La consommation et la vente de cannabis à des fins récréatives sont devenues légales au Canada le 17 octobre 2018. La légalisation va de pair avec plusieurs grandes préoccupations juridiques, le respect de la vie privée étant devenu un thème prioritaire que doivent garder à l’esprit les juristes, les consommateurs et les entreprises.
Le cannabis est encore illégal dans plusieurs pays et, n’en déplaise à la légalisation au Canada, la consommation de cannabis est toujours hautement stigmatisée ici et ailleurs. Par conséquent, les renseignements relatifs à l’achat et à la consommation de cannabis continuent d’être très délicats, même en omettant les données médicales qui y sont associées, lesquelles constituaient la principale préoccupation en matière de protection de la vie privée avant la légalisation.
Bien que tout ce qui entoure la vente et la consommation de cannabis à des fins récréatives soit toujours en cours de développement, plusieurs consommateurs doivent actuellement fournir une foule de renseignements personnels pour se procurer du cannabis à des fins récréatives. Cela est dû en partie au fait que de nombreux consommateurs peuvent seulement avoir accès au produit en ligne, comme c’est actuellement le cas en Ontario, où les commandes doivent se faire par le biais de la Société ontarienne du cannabis. Un changement est pressenti dans cette pratique en 2019, mais les consommateurs n’ont qu’une seule option pour l’instant. En Colombie-Britannique, il est presque impossible pour la plupart des consommateurs de se procurer du cannabis en personne. Seuls quelques magasins autorisés étaient ouverts dans la province au moment d’écrire ces lignes, et aucun ne se trouvait dans les basses-terres continentales. Par conséquent, la plupart des consommateurs sont contraints de commander leur produit en ligne. Ce faisant, ils doivent fournir leur nom, leur adresse, les renseignements de leur carte de crédit et leur date de naissance. En fait, ne serait-ce que pour accéder à la plupart des sites Web des magasins de détail, la date de naissance est requise. Cette information est ensuite archivée par des témoins pour le confort du consommateur.
Tout archivage de renseignements personnels crée un risque que cette information soit accessible de façon inappropriée, au frais du respect de la vie privée du consommateur. À titre d’exemple, dans les journées qui ont suivi la légalisation, il y a eu une brèche en Ontario. Le 1er novembre 2018, la Société ontarienne du Cannabis a appris que certains renseignements personnels de quelque 4 500 de ses clients avaient été accessibles en raison d’un défaut dans l’outil de suivi en ligne de Poste Canada1. Cette brèche a également eu une incidence sur les personnes qui avaient signé un formulaire de livraison, même si elles ne s’étaient pas procuré du cannabis à ce moment.
En plus des risques courants en matière d’atteinte à la protection des données – comme les achats non autorisés par carte de crédit ou le vol d’identité –, la divulgation publique d’un simple achat pourrait avoir d’importantes répercussions sur certaines personnes dans le cas des données liées au cannabis. Certains employeurs, par exemple, interdisent toute consommation de cannabis à leurs employés. À ce titre, une brèche qui permettrait de savoir qu’un employé touché d’une telle interdiction s’est procuré du cannabis dans un magasin en ligne pourrait avoir des conséquences considérables.
Pour les consommateurs de cannabis qui habitent en appartement, dans un complexe ou dans une copropriété, un risque supplémentaire est l’obligation de la personne qui reçoit le colis (comme le concierge ou le gérant d’immeubles) de fournir une preuve d’âge avant de l’accepter. Cette simple exigence divulgue de façon immédiate l’achat de cannabis par le résident. Certains immeubles refusent d’accepter des colis qui exigent une preuve d’identité.
Les magasins de vente au détail et les consommateurs doivent avant toute chose réfléchir aux renseignements personnels qui doivent être recueillis. Le Commissariat à l’information et à la protection de la vie privée de la Colombie-Britannique a publié un document d’orientation à l’intention des magasins de détail et des acheteurs de cannabis dans lequel il explique la façon dont devrait s’appliquer la Personal Information Protection Act de la Colombie-Britannique2 . Le document encourage les entreprises à recueillir et à archiver le moins de renseignements personnels possible. Par exemple, il incite les magasins à examiner l’identité des clients pour les ventes en personne afin de s’assurer que l’âge minimum est respecté, mais conseille de ne pas archiver ces renseignements. À l’échelle fédérale, la Loi sur la protection des renseignements personnels et les documents électroniques exige des entreprises qu’elles limitent au minimum la quantité et le type de renseignements personnels qu’elles recueillent pour respecter les objectifs établis. Toutefois, dans certains cas, les magasins de vente au détail peuvent ne pas se rendre compte qu’ils recueillent des renseignements personnels. Par exemple, à l’Île-du-Prince-Édouard, le magasin qu’exploite le gouvernement utilisait un appareil pour scanner des cartes d’identité afin d’en vérifier la légitimité, mais archivait sans le savoir et de façon non intentionnelle les renseignements personnels des cartes d’identité dans le dispositif de balayage3.
Le traitement des achats de cannabis par carte de crédit constitue une autre source de risque en matière de protection de la vie privée. Les relevés de carte de crédit divulguent les achats de cannabis. Par exemple, les transactions à la Société ontarienne du Cannabis apparaissent dans le relevé sous « OCS/SCO », alors que les achats au British Columbia Cannabis Store apparaissent sous « BCS Online Vancouver ». Les Canadiens et les Canadiennes qui voyagent beaucoup courent aussi le risque qu’un examen de leur compte de carte de crédit dans un territoire de compétence où le cannabis n’est pas légal mène à la divulgation de ces renseignements aux forces de l’ordre de ce pays. Le Commissariat à la protection de la vie privée du Canada prévoit de publier un document d’orientation sur les transactions4 de cannabis à l’intention des magasins de vente au détail et des consommateurs.
En somme, la vente et la consommation de cannabis à des fins récréatives comme elles se font actuellement posent certains risques en matière de protection de la vie privée. À mesure que l’industrie se développe, il est probable que plusieurs de ces problèmes soient abordés et résolus. Entre-temps, les consommateurs de cannabis et les entreprises qui en vendent devraient tenir compte de ces risques potentiels et s’adapter en conséquence. Pour les entreprises, cela signifie possiblement des évaluations de sécurité et de protection de la vie privée afin de veiller à ce que, à la suite de l’identification et de l’atténuation des risques pertinents, les renseignements personnels qui sont recueillis soient convenablement gérés et protégés.
Margery Pazdor est une avocate de la Community Social Services Employers’ Association de la Colombie-Britannique. Katherine Rusk est une avocate chez Bennett Jones.
Notes de bas de page
1 Artuso, Antonella, “Names of recreational cannabis buyers hacked”, (November 18, 2018) Toronto Sun .
2 Commissariat à l’information et à la protection de la vie privée de la Colombie-Britannique, document d’orientation, PIPA:Protecting Personal Information: Cannabis Transactions, octobre 2018.
3 CBC News, “Privacy commissioner investigating personal data collection at cannabis stores,” (19 octobre 2018) CBC online.
4 Colin Perkel, "Privacy commissioner concerned about potential fallout of credit card use for legal online pot purchases", (18 novembre 2018), The Globe and Mail.