Un abonné s'oppose au fait qu'un magazine loue son nom et son adresse à des commerçants

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-167

[Principes 4.2.3, 4.3, 4.3.2, 4.3.5 et 4.5, Annexe 1]

Plainte

Un abonné d'un magazine s'est plaint que son nom et son adresse avaient été vendus ou loués par cet organisme à des tierces parties, sans son consentement.

Résumé de l'enquête

Dans une lettre adressée au magazine en question, le plaignant s'est élevé contre le fait que son nom et son adresse avaient été vendus par le magazine à d'autres entreprises; il a exigé que son nom soit retiré de toute liste de distribution utilisée à cet effet et a demandé pourquoi la carte d'abonnement du magazine ne comportait aucun avis sur une telle pratique. Le magazine lui a répondu l'assurant qu'il avait retiré son nom de sa base de données de listes de location d'adresses et qu'il avait avisé les compagnies qui louaient ses listes d'adresses d'en faire autant et que, si tel était son souhait, tous les organismes membres de l'Association canadienne du marketing (ACM) excluraient son nom du marketing direct. Le magazine a signalé que la cartouche de titre de chacun de ses numéros comportait un avis relatif à la pratique en question et à la procédure à suivre pour faire retirer son nom des listes.

La cartouche de titre du magazine comprenait effectivement un avis précisant que les noms des abonnés étaient parfois transmis à d'autres entreprises et que ces derniers pouvaient demander par écrit de ne pas faire partie des listes d'envoi postal. Cependant, l'avis apparaissait en très petits caractères et figurait dans un paragraphe truffé de renseignements divers, au bas d'une colonne. En outre, les entreprises ou les types d'entreprises auxquels les noms des abonnés étaient communiqués n'étaient pas précisés, la cartouche de titre n'établissait pas explicitement que les adresses des abonnés seraient aussi transmises et elle ne signalait qu'une méthode pour faire retirer son nom des listes de location d'adresses (c'est-à-dire une demande par écrit). La carte d'abonnement du magazine ne comportait aucun avis de ce genre.

Le magazine a prétendu qu'il avait non seulement mis en pratique ce que font la plupart des magazines, mais qu'il avait aussi respecté les directives établies par l'ACM. Il a néanmoins reconnu que le code privé de l'ACM manquait de clarté relativement à la question du retrait du nom; il a en outre convenu qu'il s'agissait d'un problème sur lequel il fallait se pencher conformément à la Loi et il a signalé qu'il accueillerait favorablement les recommandations formulées par le commissaire. Cependant, il était aussi préoccupé par le fait de se retrouver avec un désavantage concurrentiel s'il devait assumer un niveau de communication différent de celui qui était en vigueur dans le reste de l'industrie. Il a informé le Commissariat à la protection de la vie privée de son intention de communiquer à l'ACM, pour discussion, les recommandations présentées par le commissaire.

Conclusions du commissaire

Rendues le 11 avril 2003

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques s'applique non seulement à toutes les installations, ouvrages, entreprises ou secteurs d'activité fédéraux, mais aussi aux renseignements personnels communiqués au-delà des frontières par tout organisme. Le présent cas est du ressort du commissaire parce qu'il a été établi que le magazine communique parfois des renseignements sur ces abonnés à des entreprises situées dans d'autres provinces et aux États-Unis.

Application : Principe 4.2.3 : « Il faudrait préciser à la personne auprès de laquelle on recueille des renseignements, avant la collecte ou au moment de celle-ci, les fins auxquelles ils sont destinés. » Principe 4.3 : « Toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire. » Principe 4.3.2 : Suivant l'exigence d'« information », « les organisations doivent faire un effort raisonnable pour s'assurer que la personne est informée des fins auxquelles les renseignements seront utilisés. Pour que le consentement soit valable, les fins doivent être énoncées de façon que la personne puisse raisonnablement comprendre de quelle manière les renseignements seront utilisés ou communiqués. » Principe 4.3.5 : « Dans l'obtention du consentement, les attentes raisonnables de la personne sont aussi pertinentes. » Principe 4.5 : « Les renseignements personnels ne doivent pas être utilisés ou communiqués à des fins autres que celles auxquelles ils ont été recueillis à moins que la personne concernée n'y consente ou que la loi ne l'exige. »

Le commissaire a trouvé particulièrement intéressante la question soulevée par le plaignant : pourquoi l'organisme n'avait-il pas cru bon d'indiquer, sur la carte d'abonnement du plaignant, qu'il comptait communiquer les renseignements fournis par celui-ci sur cette carte – Le commissaire a remarqué qu'en posant cette question, le plaignant avait en fait montré qu'il s'était attendu à ce que le magazine lui signale franchement cette autre fin, au moment où il avait décidé de s'abonner et donc de confier ses renseignements personnels à l'organisme. La tâche du commissaire a été d'établir si de telles attentes de la part du plaignant avaient été raisonnables.

