Jusqu'où un employeur canadien peut-il aller? La vie privée des employés et la surveillance au travail au Canada

Un gestionnaire d'une entreprise ontarienne de taille moyenne m'a déjà dit, en toute sincérité, que parce que les ordinateurs portables appartenaient à l'entreprise, il pouvait lire tout ce qui s'y trouvait. Le Gmail personnel ouvert dans un onglet. Les messages WhatsApp sur un téléphone connecté au Wi-Fi du bureau. Des captures de la webcam toutes les dix minutes pour « confirmer la présence ». Sa logique était simple : notre matériel, nos règles.

Il avait tort, et tort d'une manière qui aurait pu coûter à son entreprise une plainte au Commissariat à la protection de la vie privée et un après-midi très inconfortable avec un arbitre du travail. Posséder l'appareil n'est pas la même chose que posséder l'humain qui l'utilise. Cet écart, entre ce que les employeurs présument pouvoir faire et ce que la loi permet réellement, est là où commence la plupart des ennuis de confidentialité au travail.

Le mythe des droits illimités de l'employeur

Commençons par une vérité inconfortable pour les employeurs sous réglementation fédérale : la LPRPDE s'applique aux renseignements personnels de vos employés. Les banques, les télécommunications, les compagnies aériennes, le transport interprovincial, tout ce qui relève de la compétence fédérale traite les données des employés selon le même cadre qui régit les données des clients. Pour le reste du secteur privé dans la plupart des provinces, l'information sur les employés se trouve dans une zone plus grise, façonnée par les délits civils de common law en matière de vie privée, les normes d'emploi et la jurisprudence arbitrale plutôt que par une seule loi.

Cette zone grise n'est pas le Far West. Les tribunaux et les arbitres canadiens ont bâti un critère remarquablement constant au cours des deux dernières décennies, et il revient presque toujours à une question : la surveillance était-elle raisonnable ? Le caractère raisonnable a une structure. Les décideurs demandent si la surveillance répondait à un problème réel et démontré, si elle était l'option la moins intrusive disponible, si les employés en étaient informés, et si l'avantage pour l'employeur l'emportait sur la perte de vie privée pour le travailleur.

Le CPVP a publié des orientations qui renforcent exactement cela. La vidéo continue pointée sur les travailleurs, le pistage GPS qui continue après les heures, l'enregistrement de frappe qui ramasse les mots de passe et les messages personnels : tout cela est rejeté non parce que la surveillance est interdite, mais parce que l'employeur a saisi un marteau-pilon quand une politique claire et une vérification ponctuelle occasionnelle auraient fait le travail.

Le Québec a changé le calcul

Employez quiconque au Québec et l'analyse change radicalement. La Commission d'accès à l'information (CAI) traite les renseignements personnels des employés comme pleinement protégés, et la Loi 25 (autrefois le projet de loi 64) a considérablement resserré l'étau à mesure que ses dispositions sont entrées en vigueur de 2022 à 2024.

En vertu de la Loi 25, vous avez besoin d'une personne désignée responsable de la protection des renseignements personnels. Vous devez aux employés de la transparence sur ce que vous recueillez et pourquoi. Et voici la clause qui mord : toute technologie utilisée pour identifier, localiser ou profiler une personne doit lui être divulguée avant son activation. On dirait qu'elle a été écrite avec la surveillance au travail à l'esprit. Installer discrètement un logiciel de pistage sur le téléphone d'un employé québécois, ou activer les services de localisation dans un véhicule de flotte sans en informer le conducteur, est désormais une violation directe.

Les sanctions ne sont pas théoriques. La Loi 25 permet des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé, et des amendes pénales pouvant atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial. Le Québec a aussi créé un droit privé d'action, de sorte qu'un employé lésé peut poursuivre en dommages-intérêts, avec des dommages punitifs disponibles lorsque l'atteinte était intentionnelle ou résultait d'une négligence grave. Aucune autre province n'a mis ce genre de poids financier derrière la vie privée des employés.

L'Ontario l'a mis par écrit

L'Ontario a emprunté une voie plus discrète. Par des modifications à la Loi de 2000 sur les normes d'emploi, un employeur qui compte 25 employés ou plus au 1er janvier d'une année donnée doit mettre en place une politique écrite de surveillance électronique au plus tard le 1er mars de cette année. La politique doit indiquer si l'employeur surveille électroniquement les employés et, le cas échéant, comment et dans quelles circonstances, et à quoi serviront les renseignements recueillis.

Soyez clair sur ce que cette loi fait et ne fait pas. Elle ne limite pas la surveillance. Un employeur ontarien peut encore observer énormément; la loi force simplement la divulgation. Il n'y a pas de nouveau droit de se plaindre à un organisme de réglementation d'une surveillance excessive, ni de cause d'action privée rattachée à l'exigence de politique elle-même. Le Commissaire à l'information et à la protection de la vie privée de l'Ontario (CIPVP) supervise la vie privée des secteurs public et de la santé, mais la règle de surveillance électronique relève des normes d'emploi et est appliquée par le ministère du Travail.

