CSA‑Q830‑96
[. . .]
4.3 Troisième principe—Consentement
Toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu’il ne soit pas approprié de le faire.
[. . .]
4.3.8
Une personne peut retirer son consentement en tout temps, sous réserve de restrictions prévues par une loi ou un contrat et d’un préavis raisonnable. L’organisation doit informer la personne des conséquences d’un tel retrait.
L’analyse
[9]Il est admis que la technologie de reconnaissance vocale utilisée par TELUS exige la collecte de « renseignements personnels » au sens de la LPRPDE. Les caractéristiques de la voix d’une personne sont des renseignements personnels.
[10]C’est également un principe élémentaire de droit que les droits à la protection des renseignements personnels prévus par la LPRPDE ne sont pas absolus. Leur portée doit être déterminée par un processus d’équilibre, dans une affaire comme la présente, selon lequel les intérêts privés des employés et les intérêts commerciaux de l’employeur doivent être pris en compte pour définir les limites acceptables d’intrusion dans la vie privée d’un employé. Comme l’a noté le juge Gibson au paragraphe 41 de ses motifs :
Les droits en matière de vie privée ne sont ni absolus, ni insignifiants. Situés entre ces deux extrêmes, ils varient selon le contexte factuel dans lequel s’inscrit leur examen.
[11]Le juge a ensuite conclu que les caractéristiques de la voix, en l’espèce, se trouvent davantage à l’extrémité inférieure du spectre. Il a fait sienne, compte tenu également des éléments de preuve dont il était saisi, la conclusion de la commissaire sur cette question. Dans son rapport, la commissaire avait déclaré [au paragraphe 22 de la décision du juge Gibson] :
Il ne fait aucun doute qu’une empreinte vocale constitue une atteinte à la personne. TELUS recueille les caractéristiques comportementales et physiques qui rendent votre voix unique. Mais dans quelle mesure est‑ce révélateur à votre égard? À elle seule, une empreinte vocale peut‑elle révéler par exemple vos antécédents de travail, votre état de santé ou vos antécédents judiciaires, le cas échéant? À mon avis, l’empreinte vocale ne révèle que peu de choses à propos d’une personne; la question est donc de savoir si elle peut servir à révéler d’autres renseignements à propos d’une personne ou être autrement utilisée à mauvais escient. Bien entendu, vous avez exprimé des réserves quant aux divers usages auxquels pourrait être affectée votre empreinte vocale, par exemple pour espionner des employés ou identifier un employé participant à une émission radio pour critiquer son employeur. Mais ceux qui vous connaissent connaissent également votre voix. Si un employé ayant publiquement dénoncé son employeur dans le cadre d’une émission radiophonique a été entendu par son superviseur, la présence d’une empreinte vocale consignée dans les dossiers de l’employeur ne change rien aux chances qu’il a de démasquer son employé. En outre, TELUS a démontré à notre satisfaction que sur le plan technique, elle ne peut utiliser les empreintes vocales dans la configuration technique actuelle que pour des fins d’authentification, et non pour espionner ou à d’autres fins préjudiciables. Dans le contexte de la présente plainte, l’utilisation d’une empreinte vocale uniquement à des fins d’authentification m’apparaît donc relativement inoffensive.
[12]Je partage cet avis. J’ajouterais aux motifs exprimés par la commissaire le motif suivant : s’il est vrai que l’objet recueilli est la voix, il demeure que l’objet qu’utilise TELUS n’est pas la voix elle‑même, mais l’empreinte vocale, qui est une matrice de chiffres.
[13]Le présent appel soulève essentiellement trois questions :
1) La collecte, l’utilisation ou la communication des caractéristiques de la voix n’était‑elle faite « qu’à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances » au sens du paragraphe 5(3) de la LPRPDE?
2) TELUS s’est‑elle acquittée de ses obligations en vertu du principe 3 (article 4.3 de l’annexe 1) en matière d’obtention du consentement de ses employés?
3) La LPRPDE interdit‑elle à un employeur de prendre des mesures disciplinaires à l’égard des employés qui refusent leur consentement à la collecte de renseigne-ments personnels?
