Date : 20230413

Dossier : T-473-20

Référence : 2023 CF 534

[TRADUCTION FRANÇAISE]

Ottawa (Ontario), le 13 avril 2023

En présence de monsieur le juge Manson

ENTRE :

FACEBOOK, INC.

demanderesse

et

COMMISSAIRE À LA PROTECTION DE LA VIE PRIVÉE DU CANADA

défendeur

JUGEMENT ET MOTIFS

I. Introduction

[1] La demanderesse, Facebook, Inc. [Facebook] sollicite le contrôle judiciaire des [traduction] « décisions d’enquêter et de poursuivre l’enquête, le processus d’enquête [et du] rapport de conclusions no 2019-002 du 25 avril 2019 [le Rapport] du commissaire à la vie privée du Canada. »

[2] L’enquête et le Rapport découlent d’une plainte déposée le 19 mars 2018 [la plainte] au titre du paragraphe 11(1) de la Loi sur la protection des renseignements personnels et les documents électroniques, LC 2000, c 5 [la LPRPDE]. Préoccupés quant au respect de la LPRPDE par Facebook, trois députés fédéraux ont déposé cette plainte au vu de reportages dans les médias selon lesquels Cambridge Analytica – une société britannique d’experts-conseils en politique – avait eu accès aux renseignements personnels d’utilisateurs de Facebook à leur insu ou sans leur consentement.

II. Contexte

A. Les parties

[3] La demanderesse, Facebook, est une plateforme de « média social » bien connue. Elle mène des activités au Canada et ses services y sont également offerts – des millions de Canadiens utilisent Facebook pour échanger de l’information avec leurs « amis » et prendre part à d’autres activités sociales.

[4] Selon son modèle d’affaires, Facebook, notamment, permet à des annonceurs de diffuser leurs messages à des segments de sa base d’utilisateurs. Facebook recueille les renseignements personnels de ses utilisateurs et y a accès, ce qui lui permet d’accroître sa capacité à donner aux annonceurs un accès à des groupes d’utilisateurs aux caractéristiques communes. Une partie de ces renseignements peut également être transmise à des applications tierces hébergées sur la « plateforme » de Facebook.

[5] Le répondant, le commissaire à la protection de la vie privée du Canada [le commissaire], est un agent du Parlement et dirige le Commissariat à la protection de la vie privée [le Commissariat]. Le commissaire est nommé par le gouverneur en conseil en vertu de la Loi sur la protection des renseignements personnels, LRC 1985, c P-21. La mission du Commissariat consiste à protéger et à promouvoir le droit des personnes à la vie privée, et ce, par divers moyens, notamment en enquêtant sur les plaintes déposées au titre de la LPRPDE, en effectuant des vérifications, en publiant des rapports et en formulant des recommandations.

[6] Le mandat et la compétence du Commissariat sont prévus dans la Loi sur la protection des renseignements personnels et la LPRPDE. La Loi sur la protection des renseignements personnels énonce les détails concernant la nomination du commissaire et d’autres éléments relatifs à la nature de ses activités. Elle régit le droit à la vie privée des individus dans leurs interactions avec les institutions gouvernementales fédérales. Quant à elle, la LPRPDE confère au Commissariat la compétence à l’égard des organisations du secteur privé, comme Facebook. Les interactions avec ces organisations sont régies conformément à la Partie 1 de la LPRPDE; les dispositions de cette partie visent à établir un équilibre entre le droit des individus à la vie privée à l’égard de leurs renseignements personnels et le besoin des organisations du secteur privé de recueillir, d’utiliser et de communiquer ces renseignements à des fins raisonnables et acceptables (LPRPDE, art 3).

[7] L’article 11 de la LPRPDE prévoit que tout intéressé peut déposer auprès du commissaire une plainte contre une organisation qui contrevient à certaines dispositions de la même loi. Par ailleurs, l’article 13 confie au commissaire le mandat de produire, dans l’année suivant la date du dépôt de la plainte, un rapport dans lequel il présente ses conclusions et recommandations. Le commissaire peut, en vertu de l’alinéa 15a) de la LPRPDE, présenter à notre Cour une demande en lien avec une plainte déposée au titre de l’article 11. Après avoir entendu la question, et conformément à l’article 16, la Cour peut, en sus de toute autre réparation traditionnelle qu’elle accorde, ordonner à l’organisation visée de revoir ses pratiques en vue de se conformer aux dispositions de la LPRPDE, lui ordonner de publier un avis énonçant les mesures prises ou envisagées pour corriger ses pratiques, et accorder au plaignant des dommages-intérêts.

B. L’enquête

[8] Le 19 mars 2018, remettant en question le respect de la LPRPDE par Facebook, trois députés fédéraux ont déposé au Commissariat une plainte contre Facebook au vu de reportages dans les médias selon lesquels Cambridge Analytica – une société britannique d’experts-conseils en politique – avait eu accès aux renseignements personnels d’utilisateurs de Facebook à leur insu ou sans leur consentement. Par le truchement de son application tierce « thisisyourdigitallife » [l’application TYDL] accessible à partir de la plateforme de Facebook, Aleksandr Kogan a obtenu les données en question, lesquelles ont par la suite été transmises à Cambridge Analytica.

[9] Dans la plainte, aucun des plaignants n’a allégué que Facebook avait indûment recueilli, utilisé ou communiqué ses renseignements personnels. Les plaignants demandaient plutôt au Commissariat de lancer un [traduction] « vaste examen de la conformité de Facebook à la [LPRPDE] pour avoir l’assurance que les renseignements personnels des Canadiens qui utilisent Facebook n’ont pas été compromis et que Facebook prend dorénavant des mesures adéquates pour protéger les renseignements personnels des Canadiens. »

[10] Le 23 mars 2018, comme l’exige le paragraphe 11(4) de la LPRPDE, le Commissariat a avisé Facebook qu’il avait reçu la plainte et que cette dernière ferait l’objet d’une enquête. Il a également transmis à Facebook un résumé des allégations visées et lui a demandé d’y répondre au plus tard le 12 avril 2018. Le 29 mars 2018, le Commissariat a demandé à Facebook de lui transmettre d’autres renseignements au plus tard le 20 avril 2018.

[11] Le Commissariat a mené l’enquête en collaboration avec le Commissariat à l’information et à la protection de la vie privée de la Colombie-Britannique [le CIPVP].

[12] Le Commissariat a procédé à l’examen de la plainte comme le prévoit le paragraphe 12(1) de la LPRPDE. L’enquête a constitué en grande partie à recevoir les éléments de preuve et les observations de Facebook. Le 13 avril 2018, Facebook a transmis ses premières observations partielles en réponse aux demandes de renseignements que le Commissariat lui avait soumises les 23 et 29 mars 2018. Subséquemment, soit le 28 mai et le 13 juillet 2018, Facebook a fourni des déclarations en complément à ces observations.

[13] Les échanges entre Facebook et le Commissariat se sont poursuivis tout au long de l’année 2018. Le Commissariat a également tenu, à quelques reprises à compter de décembre 2018, des rencontres en personne avec des représentants de Facebook.

C. Le Rapport

[14] Le 7 février 2019, le Commissariat a envoyé à Facebook un rapport d’enquête préliminaire [le Rapport préliminaire]. Dans ce rapport préliminaire, en plus de formuler cinq recommandations, le Commissariat a exposé ses conclusions préliminaires selon lesquelles Facebook n’avait pas respecté la LPRPDE. Facebook s’est vu offrir la possibilité de répondre au Rapport préliminaire avant que le Commissariat ne mette la dernière main à ses conclusions et recommandations ou ne les rende publiques.

[15] Facebook a communiqué au Commissariat une réponse initiale détaillée au Rapport préliminaire le 4 mars 2019, puis sa réponse écrite définitive, le 27 mars 2019.

[16] Tout au long de l’enquête, Facebook a allégué que le Commissariat n’avait pas compétence pour enquêter sur la plainte puisque rien ne prouvait que les données de quelque utilisateur canadien avaient été transmises à Cambridge Analytica. Le 4 avril 2019, le Commissariat a répondu par écrit à cette affirmation de Facebook. De l’avis du Commissariat, la portée de la plainte ne se limitait pas uniquement à l’atteinte à la protection des données par Cambridge Analytica; en effet, il était nécessaire de se pencher sur le traitement des renseignements personnels des Canadiens par Facebook de manière plus générale.

[17] La réponse de Facebook au Rapport préliminaire n’a pas permis de dissiper les préoccupations du Commissariat, pas plus qu’elle n’a donné suite aux recommandations de ce dernier. Ainsi, le 9 avril 2019, le Commissariat a fait parvenir une lettre à Facebook pour l’informer qu’il allait mettre la dernière main à ses conclusions et les publier. C’est ainsi que, le 25 avril 2019, le Rapport final du Commissariat a été rendu public.

