Une caisse populaire de l'Ontario aurait dû obtenir un consentement à l'égard de la vérification de la solvabilité de l'épouse

Rapport des conclusions en vertu de la LPRPDE n^o 2011-004

Un homme s’est plaint du fait qu’une caisse populaire aurait recueilli ses renseignements personnels au cours de ce qu’il allègue être un processus de demande de crédit trompeur. Il a également allégué que ses renseignements personnels auraient été conservés sans son consentement et que la caisse populaire aurait refusé de détruire ces renseignements. Enfin, il s’est plaint du fait que l’organisme aurait effectué une vérification de la solvabilité de son épouse sans le consentement de celle-ci et aurait communiqué et utilisé de façon inappropriée les renseignements obtenus.

Le Commissariat a constaté que la mise en cause a clairement indiqué au plaignant quels renseignements personnels étaient requis dans le processus de demande. Nous avons également constaté que les obligations juridiques de la caisse populaire exigeaient que celle‑ci conserve les renseignements personnels du plaignant pendant sept ans.

Cependant, l’enquête a permis de soulever des préoccupations au sujet de la collecte de renseignements sur l’épouse du plaignant. Bien que son nom figure dans le formulaire de demande, l’épouse n’avait pas donné son consentement à l’égard d’une vérification de sa solvabilité.

Le Commissariat a recommandé que la caisse populaire révise ses processus en vue de s’assurer d’obtenir le consentement de chaque client présentant une demande de crédit avant d’obtenir un rapport conjoint de l’agence d’évaluation du crédit.

Le Commissariat a conclu que les plaintes liées à la collecte et au consentement en ce qui concerne les renseignements personnels du plaignant étaient non fondées. Les plaintes liées au consentement quant à la collecte des renseignements personnels de son épouse et à l’utilisation et à la communication de ses renseignements étaient fondées et résolues.

Plaintes déposées en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE)

Résumé des plaintes

1. Le plaignant allègue que la caisse populaire (la mise en cause) :

1. aurait recueilli ses renseignements personnels au cours d’un processus de demande de crédit trompeur;
2. aurait conservé ses renseignements personnels sans son consentement et refusé de détruire les renseignements personnels recueillis au cours du processus de demande;
3. aurait effectué, auprès de l’agence d’évaluation du crédit, une vérification de la solvabilité de son épouse sans son consentement,
4. aurait utilisé et communiqué de façon inappropriée les renseignements personnels obtenus au cours du processus de demande.

L’épouse du plaignant a donné son consentement, permettant ainsi au plaignant de s’occuper de sa plainte en son nom.

Résumé de l’enquête

2. En novembre 2009, le plaignant s’est informé auprès de la mise en cause au sujet de l’obtention d’une nouvelle marge de crédit garantie de 250 000 $, qui serait garantie par sa résidence (le foyer « conjugal ») et qui servirait uniquement à des fins personnelles. La marge de crédit garantie était requise pour la rénovation de sa résidence. Le plaignant est propriétaire d’une petite entreprise (exploitée depuis 2003). Il est consultant, et son entreprise n’a pas été constituée en société. Lorsqu’il s’est informé au sujet de la demande de marge de crédit garantie, le plaignant a été avisé qu’en tant que travailleur autonome, il serait tenu de fournir trois avis de cotisation pour que l’on puisse vérifier son revenu.

3. Le 25 novembre 2009, le plaignant a rempli et signé un formulaire de demande de marge de crédit garantie. Il y était nommé comme étant le seul demandeur. Le nom de son épouse figurait dans le formulaire de demande comme étant son épouse. Elle n’a pas signé le formulaire de demande ni n’était nommée en tant que codemanderesse du prêt.

4. Le plaignant déclare que la mise en cause a demandé que son épouse soit incluse dans le formulaire de demande, étant donné qu’elle aurait à signer les documents finaux liés au prêt.

5. Le 25 novembre 2009, le plaignant a télécopié à la mise en cause sa demande signée d’une page et des copies de trois de ses plus récents avis de cotisation. Le 26 novembre 2009, il a télécopié à la mise en cause des documents supplémentaires à l’appui de sa demande, y compris une preuve de l’assurance habitation, un relevé de l’impôt foncier payé et l’évaluation de la propriété effectuée par la SEFM.

