Une compagnie de transport a communiqué des renseignements personnels concernant un employé sans son consentement

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-228

[Principes 4.3, 4.5 et 4.7]

Plainte

Une personne qui est employée d'une compagnie de transport s'est plainte qu'un collègue de travail aurait trouvé une lettre la concernant dans un cartable de référence réservé aux employés. La lettre résumait un entretien que la personne avait eu avec ses supérieurs concernant des manquements à son travail.

Résumé de l'enquête

L'enquête a confirmé que la lettre en question avait été trouvée dans un cartable disposé sur une étagère sur les lieux du travail, disponible et accessible à tous les employés. C'est en feuilletant le cartable que le collègue de travail a découvert des lettres qui faisaient état d'informations personnelles de trois employés de la compagnie.

La compagnie a confirmé que, de façon générale, les documents contenant des renseignements personnels d'employés étaient détruits lorsque les démarches appropriées avaient été prises et qu'il n'y avait pas de suivi spécifique à effectuer. Ne pouvant expliquer les raisons pour lesquelles de tels documents ont été retrouvés sur les lieux de travail, il a été suggéré que des classeurs aient pu être égarés au cours du déménagement d'un projet ou encore que certains classeurs n'aient pas été déménagés et aient été rouverts quelques années plus tard.

Conclusions

Rendues le 4 novembre 2003

Compétence : Depuis le 1er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) s'applique à toute installation, tout ouvrage, toute entreprise ou tout secteur d'activité fédéral. La commissaire adjointe à la protection de la vie privée avait compétence dans cette cause parce qu'une compagnie de transport est une entreprise fédérale selon la définition de la Loi.

Application : Le principe 4.3 de l'annexe 1 de la Loi stipule que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire. Le principe 4.5 stipule que les renseignements personnels ne doivent pas être utilisés ou communiqués à des fins autres que celles auxquelles ils ont été recueillis. Il stipule également qu'on ne doit conserver les renseignements personnels qu'aussi longtemps que nécessaire pour la réalisation des fins déterminées. Le principe 4.7 stipule que les renseignements personnels doivent être protégés au moyen de mesures de sécurité correspondant à leur degré de sensibilité.

À la suite de l'enquête, la commissaire adjointe a considéré que la compagnie a dérogé aux principes 4.3 et 4.5 puisque copie de cette lettre a été trouvée sur les lieux du travail, accessible à tous les employés. La compagnie a également enfreint le principe 4.7 puisque les renseignements personnels contenus à cette lettre requéraient une protection toute particulière, constituant des informations d'une grande sensibilité. L'enquête a fait ressortir des lacunes au niveau des mesures de sécurité pour la protection de tels documents.

La commissaire adjointe a, par ailleurs, salué l'initiative de la compagnie d'avoir adressé une lettre à la personne au cours de l'enquête, exprimant ses regrets qu'un tel incident se soit produit.

La commissaire adjointe a conclu que la plainte était fondée.