[18] Selon le Rapport, Facebook ne s’est pas conformé à la LPRPDE. Le 25 avril 2019, peu de temps après la publication du Rapport, le commissaire a publiquement fait part de son intention de présenter, au titre de l’alinéa 15a) de la LPRPDE et avant l’expiration du délai d’un an précisé dans la même loi, une demande d’audition visant Facebook.

[19] Le 6 février 2020, le commissaire a déposé un avis de demande concernant le dossier n^o T-190-20 aux fins de la présentation d’une demande au titre de l’alinéa 15a) de la LPRPDE [la demande au titre de la LPRPDE].

[20] Le 15 avril 2020, Facebook a déposé l’avis de demande concernant le présent dossier (T‑473‑20), afin de solliciter le contrôle judiciaire des [traduction] « décisions d’enquêter et de poursuivre l’enquête, le processus d’enquête [et du] rapport de conclusions » [la demande de Facebook].

III. Questions en litige

A. La demande de Facebook est-elle tardive et, le cas échéant, une prorogation est-elle justifiée?

B. Le défaut du Commissariat de respecter le délai d’un an prévu au paragraphe 13(1) de la LPRPDE entraîne-t-il une perte de compétence et la nullité du Rapport?

C. Le Commissariat avait-il compétence pour enquêter sur la plainte, pour produire le Rapport ou pour présenter la demande au titre de la LPRPDE?

D. Le Commissariat a-t-il manqué à son devoir d’équité procédurale?

E. La demande au titre de la LPRPDE constitue-t-elle un recours subsidiaire adéquat à la demande de Facebook?

F. Norme de contrôle

[21] La norme de contrôle applicable à l’interprétation que fait le Commissariat au sujet de sa compétence est celle de la décision raisonnable (Canada (Ministre de la Citoyenneté et de l’Immigration) c Vavilov, 2019 CSC 65 aux para 65-68).

[22] La norme de contrôle applicable aux questions relatives à l’équité procédurale est celle de la décision correcte ou une norme de la même importance (Canadian Pacific Railway Company c Canada (Procureur général), 2018 CAF 69 aux para 34-35 et 54-55 [CPR], citant l’arrêt Établissement de Mission c Khela, 2014 CSC 24 au para 79). La question fondamentale est donc celle de savoir si la partie connaissait la preuve à réfuter et si elle a eu la possibilité de la réfuter (CPR, au para 41).

IV. Analyse

A. La demande de Facebook est-elle tardive et, le cas échéant, une prorogation est-elle justifiée?

[23] Sauf si une prorogation de délai est obtenue, une demande de contrôle judiciaire doit être présentée dans les 30 jours suivant la communication de la « décision ou de [l’]ordonnance » visée (Loi sur les Cours fédérales, LRC 1985, c F-7, art 18.1(2)).

[24] Le commissaire fait valoir que l’enquête et le rapport que Facebook tente de contester ont été achevés le 25 avril 2019, et que la demande de Facebook a été présentée quelque 355 jours plus tard, c’est-à-dire le 15 avril 2020, soit bien au-delà du délai de 30 jours prévu par la loi. En outre, le commissaire allègue que Facebook ne répond pas au critère pour l’obtention d’une prorogation du délai de 30 jours.

[25] Facebook prétend que le délai de 30 jours prévu au paragraphe 18.1(2) de la Loi sur les Cours fédérales ne s’applique pas. Selon elle, le paragraphe 18.1(1) de cette loi permet la présentation d’une demande de contrôle judiciaire portant sur un « objet », tandis que le délai prévu au paragraphe 18.1(2) ne s’applique qu’en lien avec une « décision ou [une] ordonnance ». Facebook soutient que la notion d’« objet » est plus vaste que celle de « décision » ou d’« ordonnance », et qu’elle conteste non pas une décision en particulier, mais bien une ligne de conduite.

[26] À titre subsidiaire, Facebook allègue qu’une prorogation de délai peut lui être accordée.

[27] Les paragraphes 18.1(1) et 18.1(2) de la Loi sur les Cours fédérales sont rédigés en ces termes :

[28] Notre Cour et la Cour d’appel fédérale ont reconnu que le terme « objet » utilisé au paragraphe 18.1(1) englobe plus qu’une simple décision ou ordonnance, et que le délai de 30 jours prévu au paragraphe 18.1(2) ne s’applique pas lorsque la contestation concerne une politique ou une ligne de conduite (voir May c CBC/Radio Canada, 2011 CAF 130 au para 10; Société Radio-Canada (Canadian Broadcasting Corporation) c Canada (Procureur général), 2016 CF 933 au para 26-27 [SRC]; et Fondation David Suzuki c Canada (Santé), 2018 CF 380 au para 173 [David Suzuki]).

[29] Facebook conteste non pas une ligne de conduite, mais un processus. La plupart des affaires à l’issue desquelles il a été conclu que le délai prévu au paragraphe 18.1(1) ne s’applique pas portaient sur des pratiques ou politiques gouvernementales. À titre d’exemple, mentionnons le refus perpétuel de transmettre des documents (SRC), le recours continu à certaines pratiques comptables (Krause c Canada, [1999] 2 CF 476 (CA)), et la présentation de demandes de renseignements à répétition (Airth c Canada (Revenu national), 2006 CF 1442), qui ont été qualifiés d’objets non assujettis au délai prévu au paragraphe 18.1(2). Dans le même ordre d’idées, dans l’affaire David Suzuki, la contestation concernait une série de conduites alléguées de la part d’un organisme de réglementation qui continuait à homologuer des pesticides malgré le défaut de l’organisation défenderesse de respecter ses obligations redditionnelles. Chacune de ces affaires porte sur une ligne de conduite illégale perpétuelle ou répétitive plutôt que sur une enquête en particulier menant à une seule conclusion.

[30] Facebook conteste l’équité procédurale d’une seule enquête du Commissariat qui a abouti à une seule décision : le Rapport daté du 25 avril 2019. Facebook n’affirme pas que le commissaire s’est empêtré dans une série d’abus de procédure perdurant au-delà de la fin de l’enquête; ses allégations concernent précisément l’enquête et le rapport qui en a découlé.

[31] Il appert peut-être plus clairement de l’avis de demande que Facebook conteste non pas une ligne de conduite, mais bien une décision. Dans cet avis, Facebook déclare expressément qu’elle sollicite le contrôle judiciaire des [TRADUCTION] « décisions d’enquêter et de poursuivre l’enquête, le processus d’enquête [et du] rapport de conclusions » [non souligné dans l’original] et sollicite une prorogation du délai pour présenter sa demande. Facebook tente de qualifier de série de décisions la ligne de conduite qu’elle conteste, mais le présent contrôle judiciaire porte bel et bien sur la conduite du Commissariat pendant la tenue d’une enquête qui a abouti à la publication d’un rapport.

[32] Par conséquent, j’estime que le délai prévu au paragraphe 18.1(2) s’applique en l’espèce et que la demande de Facebook est hors délai. Il reste donc à décider si une prorogation du délai peut être accordée à Facebook.

[33] En l’espèce, la période visée s’est amorcée 30 jours après la publication du Rapport le 25 avril 2019, et a pris fin le jour de la présentation de l’avis de demande et de la demande de prorogation de délai, le 15 avril 2020. Cette période a donc été de 325 jours ou environ 11 mois.

[34] Le facteur qui joue pour décider si une prorogation de délai peut être accordée à une partie est de savoir si l’octroi de cette prorogation serait dans l’intérêt de la justice (Canada (Procureur général) c Larkman, 2012 CAF 204 au para 62 [Larkman]; et Grewal c Ministre de l’Emploi et de l’Immigration, 1985 CanLII 5550 (CAF)). Dans l’arrêt Larkman, la Cour d’appel fédérale énonce quatre questions non exhaustives auxquelles il est pertinent de répondre lorsqu’il s’agit de décider si une prorogation de délai serait dans l’intérêt de la justice :

1. La demanderesse a-t-elle manifesté une intention constante de poursuivre sa demande?

2. La demande a-t-elle un certain fondement?

3. Le défendeur a-t-il subi un préjudice en raison du retard?

4. La demanderesse a-t-elle une explication raisonnable pour justifier le retard?

(Larkman, au para 61)

(1) Une intention constante

[35] Facebook n’a pas manifesté une intention constante de poursuivre sa demande de contrôle judiciaire. Selon Facebook, ce n’est que lorsqu’elle a été informée des réparations [TRADUCTION] « exhaustives et sans précédent » que le commissaire sollicitait par le truchement de la demande au titre de la LPRPDE qu’elle a décidé de présenter sa demande de contrôle judiciaire. En outre, ce n’est que lorsqu’elle a reçu le dossier certifié du tribunal [le DCT] qu’elle a été mise au fait de certaines des conduites illicites du commissaire. Facebook soutient qu’elle a manifesté une intention constante de poursuivre sa demande de contrôle judiciaire depuis lors. Toutefois, rien n’indique que Facebook avait l’intention de poursuivre sa demande pendant la période s’échelonnant de la date du dépôt du Rapport à celle de la présentation de la demande au titre de la LPRPDE.