6. Le 9 décembre 2009, le plaignant s’est informé de l’état de sa demande. Le directeur de succursale de la mise en cause lui a dit que les demandeurs qui étaient travailleurs autonomes étaient tenus de présenter les états financiers de leurs activités d’entreprise. Le plaignant serait donc tenu de fournir les états financiers de son entreprise pour trois années pour que le traitement de sa demande de marge de crédit garantie puisse se poursuivre.

7. Cette situation préoccupait le plaignant. C’était la première fois que la mise en cause l’informait qu’il devait fournir les états financiers de son entreprise pour trois années, afin que sa demande de marge de crédit personnelle garantie soit examinée par l’organisation. Le 27 mai 2011, le plaignant a avisé le Commissariat que, selon lui, l’expression « états financiers » correspondait à tout état financier qu’il tenait à jour pour son entreprise, y compris l’état des résultats (qui comprend les dépenses et les revenus de l’entreprise), le bilan, les dépenses en capital, etc.

8. Le plaignant était d’avis que le fait que la mise en cause exige les états financiers n’était pas acceptable. Le 10 décembre 2009, il a parlé à un responsable de la succursale et a demandé à être exempté des exigences de celle‑ci relatives à la déclaration des activités de l’entreprise. Le responsable de la succursale a accepté de présenter la demande d’exemption. Selon le plaignant, la mise en cause l’a avisé qu’elle modifierait ses exigences en matière de déclaration, mais qu’elle tiendrait à consulter ses déclarations de revenus d’entreprise. D’après le plaignant, la mise en cause exigeait qu’il présente le formulaire de l’Agence du revenu du Canada intitulé « État des résultats des activités d’une entreprise ou d’une profession libérale ». Le formulaire énumère les dépenses et les revenus d’entreprise des travailleurs autonomes. La mise en cause n’en conserverait pas de copies, mais étudierait les déclarations de revenus d’entreprise et consignerait les chiffres clés.

9. Le plaignant était d’avis que cela n’était pas acceptable. Le 15 décembre 2009, il a envoyé à la mise en cause une lettre indiquant qu’il retirait sa demande de marge de crédit garantie et son consentement à l’utilisation de ses renseignements personnels. Il a demandé que la mise en cause détruise tous les renseignements personnels recueillis au cours du processus de demande de marge de crédit garantie.

10. La mise en cause soutient que, à la suite d’un examen de la demande du plaignant et en raison de la nature complexe de la demande et du fait que le plaignant était un travailleur autonome, elle a avisé ce dernier que des états financiers liés à ses activités d’entreprise seraient requis.

11. La mise en cause maintient que, au cours du processus d’octroi d’un prêt, il est commun de prier le demandeur de fournir des renseignements financiers supplémentaires. Dans un courriel daté du 27 mai 2011, la mise en cause a déclaré que, dans les circonstances du plaignant, les états financiers correspondaient à toutes les déclarations de revenus liées aux activités d’entreprise du plaignant pour une période de trois ans.

12. Le 30 mai 2011, la mise en cause a expliqué la raison pour laquelle les avis de cotisation n’étaient pas acceptables pour vérifier le revenu du plaignant :

[…] l’avis de cotisation ne vous fournit qu’un seul chiffre. Il ne confirme pas la façon dont le chiffre a été obtenu. Nous souhaiterions savoir si le revenu a été touché de façon légitime et si la méthode était viable et correspondait au récit du demandeur. Nous devons nous assurer que celui‑ci peut rembourser le prêt. Nous avons également la responsabilité de veiller à ce que nos demandeurs ne blanchissent pas d’argent. [traduction]

13. La mise en cause a fourni une copie de son manuel de politiques relatives aux utilisateurs de crédit. Elle a fait allusion à la section 1.03 (portant sur la vérification du revenu) pour soutenir le fait que les états financiers sont requis lorsque le demandeur est un travailleur autonome. La section 1.03 énonce ce qui suit :

La confirmation du revenu doit être fournie pour que l’on puisse vérifier les calculs adéquats liés à l’amortissement brut et total de la dette. Lorsque le revenu ne peut être facilement obtenu ou qu’il est estimé, les exceptions doivent être adéquatement expliquées dans un document qui sera transmis au vice‑président directeur.

Les nouveaux membres et les prêts élevés par rapport à la valeur d’emprunt exigeront deux des types de vérification suivants pour les prêts hypothécaires résidentiels (les plus récents) :

Avis de cotisation, feuillets T4, lettre d’emploi (dont l’authenticité a été vérifiée), bordereaux de paie (pour une période de quelques mois), états financiers lorsque le demandeur est un travailleur autonome (pour une période d’au moins deux ans).

