Un plaignant s’oppose à la base de données d’une compagnie d’assurances

Résumé de conclusions d’enquête en vertu de la LPRPDE n^o 2010-002

[Principes 4.3 et 4.7]

Une personne s’est plainte à l’effet que le mis en cause, une entreprise qui maintient une base de données de renseignements sur les polices d’assurance automobile et les réclamations, avait recueilli sans son consentement ses renseignements personnels pour les inscrire dans sa base de données. Plus précisément, le plaignant s’est opposé au cumul de renseignements personnels par le mis en cause auprès de compagnies d’assurances par des moyens qui lui paraissent non consensuels. Le plaignant s’est également demandé si des mesures de protection destinées à protéger les renseignements contenus dans la base de données étaient en place. Il a aussi manifesté le désir de voir son nom retiré de la base de données.

Le plaignant, qui habite en Alberta, a d’abord déposé sa plainte auprès du Commissariat à l’information et à la protection de la vie privée de l’Alberta. Après des discussions entre les deux commissariats, il a été déterminé que le mis en cause se trouvait en Ontario et qu’il était donc assujetti à la LPRPDE. Le plaignant a déposé sa plainte contre le mis en cause et non contre une compagnie d’assurances qui aurait transmis les renseignements.

Dans la présente affaire, le mis en cause, qui maintenait la base de données, était un collecteur secondaire de renseignements personnels. À ce titre, il se fie sur les sociétés d’assurances (le collecteur d’origine) pour obtenir directement le consentement des personnes à l’égard des utilisations et communications subséquentes de leurs renseignements personnels. En examinant la formulation de la clause sur le consentement utilisée par les assureurs, la commissaire adjointe a conclu qu’elle était approuvée par les organismes de réglementation provinciaux et autorisée par la loi de la province. En outre, elle a déterminé que le contrat type du mis en cause oblige les utilisateurs de sa base de données à respecter toutes les lois applicables et que les mesures de protection en place étaient conformes.

Voici un résumé de l’enquête et des conclusions de la commissaire adjointe.

Résumé de l’enquête

Le fils du plaignant magasinait une assurance automobile auprès d’un courtier d’assurance. L’agent a inscrit le nom du plaignant dans une base de données sur les historiques de réclamations automobiles gérée par le mis en cause, et a montré au fils les écrans d’ordinateur affichant les renseignements privés sur les assurances relatifs au plaignant et à certains membres de sa famille. Les renseignements comprenaient le nom du plaignant, son numéro de téléphone, sa date de naissance, des détails de tous les véhicules enregistrés à son nom depuis la première fois où il a contracté une assurance automobile de même que des détails des polices d’assurance qu’il a eues et des réclamations faites.

Le fils du plaignant a demandé à l’agent de lui fournir des copies papier de ces dossiers, ce qu’il a fait. Le plaignant les a par la suite transmises au Commissariat.

Le plaignant a appris du mis en cause que la base de données de l’historique des réclamations automobiles contenait des renseignements sur quiconque avait souscrit à une assurance automobile dans presque toutes les provinces du Canada depuis 1976.

Base de données sur les historiques de réclamations automobiles du mis en cause

Le mis en cause s’est constitué en personne morale aux termes de la Loi canadienne sur les sociétés par actions et exerce des activités au sein de toutes les provinces; depuis 1987 environ, il maintient son service en matière d’historique de réclamations.

Presque tous les assureurs privés au Canada recourent à ce service, à l’exception des régimes d’assurance régis par le gouvernement. Toutefois, quelques‑uns d’entre eux peuvent l’utiliser dans certaines circonstances, notamment lorsqu’un conducteur déménage dans une province et souhaite contracter une assurance automobile. À l’heure actuelle, le mis en cause est la seule entreprise au pays qui offre ces renseignements essentiels sur l’assurance automobile au sein de l’industrie.

Les renseignements personnels inscrits dans la base de données sont recueillis auprès des particuliers par les sociétés d’assurances lorsqu’elles fournissent une assurance et traitent les réclamations. Dans le cas présent, les renseignements en cause ont été recueillis en Alberta par des entreprises ayant assuré le plaignant par le passé.

Cadre de partage de renseignements

Les compagnies d’assurances menant des activités en Alberta sont régies par l’Insurance Act of Alberta, dont le paragraphe 610(1) prévoit ce qui suit :

Aucun assureur ne doit, dans le cas d’une assurance automobile, utiliser une formule de proposition, de police, d’avenant, de certificat de renouvellement ou de prolongation qui ne soit pas approuvée par le surintendant. [traduction]

La formule approuvée par le surintendant pour les assureurs comprend l’énoncé suivant, ajouté en 2005 :

Les renseignements personnels inscrits sur cette demande sont nécessaires à l’émission de la police. Nous [la compagnie d’assurances] sommes tenus de les fournir au système de suivi des données de souscription, une banque de données exploitée au nom de l’industrie de l’assurance automobile à des fins d’analyse statistique, de détermination des risques admissibles et d’évaluation appropriée de ceux‑ci. Toutes les compagnies et agents d’assurances qui offrent de l’assurance automobile au Canada ont accès à son contenu.