[36] Ce facteur milite en faveur du commissaire.

(2) Un certain fondement

[37] Je reconnais que la demande de Facebook a un certain fondement. Il s’agit d’un critère peu élevé, et Facebook a présenté des arguments qui permettent de croire que le commissaire n’avait pas la compétence nécessaire et a manqué à son devoir d’équité procédurale.

(3) Un préjudice pour le défendeur

[38] J’estime que le commissaire n’a subi aucun préjudice considérable en raison du retard. Certes, le commissaire allègue que le préjudice réside dans [TRADUCTION] « l’entrave à l’audition de la demande au titre de la LPRPDE que Facebook cherche à créer avec sa demande de contrôle judiciaire », mais cette entrave serait la même si Facebook avait présenté sa demande avant l’expiration du délai.

[39] Rien n’indique que d’autres retards sont associés à la présentation tardive de la demande de Facebook.

(4) Une explication raisonnable pour justifier le retard

[40] À l’instar de la juge en chef adjointe Gagné au sujet de la requête en radiation que le commissaire a présentée, je souligne le caractère minimaliste des arguments que Facebook a fournis dans son avis de demande pour justifier une prorogation de délai. Facebook s’est contentée de dire que sa « demande a été rendue nécessaire en raison de la demande [du Commissariat] et d’[in]voquer un changement dans son équipe d’avocats » (voir Canada (Commissariat à la protection de la vie privée) c Facebook, Inc, 2021 CF 599 au para 98 [Facebook 2021]).

[41] À l’audience et dans ses déclarations écrites, Facebook a précisé que la présentation tardive de sa demande découle de la décision du commissaire de présenter la demande au titre de la LPRPDE, des réparations [TRADUCTION] « exhaustives et sans précédent » que ce dernier cherche à obtenir, ainsi que de l’accès au DCT que Facebook n’aurait eu que récemment.

[42] Je ne souscris pas à la thèse selon laquelle il existe une explication raisonnable qui justifie le retard. Je ne crois pas que la portée des réparations que l’on tente d’obtenir par le truchement d’une demande connexe constitue une explication raisonnable qui justifie un retard. En outre, si Facebook n’a pas été informée de la portée des réparations que le commissaire chercherait à obtenir, ce dernier a annoncé son intention de présenter une demande au titre de l’article 15, et ce, le jour même de la publication du Rapport.

[43] Facebook a affirmé que le retard est attribuable au fait qu’elle n’avait pas eu accès au DCT; cette explication n’est pas fondée. Facebook n’a pu avoir accès au DCT qu’après avoir présenté sa demande. Ce que la société a appris après la présentation de sa demande ne saurait être invoqué pour justifier son retard à présenter cette même demande.

[44] Par ailleurs, l’omission de l’avocat ne constitue généralement pas une explication raisonnable qui justifie un retard (Kiflom c Canada (Citoyenneté et Immigration), 2020 CF 205 au para 37).

(5) Les autres facteurs

[45] Les deux parties font valoir d’autres facteurs qui méritent que l’on s’y attarde.

[46] Encore une fois, Facebook, invoque les réparations [TRADUCTION] « exhaustives » que le commissaire cherche à obtenir, ainsi que l’incidence majeure que la demande au titre de la LPRPDE pourrait avoir sur Facebook. La société souligne également les conséquences que le Rapport pourrait avoir sur un recours collectif concernant une poursuite contre Facebook pour manquement à la LPRPDE. Sur un plan plus général, Facebook allègue qu’une inconduite ne doit pas échapper au contrôle et que, comme la Cour examinera tout de même ses prétentions, l’octroi d’une prorogation de délai et un jugement sur le fond dans sa demande ne constitueraient pas une utilisation peu judicieuse des ressources.

[47] Le commissaire invoque plusieurs autres facteurs, notamment l’importance du retard, la qualité de partie avertie de Facebook qui a eu des échanges avec le commissaire tout au long de l’enquête et la possibilité pour Facebook d’obtenir le résultat souhaité en contestant la demande au titre de la LPRPDE plutôt qu’en présentant sa propre demande.

[48] Je ne souscris pas aux autres facteurs que Facebook invoque. Comme je le mentionne plus haut, la portée des réparations que l’on cherche à obtenir par le truchement de la demande au titre de la LPRPDE n’est pas pertinente. Facebook peut contester ces réparations et leur portée dans cette demande.

[49] Je ne suis également pas d’avis que le recours collectif en instance dans le dossier de la Cour n^o T-1201-20 revête une importance particulière en l’espèce. Facebook affirme que, si elle obtient gain de cause en l’espèce et que la nullité du Rapport est prononcée, elle allèguera que les demandeurs dans le dossier no T-1201-20 n’ont pas qualité pour présenter une demande au titre du paragraphe 14(1) de la LPRPDE. Pour sa part, le commissaire soutient qu’il importe peu que Facebook obtienne gain de cause ou non puisque la présentation d’une demande au titre du paragraphe 14(1) n’est pas tributaire de la publication d’un rapport. Somme toute, l’incidence sur ce recours collectif que pourrait avoir une décision sur le fondement de la présente affaire n’est pas limpide.

[50] Par ailleurs, l’avis de demande dans le dossier no T-1201-20 a été déposé le 7 octobre 2020, soit plusieurs mois après que Facebook a amorcé le processus relatif à la présente demande. Ainsi, on ne saurait raisonnablement estimer qu’il s’agit d’une explication justifiant le retard de Facebook et, quoi qu’il en soit, le fait que des personnes aient décidé d’intenter des poursuites au vu des résultats de l’enquête ne milite pas nécessairement en faveur de la prorogation de délai que Facebook sollicite.

[51] Je souscris à l’opinion du commissaire selon laquelle la nature non définitive de la conduite que Facebook conteste est un facteur à prendre en considération, en plus de ceux énoncés dans l’arrêt Larkman. L’enquête et le Rapport sont, en soi, sans grandes conséquences réelles. Pour engager des procédures d’exécution, le commissaire doit obtenir gain de cause quant à la demande au titre de la LPRPDE, demande que Facebook peut contester et a effectivement contestée.

[52] Dans l’ensemble, je ne suis pas d’avis qu’une prorogation du délai serait dans l’intérêt de la justice. Dans l’arrêt Larkman, la Cour d’appel fédérale attire notre attention sur l’importance du délai de 30 jours prévu au paragraphe 18.1(2). Elle met l’accent sur le principe du caractère définitif des décisions et nous met en garde contre l’introduction inopinée de demande de contrôle judiciaire longtemps après que la décision a été communiquée aux parties et que celles‑ci ont agi sur la foi de cette décision (Larkman, aux para 87-88). Ce principe joue en l’espèce.

[53] Aussi court soit-il, le retard à présenter une demande de contrôle judiciaire doit pouvoir être expliqué, sans quoi la Cour peut refuser de proroger le délai (Larkman, au para 86). Les prorogations de délai favorisent l’accès à la justice et sont particulièrement nécessaires dans les cas où les demandeurs ne sont pas en mesure de respecter le délai en raison d’obstacles à la justice d’ordre financier, médical ou social (Wenham c Canada (Procureur général), 2018 CAF 199 au para 50). Facebook, qui est une partie avertie ayant été représentée par un avocat tout au long de l’enquête, ne se heurte tout simplement pas à de tels obstacles.

[54] Facebook est hors délai et n’a pas droit à une prorogation. Cet élément permet à lui seul de statuer sur la demande. Cela dit, s’il devait être conclu que j’ai eu tort à ce sujet, j’examinerai le fondement de la demande de Facebook.

B. Le défaut du Commissariat de respecter le délai d’un an prévu au paragraphe 13(1) de la LPRPDE entraîne-t-il une perte de compétence et la nullité du Rapport?

[55] La plainte a été déposée le 19 mars 2018 et le Rapport a été publié le 25 avril 2019. Le Rapport a donc été publié après l’expiration du délai d’un an prévu au paragraphe 13(1) de la LPRPDE, lequel paragraphe est rédigé en ces termes :

[56] Selon Facebook, le défaut du commissaire de respecter ce délai entraîne une perte de compétence ainsi que la [traduction] « nullité » du Rapport. Facebook fait valoir que le mot shall utilisé dans la version anglaise du paragraphe 13(1) appelle une obligation et que, par conséquent, le commissaire était tenu de dresser un rapport en temps opportun.

[57] Le commissaire affirme que la Cour doit s’abstenir de statuer sur cette question puisque Facebook ne l’a pas soulevée avant de déposer la présente demande. Le commissaire soutient que, si la Cour devait examiner la question, la norme de contrôle applicable à l’interprétation qu’il a faite quant au délai serait celle de la décision raisonnable. Il ajoute que, comme aucune raison n’est offerte, la Cour pourrait tenir compte des raisons que le commissaire a avancées au sujet du délai dans des affaires similaires où il a été statué sur le caractère raisonnable de la décision implicite.