Il faut s’assurer d’exiger les avis de cotisation plus souvent, lorsque cela est possible. Une copie de la déclaration de revenus n’est pas suffisante. Les demandes de compte présentées par de nouveaux membres devraient également être examinées plus diligemment.

Nous prendrons en considération les prêts octroyés selon le revenu déclaré en fonction d’un rapport prêt/valeur (RPV) pouvant atteindre 50 % dans le cas où le revenu prouvé excéderait nos ratios d’endettement. Il faut demander verbalement à obtenir le revenu et calculer le ratio de deux façons : revenu confirmé, puis revenu déclaré (revenu fourni par rapport à ce qui peut être prouvé). Cela peut être approuvé selon des limites discrétionnaires. Les demandes comportant des RPV supérieurs à 50 % et inférieurs à 60 % doivent être transmises au siège social. Le formulaire de revenu de l’emprunteur doit être rempli, et il faut vérifier le statut de l’entreprise par Internet sur le site Canada 411 ou au moyen du registre des entreprises. [traduction]

14. Dans une lettre datée du 18 mars 2011, la mise en cause a indiqué que, même en l’absence d’une telle politique, le vice‑président directeur aux crédits peut « prier le demandeur de lui fournir ce qu’il veut, puisque c’est notre argent que le demandeur veut emprunter. S’il refuse de fournir des renseignements satisfaisants ou adéquats, le demandeur peut alors abandonner la transaction [traduction] », ce qui s’est produit dans ce cas-ci.

15. À la suite du retrait de la demande de marge de crédit garantie du plaignant, la mise en cause n’a pas recueilli d’autres renseignements personnels sur le plaignant. Elle a avisé celui‑ci qu’elle détruirait les renseignements personnels recueillis, à l’exception de la page couverture du formulaire de demande de marge de crédit garantie et du rapport de solvabilité du plaignant.

16. La mise en cause a initialement déclaré que les renseignements conservés étaient requis en vertu de l’entente qu’elle a conclue avec Equifax. Cette entente requiert que la mise en cause se conforme à toutes les lois sur la solvabilité. La Loi sur les renseignements concernant le consommateur de 1990 de l’Ontario (chapitre 33, article 8) exige à la mise en cause de prouver qu’elle a obtenu le consentement du client et de conserver les renseignements à des fins de vérification.

17. Bien que la mise en cause ait fait allusion à l’article 8 du chapitre 33 de la Loi sur les renseignements concernant le consommateur de 1990 de l’Ontario comme étant celui qui lui exigeait de prouver qu’elle avait obtenu le consentement de son client pour recevoir de l’agence d’évaluation du crédit un rapport sur le consommateur, la disposition pertinente semble être le paragraphe 10(2), qui prévoit que chaque personne qui demande un rapport sur le consommateur doit aviser le consommateur de ce fait. La mise en cause a déclaré que la seule façon de prouver le consentement était de conserver la page couverture du formulaire de demande du plaignant, qui l’identifie et confirme l’autorisation qu’il a donnée pour que l’on puisse obtenir le rapport de solvabilité.

18. Le 31 mai 2010, le plaignant a déposé une plainte officielle auprès de la Commission des services financiers de l’Ontario (CSFO). Il a allégué que la mise en cause aurait contrevenu à la LPRPDE lorsqu’elle a recueilli, utilisé et conservé ses renseignements personnels au cours du processus de demande de marge de crédit garantie et ne s’est pas conformée aux exigences relatives à la tenue des dossiers aux termes de la Loi de 1994 sur les caisses populaires et les credit unions de l’Ontario (la Loi sur les caisses populaires). Le 13 janvier 2011, la CSFO a avisé le plaignant et la mise en cause que celle‑ci avait respecté les exigences relatives à la tenue des dossiers et qu’elle n’a pas constaté d’infraction à la Loi sur les caisses populaires.

19. La mise en cause a transmis au Commissariat une copie des observations qu’elle a présentées à la CSFO. Dans les observations, il est énoncé que, étant donné que le plaignant avait déposé une plainte officielle, la mise en cause était maintenant tenue, aux termes du Règlement de l’Ontario 237/09, pris en vertu de la Loi sur les caisses populaires, partie VI, paragraphe 116(5), de « conserve[r] une copie de chaque plainte qu’elle reçoit, de chaque réponse qu’elle donne et de tout autre document qui se rapporte à la plainte pendant six ans à compter de la date de la plainte et, sur demande, [de] met[tre] le tout à la disposition du surintendant ».

