Date : 20181115

Dossier : T‑852‑18

Référence : 2018 CF 1155

[TRADUCTION FRANÇAISE CERTIFIÉE, NON RÉVISÉE]

Ottawa (Ontario), le 15 novembre 2018

En présence de madame la juge Roussel

ENTRE :

CATHERINE B. MONTALBO

demanderesse

et

LA BANQUE ROYALE DU CANADA

défenderesse

JUGEMENT ET MOTIFS

I.  Introduction

[1]  La demanderesse, M^me Catherine B. Montalbo, a présenté une demande d’audition à la Cour en vertu de l’article 14 de la Loi sur la protection des renseignements personnels et les documents électroniques, LC 2000, c 5 [LPRPDE]. Elle allègue que la défenderesse, la Banque Royale du Canada, a manqué aux obligations que lui imposait la LPRPDE relativement à la collecte, à la conservation et à la destruction des renseignements personnels la concernant, de même qu’en ce qui a trait aux mesures de sécurité applicables à ceux-ci. Elle sollicite des dommages-intérêts au titre de l’alinéa 16c) de la LPRPDE pour troubles et inconvénients.

[2]  Pour les motifs qui suivent, la demande est accueillie.

II.  Le contexte

[3]  En janvier 2016, la demanderesse a communiqué avec la défenderesse et lui a demandé d’approuver un prêt hypothécaire résidentiel. Son prêt hypothécaire initial, obtenu auprès d’une autre institution financière, était censé prendre fin le 15 mars 2016 et la demanderesse souhaitait en obtenir un nouveau, sans cosignataire.

[4]  Lors de ce processus, la demanderesse a communiqué ses renseignements financiers personnels à une conseillère financière qui était au service de la défenderesse, soit des feuillets T4, des relevés de paye, des avis de cotisation, un sommaire fiscal et un reçu relatif à un paiement fait à l’Agence du revenu du Canada. La conseillère financière a par la suite transmis ces documents par courrier interne à un associé en prêts hypothécaires qui, à son tour, les a confiés à un spécialiste des prêts hypothécaires le 25 février 2016. Ce spécialiste a passé en revue la situation financière de la demanderesse et a décidé que cette dernière ne serait pas admissible à un prêt hypothécaire sans cosignataire.

[5]  Le 8 mars 2016, la demanderesse a renouvelé son prêt hypothécaire auprès de l’autre institution financière.

[6]  Le même jour, la demanderesse a téléphoné à la conseillère financière à laquelle elle avait communiqué ses renseignements financiers personnels, et lui a laissé un message dans lequel elle posait des questions sur sa demande de prêt hypothécaire et ses documents. Elle a rappelé le lendemain, mais le numéro de téléphone de la conseillère financière n’était plus en service.

[7]  Le 29 avril 2016, la demanderesse s’est présentée à la succursale où elle avait déposé ses documents au départ, en vue d’obtenir des réponses sur la situation de ses documents personnels. Le directeur de la succursale l’a informée que la conseillère financière avait été mutée à une succursale située dans une autre province. La demanderesse soutient que le directeur de la succursale lui a aussi indiqué qu’on avait procédé à une recherche exhaustive à la succursale, mais que ses documents étaient introuvables et qu’il se pouvait qu’on les ait déchiquetés.

[8]  Le 2 mai 2016, la conseillère financière a téléphoné à la demanderesse et l’a informée qu’elle avait remis ses documents à l’associé en prêts hypothécaires. La demanderesse a communiqué avec cet associé le 4 mai 2016, afin de s’enquérir de ses documents personnels. Le lendemain, ce dernier est entré en contact avec elle. Il l’a informée qu’il avait ses documents, et qu’on les avait conservés pendant que la demanderesse étudiait ses options au sujet d’un cosignataire. Lors de cette conversation, l’associé en prêts hypothécaires a demandé à la demanderesse si elle voulait que les documents lui soient retournés. Elle a répondu qu’elle était indécise, car les documents feraient l’objet d’une enquête, et elle a demandé que la défenderesse garde ses documents personnels en attendant qu’elle se décide.

[9]  Par la suite, la demanderesse a envoyé plusieurs lettres de plainte à la défenderesse au sujet du traitement de ses documents personnels, en demandant que l’on fasse enquête sur l’affaire. Par une lettre datée du 24 mai 2016, la directrice du Service à la clientèle de la même succursale a expliqué qu’une enquête exhaustive avait été menée, en ajoutant :

[traduction]

[…] votre demande a été ouverte le 14 janvier 2016 et, en date du 14 avril 2016, elle est en suspens depuis trois mois. Nous n’avons pas eu de nouvelles de votre part au sujet d’un cosignateur [sic] additionnel, et nous avons donc mis votre demande en suspens. Les documents ayant servi à confirmer vos déclarations relatives à votre situation financière ont été placés dans un bac sécurisé de documents divers à déchiqueter, dans le bureau du représentant en prêts hypothécaires.

