Une banque enregistre l'appel d'un client sans son consentement et refuse d'effacer l'enregistrement

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-176

[Principes 4.1.4, 4.3 et 4.3.5 de l'annexe 1]

Plainte

Un client s'est plaint du fait que sa banque a :

1. recueilli des renseignements personnels le concernant, sous la forme d'un enregistrement, sans son consentement, et
2. de manière déraisonnable, refusé de détruire l'enregistrement après qu'il a expressément refusé de consentir à la collecte des renseignements.

Résumé de l'enquête

Le plaignant a appelé sa banque pour activer sa nouvelle carte de crédit. Quand il a été informé que son appel était enregistré, il s'y est opposé et a demandé que l'on interrompe l'enregistrement. L'agent chargé de répondre au téléphone et un des superviseurs lui ont tous les deux affirmé que l'enregistrement ne pouvait pas être interrompu et ne lui ont donné aucun autre moyen d'activer sa carte de crédit sans que sa conversation téléphonique ne soit enregistrée. Le plaignant a demandé que l'enregistrement soit effacé, mais le personnel du centre d'activation n'a pas pu répondre à sa demande.

La banque lui a ensuite fait parvenir une lettre pour lui dire que l'enregistrement des appels adressés au centre d'activation était un processus de conservation des dossiers visant à confirmer l'activation des cartes de crédit, que l'enregistrement en question ne pouvait être effacé car il était maintenant inscrit dans le système d'enregistrement des transactions et que la procédure était équivalente à une signature. Dans une lettre ultérieure, la banque lui a affirmé qu'elle ne pouvait pas effacer l'enregistrement car il lui était impossible d'isoler son appel des nombreuses autres conversations téléphoniques enregistrées, pour l'effacer. On a également affirmé au plaignant que la cassette était trop « compressée » pour qu'on puisse effacer son appel.

La banque affirmait qu'elle avait obtenu le consentement du plaigant pour enregistrer ses appels aux termes des avis inclus dans la documentation qu'il avait reçue concernant ses différents comptes bancaires. Plus précisément, la banque a indiqué qu'il en aurait été avisé par le biais d'un livret qu'on lui aurait fait parvenir concernant les conditions de son compte de carte de crédit, en 2001. Le plaignant ne se souvenait pas d'avoir reçu ce type de documentation ou d'avis. La documentation qui accompagnait sa nouvelle carte de crédit donnait des directives concernant l'activation par téléphone, mais n'indiquait pas que les appels allaient être enregistrés ou qu'il existait un autre moyen d'activer sa carte de crédit.

Dans un cas antérieur, la banque avait assuré le Commissariat qu'elle allait modifier sa politique concernant l'enregistrement des appels de la clientèle pour se conformer aux « pratiques exemplaires » recommandées par le commissaire. Ces pratiques indiquaient, entre autres, qu'il fallait aviser le client de l'enregistrement de l'appel et de son but au début de chaque appel téléphonique, et lui offrir d'autres options en cas d'objection de sa part. La banque affirmait que le plaignant ne s'était pas vu offrir d'autres options à cause du manque d'expérience de l'employé quant à la nouvelle procédure, qui avait été mise en ouvre seulement une semaine avant que le plaignant n'appelât pour faire activer sa carte de crédit. La banque a affirmé au commissaire qu'il existait une méthode d'activation automatique pour les clients qui refusaient qu'on enregistre leurs appels et que les agents responsables des appels téléphoniques avaient été avisés de la nouvelle politique, ainsi que de la nouvelle obligation qu'ils avaient d'offrir cette option aux clients qui s'opposaient à l'enregistrement.

Le plaignant a signalé deux autres conversations téléphoniques qu'il avait eues avec des représentants de la banque, deux mois puis huit mois après la mise en ouvre supposée de la nouvelle politique. Les transcriptions ont permis de confirmer ce qui suit :

• Les deux appels ont été enregistrés d'entrée de jeu, toutefois le plaignant n'en a été avisé que lorsqu'il s'en informât;
• Le plaignant s'est opposé à l'enregistrement, mais on ne lui a offert aucune autre option;
• Les représentants de la banque lui ont donné des explications incohérentes concernant le but de l'enregistrement;
• Un des agents responsables des appels téléphoniques a affirmé qu'il n'avait jamais été informé de l'obligation d'aviser les appelants de la procédure.

