Divulgation accidentelle par Santé Canada

Plainte déposée en vertu de la Loi sur la protection des renseignements personnels

Résumé de la plainte

1. Le présent rapport de conclusions concerne une plainte déposée à l'initiative du commissaire contre Santé Canada (SC) en vertu de la Loi sur la protection des renseignements personnels (la Loi). Cette plainte est relative à l'envoi par SC de 41 514 lettres aux clients du « Programme d'accès à la marihuana à des fins médicales » (PAMFM) dans des enveloppes à fenêtre qui exposaient clairement le nom du Programme à la vue de tous.

Contexte

2. Le 21 novembre 2013, SC a publié sur son site Web un avis du sous-ministre indiquant que le Ministère avait « récemment envoyé environ 40 000 lettres d'information aux personnes intéressées par les changements qui seront apportés au Programme d'accès à la marihuana à des fins médicales ». L'avis mentionnait également qu'« en raison d'une erreur administrative, l'étiquette des enveloppes indiquait qu'elles avaient été envoyées par le Programme. Santé Canada n'agit habituellement pas de cette façon ».
3. Le Commissariat à la protection de la vie privée du Canada (le Commissariat) a déterminé qu'il y avait des motifs raisonnables de déposer, au nom du commissaire, une plainte contre SC.
4. Le Commissariat a, par conséquent, déposé une plainte contre SC le 5 décembre 2013, conformément au paragraphe 29(3) de la Loi.
5. L'enquête du Commissariat visait à déterminer si SC avait enfreint les dispositions de la Loi relatives à la communication de renseignements personnels lorsqu'il a inclus le nom du Programme dans l'adresse de l'expéditeur alors que celle-ci était clairement visible au travers de la fenêtre de l'enveloppe.
6. Le Commissariat a également reçu 339 plaintes portées contre SC par des personnes ayant reçu la lettre en question. Plutôt que de mener une enquête distincte sur chaque plainte, le Commissariat a décidé que la plainte du commissaire ferait l'objet d'une enquête au nom de tous les plaignants. Les résultats de cette enquête sont par conséquent communiqués aux 339 plaignants.
7. Depuis 2001, SC autorise sur ordonnance la consommation de la marihuana à des fins thérapeutiques. Une fois l'autorisation obtenue en vertu du Règlement sur l'accès à la marihuana à des fins médicales (RAMFM), les personnes concernées pouvaient se procurer légalement de la marihuana séchée de trois façons :
   1. en présentant une demande de marihuana séchée directement à SC en vertu du RAMFM;
   2. en présentant une demande de licence de production à des fins personnelles;
   3. en désignant une personne titulaire d'une licence de production d'en faire la culture en leur nom.
8. En réponse aux préoccupations de divers intervenants selon lesquelles le Programme pouvait donner lieu à des abus, le gouvernement du Canada a abrogé le RAMFM le 31 mars 2014 et adopté un nouveau règlement, le Règlement sur la marihuana à des fins médicales (RMFM). SC a déclaré que ce nouveau règlement a pour but de traiter, dans la mesure du possible, la marihuana comme tout autre stupéfiant utilisé à des fins médicales en créant les conditions propices au développement d'une industrie commerciale responsable de sa production et de sa distribution. Par conséquent, en vertu du RMFM, on ne peut obtenir désormais de la marihuana à des fins médicales que par l'entremise de producteurs commerciaux autorisés.
9. À la suite de ces changements, SC a rédigé une lettre et un document « Questions et réponses » à l'attention des clients afin de les aviser des modifications à venir.