Tous les représentants en prêts hypothécaires travaillent à l’extérieur de nos succursales, et [la défenderesse] a approuvé leurs locaux comme étant conformes à nos normes strictes en matière de protection de la vie privée. Les membres de notre équipe mobile apportent régulièrement dans les succursales les documents à déchiqueter afin de s’assurer qu’ils soient détruits convenablement. Il n’est pas rare qu’un spécialiste en prêts hypothécaires dépose ces documents dans une boîte de documents divers, pour ensuite en apporter une bonne quantité d’un coup à la succursale en vue de leur déchiquetage. C’est la raison pour laquelle notre spécialiste en prêts hypothécaires avait encore en main vos documents, qui attendaient d’être déchiquetés.

À la suite de mon enquête, j’ai conclu que vos documents ont effectivement rempli leur fonction. J’ai également pu confirmer qu’ils sont conservés en un lieu sécurisé depuis l’expiration de votre demande, et qu’il reste à les déchiqueter.

[10]  Insatisfaite de la réponse, la demanderesse a écrit au Bureau de l’ombudsman de la défenderesse le 30 mai 2016. Elle a reçu une réponse datée du 3 juin 2016, dans laquelle il était indiqué que ses documents étaient conservés en tout temps dans un lieu sécurisé, et qu’il n’y avait eu aucune atteinte à la vie privée. La demanderesse a écrit une fois de plus au Bureau de l’ombudsman de la défenderesse le 20 juin 2016, en indiquant qu’elle était insatisfaite de la réponse précédente. La défenderesse n’a pas envoyé d’autre réponse.

[11]  Le 26 octobre 2017, la demanderesse a porté plainte auprès du Commissariat à la protection de la vie privée du Canada (CPVP). Le 26 mars 2018, en réponse à la plainte, le CPVP a produit un rapport dans lequel il disait refuser, sous le régime de l’alinéa 12.2(1)c) de la LPRPDE, de poursuivre son examen. Le CPVP a noté être convaincu que :

[traduction]

[La défenderesse] a donné une explication raisonnable quant à la manière dont vos renseignements personnels ont été protégés (c’est‑à‑dire, conservés de manière sécuritaire dans le bureau du spécialiste en prêts hypothécaires, et plus tard déposés dans un bac de déchiquetage sécurisé) et au fait qu’ils ont ensuite été détruits. Il n’était pas déraisonnable que le personnel de [la défenderesse] mette un peu de temps à trouver vos renseignements personnels, compte tenu de la période d’inactivité de votre dossier et du fait que le bureau du spécialiste en prêts hypothécaires ne se trouvait pas sur les lieux.

Au vu des renseignements fournis par les parties, le CPVP est convaincu que l’organisation a pris les mesures appropriées. [La défenderesse] a donc apporté une réponse juste et équitable à la plainte.

[12]  Dans la demande qu’elle a déposée en vertu de l’article 14 de la LPRPDE, la demanderesse demande à la Cour d’examiner la conduite de la défenderesse relativement à la collecte, à la conservation et à la destruction des renseignements personnels la concernant, de même qu’en ce qui a trait aux mesures de sécurité applicables à ces renseignements. Se fondant sur l’alinéa 16c) de la LPRPDE, elle sollicite également une [traduction] « réparation pécuniaire pour troubles d’ordre physique et mental ainsi que pour tous les inconvénients que cette situation avait [sic] causés ».

III.  Les questions en litige

[13]  La demanderesse soulève quatre (4) questions, à savoir : 1) que la conseillère financière qui a recueilli ses renseignements personnels n’était pas habilitée à le faire, 2) que l’associé en prêts hypothécaires  qui s’est occupé de sa demande de prêt hypothécaire a omis de protéger convenablement ses documents personnels en les déposant dans un bac ou une boîte de documents divers, et non dans un classeur verrouillé et sécuritaire, 3) qu’entre le 25 mai 2016 et le mois de janvier 2018, ses documents personnels ont été détenus illégalement et n’ont pas été protégés adéquatement; 4) que la défenderesse a illégalement détruit ses documents personnels pendant que le CPVP menait un examen.

IV.  Le régime législatif applicable

[14]  La LPRPDE comporte six (6) parties, mais seule la partie 1 s’applique en l’espèce. Cette partie s’intitule « Protection des renseignements personnels dans le secteur privé », et comporte cinq (5) sections. Deux (2) de ces sections sont pertinentes à la présente instance : la section 1, qui porte sur la protection des renseignements personnels (articles 5 à 10), et la section 2, qui prévoit un processus de recours exhaustif (articles 11 à 17.2).

[15]  L’objet de la partie 1, énoncé à l’article 3 de la LPRPDE, est le suivant :

[16]  Nul ne conteste que la partie 1 de la LPRPDE s’applique à la défenderesse.

