Une banque excède le délai prévu pour répondre à une demande d’accès et ne peut transmettre l’ensemble des documents demandés

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2004-272

[Principes 4.5.2, et 4.9, paragraphes 8(3), 8(5) et 8(8)]

Plainte

À la suite d’une demande de carte de crédit, une personne allègue que la banque n’a pas répondu à sa demande de renseignements personnels.

Résumé de l’enquête

À la suite du refus de sa demande de carte de crédit, la personne a écrit à la banque demandant accès aux renseignements personnels recueillis à son sujet. La banque a indiqué avoir tenté de contacter la personne concernant sa demande à plusieurs reprises par téléphone et a laissé des messages téléphoniques sans obtenir de réponse. La réponse écrite de la banque a été envoyée à la personne plus de 38 jours après la réception de la demande et indiquait qu’il n’y avait aucun dossier de crédit à son sujet provenant de l’agence de crédit.

Au cours de l’enquête, la banque a indiqué que l’information provenant de bureaux de crédit est normalement conservée pendant un mois lorsque la demande d’adhésion est acceptée et trois mois lorsqu’elle est refusée. Cette information est par la suite détruite. Pour cette raison, la banque ne pouvait fournir une copie de ce que le bureau de crédit lui avait fait parvenir puisque ces informations avaient été reçues depuis plus de trois mois, au moment du traitement de la demande.

Par ailleurs, la banque était d’avis que les appels téléphoniques effectués et les messages laissés démontraient que l’institution avait respecté le délai d’un mois pour répondre à la demande, quoique la réponse écrite de la banque ait été envoyée plus d’un mois après la réception de la demande.

Conclusions

Rendues le 6 avril 2004

Compétence  : Depuis le 1er janvier 2001, laLoi sur la protection des renseignements personnels et les documents électroniques (la Loi) s’applique aux entreprises fédérales. La commissaire adjointe à la protection de la vie privée avait compétence dans cette cause parce qu’une banque est une entreprise fédérale selon la définition de la Loi.

Application  : Le paragraphe 8(3) spécifie qu’une organisation saisie d’une demande doit y donner suite avec la diligence voulue et, en tout état de cause, dans les trente jours suivant sa réception. Le paragraphe 8(5) stipule que faute de répondre dans le délai, l’organisation est réputée avoir refusé d’acquiescer à la demande, ce qui est en contravention du principe 4.9 (Accès aux renseignements personnels). Le paragraphe 8(8) stipule que l’organisation qui détient un renseignement faisant l’objet d’une demande doit le conserver le temps nécessaire pour permettre au demandeur d’épuiser ses recours. Le principe 4.5.2 de l’annexe 1 de la Loi indique qu’on doit conserver les renseignements personnels servant à prendre une décision au sujet d’une personne suffisamment longtemps pour permettre à la personne concernée d’exercer son droit d’accès à l’information après que la décision a été prise.

Concernant la question du délai, quoique la banque ait tenté de contacter la personne en laissant des messages téléphoniques, elle n’a pas, suivant 8(3) de la Loi « donner suite avec diligence voulue et, en tout état de cause, dans les trente jours suivant sa réception ». La banque aurait dû, pour se décharger de son obligation prévue à la Loi, répondre par écrit dans les trente jours de la réception de la demande. La commissaire adjointe a donc conclu que la banque a enfreint le paragraphe 8(3) et, par le fait même, est présumée avoir refusé l’accès en vertu de l’article 8(5) de la Loi, ce qui est en contravention avec le principe 4.9 (Accès aux renseignements personnels).

La commissaire adjointe a par ailleurs noté que la banque n’a pu transmettre à la personne les documents initialement obtenus du bureau de crédit afin de prendre la décision concernant la demande. L’enquête a révélé que la banque n’a pas conservé le document suffisamment longtemps pour permettre à la personne d’y avoir accès, et ce, contrairement au paragraphe 8(8) et au principe 4.5.2.

La commissaire adjointea conclu que la plainte était fondée.

Autres considérations

La commissaire adjointe a, par ailleurs, recommandé à la banque qu’elle modifie ses politiques en matière de conservation des documents provenant des bureaux de crédit et rallonge sa période de rétention.