Résumé des faits

10. Le 18 juillet 2013, SC et la Société canadienne des postes (SCP) ont établi, par la conclusion d'un protocole d'entente (PE), le cadre permettant la gestion de l'envoi postal de trousses d'information de SC à tous les clients du PAMFM.
11. L'enquête a révélé que, le 24 octobre 2013, SC a fourni des enveloppes préimprimées à la SCP. L'adresse de l'expéditeur ne comprenait pas le nom du Programme, ni la vignette postale^{Note de bas de page 1}. Dans ses observations, SC a expliqué que la SCP l'a informé le 30 octobre 2013 que les enveloppes fournies n'étaient pas compatibles avec la machine utilisée par la SCP pour les envois postaux de masse.
12. Étant donné que SC souhaitait envoyer ces lettres d'information le plus tôt possible, la SCP a recommandé d'utiliser des enveloppes génériques à fenêtre surdimensionnées. Ces enveloppes permettaient de plier la lettre de manière à ce que l'adresse postale et l'adresse de l'expéditeur soient visibles à travers la fenêtre. Cette solution éliminait l'étape supplémentaire nécessitant l'impression des adresses directement sur les enveloppes ou sur des étiquettes qui seraient par la suite apposées sur chaque enveloppe. SC n'a aucune politique précise concernant les adresses de l'expéditeur et a accepté la recommandation de la SCP pour des raisons pratiques. SC a communiqué le nom complet et l'adresse du Programme en anglais et en français à la SCP, qui a imprimé la trousse d'information conformément aux indications qu'elle a reçues.
13. Le 19 novembre 2013, 41 514 lettres ont été envoyées aux clients du PAMFM. Le nom complet du Programme était clairement visible à travers la fenêtre des enveloppes.
14. Le Commissariat a reçu 339 plaintes des clients du PAMFM qui ont reçu l'envoi postal. Ces derniers déploraient le fait que le nom complet du Programme était visible à travers l'enveloppe.

Résumé des préoccupations des plaignants

15. Les plaignants ont allégué que SC n'a pas protégé leur vie privée en indiquant clairement le nom du PAMFM sur les trousses expédiées, révélant ainsi des renseignements personnels les concernant (c.­à-d. leur identité et leur participation au PAMFM) aux employés de la SCP et aux membres du public.
16. Les plaignants ont cité plusieurs éléments de préoccupation relativement à l'incidence des actions deSC sur leur vie personnelle, plus particulièrement :
    1. Carrière et situation financière : certaines personnes ont dit craindre de perdre leur emploi si leur employeur apprenait qu'elles consomment de la marihuana à des fins médicales.
    2. Réputation : il y a un préjugé social associé à l'utilisation de la marihuana, même à des fins médicales, vu son statut de substance illégale. Certains plaignants ont déclaré avoir reçu des commentaires d'autres personnes en raison de leur association au Programme à la suite de l'envoi postal de SC.
    3. Sécurité : comme le mentionne la lettre que SC a envoyée à ses clients au sujet du Programme : « La pratique actuelle qui consiste à permettre aux personnes de faire pousser de la marihuana pour des raisons médicales pose des risques pour la sûreté et la sécurité des Canadiens. La valeur élevée de la marihuana sur le marché illicite accroît le risque de violation de domicile et de détournement vers le marché noir. » Révéler l'identité d'une personne associée au Programme accroît donc les risques susmentionnés, que SC reconnaît clairement dans cet énoncé.
    4. Santé ou bien-être : le Programme a pour but d'offrir une médication aux personnes qui souffrent de graves problèmes de santé. Nombre de plaignants ont affirmé que le stress découlant de cet incident a nui à leur santé.

Résumé des arguments de Santé Canada

17. SC a soumis quatre principaux arguments expliquant les raisons pour lesquelles l'inclusion du nom du Programme, le PAMFM, dans l'adresse de l'expéditeur ne représente pas une violation de la Loi. Chacun se trouve résumé ci-dessous. L'analyse qu'en a faite le Commissariat est présentée plus loin dans le présent rapport.
    1. Les clients du PAMFM ont communiqué les détails de l'incident aux médias, ce qui a contribué à l'attention qu'ils ont reçue du public. En fait, ils ont eux-mêmes fait part de leur affiliation au PAMFM. Les renseignements qui ont été rendus publics au sujet des destinataires des enveloppes n'ont pas été divulgués par SC.
    2. S'il y a eu communication de renseignements personnels, les destinataires ont consenti implicitement à leur divulgation à la SCP (dans le contexte du courrier ordinaire) et à d'autres personnes, notamment celles qui vivent à la même adresse ou ramassent le courrier pour le destinataire. Par conséquent, leur communication était autorisée en vertu du paragraphe 8(1) de la Loi.
    3. S'il y a eu communication de renseignements personnels, leur divulgation était autorisée en vertu de l'alinéa 8(2)a) de la Loi, car il s'agissait d'un « usage compatible ». Il est raisonnable pour une personne de s'attendre à ce que les renseignements soient communiqués aux fins de correspondance postale lui étant adressée.
    4. SC reconnaît que l'inclusion de « Programme d'accès à la marihuana à des fins médicales » dans l'adresse de l'expéditeur est une erreur administrative, mais affirme aussi que cette solution faisait partie des options raisonnables et légitimes qui lui étaient offertes. De plus, SC souligne que le fait de limiter la quantité de renseignements qu'on peut inclure dans l'adresse de l'expéditeur pourrait avoir une grande incidence sur la façon dont les institutions gouvernementales communiquent par courrier avec les gens.