20. Nonobstant les obligations particulières relatives à la tenue des dossiers prévues au paragraphe 116(5) du Règlement de l’Ontario 237/09, la mise en cause nous a confirmé qu’elle ne conserve maintenant que la page couverture de la demande de marge de crédit garantie et celle du rapport de solvabilité du plaignant.

21. Lorsqu’il s’est présenté à la succursale pour récupérer ses documents, le plaignant a découvert que la mise en cause avait effectué, le 9 décembre 2009, auprès de l’agence d’évaluation du crédit, une vérification de la solvabilité de son épouse sans avoir obtenu le consentement de celle‑ci.

22.La mise en cause a admis s’être fiée au consentement du plaignant pour procéder à une vérification conjointe auprès de l’agence d’évaluation du crédit. Elle a déclaré que le rapport de l’agence d’évaluation du crédit a été obtenu en fonction du soutien de l’épouse en raison du fait que l’épouse du plaignant signerait les documents liés au prêt. En outre, dans la lettre d’observations qu’elle a présentée à la CSFO, la mise en cause a déclaré que le rapport de l’agence d’évaluation du crédit a été obtenu en fonction du document que le plaignant a signé et dans lequel il autorisait la production d’un rapport conjoint par l’agence d’évaluation du crédit.

23. Le 12 février 2010, le plaignant et la mise en cause ont échangé des courriels concernant la destruction des renseignements personnels du plaignant. Au cours de cet échange de courriels, le vice‑président aux opérations de la mise en cause a mentionné que le plaignant était un ancien employé du gouvernement fédéral, pour tenter d’expliquer que la mise en cause est assujettie à des règlements. Le plaignant a allégué qu’il s’agirait d’une mauvaise utilisation de ses renseignements personnels, vu qu’il n’avait jamais fourni cette information à la mise en cause. Cette dernière a affirmé que, lorsque la déclaration a été faite, son employé avait devant lui le formulaire de demande et le rapport de solvabilité.

24. La mise en cause a déclaré que sa politique de protection des renseignements personnels en ligne est une adaptation du code des caisses populaires. Elle affirme ne pas avoir de politiques ni de dépliant pour expliquer aux demandeurs ce qui est ou pourrait être requis dans le cadre d’une demande de crédit, bien qu’elle ait bel et bien une politique en matière de protection des renseignements personnels.

Plainte n^o1 : Processus de demande de crédit trompeur

Application de la Loi

25. Au moment de rendre notre décision, nous avons appliqué les principes 4.2.3 et 4.3.2 de l’annexe 1 de la LPRPDE.

26. Le principe 4.2.3 énonce qu’il faudrait préciser à la personne auprès de laquelle on recueille des renseignements, avant la collecte ou au moment de celle-ci, les fins auxquelles ils sont destinés. Selon la façon dont se fait la collecte, cette précision peut être communiquée de vive voix ou par écrit. Par exemple, on peut indiquer ces fins sur un formulaire de demande de renseignements.

27. Selon le principe 4.3.2, les organisations doivent faire un effort raisonnable pour s’assurer que la personne est informée des fins auxquelles les renseignements seront utilisés. Pour que le consentement soit valable, les fins doivent être énoncées de façon que la personne puisse raisonnablement comprendre de quelle manière les renseignements seront utilisés ou communiqués.

Constatations

Le 22 juillet 2011

Tentative de collecte

28. Le plaignant a initialement été avisé de fournir les avis de cotisation pour trois années dans le cadre de la demande de marge de crédit garantie. Au cours du processus de demande, il a été prié de fournir les états financiers de ses activités en tant que travailleur autonome. Lorsqu’il a été mis au courant de l’exigence relative aux états financiers, le plaignant a cherché à obtenir une exemption et on lui a ensuite dit qu’il aurait à présenter les déclarations de revenus relatives à ses activités d’entreprise. Il s’est opposé aux deux exigences et a retiré sa demande. Bien qu’elle ait demandé à obtenir les états financiers ou, comme solution de rechange, les déclarations de revenus relatives aux activités d’entreprise du plaignant (État des résultats des activités d’une entreprise de l’ARC), la mise en cause n’a jamais recueilli cette information.