[14]Une quatrième question a été soulevée au sujet de l’appelant Fenske. Il est allégué que le juge Gibson a commis une erreur en concluant que cet employé avait donné correctement son consentement. Il s’agit là d’une conclusion de fait qui ne justifie pas l’intervention de la Cour. J’ai examiné l’affidavit et les pièces à l’appui produits par M. Fenske, notamment un courriel qui, selon lui, laisse entendre qu’il serait congédié ou ferait l’objet de mesures disciplinaires s’il ne participait pas à e.Speak. La lettre visée est une directive de participation au programme; rien de plus, rien de moins. Elle ne contient aucune menace de mesure disciplinaire et absolument aucune menace indiquant que l’emploi de M. Fenske serait compromis. De toute façon, M. Fenske a retiré son consentement, comme il avait droit de le faire en vertu de l’article 4.3.8. Il se retrouve dans la même position que les trois autres plaignants à l’égard du présent appel.
La première question :
La collecte, l’utilisation ou la communication des caractéristiques de la voix n’était‑elle faite « qu’à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances » au sens du paragraphe 5(3) de la LPRPDE?
[15]Le juge Gibson a conclu que les « circonstances » mentionnées au paragraphe 5(3) sont celles qui existent au moment où s’effectue la collecte, l’utilisation ou la communication des renseignements personnels. Cette interprétation du paragraphe 5(3) est correcte et je partage entièrement les propos du juge au paragraphe 45 :
Je suis convaincu que le critère des fins qu’une personne raisonnable estimerait acceptables dans les circonstances doit être appliqué compte tenu des circonstances telles qu’elles existent. J’accepte que les circonstances puissent changer, que de nouvelles utilisations et de nouvelles applications puissent être envisagées et adoptées, et que de nouvelles technologies visant à déjouer les mesures de sécurité puissent être développées. Je suis convaincu que ce n’est que lorsqu’elles seront concrètes et significatives, et non pas hypothétiques, qu’il conviendra de se pencher sur ces nouvelles utilisations et applications, et sur les modifications technologiques susceptibles de rendre insuffisantes les mesures de sécurité prises par TELUS.
[16]Le juge a ensuite conclu, sur le fondement des faits, qu’une personne raisonnable estimerait acceptable l’utilisation de la nouvelle technologie dans les circonstances. Sa conclusion du paragraphe 48 est étayée par la preuve et ne révèle aucune erreur manifeste et dominante. J’y souscris entièrement :
Compte tenu, d’une part, de ce qui précède et, d’autre part, de la brève analyse précédente portant sur le caractère délicat des empreintes vocales comme renseignements personnels, les mesures de sécurité mises en œuvre par TELUS, les intérêts commerciaux légitimes de TELUS tel qu’il ressort de la preuve dont dispose la Cour et que vise la collecte d’empreintes vocales, l’efficacité de l’utilisation des empreintes vocales dans l’atteinte de ces objectifs, le caractère raisonnable de la collecte d’empreintes vocales par rapport à d’autres méthodes permettant d’atteindre le même niveau de s écurité à des coûts et avec des avantages opérationnels comparables, et la proportionnalité de l’atteinte à la vie privée par rapport au coût et aux avantages opérationnels compte tenu des mesures de sécurité fournies par TELUS, je conclus qu’une personne raisonnable estimerait acceptable la collecte des renseigne-ments issus des empreintes vocales en l’espèce, dans les circonstances pertinentes à la présente instance et compte tenu des mesures de sécurité prises par TELUS.
La deuxième question :
TELUS s’est‑elle acquittée de ses obligations en vertu du principe 3 (article 4.3 de l’annexe 1) en matière d’obtention du consentement de ses employés?
[17]Cette question soulève l’interaction du principe 3 (consentement) (article 4.3 de l’annexe 1) et du paragraphe 7(1) [mod. par L.C. 2004, ch. 15, art. 98] de la Loi.
[18]Dans l’arrêt Englander c. TELUS Communications Inc., [2005] 2 R.C.F. 572, la Cour a déclaré au paragraphe 46 :
[. . .] étant donné le caractère non législatif de sa rédaction, l’annexe 1 ne se prête pas à l’interprétation rigoureuse habituellement possible. Cela étant, la meilleure solution pour la Cour est de se confier aux critères de la souplesse, du sens commun et du pragmatisme.
[19]S’il est impossible de dire, à proprement parler, que ce point de vue s’applique à l’interprétation de la Loi elle‑même, les mentions répétées dans la Loi de l’annexe 1 et les dispositions du paragraphe 5(1) prévoyant que « toute organisation doit se conformer aux obligations énoncées dans l’annexe 1 », incitent la Cour à adopter à l’égard de la Loi elle‑même une approche moins rigoureuse que celle qu’elle adopterait normalement à l’égard d’une loi.
