Commission d’accès à l’information du Québec Dossier : 1006420 Date : Le 22 janvier 2014 Membre: M e Diane Poitras CLINIQUE IRM PLUS GATINEAU 6290094 CANADA INC. Entreprise DÉCISION OBJET ENQUÊTE menée par la Commission d’accès à l’information de sa propre initiative en vertu de l’article 81 de la Loi sur la protection des renseignements personnels dans le secteur privé 1 . [1] À la suite d’une information reçue le 25 février 2013, indiquant que des documents contenant des renseignements personnels avaient été trouvés à l’extérieur d’un immeuble situé au 61, rue Laurier à Gatineau, la Commission d’accès à l’information (la Commission) a procédé à une enquête en février et mars 2013. Cette enquête a porté sur les circonstances entourant la découverte de ces documents à l’extérieur des bureaux de la clinique de résonnance magnétique IRM plus Gatineau inc. (l’entreprise). LES FAITS [2] Le 10 février 2013, une personne découvre deux boîtes de documents en garant sa voiture dans le stationnement du 61, rue Laurier, à Gatineau (secteur 1 L.R.Q., c. P-39.1, la Loi sur le privé.
1006420 Page : 2 Hull). Constatant qu’il s’agit de documents qui contiennent des renseignements personnels concernant des membres du personnel de la Défense nationale, cette personne prend les boîtes et va les remettre à cet organisme. [3] Un sergent de la Défense nationale se rend au stationnement situé sur la rue Laurier et y récupère deux autres boîtes de documents déposées dans la neige. Il constate également qu’un bac de recyclage contient plusieurs documents comportant des renseignements personnels, mais ne provenant pas de son organisme. [4] Il contacte le Service de police de la Ville de Gatineau afin que ces documents soient récupérés. [5] Il rencontre également, à l’édifice de la rue Laurier, un employé retraité de l’entreprise qui lui explique que la clinique d’imagerie médicale a cessé ses activités depuis environ un an et que l’immeuble a récemment été vendu. L’ancien propriétaire de l’immeuble lui a demandé de vider l’édifice puisque le nouveau propriétaire s’apprêtait à changer les serrures, ce qui a été fait le 5 février 2013. [6] Le sergent prend rendez-vous avec le nouveau propriétaire de l’immeuble quelques jours plus tard dans les locaux de l’édifice de la rue Laurier. Lors de cette rencontre, il découvre six autres boîtes de documents laissées par l’ancien propriétaire. Il prend également possession de ces boîtes. [7] La Commission est informée par le Service de police de la Ville de Gatineau et par le Commissariat à la protection de la vie privée du Canada que des documents ont été retrouvés à l’extérieur de cet immeuble. [8] Lors de son enquête, la Commission a récupéré les dix boîtes en possession de la Défense nationale et a constaté qu’elles contenaient des documents renfermant des renseignements personnels, dont des factures de l’entreprise adressées à des clients, des documents contenant des renseignements médicaux au sujet de personnes identifiées, des remboursements de frais consécutifs à un accident provenant soit de la Société de l’assurance automobile du Québec, du Fonds de la santé et de la sécurité du travail ou de la Commission de la sécurité professionnelle et de l’assurance contre les accidents du travail de l’Ontario, etc. Tous ces documents contiennent de nombreux renseignements personnels, incluant des données d’identification, des renseignements médicaux et parfois des numéros d’assurance maladie.
