Une banque est accusée d'avoir communiqué à l'employeur d'une débitrice des renseignements sans son consentement

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-168

[Principes 4.1.3 et 4.3 de l'annexe 1]

Plainte

La cliente d'une banque allègue que celle-ci a indûment communiqué à son employeur, par l'intermédiaire de l'employée d'une agence de recouvrement, des renseignements personnels concernant le solde en souffrance de sa carte de crédit.

Résumé de l'enquête

L'employée d'une agence de recouvrement liée par contrat à une banque a fait un appel téléphonique de six minutes au lieu de travail de la plaignante. L'employée a indiqué qu'elle a été mise en attente pendant tout ce temps et n'a jamais parlé à l'employeur de la plaignante. Elle a également produit une déclaration sous serment indiquant n'avoir jamais communiqué de renseignements personnels concernant la plaignante à l'employeur de celle-ci ni à une autre tierce partie.

La plaignante allègue que le jour de l'appel en question, l'employée a bien été mise en communication avec l'employeur et a indiqué à celui-ci, sur un ton agressif et menaçant, que son entreprise protégeait la plaignante contre son créancier, qu'il serait poursuivi pour complicité et qu'il recevrait la visite d'un huissier dès le lendemain.

Conjointement avec l'agence de recouvrement, la banque a mené une enquête interne sur la plainte. L'enquête a consisté en des entrevues avec l'agente de recouvrement et ses collègues. La plaignante et son employeur n'ont pas été interviewés ni invités à témoigner. La banque a conclu que rien n'indiquait que l'agente avait communiqué des renseignements personnels concernant la plaignante.

Dans sa propre enquête, le Commissariat a sollicité et obtenu le témoignage de l'employeur de la plaignante, qui a entièrement corroboré les allégations de la plaignante.

Au sujet des comptes confiés aux agences de recouvrement, la banque avait mis en place une politique claire et stricte concernant la protection et la confidentialité des renseignements personnels. Il était ainsi expressément interdit aux agences de recouvrement de communiquer les renseignements personnels des débiteurs à un tiers sans le consentement des intéressés. La communication de renseignements à un employeur n'était permise que dans les cas de procédures judiciaires en vue de la saisie du salaire.

Dans son rapport d'enquête, la banque a relevé plusieurs infractions par l'agence de recouvrement à l'entente contractuelle conclue avec elle en ce qui concerne sa politique relative à la protection et à la confidentialité des renseignements personnels. En particulier, l'agence n'avait pas mené d'enquête exhaustive à l'égard des allégations de la plaignante, en ce sens qu'elle avait omis d'indiquer le fait que l'agente n'avait pas tenu de registre écrit complet des occasions où elle avait tenté de communiquer avec la plaignante à son lieu de travail. Ce n'était qu'à l'insistance de la banque que l'agence a vérifié ses registres électroniques des appels téléphoniques et confirmé que l'agente avait bien effectué l'appel de six minutes.

Suite à la plainte, la banque a institué un certain nombre de mesures de contrôle supplémentaires pour garantir le respect des normes de protection des renseignements personnels par les agences de recouvrement. La banque a aussi pris des sanctions et assujetti l'agence à une vérification approfondie. L'agence, dans la même veine, a pris des mesures disciplinaires à l'encontre de l'agente de recouvrement.

Conclusions du commissaire

Rendues le 24 avril 2002

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques s'applique à toute installation, ouvrage, entreprise ou secteur d'activité fédéral. Le commissaire avait compétence dans ce cas, parce qu'une banque est une installation, ouvrage, entreprise ou secteur d'activité fédéral au sens de la Loi. Même si les agences de recouvrement n'entrent pas encore directement dans le champ de compétence du commissaire, l'agence était en cause en raison de son lien contractuel avec la banque.

Application : Le principe 4.1.3 stipule qu'une organisation est responsable des renseignements personnels qu'elle a en sa possession ou sous sa garde, y compris les renseignements confiés à une tierce partie aux fins de traitement. Le principe 4.3 stipule que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire.

Pour le commissaire, la question centrale était de savoir si l'agente de recouvrement avait bien communiqué des renseignements personnels de nature financière concernant la plaignante à son employeur.

Le commissaire a indiqué que, même si, d'après la banque, rien n'indiquait que des renseignements aient été communiqués, il est apparu que la banque n'ait pas cherché bien loin ni bien longtemps. Les conclusions tirées par la banque semblent reposer essentiellement sur une dénégation sous serment, prise au pied de la lettre, et une acceptation plutôt naïve de la version des faits de l'agence de recouvrement. Comme la banque n'avait pas interrogé la personne la mieux placée pour dire ce qui s'était réellement passé, le peu d'éléments de preuve corroborant la communication de renseignements ne surprenait guère.

Le commissaire a trouvé très crédible, certes, mais des plus probants aussi, le témoignage de la partie à qui les renseignements avaient censément été communiqués, à savoir l'employeur lui-même. L'employeur avait corroboré les allégations de la plaignante sans équivoque et honnêtement, et il n'existait aucune raison de douter de sa version.

Le commissaire a été convaincu que la communication avait bien eu lieu et qu'elle avait eu lieu à l'insu et sans le consentement de la plaignante. Il a donc conclu que la banque avait contrevenu aux principes 4.1.3 et 4.3.

Le commissaire a conclu que la plainte était fondée.

Autres considérations

Le commissaire a noté que la banque s'était montrée disposée à discuter d'une compensation financière. À la lumière de l'embarras extrême et injustifié subi par la plaignante, le commissaire a fait remarquer qu'une compensation serait indiquée dans les circonstances et a exhorté la plaignante à demander à la banque un montant raisonnable.

Le commissaire a également approuvé la politique de la banque consistant à exiger des agences de recouvrement qu'elles respectent des normes très strictes relatives à la communication et au « droit de savoir » en ce qui concerne le traitement des renseignements personnels dans le recouvrement des créances. La politique est conforme aux dispositions législatives provinciales applicables aux activités des agences de recouvrement. Il a souligné que, d'après la politique de la banque, le seul cas où un employeur devrait être informé des difficultés financières d'un de ses employés, c'est lorsque des procédures judiciaires sont entamées pour la saisie du salaire de l'intéressé. Le commissaire a indiqué son intention d'utiliser les normes de la banque comme guide dans l'interprétation de l'alinéa 7(3)b) de la Loi - l'exception permettant la communication de renseignements dans le recouvrement de créances.