[58] De l’avis du commissaire, le paragraphe 13(1) de la LPRPDE est une disposition [traduction] « directive » et non [traduction] « impérative ». Le non-respect d’une disposition [traduction] « impérative » emporte la nullité de toute mesure subséquente, tandis que le non‑respect d’une disposition [traduction] « directive » n’a pas cet effet (voir également Alberta (Information and Privacy Commissioner) c Alberta Teachers’ Association, 2011 CSC 61 au para 73 [Alberta Teachers], citant Practice and Procedure Before Administrative Tribunals (feuilles mobiles), vol. 3, aux p 22-126 à 22-126.1).

[59] La Cour suprême a mis en doute l’utilité de faire une distinction entre les dispositions directives et impératives et s’est demandé en quoi le processus habituel d’interprétation législative s’en trouvait amélioré (Alberta Teachers, au para 74, citant Colombie-Britannique (Procureur général) c Canada (Procureur général), [1994] 2 RCS 41 à la p 123).

[60] Je fais mien l’avis de la Cour suprême selon lequel la distinction entre les dispositions directives et impératives est principalement illusoire en pratique. Par ailleurs, les méthodes habituelles d’interprétation des lois me permettent de conclure que la décision du commissaire est raisonnable.

[61] Le paragraphe 13(1) de la LPRPDE exige du commissaire qu’il produise un rapport sur une plainte dans un délai d’un an; ce délai étant assujetti à certaines exceptions. Il s’agit d’un droit en matière de procédure conféré à la fois aux organisations visées par une enquête et aux personnes qui déposent une plainte au titre de la LPRPDE. C’est ce qui ressort clairement de l’esprit de la LPRPDE. Le paragraphe 13(3) prévoit qu’un rapport « est transmis sans délai au plaignant et à l’organisation ». En outre, aux termes de l’article 14, le plaignant peut demander que notre Cour entende toute question « qui est mentionnée dans le rapport » du commissaire. Les obligations du commissaire à l’égard du plaignant quant à la tenue d’une enquête et à la production d’un rapport en réponse à une plainte deviendraient nulles si le commissaire pouvait se récuser en laissant tout simplement s’écouler une année.

[62] Comme la Cour d’appel l’a déclaré dans certains contextes, une approche plus raisonnable consiste à exiger l’existence d’une « disposition expresse » pour faire perdre sa compétence à un tribunal à l’échéance d’un délai prescrit (In re Loi antidumping et in nouvelle audition dans la décision A-16-77, 1979 CanLII 4040 (CAF), [1980] 1 CF 233 à la p 238 [In re antidumping]; voir également l’examen d’un délai qu’une cour doit respecter dans l’arrêt Breslaw c Canada (Procureur général), 2005 CAF 355 aux para 33-37 [Breslaw]). L’expiration du délai permet à Facebook – ou au plaignant – de demander qu’un rapport lui soit transmis dès que possible, mais elle ne prive pas le commissaire de sa compétence, pas plus qu’elle n’entraîne la nullité du Rapport (Breslaw, au para 37; et In re antidumping, aux p 238-239).

[63] Pour appuyer sa thèse, Facebook invoque l’arrêt de la Cour d’appel de l’Alberta Alberta Teachers’ Association v Alberta (Information and Privacy Commissioner), 2010 ABCA 26 [Alberta Teachers ABCA] (arrêt que la Cour suprême a infirmé au motif que la question ne se posait pas : Alberta Teachers, au para 76). Cependant, la Cour d’appel de l’Alberta n’a pas soutenu que le non-respect d’un délai entraîne la perte de compétence :

[traduction]

[22] […] La question à trancher concerne essentiellement l’interprétation des lois. Un délai prescrit par une loi n’a pas été respecté. Quelles sont les conséquences que le législateur avait en tête? Il est essentiel, en l’espèce, de savoir si l’on doit conclure que l’intention du législateur était de faire en sorte que le manquement au devoir public énoncé au paragraphe 50(5) de [la Personal Information Protection Act, SA 2003, c P-6.5] entraînerait automatiquement et inexorablement une conséquence définitive. L’objet de la loi et l’intention plus large du législateur ne devraient pas être balayés du revers de la main. Qui plus est, une conséquence automatique et inexorable vise souvent des parties qui ne peuvent exercer aucune influence sur le processus.

[…]

[35] Je déduis que le législateur cherchait à parvenir à un équilibre, à savoir rendre impératives les dispositions relatives au délai et prévoir une conséquence en cas de non‑respect; cette conséquence étant l’arrêt du processus d’enquête dès lors que l’on s’y oppose. Toutefois, je conclus également qu’il est possible de se soustraire à cette conséquence en démontrant à la fois :

a) qu’il y a une cohérence substantielle entre l’objet des dispositions relatives au délai et la raison qui justifie ce délai, la responsabilité à son égard, l’existence d’une dispense quant à son application, la présence d’un élément inhabituellement complexe ainsi que la résolution avérée ou possible de la plainte en temps opportun;

b) que les parties n’ont subi aucun préjudice ou, subsidiairement, que le préjudice aux principes que [la Personal Information Protection Act, SA 2003, c P-6.5] vise à défendre l’emporte sur tout préjudice que les parties ont subi.

(Alberta Teachers ABCA, aux para 22, 35)

[64] Même avec cette formulation, je suis d’avis qu’il n’y a pas lieu de conclure à la perte de compétence. Au vu des faits de l’espèce, le retard d’un mois est attribuable, au moins en partie, à la demande que Facebook a présentée afin de disposer de plus de temps pour répondre au rapport préliminaire, ainsi qu’aux efforts légitimes que les parties ont déployés pour tenter d’en arriver à une entente.

[65] Qui plus est, rien n’indique que le retard d’un mois s’est traduit par un quelconque préjudice pour Facebook ou par un important préjudice aux principes que la LPRPDE vise à défendre.

C. Le Commissariat avait-il compétence pour enquêter sur la plainte, pour produire le Rapport ou pour présenter la demande au titre de la LPRPDE?

[66] Facebook affirme que le Commissariat n’avait pas compétence pour adopter sa ligne de conduite et que, de ce fait, cette ligne de conduite était déraisonnable. Facebook présente trois arguments à l’appui de cette thèse :

1. Le Commissariat a outrepassé son pouvoir d’enquête en procédant à une vérification plutôt qu’à une enquête.

2. Les plaignants n’avaient pas qualité pour déposer la plainte.

3. La plainte et l’enquête n’avaient pas de lien réel et important avec le Canada.

(1) Le Commissariat a-t-il outrepassé son pouvoir d’enquête en procédant à une vérification plutôt qu’à une enquête?

[67] Facebook affirme que le Commissariat, prétendant mener une enquête au sujet d’un manquement en particulier à la LPRPDE, s’est plutôt adonné à une « vérification exhaustive » des pratiques de Facebook en matière de gestion des renseignements personnels. Facebook soutient que le Commissariat a arrêté son choix sur la tenue d’une enquête en raison de l’étendue des recours que ce processus offre, notamment la possibilité de s’adresser à notre Cour afin d’obtenir l’une ou l’autre des diverses réparations prévues à l’article 16 de la LPRPDE.

[68] La LPRPDE confère au commissaire des pouvoirs distincts en matière d’enquête et de vérification. C’est à la section 3 de cette loi que les pouvoirs du commissaire en matière de vérification sont énoncés, tandis que ses pouvoirs en matière d’enquête sont énoncés à la section 2. Selon les prétentions de Facebook, les fins d’une enquête diffèrent de celles d’une vérification en ce sens que la portée d’une enquête se limite à un manquement à la LPRPDE en particulier, tandis qu’une vérification permet d’évaluer la conformité d’une organisation à la LPRPDE dans son ensemble.

[69] Je ne souscris pas à la thèse de Facebook selon laquelle le commissaire a, à tort, mené une enquête plutôt qu’une vérification. La LPRPDE ne permet pas au commissaire de choisir la procédure à suivre lors du dépôt d’une plainte. Selon le paragraphe 12(1) de cette loi, à moins que l’une des rares exceptions prévues par la loi rende la plainte irrecevable, le commissaire « procède à l’examen de toute plainte » (la version anglaise de ce passage étant rédigée en ces termes : « shall conduct an investigation in respect of a complaint »). Le mot shall, utilisé dans la version anglaise, impose au commissaire la tenue de l’enquête et ne lui confère pas le pouvoir discrétionnaire auquel Facebook fait allusion.

[70] Reste donc à savoir si la plainte est recevable.

(2) Les plaignants avaient-ils qualité pour déposer la plainte?

[71] Facebook allègue que l’enquête du Commissariat n’était pas raisonnable parce que les plaignants n’étaient pas personnellement liés au manquement présumé. Rien dans la plainte ne permettait de conclure que les plaignants étaient des utilisateurs de Facebook ou qu’ils avaient des raisons de croire que leurs données auraient été compromises des suites de l’incident impliquant Cambridge Analytica.