Dix mois après la mise en oeuvre supposée de la politique, le Commissariat a appelé le centre d'activation des cartes de crédit et a pu constater ce qui suit :

• L'agent responsable des appels téléphoniques n'a pas mentionné que l'appel était enregistré, ni indiqué le but de l'enregistrement, ni parlé d'autres options possibles jusqu'à ce qu'on lui posât la question;
• Quand on l'a interrogé sur les autres options, il a commencé par dire que l'appelant pouvait se présenter à une filiale et activer sa carte en personne;
• Quand on l'a interrogé, d'un ton plein de sous-entendus, sur l'activation automatique, il a commencé par répondre qu'il n'existait aucun système automatique, avant d'affirmer après réflexion que ce service existait bel et bien mais qu'il était offert seulement après minuit.
• Un des superviseurs a déclaré que l'agent s'était trompé, qu'un système automatique existait bel et bien et qu'il était immédiatement disponible 24 heures par jour pour les clients qui le demandaient.
• Le superviseur lui-même n'a pas mentionné l'enregistrement de la conversation jusqu'à ce qu'on lui posât la question. Il a indiqué que, bien que les appels fussent enregistrés dès que la connexion téléphonique était établie, on attendait habituellement jusqu'au moment de l'activation de la carte avant d'en informer le client.

Le plaignant a demandé à la banque de lui fournir une transcription de l'enregistrement de l'appel qu'il avait effectué pour activer sa carte. La banque lui a répondu qu'elle n'était pas en mesure de localiser l'enregistrement parce qu'il n'avait pas fournis certains renseignements comme « l'heure approximative et/ou le nom de l'agent ». Le plaignant a alors envoyé un message électronique à la banque pour lui dire qu'il était très étonné qu'une compagnie qui enregistrait les appels d'activation pour établir un registre des transactions n'était pas en mesure de retrouver les enregistrements en cas de besoin. Il trouvait cela étrange que la banque n'ait pas prévu un système de classement des appels permettant un accès plus facile.

Conclusions du commissaire

Rendues le 3 juin 2003

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques s'applique à toute installation, tout ouvrage, toute entreprise ou tout secteur d'activité fédéral. Le commissaire avait compétence dans cette cause, parce que la banque en question est une installation, un ouvrage, une entreprise ou un secteur d'activité fédéral au sens de la Loi.

Application : Le principe 4.1.4 stipule en partie que les organisations doivent assurer la mise en oeuvre des politiques et des pratiques destinées à donner suite aux principes de la Loi, y compris la formation du personnel et la transmission au personnel de l'information relative aux politiques et pratiques de l'organisation. Le principe 4.3 stipule que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire. Le principe 4.3.5 stipule que dans l'obtention du consentement, les attentes raisonnables de la personne sont aussi pertinentes.

En tenant compte du simple fait que le plaignant avait expressément refusé de consentir à l'enregistrement de son appel, le commissaire a examiné l'affirmation de la banque selon laquelle elle avait pourtant obtenu son consentement aux termes d'avis inclus dans les documents appropriés. Le commissaire a délibéré comme suit :

• En ce qui concerne l'avis écrit, il n'était pas du tout raisonnable que la banque n'ait pas informé le plaignant de la pratique de l'enregistrement des appels dans le seul document qu'il aurait très vraisemblablement lu, à savoir le document qui contenait les directives à suivre pour activer une nouvelle carte de crédit. C'est dans un tel document qu'il aurait toutes les raisons de s'attendre à ce qu'on le prévienne que l'appel pour activer la carte de crédit serait enregistré et qu'un système automatisé était disponible pour ceux qui s'y opposeraient.
• Dans le cadre de délibérations antérieures sur la question du consentement, le commissaire avait reconnu et établi comme une attente raisonnable de la personne le principe selon lequel, en dépit d'avis écrits disponibles ailleurs, elle doit être informée du fait de la collecte de renseignements personnels, ainsi que de ses fins, au moment même de la collecte. Pour appuyer ce principe, il avait élaboré des « pratiques exemplaires » se rapportant à l'enregistrement des appels téléphoniques des clients et la banque avait auparavant assuré qu'elle adhérait au principe et aux pratiques exemplaires, et qu'en conséquence elle mettait en place une nouvelle politique. Toutefois, l'expérience du plaignant semblait indiquer que la banque ne s'était pas vraiment rendu compte de la portée de la nouvelle politique qu'elle mettait en ouvre.
• Bien que la banque ait effectivement informé le plaignant, conformément aux pratiques exemplaires recommandées, que son appel était enregistré à certaines fins, il semblerait qu'elle n'ait pas compris que le fait de préciser les fins de l'enregistrement est une forme de consultation relative au consentement.
• Dans le cadre d'un mécanisme de consentement, on doit pouvoir répondre, de manière raisonnable, au rejet d'une proposition. Par conséquent, étant donné qu'on l'avait consulté au sujet de l'enregistrement de son appel et qu'il avait expressément refusé la proposition, le plaignant avait toutes les raisons de s'attendre à ce qu'on tînt compte de son choix.