Détermination des fins de la collecte, connaissance et consentement

29. Bien que le plaignant n’ait pas été au courant de cette exigence supplémentaire lorsqu’il s’est informé au sujet de la marge de crédit garantie, la mise en cause lui a clairement indiqué par la suite les renseignements nécessaires dans le cadre du processus de demande.

30. De plus, dans la demande de marge de crédit garantie signée par le plaignant, l’énoncé de confidentialité prévoit que la mise en cause recueille, utilise et communique des renseignements personnels dans le but de déterminer la capacité financière du client et d’évaluer sa solvabilité.

31. La clause relative au consentement à l’égard de la production d’un rapport par l’agence d’évaluation du crédit figurant dans le formulaire de demande énonce que la mise en cause peut obtenir des renseignements personnels et sur le crédit au sujet du plaignant de n’importe quelle source et utiliser ces renseignements pour déterminer sa capacité financière.

32. Il est clair que le plaignant a compris que les renseignements supplémentaires étaient exigés pour que la mise en cause puisse évaluer sa capacité financière dans le cadre de la demande de marge de crédit garantie, ce qui se conforme aux exigences du principe 4.2.3 de l’annexe 1. En outre, la mise en cause n’a pas tenté de recueillir d’autres renseignements financiers sur le demandeur sans son consentement ni à son insu, tel que le requiert le principe 4.3.2.

33. Bien qu’il ait été préférable que la mise en cause indique clairement dès le départ quels types de renseignements elle exigeait des demandeurs qui sont travailleurs autonomes, nous sommes convaincus que les fins auxquelles les renseignements ont été demandés ont été clairement présentées au demandeur et que les renseignements personnels du plaignant n’ont pas été recueillis sans son consentement.

Conclusion:

34. En conséquence, nous concluons que la plainte est non fondée.

Plainte n^o 2 : Conservation des renseignements personnels et refus de les détruire lorsqu’ils ne sont plus nécessaires

Application de la Loi

35. Au moment de rendre notre décision, nous avons appliqué les principes 4.5 et 4.5.3 de l’annexe 1 de la LPRPDE.

36. Le principe 4.5 énonce que les renseignements personnels ne doivent pas être utilisés ou communiqués à des fins autres que celles auxquelles ils ont été recueillis à moins que la personne concernée n’y consente ou que la loi ne l’exige. On ne doit conserver les renseignements personnels qu’aussi longtemps que nécessaire pour la réalisation des fins déterminées.

37. Selon le principe 4.5.3, on devrait détruire, effacer ou dépersonnaliser les renseignements personnels dont on n’a plus besoin aux fins précisées. Les organisations doivent élaborer des lignes directrices et appliquer des procédures régissant la destruction des renseignements personnels.

Constatations

Le 22 juillet 2011

38. Le 4 février 2010, la mise en cause a avisé le plaignant qu’elle avait détruit tous les renseignements soumis à l’appui de sa demande, outre la page couverture de la demande de marge de crédit garantie et celle du rapport de solvabilité d’Equifax. La mise en cause a expliqué qu’elle conservait ces renseignements pendant sept ans.

39. La mise en cause a subséquemment clarifié sa position. Dans une lettre datée du 28 février 2011, elle a déclaré que tous les renseignements personnels recueillis à l’égard de la demande du plaignant avaient été détruits, à l’exception de la page couverture de la demande et de celle du rapport de solvabilité.

40. Nous sommes convaincus que la mise en cause doit être en mesure d’identifier le plaignant et de confirmer l’autorisation qu’il a donnée pour qu’elle puisse obtenir un rapport de solvabilité, afin de démontrer qu’elle se conforme au paragraphe 10(2) de la Loi sur les renseignements concernant le consommateur de l’Ontario. Sans ces documents, il serait difficile pour la mise en cause de démontrer qu’elle a avisé le plaignant avant d’obtenir un rapport de solvabilité à son égard, tel que le requiert ce paragraphe.

41. Il devrait être souligné que l’énoncé de confidentialité et d’approbation de l’agence d’évaluation du crédit figurant dans la demande de prêt prévoyait expressément que l’une des fins auxquelles la mise en cause recueillerait, utiliserait et communiquerait les renseignements personnels était pour se conformer aux exigences législatives et réglementaires. En conséquence, la mise en cause conserve ces deux documents pour lui permettre de réaliser les fins qu’elle a déterminées, tel que le requiert le principe 4.5.

