Rapports d'enquête et d'audit

Alors que l'innovation numérique continue de transformer les soins de santé fournis au Canada et à l'étranger, les Britanno-Colombiens constatent que de plus en plus d'informations personnelles sensibles sont collectées et stockées dans des systèmes numériques. Des numéros de santé personnels aux dossiers relatifs à l'état de santé mentale des individus, le système provincial d'information sur la santé publique de la Colombie-Britannique stocke de grandes quantités d'informations sensibles sur ceux d'entre nous qui accèdent aux services de soins de santé et de lutte contre les maladies transmissibles.

Le Commissariat à l'information et à la protection de la vie privée de la Colombie-Britannique (OIPC) a enquêté sur l'utilisation de la technologie de reconnaissance faciale (FRT) par quatre magasins Canadian Tire (les magasins) situés en Colombie-Britannique.

Le système provincial d'information sur la santé publique (Provincial Public Health Information System), ou le système, tel qu'il est désigné dans le présent rapport, contient des informations personnelles sur presque chacun d'entre nous, depuis les numéros de santé personnels jusqu'aux dossiers de vaccination. Si vous avez reçu des soins médicaux en Colombie-Britannique pour une grossesse, un problème de santé mentale ou une infection sexuellement transmissible, vous trouverez ces informations personnelles sensibles enregistrées dans le système. Et chaque jour, des centaines de professionnels de la santé et de décideurs politiques de toute la Colombie-Britannique accèdent à ce système, comme ils doivent le faire.

Enquête conjointe du Commissariat à la protection de la vie privée du Canada, de la Commission d'accès à l'information du Québec, du Commissariat à l'information et à la protection de la vie privée de l'Alberta et du Commissariat à l'information et à la protection de la vie privée de la Colombie-Britannique sur le respect par The TDL Group Corp. (l'exploitant et le franchiseur de Tim Hortons au Canada) de la Loi sur la protection des renseignements personnels et les documents électroniques du Canada, de la Loi sur la protection des renseignements personnels du Québec, de la Loi sur la protection des renseignements personnels de l'Alberta et de la Loi sur la protection des renseignements personnels de la Colombie Britannique.

Les détaillants d'alcool et de cannabis du secteur privé sont chargés de collecter nos informations personnelles. Et ce, pour de bonnes raisons. Ils doivent vérifier l'âge en contrôlant le permis de conduire, ils enregistrent des vidéos à l'aide de systèmes de surveillance pour assurer la sécurité, ils utilisent nos informations financières pour le paiement et ils collectent des informations sur les employés à des fins de gestion des ressources humaines et de la paie. Le pouvoir des détaillants de collecter ce type d'informations est prévu par la loi sur la protection des informations personnelles (Personal Information Protection Act - PIPA) de la Colombie-Britannique.

Enquête conjointe du Commissariat à la protection de la vie privée du Canada, de la Commission d'accès à l'information du Québec, du commissaire à l'information et à la protection de la vie privée de la Colombie-Britannique et du commissaire à la protection de la vie privée de l'Alberta sur Clearview AI, Inc.

Les informations du gouvernement sont les informations du public. Plus qu'une simple phrase, ce principe a été consacré à l'unanimité par le législateur de la Colombie-Britannique dans la loi sur la liberté d'information et la protection de la vie privée (Freedom of Information and Protection of Privacy Act - FIPPA) il y a plus de 25 ans. La FIPPA donne à chacun d'entre nous le droit d'accéder aux informations d'un organisme public dans un délai prescrit, sous réserve d'exceptions soigneusement définies.

Enquête conjointe du Commissariat à l'information et à la protection de la vie privée de la Colombie-Britannique et du Commissariat à la protection de la vie privée du Canada sur le respect par AggregateIQ Data Services Ltd. ("AIQ") de la loi sur la protection des renseignements personnels ("PIPA") et de la loi sur la protection des renseignements personnels et les documents électroniques ("PIPEDA") en ce qui concerne certaines collectes, utilisations et divulgations de renseignements personnels pour le compte d'autres organisations afin de fournir des services de publicité ciblée, de traitement de données et de gestion de bases de données dans le cadre de campagnes politiques. Plus précisément, ce rapport s'attache à déterminer si l'AIQ a respecté ses obligations légales en matière de consentement et de protection des renseignements personnels.

