Communication alléguée sans consentement de renseignements personnels pour des fins secondaires de marketing par une entreprise

Résumé de conclusions d'enquêtes en vertu de la LPRPDE n^o 2002-78

[Principes 4.2.3, 4.3, 4.3.1, 4.3.2 et 4.3.5 de l'Annexe 1]

Plainte

Une personne a déposé une plainte parce qu'une entreprise avait, sans consentement, recueilli, utilisé ou communiqué des renseignements personnels pour des fins secondaires de marketing.

En particulier, elle a allégué que l'entreprise n'informe pas ses clients de sa politique d'utiliser et de communiquer des renseignements personnels sur les clients à ses filiales pour des fins secondaires de marketing et ne leur donne pas l'occasion de se désister de la communication de ces renseignements.

Cette plainte est une parmi plusieurs déposées par la même personne contre un certain nombre d'organisations. Sa position se résume comme suit :

• Il convient toujours d'informer les clients et d'obtenir leur consentement avant de communiquer des renseignements pour des fins secondaires de marketing.
• Les compagnies de marketing et les clients potentiels ne partagent pas les mêmes vues au sujet du consentement qu'il convient d'obtenir.
• Les entreprises devraient non seulement déclarer les fins de la communication de renseignements personnels dans un document de politique mais aussi informer les clients individuellement de la pratique de communiquer ces renseignements, et leur donner la possibilité de retirer le consentement de les communiquer.
• Les entreprises ne respectent pas cette obligation à plusieurs égards :

  (a) en se fondant sur un document qui n'est pas fourni aux clients, elles obligent ainsi le client à prendre l'initiative;

  (b) en enfouissant ces renseignements dans un long document et en les imprimant en petits caractères;

  (c) en ne rédigeant pas ces renseignements en termes clairs et simples pour qu'un client ordinaire puisse les comprendre;

  (d) en ne fournissant pas aux clients des renseignements suffisamment détaillés au sujet de l'ampleur et des fins de l'utilisation et de la communication envisagées des renseignements personnels; et,

  (e) en ne donnant pas de démarche facile pour refuser le consentement de communiquer ces renseignements.

Résumé de l'enquête

L'entreprise est constituée de plusieurs divisions, qui ne sont pas des entreprises distinctes. Parmi celles-ci, l'une offre un programme pour les clients assidus de l'entreprise dont la récompense est versée sous forme de points pour des achats faits auprès de leurs commanditaires. L'entreprise mentionne notamment qu'elle utilise et communique les renseignements personnels recueillis auprès de ses membres à des fins de commercialisation. L'enquête confirme que les renseignements personnels effectivement communiqués sont restreints et que leur communication n'est faite qu'aux commanditaires du programme.

L'enquête a porté sur la documentation et les procédures de l'entreprise qui traitent des renseignements personnels. L'enquête a permis de constater ce qui suit :

• Lors de son adhésion au programme, le client donne son consentement soit en signant le formulaire d'adhésion, lorsqu'il y procède en personne, soit verbalement lorsqu'il adhère au programme par téléphone, soit en choisissant la case appropriée lorsqu'il y adhère en ligne.
• Un engagement solennel de l'entreprise quant au respect de la vie privée apparaît au formulaire, lequel précise en outre les fins auxquelles les renseignements personnels recueillis seront utilisés et communiqués, décrivant notamment comment l'entreprise utilise des renseignements personnels dans le cadre de ses activités promotionnelles, et précisant également les restrictions qu'elle s'impose en matière de communication de renseignements personnels. L'entreprise offre notamment la possibilité de refuser de donner un consentement, précisant par ailleurs qu'un tel refus doit être fait par écrit.
• Le libellé de cet engagement est le même tant sur le formulaire électronique que sur la copie matérielle de ce document.

Lors de l'examen du libellé du texte pour l'adhésion téléphonique au programme, l'enquête révéla notamment ce qui suit :

• Bien que le texte mentionne les fins auxquelles les renseignements sont recueillis, il n'y a aucune mention des autres informations sur le respect de la vie privée que l'on retrouve au texte des formulaires imprimés ou électroniques.
• Le libellé de ce texte porte à croire que le postulant ne peut pas refuser son consentement relativement à l'une ou l'autre des fins mentionnées quant à l'utilisation qui serait faite des renseignements personnels recueillis.

L'entreprise dispose en outre d'un énoncé de son engagement envers la protection des renseignements personnels recueillis, lequel est disponible tant sous la forme d'une brochure qu'en format électronique sur son site Web. L'entreprise a également transmis à ses divers membres des informations en matière de protection des renseignements personnels, depuis l'entrée en vigueur de la Loi.

En résumé, l'entreprise estime que ses documents et ses procédures permettent de renseigner convenablement les clients et d'obtenir leur consentement.

Conclusions du commissaire

Rendues le 16 octobre 2002

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques s'applique aux entreprises fédérales ainsi qu'à toute entreprise qui communique des renseignements personnels outre frontière pour contrepartie. Le commissaire a compétence en l'instance puisque l'entreprise communique des renseignements personnels outre frontière pour contrepartie au sens de la Loi.

