Le coffret de sûreté d'un couple ouvert par erreur

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2006-344

(Principes 4.6 et 4.7.1 de l'Annexe 1)

Un coffret de sûreté ouvert et une vidéo de mariage manquante sont à l’origine d’une plainte déposée devant la commissaire adjointe à la protection de la vie privée. La succursale bancaire d'un couple a ouvert par erreur leur coffret de sûreté. La commissaire adjointe estimait que les mesures de sécurité de la banque n'étaient pas adéquates dans le cas en question, et la banque a adopté plusieurs mesures de renforcement de sa sécurité qui ont été jugées satisfaisantes par la commissaire adjointe. Même si le couple a également affirmé qu’on a perdu leur vidéo de mariage, qui, selon eux, se trouvait dans le coffret, au cours du transfert du contenu du coffret dans un sac scellé à cadenas, la commissaire adjointe n'a pu déterminer avec certitude que la vidéo s'y trouvait réellement.

Voici un résumé du déroulement de l’enquête et les conclusions rendues par la commissaire adjointe.

Résumé de l’enquête

Les plaignants avaient placé un certain nombre d'objets dans un coffret de sûreté à leur succursale bancaire locale. Un jour, un responsable de la succursale leur a téléphoné pour les informer que leur coffret avait été ouvert par erreur. Ils se sont présentés à la succursale et ont appris que le contenu de leur coffret avait été transféré dans un sac, qui avait été scellé et placé dans un coffre-fort.

Les plaignants ont indiqué qu'on leur avait tout d'abord dit que les coffrets de sûreté d'une autre succursale avaient été transférés à leur propre succursale. En conséquence, deux coffrets de sûreté portaient le même numéro. Dans les observations qu'elle a présentées au Commissariat, la banque a précisé que ce n'était pas le cas : le numéro de coffret de sûreté des plaignants et celui de l'autre client n'étaient pas les mêmes. En fait, l'autre client avait anciennement loué le coffret no 21, mais avait changé par la suite de coffret et de numéro. Toutefois, ce changement n'a pas été consigné dans la carte de signature du client, unique document indiquant le nom et le numéro de coffret du client. Les employés doivent vérifier si le nom et la signature du client correspondent à ceux figurant sur la carte de signature et prendre en note le numéro de coffret indiqué sur cette carte.

Lorsque l'autre client n'a pu accéder au coffret 21, l'employé de la banque a vérifié la carte de signature du client qui indiquait à tort que le coffret 21 avait été loué à ce client. Croyant que le problème concernait la clé, la banque a téléphoné à un serrurier qui a commencé à forer le coffret. C'est à ce moment-là qu'on s'est rendu compte que le coffret n'appartenait pas au client, mais bel et bien aux plaignants. Les employés sont entrés dans la chambre forte de la banque et ont vidé le contenu du coffret dans un sac à sceau de sécurité. Le sac a été fermé, scellé, estampillé et signé, comme l'exige la politique de la banque.

Selon les plaignants, quelques jours après avoir été mis au courant de l'incident et avoir eu accès au contenu de leur coffret de sûreté, ils se sont rendus compte que leur vidéo de mariage ne figurait pas parmi les objets qui avaient été transférés du coffret dans le sac. Les plaignants n'ont pas fait mention de cette vidéo lorsqu'ils se sont présentés à la banque après l'incident. Néanmoins, ils étaient convaincus que la vidéo se trouvait dans le coffret de sûreté. Même si la banque leur a offert un certain dédommagement, les plaignants estimaient que ce n'était pas suffisant pour compenser la perte de la protection de leurs renseignements personnels. Ils ont communiqué avec la banque et ont exprimé leurs préoccupations.

