Un directeur de camp d’été a fourni des renseignements sur les antécédents d’un ancien campeur sans avoir obtenu de consentement

Rapport des conclusions en vertu de la LPRPDE n^o 2012-008

---

La plaignante a tenté d’inscrire son enfant à un camp d’été. Elle a transmis la demande en ligne et s’est entretenue avec le directeur du camp envisagé, qui n’a pas accepté d’emblée l’inscription de son enfant. Lorsque celle-ci a été rejetée, la plaignante a déposé une plainte auprès du Commissariat, alléguant que le directeur d’un camp auquel son enfant avait déjà participé avait communiqué des renseignements personnels concernant son enfant au camp envisagé et ce, sans son consentement.

La plaignante a également déposé une plainte contre le camp envisagé pour avoir recueilli, utilisé et communiqué les renseignements personnels concernant son enfant sans son consentement.

Le directeur du camp auquel avait participé l’enfant a admis avoir répondu aux questions du directeur du camp envisagé et discuté avec lui de l’expérience antérieure du campeur.

Le directeur du camp auquel l’enfant avait participé a affirmé au Commissariat que les camps avaient l’habitude d’échanger ce type d’information sur les participants. Le Commissariat a constaté que le camp n’avait pas de formulaires de consentement ni de politiques en place ayant trait à la communication d’informations de ce genre à des tiers. Nous avons également constaté que l’information sur la protection des renseignements personnels publiée sur le site Web de l’organisme était limitée et insuffisante pour obtenir un consentement.

Pour ces raisons, nous estimons qu’en l’espèce, la plaignante n’avait pas consenti à la communication des renseignements personnels concernant son enfant au directeur du camp envisagé.

Le Commissariat a publié un rapport d’enquête préliminaire à l’intention de l’organisme du premier camp, lui recommandant d’obtenir le consentement individuel pour toute communication de renseignements personnels et de donner à ses employés une formation sur leurs obligations en matière de la protection de la vie privée.

Nous avons établi que la plainte était fondée et conditionnellement résolue, compte tenu de l’engagement de l’organisme du premier camp à mettre en œuvre nos recommandations dans les délais prescrits.

Rapport de conclusions

Plainte déposée en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (la « Loi » ou la « LPRPDE »)

1. La plaignante allègue qu’un organisme de camps d’été a communiqué à son insu et sans son consentement des renseignements personnels concernant son enfant.

Résumé de l’enquête

Consentement

2. L’organisme de camps d’été est un organisme privé à but lucratif qui organise des camps d’été pour enfants en Ontario.

3. La plaignante est la tutrice légale de son enfant, qui a participé à un camp d’été (le « premier » camp) en 2009 et 2010. En 2011, elle a transmis une demande en vue d’inscrire son enfant, alors âgé de 13 ans, à un autre camp d’été (le camp « envisagé ») pour la première fois.

4. La plaignante et le directeur du camp envisagé ont par la suite eu plusieurs conversations téléphoniques au sujet de sa demande. Selon la plaignante, le directeur lui aurait alors dit qu’il s’était entretenu avec le directeur du premier camp. Il lui aurait dit également que le camp ne pourrait accepter sa demande ni accueillir son enfant en raison de ses déficiences car ce ne serait pas juste pour les autres campeurs.

5. La plaignante affirme que le directeur du premier camp a communiqué sans son consentement au directeur du camp envisagé des renseignements particuliers sur son enfant. Elle a donc déposé contre l’organisme du premier camp la plainte visée par le présent rapport, que nous avons acceptée le 2 août 2011.

6. Dans le cadre de son enquête, le Commissariat a établi que le directeur du camp envisagé avait téléphoné au directeur du premier camp pour discuter de l’enfant de la plaignante. Le directeur du premier camp nous a confirmé qu’il avait communiqué au directeur du camp envisagé certains renseignements personnels sur l’enfant de la plaignante, soit : i) l’historique de ses récentes inscriptions au camp; ii) l’expérience du candidat en tant que campeur; iii) son opinion sur sa personnalité; et iv) une évaluation du type de soutien requis en tant que campeur.

7. Selon le directeur du premier camp, l’échange entre les directeurs était une conversation privée qui est pratique courante entre les camps. Le directeur affirme que ces échanges ont pour but de s’assurer que les campeurs passent un bel été.

8. Selon le directeur du premier camp, le seul formulaire de consentement que signent les campeurs est une autorisation en vue de recevoir des soins à l’hôpital. Il nous a également informés que tous ses documents sur la protection des renseignements personnels sont publiés le site Web du camp.

9. Nous avons examiné certains renseignements limités publiés sur le site Web du premier camp ayant trait à la collecte de renseignements personnels et à la Loi sur la protection des renseignements personnels et les documents électroniques.

10. Nous avons également examiné un formulaire de santé du personnel que doit signer le personnel du premier camp, sur lequel les signataires attestent qu’ils ont lu l’information du camp sur la protection des renseignements personnels. Le Commissariat n’a cependant pas trouvé d’autre information ayant trait à la protection des renseignements personnels sur le site Web du camp.