Ainsi, un travailleur qui lit la politique et la déteste a un recours mince en vertu de cette loi particulière. Le véritable effet est probatoire. Si vous avez divulgué la surveillance et que l'employé a continué à travailler, vous êtes sur un terrain bien plus ferme dans tout litige ultérieur. Sautez la politique et vous êtes non seulement en porte-à-faux avec la LNE, mais vous avez aussi donné à un futur arbitre une raison de douter de votre bonne foi.

Où le PAP brise tout

L'apportez votre propre appareil est l'endroit où les théories juridiques les plus nettes s'effondrent. L'employé possède le téléphone. L'employeur possède une partie des données qui s'y trouvent. Le logiciel de gestion des appareils mobiles (GAM) peut effacer tout l'appareil, lire sa localisation, imposer des codes d'accès, et dans des configurations agressives inspecter les applications installées et le trafic réseau.

L'attente de vie privée sur un téléphone personnel est élevée. La Cour suprême du Canada a pointé dans cette direction dans *R. c. Cole*, 2012 CSC 53, une affaire concernant un ordinateur portable fourni par l'employeur où la Cour a conclu à un intérêt raisonnable, quoique réduit, en matière de vie privée sur les données personnelles, précisément parce que l'usage personnel de l'appareil avait été permis. Inversez la propriété vers l'employé et cet intérêt ne fait que croître.

Quelques pratiques tiennent les employeurs à l'écart des ennuis :

• Conteneuriser, ne pas surveiller. Isolez les données de l'entreprise dans un conteneur géré pour qu'un effacement à distance ne touche que l'information de l'entreprise, jamais les photos, les messages ou les applications bancaires de l'employé.
• Divulguer toute la capacité du GAM. Si le logiciel *peut* voir la localisation ou la navigation, dites-le, même si vous promettez de ne jamais regarder. Le droit québécois l'exige sans doute; partout ailleurs c'est la ligne entre le défendable et l'indéfendable.
• Obtenir un consentement véritable et éclairé. Une clause enfouie dans un PDF d'intégration que personne ne lit ne survivra pas à l'examen. Et parce qu'un employé qui craint pour son emploi ne peut pas vraiment refuser, le consentement est un fondement faible à lui seul. Le caractère raisonnable doit encore porter le poids.

La lecture honnête est que le PAP échange une petite économie de matériel contre une grande responsabilité de confidentialité. Beaucoup des organisations les mieux gérées avec qui je travaille distribuent un téléphone de travail dédié bon marché pour exactement cette raison, afin que la question de la propriété ne devienne jamais trouble.

La norme sur laquelle repose la vie privée des employés et la surveillance au travail au Canada

Mettez de côté la variation provinciale et un employeur prudent peut s'en tenir à quatre habitudes qui satisfont presque tous les décideurs canadiens.

Reliez la surveillance à une finalité réelle. « Nous voulons nous assurer que personne ne flâne » n'est pas une finalité qu'un tribunal respecte. « Nous avons eu trois vols confirmés sur le quai de chargement le trimestre dernier » l'est. Recueillez le minimum : si la présence est la préoccupation, un passage de badge y répond sans webcam dans le bureau à domicile de quelqu'un. Dites-le aux gens, par écrit, avant de commencer, en langage clair, en nommant les outils précis. Puis examinez ce que vous avez recueilli uniquement pour la raison énoncée et disposez-en selon un calendrier au lieu d'accumuler des journaux pour toujours.

La surveillance secrète est presque toujours une surveillance excessive. L'acte de la cacher est en soi la preuve qu'elle ne survivrait pas au grand jour.

C'est proche de la façon dont les arbitres raisonnent réellement. La surveillance secrète est permise dans des circonstances étroites, généralement un soupçon sérieux et précis de méfait qui ne peut être enquêté autrement, mais c'est l'exception qui prouve à quel point le système favorise la transparence.

Ce que cela signifie pour une petite entreprise canadienne

La plupart des employeurs qui lisent ceci ne sont pas des banques dotées d'un service de la confidentialité. Ce sont une entreprise de 40 personnes avec un propriétaire inquiet, un généraliste des RH portant quatre chapeaux, et une mosaïque de provinces dès l'instant où quelqu'un travaille à distance. Le fardeau de conformité semble confus parce qu'il est réellement fragmenté : des règles fédérales pour une partie du personnel, des règles de la CAI pour votre recrue montréalaise, une politique de la LNE pour votre équipe ontarienne, et la common law pour tous les autres.

Vous n'avez pas besoin d'un consultant à 500 000 $ pour cartographier cela. Vous avez besoin de savoir quelles lois touchent votre main-d'œuvre précise, ce que chacune exige, et où vos pratiques actuelles sont déficientes. Cette évaluation est concrète et finie, et c'est exactement le genre de travail qu'un logiciel peut faire plus vite et moins cher qu'un cabinet à l'heure facturable. Pour voir quelles obligations de vie privée des employés s'appliquent à votre entreprise et quoi corriger en premier, réalisez une évaluation de la confidentialité conçue pour les employeurs canadiens.