Une banque dépasse les délais prévus pour répondre à une demande d'accès

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-222

[Principe 4.9; paragraphes 8(3) et 8(5)]

Plainte

Une personne allègue qu'une banque, qui avait rejeté sa demande de carte de crédit, n'a pas répondu à sa demande d'accès aux renseignements personnels le concernant.

Résumé de l'enquête

Lorsque sa demande de carte de crédit a été refusée, le plaignant a écrit à la banque afin de consulter les renseignements personnels le concernant relativement à la demande, ainsi que les raisons pour lesquelles la banque lui avait refusé du crédit. Environ huit semaines plus tard, et à la demande du Commissariat, la banque a répondu au plaignant et lui a envoyé une copie de sa demande et de la lettre dans laquelle il demandait l'accès. La banque lui a expliqué qu'elle n'avait aucun renseignement sur son dossier de crédit auprès d'une agence d'évaluation du crédit. En fait, la banque avait reçu la réponse de l'agence d'évaluation du crédit, mais elle a signalé qu'elle ne détenait aucun renseignement sur le crédit du plaignant. Encore une fois, à la demande du Commissariat, la banque a fait parvenir une copie de ce document au plaignant. La banque a signalé qu'elle ne l'avait pas envoyé au début, car elle ne croyait pas qu'il contenait des renseignements personnels concernant le plaignant.

La banque a expliqué qu'elle n'avait pas répondu au début parce que la demande d'accès du plaignant n'était pas précise et qu'elle ne spécifiait pas que la demande était faite en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques. Lorsque des clients demandent accès à des renseignements après que leur demande de carte de crédit a été refusée, la pratique normale de la banque est de leur téléphoner pour expliquer le refus. Dans ce cas présent, la banque ignorait que le plaignant était insatisfait jusqu'à ce qu'elle en soit avisée par la plainte déposée auprès du commissaire.

Conclusions du commissaire

Rendues le 16 septembre 2003

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) s'applique à toutes les installations, tous les ouvrages, toutes les entreprises et tous les secteurs d'activité fédéraux. Cette plainte était du ressort du commissaire, puisqu'une banque est considérée comme une entreprise fédérale au sens de la Loi.

Application : Le principe 4.9 stipule qu'une organisation doit informer toute personne qui en fait la demande de l'existence de documents personnels qui la concernent, de l'usage qui en est fait et du fait qu'ils ont été communiqué à des tiers, et lui permettre de les consulter. Il sera aussi possible de contester l'exactitude et l'intégralité des renseignements et d'y faire apporter les corrections appropriées. Le paragraphe 8(3) établit que l'organisation saisie de la demande doit y donner suite avec la diligence voulue et, en tout état de cause, dans les trente jours suivant sa réception. Le paragraphe 8(5) énonce que, faute de répondre dans le délai, l'organisation est réputée avoir refusé d'acquiescer à la demande.

En réponse à l'argument de la banque selon lequel la demande du plaignant n'avait pas été faite en vertu de la Loi, le commissaire a noté que la Loi n'imposait pas une telle obligation au demandeur. Le commissaire a également fait remarquer que les propres procédures de la banque pour le traitement des demandes d'accès ne mentionnaient aucunement 'une telle obligation.

Quant au délai de réponse, la banque n'a pas remis au plaignant les renseignements personnels demandés dans le délai de trente jours précisé au paragraphe 8(3) de la Loi. Par conséquent, le commissaire a conclu que la banque n'avait pas respecté ses obligations en vertu du paragraphe 8(3), et était donc réputée en vertu du paragraphe 8(5) avoir refusé d'acquiescer à la demande. En outre, le commissaire a noté que c'était seulement après l'intervention du Commissariat que tous les renseignements personnels demandés ont été fournis au plaignant. Par conséquent, il a conclu qu'en refusant d'acquiescer à la demande d'accès aux renseignements personnels concernant le plaignant, la banque contrevenait au principe 4.9 de la Loi. Cependant, le commissaire était heureux qu'en fin de compte, la banque ait fourni tous les renseignements personnels demandés.

Le commissaire a conclu que la plainte était fondée et résolue.