42. Un problème secondaire concerne la durée de la période pendant laquelle les renseignements sont conservés. La mise en cause a affirmé être tenue de conserver les renseignements pendant sept ans. Nous soulignons toutefois que le délai de prescription pour intenter une poursuite aux termes de la Loi sur les renseignements concernant le consommateur pour ne pas avoir respecté ses exigences est de deux ans (paragraphe 23(4)).

43. Dans les observations qu’elle a présentées à la CSFO, la mise en cause s’est fiée aux exigences du paragraphe 116(5) du Règlement 237/09, pris en vertu de la Loi sur les caisses populaires. Tel qu’il a été mentionné ci‑dessus, le paragraphe 116(5) exige la conservation de « tout […] document qui se rapporte à la plainte ».

44. Cependant, la mise en cause a confirmé avoir détruit tous les autres renseignements qu’elle avait recueillis du plaignant. Cela donnerait à penser qu’elle a considéré que le paragraphe 116(5) n’était pas applicable dans les circonstances. En outre, le paragraphe 116(5) exige seulement que les documents soient conservés pendant six ans, et non pas sept ans.

45. Bref, il semblerait que les obligations juridiques énoncées par la mise en cause ne justifient pas la conservation des renseignements personnels du plaignant pendant toute la période de sept ans, qui, selon la mise en cause, est requise.

Mesures recommandées

46. Le 24 juin 2011, le Commissariat a diffusé un rapport d’enquête préliminaire, dans lequel nous croyions que la mise en cause s’était conformée à la LPRPDE. Cependant, nous avons conclu que les obligations juridiques énoncées par la mise en cause ne justifiaient pas la conservation des renseignements personnels du plaignant pendant toute la période de sept ans.

47. Dans notre rapport préliminaire, nous avons recommandé que la mise en cause révise la période de conservation des renseignements du plaignant, à la lumière des exigences applicables prévues par la loi.

48. En réponse à notre recommandation, la mise en cause a fait allusion aux dispositions de l’alinéa 230(4)b) de la Loi de l’impôt sur le revenu. Elle a déclaré que l’alinéa 230(4)b) exige qu’elle conserve « tous les autres registres et livres de comptes mentionnés au présent article de même que les comptes et pièces justificatives nécessaires à la vérification des renseignements contenus dans ces registres et livres de comptes pendant les six ans qui suivent la fin de la dernière année d’imposition à laquelle les documents se rapportent ». La mise en cause a allégué que cela signifie qu’un document créé au cours de l’année 2001 doit être conservé jusqu’à la fin de 2007, soitun total de sept ans.

49. Le Commissariat est convaincu que l’obligation juridique énoncée par la mise en cause en ce qui concerne la conservation des renseignements personnels du plaignant pour une période de sept ans est raisonnable.

Conclusion:

50. En conséquence, nous concluons que la plainte est non fondée.

Plainte n^o 3 : Consentement à l’égard d’une vérification effectuée par l’agence d’évaluation du crédit

Application de la Loi

51. Au moment de rendre notre décision, nous avons appliqué le principe 4.3 de l’annexe 1 de la Loi.

52. Le principe 4.3 énonce que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu’il ne soit pas approprié de le faire.

Constatations

Le 22 juillet 2011

53. Lorsqu’elle a cherché à obtenir de l’agence d’évaluation du crédit un rapport lié à l’épouse du plaignant, la mise en cause ne s’est pas conformée au principe 4.3 de l’annexe 1 de la LPRPDE.

54. Le formulaire de demande de marge de crédit garantie comprend la clause de consentement suivante, soit l’énoncé de confidentialité et d’approbation de l’agence d’évaluation du crédit :

J’AUTORISE [la mise en cause] À OBTENIR LES RENSEIGNEMENTS PERSONNELS ET SUR LE CRÉDIT À MON SUJET, DE N’IMPORTE QUELLE SOURCE. Par la présente, j’atteste que tous les renseignements sont véridiques et exacts. Je n’ai omis de divulguer aucune obligation financière et je reconnais que les renseignements seront utilisés en vue de déterminer ma capacité financière […]

Je consens (nous consentons) à la collecte, à la communication et au traitement des renseignements à mon (notre) sujet par [la mise en cause] et ses associés ainsi que leurs fournisseurs de services et agents respectifs aux fins énoncées dans la section relative à l’utilisation des renseignements personnels et également à la mise en commun ou à l’échange des rapports et des renseignements avec des agences d’évaluation du crédit, des bureaux de crédit ou toute autre personne, société, firme ou entreprise avec laquelle j’entretiens (nous entretenons) ou je prévois établir (nous prévoyons établir) une relation financière, en plus des utilisations notées ci‑dessous :

• Les renseignements peuvent être utilisés en vue de fournir du matériel de promotion et de sollicitation pour les produits [de la mise en cause]
• Les renseignements peuvent être communiqués aux associés en vue de fournir du matériel de promotion et de sollicitation pour d’autres produits.

