Une technique promotionnelle qui n'est pas une bonne pratique en matière de confidentialité

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2004-261

[Principe 4.3]

Plainte

Un homme s'est plaint, premièrement, qu'une banque avait recueilli ses renseignements personnels sans son consentement et, deuxièmement, qu'elle ait émis une carte de crédit à son nom également sans son consentement.

Résumé de l'enquête

Le plaignant a obtenu du financement pour s'acheter un matelas par l'entremise d'une société affiliée à la banque en question. L'accord de financement signé permettait à la société affiliée de communiquer, jusqu'à deux ans après la fin du paiement de l'achat, ses renseignements personnels à des fins publicitaires, pour lui offrir des produits ou services susceptibles de l'intéresser.

Environ deux ans après avoir fini de payer le matelas, le plaignant a reçu de la banque un état de compte pour une carte de crédit indiquant un solde dû nul. C'est ainsi qu'il a appris qu'un compte-carte de crédit avait été ouvert à son nom. Il a exigé que la banque ferme ce compte, ce qu'elle a fait sans tarder. La banque a aussi avisé le plaignant d'écrire aux agences d'évaluation de crédit pour demander que le compte soit enlevé de son dossier.

Les dossiers de la banque indiquent qu'elle avait ouvert un compte et émis une carte de crédit au nom du plaignant huit mois avant la date de l'état de compte. La carte de crédit avait été retournée par la poste et le compte n'avait jamais été activé. Au dire de la banque, la pratique consistant à émettre une carte de crédit non sollicitée est une technique promotionnelle courante. Pour la banque, il n'y avait aucun problème, puisqu'il n'y a pas de frais associés à un compte non actif, tant pour la banque que pour le client. Le bureau d'application des règlements de la banque ne s'était pas rendu compte que même les comptes non actifs sont rapportés aux agences d'évaluation de crédit. Une fois ce fait porté à l'attention de la banque, celle-ci a reconnu que cela était inapproprié. La banque a rapidement pris une mesure corrective pour que les comptes-cartes de crédit non activés, tel celui du plaignant, ne soient plus rapportés.

Le Commissariat a confirmé que l'émission de cartes de crédit non sollicitées est une pratique assez courante chez les institutions de services financiers et que cette pratique n'est contraire à aucune disposition légale.

Conclusions

Rendues le 11 février 2004

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) s'applique à toute installation, tout ouvrage, toute entreprise ou tout secteur d'activité fédéral. La commissaire adjointe à la protection de la vie privée a compétence dans ce cas, parce qu'une banque constitue une entreprise fédérale, selon la définition de la Loi.

Application : Le principe 4.3 énonce que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire.

En ce qui concerne la première plainte, la commissaire adjointe a fait remarquer que la banque a recueilli les renseignements personnels du plaignant à l'intérieur de la période de deux ans prévue dans l'accord qu'il a signé avec la société de financement. Elle a donc trouvé que la banque n'avait pas recueilli les renseignements personnels du plaignant sans son consentement.

Par conséquent, la commissaire adjointe a conclu que la première plainte était non fondée.

En ce qui concerne la seconde plainte, la commissaire adjointe a délibéré comme suit :

• Elle a fait remarquer l'assertion de la banque qu'ouvrir un compte et émettre une carte de crédit est une technique promotionnelle courante, qui ne pose pas de problème tant et aussi longtemps que le compte-carte de crédit n'est pas rapporté aux agences d'évaluation du crédit. Toutefois, elle a fait remarquer que, si l'ouverture d'un compte et l'émission d'une carte de crédit peut fort bien être une pratique promotionnelle courante, il est clair que cela ne constitue pas une bonne pratique en matière de confidentialité.
• Elle a indiqué qu'une telle technique ne se limite pas simplement à informer la personne des divers produits et services disponibles en lui envoyant des dépliants ou en lui téléphonant, par exemple.
• Cette technique implique de prendre les renseignements personnels d'une personne et d'ouvrir un compte-carte de crédit à son nom sans qu'elle le sache, à plus forte raison qu'elle le veuille ou non.
• Pour ce qui est de rapporter le compte aux agences d'évaluation du crédit (ce que la banque a admis être une erreur et qu'elle a cessé de faire), la commissaire adjointe a fait remarquer que, lorsqu'une personne demande une carte de crédit, cela fait partie de la formule de consentement.
• En l'occurrence, le plaignant n'avait aucune idée que la banque avait rapporté ses renseignements personnels aux agences d'évaluation du crédit.
• Par conséquent, la commissaire adjointe a trouvé que la banque a utilisé et divulgué des renseignements personnels sans le consentement requis, contrairement au principe 4.3.

La commissaire adjointe a conclu que la seconde plainte était fondée.

Autres considérations

Bien qu'elle soit heureuse que la banque ait arrêté de rapporter des comptes non activés aux agences d'évaluation du crédit, la commissaire adjointe a recommandé que la banque cesse sa pratique de créer des comptes et d'émettre des cartes de crédit non sollicitées. Par le présent résumé, la commissaire adjointe souhaite aviser le secteur des services financiers qu'à son avis, leurs pratiques promotionnelles — peut importe leur efficacité à attirer de nouveaux clients — doivent aussi refléter les bonnes pratiques en matière de protection des renseignements personnels qui sont décrites à l'annexe 1 de la Loi.