[72] En vertu du paragraphe 11(1) de la LPRPDE, une personne peut déposer une plainte contre une organisation qui contrevient à certaines dispositions de cette loi. Figurant à la section 2 de la LPRPDE, le paragraphe 11(1) est rédigé en ces termes :

[73] Pour démontrer qu’un plaignant doit être personnellement lié à un manquement présumé, Facebook brandit plusieurs arguments fondés sur le libellé du paragraphe 11(1) et sur le contexte de la section 2 de la LPRPDE :

[traduction]

1. Les termes « tout intéressé » qui figurent au paragraphe 11(1) précisent qui a qualité pour déposer une plainte. Ces mots font référence à une personne qui a « un intérêt direct et personnel » (Dubé c Thibault, 2000 CanLII 18353 (QC CQ) au para 26). Ainsi, le plaignant doit avoir un intérêt personnel à l’égard du manquement présumé. Le libellé français ne fait pas moins autorité que le libellé anglais. La version française ayant un sens plus limité, c’est ce sens qu’il faut favoriser (R c Daoust, 2004 CSC 6 aux para 26-29).

2. Le paragraphe 11(1) permet le dépôt d’une plainte même en l’absence de motif raisonnable. En revanche, selon le paragraphe 11(2), le commissaire doit avoir des « motifs raisonnables de croire qu’une enquête devrait être menée sur [la] question ». Le fait d’interpréter le paragraphe 11(1) comme s’il autorisait une personne à déposer une plainte au sujet d’un manquement présumé qui ne concerne qu’autrui donnerait lieu à une absurdité : le commissaire serait le seul individu au monde à qui il serait exigé d’avoir des motifs raisonnables pour déposer une plainte à la suite d’un manquement présumé qui a une incidence sur autrui. C’est donc dire qu’un importun pourrait déposer une telle plainte sans motif raisonnable et que le commissaire serait tenu par la loi d’examiner cette plainte au titre du paragraphe 12(1).

3. Le paragraphe 12(1) exige du commissaire qu’il examine la plainte, sauf dans trois circonstances précises. L’une des exceptions prévues est énoncée à l’alinéa 12(1)a) selon lequel le commissaire ne doit pas examiner la plainte s’il est d’avis que « le plaignant devrait d’abord épuiser les recours internes ou les procédures d’appel ou de règlement des griefs qui lui sont normalement ouverts ». De tels recours ou procédures ne sont ouverts qu’aux personnes personnellement liées à un manquement présumé.

4. Selon le paragraphe 12.1(2), le commissaire « peut tenter de parvenir au règlement de la plainte en ayant recours à un mode de règlement des différends, notamment la médiation et la conciliation ». Ces modes de règlement – dont les vérifications prévues à la section 3 ne sont pas assorties – visent à faciliter le règlement par voie de procédure contradictoire de certains conflits entre un plaignant et une organisation assujettie à la LPRPDE. Ils ne se prêtent pas du tout à des enquêtes systémiques plus vastes qui ont une incidence sur des tiers et qui sont menées à la demande d’observateurs.

5. Au titre du paragraphe 14(1), le plaignant peut demander que la Cour entende toute question qui a fait l’objet de la plainte et qui est visée à des dispositions précises de la LPRPDE, et qu’elle accorde des réparations à cet égard. Cette disposition ne tombe sous le sens que si le plaignant est une personne que le manquement présumé concerne personnellement. Les tribunaux n’ont pas l’habitude de se prononcer sur les droits d’une personne en son absence. S’agissant d’une demande de contrôle judiciaire, par exemple, « [u]ne partie n’a pas la qualité requise pour faire valoir que la décision d’un tribunal a une incidence sur les droits d’une autre personne » (Laboratoires COP Inc c Ordre des pharmaciens du Nouveau-Brunswick, 2020 NBCA 74 au para 52, citant Sarah Blake, Administrative Law in Canada, 6^e éd (Toronto : LexisNexis Canada, 2017), à la p 205). La présentation d’une demande par un importun concernant un manquement présumé dans le but d’obtenir réparation pour une personne – à son insu ou sans son consentement ou sa participation – serait inadmissible et impossible à traiter.

6. L’alinéa 15a) prévoit que, s’agissant d’une plainte dont il n’a pas pris l’initiative, le commissaire a qualité pour demander lui-même une audition, mais seulement avec le consentement du plaignant. Cette obligation de consentement est inutile si un plaignant peut signaler un manquement présumé qui ne concerne qu’autrui (et que le commissaire peut demander l’audition de ce manquement présumé).

7. Selon l’article 16, si la Cour conclut que l’organisation visée a manqué à la LPRPDE, elle peut accorder « au plaignant » des dommages-intérêts. Ce pouvoir n’a du sens que si le manquement en question aurait pu causer un préjudice au plaignant – et non simplement à un tiers.

[74] Si la Cour d’appel fédérale laisse subsister la possibilité, pour le commissaire, de refuser d’examiner une plainte pour motif d’absence d’intérêt personnel, elle déclare que, dès lors que le commissaire a effectivement produit un rapport, la personne qui a déposé la plainte devient un plaignant aux fins de l’application du paragraphe 14 de la LPRPDE :

[51] TELUS, se fondant sur les termes « tout intéressé » du texte français du paragraphe 11(1), fait valoir qu’il faut être personnellement intéressé pour déposer une plainte auprès du commissaire et que l’on ne devrait concéder à quiconque ne l’est pas que le rôle de dénonciation prévu à l’article 27 de la [LPRPDE]. Ce pourrait bien être le cas dans la sphère de compétence du commissaire, et il se pourrait bien que celui-ci ait la faculté de refuser d’établir un rapport sur une plainte dont il conclurait que l’auteur n’est pas personnellement intéressé, mais je ne me prononcerai sur ni l’une ni l’autre de ces questions. Toutefois, dans le cas où le commissaire a effectivement dressé un rapport et où sa décision de le faire n’a pas été attaquée, la personne qui a déposé la plainte devient un plaignant, aux fins de la faculté d’ester devant la Cour en vertu de l’article 14 de la [LPRPDE], dès qu’[elle] a reçu le rapport, que les renseignements personnels en jeu [la] concernent ou non [elle]-même.

(Englander c Telus Communications Inc, 2004 CAF 387 au para 51 [Englander])

[75] Selon l’article 14 de la LPRPDE, « [a]près avoir reçu le rapport du commissaire ou l’avis l’informant de la fin de l’examen de la plainte au titre du paragraphe 12.2(3), le plaignant peut demander que la Cour entende toute question qui a fait l’objet de la plainte ». L’alinéa 15a) est similaire, mais permet au commissaire de demander lui-même à notre Cour l’audition d’une question, avec le consentement du plaignant.

[76] La conclusion de la Cour d’appel dans l’arrêt Englander s’applique autant à l’alinéa 15a) qu’à l’article 14 de la LPRPDE. À cette étape du processus, le commissaire a déjà examiné la plainte et produit le rapport que la loi l’oblige à produire. Je n’aborderai pas la question de savoir s’il serait loisible au commissaire de refuser d’examiner une plainte pour motif d’absence d’intérêt personnel, ou si Facebook aurait effectivement pu contester la qualité des plaignants et le caractère adéquat de l’enquête après avoir pris connaissance de la nature de la plainte et de l’identité des plaignants dont il est fait mention dans l’avis de plainte et d’enquête. Facebook n’a toutefois pas contesté cette qualité, ce qui m’amène à conclure que la plainte et la qualité des plaignants sont valables et raisonnables pour l’application de l’alinéa 15a) de la LPRPDE.

[77] Qui plus est, une autre bonne raison milite en faveur de l’interprétation faite par le commissaire.

[78] L’utilisation des termes « tout intéressé » au paragraphe 11(1) n’est pas déterminante. Dans la version anglaise, les termes « an individual » donnent manifestement à penser qu’une plainte peut provenir d’une personne, sans préciser que l’intérêt personnel de cette personne doit être en jeu. Nous ne sommes pas en présence d’une situation où la version anglaise est ambigüe alors que la version française est claire. Lorsque les versions anglaise et française sont toutes les deux claires, il importe, pour tirer le sens réel d’une disposition, de s’attarder non seulement au texte de cette disposition, mais également à son contexte et à son objet (Canada (Citoyenneté et Immigration) c Khosa, 2009 CSC 12 au para 40; et R v Klippert, [1967] SCR 822 à la p 834).

[79] Si, en partie, le contexte de la section 2 de la LPRPDE que Facebook a présenté peut sembler militer en faveur de l’interprétation que la société fait de cette section, il n’en va pas de même pour d’autres éléments de son contexte et de son objet. Comme je le mentionne plus haut, le paragraphe 12(1) de la LPRPDE confie au commissaire le mandat d’examiner chaque plainte, sauf dans les circonstances décrites aux paragraphes 12(1) et 12(2). En outre, en vertu de l’article 12.2, le commissaire peut invoquer divers motifs pour mettre fin à l’examen, notamment si « la plainte est futile, vexatoire ou entachée de mauvaise foi ». L’absence d’un intérêt personnel pour le plaignant ne figure pas au nombre des exceptions justifiant le refus d’examiner une plainte, ni au nombre des motifs justifiant la fin de l’examen.