Utilisation des renseignements personnels

Nous ([la mise en cause], ses associés et leurs fournisseurs de services et agents respectifs) recueillons, communiquons, utilisons et traitons les renseignements personnels à votre sujet : a) pour envisager [d’établir] et pour établir, maintenir et faire évoluer la relation que nous entretenons avec vous relativement aux produits et aux services que nous offrons généralement, y compris le fait de nous aider à comprendre les besoins actuels et futurs de nos membres et, autrement, à analyser et à gérer notre entreprise; b) pour administrer les services de comptabilité et les mesures de sécurité qui sont en lien avec la relation d’affaires que vous entretenez avec nous; c) (i) pour faire le suivi de votre historique bancaire et (ii) pour évaluer votre solvabilité; dans le cas où vous fourniriez votre numéro d’assurance sociale, nous l’utiliserions pour le faire correspondre aux renseignements fournis par l’agence d’évaluation du crédit à votre sujet; d) pour respecter les exigences législatives et réglementaires; e) pour promouvoir et commercialiser les produits et les services offerts par (I) [la mise en cause] ou (II) ses associés, y compris au moyen du marketing direct.

Pour obtenir de plus amples renseignements sur le code de protection des renseignements personnels [de la mise en cause] ou pour renoncer à votre consentement à l’égard de la disposition e) (I) ou (II) ou le retirer en tout temps, veuillez composer [le numéro de téléphone de la mise en cause] ou communiquer avec votre succursale […] locale. [traduction]

55. L’enquête a révélé que, bien que l’épouse du plaignant ait été nommée en tant que son épouse dans le formulaire de demande de marge de crédit garantie, la mise en cause n’a pas obtenu le consentement de l’épouse du plaignant à l’égard de la vérification par l’agence d’évaluation du crédit, que ce soit sous la forme d’une signature apposée sur le formulaire de demande de marge de crédit garantie ou dans un formulaire de consentement distinct.

56. En outre, la mise en cause a reconnu s’être fiée au consentement du plaignant pour procéder à la vérification de la solvabilité de l’épouse de celui‑ci auprès de l’agence d’évaluation du crédit. Dans une lettre présentée à la CSFO, la mise en cause a admis que, en fonction de l’autorisation signée par le plaignant, « une vérification conjointe par l’agence d’évaluation du crédit a été obtenue » [traduction]. En n’ayant pas obtenu le consentement de l’épouse du plaignant, la mise en cause a contrevenu au principe 4.3. de l’annexe 1 de la LPRPDE.

Mesures recommandées

57. Le 24 juin 2011, le Commissariat a diffusé un rapport d’enquête préliminaire, dans lequel nous croyions que la mise en cause ne s’était pas conformée à la Loi.

58. Dans notre rapport préliminaire, nous avons recommandé que la mise en cause révise ses processus opérationnels, dans le but de s’assurer d’obtenir le consentement de chaque client présentant une demande de crédit, avant de recevoir un rapport conjoint de l’agence d’évaluation du crédit.

59. En réponse à notre recommandation, la mise en cause nous a avisés que sa politique énonce qu’un consentement écrit doit être obtenu avant la réception d’un rapport conjoint de l’agence d’évaluation du crédit. Elle a confirmé avoir modifié son manuel de procédures de façon à ce que l’obtention du consentement des deux clients soit une exigence obligatoire avant qu’un rapport conjoint de l’agence d’évaluation du crédit ne soit obtenu.

Conclusion:

60. En conséquence, nous concluons que la plainte est fondée et résolue.

Plainte n^o 4 : Utilisation et communication du fait que le plaignant a déjà travaillé pour le gouvernement fédéral

Application de la Loi

61. Pour rendre notre décision, nous avons appliqué le principe 4.5 de l’annexe 1 de la LPRPDE.

62. Le principe 4.5 énonce que les renseignements personnels ne doivent pas être utilisés ou communiqués à des fins autres que celles auxquelles ils ont été recueillis à moins que la personne concernée n’y consente ou que la loi ne l’exige.

