Communication présumée de renseignements personnels à une tierce partie sans consentement

Résumé de conclusions d'enquêtes en vertu de la LPRPDE n^o 2003-145

[Principe 4.3]

Plainte

Un employé d'une société ferroviaire s'est plaint que son employeur a communiqué son dossier personnel sans lui demander son consentement.

Résumé de l'enquête

Le plaignant travaille pour une société ferroviaire, qui confie la gestion du personnel à une autre entreprise. La société ferroviaire et cette entreprise ont une entente qui concerne, entre autres choses, la gestion des employés de la société ferroviaire. Un des aspects de l'entente permet à l'organisme de gestion d'avoir accès aux dossiers du personnel et aux registres de formation des employés de la société ferroviaire aux fins de gestion, y compris aux enquêtes relatives à des incidents. L'entente stipule que l'organisme doit se conformer à la Loi sur la protection des renseignements personnels et les documents électroniques.

Le plaignant faisait l'objet d'une enquête. Des réunions se sont tenues avec lui au cours de l'enquête. À un moment donné, on lui a remis des documents provenant de son dossier à la société ferroviaire. Il s'y est opposé en déclarant qu'il n'avait jamais donné à personne l'autorisation de consulter son dossier ou d'en communiquer le contenu à l'organisme de gestion.

La société ferroviaire a maintenu que la relation contractuelle avec l'organisme de gestion lui permettait de communiquer des renseignements personnels de ses employés et que cela était en conformité avec la Loi.

La société ferroviaire a déclaré que la protection et la confidentialité des renseignements des employés sont couvertes par l'entente. Elle a également expliqué que l'information fournie à l'organisme de gestion est limitée aux dossiers du personnel et aux registres de formation et ne comprend pas les dossiers de réclamations et les dossiers médicaux. De plus, elle a signalé que seul un nombre restreint d'employés de l'organisme de gestion a directement accès aux renseignements des employés de la société ferroviaire.

Conclusions du commissaire

Rendues le 1^er avril 2003

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) s'applique à toute installation, ouvrage, entreprise ou secteur d'activité fédéral. Ce cas est du ressort du commissaire parce qu'une société ferroviaire constitue une installation, ouvrage, entreprise ou secteur d'activité fédéral au sens de la Loi.

Application : Le principe 4.3 stipule que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire.

L'entente conclue entre la société ferroviaire et l'organisme de gestion couvrait la transmission de dossiers du personnel et de registres de formation à l'organisme de gestion. Le commissaire a établi que, puisque que l'organisme de gestion administrait les employés de la société ferroviaire au nom par la société, la transmission de renseignements personnels de la société ferroviaire à l'organisme de gestion et l'accès subséquent à ces renseignements ne constituaient pas une communication en vertu de la Loi. Puisqu'aucune communcation n'a eu lieu, le commissaire a jugé que la société ferroviaire n'avait pas enfreint l'exigence relative au consentement, telle que stipulée principe 4.3.

Le commissaire a conclu que la plainte était non fondée.