[80] Par ailleurs, et comme le commissaire le souligne, ce n’est qu’après le début d’une enquête que deviendront manifestes l’existence d’un intérêt personnel ou la constatation de la transmission des données d’une personne en particulier.

[81] Si certaines mesures prévues par la LPRPDE, comme les dommages-intérêts ou la médiation aux fins du règlement d’un différend, peuvent sembler plus pertinentes lorsque les renseignements de la personne visée sont en jeu, on ne saurait conclure qu’il s’agit là de l’unique situation où une plainte peut être recevable. En outre, notre Cour a déjà reconnu qu’une perte personnelle n’est pas nécessaire dans l’absolu pour que des dommages-intérêts puissent être accordés en vertu de la LPRPDE (AT c Globe24h.com, 2017 CF 114 aux para 98‑100 [Globe24]).

[82] Notre Cour a également déjà reconnu la qualité d’agir à des personnes dont les renseignements personnels n’étaient pas en jeu (Maheu c IMS Health Canada, 2003 CFPI 1, qualité confirmée en appel dans l’arrêt Maheu c IMS Health Canada, 2003 CAF 462 au para 6).

(3) La plainte et l’enquête avaient-elles un lien réel et important avec le Canada?

[83] Le critère qui permet de déterminer si une activité dont la portée est transnationale est assujettie à une loi canadienne comme la LPRPDE est celui du « lien réel et important » (Société canadienne des auteurs, compositeurs et éditeurs de musique c Assoc. canadienne des fournisseurs Internet, 2004 CSC 45 aux para 54-60 [SOCAN]; et Globe24, au para 52).

[84] Ainsi, la LPRPDE ne s’applique que s’il existe un lien réel et important entre la question qui a donné lieu à la plainte et le Canada. De l’avis de Facebook, le Commissariat a indiqué qu’il menait une enquête au sujet d’un manquement présumé bien précis, à savoir le transfert à Cambridge Analytica, par Aleksandr Kogan, de renseignements personnels que des utilisateurs de Facebook avaient communiqués à ce dernier. Facebook affirme qu’un lien réel et important ne saurait exister entre cet incident et le Canada puisque rien ne prouve que les données de Canadiens ont été transmises des suites du manquement.

[85] Je ne souscris pas à la conclusion de Facebook au sujet de l’avis de plainte et d’enquête daté du 23 mars 2018. Facebook savait ou aurait dû savoir que la portée de l’enquête n’était pas limitée à l’incident impliquant Cambridge Analytica.

[86] En l’espèce, plusieurs facteurs permettent d’établir un lien réel et important entre le Canada et les activités commerciales en cause de la société, notamment l’utilisation de Facebook par des millions de Canadiens. En ce qui a trait aux faits particuliers exposés au début de l’enquête, des éléments permettent d’établir que 272 utilisateurs canadiens de Facebook avaient installé l’application TYDL et que les données de ces utilisateurs ont par la suite été communiquées à Cambridge Analytica. Ainsi, jusqu’à 621 899 utilisateurs de Facebook au Canada pourraient avoir été victimes d’une atteinte à la protection de leurs renseignements personnels. Par ailleurs, la possibilité d’obtenir des renseignements similaires à partir de la plateforme de Facebook par le truchement d’une application tierce ne se limitait pas aux faits précis entourant l’application de M. Kogan et les transmissions subséquentes de renseignements personnels à Cambridge Analytica et à d’autres.

[87] Je suis d’avis que la plainte et l’enquête ont un lien réel et important avec le Canada.

D. Le Commissariat a-t-il manqué à son devoir d’équité procédurale?

[88] D’emblée, Facebook allègue qu’elle avait droit à un haut degré d’équité procédurale en lien avec l’enquête menée au titre de la section 2 de la LPRPDE. Elle ajoute que la décision de produire un rapport conformément à la section 2 est une décision quasi judiciaire dont peuvent découler des réparations exhaustives au préjudice d’une organisation, mais que la LPRPDE ne prévoit aucun droit d’appel pour les organisations visées.

[89] Le commissaire n’est pas du même avis et allègue qu’il devait respecter les exigences minimales en matière d’équité procédurale.

[90] La Cour suprême du Canada a énoncé différents facteurs dont il est utile de tenir compte lors de l’évaluation du degré d’équité procédurale requis dans une situation donnée :

1. La nature de la décision recherchée et le processus suivi pour y parvenir. Plus le processus prévu ressemble à un processus judiciaire, plus le niveau d’équité procédurale devra être élevé.

2. La nature du régime législatif.

3. L’importance de la décision pour les personnes visées.

4. Les attentes légitimes de la personne qui conteste la décision.

5. Le respect des choix de procédure que l’organisme fait lui-même.

(Baker c Canada (Ministre de la Citoyenneté et de l’Immigration), [1999] 2 RCS 817 aux para 23-28.)

[91] Au vu de ces facteurs, j’estime que le commissaire devait respecter les exigences minimales en matière d’équité procédurale. Une enquête menée au titre de la LPRPDE ne ressemble pas à un processus judiciaire. Il s’agit plutôt d’un exercice d’établissement des faits pour lequel le commissaire doit adopter « une approche qui [le] distingue d’une cour de justice » et « résoudre les tensions d’une manière informelle » (Lavigne c Canada (Commissariat aux langues officielles), 2002 CSC 53 aux para 37-38; Kniss c Canada (Commissaire à la protection de la vie privée), 2013 CF 31 au para 24 [Kniss]; et Facebook 2021, au para 58).

[92] Une enquête aboutit à un rapport qui, en soi, n’est pas contraignant et est sans réelle conséquence sur le plan juridique (Kniss, aux para 23, 28). Conformément à la LPRPDE, pour solliciter une réparation, le commissaire doit demander une audition à notre Cour, et il est loisible à toute organisation intéressée de contester cette demande, comme Facebook le fait en l’espèce. La LPRPDE régit le début et la fin du processus d’enquête, mais le Commissariat jouit tout de même d’une liberté considérable quant à la tenue de l’enquête.

[93] Facebook fait valoir que le manquement du Commissariat à son devoir d’équité procédurale se décline en trois volets :

1. Le Commissariat ne lui a pas adéquatement donné avis de la plainte.

2. Le Commissariat ne lui a pas communiqué les renseignements qu’il avait obtenus et dont il a tenu compte pendant son enquête.

3. L’enquête que le Commissariat a menée était entachée de partialité et visait un objectif accessoire.

[94] Facebook affirme que le Commissariat ne lui a pas adéquatement donné avis de la plainte comme l’exige le paragraphe 11(4) de la LPRPDE. Ce paragraphe dispose : « Le commissaire donne avis de la plainte à l’organisation visée par celle-ci. »

[95] Facebook prétend qu’elle n’a pas été avisée adéquatement de la réelle portée de la plainte. De son point de vue, elle n’a été avisée que d’une intention quant à la tenue d’une enquête portant précisément sur l’incident impliquant Cambridge Analytica, et non de la portée plus générale de l’enquête du Commissariat. Pour appuyer cette prétention, Facebook fait référence à certains éléments de l’avis de plainte et d’enquête daté du 23 mars 2018, ainsi qu’aux premières questions que le Commissariat lui a transmises, lesquelles n’avaient trait qu’aux faits portant précisément sur l’incident impliquant Cambridge Analytica.

[96] L’avis donné vise à respecter la règle audi alteram partem selon laquelle une partie a le droit de recevoir suffisamment de renseignements pour avoir la possibilité de réfuter les allégations formulées contre elle. Ce qui est suffisant varie d’un cas à l’autre, en fonction du niveau d’équité procédurale que les circonstances appellent (Foster Farms LLC c Canada (Diversification du commerce international), 2020 CF 656 aux para 58-59).

[97] Selon le dossier, il a été donné à Facebook un avis adéquat quant à la plainte et à sa portée générale. Le passage pertinent de l’avis de plainte et d’enquête daté du 23 mars 2018 est rédigé en ces termes :

[traduction]

La présente a pour but de vous aviser que le Commissariat à la protection de la vie privée a reçu une plainte de Charlie Angus au titre de la Loi sur la protection des renseignements personnels et les documents électroniques (la « Loi »).

Le plaignant affirme que Facebook Inc. a permis à Cambridge Analytica, entre autres, d’accéder indûment aux renseignements d’utilisateurs de facebook.com à leur insu ou sans leur consentement. Il se plaint également de l’insuffisance des mesures mises en place par Facebook Inc. pour prévenir un tel accès et l’utilisation abusive subséquente des renseignements personnels d’utilisateurs de facebook.com.

[Non souligné dans l’original.]

[98] Il ne fait aucun doute que Facebook a été avisée dès le départ de la portée plus générale de la plainte. Cette portée s’est toutefois cristallisée au fil de l’enquête du Commissariat.