Méthodologie

18. Le Commissariat a examiné les circonstances entourant l'incident ainsi que le PE conclu entre SC et la SCP. À cette fin, le Commissariat a examiné les arguments de SC en lien avec l'incident. Notre enquête comprenait également un examen des procédures, des lignes directrices et des échanges de courriels entre SC et la SCP. En outre, nous avons rencontré des représentants du Ministère et avons discuté de l'incident avec eux.

Application de la Loi

19. Pour trancher la question, nous avons tenu compte des articles 3 et 8 de la Loi.
20. Selon l'article 3 de la Loi, les renseignements personnels, quels que soient leur forme et leur support, concernent un individu identifiable et se rapportent notamment à sa race, à son origine nationale ou ethnique, à sa couleur, à sa religion, à son âge ou à sa situation de famille, à son éducation, à son dossier médical, à son casier judiciaire, à ses antécédents professionnels ou à ses opérations financières, à tout numéro qui lui est propre, à ses empreintes digitales ou à son groupe sanguin, à ses opinions personnelles, etc.
21. La Loi prévoit que les renseignements personnels peuvent seulement être communiqués avec le consentement de l'individu concerné - conformément au paragraphe 8(1) - ou en vertu de l'une des communications autorisées au paragraphe 8(2).
22. Aux termes de l'alinéa 8(2)a) de la Loi, les institutions fédérales peuvent communiquer les renseignements personnels sans le consentement de la personne concernée aux fins pour lesquelles ils ont été recueillis ou préparés par l'institution ou pour les usages qui sont compatibles avec ces fins.

Analyse

23. Dans le cadre de l'exercice de son mandat, la SCP a établi les exigences générales relatives à l'envoi de la poste. Elle recommande de fournir une adresse de l'expéditeur, car cela permet au destinataire de déterminer la façon de répondre à l'expéditeur du message, au besoin. L'adresse de l'expéditeur ne doit pas nécessairement comprendre le nom de l'expéditeur, mais elle devrait inclure une adresse ou une case postale dans le même format que celui de l'adresse du destinataire.
24. Dans le cas présent, il s'agit de déterminer la manière dont l'adresse de l'expéditeur a été structurée et figurait dans la lettre envoyée par la SCP au nom de SC. L'adresse de l'expéditeur comprend le nom complet du Programme - le PAMFM - et peut être lue conjointement avec le nom et de l'adresse du client.
25. Nous sommes d'avis que la mention « Programme d'accès à la marihuana à des fins médicales » suivie du nom et de l'adresse de la personne représentent des renseignements personnels, conformément à la définition qu'en donne l'article 3 de la Loi. La mention du PAMFM dans l'adresse de l'expéditeur révèle des renseignements se rapportant à une personne identifiable, c'est-à-dire le destinataire. Que l'on puisse supposer que la personne est inscrite au Programme ou qu'elle y est simplement intéressée, la mention du Programme dans l'adresse de l'expéditeur permet d'associer une personne clairement identifiable au PAMFM - un programme qui, seulement par son titre, renvoie explicitement à l'accès à de la marihuana.

Argument n^o 1 de SC : « L'importante couverture médiatique a révélé que les lettres avaient été envoyées à des clients du PAMFM. »

26. SC soutient que c'est l'importante couverture médiatique qui a révélé l'envoi de ces lettres à des clients du PAMFM, et que SC n'a jamais publiquement mentionné, ni avant ni après l'envoi des lettres, que leurs destinataires étaient des clients du PAMFM.
27. SC dit ne pas contester le fait que le nom et l'adresse d'une personne combinés au nom du Programme, le PAMFM, dans l'adresse de l'expéditeur constituent des renseignements personnels. Cependant, il affirme que les destinataires de la lettre ont eux-mêmes attiré l'attention du public sur leur participation au Programme.
28. SC soutient que l'inscription du nom du Programme dans l'adresse de l'expéditeur pourrait simplement indiquer un intérêt à l'égard du Programme, en l'occurrence une demande de renseignements généraux à des fins de recherche, une communication en réponse à une consultation antérieure ou une réponse à une demande d'emploi.
29. SC affirme par conséquent que, dans le cas présent, la communication publique par le Ministère de renseignements personnels portant sur les individus ayant reçu une lettre ne constitue pas une communication non autorisée au sens de la Loi.