1006420 Page : 3 [9] Quant au bac de recyclage récupéré par le Service de police de la Ville de Gatineau, la Commission a pu constater sur place qu’il contenait également des renseignements personnels, tels que des relevés de comptes d’un client, une demande de paiement de Revenu Québec dans un dossier de succession, des listes de personnes et leur numéro de dossier à la Commission de la santé et de la sécurité du travail, des documents contenant le nom d’une personne et des renseignements médicaux la concernant, etc. [10] Selon le président de l’entreprise qui était propriétaire de l’immeuble de la rue Laurier, la clinique IRM plus a transféré ses activités dans une autre clinique, en novembre 2011, soit la clinique IRM St-Joseph - Clinique médicale privée d’imagerie par résonance magnétique, située au 228, boulevard St-Joseph, à Gatineau. Les dossiers des clients qui fréquentaient la clinique de la rue Laurier ont été transférés à la clinique du boulevard St-Joseph en novembre 2011. [11] Le président de l’entreprise estime que lors de la vente de l’immeuble, il n’y avait pas de dossiers relatifs aux patients dans les boîtes de documents laissés dans l’immeuble de la rue Laurier puisqu’il n’y avait plus d’activités de radiologie à cet endroit depuis novembre 2011. [12] Avant de céder définitivement l’immeuble au nouveau propriétaire à la fin janvier 2013, l’entreprise a vendu un classeur qui avait été laissé dans les locaux. Il a été vidé de son contenu et le président de l’entreprise a demandé à un ancien employé à la retraite de sortir les déchets restant dans l’immeuble, avant que le nouveau propriétaire change les serrures et en prenne possession. OBSERVATIONS AU TERME DE L’ENQUÊTE [13] Le 30 octobre 2013, la Commission transmet à l’entreprise le rapport d’enquête et un avis d’intention l’informant qu’elle envisage notamment de lui ordonner de prendre des mesures raisonnables pour procéder à la destruction sécuritaire des documents récupérés par la Commission dans le cadre de l’enquête et visant à assurer le caractère confidentiel des renseignements personnels qui y sont contenus. [14] Tel qu’indiqué dans cet avis, l’entreprise pouvait faire parvenir à la Commission ses observations écrites dans les trente jours de sa réception. L’avis d’intention a été reçu par l’entreprise le 6 novembre 2013. [15] À ce jour, l’entreprise n’a soumis aucune observation à la Commission.
1006420 Page : 4 ANALYSE [16] La Loi sur le privé établit les règles relatives à la protection des renseignements personnels 2 qu’une entreprise 3 doit respecter dans le cadre de l’exercice de ses activités. [17] L’article 10 de la Loi sur le privé prévoit qu’une entreprise doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels qu’elle détient : 10. Toute personne qui exploite une entreprise doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits et qui sont raisonnables compte tenu, notamment, de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support. [18] L’enquête a démontré que plusieurs documents appartenant à l’entreprise et contenant des renseignements personnels ont été trouvés à l’extérieur des locaux qu’elle occupait dans des boîtes ou dans un bac de recyclage non verrouillé. D’autres boîtes de documents contenant des renseignements personnels ont été récupérées à l’intérieur de l’immeuble de l’entreprise qu’elle a vendu en juillet 2012. [19] Ainsi, l’enquête démontre que l’entreprise n’a pas pris les mesures de sécurité propres à assurer la protection des renseignements personnels qu’elle détenait lorsqu’elle en a disposé au moment de la prise de possession de son immeuble de la rue Laurier par le nouveau propriétaire. CONCLUSION [20] À la lumière de l’enquête, la Commission conclut que l’entreprise a contrevenu à l’article 10 de la Loi sur le privé en ne prenant pas des mesures de sécurité propres à assurer la confidentialité des renseignements personnels qu’elle détenait. 2 L’art. 2 de la Loi sur le privé prévoit qu’un renseignement personnel est tout renseignement qui concerne une personne physique et permet de l'identifier. 3 Constitue l'exploitation d'une entreprise l'exercice, par une ou plusieurs personnes, d'une activité économique organisée, qu'elle soit ou non à caractère commercial, consistant dans la production ou la réalisation de biens, leur administration ou leur aliénation, ou dans la prestation de services (art. 1 de la Loi sur le privé et 1525 du C.c.Q.).
1006420 Page : 5 POUR CES MOTIFS, LA COMMISSION : [21] ORDONNE à l’entreprise de récupérer auprès de la Commission les boîtes de documents provenant de l’immeuble situé au 61, rue Laurier à Gatineau et de prendre des mesures raisonnables pour procéder à leur destruction sécuritaire en assurant le caractère confidentiel des renseignements personnels qu’ils contiennent, et ce, dans un délai de 60 jours de la réception de la présente décision. Diane Poitras Juge administratif
Vous allez être redirigé vers la version la plus récente de la loi, qui peut ne pas être la version considérée au moment où le jugement a été rendu.