[17]  Aux termes du paragraphe 5(1), toute organisation est tenue de se conformer à l’annexe 1 de la LPRPDE, laquelle intègre les Principes énoncés dans la norme nationale du Canada intitulée Code type sur la protection des renseignements personnels, CAN/CSA‑Q830‑96. Ces principes contiennent à la fois des obligations et des recommandations qui visent les sujets suivants : 1) s’assurer du respect des principes; 2) déterminer la finalité pour laquelle les renseignements personnels sont recueillis; 3) exiger que la personne dont on recueille, utilise ou communique les renseignements personnels en soit informée et y consente; 4) limiter la collecte aux renseignements nécessaires pour les fins déterminées par l’organisation; 5) limiter l’utilisation et la communication des renseignements aux fins de la collecte, et limiter leur conservation au temps nécessaire pour réaliser les fins déterminées; 6) s’assurer de l’exactitude des renseignements personnels; 7) mettre en place des mesures de sécurité qui correspondent à la nature des renseignements personnels; 8) faire en sorte que l’information sur les politiques et les pratiques de gestion des renseignements soit facilement accessible; 9) donner aux personnes un accès aux renseignements concernant l’existence des renseignements personnels qui les concernent, de l’usage qui en est fait et du fait qu’ils ont été communiqués; et, finalement, 10) accorder aux personnes le droit de se plaindre du non-respect de ces principes grâce à l’établissement de mécanismes de plainte.

[18]  Conformément au paragraphe 11(1), tout intéressé peut déposer une plainte écrite auprès du CPVP s’il croit qu’une organisation a contrevenu aux obligations que lui impose la LPRPDE. Pour procéder à son examen de la plainte, le CPVP jouit de vastes pouvoirs d’enquête, dont celui de mettre fin à l’examen s’il estime que l’organisation a apporté une réponse juste et raisonnable à la plainte (LPRPDE, al. 12.2(1)c)). Aux termes du paragraphe 12.2(3) de la LPRPDE, le CPVP avise le plaignant et l’organisation de la fin de l’examen et des motifs qui la justifient.

[19]  L’article 14 de la LPRPDE autorise un plaignant à demander à la Cour de tenir une audience sur toute question qui a fait l’objet de la plainte déposée auprès du CPVP, ou qui est mentionnée dans le rapport de ce dernier, et qui fait également référence aux principes énoncés dans les dispositions de l’annexe 1, lesquelles sont expressément mentionnées au paragraphe 14(1) de la LPRPDE. Le texte du paragraphe 14(1) en question est le suivant :

[20]  Une demande d’audition présentée en vertu de l’article 14 n’est pas un contrôle judiciaire de la décision du CPVP. Comme la Cour l’a déjà indiqué, il s’agit d’un nouvel examen de la conduite de la partie visée par la plainte (Englander c Telus Communications Inc, 2004 CAF 387, aux paragraphes 47 et 48; voir aussi Miglialo c Banque Royale du Canada, 2018 CF 525, au paragraphe 21 [Miglialo]; Fahmy c Banque de Montréal, 2016 CF 479, au paragraphe 22 [Fahmy]; Blum c Mortgage Architects Inc, 2015 CF 323, au paragraphe 12 [Blum]; Townsend c Financière Sun Life, 2012 CF 550, au paragraphe 23 [Townsend]; Landry c Banque Royale du Canada, 2011 CF 687, au paragraphe 1 [Landry]; Girao c Zarek Taylor Grossman Hanrahan LLP, 2011 CF 1070, au paragraphe 23 [Girao]; Nammo c TransUnion of Canada Inc, 2010 CF 1284, au paragraphe 28 [Nammo] et Randall c Nubodys Fitness Centres, 2010 CF 681, au paragraphe 32 [Randall]).

[21]  Si la Cour en arrive à la conclusion que l’organisation a manqué à ses obligations, il lui faut dans ce cas examiner les réparations offertes à la demanderesse par l’article 16 de la LPRPDE. La Cour peut, en plus de toute autre réparation possible, accorder des dommages‑intérêts à la partie plaignante, notamment en réparation de l’humiliation subie (LPRPDE, alinéa 16c)).

V.  Analyse

[22]  À l’audience, la défenderesse a fait valoir que la Cour n’avait pas compétence pour contrôler certains des arguments de la demanderesse, car les questions qu’elle y soulevait n’avaient jamais, auparavant, fait l’objet d’une plainte ou été mentionnées dans le rapport du CPVP. J’ai passé en revue la plainte de la demanderesse ainsi que le rapport du CPVP, et je suis convaincue d’être compétente pour examiner les arguments qu’invoque la demanderesse, car ils se rapportent, quoique de manière sommaire, à des questions visées dans le rapport du CPVP, soit la collecte, la conservation et la destruction de ses renseignements personnels, et les mesures de sécurité à cet égard.

A.  La collecte des renseignements et des documents personnels par la conseillère financière

[23]  Dans ses observations écrites, la demanderesse soutient que la conseillère financière qui a recueilli ses renseignements et ses documents personnels n’était pas habilitée à le faire, car le fait de recueillir des renseignements personnels dans le but d’évaluer l’admissibilité à un prêt hypothécaire ne relève pas de la description de tâches des conseillers financiers. Elle soutient par ailleurs que la conseillère financière est considérée comme une tierce partie au sens de l’article 4.1.3 de l’annexe 1 de la LPRPDE.

[24]  L’argument de la demanderesse est sans fondement.

[25]  La conseillère financière qui a recueilli les renseignements de la demanderesse est une employée de la défenderesse. La demanderesse interprète donc erronément la notion de « tierce partie » qui figure à l’article 4.1.3 de l’annexe 1 de la LPRPDE, lequel article prévoit qu’une organisation est responsable des renseignements personnels qui ont été confiés à une tierce partie aux fins de traitement.