La banque a effectué une recherche, mais n'a pas pu trouvé de vidéo. Elle estimait que le contenu du coffret de sûreté avait été entièrement placé dans le sac de sécurité. Les employés de la banque qui ont supervisé le transfert des objets du coffret de sûreté n'ont aperçu aucune vidéo et ont confirmé avoir placé directement tous les objets se trouvant dans le coffret dans le sac de sécurité. Les plaignants n'ont fait mention de la perte de la vidéo que plusieurs jours après s'être présentés à la banque et avoir eu accès au contenu de leur coffret de sûreté.

À la suite de cet incident, une réunion a été organisée avec les employés concernés de la succursale afin d'examiner les politiques et les procédures concernant le forage des coffrets de sûreté. Deux employés ont examiné l'ensemble des coffrets de sûreté, des contrats de location et des cartes de signature de la succursale. Les employés ont fait correspondre tous les coffrets aux contrats de location et aux cartes de signature.

La succursale a également mis en place un système informatique qui permet de saisir tous les numéros de coffret de la succursale dans une base de données. Toutes les demandes de modification concernant les contrats de location habituels ou de location d’un nouveau coffret de sûreté doivent être transmises à l'un des deux employés ayant mené l'examen. On a informé tous les employés de la succursale que seuls ces employés sont habilités à établir ou à annuler des contrats de location concernant les coffrets de sûreté et à accéder à la base de données informatique pour entrer des modifications.

Conclusions

Rendues le 17 juillet 2006

Application : Le principe 4.6 indique que les renseignements personnels doivent être aussi exacts, complets et à jour que l’exigent les fins auxquelles ils sont destinés. Selon le principe 4.7.1, les mesures de sécurité doivent protéger les renseignements personnels contre la perte ou le vol ainsi que contre la consultation, la communication, la copie, l'utilisation ou la modification non autorisées. Les organismes doivent protéger les renseignements personnels quelle que soit la forme sous laquelle ils sont conservés.

Pour rendre sa décision, la commissaire adjointe s'est appuyée sur les considérations suivantes :

• Il ne fait pas de doute que le coffret de sûreté des plaignants a été ouvert par erreur.
• La Loi sur la protection des renseignements personnels et les documents électroniques exige des organismes qu'ils mettent en place des mesures de sécurité adéquates pour éviter l'accès non autorisé à des renseignements personnels et pour conserver des renseignements personnels exacts.
• La banque avait adopté des procédures qui visaient à garantir qu'un client ne pouvait ouvrir que le coffret qu'il avait loué. Le numéro du coffret qu'un client loue est consigné sur la carte de signature du client. Lorsque le client se présente à la banque pour ouvrir son coffret, l'employé de la banque est tenu de vérifier la carte de signature du client.
• Dans la présente affaire, si la carte de signature de l'autre client avait indiqué les bons renseignements, il n’aurait pas été possible d’accéder au coffret des plaignants. En conséquence, la commissaire adjointe a déterminé que, en raison de la négligence de la banque, le coffret de sûreté des plaignants a été ouvert par erreur et que les principes 4.6 et 4.7.1 ont été violés.
• La banque a reconnu qu'un employé a commis une faute en omettant de mettre à jour la carte de signature de l'autre client et a convenu qu'elle devait améliorer ses procédures. Depuis, la succursale en question a adopté plusieurs mesures afin de s'assurer que les renseignements qu'elle détient concernant les coffrets de sûreté sont exacts; elle a donc renforcé ses mesures de sécurité.
• La commissaire adjointe estimait que ces mesures réduiraient au minimum la possibilité qu'une telle situation se produise de nouveau.

En conséquence, elle a considéré que la question concernant la sécurité et l'exactitude était réglée.

En ce qui concerne l'affirmation selon laquelle la vidéo du mariage du couple a été perdue, la banque a cherché cette vidéo, mais n'a pas pu la trouver. Aucun des employés présents au moment du transfert ne se souvient avoir vu de vidéo. Les plaignants ont toutefois insisté sur le fait que la vidéo était bel et bien dans le coffret. Par contre, on n'a pas pu déterminer avec certitude si la vidéo s’y trouvait réellement.