11. Enfin, nous avons examiné la section du code d’éthique professionnelle (le « Code ») portant sur la protection de la vie privée de l’Ontario Camps Association (OCA), dont fait partie le premier camp. Le Code précise qu’il faut protéger la confidentialité des campeurs, des parents et du personnel. Par ailleurs, le site Web de l’OCA souligne l’obligation de respecter la Loi :

Le camp respecte-t-il la Loi sur la protection des renseignements personnels et les documents électroniques?
[traduction] La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) est la loi fédérale qui vous oblige à obtenir le consentement clair de la personne visée avant de recueillir, d’utiliser ou de communiquer des renseignements personnels la concernant; à utiliser les renseignements uniquement aux fins pour lesquelles vous avez obtenu le consentement; à protéger les renseignements contre l’accès et l’utilisation non autorisés; à tenir les renseignements à jour et à bien les classer de sorte que les décisions reposent sur de l’information exacte; à détruire les renseignements lorsque vous n’en avez plus besoin pour la fin prévue au départ; et à mettre en place des mécanismes redditionnels au sein de votre organisme pour assurer la conformité à la Loi.

12. Le 20 juillet 2012, le Commissariat a publié un rapport d’enquête préliminaire à l’intention de l’organisme du premier camp, dans lequel il examinait les questions soulevées dans la plainte et demandait à l’organisme de donner suite à ses recommandations. Voici le résultat de notre analyse des données probantes recueillies pendant notre enquête.

Application de la Loi

13. Pour rendre nos décisions, nous avons appliqué le principe 4.3 de l’annexe 1 et le paragraphe 2.(1) de la partie 1 de la Loi.

14. Selon le principe 4.3, toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels la concernant et y consentir, à moins qu’il ne soit pas approprié de l’informer.

15. Le paragraphe 2.(1) indique que l’expression « renseignement personnel » désigne tout renseignement concernant un individu identifiable, à l’exclusion du nom et du titre d’un employé d’une organisation ainsi que de l’adresse et du numéro de téléphone de son lieu de travail.

Constatations

Le 30 août 2012

16. Il faut déterminer si le directeur du premier camp a communiqué les renseignements personnels concernant l’enfant de la plaignante à l’insu de cette dernière et sans avoir obtenu son consentement.

17. Les données probantes recueillies par le Commissariat corroborent l’allégation selon laquelle, pendant une conversation téléphonique entre les deux directeurs de camp, le directeur du premier camp a communiqué de l’information sur l’enfant de la plaignante, plus précisément l’historique de ses inscriptions, ses expériences antérieures au camp, son opinion sur sa personnalité et une évaluation subjective de ses besoins.

18. La plaignante a indiqué n’avoir jamais consenti à la communication de cette information et le Commissariat n’a reçu aucune donnée probante indiquant qu’il en était autrement. Le directeur du premier camp a affirmé ne pas avoir de formulaire de consentement pour la communication de ce type d’information.

19. Selon le principe 4.3, toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu’il ne soit pas approprié de l’informer. Puisqu’il n’y a clairement pas eu de consentement dans ce cas, le principe 4.3 n’a pas été respecté.

20. Dans notre rapport d’enquête préliminaire, nous avons demandé à l’organisme du premier camp de s’engager à donner suite aux recommandations suivantes : i) réviser ses politiques et pratiques afin de s’assurer d’obtenir un consentement valable à la communication des renseignements personnels concernant ses campeurs; et ii) donner à ses employés une formation sur les obligations qui leur incombent en matière de protection des renseignements personnels en vertu de la LPRPDE.

21. L’organisme du premier camp a répondu à notre rapport d’enquête préliminaire le 13 août 2012, en expliquant en détail comment il allait mettre en œuvre nos recommandations au cours de l’année à venir. Il a assuré au Commissariat qu’il aurait donné suite à toutes les recommandations avant le 1^er avril 2013.

Conclusions et suivi

22. Par conséquent, nous concluons que la plainte est fondée et conditionnellement résolue. Nous en arrivons à cette conclusion sur la base de l’engagement écrit de l’organisme du premier camp à prendre dans les délais prescrits les mesures correctives recommandées dans le présent rapport.

23. Le Commissariat continue de suivre de près l’engagement de l’organisme à adopter les mesures nécessaires pour se conformer à la Loi. Dès lors, à la fin du délai prescrit, nous déterminerons si l’organisme a pleinement mis en œuvre nos recommandations et, au besoin, nous prendrons des mesures à l’égard des préoccupations non réglées conformément aux pouvoirs que nous confère la Loi.

Rapport de conclusions connexe :

• Rapport des conclusions en vertu de la LPRPDE n^o 2012-007 : Consentement requis pour la vérification des antécédents d’une nouvelle personne souhaitant s’inscrire à un camp d’été