[99] Si les premières questions que le Commissariat a transmises portaient en grande partie sur M. Kogan, Cambridge Analytica et l’application TYDL, le Commissariat a envoyé d’autres questions le 29 mars 2018, dont certaines avaient une portée beaucoup plus générale. En voici des exemples :

[traduction]

2. Est-ce que Facebook procède à un contrôle, à un examen ou à quelconque analyse des applications qui accèdent à sa plateforme?

a. En quoi consiste le processus de contrôle ou d’examen?

b. Comment Facebook s’assure-t-elle que les applications sont conformes à ses politiques en matière de protection des renseignements personnels ou autres?

c. Comment Facebook s’assure-t-elle que les applications qui accèdent à sa plateforme ne sont pas malveillantes pour les utilisateurs?

3. Est-ce que Facebook examine les autorisations d’échange de données pour chacune des applications qui accèdent à sa plateforme?

a. Dans l’affirmative, ces examens sont-ils consignés dans un rapport ou un journal?

i. Dans l’affirmative, veuillez nous fournir un exemple de rapport ou de journal concernant une application qui a présentement accès à la plateforme de Facebook.

[…]

8. Lors de notre rencontre du 23 mars 2018, Facebook a déclaré que ses politiques limitent la transmission de données par des développeurs d’applications à des tiers non concernés. Veuillez nous fournir un exemplaire des politiques en vigueur entre janvier 2012 et aujourd’hui, et portant sur la transmission de données par des développeurs d’applications à des tiers non concernés.

a. Est-ce que des modifications notables ont été apportées à ces politiques entre janvier 2012 et aujourd’hui?

b. Comment ces politiques sont-elles appliquées dans la pratique?

c. Comment ces politiques étaient-elles appliquées avant la transition de la plateforme décrite aux questions 7 et 8?

d. Quelles mesures Facebook a-t-elle prises contre les développeurs d’applications qui ont transmis à des tiers des données qu’ils ont recueillies?

[…]

11. Facebook a déclaré qu’elle examinerait toutes les applications qui ont accès à sa plateforme, y compris celles qui y ont eu accès dans le passé. En quoi consiste cet examen?

a. Veuillez fournir un résumé des résultats de ces examens au fur et à mesure qu’ils auront été achevés.

[100] En réponse aux demandes de renseignements que le Commissariat lui avait présentées par écrit les 23 et 29 mars 2018, Facebook a soumis des observations exhaustives. Le 13 avril 2018, Facebook a présenté une première réponse partielle de 273 pages à la demande de renseignements datée du 23 mars. Le 28 mai 2018, Facebook a présenté un supplément d’observations de 580 pages. Le 13 juillet 2018, elle a présenté une réponse supplémentaire tenant sur 21 pages. Ces observations de Facebook ont été soumises en réponse aux questions du Commissariat concernant la transmission de renseignements à des applications tierces en général.

[101] Facebook était au fait de toute la portée de l’enquête, ou aurait dû l’être, et a eu la possibilité d’y donner suite.

[102] Même si une évolution de la portée de l’enquête avait été constatée au fil du temps, je ne conclurais pas à un manquement au devoir d’équité procédurale. Une telle évolution est inhérente au concept même d’une enquête menée au titre de la LPRPDE; si un problème de portée plus générale et systémique faisait surface pendant l’examen d’un incident donné, le Commissariat ne saurait être tenu d’en faire abstraction.

[103] Facebook affirme également que le Commissariat a manqué à son devoir d’équité procédurale en omettant de lui communiquer tous les renseignements qu’il avait obtenus et dont il a tenu compte pendant son enquête. Facebook fait valoir que le Commissariat s’est fondé à tort sur les observations exhaustives d’un tiers, le Centre pour les droits numériques [le CDN], ainsi que sur de l’information publique, comme des documents ayant fait l’objet de fuites, des articles dans les médias et un livre intitulé Facebook, une catastrophe annoncée, le tout, sans lui donner la possibilité de répondre.

[104] Facebook invoque une fois de plus la règle audi alteram partem (Woolworth Canada Inc v Newfoundland (Human Rights Commission), 1995 CanLII 9888 (NL CA); et SRC c Paul (1^re inst), 1998 CanLII 9117 (CF), [1999] 2 CF 3).

[105] De manière générale, le fait d’appuyer une décision sur de l’information accessible au public sans en aviser l’entité visée ne saurait justifier une conclusion de manquement au devoir d’équité procédurale (Dubow-Noor c Canada (Citoyenneté et Immigration), 2017 CF 35 aux para 17-18).

[106] En ce qui concerne les observations du CDN, je reconnais que, lors d’une audience déterminante qui appelle le degré le plus élevé d’équité procédurale, un tel défaut d’information pourrait constituer un déni du droit d’une partie de connaître la preuve qui pèse contre elle. Toutefois, dans le contexte d’une enquête qui aboutit à un rapport non contraignant et au droit à la divulgation pleine et entière de la preuve dans le cadre d’une instance devant notre Cour, je ne suis pas d’avis qu’un manquement au devoir d’équité procédurale découle du refus du Commissariat de communiquer de l’information à Facebook. Accepter le point de vue de Facebook reviendrait essentiellement à exiger du Commissariat qu’il communique l’intégralité du contenu de son enquête à Facebook, donc qu’il lui transmette chacun des éléments de preuve qu’il a examinés, afin que Facebook puisse formuler des commentaires. Un fardeau aussi lourd porterait atteinte à l’exécution du mandat que la loi confère au Commissariat, lequel consiste notamment à mener des enquêtes. La tenue d’une enquête comporte nécessairement un certain niveau de confidentialité, au minimum.

[107] En outre, Facebook a eu la latitude voulue pour répondre. Elle a d’ailleurs présenté des observations étoffées en réponse aux questions du Commissariat et formulé des commentaires détaillés au sujet du Rapport préliminaire, lequel n’a été produit qu’après la prise en compte alléguée des observations du CDN ou de l’information publique.

[108] Facebook prétend également qu’une série de communications confidentielles du Commissariat démontre que l’enquête était entachée de partialité et qu’elle a été dirigée de manière à mener à un résultat prédéterminé, c’est-à-dire que Facebook n’a pas respecté la LPRPDE et doit revoir ses pratiques. Facebook cite les exemples allégués suivants :

[TRADUCTION]

1. Le lendemain de la réception de la plainte, le commissaire a envoyé un courriel interne dont l’objet était « Facebook : risque de préjudice et nécessité de mesures rigoureuses et d’une véritable transparence ». Ce courriel contenait un lien vers une lettre d’opinion publiée dans le Washington Post portant sur une « feuille de route pour corriger les lacunes de Facebook ».

2. Le Commissariat a cherché à faire concorder ses observations et conclusions avec celles de divers autres organismes de réglementation à l’échelle mondiale, auxquels il a fait référence en leur qualité de « partenaires ». Un courriel interne daté du 31 juillet 2018 faisait mention de la communication de « la directive d’accélérer la cadence au sujet de [Facebook] puisque le Royaume-Uni a déjà pris des mesures à l’égard de la société […] Le commissaire tient notamment à ce que nos mesures diffèrent de celles prises par le Royaume-Uni (lesquelles ont consisté à imposer une [sanction administrative pécuniaire]) ou qu’elles y ajoutent une certaine valeur ».

3. Le Commissariat a entrepris d’harmoniser ses efforts à ceux du CIPVP pour ainsi tirer profit du pouvoir de rendre des ordonnances dont le CIPVP jouit en Colombie‑Britannique.

4. En vue de son témoignage devant le [Comité permanent de l’accès à l’information, de la protection des renseignements personnels et de l’éthique de la Chambre des communes] environ un mois après le début de l’enquête, le commissaire a envoyé un courriel interne dans lequel il affirmait qu’une « autre raison de renforcer les règles en matière de reddition de comptes réside dans les promesses brisées et les autres manquements de [Facebook] et d’autres à leurs obligations en la matière. Ces promesses brisées ont fait couler beaucoup d’encre et fait débat à répétition devant le Congrès américain. Alors que nous menons une enquête, comment pourrais-je aller aussi loin, évidemment sans tirer des conclusions à la hâte? » Un membre de la haute direction du Commissariat a déclaré : « Je pense que [le commissaire] devrait aller de l’avant et, question de ne pas mettre la charrue devant les bœufs, examiner la question de manière théorique. » La directrice des politiques, de la recherche et des affaires parlementaires a dit : « Je pense que ce qui est problématique, c’est que [Facebook continue] de faire des choses qui dérangent les utilisateurs (et dans certains cas, ces pratiques sont contraires à nos lois), que les problèmes soient réglés ou non. »

5. Le rapport annuel du Commissariat pour 2017-2018 fait référence à la « crise de Facebook et Cambridge Analytica ». On peut y lire que « cet incident a ouvert les yeux de bien des gens en montrant que le temps de l’autoréglementation est terminé ».

