Un disque dur portatif contenant des informations personnelles sur plus d'un demi-million de Canadiens qui ont bénéficié d'un prêt étudiant a été laissé sans surveillance pendant de longues périodes de temps et n'était pas protégé par un mot de passe ou du cryptage, a dévoilé mardi le Commissariat à la protection de la vie privée.
Les employés qui ont manipulé le disque dur n'étaient pas conscients du caractère très personnel des informations qu'il contenait, a conclu le rapport de la commissaire par intérim, Chantal Bernier.
Emploi et Développement social Canada a dévoilé, l'an dernier, que le disque dur contenait des renseignements personnels sur 583 000 bénéficiaires du Programme canadien de prêts aux étudiants entre 2000 et 2006.
Les fichiers répertoriaient le nom des étudiants, ainsi que leur numéro d'assurance sociale, leur date de naissance, leurs coordonnées et la balance du prêt. Le disque dur contenait également les coordonnées personnelles de 250 fonctionnaires du ministère.
Le rapport de la commissaire, déposé au Parlement, indique qu'un écart entre les politiques et les pratiques au ministère a mené à des lacunes dans la gestion de l'information, dans les contrôles de sécurité et dans la vigilance des employés.
La commissaire ajoute que des fonctionnaires ont violé des sections de la Loi sur la protection des renseignements personnels relatives à l'utilisation, la divulgation et la destruction des informations personnelles.
Le Commissariat avait ouvert une enquête en janvier 2013 après que le ministère eut rapporté que le disque dur était égaré depuis deux mois - il n'a jamais été retrouvé depuis. Les autorités ne savent pas s'il s'agit d'une erreur humaine ou d'un geste délibéré.
Le rapport de la commissaire a été déposé au moment où un juge de la Cour fédérale a autorisé un recours collectif par d'anciens étudiants qui cherchent à obtenir réparation pour violation de la vie privée et pour rupture de contrat.