Un hôtel révise sa politique de protection de la vie privée et son formulaire de consentement

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2005-316

(Principe 4.3.3 de l'annexe 1)

Plainte

Une personne s’est plainte qu’un hôtel ait exigé, comme condition pour obtenir des services, l’autorisation de communiquer des renseignements personnels à son sujet, tels que son numéro de carte de crédit, aux autres membres ou franchisés de la chaîne hôtelière.

Résumé de l’enquête

Lorsque le plaignant est arrivé à l’hôtel, il a appris qu’il devait signer un formulaire en lien avec la nouvelle loi fédérale concernant la protection des renseignements personnels. Le formulaire demande aux clients de consentir à fournir des renseignements personnels pour les services à la clientèle, la sécurité et la recherche en marketing. Le formulaire fait mention de la collecte, de l’utilisation, du traitement et de la communication des renseignements personnels par l’établissement ou par un membre de la chaîne hôtelière. Par ailleurs, le document fait référence à des questions de responsabilité et aux coffres-forts, et le plaignant estime que ces questions n’ont pas leur place sur un formulaire de consentement en matière de protection de la vie privée.

Un employé a dit au plaignant qu’il ne pourrait pas obtenir de chambre s’il refusait de signer le formulaire. Le plaignant a ajouté qu’on lui avait expliqué que tous les hôtels canadiens exigent que les clients signent le formulaire de consentement et que l’établissement a le droit de communiquer le numéro de carte de crédit et les autres renseignements fournis, comme l’indique le formulaire. Après avoir discuté avec le personnel, le plaignant a signé le formulaire lorsqu’il a été convenu d’enlever la phrase sur la communication de l’information à d’autres membres de la chaîne hôtelière.

Le plaignant a aussi mentionné qu’on lui avait demandé son numéro de plaque d’immatriculation, bien qu’il n’eût pas utilisé le stationnement de l’hôtel. Selon lui, l’établissement n’avait pas besoin de ce renseignement.

L’hôtel est disposé à revoir sa politique de protection de la vie privée et sa façon de procéder. De concert avec le Commissariat, l’hôtel a modifié le formulaire de consentement pour indiquer clairement quels sont les renseignements recueillis, les raisons de la collecte et l’utilisation qui sera faite de l’information. Les clients sont priés d’indiquer s’ils désirent recevoir le matériel publicitaire de la chaîne hôtelière. S’ils s’abstiennent de répondre à cette question, l’hôtel présumera qu’ils ne sont pas intéressés.

De plus, le nouveau formulaire de consentement de l’hôtel aborde la question de la plaque d’immatriculation. Il est indiqué de façon succincte et précise que le numéro sera demandé seulement si le client désire utiliser le stationnement. Le formulaire ne fait plus référence aux questions de responsabilité et aux coffres-forts.

L’hôtel offre au personnel une formation sur la protection de la vie privée. De plus, un document de deux pages expliquant brièvement la politique de protection de la vie privée de l’établissement est désormais déposé dans la chambre des clients. Le document contient des références et des directives supplémentaires pour les clients qui refusent de faire partie de la liste de marketing.

Conclusions

Rendues le 12 octobre 2005

Application  : Le principe 4.3.3 stipule qu'une organisation ne peut pas, pour le motif qu'elle fournit un bien ou un service, exiger d'une personne qu'elle consente à la collecte, à l'utilisation ou à la communication de renseignements autres que ceux qui sont nécessaires pour réaliser les fins légitimes et explicitement indiquées.

Voici les conclusions de la commissaire adjointe à la protection de la vie privée :

• Elle fait d’abord référence à une conclusion du Commissariat sur le marketing, remontant à l’année 2002. La conclusion concerne le consentement et la communication de renseignements personnels pour des fins secondaires de marketing. Dans cette conclusion, on relève les différents points de vue entre les organisations et les personnes lorsqu’il est question de marketing (invoqué dans la conclusion comme des « fins secondaires de marketing »). Il est indiqué que, bien que le marketing peut, selon le commerçant, ne pas être - en principe - secondaire, il ne fait aucun doute pour le client que le marketing est une fin secondaire à la raison pour laquelle il a fourni ses renseignements personnels.
• Dans le cas actuel, le formulaire de consentement que le plaignant a été prié de signer indiquait que les renseignements personnels étaient recueillis pour trois raisons : services à la clientèle, sécurité et recherche en marketing. La commissaire adjointe constate que lorsqu’une personne signe le registre d’un hôtel, elle s’attend à juste titre à fournir des renseignements personnels pour des raisons de services à la clientèle et de sécurité, puisque ces services sont liés directement à l’occupation d’une chambre d’hôtel. Il est improbable qu’elle s’attende à devoir fournir de tels renseignements à des fins de marketing comme condition pour recevoir des services. Bien que le formulaire indiquait que le client pouvait retirer son consentement, le libellé n’expliquait pas clairement comment le consentement pouvait être retiré, et les employés n’ont pas donné l’impression, de prime abord, que le plaignant pouvait le faire. Finalement, le plaignant a consenti à signer le formulaire après que la phrase faisant référence au marketing a été enlevée, et il a obtenu une chambre.
• À la suite de la plainte et de l’intervention du Commissariat, l’hôtel a revu sa politique de protection de la vie privée et son formulaire de consentement pour permettre aux personnes de décider si elles veulent que des renseignements personnels les concernant soient recueillis, utilisés ou communiqués à des fins de marketing.
• Compte tenu de ce qui précède, la commissaire adjointe est persuadée que la révision de la politique de protection de la vie privée et du formulaire de consentement effectuée par l’hôtel satisfait notamment aux exigences du principe 4.3.3 et, de façon générale, à la Loi sur la protection des renseignements personnels et les documents électroniques.

Elle a donc conclu que la plainte était résolue.