• Selon le commissaire, le plaignant avait toutes les raisons de s'attendre :

1. à ce que la banque interrompît l'enregistrement de la conversation à sa demande, après qu'elle l'a consulté et qu'il n'y a pas consenti;
2. à être informé des conséquences de son refus, ainsi que des options qui s'offraient à lui pour effectuer la transaction désirée;
3. comme il l'a lui-même si bien exprimé dans le message électronique qu'il a adressé à la banque, à ce que les conversations enregistrées, dont le but affiché est de créer un registre d'un certain type de transactions, fussent classées de manière à être facilement récupérables et facilement accessibles à la demande des clients;
4. à ce que la banque acquiesce à sa demande de voir l'enregistrement des renseignements personnels effacé, des renseignements qu'elle s'était obstinée à recuillir sans son consentement.

• La banque n'a répondu à aucune de ces attentes raisonnables.

En somme, le commissaire a déterminé que la banque n'avait pas obtenu le consentement du plaignant pour enregistrer l'appel qu'il a effectué pour activer sa carte de crédit et qu'elle n'a pas répondu d'une façon raisonnable à son refus de consentir. Le commissaire a donc conclu que la banque avait contrevenu aux principes 4.3 et 4.3.5.

Il a également jugé qu'il était évident que la banque n'avait pas transmis à son personnel, par le biais d'une formation ou tout autre moyen, l'information nécessaire à la mie en ouvre efficace et cohérente des pratiques exemplaires qu'il avait recommandées concernant l'enregistrement des appels téléphoniques de ses clients. Il a donc conclu que la banque avait également contrevenu au principe 4.1.4.

Il a conclu que la plainte était fondée.

Autres considérations

En ce qui concerne la plainte proprement dite, le commissaire a formulé les recommandations suivantes :

1. La banque devra essayer de retrouver l'enregistrement de l'appel effectué par le plaignant pour activer sa carte de crédit, afin de (a) lui fournir une transcription de la conversation comme demandé et remplir ses obligations en vertu du principe 4.9 de l'annexe 1 de la Loi; (b) se conformer ensuite à sa demande de voir l'enregistrement effacé.
2. La banque devra également supprimer de ces registres les autres enregistrements effectués sans le consentement du plaignant et auxquels ce dernier s'est formellement opposé.
3. La banque devra modifier son système d'enregistrement d'appels de manière à ce que : (a) les agents responsables des appels téléphoniques contrôlent l'enregistrement et soient capables de le déclencher après avoir obtenu le consentement du client et l'arrêter à sa demande; (b) les appels enregistrés soient classés de manière à ce qu'ils soient facilement et individuellement accessibles et, s'il y a lieu, supprimables.
4. La banque devra donner, dans les directives qui accompagnent les nouvelles cartes de crédits, des indications précises stipulant que (a) les conversations téléphoniques avec les agents d'activations sont enregistrées; (b) un système d'activation automatisé est également disponible.
5. Si la banque entend continuer à enregistrer les appels reçus par le centre d'activation dès que s'effectue la connexion téléphonique, elle devrait veiller à ce que ses agents en avisent immédiatement et clairement les appelants, dès le début de la conversation. De même, la banque devra envisager de ne pas déclencher l'enregistrement avant d'en avoir avisé le client.
6. La banque devra également veiller à ce que ses agents avisent les clients, qui s'opposent à l'enregistrement de leur appel, des autres options disponibles - notamment du système d'activation automatisé. Théoriquement, l'agent devrait commencer par informer l'appelant des différentes options, et devrait déclencher l'enregistrement de l'appel seulement si l'appelant lui indique qu'il préfère vraiment parler à un agent pour activer sa carte.

Le commissaire a affirmé être déçu de constater que, malgré les conclusions et les recommandations qu'il avait formulées dans une cause précédente, la banque continuait, en toute évidence, à enregistrer les appels des clients sans les en aviser d'entrée de jeu, sans en mentionner les fins d'une façon cohérente et précise et sans leur offrir d'autres options. Il a souligné que l'explication fournie initialement par la banque, selon laquelle tout cela était simplement dû à un problème de formation et que les employés n'étaient pas encore familiarisés avec les nouvelles politiques et procédures, n'était plus crédible ni acceptable après un an. Il a donc formulé les recommandations supplémentaires qui suivent :

7. La banque devra examiner, intégrer et réviser sa politique et ses procédures concernant l'enregistrement des appels des clients, conformément aux conclusions et aux recommandations formulées dans la présente cause, ainsi que dans la précédente.
8. La banque devra organiser un cours de formation formel pour s'assurer que les agents responsables des appels téléphoniques sont informés et compétents quant à l'application rigoureuse de la politique et des procédures concernant l'enregistrement des appels des clients.