Une personne allègue que sa banque lui a envoyé des renseignements personnels dans des enveloppes non scellées

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-197

[Principes 4.7 et 4.7.1, annexe 1]

Plainte

Une personne a allégué que sa banque lui avait envoyé des copies de demandes d'investissement dans deux enveloppes non scellées. Par conséquent, elle était inquiète de la protection de ses renseignements personnels.

Résumé de l'enquête

La plaignante a déclaré qu'elle avait reçu de la banque deux enveloppes non scellées, contenant des copies de renseignements financiers la concernant. Elle était particulièrement troublée par le fait que des tierces parties aient pu voir ces documents et qu'elles puissent obtenir un emploi en se servant de ses renseignements personnels. Elle était également préoccupée des pénalités qu'elle pourrait encourir le cas échéant. La plaignante n'a pas conservé les enveloppes.

La banque a confirmé qu'elle avait posté deux transactions à la plaignante, mais dans une enveloppe, et non deux. Elle a expliqué que le courrier de départ de la succursale était scellé et estampillé à son installation extérieure, et que les enveloppes étaient placées dans une machine à sceller. Selon la banque, il était possible, mais rare qu'une enveloppe non scellée sorte du système. La banque dispose d'un processus d'assurance de la qualité qui comporte l'inspection d'un certain nombre d'enveloppes traitées avant qu'elles soient postées. La banque a également déclaré que sa machine fonctionnait correctement à ce moment-là, et qu'elle n'avait pas reçu d'autres plaintes au sujet d'enveloppes non scellées.

En ce qui concerne les préoccupations de la plaignante, il ne pouvait être déterminé s'il y avait eu communication à des tierces parties.

À la suite de la plainte, la banque a rappelé à ses employés de vérifier soigneusement les enveloppes traitées afin de s'assurer qu'elles étaient scellées et estampillées correctement. Selon la banque, au fil de plusieurs conversations téléphoniques, ses représentants se sont excusés auprès de la plaignante, et lui ont offert de changer ses numéros de compte. La plaignante se penche sur cette possibilité.

Conclusions du commissaire

Rendues le 1^er août 2003

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) s'applique à toute installation, tout ouvrage, toute entreprise ou tout secteur d'activité fédéral. Cette plainte était du ressort du commissaire puisqu'une banque est considérée comme une entreprise fédérale.

Application : Le principe 4.7 stipule que les renseignements personnels doivent être protégés par des mesures de sécurité correspondant à leur degré de délicatesse. Il stipule également que les mesures de sécurité doivent protéger les renseignements personnels contre la perte ou le vol ainsi que contre la consultation, la communication, la copie, l'utilisation ou la modification non autorisées et que les organisations doivent protéger les renseignements personnels quelle que soit la forme sous laquelle ils sont conservés.

Dans un cas similaire mettant en cause une autre banque, l'enveloppe en question avait été remise au Commissariat, de sorte qu'on avait pu l'examiner afin de vérifier l'état du scellement et de la colle. Il n'était pas été possible dans ce cas-ci de vérifier l'état du scellement, puisque la plaignante n'avait pas conservé les enveloppes. Par conséquent, la preuve était insuffisante pour que le commissaire conclue que la banque n'avait pas protégé adéquatement les renseignements personnels de la plaignante conformément à ses obligations en vertu des principes 4.7 et 4.7.1.

Le commissaire a conclu que la plainte était non fondée.

Autres considérations

Bien que la preuve était insuffisante pour déterminer si les enveloppes étaient non scellées lorsqu'elles ont été expédiées à la plaignante, la possibilité existe quand même. Par conséquent, le commissaire a recommandé que la banque adopte une politique selon laquelle tout le courrier serait scellé avant de quitter la succursale et d'être acheminé à l'installation postale extérieure. À son avis, si le personnel de l'installation extérieure continue aussi la vérification du scellement des enveloppes de départ, la protection des renseignements personnels des clients sera grandement améliorée.