[20]Dans l’arrêt Englander, au paragraphe 59, j’ai exprimé l’idée que les termes « pas approprié » de l’article 4.3 « se rapportent peut‑être au moins à l’article 7 de la Loi, qui autorise la collecte de renseignements personnels à l’insu de l’intéressé et sans son consentement dans certains cas ». En l’espèce, il n’est pas suggéré que TELUS pourrait se prévaloir d’un paragraphe (de la Loi) ou d’un article (de l’annexe 1) autres que l’alinéa 7(1)a) de la Loi pour se dégager de l’obligation d’obtention du consentement.
[21]Le consentement à la collecte des renseignements personnels est une pierre d’assise si importante de la Loi que les paragraphes 2(2) et 7(1) prescrivent expressément de ne pas tenir compte de la note afférente à l’article 4.3 dans l’interprétation d’une mention de cet article. Considérant que la note afférente à l’article 4.3 porte que « [d]ans certaines circonstances, il est possible de recueillir […] des renseignements à l’insu de la personne concernée et sans son consentement », le fait même que le législateur ait demandé expressément de ne pas tenir compte de la note donne une indication importante de sa volonté de restreindre les cas où le consentement à la collecte des renseignements personnels n’est pas requis à ceux qui sont exposés au paragraphe 7(1).
[22]Cette ferme volonté du législateur est également confirmée par l’emploi du terme « ne peut […] que » au paragraphe 7(1) : on ne peut recueillir de renseigne-ments personnels à l’insu de l’intéressé et sans son consentement que si l’une ou l’autre des cinq exceptions exposées aux alinéas a) à e) s’applique.
[23]Je ne partage pas la conclusion du juge Gibson, aux paragraphes 49 et 50, selon laquelle le paragraphe 7(1) de la Loi énumère d’autres exceptions au principe général exposé à l’article 4.3 en vertu desquelles le consentement pourrait ne pas être requis dans certaines circonstances appropriées. À mon avis, les exceptions à l’obligation d’obtention du consentement visées à l’article 4.3 sont exhaustivement énoncées au paragraphe 7(1) de la Loi. Ce paragraphe fournit la liste exhaustive des cas où la connaissance et le consentement de l’intéressé ne sont pas requis et qui ne sont « pas approprié[s] » au sens de l’article 4.3. (Voir la décision du juge Lemieux dans Eastmond c. Canadien Pacifique Ltée, 2004 CF 852, au paragraphe 86.)
[24]Je ne souscris pas non plus à la conclusion du juge Gibson selon laquelle l’exception visée à l’alinéa 7(1)a) de la Loi peut s’appliquer dans les circonstances.
[25]Tout d’abord, l’exception ne s’applique que dans les cas où le consentement ne peut être obtenu. En l’espèce, trois des plaignants ont refusé leur consentement et le quatrième a donné son consentement. À l’évidence, si le consentement pouvait être refusé ou donné, il est impossible de prétendre qu’il n’y a eu aucun effort d’obtention du consentement. L’exception s’applique lorsque le consentement ne peut être obtenu, elle ne s’applique pas lorsque le consentement n’est pas obtenu.
[26]Deuxièmement, comme trois des plaignants ont refusé leur consentement et que le quatrième remet le sien en question, on ne peut dire que les plaignants ont considéré la collecte des caractéristiques de leur voix comme étant manifestement dans leur intérêt.
[27]Troisièmement, l’emploi de l’expression « en temps opportun » témoigne sans ambiguïté que l’excep-tion vise à permettre à une organisation de procéder sans le consentement d’une personne seulement de manière exceptionnelle et temporaire, par exemple quand il n’est pas possible d’entrer en contact avec la personne avant le moment où il faut faire la collecte.
[28]J’en arrive à la conclusion que TELUS avait l’obligation d’obtenir le consentement des plaignants avant de recueillir leurs caractéristiques vocales. En l’espèce, la conception du système e.Speak fait en sorte que le consentement de la personne est donné avant la collecte de l’empreinte vocale biométrique. Comme l’a noté le juge Gibson au paragraphe 65 de sa décision, e.Speak est applicable seulement aux employés qui consentent à l’inscription. Comme les échantillons de voix sont fournis par l’interaction de chaque employé avec le système e.Speak, il n’est pas possible de créer une empreinte vocale à l’insu de l’intéressé et sans sa participation, donc sans son consentement. En fin de compte, l’exception prévue à l’alinéa 7(1)a) de la Loi ne s’applique pas dans les circonstances.
