Un consommateur se plaint de devoir fournir des pièces d’identité afin d’obtenir son rapport de solvabilité

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2006-324

(Principes 4.7.1, 4.9 et 4.9.2)

Plainte

Une personne se plaint du fait qu’une agence d’évaluation du crédit lui demande deux pièces d’identité avant de lui envoyer une copie de son rapport de solvabilité. Puisque le plaignant refuse de fournir des pièces d’identité, l’agence refuse à son tour de lui transmettre son rapport. Le plaignant s’adresse alors au Commissariat et se plaint qu’on lui refuse l’accès à ses renseignements personnels.

La commissaire à la protection de la vie privée convient, tout comme l’agence, qu’il est nécessaire de vérifier l’identité de la personne demandant à obtenir des renseignements de nature délicate. Elle indique que selon la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), les organisations peuvent demander certaines informations avant d’autoriser l’accès à des documents. En outre, elle souligne le fait qu’il s’agit d’une façon de protéger les renseignements personnels contre tout accès non autorisé. Les lignes qui suivent décrivent le déroulement de l’enquête et les conclusions rendues.

Résumé de l’enquête

Le plaignant a écrit à l’agence d’évaluation du crédit afin d’obtenir copie de son rapport de solvabilité. Quatre jours plus tard, l’agence lui a répondu que selon sa politique, elle devait obtenir des pièces d’identité valides pour éviter de communiquer le rapport à un imposteur. L’agence a joint à son envoi un formulaire de demande que le plaignant devait remplir puis retourner à l’intention de l’agent de protection de la vie privée de l’agence. L’agence a également expliqué qu’elle devait se conformer à différentes lois canadiennes applicables à l’évaluation du crédit, et que tous les renseignements des consommateurs sont recueillis et communiqués conformément aux dispositions des lois applicables. Dans le présent cas, la loi applicable est la Loi sur les renseignements concernant le consommateur de l’Ontario.

Dans le formulaire envoyé au plaignant, on lui demandait de fournir une photocopie de deux pièces d’identité (recto verso) parmi les suivantes : 

• Permis de conduire
• Passeport
• Certificat du statut d’Indien
• Pièce d’identité provinciale/d’âge légal
• Carte de citoyenneté
• Carte du ministère de la Défense nationale
• Autorisation d’acquisition d’armes à feu (avec photo seulement)
• Carte de crédit (titulaire principal)

• Ou l’une des pièces d’identité précédentes ainsi que l’une des suivantes :

• Carte de crédit (titulaire secondaire)
• Certificat de naissance
• Relevé T4
• Numéro d’assurance sociale (optionnel)

Au cours des mois qui ont suivi, le plaignant a continué d’écrire à l’agence d’évaluation du crédit pour obtenir son dossier personnel; l’agence a continué de lui répondre qu’elle devait d’abord obtenir les deux pièces d’identité demandées. Le plaignant a refusé de les fournir, car, selon lui, l’agence n’avait pas besoin de ces pièces pour lui transmettre son rapport de solvabilité.

L’agence n’a donc pas transmis le rapport au plaignant. Elle a indiqué que cette politique avait été mise en place pour veiller à la sécurité des renseignements personnels qu’elle détient. Elle a ajouté que les pièces d’identité servaient à authentifier l’identité du consommateur avant de lui fournir toute information.

Selon l’agence d’évaluation du crédit, il s’agit d’une politique adoptée par l’ensemble du secteur d’évaluation du crédit. Grâce à cette politique, l’agence respecte les principes 4.7.1 et 4.9.2 de la Loi sur la protection des renseignements personnels et les documents électroniques, de même que les lois provinciales applicables aux renseignements sur les consommateurs. Selon le paragraphe 12(3) de la Loi sur les renseignements concernant le consommateur de l’Ontario, les principes suivants s’appliquent à la communication de renseignements personnels : 

(3) La communication au consommateur, exigée aux termes du présent article, se fait :

a) en personne s’il se présente lui‑même et donne des preuves satisfaisantes de son identité;

b) par téléphone, s’il en a fait la demande par écrit en donnant des preuves satisfaisantes de son identité et que le coût de l’appel, le cas échéant, est payé d’avance ou mis à la charge du consommateur.

Le Commissariat a communiqué avec une autre grande agence d’évaluation du crédit au Canada qui a confirmé avoir les mêmes exigences que l’agence visée dans le cas présent quant à l’identification des consommateurs. Le plaignant est toutefois demeuré sceptique et a souligné que les consommateurs peuvent avoir accès à leur dossier par téléphone, en payant les frais voulus, et qu’ils n’ont pas à fournir de photocopie de pièces d’identité dans ce cas.

Le Commissariat a donc examiné le système en ligne de l’agence. Pour authentifier son identité, le consommateur doit fournir des renseignements personnels, c’est‑à‑dire son numéro d’assurance sociale, sa date d’anniversaire, son adresse actuelle, son adresse précédente (s’il y a eu déménagement au cours des deux dernières années) ainsi qu’un numéro de carte de crédit et la limite de crédit ou encore un numéro de compte de prêt à tempérament (si la personne a un tel prêt, comme un prêt étudiant, un prêt auto ou un prêt pour l’achat de bijoux ou de meubles). En outre, le consommateur doit répondre à une série de questions visant à vérifier son identité.

Il convient de noter que le processus en ligne exige du consommateur de fournir des preuves pour authentifier son identité.

Conclusions

Rendues le 9 janvier 2006

Application  : Selon le principe 4.7.1, les mesures de sécurité doivent protéger les renseignements personnels contre la perte ou le vol ainsi que contre la consultation, la communication, la copie, l'utilisation ou la modification non autorisées. Selon le principe 4.9, une organisation doit informer toute personne qui en fait la demande de l'existence de renseignements personnels qui la concernent, de l'usage qui en est fait et du fait qu'ils ont été communiqués à des tiers, et lui permettre de les consulter. Il sera aussi possible de contester l'exactitude et l'intégralité des renseignements et d'y faire apporter les corrections appropriées. Puis, selon le principe 4.9.2, une organisation peut exiger que la personne concernée lui fournisse suffisamment de renseignements pour qu'il lui soit possible de la renseigner sur l'existence, l'utilisation et la communication de renseignements personnels. L'information ainsi fournie doit servir à cette seule fin.

Pour rendre sa décision, la commissaire à la protection de la vie privée s’appuie sur les considérations suivantes :

• Elle n’est pas d’accord avec le plaignant lorsque celui-ci affirme que l’agence d’évaluation du crédit ne devrait pas être autorisée à exiger deux pièces d’identité de la part du consommateur. Elle note que conformément au principe 4.9.2 de la Loi, les organisations peuvent exiger d’une personne l’information nécessaire pour lui donner accès à ses renseignements personnels.   
• Elle conclut donc que la demande de l’agence d’évaluation du crédit est conforme à ce principe.
• Bien que le plaignant n’ait pas obtenu l’information demandée, la commissaire estime que l’agence se doit de vérifier l’identité du demandeur avant de lui donner accès à toute information. Selon les lois applicables aux renseignements sur les consommateurs, il est nécessaire de vérifier l’identité des personnes qui veulent accéder à leurs renseignements personnels. En outre, il s’agit d’un moyen pour l’agence de protéger ces renseignements de tout accès non autorisé en vertu du principe 4.7.1 de la Loi. 
• Elle juge que l’agence a respecté le principe 4.9.

La commissaire conclut que la plainte est non fondée.