Prétendue communication de renseignements sur un compte et refus d'accès aux dossiers

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-240

[Article 2]

Plainte

Une personne s'est plainte que sa banque

1. avait indûment communiqué des renseignements sur un compte à deux personnes et
2. lui avait refusé l'accès aux dossiers relatifs à son compte.

Résumé de l'enquête

Une ancienne cliente de la petite entreprise de la plaignante a révélé le solde du compte en banque de cette dernière devant plusieurs témoins lors d'une médiation par un tribunal et a déclaré en avoir pris connaissance à l'écran d'un ordinateur dans une succursale de la banque de la plaignante. Par la suite, la plaignante a appris que son ancien propriétaire, qui est son concurrent en affaires, avait affirmé qu'un employé de la banque lui avait montré à l'écran d'un ordinateur les données figurant à son compte, y compris le solde. Le propriétaire a plus tard nié ce fait.

Au cours de l'enquête, le Commissariat a découvert que l'information ayant été prétendument communiquée, ainsi que celle demandée au sujet du compte, ne concernait que le compte d'affaires de la plaignante. La plaignante était seule à la tête de la société privée immatriculée ; toutefois, la fiche de son compte d'affaires n'affichait mentionnait pas son nom, mais seulement le nom et le numéro d'immatriculation de l'entreprise.

Conclusions

Rendues le 4 décembre 2003

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) s'applique à toutes les installations, tous les ouvrages, toutes les entreprises et tous les secteurs d'activité fédéraux. Cette plainte était du ressort de la commissaire adjointe à la protection de la vie privée parce que les banques sont des entreprises fédérales au sens de la Loi.

Application : Selon l'article 2 de la Loi, on entend par renseignements personnels « tout renseignement concernant un individu identifiable, à l'exclusion du nom et du titre d'un employé d'une organisation et des adresse et numéro de téléphone de son lieu de travail ».

Comme l'entreprise de la plaignante était constituée en personne morale, la commissaire adjointe a jugé que les renseignements en cause ne pouvaient être considérés comme des renseignements personnels en vertu de l'article 2. Compte tenu de ce fait, les dispositions de la Loi ne s'appliquaient pas.

La commissaire adjointe a conclu que les plaintes étaient non fondées.

Autres considérations

Au cours de l'enquête, l'ancienne cliente a confirmé avoir aperçu les renseignements sur le compte de la plaignante à l'écran d'un ordinateur à la banque. La commissaire adjointe a noté que si les renseignements avaient été d'ordre personnel plutôt que commercial, elle aurait conclu que la banque n'avait pas respecté les exigences du principe 4.7 de l'Annexe 1 de la Loi qui stipule que les renseignements personnels doivent être protégés au moyen de mesures de sécurité correspondant à leur degré de sensibilité. Elle a donc recommandé que la banque revoie sa politique et ses méthodes en matière de sécurité de l'information et prenne les mesures nécessaires pour que l'accès à tout ordinateur permettant d'obtenir des renseignements personnels sur les clients soit réservé aux employés autorisés de la banque.