[29]Il reste donc à trancher la question de savoir si les menaces alléguées de mesures disciplinaires ont invalidé le consentement. Normalement, je conviendrais que des menaces de mesures disciplinaires telles que la suspension ou le congédiement invalident le consente-ment. Toutefois, les éléments de preuve présentés à la Cour ne permettent pas de voir clairement ce qu’on entend par des mesures disciplinaires. Les affidavits de Randy Turner, Paul Bernat et Paul Wansink renferment exactement la même déclaration, soit que des menaces de mesures disciplinaires progressives ont été évoquées par un superviseur de TELUS au cours d’une fête de Noël qui s’est tenue tardivement. Il n’est fait aucune mention de ce que visaient ces allégations de mesures disciplinaires progressives et comme aucune mesure d’aucune sorte n’a jusqu’ici été mise en œuvre par TELUS, rien de pertinent ne peut être affirmé au sujet de ces menaces alléguées. Les avocats des appelants ont reconnu à l’audience que pour qu’un employé donne son consentement éclairé selon la Loi, l’employeur était tenu d’aviser l’employé que le refus du consentement pouvait entraîner des conséquences sur le maintien en emploi de l’employé. En s’acquittant ainsi de son obligation, l’employeur ne ferait pas de menaces de mesures disciplinaires.
[30]Dans ces circonstances, il n’est pas possible de conclure à ce stade‑ci de la procédure que TELUS ne s’est pas acquittée des obligations que lui impose le principe 3.
La troisième question
La LPRPDE interdit‑elle à un employeur de prendre des mesures disciplinaires à l’égard des employés qui refusent leur consentement à la collecte de renseigne-ments personnels?
[31]Les appelants soutiennent que selon l’alinéa 27.1(1)b) de la Loi, il est interdit à l’employeur de punir ses employés. Cet alinéa, à l’évidence, n’appuie pas leur proposition. Il est destiné, à première vue, à protéger les employés contre des représailles qui pourraient être faites en raison de leur refus de se conformer à des directives de l’employeur leur demandant d’accomplir des fonctions de leur emploi qui porteraient atteinte aux droits à la protection des renseignements personnels de tiers, visés par les dispositions de protection de la section 1 de la LPRPDE. En d’autres termes, l’alinéa 27.1(1)b) assure la protection des employés contre des mesures disciplinaires applicables s’ils refusent de contrevenir à la LPRPDE. Donner son consentement à une demande de collecte de renseignements personnels n’est pas un manquement à la Loi, pas plus que de refuser son consentement à un manquement à la Loi, bien au contraire.
Dispositif
[32]La mise en œuvre d’e.Speak par TELUS n’a pas porté atteinte aux dispositions de la LPRPDE du fait que TELUS a effectivement demandé le consentement à la collecte des caractéristiques vocales et qu’elle n’a pris jusqu’ici aucune mesure disciplinaire. Pour ces motifs, quoiqu’ils soient partiellement différents de ceux du juge Gibson, j’en arrive à la conclusion qu’il a eu raison de rejeter la demande et que l’appel devrait être rejeté.
[33]Les appelants souhaiteraient que la Cour décident si les droits de gestion de TELUS l’autorisent à prendre des mesures disciplinaires contre un employé qui refuse de donner des renseignements personnels protégés par la LPRPDE.
[34]Je n’examinerai pas cette question. D’abord, TELUS n’a pas pris de mesures disciplinaires, ce qui confère à la question un caractère hypothétique. Deuxièmement, pour reprendre les mots du juge Gibson au paragraphe 65, l’examen de la question « devra être reporté à plus tard, dans le cadre d’une autre instance ». Les différends en matière de droit du travail doivent être tranchés devant un tribunal ayant compétence en droit du travail. Une fois établi que le système e.Speak est acceptable en vertu de la LPRPDE et que TELUS applique la nouvelle technologie exclusivement aux employés qui consentent à la collecte de leurs caractéristiques vocales, les conséquences sur l’emploi résultant de leur refus de consentir à la collecte acceptable de renseignements personnels ne figurent nulle part dans la LPRPDE.
[35]Dans la même veine, et en me fondant sur les faits de l’espèce, je n’ai pas à décider si, selon les dispositions d’une convention collective, le consentement peut être donné par un syndicat au nom d’un employé individuel.
[36]Au vu des conclusions partagées sur les questions de droit, je ne prononcerais pas d’ordonnance d’attribu-tion de dépens contre les appelants.
La juge Desjardins, J.C.A. : Je souscris aux présents motifs.
Le juge Malone, J.C.A. : Je souscris aux présents motifs.