Une banque est accusée d'intentions trompeuses dans la collecte de la date de naissance

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2002-45

[principes 4.2 et 4.4, annexe 1]

Plainte

Un individu s'est plaint qu'une banque ait tenté de façon inappropriée de recueillir ses renseignements personnels, et plus particulièrement sa date de naissance, pour fins de déclaration du revenu, lorsqu'il a voulu ouvrir un compte par téléphone.

Résumé de l'enquête

Le plaignant a allégué que, lorsqu'il avait appelé pour ouvrir un compte d'épargne, un téléphoniste de la banque lui a dit que sa date de naissance était requise « pour fins de déclaration du revenu ». Il s'est opposé, en faisant valoir que la loi oblige déjà les banques à recueillir les numéros d'assurance sociale (NAS) pour fins de déclaration du revenu et qu'il ne voyait pas la nécessité de recueillir les dates de naissance également aux mêmes fins.

La banque a confirmé qu'elle a pour politique de recueillir les dates de naissance comme condition obligatoire de l'ouverture d'un compte et de ne laisser aucune marge de manouvre quant aux genres de renseignements exigés des demandeurs de compte. Cependant, la banque a dit qu'elle recueillait les dates de naissance aux fins de la déclaration du revenu plutôt que pour l'identification des demandeurs. La banque a aussi évoqué les modifications proposées au Règlement sur le recyclage des produits de la criminalité, qui, si elles sont adoptées comme prévu cette année, obligeront toutes les institutions financières à recueillir les dates de naissance à titre d'identificateurs des titulaires de compte.

En l'absence de dossiers concernant la conversation téléphonique en question, il n'a pas été possible d'établir qui était le téléphoniste à qui le plaignant a parlé. Par conséquent, il n'a pas été possible d'approfondir la divergence apparente entre la fin énoncée et la fin officielle de la collecte des dates de naissance ni d'évaluer par ailleurs si le téléphoniste comprenait bien la politique de la banque et les fins de la collecte des renseignements personnels.

Il a été possible, par contre, d'établir quelle est la pratique habituelle de la banque en matière d'identification en consultant le formulaire de demande en direct de la banque pour les comptes d'épargne à taux à paliers. Sur ce formulaire, l'indication de la date de naissance est « obligatoire », mais ni le formulaire lui-même ni les conditions qui l'accompagnent n'expliquent comment la date de naissance du demandeur est utilisée ni pourquoi sa mention est obligatoire. En bref, il n'y a pas la moindre preuve que la banque ait pour pratique d'expliquer pourquoi elle recueille des renseignements personnels des demandeurs de compte.

Conclusions du commissaire

Rendues le 11 avril 2002

Compétence : Depuis le 1er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques s'applique aux entreprises fédérales. Le commissaire avait compétence dans cette cause parce que les banques sont des entreprises fédérales selon la définition de la Loi.

Application : Le principe 4.2 indique que les fins auxquelles des renseignements personnels sont recueillis doivent être déterminées avant la collecte ou au moment de celle-ci. Le principe 4.2.1 indique que l'organisation doit documenter les fins auxquelles elle recueille les renseignements personnels. Le principe 4.2.3 mentionne qu'il faudrait préciser à la personne auprès de laquelle on recueille des renseignements, avant la collecte ou au moment de celle-ci, les fins auxquelles ils sont destinés et que cette précision peut être communiquée de vive voix ou par écrit, selon la façon dont se fait la collecte. Le principe 4.4 précise que l'organisation ne peut recueillir que les renseignements personnels nécessaires aux fins déterminées.

Le commissaire a établi ce qui suit :

• La prévision d'un besoin ne constitue pas en soi un besoin. La possibilité qu'un règlement révisé puisse un jour obliger toutes les banques à recueillir les dates de naissance de leurs clients ne rend en rien nécessaire la collecte immédiate des dates de naissance et ne justifie pas une politique en ce sens.
• Loin de démontrer la nécessité de recueillir les dates de naissance à une fin particulière, la banque n'a pas fait d'effort perceptible pour documenter ou préciser autrement les fins auxquelles elle recueille les renseignements personnels des demandeurs de compte.
• Bien qu'elle ait désigné certains renseignements comme obligatoires dans son formulaire de demande en direct, la banque ne précise pas à l'individu, avant la collecte des renseignements ou au moment de celle-ci, les fins auxquelles elle recueille ses renseignements.
• Puisque les fins ne sont pas documentées ni précisées autrement au départ, il s'ensuit que la banque ne peut en rien être réputée limiter sa collecte de renseignements personnels à ceux qui sont nécessaires aux fins déterminées.

Le commissaire a donc conclu que la banque n'avait pas respecté les principes 4.2, 4.2.1, 4.2.3 et 4.4.

Le commissaire a conclu que la plainte était fondée.

Autres considérations

Le commissaire a fait les recommandations suivantes :

• La banque devrait cesser de recueillir les dates de naissance comme condition obligatoire de l'ouverture d'un compte tant que cette collecte ne sera pas exigée par règlement.
• La banque devrait préciser et documenter les fins auxquelles elle recueille les renseignements personnels des demandeurs de compte, conformément aux principes 4.2 et 4.2.1.
• La banque devrait adopter des mesures pour préciser aux particuliers, avant la collecte ou au moment de celle-ci, les fins auxquelles elle recueille les renseignements personnels, conformément au principe 4.2.3. Pour ce qui est du formulaire de demande en direct, une de ces mesures pourrait être l'inclusion de « fenêtres » électroniques pour expliquer l'objet de la collecte de chaque renseignement demandé.
• Tout particulièrement pour les demandes d'ouverture de compte par téléphone, la banque devrait donner à ses téléphonistes des instructions appropriées sur la façon d'expliquer les fins de la collecte, conformément au principe 4.2.5. Ce principe stipule que les personnes qui recueillent des renseignements personnels devraient être en mesure d'expliquer à la personne concernée à quelles fins sont destinés ces renseignements.

Le commissaire a demandé à la banque de lui indiquer dans les 60 jours qui suivent où elle en est dans la mise en ouvre de ces recommandations.