Une banque enregistre l'appel d'un client sans son consentement

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-215

[Principes 4.1.4, 4.3 et 4.3.5 de l'annexe 1]

Plainte

Un client a porté plainte lorsque la banque

1. a recueilli des renseignements personnels, sous forme d'un enregistrement sur bande magnétique, sans avoir obtenu son consentement;
2. n'a pas proposé de solution de rechange aux personnes qui s'opposaient à l'enregistrement.

Résumé de l'enquête

Le plaignant a téléphoné à la banque pour activer sa nouvelle carte de crédit. Lorsqu'il a été avisé que l'appel était enregistré sur bande magnétique, il a protesté et demandé que l'enregistrement cesse. L'agent au téléphone et un superviseur lui ont dit que l'enregistrement ne pouvait pas être interrompu, et personne n'a offert une autre façon d'activer la carte sans que la conversation soit enregistrée.

La banque affirmait avoir obtenu le consentement du plaignant pour enregistrer ses appels aux termes des avis inclus dans la documentation qu'il avait reçue concernant ses différents comptes bancaires. Le plaignant ne se souvenait pas d'avoir reçu ce type de documentation ou d'avis.

Dans un cas antérieur, la banque avait assuré au Commissariat que sa politique sur l'enregistrement des appels de la clientèle serait modifiée afin de se conformer aux « lignes directrices » proposées par le commissaire. Ces lignes directrices stipulaient, entre autres, qu'il fallait aviser le client de l'enregistrement et de son but dès le début de chaque appel téléphonique, et lui offrir d'autres options en cas d'objection de sa part. La banque attribue le fait que le plaignant ne se soit pas fait offrir d'autres options au manque de familiarité des employés avec la nouvelle procédure mise en œuvre trois mois avant l'appel du plaignant pour activer sa carte de crédit. La banque avait affirmé au commissaire qu'il existait une méthode d'activation automatique à l'intention des clients qui refusaient qu'on enregistre leurs appels et que les agents responsables des appels téléphoniques avaient été informés de la politique modifiée, ainsi que de la nouvelle obligation d'offrir cette option aux clients qui s'opposaient à l'enregistrement.

Dix mois après la mise en œuvre supposée de la politique, le Commissariat a communiqué avec le centre d'activation des cartes de crédit et a constaté que :

• L'agent responsable des appels téléphoniques n'a pas précisé que l'appel était enregistré, ni indiqué le but de l'enregistrement, ni abordé les autres options possibles jusqu'à ce que la question lui soit posée.
• Lorsqu'on l'a interrogé sur les autres options, il a commencé par dire que l'appelant pouvait se présenter à une filiale et activer sa carte en personne.
• Quand on l'a interrogé ostensiblement sur l'activation automatique, il a d'abord expliqué qu'il n'existait aucun système automatique, avant d'affirmer après réflexion que ce service existait bien, mais était offert seulement après minuit.
• Un superviseur a déclaré que l'agent s'était trompé, qu'un système automatique existait bel et bien, et qu'il était désormais accessible 24 heures sur 24, à tous les clients qui en faisaient la demande.
• Même le superviseur n'a pas parlé de l'enregistrement de la conversation jusqu'à ce qu'on lui pose la question. Il a indiqué que, bien que les appels étaient enregistrés dès que la liaison téléphonique était établie, on attendait habituellement le moment de l'activation de la carte avant d'en informer le client.

Conclusions du commissaire

Rendues le 26 août 2003

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) s'applique à tout ouvrage, toute installation, toute entreprise ou tout secteur d'activité fédéral. Le commissaire avait compétence dans cette cause parce qu'une banque constitue un ouvrage, une entreprise ou un secteur d'activité fédéral aux termes de la Loi.

Application : Le principe 4.1.4 stipule notamment que les organisations doivent assurer la mise en oeuvre des politiques et des pratiques destinées à donner suite aux principes de la Loi, y compris la formation au employés et la transmission au personnel de l'information sur les politiques et pratiques de l'organisation. Le principe 4.3 précise que toute personne doit être informée de la collecte, de l'utilisation ou de la communication des renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire. Le principe 4.3.5 stipule que dans l'obtention du consentement, les attentes raisonnables de la personne sont aussi pertinentes.

En tenant compte du simple fait que le plaignant avait expressément refusé de consentir à l'enregistrement de son appel, le commissaire a examiné l'affirmation de la banque selon laquelle elle avait pourtant obtenu son consentement aux termes d'avis inclus dans les documents appropriés. Le commissaire a délibéré comme suit :