Analyse du Commissariat

30. En tant qu'institution assujettie à la Loi, SC a l'obligation légale de protéger les droits fondamentaux à la vie privée des individus en limitant la collecte, l'utilisation et la communication de leurs renseignements personnels.
31. Par conséquent, SC est tenu de protéger les renseignements recueillis aux fins de l'administration de ses programmes, ce qui comprend notamment les renseignements indiquant qu'une personne participe à un programme ou service particulier, qu'elle a présenté une demande à cet effet ou qu'elle a exprimé un intérêt à l'égard de ce programme ou service. Dans le cas présent, le fait que les plaignants sont associés au PAMFM aurait dû être protégé. Le nom du Programme en soi accroît le niveau de sensibilité de l'information et ne devrait être divulgué qu'avec le consentement des personnes ou conformément à l'une des catégories de communication autorisée décrites au paragraphe 8(2) de la Loi.
32. Les gestes des autres, comme le fait que certains individus aient alerté les médias, ne dispensent pas SC de ses obligations en vertu de la Loi.

Argument n^o 2 de SC : Les destinataires de la lettre ont implicitement consenti à la communication de leurs renseignements personnels dans la correspondance - aussi bien à eux-mêmes qu'à la SCP ou toute autre personne vivant à la même adresse - conformément au paragraphe 8(1) de la Loi.

33. SC soutient qu'il n'y a eu aucune communication non autorisée de renseignements personnels, car les clients du Programme pouvaient raisonnablement s'attendre à recevoir de la correspondance du PAMFM.
34. SC a mentionné que tous les destinataires de la lettre étaient des clients du PAMFM et avaient par le passé correspondu avec SC par courrier ordinaire livré par la SCP. SC soutient qu'il reçoit régulièrement des lettres de la part des clients avec leur nom et adresse ainsi que le destinataire « PAMFM » clairement inscrits sur l'enveloppe. Par conséquent, selon SC, il est raisonnable de considérer ces communications antérieures comme un consentement implicite des clients du PAMFM à la divulgation de leurs renseignements personnels à la SCP lorsque SC communique avec eux par la poste.
35. Dans ses observations, SC ne nie pas qu'il y a communication de renseignements personnels lorsqu'une personne vivant à la même adresse que le plaignant a accès à l'enveloppe. Néanmoins, SC fait valoir que les clients du PAMFM ont consenti implicitement à leur divulgation. SC soutient également que la possibilité pour un individu vivant à la même adresse de voir un courrier destiné à un autre est une conséquence inhérente à la colocation et au partage de la même adresse postale.
36. Selon SC, les clients ont, par conséquent, implicitement consenti, en tant que clients du PAMFM, à la divulgation de ces renseignements, et la communication de ceux-ci est autorisée en vertu du paragraphe 8(1) de la Loi.

Analyse du Commissariat

37. Il s'agit ici de déterminer si les clients du PAMFM ont consenti implicitement à recevoir de la correspondance de SC sur laquelle sont visiblement inscrits le nom du Programme - PAMFM - ainsi que leur nom et leur adresse.
38. La Loi sur la protection des renseignements personnels ne parle pas expressément d'un consentement implicite comme le fait la Loi sur la protection des renseignements personnels et les documents électroniques. Cependant, le Commissariat est d'avis que, dans certains cas, le consentement implicite peut être raisonnablement présumé à partir des actions d'une personne. Pour établir s'il est raisonnable de supposer un consentement implicite, le Commissariat tient compte de la sensibilité des renseignements personnels en cause et des attentes raisonnables de la personne dans les circonstances.
39. En partant de ce principe, nous sommes d'avis que SC n'a pas démontré qu'il pouvait invoquer le consentement implicite dans ces circonstances. SC n'a pas fourni de preuves montrant que chacun des clients avait auparavant envoyé à SC du courrier comprenant son nom, son adresse et le nom du PAMFM sur l'enveloppe.
40. En outre, les renseignements communiqués sont de nature très sensible, car ils révèlent la participation potentielle d'une personne au PAMFM. D'ailleurs, les correspondances antérieures de SC relatives à l'administration du PAMFM n'avaient jamais identifié le Programme de manière explicite. En outre, SC admet que la mention du PAMFM était une erreur administrative. En l'absence de preuves contraires, il est difficile de concevoir que les clients du PAMFM s'attendaient à ce que le nom du Programme soit affiché à la vue de tous sur les enveloppes de SC.
41. Nous ne pouvons donc pas conclure que les clients du PAMFM avaient consenti implicitement à la communication de leurs renseignements personnels sur le fondement de la correspondance antérieure avec SC.

