Communication inappropriée présumée d'un numéro de carte de crédit à une tierce partie

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-144

[Principe 4.3 de l'annexe 1]

Plainte

Un homme a allégué que sa banque avait communiqué son nouveau numéro de carte de crédit, à son insu et sans son consentement, à un organisme qui détenait son ancien numéro.

Résumé de l'enquête

Il y a quelques années, le plaignant est devenu membre d'un organisme et s'est arrangé pour que l'organisme impute directement sa cotisation à son compte de titulaire de carte de crédit. L'année suivante, l'organisme a communiqué avec lui pour qu'il renouvelle sa cotisation de membre; le plaignant a refusé, mais son compte a quand même été débité. Le plaignant a communiqué avec sa banque, qui a crédité le compte. Peu de temps après, le plaignant a annulé sa carte de crédit et en a obtenu une nouvelle de la même banque. Quelques mois plus tard, l'organisme a repris contact avec le plaignant pour qu'il renouvelle son adhésion. Le plaignant a de nouveau refusé, mais le compte de sa nouvelle carte de crédit a malgré tout enregistré un débit du montant de la cotisation.

Ayant conclu que la banque avait communiqué son nouveau numéro de carte de crédit, le plaignant est entré en communication avec la banque pour se plaindre de la divulgation et du débit non autorisé. La banque a accepté de rembourser les frais et lui a expliqué que, pour rendre service à sa clientèle, elle lie l'ancien compte d'un titulaire de carte de crédit avec son nouveau compte, afin de faciliter certains paiements pré-autorisés que le client aurait enregistrés avec l'ancienne carte et souhaiterait voir honorés par la banque jusqu'au moment où il informera les marchands de son nouveau numéro. La banque a déclaré ne pas avoir communiqué le nouveau numéro de compte à l'organisme.

Le plaignant est aussi entré en communication avec l'organisme pour se plaindre de l'encaissement du paiement non autorisé. L'organisme a accepté de rembourser le plaignant, mais puisqu'il ne connaissait pas le nouveau numéro de carte de crédit, il a dû d'abord le demander et l'obtenir du plaignant.

Le plaignant a mis en doute le fait que la banque ait bel et bien lié les comptes comme elle l'a affirmé, puisqu'il devait autoriser le paiement de son fournisseur de service Internet chaque mois. La banque a expliqué que certaines entreprises préfèrent obtenir une pré-autorisation de la banque avant d'imputer un paiement, peu importe la fréquence des paiements. Les entreprises qui choisissent cette méthode doivent détenir le numéro de compte courant pour être en mesure de vérifier à l'avance la capacité de payer du titulaire de la carte. Les anciennes cartes et les nouvelles ne sont pas liées dans ce cas.

Conclusions du commissaire

Rendues le 1^er avril 2003

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) s'applique à toute installation, ouvrage, entreprise ou secteur d'activité fédéral. Le commissaire avait compétence dans cette cause, puisqu'une banque est une installation, ouvrage, entreprise ou secteur d'activité fédéral au sens de la Loi.

Application : Le principe 4.3 stipule que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire.

Le commissaire a déterminé que le processus de liaison entre l'ancien compte et le nouveau n'a pas eu pour résultat de divulguer un renseignement personnel à l'organisme chargeant les frais. L'organisme n'a pas été informé de l'existence d'un nouveau compte. En l'occurrence, le plaignant a pris contact avec l'organisme au sujet des frais imputés.

Le commissaire a donc jugé que la banque n'avait communiqué aucun renseignement personnel concernant le plaignant et qu'elle n'avait pas contrevenu au principe 4.3.

Le commissaire a conclu que la plainte était non fondée.