[26]  Par ailleurs, la conviction de la demanderesse selon laquelle la conseillère financière n’était pas habilitée à recueillir ses renseignements personnels repose sur la description de tâches des conseillers financiers qu’elle a trouvée lors de ses recherches. Étant donné que la collecte de renseignements personnels dans le but d’évaluer une demande de prêt hypothécaire ne figure pas dans la description de tâches, soutient-elle, la conseillère financière n’avait pas le pouvoir requis à cette fin. Bien que la demanderesse se fonde sur une description de tâches en particulier, elle n’a pas pu dire à la Cour à quelle organisation cette description se rapportait, pas plus qu’elle n’a été en mesure de démontrer que les fonctions précisées dans la description de tâches concordaient avec celles de la conseillère financière de la défenderesse.

[27]  En fait, aucun élément de preuve dans le dossier n’établit que la collecte des renseignements par la conseillère financière était contraire aux principes en matière de collecte prévus dans la LPRPDE. La demanderesse admet que la conseillère financière a recueilli ses documents personnels à seule fin d’évaluer son admissibilité dans le contexte de sa demande de prêt hypothécaire. Non seulement les renseignements recueillis étaient-ils nécessaires et limités à cette fin, mais la demanderesse a consenti à leur collecte quand elle les a fournis à la conseillère financière. Rien n’indique qu’elle ait soulevé une objection à ce moment-là.

B.  Le défaut de l’associé en prêts hypothécaires de protéger les documents personnels de la demanderesse

[28]  La demanderesse soutient que l’associé en prêts hypothécaires n’a pas protégé ses documents personnels. Cette conviction repose sur deux (2) conversations qu’elle a eues avec cet associé les 4 et 5 mai 2016. Elle allègue que, lorsqu’elle a téléphoné à l’associé en prêts hypothécaires, le 4 mai 2016, pour l’informer que la conseillère financière avait dit lui avoir transmis les documents, ce dernier a nié les avoir reçus. Quand l’associé en prêts hypothécaires a rappelé la demanderesse, le lendemain, il l’a avisée qu’il avait trouvé ses documents personnels [traduction] « dans un bac, une boîte de documents divers ». La demanderesse est persuadée que l’associé en prêts hypothécaires n’a pas dit la vérité, parce que, si les documents étaient bel et bien conservés dans un classeur verrouillé se trouvant dans son bureau à domicile, il n’aurait pas pris une journée avant de la rappeler.

[29]  Dans un affidavit souscrit le 6 juin 2018, l’associé en prêts hypothécaires indique que tout le travail qu’il a accompli pour la défenderesse l’a été à partir d’un bureau situé à son domicile. Ce bureau, qui est réservé exclusivement au travail exécuté pour la défenderesse, répond à toutes les exigences de cette dernière pour ce qui est d’assurer la confidentialité des documents de la clientèle. Ces documents sont rangés dans un classeur verrouillé qui se trouve dans son bureau à domicile, et dont il détient la seule clé. Son ordinateur portable est également rangé dans un socle d’accueil verrouillé, et il est protégé par un mot de passe pour que personne n’ait accès aux renseignements qu’il contient.

[30]  L’associé en prêts hypothécaires déclare en outre que, quand la demanderesse l’a appelé la première fois, il ne s’est pas souvenu à ce moment-là de l’endroit où se trouvaient les documents. Il n’aurait pas dit à la demanderesse que ses documents personnels se trouvaient dans une boîte ou un bac de documents divers, car il n’a pas l’habitude de laisser des documents confidentiels dans un endroit non sécurisé. Il ajoute qu’il lui a peut-être dit avoir placé ses documents personnels dans une section « divers », dans le classeur verrouillé où il conserve les dossiers confidentiels en suspens. En contre-interrogatoire, l’associé en prêts hypothécaires a également expliqué que, quand la demanderesse l’avait appelé la première fois, sa journée de travail s’achevait (dossier de la demanderesse, à la p. 63).

[31]  Une fois encore, l’argument invoqué par la demanderesse doit être rejeté.

[32]  Aux termes de l’article 4.7 de l’annexe 1 de la LPRPDE (Septième principe – Mesures de sécurité), « [l]es renseignements personnels doivent être protégés au moyen de mesures de sécurité correspondant à leur degré de sensibilité ». Selon l’article 4.7.3 de cette même annexe, les méthodes de protection devraient inclure des moyens matériels, par exemple, le verrouillage des classeurs et la restriction de l’accès aux bureaux. Le rangement de documents personnels dans un classeur verrouillé, dans le bureau de l’associé en prêts hypothécaires, ferait donc partie de ces moyens.

[33]  S’il est vrai que la demanderesse et l’associé en prêts hypothécaires ne s’entendent pas sur ce que ce dernier lui a dit lors des deux (2) conversations téléphoniques, aucun élément de preuve ne démontre ni ne donne à penser que l’associé en prêts hypothécaires a omis de protéger comme il se doit les documents personnels de la demanderesse pendant qu’il les avait en sa possession. Le fondement de la plainte et de la conviction de la demanderesse, à savoir qu’il a fallu un jour à l’associé en prêts hypothécaires pour la rappeler, est tout simplement déraisonnable. La demanderesse aurait peut-être souhaité obtenir une réponse immédiate, mais il n’était pas déraisonnable de la part de l’associé en prêts hypothécaires de confirmer que les documents personnels de la demanderesse se trouvaient dans le classeur situé dans son bureau à domicile, et de téléphoner à la demanderesse le lendemain.