Argument n^o 3 de SC : « Il s'agissait d'un usage compatible en vertu de l'alinéa 8(2)a) de la Loi. »

42. SC a indiqué qu'il invoquerait l'usage compatible prévu à l'alinéa 8(2)a) de la Loi pour justifier la communication si le Commissariat rejette l'argument susmentionné du consentement implicite.
43. Selon SC, les renseignements personnels des clients du PAMFM ont été recueillis aux fins de l'administration du Programme, ce qui comprend la correspondance avec ces individus par la poste. Plus particulièrement, SC mentionne qu'il a communiqué les renseignements personnels en question lorsqu'il a envoyé de l'information aux clients sur les changements qui seraient apportés au Programme. SC fait donc valoir que, compte tenu du lien étroit entre les finalités de la collecte et de la communication, il est raisonnable de s'attendre à ce que les renseignements soient communiqués à cette fin aux clients du PAMFM.

Analyse du Commissariat

44. Pour qu'un usage soit jugé « compatible » en vertu de l'alinéa 8(2)a) de la Loi, les renseignements ne doivent pas nécessairement être utilisés aux fins strictes pour lesquelles ils ont été obtenus. Il suffit qu'il existe un lien suffisamment direct entre les fins pour lesquelles les renseignements ont été recueillis et l'usage proposé de sorte qu'on puisse s'attendre raisonnablement à ce que les renseignements soient utilisés de la manière proposée^{Note de bas de page 2}.
45. Le Commissariat reconnaît qu'un individu devrait raisonnablement s'attendre à ce que sa participation au Programme donne lieu à des correspondances avec SC. Cependant, il n'apparaît pas raisonnable qu'on doive s'attendre à ce que SC corresponde avec ses clients d'une manière qui indique leur participation au PAMFM, particulièrement en raison de la nature sensible du Programme. Cela a été confirmé par plusieurs plaignants, en particulier ceux qui vivent dans de petites collectivités, et qui ont indiqué qu'ils ne s'attendaient en aucun cas à recevoir une lettre de SC où le nom du Programme serait à la vue de tous.
46. Nous sommes d'avis que la simple association d'une personne à un programme comme le PAMFM peut avoir des conséquences sur le plan social et sur celui de la sûreté et de la sécurité comme l'ont indiqué un bon nombre de plaignants. Bien que la marihuana puisse être utilisée à des fins médicales, et bien que, dans le cadre du PAMFM, son utilisation et sa culture sont supervisées par le gouvernement, un préjugé social y est néanmoins rattaché en raison de son statut de substance interdite. Par conséquent, les renseignements divulgués pourraient mener à déduire que la personne consomme ou cultive la substance ou qu'elle souffre d'un problème de santé grave. Pour ces raisons, nous devons prendre en considération la nature sensible de ce type de renseignement.
47. Les observations et les éléments de preuve soumis par SC n'ont pas réussi à nous convaincre qu'il était nécessaire pour l'administration du Programme d'en indiquer le nom sur les lettres envoyées aux clients. Bien que la SCP a des exigences spécifiques quant à l'inscription de l'adresse de l'expéditeur sur l'enveloppe, il n'était pas indispensable d'indiquer le nom exact du Programme pour que les clients répondent à SC ou pour qu'une lettre non livrée soit retournée à SC.
48. En outre, SC n'a présenté aucune preuve démontrant qu'il a envisagé d'exercer son pouvoir discrétionnaire en vertu de l'alinéa 8(2)a) afin d'inclure le nom du Programme dans son adresse en tant qu'expéditeur. Au contraire, il admet que la mention du PAMFM dans les envois postaux représentait une exception par rapport à ses pratiques habituelles et une erreur administrative.
49. Par conséquent, il est difficile de convenir que la mention du PAMFM sur la correspondance puisse être raisonnablement considérée comme un usage compatible. Nous sommes donc d'avis que la divulgation en question dans cette enquête n'était pas autorisée en vertu de l'alinéa 8(2)a) de la Loi.