Enquête conjointe du Commissariat à la protection de la vie privée du Canada et du Commissariat à l'information et à la protection de la vie privée de la Colombie-Britannique sur le respect par Facebook, Inc. de la loi sur la protection des renseignements personnels et les documents électroniques ("PIPEDA") et de la loi sur la protection des renseignements personnels (Colombie-Britannique) ("PIPA")

L'obligation d'aider les citoyens à accéder aux documents est un élément essentiel de la loi sur la liberté d'information et la protection de la vie privée (Freedom of Information and Protection of Privacy Act - FIPPA) de la Colombie-Britannique. Il est important que les organismes publics assument cette responsabilité en répondant ouvertement, précisément, complètement et sans délai à toutes les demandes.

WorkSafeBC recueille des informations personnelles très sensibles de différentes manières, notamment par le biais des demandes d'assurance des employés, des rapports sur les conditions de travail dangereuses ou au cours d'une enquête sur un incident. En cas d'accident du travail nécessitant des soins médicaux, l'incident doit être signalé à WorkSafeBC. Les employés ne peuvent pas s'y soustraire et doivent donc faire confiance à l'agence pour le traitement approprié de leurs informations personnelles.

La loi sur la liberté d'information et la protection de la vie privée (FIPPA) est entrée en vigueur en 1993 afin de rendre les organismes publics plus responsables devant le public et de protéger la vie privée. J'ai pour mission de veiller au respect de la FIPPA et je m'en acquitte notamment en établissant un rapport sur les résultats obtenus par le gouvernement en matière de réponse aux demandes d'accès à l'information. Ce rapport examine en détail les performances de tous les ministères et compare et analyse les résultats.

Il s'agit du premier audit d'une entreprise du secteur privé visant à déterminer la conformité de l'organisation avec la PIPA.

Ce rapport d'enquête a été établi en réponse à une plainte déposée par le centre de droit de l'environnement (ELC) de l'université de Victoria. La plainte alléguait que le ministère de l'environnement n'avait pas respecté ses obligations au titre de la loi sur la liberté de l'information et la protection de la vie privée (FIPPA) en ce qui concerne les demandes d'accès à l'information formulées par l'ELC, et que le ministère n'avait pas divulgué d'informations dans l'intérêt public, comme l'exige la FIPPA.

Ce rapport détaille les circonstances entourant la perte d'un disque dur portable par le ministère de l'éducation contenant les informations personnelles de 3,4 millions d'élèves et d'enseignants de la Colombie-Britannique et du Yukon.

Les droits d'accès à l'information ne peuvent exister que si les organismes publics créent les conditions nécessaires à l'exercice de ces droits. Le gouvernement doit promouvoir une culture de l'accès à l'information, depuis les dirigeants jusqu'aux employés de première ligne. S'ils ne respectent pas cette obligation, le processus d'accès à l'information est rendu inefficace.

La rupture de la digue du bassin de résidus de la mine Mount Polley, le 4 août 2014, a été une grave catastrophe environnementale. À la suite de la rupture du bassin de résidus, le gouvernement a lancé trois enquêtes distinctes pour déterminer ce qui n'avait pas fonctionné, y compris une commission d'enquête et d'examen technique indépendante, dont le rapport final sur la rupture du bassin de résidus de la mine a été publié le 30 janvier 2015.

Ce rapport examine dans quelle mesure le gouvernement de la Colombie-Britannique s'acquitte de son obligation de répondre aux violations de la vie privée et de les gérer correctement.

L'archivage est un bien public. Les documents relatifs aux actions et décisions clés des pouvoirs publics doivent être conservés dans un registre historique durable pour les générations futures. Sans archives publiques complètes, l'accès à l'information et le "droit de savoir" sont considérablement et gravement compromis.

Ce rapport examine l'utilisation croissante des vérifications de casiers judiciaires liées à l'emploi, en particulier ce que l'on appelle les vérifications d'informations policières.

L'article 25 de la loi sur la liberté de l'information et la protection de la vie privée ("FIPPA") prévoit deux motifs pour lesquels les organismes publics sont tenus de fournir au public des informations en temps utile. D'une part, il existe un risque important de préjudice pour l'environnement, la santé ou la sécurité du public et, d'autre part, ces informations sont, pour toute autre raison, clairement dans l'intérêt du public. Ces dispositions prévalent sur toutes les autres dispositions de la FIPPA.

Le présent rapport évalue l'initiative de gouvernement ouvert du gouvernement de la Colombie-Britannique et détermine si elle favorise la transparence et la responsabilité dans la pratique. Je formule dix-huit recommandations visant à renforcer l'initiative de gouvernement ouvert de la Colombie-Britannique et à assurer sa viabilité à long terme.