Application : Le principe 4.3 énonce que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire. Le principe 4.3.2 énonce que les organisations doivent faire un effort raisonnable pour s'assurer que la personne est informée des fins auxquelles les renseignements seront utilisés; pour que le consentement soit valable, les fins doivent être énoncées de façon que la personne puisse raisonnablement comprendre de quelle manière les renseignements seront utilisés ou communiqués. Le principe 4.3.5 stipule que dans l'obtention du consentement les attentes raisonnables de la personne sont pertinentes.

Dans le cadre de son délibéré, le commissaire s'est notamment fondé sur deux autres dispositions de la Loi afin d'apprécier l'opportunité de la position exprimée par le plaignant en l'instance. Le principe 4.2.3 énonce que les fins auxquelles les renseignements sont destinés doivent être précisées avant la collecte ou au moment de celle-ci. Le principe 4.3.1 stipule que le contenu servant à l'utilisation ou à la communication devrait normalement être obtenu au même moment que les renseignements sont recueillis et, dans tous les cas, avant qu'ils ne soient utilisés.

Le commissaire a conclu que les attentes du client décrites dans sa plainte sont raisonnables et conformes à la Loi.

Dans le cadre de son enquête, le commissaire s'est estimé fort satisfait des efforts déployés par l'entreprise en ce qui concerne les communications relatives à la protection des renseignements personnels en général. Il a toutefois relevé que le seul moyen par lequel l'entreprise avait cherché à informer ses clients de ses pratiques en matière de communication des renseignements personnels recueillis à leur sujet pendant leur inscription consistait en l'engagement souscrit par celle-ci qui apparaît sur le formulaire d'inscription et dans le processus d'inscription en ligne, et en l'énoncé du texte lu au téléphone. Seul l'engagement fait expressément référence à l'obtention du consentement des clients aux modalités et conditions énoncées, en souscrivant le formulaire prévu à cet effet.

Le commissaire estima par ailleurs que les énoncés de l'entreprise quant aux fins de la collecte des renseignements étaient clairs et intelligibles. Les formulaires exposaient également d'une manière raisonnablement claire la possibilité offerte aux personnes qui le souhaitaient de refuser de recevoir des communications publicitaires. Il releva l'absence, sur les formulaires, d'un numéro de ligne téléphonique sans frais ou d'une case à cocher dont la présence aurait pu rendre ce choix encore plus évident.

Dans l'ensemble, le commissaire s'est dit satisfait du fait que l'entreprise avait effectivement pris des mesures raisonnables afin d'informer les clients des fins secondaires de la collecte des renseignements, soit des fins de commercialisation.

Par contre, il a relevé particulièrement la teneur du texte lu au téléphone en se disant préoccupé par le fait que les clients choisissant de s'inscrire en communiquant par téléphone ne recevaient pas la même information que ceux qui utilisaient le formulaire écrit pour ce faire. Les informations présentées dans le texte lu au téléphone ne sont pas aussi claires qu'elles le sont sur le formulaire. On n'y dit pas que l'utilisation des renseignements personnels aux fins de commercialisation est facultative, ni que le client peut refuser de donner son consentement à leur utilisation à ces fins.

Sauf en ce qui a trait aux inscriptions au téléphone, le commissaire a conclu que les documents de communication ainsi que le processus employé pour obtenir le consentement dénotaient un effort raisonnable en vue de veiller à ce que la personne soit dûment avisée des fins secondaires de la communication des renseignements personnels recueillis. Il s'agit là d'éléments valables permettant une connaissance et un consentement éclairé à cet égard. Toutefois, il a conclu que le libellé du texte lu au téléphone et l'absence d'un numéro de ligne téléphonique sans frais permettant de refuser le consentement ne respectaient pas les exigences des principes 4.3, 4.3.2 et 4.3.5 de l'Annexe 1 de la Loi.

Le commissaire a conclu que la plainte était fondée.

Autres considérations

Le commissaire recommande que les formulaires d'inscription prévoient une case à cocher pour les personnes refusant de donner leur consentement à l'utilisation aux fins de commercialisation ou que l'entreprise offre l'accès à une ligne téléphonique sans frais à cet effet.

Il a également recommandé que l'entreprise révise ses communications écrites, notamment les textes servant à obtenir le consentement des personnes dans le cadre du processus d'inscription ainsi que le libellé du texte lu au téléphone, afin de s'assurer de la clarté et de la cohérence du discours en ce qui a trait aux éléments suivants :

1. préciser les éléments ou les types de renseignements personnels qu'elle recueille, utilise et communique aux fins de commercialisation;
2. définir ses activités au plan de la communication de ces renseignements; et
3. publiciser la possibilité offerte aux membres de refuser de donner leur consentement aux fins de commercialisation ainsi que la méthode proposée à cet effet.