Le commissaire a souligné qu'il avait déjà établi qu'une personne, quand son consentement est à peine pris en considération lorsqu'il s'agit de communiquer ses renseignements personnels à une tierce partie, a d'autant plus de raisons d'exiger que l'organisme en question soit franc et consciencieux lorsqu'il explique ses intentions et la possibilité qu'a cette personne de faire retirer son nom des listes. Le commissaire a donc eu tendance à faire peser de tout leur poids les principes voulant que la personne soit « informée », notamment les principes 4.2.3 et 4.3.2, ainsi que les attentes raisonnables de la personne, jugées pertinentes en vertu du principe 4.3.5.

Puisqu'il prenait la liberté de présumer du consentement du plaignant à l'égard de ses autres fins, l'organisme aurait aussi dû prendre la peine de les signaler clairement et directement au plaignant à l'époque où ce dernier comptait s'abonner. Le plaignant a eu de bonnes raisons de s'attendre :

• à être informé, sur-le-champ, du fait qu'on tenait pour acquis son consentement;
• à ce que toutes les autres fins auxquelles étaient destinés ses renseignements personnels lui soient signalées et expliquées sur-le-champ, de manière à ce qu'il sache lesquels risquaient d'être communiqués, et quelle était la nature des tierces parties auxquelles on comptait les communiquer;
• à ce qu'on lui fournisse sur-le-champ, au cas où il n'accorderait pas son consentement, un moyen pratique et immédiat de retirer son nom des listes avant que ses renseignements personnels ne soient communiqués sans son accord.

Réciproquement, ce n'était pas au plaignant de faire des recherches actives ici et là pour vérifier quelles étaient les autres fins de l'organisme.

Tout compte fait, le commissaire a établi que le magazine, en se fiant uniquement à un énoncé d'objet quelconque, incomplet et écrit en petits caractères et en ne fournissant pas au plaignant au moment de l'abonnement une possibilité raisonnable de faire retirer son nom des listes, ne pouvait en aucun cas être considéré comme ayant dûment précisé au plaignant ses autres fins, lesquelles étant de communiquer les renseignements personnels de ce dernier à des tierces parties, ou comme ayant fait autrement un effort raisonnable pour aviser de manière intelligible le plaignant de ces fins. Le commissaire a donc jugé que l'organisme contrevenait aux principes 4.2.3 et 4.3.2.

En outre, le commissaire a établi que le magazine, compte tenu du fait qu'il avait omis d'informer dûment le plaignant conformément aux attentes raisonnables de ce dernier, ne pouvait rationnellement être considéré comme ayant obtenu le consentement du plaignant. Par conséquent, le commissaire a conclu que l'organisme avait aussi enfreint les principes 4.3 et 4.5.

Le commissaire a conclu que la plainte était fondée.

Autres considérations

Avant de formuler des recommandations, le commissaire a précisé que ses conclusions dans un cas donné n'étaient nullement sujettes à l'approbation de l'industrie. La Loi était la nouvelle norme sur laquelle l'industrie devait se baser pour gérer les renseignements personnels, et il s'attendait à ce qu'elle ne soit pas moins respectée par l'industrie dans son ensemble que par les organismes particuliers qui faisaient partie de cette industrie. Il a pleinement approuvé l'intention du magazine de présenter les recommandations du commissaire à l'ACM pour fins de discussion, mais il tenait à ce que l'on comprenne bien qu'elles n'étaient pas négociables, mais plutôt qu'elles devaient être adoptées.

Le commissaire a recommandé que le magazine : (1) ajoute un énoncé d'objet et prévoie une case sur son formulaire d'abonnement où la personne pourra indiquer en cochant qu'elle refuse que ses nom et adresse soient communiqués; (2) mette l'énoncé bien en vue, en caractères de grosseur courante, et précise les renseignements qui seront communiqués (p.ex. nom et adresse) et à quels organismes ils le seront (si les organismes sont au moins identifiés selon leur type, et que les renseignements qui seront communiqués restent limités aux nom et adresse, le magazine peut continuer d'utiliser la forme de consentement « passif »); (3) fournisse et mette en valeur un mécanisme permanent à partir duquel les abonnés peuvent facilement, à peu de frais et rapidement, retirer tout consentement; un tel mécanisme comprendrait un numéro de téléphone sans frais; (4) comme suite à la mise en œuvre immédiate, respecte son intention de présenter les recommandations du commissaire à l'ACM et, par le fait même, précise que celui-ci s'attend à ce que tous les membres de l'ACM les adoptent rapidement en tant que nouvelle norme de conformité de l'industrie.