CONSENTEMENT : Je fais une demande d’assurance automobile en fonction des renseignements fournis aux présentes. Je vous autorise à recueillir, utiliser et communiquer ces renseignements ainsi que toute information supplémentaire au sujet de mon dossier de conduite, de mon historique de police d’assurance automobile et de réclamations et de celle des conducteurs énumérés desquels je déclare avoir obtenu le consentement à ces fins. Je reconnais que ces renseignements personnels sont nécessaires en vue d’évaluer les risques; de délivrer le contrat d’assurance, de le renouveler ou de le modifier; de déceler et prévenir les fraudes; de mener une enquête et de régler toute réclamation. Si je fais une demande de paiement de primes, je vous autorise à obtenir et à utiliser mon rapport de solvabilité. [Traduction]

Les particuliers fournissent des renseignements aux assureurs lorsqu’ils font une demande d’assurance. Les assureurs transmettent alors ces renseignements au Bureau d’assurance du Canada (BAC), lequel gère le système de suivi des données de souscription pour le compte de l’industrie de l’assurance. La base de données du mis en cause ne fait pas partie de ce système, mais comprend des renseignements qui en sont transférés par l’entremise du BAC à la demande des compagnies d’assurances qui recueillent des renseignements personnels sur les formulaires de demande d’assurance. Le mis en cause paie le BAC pour le transfert de cette information.

Dans chaque cas, l’assureur signe un formulaire demandant au BAC de transférer au mis en cause les renseignements personnels recueillis.

Le mis en cause transmet cette information à l’ensemble des sociétés, agents ou courtiers d’assurances ou encore aux experts en sinistres sur la base d’un contrat conclu avec l’organisation qui reçoit ces renseignements. Cette dernière peut alors demander un rapport de la part du mis en cause, qui renferme des renseignements concernant une personne, comme les détails de toutes ses polices d’assurance qu’il a énumérées, tous les véhicules couverts et toutes les réclamations faites. Selon l’industrie de l’assurance, tous les renseignements sont nécessaires pour garantir une juste évaluation des risques d’assurance.

Le contrat type entre le mis en cause et les assureurs qui se servent de sa base de données contient une disposition qui oblige tous les utilisateurs à respecter les lois applicables et une autre exigeant que tous les renseignements relatifs aux réclamations demeurent confidentiels et ne soient utilisés que conformément aux polices d’assurance. Le mis en cause dispose de procédures permettant aux gens d’accéder à leurs renseignements et de demander leur correction. Toutefois, ils ne peuvent pas demander leur suppression; de l’avis du BAC, cette pratique serait contraire aux fins pour lesquelles ils ont été recueillis.

Le mis en cause a laissé savoir que la base de données se trouve sur des serveurs au Canada dans un centre certifié ISO doté de mécanismes de sécurité qui répondent aux normes de l’industrie. Les renseignements sont transmis aux utilisateurs électroniquement au moyen de protocoles sécurisés. Le mis en cause dispose également de procédures d’authentification axées sur des protocoles qui se fondent sur les normes de l’industrie. Les utilisateurs sont tenus de signer un énoncé confirmant qu’ils protégeront la confidentialité des renseignements et s’en serviront uniquement aux fins prévues.

Conclusions

Rendues le 10 février 2010

Application : Le principe 4.3 prévoit que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu’il ne soit pas approprié de le faire. Selon le principe 4.7, les renseignements personnels doivent être protégés au moyen de mesures de sécurité correspondant à leur degré de sensibilité.

Pour rendre sa décision, la commissaire adjointe s’est appuyée sur les considérations suivantes :

Consentement

• Trois facteurs font en sorte qu’il est impossible d’émettre des recommandations relatives au libellé de consentement du formulaire en question. Premièrement, le formulaire de demande utilise un libellé approuvé par le surintendant des assurances de l’Alberta et autorisé par la loi provinciale. Deuxièmement, les compagnies d’assurances qui utilisent le formulaire ont leur siège en Alberta et ne sont donc pas assujetties aux lois régies par le Commissariat à la protection de la vie privée du Canada. Troisièmement, la plainte en question ne vise aucune compagnie d’assurances, mais plutôt le mis en cause.
• Le mis en cause ne recueille pas les renseignements personnels directement des personnes, mais plutôt par l’entremise du BAC. Ainsi, la question vise plutôt à savoir dans quelle mesure le mis en cause était tenu de respecter le principe de la connaissance et du consentement de la LPRPDE.
• Dans le cadre d’affaires passées impliquant une telle collecte secondaire de renseignements personnels, nous avions déterminé que le collecteur secondaire pouvait se fier au fait que le collecteur d’origine avait obtenu le consentement direct de la personne en vue de l’utilisation et de la communication subséquentes de ses renseignements personnels, mais qu’il devait néanmoins faire preuve de diligence raisonnable pour s’assurer de l’obtention d’un tel consentement; dans de nombreux cas, cette procédure pourrait prendre la forme de dispositions contractuelles.
• Dans la présente affaire, le contrat type du mis en cause avec les assureurs exige des utilisateurs de la base de données qu’ils respectent toutes les lois applicables. Bien que la commissaire adjointe préfèrerait que le contrat type du mis en cause soit plus précis au sujet des responsabilités des assureurs relativement à l’obtention du consentement des personnes, elle a jugé que la disposition exigeant le respect des lois applicables, associée aux dispositions exigeant la confidentialité et l’utilisation limitée, constituait une preuve de diligence raisonnable de la part du mis en cause.
• Par conséquent, la commissaire adjointe a déterminé que le mis en cause respectait le principe 4.3

Mesures de sécurité

• La communication présumée des renseignements personnels du plaignant à son fils, qui semble être le résultat d’une action délibérée de la part d’une organisation autre que le mis en cause, ne peut être considérée à titre de preuve du caractère inadéquat des mesures de sécurité de la base de données du mis en cause. Par conséquent, selon les observations du mis en cause au sujet de ses mesures de sécurité et en l’absence de preuves à l’effet du contraire, la commissaire adjointe était d’avis que le mis en cause respectait le principe 4.7.

Conclusion

La commissaire adjointe a conclu que la plainte n’était pas fondée.