L’affaire avait fait grand bruit en janvier dernier, à quelques jours de celle de la CIBC, suite au fait qu’un nombre énorme de renseignements personnels avaient été rendus accessibles à des personnes non autorisées. En effet, les serveurs de JTX (société mère de Winners) « avait fait l’objet d’une intrusion touchant les renseignements personnels d’environ 45 millions d’utilisateurs de cartes au Canada, aux États-Unis, à Puerto Rico, au Royaume-Uni et en Irlande ». Quand même. Or, le rapport d’enquête sur la sécurité, la collecte et la conservation des renseignements personnels a été publié hier le 25 septembre 2007, identifiant les manquements existant de cette compagnie en terme de gestion des renseignements personnels.

Trois grandes questions présentées (au paragraphe 27) sont :

  • L’organisation avait-elle un motif raisonnable pour conserver les renseignements personnels touchés par la brèche ?
  • L’organisation conservait-elle les renseignements conformément à la LPRPDÉ et à la PIPA ?
  • L’organisation avait-elle mis en place des mesures de sécurité raisonnables afin de protéger les renseignements personnels qu’elle conservait ?

Et à ces trois questions, la réponse est « non », et ce, même si depuis des mesures ont été prises. Les commentaires sur la question relative à la sécurité sont particulièrement intéressants dans la mesure où ils scrutent précisément ce que sont des procédures raisonnables.

Le principe 4.7 de la LPRPDÉ, selon lequel les renseignements personnels doivent être protégés au moyen de mesures de sécurité correspondant à leur degré de sensibilité est donc analysé en profondeur.

À lire absolument aux paragraphes 68 et suivants. Voir également le rapport d’investigation