Extraits pertinents :

[1] À la suite d’une information reçue le 25 février 2013, indiquant que des documents contenant des renseignements personnels avaient été trouvés à l’extérieur d’un immeuble situé au 61, rue Laurier à Gatineau, la Commission d’accès à l’information (la Commission) a procédé à une enquête en février et mars 2013. Cette enquête a porté sur les circonstances entourant la découverte de ces documents à l’extérieur des bureaux de la clinique de résonnance magnétique IRM plus Gatineau inc. (l’entreprise).

[7] La Commission est informée par le Service de police de la Ville de Gatineau et par le Commissariat à la protection de la vie privée du Canada que des documents ont été retrouvés à l’extérieur de cet immeuble.

[8] Lors de son enquête, la Commission a récupéré les dix boîtes en possession de la Défense nationale et a constaté qu’elles contenaient des documents renfermant des renseignements personnels, dont des factures de l’entreprise adressées à des clients, des documents contenant des renseignements médicaux au sujet de personnes identifiées, des remboursements de frais consécutifs à un accident provenant soit de la Société de l’assurance automobile du Québec, du Fonds de la santé et de la sécurité du travail ou de la Commission de la sécurité professionnelle et de l’assurance contre les accidents du travail de l’Ontario, etc. Tous ces documents contiennent de nombreux renseignements personnels, incluant des données d’identification, des renseignements médicaux et parfois des numéros d’assurance maladie.

[10] Selon le président de l’entreprise qui était propriétaire de l’immeuble de la rue Laurier, la clinique IRM plus a transféré ses activités dans une autre clinique, en novembre 2011, soit la clinique IRM St-Joseph - Clinique médicale privée d’imagerie par résonance magnétique, située au 228, boulevard StJoseph, à Gatineau. Les dossiers des clients qui fréquentaient la clinique de la rue Laurier ont été transférés à la clinique du boulevard St-Joseph en novembre 2011.

[11] Le président de l’entreprise estime que lors de la vente de l’immeuble, il n’y avait pas de dossiers relatifs aux patients dans les boîtes de documents laissés dans l’immeuble de la rue Laurier puisqu’il n’y avait plus d’activités de radiologie à cet endroit depuis novembre 2011.

Analyse

[17] L’article 10 de la Loi sur le privé prévoit qu’une entreprise doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels qu’elle détient :

10. Toute personne qui exploite une entreprise doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits et qui sont raisonnables compte tenu, notamment, de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support.

[18] L’enquête a démontré que plusieurs documents appartenant à l’entreprise et contenant des renseignements personnels ont été trouvés à l’extérieur des locaux qu’elle occupait dans des boîtes ou dans un bac de recyclage non verrouillé. D’autres boîtes de documents contenant des renseignements personnels ont été récupérées à l’intérieur de l’immeuble de l’entreprise qu’elle a vendu en juillet 2012.

[19] Ainsi, l’enquête démontre que l’entreprise n’a pas pris les mesures de sécurité propres à assurer la protection des renseignements personnels qu’elle détenait lorsqu’elle en a disposé au moment de la prise de possession de son immeuble de la rue Laurier par le nouveau propriétaire. 

POUR CES MOTIFS, LA COMMISSION :

[21] ORDONNE à l’entreprise de récupérer auprès de la Commission les boîtes de documents provenant de l’immeuble situé au 61, rue Laurier à Gatineau et de prendre des mesures raisonnables pour procéder à leur destruction sécuritaire en assurant le caractère confidentiel des renseignements personnels qu’ils contiennent, et ce, dans un délai de 60 jours de la réception de la présente décision.