Importance mise sur le besoin d’établir des procédures pour le traitement de l’accès aux renseignements personnels

Résumé de conclusions d’enquête en vertu de la LPRPDE n^o 2007-367

[Principes 4.1.4c), 4.9, paragraphes 8(3) et 8(5)]

Le plaignant avait demandé accès à ses renseignements personnels à un avocat qui représentait une entreprise avec laquelle il était en litige. Même si dans cette affaire le plaignant n’a pas obtenu les renseignements personnels qu’il avait demandés (l’avocat qui détenait ces renseignements avait apporté ses dossiers en quittant le cabinet d’avocats), ledit cabinet d’avocats a mis en œuvre des procédures pour garantir que, si un employé reçoit une demande d’accès à des renseignements personnels, le responsable de la protection de la vie privée en soit informé et la demande, traitée. La commissaire adjointe considère la question résolue.

Voici un résumé du déroulement de l’enquête et des délibérations de la commissaire adjointe.

Résumé de l’enquête

Le plaignant a envoyé un courrier électronique à l’avocat dudit cabinet, dans lequel il demandait des documents le concernant. Dans son message, il citait la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi). L’avocat en question avait représenté une organisation avec laquelle le plaignant était en litige.

L’avocat a répondu quatre jours plus tard, indiquant qu’il ne représentait pas le plaignant et qu’il n’avait ni consentement, ni autorisation légale lui permettant de communiquer les renseignements que désirait obtenir le plaignant.

Quelques semaines plus tard, le plaignant a envoyé une lettre à l’avocat pour lui rappeler qu’en vertu de la Loi, il devait respecter sa demande. Peu après, l’avocat a de nouveau refusé de communiquer les renseignements.

Le cabinet d’avocats où cet avocat avait travaillé a été mis au fait de la demande du plaignant quand il a reçu un avis de plainte du Commissariat. Ledit avocat n’avait pas transmis la demande du plaignant au responsable de la protection de la vie privée du cabinet. Il avait depuis quitté le cabinet et avait apporté tous les dossiers de ses clients avec lui. Le cabinet d’avocats a indiqué qu’il n’avait plus aucun dossier concernant le plaignant en sa possession.   

À la demande du Commissariat, le cabinet d’avocats a envoyé un message à tout son personnel pour lui rappeler que toute demande d’accès à des renseignements personnels en vertu de la Loi doit être acheminée au responsable de la protection de la vie privée du cabinet.

Le Commissariat a informé le plaignant qu’il pouvait demander à avoir accès à ses renseignements personnels au cabinet où travaille maintenant l’avocat. À ce jour, le plaignant n’a fait aucune demande de ce genre.

Conclusions

Rendues le 19 janvier 2007

Application : Selon le principe 4.1.4c), les organisations doivent assurer la mise en œuvre des politiques et des pratiques destinées à donner suite aux principes, y compris la formation du personnel et la transmission au personnel de l’information relative aux politiques et aux pratiques de l’organisation. Le principe 4.9 expose qu’une organisation doit informer toute personne qui en fait la demande de l’existence de renseignements personnels qui la concernent, de l’usage qui en est fait et du fait qu’ils ont été communiqués à des tiers, et lui permettre de les consulter. Le paragraphe 8(3) stipule que l’organisation saisie de la demande doit y donner suite avec la diligence voulue et, en tout état de cause, dans les trente jours suivant sa réception. Le paragraphe 8(5) expose que faute de répondre dans le délai, l’organisation est réputée avoir refusé d’acquiescer à la demande.

Pour rendre sa décision, la commissaire adjointe s’est appuyée sur les considérations suivantes :

• Au moment de faire sa demande, le plaignant s’est adressé directement à l’avocat qui représentait une organisation avec laquelle il était en litige. Même si l’avocat a répondu bien avant le délai de trente jours stipulé dans le paragraphe 8(3) de la Loi, il n’a pas traité la demande; il a plutôt carrément refusé de communiquer au plaignant toute forme de renseignements. 
• Il y avait peut-être de bonnes raisons pour refuser cet accès. La Loi prévoit des exemptions qui permettent aux organisations de refuser l’accès à des renseignements personnels, mais dans cette affaire, aucune d’elles n’a été utilisée puisque la demande du plaignant n’a pas été transmise au responsable de la protection de la vie privée du cabinet afin qu’il puisse la traiter et lui répondre. La commissaire adjointe s’est donc dite convaincue que l’organisation avait contrevenu au principe 4.9.
• L’enquête a révélé que le cabinet d’avocats n’a plus aucun renseignement personnel concernant le plaignant; par conséquent, elle ne peut traiter sa demande.
• Le cabinet d’avocats dans cette affaire a rappelé à son personnel que toute demande de renseignements personnels doit être acheminée au responsable de la protection de la vie privée pour qu’il en fasse le traitement. La commissaire adjointe a conclu que cette mesure est conforme au principe 4.1.4c), et qu’elle permettra à ce cabinet d’avocats de répondre à de futures demandes d’accès à des renseignements personnels conformément à ses obligations en vertu du principe 4.9.

La commissaire adjointe a conclu que la plainte était résolue.