Ce rapport étudie l'augmentation des réponses "no responsive records" du gouvernement de la Colombie-Britannique en réponse aux demandes générales d'accès à l'information des citoyens. Il fait également état de cinq cas spécifiques de réponses "no responsive records" à des demandes adressées au gouvernement concernant la démission, en septembre 2012, du chef de cabinet du premier ministre.

L'objectif de ce document est de servir de compte rendu de la table ronde sur l'accès aux données pour la recherche en santé et d'identifier les prochaines étapes.

Le 9 janvier 2012, l'Université de Victoria a informé l'OIPC d'un cambriolage survenu sur le campus. Parmi les objets volés figurait une clé USB contenant les renseignements personnels d'employés actuels et anciens de l'UVic. Le commissaire a ouvert une enquête afin de déterminer si l'université s'est acquittée de son obligation de protéger les renseignements personnels conformément à l'article 30 de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE).

Ce rapport est un examen semestriel des stratégies et des résultats des efforts déployés par le gouvernement pour améliorer les délais de réponse aux demandes des médias et des partis politiques, faisant suite au rapport sur les délais publié en août 2010.

Il s'agit du deuxième rapport sur les performances des ministères en ce qui concerne leur obligation, en vertu de la loi sur l'accès à l'information et la protection de la vie privée ("FIPPA"), de répondre sans délai aux demandes d'accès.

Le 7 avril 2009, un employé du ministère de l'enfance et du développement familial (MCFD) a été arrêté par la GRC pour suspicion d'obtention frauduleuse d'une pièce d'identité. Au cours de la perquisition du domicile de l'employé, les agents de la GRC ont découvert que l'employé possédait plus de 400 pages de documents gouvernementaux contenant des informations personnelles sensibles sur plus de 1 400 clients du ministère du Logement et du Développement social et du MCFD. Ce rapport résulte de l'enquête de l'OIPC sur la réponse du gouvernement à la découverte par la police d'informations personnelles sensibles.

Ce rapport vise à mettre en lumière les problèmes rencontrés par le gouvernement provincial pour respecter les obligations légales imposées par la loi sur la liberté de l'information et la protection de la vie privée (Freedom of Information and Protection of Privacy Act), à savoir répondre aux demandes d'accès dans les délais impartis.

Quatre bandes informatiques contenant des informations personnelles sur des résidents de la Colombie-Britannique et du Nouveau-Brunswick qui ont reçu des services médicaux en dehors de leur province d'origine ont été envoyées par coursier du Nouveau-Brunswick à Health Insurance BC, un contractant du ministère de la santé de la Colombie-Britannique. Elles ne sont jamais arrivées à HIBC. Les informations se trouvaient sur des bandes magnétiques et n'étaient pas protégées par un système de cryptage. Cette méthode de transfert des renseignements personnels ne respectait pas les mesures de sécurité requises en vertu de l'article 30 de la Loi sur l'accès à l'information et la protection de la vie privée. Les politiques et pratiques du ministère ont fait en sorte que la perte de la bande magnétique n'a pas été détectée en temps opportun. Le ministère n'a pas non plus informé les personnes concernées et l'OIPC en temps voulu. Après la découverte de la perte, le ministère a pris les mesures nécessaires pour réduire les risques pour les personnes concernées. Après l'incident, le ministère a cessé d'échanger ce type d'informations personnelles non cryptées avec d'autres juridictions. Les nouvelles procédures du ministère surveillent désormais de plus près ces échanges d'informations personnelles et le ministère continue de travailler à la mise au point d'une méthode de transfert de données encore plus sûre.

Un employé d'EDS, un prestataire de services du ministère, a été surpris en train de naviguer indûment dans un système informatique du ministère pour y trouver des informations personnelles sur des amis et des connaissances. Cet acte n'a pas été détecté en raison de l'insuffisance des mesures de sécurité technique. L'insuffisance des mesures de sécurité a constitué une violation de l'article 30 de la FIPPA. En outre, en prenant plus de neuf mois pour informer les personnes concernées, le ministère et EDS ont manqué à leurs obligations au titre de l'article 30. Depuis, le ministère et EDS ont pris des mesures importantes pour améliorer la sécurité et pour sensibiliser les employés à la loi sur la protection de la vie privée et au respect de celle-ci.

Le programme d'aide aux employés et à la famille ("PAEF") est un service confidentiel de conseil aux employés géré en tant que composante de la Vancouver Coastal Health Authority ("VCHA"). Il est géré par des employés de la VCHA et relève de la VCHA. Le PAEF est un programme de la VCHA et n'est pas une entité distincte. En tant qu'autorité sanitaire établie en vertu de la loi sur les autorités sanitaires (Health Authorities Act), la VCHA est un "organisme de soins de santé" et donc un "organisme public" couvert par la loi sur l'accès à l'information et la protection de la vie privée (Freedom of Information and Protection of Privacy Act, "FIPPA"). Les actions du FEPA sont donc celles de la VCHA aux fins de la loi sur la liberté d'information et la protection de la vie privée.

