Une entreprise recueillant des renseignements personnels de consommateurs sans en déterminer les fins cesse cette pratique et met en oeuvre des politiques et des pratiques de protection de la vie privée

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2005-300

(Principes 4.1, 4.1.4d), 4.2 et 4.4 de l'annexe 1)

Plainte

Une personne s'est plainte qu'une entreprise recueillait des renseignements personnels de consommateurs sans leur consentement et sans préciser à quelles fins elle recueillait et utilisait ces renseignements. De plus, le plaignant prétend que l'entreprise n'avait pas instauré de politique de protection de la vie privée.

Résumé de l'enquête

Après avoir déballé un produit qu'il venait tout juste d'acheter, le plaignant a remarqué une étiquette sur laquelle on pouvait lire [traduction] « Pour obtenir des renseignements importants sur le produit, composez le numéro suivant avant l'utilisation dudit produit (numéro de téléphone fourni) ». Lorsqu'il a composé le numéro, une réception automatique lui a demandé de fournir le numéro de modèle de l'appareil, son nom, son adresse et ses numéros de téléphone à domicile et au travail, le nom de son employeur et de l'endroit où il avait acheté le produit.

À la suite des plaintes reçues, l'entreprise a apporté certains changements quant à l'étiquette sur laquelle on demande aux consommateurs d'appeler l'entreprise. Plus précisément, la division canadienne de l'entreprise a cessé d'apposer des étiquettes sur les produits quittant la manufacture, et demande maintenant aux consommateurs de téléphoner simplement pour valider la garantie. Cette mesure a été prise parce que la compagnie ne pouvait pas être raisonnablement certaine que les renseignements seraient traités conformément aux lois canadiennes régissant la protection de la vie privée (les renseignements étant recueillis par une entreprise dont le siège est situé aux États-Unis). L'entreprise a également révisé toutes ses fiches de garantie et d'enregistrement pour l'ensemble de ses divisions.

Quant aux étiquettes déjà apposées sur des produits en magasin, l'entreprise a indiqué que si un consommateur compose le numéro sans frais, l'entreprise ne recueillera pas de renseignements personnels sur lui.

Par suite des plaintes reçues, l'entreprise a également instauré une politique de protection de la vie privée et a nommé un représentant chargé de la protection des renseignements personnels.

Conclusions

Rendues le 29 avril 2005

Application : Le principe 4.1 énonce qu'une organisation est responsable des renseignements personnels dont elle a la gestion et doit désigner une ou des personnes qui devront s'assurer du respect des principes; le principe 4.1.4d) prévoit que les organisations doivent assurer la mise en oeuvre des politiques et des pratiques destinées à donner suite aux principes, y compris la rédaction des documents explicatifs sur leurs politiques et procédures; le principe 4.2 exige que les fins auxquelles des renseignements personnels sont recueillis doivent être déterminées par l'organisation avant la collecte ou au moment de celle-ci; enfin, le principe 4.4 établit que l'organisation ne peut recueillir que les renseignements personnels nécessaires aux fins déterminées et doit procéder de façon honnête et licite.

Pour tirer ses conclusions, la commissaire adjointe à la protection de la vie privée a délibéré de la façon suivante :

• Il est évident que l'entreprise a tenté de recueillir les renseignements personnels du plaignant (et d'autres consommateurs) sans en déterminer les fins, ce qui est contraire aux principes 4.2 et 4.4.
• Il a également été déterminé que l'entreprise n'avait pas de politique de protection de la vie privée au moment où le plaignant a acheté le produit, ce qui contrevient aux principes 4.1 et 4.1.4d).
• L'entreprise n'a pas donné suite à la plainte du plaignant lorsqu'il a communiqué avec elle.
• Toutefois, à la suite des plaintes reçues et de l'enquête du Commissariat, l'entreprise a apporté certains changements afin de se conformer à la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi). Elle a cessé d'apposer les étiquettes sur ses nouveaux produits. Quant aux produits qui portent encore des étiquettes, l'entreprise ne recueillera plus les renseignements personnels des consommateurs qui téléphoneront. L'entreprise a aussi instauré une politique de protection de la vie privée et a nommé un agent chargé de s'assurer que l'entreprise respecte la Loi. Néanmoins, la commissaire adjointe a rappelé à l'entreprise qu'elle doit donner suite aux plaintes en matière de vie privée qui sont portées à son attention.

Par conséquent, la commissaire adjointe a conclu que la plainte était résolue.