Une femme accuse sa banque d'avoir donné à sa mère des renseignements sur son compte bancaire

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2002-100

[Principes 4.3 et 4.7 de l'annexe 1]

Plainte

Une personne a allégué qu'une employée de sa banque a communiqué des renseignements sur son compte bancaire à la mère de la plaignante.

Résumé de l'enquête

La représentante de la banque a téléphoné à la résidence de la plaignante pendant les heures d'affaires. À l'époque, la plaignante vivait avec sa mère, qui porte le même nom que la plaignante. L'employée de la banque n'a pas demandé à parler à la personne en donnant son nom et prénom, mais plutôt en indiquant seulement son nom. La plaignante et sa mère ont toutes deux des comptes bancaires à la même succursale. La mère a répondu qu'elle était cette personne et la conversation s'est poursuivie, l'employée de la banque divulguant le solde du compte bancaire. La mère s'est alors rendue compte que l'employée ne parlait pas à la bonne personne. Elle en a informé la représentante de la banque, et l'appel téléphonique s'est terminé.

Le Commissariat a examiné les procédures qu'a la banque pour identifier les clients au cours de conversations téléphoniques. La banque a confirmé que l'employée avait été formée relativement à ces procédures mais qu'elle ne les avait pas respectées lors de son appel à la résidence de la plaignante.

La plaignante a jugé que la communication était accidentelle et qu'il y avait suffisamment de politiques et de procédures en place pour la protection de ses renseignements personnels. Toutefois, la plaignante a été d'avis que la banque ne s'était pas pleinement rendue compte des effets négatifs de la communication sur sa vie, et ne s'était pas intéressée adéquatement à ses préoccupations.

Conclusions du commissaire

Rendues le 19 décembre 2002

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) s'applique aux entreprises fédérales. Le commissaire avait compétence dans cette cause parce qu'une banque est une entreprise fédérale selon la définition de la Loi.

Application : Le principe 4.3 établit que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire.

Puisqu'il était clair et incontesté que la banque avait communiqué les renseignements personnels de la plaignante à son insu et sans son consentement, le commissaire a conclu que la banque avait contrevenu au principe 4.3.

Le commissaire a conclu que la plainte était fondée.

Autres considérations

Le commissaire était convaincu que la banque était dotée de procédures qui, lorsque respectées, offraient des mesures de sécurité appropriées conformément au principe 4.7, qui énonce que les renseignements personnels doivent être protégés au moyen de mesures de sécurité correspondant à leur degré de sensibilité. Selon le commissaire, cet incident était unique et n'était pas révélateur d'un problème généralisé à la banque.