Une agence de crédit est accusée de communication inappropriée de renseignements personnels

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-150

[Principes 4.3 et 4.7]

Plainte

Un particulier s'est plaint qu'une agence de crédit a procédé à une communication inappropriée de ses renseignements personnels. Précisément, il a allégué que l'agence avait joint les renseignements personnels relatifs à son prêt automobile conjoint avec son épouse au dossier de son fils, et avait ensuite communiqué ces renseignements à une banque qui faisait une enquête sur les antécédents de crédit du fils.

Résumé de l'enquête

Le fils du plaignant avait fait une demande de marge de crédit auprès d'une banque, et sa demande a été refusée à cause d'un prêt automobile inscrit à son dossier. Or, ce prêt n'était pas le sien. Lorsque le fils a d'abord approché l'agence d'évaluation de crédit pour faire corriger l'erreur, celle-ci l'a informé que, d'après l'entreprise automobile, le prêt était à lui. Cependant, après que le plaignant a communiqué avec l'entreprise automobile, qui a tiré les choses au clair avec l'agence en lui expliquant que le prêt était au nom de ce dernier et de sa femme, et non à celui du fils, l'agence a alors apporté la correction voulue au dossier du fils.

L'agence de crédit a expliqué qu'elle reçoit de l'entreprise automobile de l'information sur les prêts chaque mois par voie électronique. Le système informatique de l'agence compare cette information avec tous ses dossiers de crédit à la consommation et la joint à celui qui obtient le plus de résultats ou qui s'en rapproche le plus.

Dans ce cas-ci, l'erreur s'est produite parce que le fils et l'épouse du plaignant avaient la même initiale de prénom en plus d'avoir le même nom de famille et la même adresse. L'information au sujet du prêt automobile conjoint du plaignant et de son épouse a été associée au dossier du fils parce que seule l'initiale du prénom et le nom de famille de ce dernier figuraient à son dossier et parce que l'entreprise automobile n'avait transmis que des renseignements très limités au sujet du prêt. L'agence a reconnu que ce genre de problème s'était déjà présenté avec d'autres dossiers dans des circonstances similaires, quoique rarement.

À la suite de cette erreur, les renseignements personnels du plaignant ont été communiqués à la banque. Après le dépôt de la plainte auprès du Commissariat à la protection de la vie privée, l'agence a reconfirmé que le prêt n'était pas au nom du fils et a de nouveau émis un rapport corrigé à tous les membres qui avaient effectué des enquêtes de crédit à son sujet dans les six derniers mois, y compris la banque. De plus, l'agence a mis son nom sur une liste de surveillance manuelle, ce qui veut dire que, chaque mois, un employé vérifie son dossier pour s'assurer que le prêt automobile n'y est pas réapparu et que toute entrée qui porte seulement son initiale est bien à lui.

Conclusions du commissaire

Rendues le 11 avril 2003

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) s'applique à toutes les installations, ouvrages, entreprises ou secteurs d'activité fédéraux, de même qu'aux organisations qui communiquent des renseignements personnels pour contrepartie à l'extérieur de la province. Le commissaire a établi que l'agence avait communiqué des renseignements personnels pour contrepartie à l'extérieur de la province (du bureau de l'agence dans une province au bureau de la banque dans une autre province).

Application : Le principe 4.3 établit que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire. Le principe 4.7 stipule que les renseignements personnels doivent être protégés au moyen de mesures de sécurité correspondant à leur degré de sensibilité.

De l'avis du commissaire, la question essentielle dans cette cause était la protection des renseignements personnels. Il était indiscutable que l'agence n'avait pas rapporté correctement le prêt du plaignant et qu'elle avait communiqué ses renseignements personnels sans l'en informer ou obtenir son consentement. Le commissaire s'est posé la question de savoir si l'agence de crédit avait mis en place des mesures de sécurité appropriées qui auraient pu prévenir ce problème. L'agence a reconnu que des rapports inexacts avaient été produits dans d'autres cas. La preuve a démontré clairement que l'agence n'avait pas suffisamment protégé les renseignements personnels du plaignant, tel que l'exige le Principe 4.7 et, en conséquence, a communiqué ses renseignements personnels à son insu et sans son consentement, contrevenant ainsi au Principe 4.3.

Le commissaire a donc conclu que la plainte était fondée.

Autres considérations

En examinant la cause, le commissaire a noté un délai de deux mois entre le moment où l'agence a d'abord été informée du problème et le moment où elle l'a résolu. Le commissaire a recommandé que, dans pareille situation, l'agence joigne une note au dossier indiquant qu'un élément fait l'objet d'un litige et qu'une enquête est en cours. Ainsi, un organisme qui consulte le dossier d'une personne au cours de cette période serait informé qu'il s'y trouve peut-être une erreur et il pourrait en tenir compte au moment de prendre une décision finale concernant cette personne. Sinon, il y a risque que des particuliers subissent des conséquences très négatives, telles que de se voir refuser un prêt étudiant, comme dans ce cas-ci, ou peut-être une hypothèque, et cela, parce qu'une décision aura été prise sur la base de renseignements erronés.