C.  La conservation des documents personnels de la demanderesse pendant vingt (20) mois

[34]  Par une lettre datée du 24 mai 2016, la demanderesse a d’abord été informée par la défenderesse que ses documents personnels étaient en attente d’être déchiquetés.

[35]  La demanderesse a ensuite reçu une confirmation du CPVP, par une lettre datée du 26 mars 2018, que ses documents personnels avaient été envoyés pour destruction le 25 mai 2018. Le rapport du CPVP contient le passage suivant :

[traduction] Les deux déclarations que nous vous avons faites et nos discussions avec notre Bureau nous amènent à comprendre que les documents ont été conservés de manière sécuritaire dans le bureau du spécialiste en prêts hypothécaires, qui se trouve à un endroit différent de la succursale où vous avez déposé vos renseignements. [La défenderesse] a de plus fait savoir qu’une fois que vous avez demandé que vos renseignements soient détruits, les documents ont été envoyés à la succursale, et ont ensuite été déposés dans un bac de déchiquetage sécurisé le 25 mai 2016, lequel bac a été ramassé le même jour par le fournisseur de services sécurisés de destruction.

[36]  Malgré ces renseignements, la preuve démontre que les documents personnels de la demanderesse n’ont pas été déposés dans le bac de déchiquetage sécurisé le 25 mai 2016. Selon l’affidavit que l’associé en prêts hypothécaires de la défenderesse a souscrit le 6 juin 2018, il semble qu’en fait, les documents personnels de la demanderesse n’ont été mis dans le bac de déchiquetage qu’au mois de [traduction] « janvier 2018, ou aux environs de cette date ».

[37]  Compte tenu de ces renseignements les plus récents, la demanderesse soutient que la défenderesse a omis de mettre en place les mesures de sécurité appropriées pour ses documents personnels pendant la période de vingt (20) mois qui s’est écoulée entre le 25 mai 2016 et le mois de janvier 2018.

[38]  La défenderesse admet avoir conservé les documents personnels de la demanderesse pendant un temps plus long qu’à l’accoutumée. Elle soutient, toutefois, que l’instruction contenue dans l’article 4.5.3 de l’annexe 1 de la LPRPDE au sujet de la destruction des renseignements personnels a valeur de suggestion plutôt que de prescription, et qu’elle mentionne seulement que l’on « devrait » détruire les renseignements personnels, et non qu’ils « doivent » être détruits. La défenderesse soutient de plus qu’il était raisonnable de sa part de prolonger la période de conservation des documents personnels de la demanderesse, vu les problèmes que celle-ci avait soulevés dans les plaintes qu’elle avait soumises à la défenderesse et au CPVP, et le fait qu’elle n’avait pas jamais donné à la défenderesse l’instruction de détruire ses documents personnels ou de les lui retourner.

[39]  La défenderesse a également fourni, au moyen de l’affidavit de l’associé en prêts hypothécaires, un élément de preuve indiquant qu’entre le 25 mai 2016 et le mois de janvier 2018, les documents personnels de la demanderesse ont été en tout temps conservés dans une enveloppe scellée, à l’intérieur du bureau de travail de la directrice du Service à la clientèle de la succursale où la demanderesse les avait déposés. L’affidavit indique aussi que cette directrice ne s’est servie d’aucune façon des documents personnels, que personne d’autre qu’elle n’y a eu accès, et qu’une fois les documents personnels déposés dans le bac de déchiquetage, en janvier 2018 ou aux environs de cette date, nul employé de la défenderesse, ni personne d’autre qu’un employé de l’entreprise de déchiquetage professionnel possédant et exploitant le bac de déchiquetage, n’y a eu accès.

[40]  Je trouve troublant que la défenderesse ait avisé le CPVP que les documents de la demanderesse avaient été déposés dans bac de déchiquetage sécurisé le 25 mai 2016, puis ramassés le même jour par le fournisseur de services de destruction sécurisés, alors qu’en fait, ils se trouvaient dans une enveloppe scellée, dans le bureau de cette même directrice du Service à la clientèle qui a procédé à l’enquête initiale sur la plainte de la demanderesse et qui a vraisemblablement contribué de quelque façon à la réponse fournie au CPVP.

[41]  Il est tout aussi préoccupant que la défenderesse n’ait produit aucun témoignage de la directrice du Service à la clientèle dans le bureau de laquelle les documents de la demanderesse étaient conservés, mais qu’elle se soit plutôt appuyée sur la preuve par ouï-dire de l’associé en prêts hypothécaires qui émanait de la directrice du Service à la clientèle et de l’avocat de la défenderesse.

