Une question de responsabilité

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-251

[Principes 4.7 et 4.7.1]

Plainte

Un employé d'une compagnie s'est plaint que son gestionnaire a recueilli de façon inappropriée ses renseignements personnels en interceptant et en lisant un rapport de transmission sur lequel figurait une courte version imprimée d'une lettre confidentielle télécopiée en son nom à un tiers par le représentant syndical du plaignant.

Résumé de l'enquête

La lettre envoyée par télécopieur portait sur une question de nature syndicale distincte entre le plaignant et le gestionnaire. Comme le représentant syndical était pressé, il a expédié la lettre sans page couverture en plus de ne pas être demeuré près du télécopieur pour attendre le rapport de transmission. Il est plutôt retourné à son bureau pour s'affairer à autre chose. Peu de temps après, le gestionnaire s'est rendu au télécopieur pour envoyer une lettre. Il n'a pas utilisé de page couverture, mais est resté au télécopieur pour attendre le rapport de transmission. Pensant qu'il s'agissait du sien, il l'a pris, a constaté que son nom figurait dans le corps de la lettre et s'est donc mis à le lire.

De retour au télécopieur, le représentant syndical a surpris le gestionnaire en train de lire le rapport et lui a demandé de le lui remettre sur-le-champ, car la correspondance contenait des renseignements de nature syndicale. Le gestionnaire a toutefois poursuivi sa lecture jusqu'à la fin avant de lui redonner.

Le télécopieur est situé dans l'aire commune d'un bureau administratif et est accessible à tous. Par courtoisie, la compagnie fournit au représentant syndical l'accès à son télécopieur, qui est également utilisé par les superviseurs.

La compagnie n'a pas de politique officielle en ce qui concerne l'utilisation du télécopieur. Cependant, chacun sait que celui-ci devrait généralement être réservé aux activités et aux affaires de la compagnie. Sur son site intranet, la compagnie encourage les utilisateurs à ne jamais laisser le document original au télécopieur et à demeurer sur place en tout temps lors de l'envoi de renseignements sensibles.

Des pages couvertures sont mises à la disposition des utilisateurs près du télécopieur en question. Bien qu'au moment de l'incident, il n'y avait pas d'affiche avisant le personnel d'utiliser une page couverture, depuis il y en a une.

Selon la compagnie, les circonstances, à savoir les nombreux utilisateurs, l'accès ouvert au bureau et l'accumulation routinière des rapports de transmission dans la corbeille d'arrivée du télécopieur, ne permettent pas aux utilisateurs de s'attendre au respect de leur vie privée lorsqu'ils se servent du télécopieur. La compagnie a affirmé que le gestionnaire n'avait pas l'intention de commettre une indiscrétion lorsqu'il a lu la correspondance qui se trouvait dans la corbeille d'arrivée.

Conclusions

Rendues le 12 décembre 2003

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) s'applique à toute installation, tout ouvrage, toute entreprise ou tout secteur d'activité fédéral. Cette plainte était du ressort de la commissaire adjointe à la protection à la vie privée parce que les compagnies de transport sont des entreprises fédérales au sens de la Loi.

Application : Le principe 4.7 stipule que « les renseignements personnels doivent être protégés au moyen de mesures de sécurité correspondant à leur degré de sensibilité ». Le principe 4.7.1 énonce que « les mesures de sécurité doivent protéger les renseignements personnels contre la perte ou le vol ainsi que contre la consultation, la communication, la copie, l'utilisation ou la modification non autorisées. Les organisations doivent protéger les renseignements personnels quelle que soit la forme sous laquelle ils sont conservés ».

La commissaire adjointe a délibéré comme suit :

• Sur le plan de la Loi, la compagnie a satisfait à ses obligations, qui consistent à fournir des mesures de sécurité adéquates. Des pages couvertures étaient mises à la disposition de tous les utilisateurs, et le site intranet de la compagnie avait conseillé aux employés de prendre des mesures pour protéger leurs renseignements personnels lorsqu'ils se servent du télécopieur. La commissaire adjointe a également constaté que les circonstances rattachées au bureau, soit le fait que le télécopieur soit situé dans une aire ouverte et que de nombreux employés y aient accès ainsi que l'accumulation routinière des rapports de transmission dans la corbeille d'arrivée, rendaient les utilisateurs quelque peu responsables de prendre les précautions nécessaires s'ils comptaient utiliser le télécopieur pour envoyer des renseignements sensibles. La commissaire adjointe a donc conclu que la compagnie respectait les principes 4.7 et 4.7.1 de la Loi.
• Elle a en outre souligné que cette plainte soulevait des questions qui n'étaient pas expressément régies par la Loi, mais qui traitait plutôt de problèmes plus vastes liés à la responsabilité personnelle et au respect de la vie privée. La compagnie soutenait que la responsabilité de cet incident reposait sur le représentant syndical, une assertion que la commissaire adjointe a approuvée en partie. Le représentant aurait effectivement dû être plus prudent afin de protéger les renseignements personnels du plaignant en utilisant une page couverture et en demeurant près du télécopieur. Le fait qu'il ait choisi d'utiliser le télécopieur pour transmettre la lettre était également contestable.
• Néanmoins, les gestes posés par le gestionnaire manifestent clairement un certain mépris pour le droit à la vie privée. Même s'il est compréhensible qu'il prenne le rapport de transmission (puisqu'il croyait qu'il s'agissait du sien) et lui jette un coup d'oeil, le gestionnaire aurait rapidement constaté que le document ne lui appartenait pas. La commissaire adjointe a indiqué qu'il est allé trop loin en continuant de lire le contenu du rapport jusqu'à la fin avant de le remettre au représentant syndical.
• Toutefois, comme le représentant n'a pas pris toutes les précautions nécessaires, la commissaire adjointe n'a pu donner tort à la compagnie.

Par conséquent, elle a conclu que la plainte était non fondée.

Autres considérations

Nonobstant le verdict, la commissaire adjointe a recommandé que la compagnie prenne des mesures pour rappeler à ses employés l'importance de protéger et de respecter la vie privée au sein du milieu de travail.