Extraits pertinents :

La présente donne suite à la plainte que monsieur … et madame … (les plaignants) adressaient à la Commission d’accès à l’information (la Commission) le 25 avril 2012 à l’endroit des autorités de l’école secondaire … … leur reprochant d’avoir communiqué à un tiers leurs coordonnées personnelles.

De façon plus spécifique, les plaignants énoncent dans un formulaire complétant la plainte que les prénom, nom, adresse et numéro de téléphone de leur enfant qui fréquente l’école … ont été transmis vers le mois de mars 2012 à l’entreprise Flip Design sans leur consentement.

Cette école publique compte environ 2000 élèves et relève de la Commission scolaire … (l’organisme). À la suite d’une décision obligeant les élèves à porter l’uniforme pour l’année scolaire 2012-2013, un contrat est intervenu entre l’école et un fournisseur de vêtements, Flip Design, prévoyant notamment la divulgation à cette entreprise privée d’un fichier contenant les renseignements personnels énumérés précédemment concernant tous les élèves fréquentant l’institution.

Les plaignants dénoncent la pratique des commettants de l’école et réclament une réprimande publique ainsi que l’imposition d’une amende. De plus, ils souhaitent que l’école soit forcée de solliciter l’autorisation préalable des parents dans le cadre d’un processus similaire dans l’avenir et requièrent que les renseignements
personnels détenus par Flip Design soient détruits.

Les plaignants dénoncent la pratique des commettants de l’école et réclament une réprimande publique ainsi que l’imposition d’une amende. De plus, ils souhaitent que l’école soit forcée de solliciter l’autorisation préalable des parents dans le cadre d’un processus similaire dans l’avenir et requièrent que les renseignements
personnels détenus par Flip Design soient détruits.

Analyse 

L’article 53 de la Loi sur l’accès prévoit qu’un renseignement personnel est confidentiel sauf quelques exceptions qui ne s’appliquent pas au cas sous étude. Les prénom, nom, adresse et numéro de téléphone de personnes physiques entrent dans cette catégorie.

Néanmoins, l’article 67.2 de cette même loi, auquel réfère Me … , édicte une règle particulière en octroyant à l’organisme un pouvoir discrétionnaire l’autorisant à communiquer un renseignement personnel à toute personne, sans le consentement de la personne concernée, lorsque cette transmission est nécessaire à l’exécution d’un contrat d’entreprise confié par l’organisme à cette personne. En ce cas, des conditions strictes doivent être satisfaites de façon cumulative.

D’abord, la Commission constate que le contrat est intervenu et a été confié au fournisseur par écrit; la première condition est satisfaite.

Deuxièmement, le contrat doit contenir les dispositions de la Loi sur l’accès qui s’appliquent au renseignement communiqué à l’exécutant du contrat ainsi que les mesures qu’il doit prendre pour en assurer le caractère confidentiel, pour que le renseignement ne soit utilisé que dans l’exécution de son contrat et pour qu’il ne le conserve pas après son expiration.

Sur cet aspect, Me … soumet que la clause 13 du contrat, dans sa forme initiale, rencontrait déjà les exigences légales. Après en avoir pris connaissance, la Commission est d’avis que le libellé original du contrat au mois de mars 2012, avant d’avoir été bonifié par l’organisme, n’était pas suffisamment explicite sur la nature des obligations incombant aux cocontractants pour conclure au respect intégral des conditions imposées par le législateur. La disposition législative pertinente n’était pas reproduite dans le contrat et aucune annexe ne spécifiait de façon claire les mesures envisagées pour assurer le caractère confidentiel des renseignements divulgués.

Cependant, ces lacunes ont été postérieurement corrigées par l’organisme, ce dernier ayant pris soin de parfaire le contenu du contrat tout en ajoutant des annexes qui satisfont maintenant les critères énoncés ci-devant. La Commission prend acte de cette bonification qui dénote un souci par l’organisme d’améliorer ses pratiques en matière de divulgation de renseignements personnels à des tiers.

Troisièmement, l’organisme devait, avant de communiquer les renseignements au fournisseur, obtenir un engagement de confidentialité complété par toute personne susceptible d’y avoir accès. Une lecture du contrat, dans sa forme originale, permet de conclure que cet aspect n’était pas couvert au départ. La sous-section «obligations du fabricant» ne contient pas cet élément impératif et aucun document joint ne comblait cette omission. Par ailleurs, ce défaut a également été corrigé par l’organisme ultérieurement. En effet, l’annexe 2 accompagnant la nouvelle version du contrat et s’intitulant «Engagement du fournisseur contractuel concernant la communication et l’utilisation de renseignements personnels» répond maintenant à cette obligation.

La Commission est d’avis que les correctifs apportés par l’organisme après le dépôt de la plainte satisfont aux exigences légales de l’article 67.2 de la Loi sur l’accès. À l’évidence, les commettants de l’organisme ont réagi promptement et de façon sérieuse aux revendications des plaignants, mettant en place des mesures efficaces et sécurisantes.

CONCLUSION

En conséquence, la Commission est d’avis que la plainte présentée le 25 avril 2012 est devenue sans objet et procède à la fermeture du présent dossier.