[42]  Aux termes du paragraphe 81(1) des Règles sur les Cours fédérales, DORS/98‑106, les affidavits se limitent aux faits dont le déclarant a une connaissance personnelle. De plus, conformément au paragraphe 81(2) des Règles, lorsqu’un affidavit contient des déclarations fondées sur ce que croit le déclarant, le fait de ne pas offrir le témoignage de personnes ayant une connaissance personnelle des faits substantiels peut donner lieu à des conclusions défavorables. En l’espèce, comme la directrice du Service à la clientèle avait une connaissance personnelle des faits substantiels, c’est cette personne‑là qui aurait dû fournir un témoignage. Étant donné que la défenderesse n’a pas réussi à établir que les renseignements sur lesquels elle se fondait étaient fiables, et qu’il a été nécessaire de présenter la preuve sous la forme d’un ouï-dire, je tire une conclusion défavorable du défaut de la défenderesse de produire un affidavit de la directrice du Service à la clientèle (Randall, aux paragraphes 39 et 40).

[43]  Je relève également que les affirmations de l’associé en prêts hypothécaires concernant l’emplacement des documents de la demanderesse manquent de détails.

[44]  Comme il a été mentionné plus tôt, l’article 4.7 de l’annexe 1 de la LPRPDE exige que les renseignements personnels soient protégés par des mesures de sécurité correspondant à leur degré de sensibilité. Selon l’article 4.7.1 de la même annexe, ces mesures de sécurité doivent protéger les renseignements personnels contre la perte ou le vol, ainsi que contre la consultation, la communication, la copie, l’utilisation ou la modification non autorisées, quelle que soit la forme sous laquelle ces renseignements sont conservés. Et, suivant l’article 4.7.2, la nature des mesures de sécurité variera en fonction, notamment, du degré de sensibilité des renseignements. Enfin, il est prescrit à l’article 4.7.3 que les méthodes de protection devraient comprendre : 1) des moyens matériels, par exemple le verrouillage des classeurs et la restriction de l’accès aux bureaux; 2) des mesures administratives, par exemple des autorisations sécuritaires et un accès sélectif, et 3) des mesures techniques, par exemple l’usage de mots de passe et du chiffrement.

[45]  En l’espèce, les documents de la demanderesse consistaient en des renseignements financiers personnels. La défenderesse a admis, à l’audience, que le degré de sensibilité de ces renseignements était élevé. Selon la demanderesse, les documents comportaient également des documents originaux et des copies. Même si les documents étaient conservés dans une enveloppe scellée, à l’intérieur du bureau de travail de la directrice du Service à la clientèle, il n’existe aucune autre information sur les moyens de protection qu’utilisait la défenderesse pour s’assurer par ailleurs de protéger les renseignements personnels de la demanderesse. Aucun élément de preuve ne permet de savoir si le bureau était verrouillé, si la directrice du Service à la clientèle partageait son bureau avec d’autres employés et si d’autres personnes y avaient accès. L’absence d’affidavit de la directrice du Service à la clientèle a empêché la demanderesse de demander des détails sur la question, tout comme elle m’empêche de déterminer si les mesures de sécurité employées correspondaient au degré de sensibilité des renseignements.

[46]  De la même façon, le manque de précision quant à la date exacte à laquelle, en janvier 2018, les documents de la demanderesse ont été mis dans le bac de déchiquetage, est lui aussi préoccupant, car ce fait soulève des questions quant aux mesures que la défenderesse a en place pour assurer le suivi des documents. Bien que l’associé en prêts hypothécaires affirme, dans son affidavit, s’être reporté à ses notes, la défenderesse n’a pas produit en preuve les notes internes en question, pas plus que des bordereaux de suivi ou d’autres documents démontrant qu’elle dispose d’un processus permettant de déterminer l’emplacement des documents.

[47]  Je reconnais que la demanderesse a le fardeau de prouver, selon la prépondérance des probabilités, son allégation selon laquelle la défenderesse n’a pas protégé ses documents personnels entre le 25 mai 2016 et le mois de janvier 2018 (Fahmy, au paragraphe 23). Je suis également consciente des difficultés associées au fait d’établir qu’une organisation n’a pas protégé à l’interne les renseignements personnels d’une personne. Dans les circonstances de l’espèce, j’estime que la demanderesse s’est acquittée de son fardeau de preuve. Le fait que la défenderesse ait informé le CPVP que les documents personnels de la demanderesse avaient été détruits, alors qu’en fait ce n’était pas le cas, m’amène à conclure qu’elle ignorait où se trouvaient ces documents personnels. La défenderesse a donc manqué aux obligations que lui imposait l’article 4.7.1 de la LPRPDE en omettant de prendre des mesures de sécurité appropriées pour prévenir la perte de renseignements personnels.

D.  La destruction des documents au cours de l’examen du CPVP

[48]  Même si la question n’a pas été clairement exprimée dans le mémoire des faits et du droit de la demanderesse, cette dernière, qui se représente elle-même, a fait valoir à l’audience que la défenderesse avait détruit, sciemment et avec malveillance, ses documents personnels, y compris ses documents originaux, malgré l’examen que menait le CPVP. Elle souhaite obtenir de la défenderesse un certificat de destruction, parce qu’elle croit que ses documents personnels n’ont peut-être pas été détruits. Cette croyance repose sur l’allégation de la défenderesse selon laquelle les documents ont été détruits au mois de [traduction] « janvier 2018 ou aux environs de cette date ».