• En ce qui concerne les avis écrit, il est déraisonnable que la banque n'ait pas informé le plaignant de la pratique de l'enregistrement des appels dans le seul document qu'il aurait très vraisemblablement lu, à savoir le document qui contenait les directives à suivre pour activer une nouvelle carte de crédit. C'est dans un tel document qu'il avait toutes les raisons de s'attendre à ce qu'on le prévienne que l'appel pour activer les cartes de crédit serait enregistré et qu'un système automatisé était disponible pour ceux qui s'y opposaient.
• Lors de discussions antérieures sur la question du consentement, le commissaire avait reconnu et établi comme une attente raisonnable le principe selon lequel, en dépit d'avis écrits disponibles ailleurs, la personne devait être informée du fait et des raisons de la collecte de renseignements personnels, au moment de la collecte. À l'appui de ce principe, il avait élaboré des « pratiques exemplaires » se rapportant à l'enregistrement des appels téléphoniques des clients et la banque avait déjà donné l'assurance qu'elle adhérait aux principes et aux pratiques exemplaires et, qu'en conséquence, elle mettait en place une nouvelle politique. Toutefois, l'expérience du plaignant semblait indiquer que la banque ne s'était pas vraiment rendue compte de la portée de la nouvelle politique qu'elle mettait en oeuvre.
• Bien que la banque ait effectivement informé le plaignant que son appel était enregistré à certaines fins conformément aux pratiques exemplaires recommandées, il semblerait qu'elle n'ait pas saisi que le fait de préciser les fins de l'enregistrement est une forme de consultation relative au consentement. Cette précision vise à permettre à la personne +de présenter une proposition en contrepartie, quant à savoir si elle accepte ou rejette l'enregistrement.
• Dans le cadre d'un mécanisme de consentement, on doit pouvoir répondre, de manière raisonnable, au rejet d'une proposition. Par conséquent, étant donné qu'il avait été consulté au sujet de l'enregistrement de son appel et qu'il avait expressément refusé la proposition, le plaignant avait toutes les raisons de s'attendre à ce que l'on tienne compte de son choix.
• Selon le commissaire, le plaignant avait toutes les raisons de s'attendre :
  1. à ce que la banque interrompe l'enregistrement de la conversation à sa demande, après qu'il ait été consulté et qu'il ait formellement refusé;
  2. à être informé des conséquences de son refus, ainsi que des options qui s'offraient à lui pour effectuer la transaction désirée;

En somme, le commissaire a déterminé que la banque n'avait pas obtenu le consentement du plaignant pour enregistrer l'appel effectué en vue d'activer sa carte de crédit, et elle n'a pas répondu d'une façon raisonnable à son refus de consentir. Le commissaire a donc conclu que la banque avait contrevenu aux principes 4.3 et 4.3.5.

Le commissaire a également jugé qu'il était évident que la banque n'avait pas transmis à son personnel, par l'entremise de la formation ou par tout autre moyen, l'information nécessaire à la mise en oeuvre efficace et cohérente des pratiques exemplaires qu'il avait recommandé concernant l'enregistrement des appels téléphoniques de ses clients. Il a donc conclu que la banque avait également contrevenu au principe 4.1.4.

Le commissaire a donc conclu que la plainte était fondée.

Autres considérations

En ce qui concerne la plainte proprement dite, le commissaire a formulé les recommandations suivantes :

1. La banque devra modifier son système d'enregistrement d'appels de manière à ce que (a) les agents responsables des appels téléphoniques contrôlent l'enregistrement et soient capables de le déclencher après avoir obtenu le consentement du client ou de l'arrêter à sa demande (b) les appels enregistrés soient classés de manière à être facilement et individuellement accessibles et, s'il y a lieu, supprimables.
2. La banque devra donner, dans les directives qui accompagnent les nouvelles cartes de crédit, des indications précises stipulant que (a) les conversations téléphoniques avec les agents des centres d'activation sont enregistrées (b) un système d'activation automatisé est également disponible.
3. Si la banque entend continuer à enregistrer les appels reçus par le centre d'activation dès que s'effectue la liaison téléphonique, elle devrait veiller à ce que ses agents en avisent immédiatement les appelants, au début de la conversation. De même, la banque devra envisager de ne pas déclencher l'enregistrement avant d'avoir avisé le client.
4. La banque devra également veiller à ce que ses agents avisent les clients, qui s'opposent à l'enregistrement de leur appel, des autres options disponibles - notamment, du système d'activation automatisé. L'idéal serait que l'agent commence par informer l'appelant des différentes options, et il devrait enregistrer l'appel seulement si l'appelant lui indique qu'il préfère vraiment parler à un agent pour activer sa carte.

Le commissaire s'est dit déçu de constater que, malgré les conclusions et les recommandations formulées dans une cause précédente, la banque continuait, de toute évidence, à enregistrer les appels des clients sans les en aviser d'emblée, ni mentionner les fins d'une façon cohérente et précise et sans offrir d'autres options. Il a souligné que l'explication fournie initialement par la banque, selon laquelle cela était simplement dû à un problème de formation et que les employés n'étaient pas encore familiarisés avec les nouvelles politiques et procédures, n'était plus crédible ni acceptable après un an. Il a donc formulé les recommandations supplémentaires qui suivent :

5. La banque devra examiner, intégrer et réviser sa politique et ses procédures concernant l'enregistrement des appels des clients, conformément aux conclusions et aux recommandations formulées dans la présente cause, ainsi que dans la précédente.
6. La banque devra organiser un programme de formation officiel pour s'assurer que les agents responsables des appels téléphoniques sont informés et compétents quant à l'application rigoureuse de la politique et des procédures concernant l'enregistrement des appels des clients.