Une banque a communiqué des renseignements personnels de tiers sans qu'ils n'en soient informés ou qu'ils n'y consentent

<>>Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-129

[Principe 4.5 de l'annexe 1]

Plainte

Une personne s'est plainte qu'en réponse à sa demande d'accès à l'information, une banque a communiqué les renseignements personnels de cinq autres personnes, y compris leur nom, leur numéro de compte, le solde de leur compte et le compte où l'argent avait été transféré.

Résumé de l'enquête

La banque n'a pas nié le fait qu'elle avait communiqué des renseignements personnels d'autres personnes, qu'elle l'avait fait sans leur consentement et qu'elle ne les avait pas informés de leur communication. Même si l'employée avait reçu une formation sur les politiques relatives à la protection de renseignements personnels de la banque, elle a communiqué par erreur au plaignant des renseignements personnels concernant d'autres personnes. La banque a révisé ses politiques et ses procédures relatives à la protection de renseignements personnels avec l'employée et était convaincue qu'il s'agissait d'un incident isolé.

Conclusions du commissaire

Rendues le 4 mars 2003

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques s'applique à tous les ouvrages, entreprises ou secteurs d'activités fédéraux. Le commissaire avait compétence dans cette affaire parce qu'une banque est un ouvrage, une entreprise ou un secteur d'activités fédéral selon la définition de la Loi.

Application : Le principe 4.5 énonce que les renseignements personnels ne doivent pas être utilisés ou communiqués à des fins autres que celles auxquelles ils ont été recueillis, à moins que la personne concernée n'y consente ou que la loi ne l'exige.

Il était clair et indéniable que la banque avait communiqué des renseignements personnels de personnes sans qu'elles n'en aient connaissance ou sans leur consentement pour des fins autres que celles auxquelles ils avaient été recueillis. Le commissaire a dont conclu que la banque contrevenait au principe 4.5.

Il a conclu que la plainte était fondée.

Autres considérations

Le commissaire a recommandé que la banque informe les clients visés de la communication de renseignements personnels et qu'elle prenne des mesures pour éviter toute communication ultérieure de leurs renseignements personnels.