[49]  La défenderesse soutient pour sa part qu’il n’existe aucune preuve de malveillance ou d’obstruction.

[50]  Vu le manque de précisions quant à la date à laquelle les documents ont été détruits en janvier 2018, je comprends la préoccupation de la demanderesse quant au fait que ses documents personnels n’ont peut-être pas été détruits, de même que son souhait d’obtenir un certificat pour le confirmer. Cependant, je doute qu’un certificat de destruction procure à la demanderesse la garantie qu’elle cherche à obtenir.

[51]  Je conviens également avec la défenderesse qu’il n’existe dans le dossier aucune preuve de malveillance ou d’obstruction de sa part.

[52]  Néanmoins, le fait que les documents de la demanderesse aient été détruits au cours de l’examen du CPVP est inquiétant. La plainte de la demanderesse auprès du CPVP a été déposée le 26 octobre 2017. Quant au rapport du CPVP, il a été produit le 26 mars 2018. Il est difficile de comprendre pour quelle raison les documents personnels de la demanderesse ont été détruits au beau milieu de l’examen que menait le CPVP, sans que la défenderesse informe tout d’abord ce dernier de l’existence des documents personnels, et demande ensuite au CPVP ou à la demanderesse des instructions au sujet de leur destruction. Le fait que les documents aient été détruits en janvier 2018 est difficilement conciliable avec la position adoptée par la défenderesse, et exposée dans la précédente section des présents motifs, à savoir qu’il était raisonnable de sa part de prolonger la période de conservation des documents personnels de la demanderesse en raison des problèmes soulevés par celle-ci dans les plaintes qu’elle avait déposées auprès de la défenderesse et du CPVP, et compte tenu du fait que la demanderesse ne lui avait jamais donné l’instruction de détruire ses documents personnels ou de les lui retourner. La demanderesse n’a pas fourni d’explication satisfaisante à cet égard.

[53]  Enfin, je signale, après avoir passé en revue la LPRPDE, que le paragraphe 8(8) dispose que si une organisation détient des renseignements personnels qui font l’objet d’une demande, elle est tenue de les conserver le temps nécessaire pour permettre au demandeur d’épuiser tous les recours que prévoit la partie 1 de la LPRPDE. Comme l’application de cette disposition n’a pas été invoquée à l’audience, je m’abstiendrai de conclure que la défenderesse a manqué à l’obligation que lui imposait cette disposition.

[54]  Au vu de ce qui précède, bien que je me soucie de ce que les documents ont été détruits pendant l’examen que menait le CPVP, la demanderesse ne m’a pas convaincue que la défenderesse a manqué aux obligations que lui imposait la LPRPDE à cet égard.

E.  Les dommages-intérêts

[55]  Ayant conclu que la défenderesse n’a pas protégé comme il se devait les documents personnels de la demanderesse entre mai 2016 et janvier 2018, ce qui est contraire à l’article 4.7 de l’annexe 1 de la LPRPDE, il me faut maintenant traiter des réparations que prévoit l’article 16 de la LPRPDE.

[56]  En plus de demander à la Cour d’examiner la conduite de la défenderesse, la demanderesse sollicite une réparation pécuniaire et des dommages-intérêts pour troubles d’ordre physique, mental et émotionnel, ainsi que pour tous les inconvénients causés par les questions en litige. Elle ne fait état d’aucun montant dans ses observations écrites, et quand il lui a été demandé à l’audience quel montant elle souhaitait obtenir, elle a répondu qu’elle laissait cela à la discrétion de la Cour.

[57]  La défenderesse soutient que, si la Cour conclut qu’il y a eu manquement à la LPRPDE, il n’y a pas lieu dans les circonstances d’accorder des dommages-intérêts. Car la demanderesse, non seulement n’a pas réussi à prouver qu’elle avait subi des dommages, mais n’a pas réussi à fournir un élément de preuve démontrant qu’une attribution de dommages-intérêts favoriserait l’atteinte des objectifs de la LPRPDE.

[58]  Le libellé de l’article 16 de la LPRPDE est le suivant :

[59]  Avant que je ne me penche sur la réclamation en dommages-intérêts de la demanderesse, il est utile de rappeler certains des principes, énoncés par la Cour, qui régissent l’attribution de dommages-intérêts en vertu de l’alinéa 16c) de la LPRPDE.

