Une compagnie aérienne doit modifier sa politique de confidentialité

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2004-262

[Principes 4.1.3 et 4.5]

Plainte

Une femme s'est plainte de la communication par une compagnie aérienne de ses renseignements personnels au sujet d'un vol pris, à une entreprise sous contrat chargée de faire un sondage pour le compte de la compagnie aérienne.

Résumé de l'enquête

La femme a d'abord porté plainte à la compagnie aérienne après qu'une entreprise ait communiqué avec elle afin d'effectuer un sondage au nom de la compagnie auprès des clients ayant récemment pris l'avion avec cette compagnie. L'entreprise avait son nom, son numéro de téléphone, le numéro du vol pris et la date de son voyage. Dans sa réponse à la plaignante, la compagnie aérienne a indiqué qu'elle avait passé un contrat de service avec l'entreprise en question pour qu'elle fasse un sondage en son nom. La compagnie aérienne a également mentionné l'existence d'une entente de confidentialité avec cette entreprise; l'entente stipule que celle-ci ne doit transmettre à aucune tierce partie les renseignements personnels fournis par la compagnie aérienne. Si la plaignante ne voulait plus qu'on la contacte, elle devait en aviser la compagnie aérienne en lui écrivant.

L'enquête a confirmé que la compagnie aérienne et l'entreprise étaient en relation d'affaires et qu'il existait une entente de confidentialité entre elles, qui souligne les principes de confidentialité applicables aux renseignements fournis par la compagnie aérienne. En outre, dans le scénario d'entrevue utilisé, l'entreprise explique qu'elle fait un sondage au nom de la compagnie aérienne auprès des clients ayant récemment pris l'avion avec cette compagnie.

La politique de protection de la confidentialité ne mentionnait nullement l'utilisation des renseignements personnels à des fins de recherche ou de sondage et ne comportait aucune disposition permettant aux clients de ne pas participer. Au cours de l'enquête, la compagnie aérienne a cependant accepté de modifier sa politique afin d'y ajouter une clause informant ses clients de la possibilité qu'elle communique leurs renseignements personnels à une entreprise sous contrat chargée de lui fournir certains services, par exemple d'effectuer un sondage pour son compte. La compagnie aérienne offrira aussi à ses clients la possibilité de refuser que leurs renseignements personnels servent à de telles fins. La plaignante a indiqué au Commissariat qu'elle était satisfaite de ces mesures.

Conclusions

Rendues le 27 février 2004

Application : Le principe 4.1.3 de l'annexe I de la Loi précise qu'une organisation est responsable des renseignements personnels qu'elle a en sa possession ou sous sa garde, y compris les renseignements confiés à une tierce partie aux fins de traitement. L'organisation doit, par voie contractuelle ou autre, fournir un degré comparable de protection aux renseignements qui sont en cours de traitement par une tierce partie. Le principe 4.5 énonce que les renseignements personnels ne doivent pas être utilisés ou communiqués à des fins autres que celles auxquelles ils ont été recueillis à moins que la personne concernée n'y consente ou que la loi ne l'exige.

La commissaire adjointe a délibéré comme suit :

• L'enquête a confirmé que l'entreprise sous contrat agissait au nom de la compagnie aérienne lorsqu'elle a communiqué avec la plaignante et que, selon l'entente de confidentialité conclue entre les deux organisations, l'entreprise était tenue de respecter les dispositions relatives à la confidentialité fixées par la compagnie aérienne.
• Étant donné cela, la commissaire adjointe a trouvé que la compagnie aérienne respectait le principe 4.1.3.
• La compagnie aérienne a recueilli des renseignements personnels au sujet de la plaignante aux fins de son voyage.
• Avant de communiquer les renseignements personnels de la plaignante pour un sondage, la compagnie aérienne aurait dû informer sa cliente de la possibilité d'une telle utilisation de ses renseignements personnels. De plus, la compagnie aurait dû donner à sa cliente la possibilité de refuser cette utilisation.
• Étant donné cela, la commissaire adjointe a trouvé que la compagnie aérienne n'a pas respecté le principe 4.5.

Toutefois, suite à la plainte, la compagnie aérienne a accepté de modifier sa politique de confidentialité afin d'informer ses clients de la possibilité qu'elle communique leurs renseignements personnels à une tierce partie sous contrat chargée de lui fournir certains services, par exemple d'effectuer un sondage pour son compte, et afin de donner à ses clients l'occasion de refuser que leurs renseignements servent à de telles fins. La commissaire adjointe s'est dite heureuse que la compagnie aérienne ait profité de l'occasion pour améliorer sa politique de confidentialité et ses pratiques en matière de protection des renseignements personnels.

Par conséquent, elle a conclu que la plainte était résolue.