Argument n^o 4 de SC : « Le fait de limiter la quantité de renseignements dans le bloc de l'adresse de l'expéditeur pourrait avoir une grande incidence sur la façon dont les institutions gouvernementales communiquent par courrier avec les gens. »

50. SC a admis que l'inclusion du nom du Programme dans l'adresse de l'expéditeur était une erreur administrative et qu'il ne s'agit pas d'une pratique normale de SC. Cependant, selon SC, son inclusion faisait partie des options raisonnables et légitimes qui s'offraient à lui. Les institutions gouvernementales peuvent décider, selon les circonstances, d'inclure davantage ou moins de renseignements dans l'adresse de l'expéditeur.
51. SC affirme que les renseignements inclus dans l'adresse de l'expéditeur permettent d'attirer l'attention du destinataire et, au besoin, le retour de la correspondance. Il soutient qu'il serait impossible d'indiquer l'adresse de l'expéditeur sur le courrier, dès lors que l'on estime que l'adresse de l'expéditeur ne devrait jamais comprendre de données révélant des renseignements personnels. SC affirme aussi qu'une application trop stricte de la règle de divulgation minimale pourrait avoir une grande incidence sur la façon dont les institutions gouvernementales et les entités du secteur privé communiquent par courrier avec des individus.

Analyse du Commissariat

52. L'enquête a confirmé que, par le passé,SC a utilisé l'indice d'adresse suivant comme adresse de l'expéditeur :

    Santé Canada-SESC/Health Canada-HECS
    IA/AL 0300A
    Ottawa (Ontario) K1A 0K9

53. Dans le cas présent, l'adresse de l'expéditeur comprenait le nom précis du programme de SC, ce qui, comme nous l'avons démontré précédemment, n'était pas manifestement nécessaire aux fins de l'administration du Programme ou pour faciliter le retour des enveloppes à SC. En fait, SC n'a pas été en mesure de démontrer qu'il avait déjà rencontré des difficultés particulières en utilisant un indice d'adresse dans le bloc de l'adresse de l'expéditeur.
54. Nous convenons que l'adresse de l'expéditeur sur une enveloppe facilite son retour, mais il faut également s'assurer que la vie privée du destinataire soit bien respectée.
55. Les institutions doivent prendre des mesures raisonnables pour veiller à ce que les communications envoyées par la poste protègent suffisamment la vie privée de leurs clients, particulièrement lors de l'utilisation de renseignements d'une nature aussi sensible que l'intérêt d'une personne à l'égard d'un programme qui porte sur l'accès à la marihuana à des fins médicales. Conformément à l'esprit et aux exigences de la Loi sur la protection des renseignements personnels, les institutions gouvernementales devraient mettre en œuvre des stratégies visant à atténuer les risques de communication non autorisée de renseignements personnels.

Conclusions

55. Nous concluons que la combinaison de la mention du PAMFM dans l'adresse de l'expéditeur et du nom du destinataire constitue des renseignements personnels de nature sensible en vertu de la Loi sur la protection des renseignements personnels. SC n'a pas convaincu le Commissariat qu'il avait obtenu le consentement approprié pour communiquer ces renseignements, ni que l'une des catégories de communication autorisées en vertu du paragraphe 8(2) de la Loi s'appliquerait dans les circonstances. Par conséquent, nous concluons que SC a contrevenu à la Loi. Les plaintes sont donc fondées.

Autre

57. Nous reconnaissons que l'inscription du nom précis d'un programme sur les communications avec les clients ne fait pas partie des pratiques courantes de SC et qu'il s'agissait, pour l'envoi postal en question, d'une erreur administrative. De plus, à la suite de cette communication non autorisée, SC a mis en place des procédures d'envoi strictes qui visent à protéger les renseignements personnels de ses clients.
58. Nous avons également constaté que SC a créé un groupe de travail sur la protection des renseignements personnels qui a pour mandat d'aider le Bureau du cannabis médical à s'acquitter de ses obligations légales concernant la protection des renseignements personnels de ses clients.
59. Néanmoins, nous voulons insister sur le fait que SC devrait toujours examiner le niveau de sensibilité des renseignements qu'il traite, l'ampleur du stigmate qui est souvent associé à ces renseignements et le haut niveau de protection que ces renseignements nécessitent.
60. Nous encourageons SC à suivre ses nouvelles procédures de gestion et de coordination des envois postaux, de manière à s'assurer de prendre en considération la protection des renseignements personnels sensibles de ses clients afin de minimiser le risque de communication non autorisée.