[60]  Bien que la Cour jouisse d’un vaste pouvoir discrétionnaire en la matière, tout octroi de dommages-intérêts se doit de respecter les principes établis. Une attribution de dommages‑intérêts ne doit pas être faite à la légère, et elle n’est valable que dans les cas les plus flagrants de manquement grave à la LPRPDE. Il incombe à la demanderesse de prouver que les dommages allégués résultent d’un manquement à la LPRPDE, et la demande ne peut servir de substitut à une autre demande de dommages-intérêts. Le cas échéant, la Cour peut attribuer des dommages-intérêts même si aucune perte pécuniaire réelle n’a été prouvée. Pour déterminer s’il y a lieu d’attribuer des dommages-intérêts, de même que leur montant, la Cour peut prendre en considération un certain nombre de facteurs non exhaustifs, dont les suivants : 1) la gravité du manquement; 2) la nature des renseignements en jeu; 3) l’effet du manquement sur le demandeur; 4) la nature de la relation entre les parties; 5) la conduite du défendeur avant et après le manquement; 6) si le demandeur a tenté d’atténuer sa perte; 7) si le défendeur a tiré avantage du manquement; 8) si l’attribution de dommages-intérêts favoriserait l’atteinte des objectifs de la LPRPDE, lesquels consistent à veiller à ce que les organisations fassent preuve de diligence en conservant les renseignements personnels de manière sécuritaire; et 9) s’il peut être justifié d’attribuer des dommages-intérêts afin de prévenir d’autres manquements (Miglialo, aux paragraphes 21, 41, 42, 46 et 47; Fahmy, au paragraphe 75; Blum, aux paragraphes 15 à 20; Townsend, aux paragraphes 30 à 32; Girao, aux paragraphes 42 à 47; Landry, aux paragraphes 28 à 32; Nammo, aux paragraphes 66, 71, 74, 76 et 77; Randall, aux paragraphes 55 et 56).

[61]  Après avoir examiné les principes qui précèdent, je conclus que seuls des dommages‑intérêts symboliques sont justifiés en l’espèce. J’admets que les documents de la demanderesse contenaient des renseignements personnels, au sens de la LPRPDE. Cependant, rien ne prouve qu’en raison du défaut de la défenderesse de protéger adéquatement les renseignements personnels de la demanderesse, ces derniers ont été consultés sans autorisation, communiqués, copiés ou utilisés à d’autres fins irrégulières. Rien ne prouve non plus que la défenderesse a agi de mauvaise foi, ni que sa conduite est de nature systémique. La demanderesse n’a pas davantage fourni d’élément de preuve convaincant à l’appui de sa demande de dommages-intérêts. Dans son affidavit, elle indique que cette situation lui a causé quelques nuits blanches, des troubles d’ordre physique et mental, un état dépressif et une perte de concentration au travail, qui se sont soldés par une suspension de trois (3) jours sans salaire. Elle prétend aussi avoir eu un accident au travail. Elle n’a toutefois pas explicité ces allégations. En outre, le rapport du médecin et le relevé de dépenses qu’elle a tenté de présenter à l’audience ne sont pas admissibles, car il aurait fallu les inclure dans son dossier, conformément au paragraphe 309(2) des Règles des Cours fédérales. Même si j’en venais à déterminer que ces éléments de preuve étaient admissibles, je conclus que le rapport du médecin ne peut se voir accorder aucun poids, faute d’établir un lien entre les problèmes de la demanderesse et un éventuel manquement à la LPRPDE. Quant au relevé de dépenses, les montants inscrits correspondent pour la plupart à des dépenses qui seraient recouvrables à titre de débours présentés dans un mémoire de dépens.

[62]  Cela dit, je suis néanmoins persuadée que la demanderesse a été victime d’anxiété et de stress. De plus, la poursuite de sa plainte et le fait de soumettre l’affaire à la Cour lui ont sans aucun doute causé des désagréments. En conséquence, en vertu du pouvoir discrétionnaire qui m’est conféré, la demanderesse obtiendra un montant symbolique en guise de dédommagement pour les troubles qu’elle a subis. La défenderesse paiera donc à la demanderesse des dommages‑intérêts d’un montant de 2 000 $.

[63]  Comme la demanderesse se représentait elle-même, elle ne peut recouvrer les dépens liés aux honoraires d’avocat. Elle est toutefois en droit de recouvrer de la défenderesse le coût de ses débours, lesquels sont fixés à 800 $, taxes comprises.

JUGEMENT dans T‑852‑18

LA COUR STATUE que :

1. la demande est accueillie;

2. la défenderesse est tenue de payer à la demanderesse des dommages-intérêts d’un montant de 2 000 $;

3. la demanderesse est en droit de recouvrer les débours liés à la présente demande, lesquels sont fixés à 800 $, taxes comprises.

« Sylvie E. Roussel »

Traduction certifiée conforme

Ce 11^e jour de décembre 2018.

Julie‑Marie Bissonnette, traductrice agréée

COUR FÉDÉRALE

AVOCATS INSCRITS AU DOSSIER

DOSSIER :	T‑852‑18
INTITULÉ :	CATHERINE B. MONTALBO c LA BANQUE ROYALE DU CANADA
LIEU DE L’AUDIENCE :	CALGARY (ALBERTA)
DATE DE L’AUDIENCE :	LE 16 OCTOBRE 2018
JUGEMENT ET MOTIFS :	LA JUGE ROUSSEL
DATE DES MOTIFS :	LE 15 NOVEMBRE 2018

COMPARUTIONS :

Catherine B. Montalbo	POUR LA DEMANDERESSE (POUR SON PROPRE COMPTE)
John R. Cusano Ricki T. Johnston	POUR LA DÉFENDERESSE

AVOCATS INSCRITS AU DOSSIER :

Gowling WLG (Canada) LLP Calgary (Alberta)

POUR LA DÉFENDERESSE