Le présent rapport d'enquête porte sur une plainte déposée par le B.C. Nurses' Union au sujet d'un ensemble de contrats conclus entre Telus et le Vancouver Hospital and Health Sciences Centre (" Vancouver Hospital "). La plainte portait sur la question de savoir si les contrats ou les procédures qui en découlent respectent les obligations de l'hôpital de Vancouver en matière de protection des renseignements personnels des patients en vertu de la partie 3 de la Loi sur l'accès à l'information et la protection de la vie privée.

Ce document traite des préoccupations soulevées par la participation des universités de la Colombie-Britannique à la commercialisation de produits ou de services auprès des étudiants ou des anciens étudiants. Il aborde ces questions et comprend des recommandations au commissaire à l'information et à la protection de la vie privée pour que les universités et autres organismes publics améliorent leurs pratiques en matière de protection de la vie privée lorsque des informations personnelles sont collectées, utilisées ou divulguées à des fins de marketing.

Le Commissariat à l'information et à la protection de la vie privée (le Commissariat) a enquêté sur la divulgation de renseignements disciplinaires personnels par le British Columbia College of Teachers afin de vérifier si ses politiques et pratiques sont conformes à l'article 33 de la Freedom of Information and Protection of Privacy Act (la Loi).

En septembre 1996, la ville de Victoria a annoncé qu'elle devenait la première municipalité au Canada à fournir au public des informations sur l'évaluation des propriétés par le biais d'Internet. Ce nouveau service permet au public d'effectuer des recherches dans la base de données à partir du nom, de l'adresse et du numéro de rôle du propriétaire. Le Commissariat à l'information et à la protection de la vie privée a reçu un certain nombre de plaintes de citoyens inquiets pour leur vie privée. Le rapport du commissaire se concentre sur les questions de protection de la vie privée liées à la publication d'informations personnelles dans les bases de données immobilières. Il examine le système d'évaluation au sens large et plus particulièrement la BC Assessment Authority, qui assume le rôle de chef de file dans le système d'évaluation des propriétés.

Le présent rapport d'enquête est le résultat de l'examen de deux plaintes relatives à la protection de la vie privée déposées contre l'Insurance Corporation of British Columbia (ICBC), l'une concernant l'enquête de l'ICBC sur le "Customer Appeal Program" et l'autre sur la "Customer Satisfaction", toutes deux menées par Campbell Goodell Traynor de Vancouver. Les deux plaignants se sont opposés à la divulgation de leurs informations personnelles par l'ICBC à une société de recherche d'enquête sous contrat.

Le 28 septembre 1995, en réponse à une plainte déposée par un journaliste du Vancouver Sun, le Commissariat à l'information et à la protection de la vie privée (le Commissariat) a ouvert une enquête sur des retards présumés de l'ancien ministère des services sociaux (le ministère) à répondre à des demandes d'informations générales.

Le Commissariat à l'information et à la protection de la vie privée espère que la publication de ce rapport permettra de sensibiliser davantage le public à l'existence et à l'utilisation de la base de données sur les véhicules à moteur. Il existe de nombreux groupes d'utilisateurs de la base de données et, bien que la plupart des utilisations soient légalement autorisées et nécessaires au fonctionnement du système d'immatriculation et d'assurance des véhicules à moteur, il existe un risque très réel d'utilisation abusive des informations personnelles contenues dans le système.

Le 29 mars 1994, un plaignant a envoyé par télécopie une lettre au Commissariat à l'information et à la protection de la vie privée pour se plaindre du fait qu'il avait reçu des informations sur sa victime lorsqu'il avait reçu les dossiers de ses patients des Adult Forensic Psychiatric Out-Patient Services (la clinique) de la Forensic Psychiatric Services Commission (la Commission) du ministère de la Santé et du ministère responsable des personnes âgées (le ministère). Il a demandé au commissaire à l'information et à la protection de la vie privée de mener une enquête afin de déterminer si la communication d'informations à des tiers constituait une violation de la loi sur la protection des renseignements personnels et les documents électroniques.

Le plaignant, Jack Weisgerber, député, allègue qu'en réponse à une demande de documents de routine, le ministère des finances et des relations avec les entreprises a divulgué de manière inappropriée des informations personnelles.