6. Dans un courriel daté du 24 octobre 2018, le commissaire a déclaré : « De manière générale, je dirais que nous devrions frapper fort sans donner l’impression d’avoir jugé prématurément les faits de la plainte dont nous sommes saisis. Toutefois, comme je l’ai déclaré lors de mon témoignage devant le [Comité permanent de l’accès à l’information, de la protection des renseignements personnels et de l’éthique de la Chambre des communes] il y a plusieurs mois déjà (et qui n’est pas reproduit ici), bien que l’on ne puisse préjuger de la question, nous pouvons prendre acte que M. Zuckerberg a admis que [Facebook] avait commis un “grave abus de confiance”. »

7. Le 21 décembre 2018, le commissaire a envoyé un courriel interne contenant un lien vers un article de The Guardian intitulé « Violating privacy is in Facebook’s DNA ». Dans ce courriel, le commissaire a indiqué qu’il s’agissait d’une « autre lettre d’opinion percutante selon laquelle le consentement n’était pas valable ».

8. Le commissaire a envoyé de nombreux autres courriels dans lesquels il commente des lettres d’opinion et des articles parus dans les médias et portant préjudice à Facebook.

[109] Facebook affirme également que le Commissariat avait un objectif accessoire, tentant de miser sur l’enquête pour élargir la portée des pouvoirs qui lui sont conférés.

[110] Le critère général relatif à la crainte raisonnable de partialité comporte une question de perception. Selon ce critère, il convient de se demander si une personne bien renseignée qui étudierait la question en profondeur, de façon réaliste et pratique, en viendrait à la conclusion que, selon toute vraisemblance, le décideur ne rendra pas une décision juste (Committee for Justice and Liberty c L’Office national de l’énergie, [1978] 1 RCS 369 au 394).

[111] Le critère que la Cour a appliqué dans les cas de personnes qui remplissent des fonctions administratives ou d’enquête et non des fonctions juridictionnelles est celui de l’esprit fermé (Shoan c Canada (Procureur général), 2016 CF 1003 aux para 46-47). La question est donc de savoir si le commissaire a fait preuve de fermeture d’esprit en ce sens qu’il avait établi d’avance l’issue de l’enquête.

[112] Les allégations de Facebook ne répondent pas au critère relatif à la crainte de partialité. En plus de les extrapoler, Facebook fait fi des divers rôles et obligations légaux que le Parlement a confiés au commissaire. Au nombre des fonctions du commissaire prévues par la loi, mentionnons celle d’agir en tant qu’enquêteur et que demandeur devant la Cour, ainsi qu’en tant que conseiller politique qui doit s’acquitter, à l’égard du Parlement, d’obligations redditionnelles particulières au sujet de l’efficacité du régime législatif (voir par exemple la Loi sur la protection des renseignements personnels, art 38, 39(1); et LPRPDE, art 25).

[113] Facebook fonde son argumentation sur une lecture sélective du dossier qui ne permet pas de conclure que le commissaire a fait preuve de fermeture d’esprit. Les communications que Facebook conteste démontrent que le commissaire était conscient de son rôle bivalent et au fait de ses obligations légales. Elles démontrent également que le commissaire a gardé l’esprit ouvert de manière à ne pas établir d’avance l’issue de l’enquête à mauvais droit.

E. La demande au titre de la LPRPDE constitue-t-elle un recours subsidiaire adéquat à la demande de Facebook?

[114] Le commissaire souligne que, un contrôle judiciaire étant un recours tributaire d’un pouvoir discrétionnaire, les tribunaux peuvent rejeter une demande à cet égard s’il existe un recours subsidiaire adéquat. Selon le commissaire, Facebook peut présenter ses arguments au sujet de l’enquête et du rapport dans le contexte de la demande au titre de la LPRPDE.

[115] S’agissant de la LPRPDE, le commissaire se fonde sur la décision Kniss. Dans cette affaire, le demandeur sollicitait le contrôle judiciaire de la décision du commissaire de ne pas examiner sa plainte. Notre Cour a cependant conclu qu’un recours subsidiaire adéquat, prévu à l’article 14 de la LPRPDE, était à la disposition du plaignant. Selon cet article, le plaignant peut présenter une demande à notre Cour au sujet d’une enquête à laquelle il a été mis fin, et solliciter les mêmes réparations que celles que le commissaire peut solliciter en vertu de l’alinéa 15a).

[116] Dans l’arrêt Canada (Revenu national) c JP Morgan Asset Management (Canada) Inc, 2013 CAF 250, la Cour d’appel fédérale explique la doctrine du recours subsidiaire adéquat :

[86] La doctrine et la jurisprudence en droit administratif formulent ce principe de maintes manières : un autre for[um] approprié, la doctrine de l’épuisement des recours, la doctrine interdisant le fractionnement ou la division des procédures, le principe interdisant le contrôle judiciaire interlocutoire et l’objection contre l’exercice prématuré du recours en contrôle judiciaire. Toutes ces formules expriment la même idée : le justiciable a précipitamment introduit devant le juge un recours en contrôle judiciaire alors qu’un recours approprié et efficace était possible ailleurs ou à un autre moment.

(au para 86)

[117] La Cour suprême du Canada a énoncé plusieurs facteurs pertinents à prendre en considération lors de l’évaluation du caractère adéquat d’un recours subsidiaire, notamment :

1. la nature de l’erreur alléguée;

2. la nature de l’autre tribunal et sa faculté d’accorder une réparation;

3. l’existence d’un recours adéquat et efficace devant le tribunal déjà saisi du litige;

4. la célérité;

5. l’expertise relative de l’autre décideur;

6. l’utilisation économique des ressources judiciaires et les coûts.

(Strickland c Canada (Procureur général), 2015 CSC 37 au para 42 [Strickland])

[118] Cette liste ne se veut pas exhaustive, et la pertinence des facteurs peut varier dans le contexte d’une affaire donnée (Strickland, au para 43). Il n’est pas nécessaire que le recours subsidiaire soit identique; selon le critère, il suffit de déterminer si le recours subsidiaire permet, dans les circonstances, de trancher les griefs du demandeur (Strickland, au para 42).

[119] J’estime que la demande au titre de la LPRPDE ne constitue pas un recours subsidiaire adéquat pour trancher les griefs de Facebook. La nature de la demande du commissaire diffère fondamentalement de celle de la demande de Facebook. La demande au titre de la LPRPDE met l’accent sur les pratiques de Facebook et vise à savoir si cette dernière a agi de manière illégale. Quant à la demande de Facebook, elle met l’accent sur les pratiques du Commissariat dans le but de savoir si ce dernier a agi de manière illégale. Qui plus est, des réparations ne pourraient être accordées à Facebook dans le contexte de la demande au titre de la LPRPDE puisque, pour le défendeur, il s’agit essentiellement de tenter d’échapper aux réparations que le commissaire cherche à obtenir.

[120] La présente affaire diffère de celle dans la décision Kniss. Dans l’affaire Kniss, c’est un plaignant qui a sollicité un contrôle judiciaire, et non l’organisation visée par l’enquête. L’article 14 de la LPRPDE offre aux plaignants la possibilité de lancer une nouvelle procédure judiciaire, mais une telle possibilité n’est pas offerte aux organisations visées par une enquête.

V. Conclusion

[121] La demande est rejetée.

[122] Sur consentement des parties, les dépens sont adjugés à la partie qui obtient gain de cause pour l’essentiel.

JUGEMENT dans le dossier T-473-20

LA COUR REND LE JUGEMENT suivant :

1. La demande est rejetée.

2. Les dépens fixés à 40 000 $, incluant les taxes et les intérêts, sont adjugés en faveur du défendeur.

« Michael D. Manson »

COUR FÉDÉRALE

AVOCATS INSCRITS AU DOSSIER

DOSSIER :	T-473-20
INTITULÉ :	FACEBOOK, INC. c COMMISSAIRE À LA PROTECTION DE LA VIE PRIVÉE DU CANADA
LIEU DE L’AUDIENCE :	Toronto (Ontario)
DATE DE L’AUDIENCE :	LE 1er MARS 2023
JUGEMENT ET MOTIFS :	LE JUGE MANSON
DATE DES MOTIFS ET DU JUGEMENT :	LE 13 avril 2023

COMPARUTIONS

MICHAEL A. FEDER GILLIAN KERR DANIEL G. C. GLOVER CONNOR BILDFELL BARRY B. SOOKMAN	POUR LA DEMANDERESSE
BRENDA VAN NIEJENHUIS ANDREA GONSALVES JUSTIN SAFAYENI LOUISA GARIB REBECCA DE SANCTIS	POUR LE DÉFENDEUR

AVOCATS INSCRITS AU DOSSIER

McCARTHY TÉTRAULT S.E.N.C.R.L., s.r.l. VANCOUVER (COLOMBIE-BRITANNIQUE)	POUR LA DEMANDERESSE
STOCKWOODS LLP TORONTO (ONTARIO)	POUR LE DÉFENDEUR