Constatations

Le 22 juillet 2011

63. Les éléments de preuve présentés par le plaignant à l’égard de la communication ou de l’utilisation inappropriée de ses renseignements personnels concernent l’allusion que la mise en cause a faite au statut d’ancien employé du gouvernement fédéral du plaignant. Dans un échange de courriels entre le plaignant et la mise en cause, un employé de celle‑ci a mentionné cette information pour tenter d’expliquer au plaignant que la mise en cause est assujettie à des obligations réglementaires. Celui‑ci allègue qu’il n’a pas fourni cette information et qu’il s’agit d’une mauvaise utilisation de ses renseignements personnels.

64. La mise en cause indique que, au moment de cette communication, son employé avait devant lui la demande de crédit et le rapport de solvabilité du plaignant; le fait que celui‑ci était un ancien employé du gouvernement fédéral était donc visible. La mise en cause déclare qu’aucun autre commentaire n’a été fait et qu’aucune autre information n’a été utilisée par son employé.

65. Le terme « utilisation » dans la LPRPDE a un sens large. L’employé a fait allusion au fait que le plaignant était un ancien employé du gouvernement dans un contexte général où la mise en cause tentait de justifier ses pratiques au plaignant. Ainsi, cela constitue une « utilisation » des renseignements personnels aux fins de la LPRPDE. De plus, cette utilisation va au‑delà des fins auxquelles la mise en cause a obtenu le rapport de solvabilité du plaignant. Cela contrevenait donc au principe 4.5 de l’annexe 1.

66. L’enquête ne permet pas de soutenir l’allégation selon laquelle les renseignements personnels du plaignant auraient été communiqués de façon inadéquate. Le fait que le plaignant était un ancien employé du gouvernement n’a pas été communiqué à quiconque, outre le plaignant lui‑même.

Mesures recommandées

67. Le 24 juin 2011, le Commissariat a diffusé un rapport d’enquête préliminaire, dans lequel nous croyions que la mise en cause ne s’était pas conformée à la Loi.

68. Dans notre rapport préliminaire, nous avons recommandé que la mise en cause mette en œuvre des procédures pour s’assurer qu’elle n’utilise pas de façon inappropriée les renseignements personnels figurant dans un rapport de solvabilité, à l’avenir.

69. La mise en cause a confirmé qu’elle se conformerait à notre recommandation en renforçant l’énoncé figurant dans sa politique de protection des renseignements personnels, afin de s’assurer que ses employés n’utilisent pas de façon inappropriée les renseignements personnels que contient le rapport de solvabilité. Plus particulièrement, la collecte de renseignements personnels sera limitée à ce qui est nécessaire aux fins précisées par la caisse populaire, et les renseignements personnels ne seront pas utilisés ni communiqués à des fins autres que celles auxquelles ils ont été recueillis.

70. Le Commissariat est convaincu que, une fois pleinement mis en œuvre, le renforcement de la politique de protection des renseignements personnels de la mise en cause réglera le problème lié à la protection des renseignements personnels sous‑jacent à notre recommandation.

Conclusion:

71. En conséquence, nous concluons que la plainte relative à la mauvaise utilisation des renseignements personnels est fondée et résolue. La plainte liée à la communication des renseignements personnels est non fondée.

Suivi

72. À titre d’élément de preuve démontrant l’intention continue du Commissariat de faire le suivi de la question, nous demandons que la mise en cause nous fournisse une confirmation écrite selon laquelle elle a apporté les changements pour lesquels elle avait pris un engagement, selon le paragraphe 69 ci‑dessus, dans un délai de six mois suivant la date du présent rapport.

Autre

73. Nous soulignons que l’une des principales préoccupations du plaignant concerne le fait qu’il estime avoir été trompé par la mise en cause à l’égard des exigences relatives à une demande de prêt. La mise en cause a indiqué les fins auxquelles elle recueillait les renseignements personnels du plaignant, mais n’a pas précisé les types de renseignements qu’elle exigeait des demandeurs de prêt dès le début du processus de demande. Bien que nous ayons conclu qu’il ne s’agit pas d’une infraction à la LPRPDE, dans les circonstances, nous encourageons fortement la mise en cause à fournir des renseignements plus clairs dès le début en ce qui concerne les types de renseignements qu’elle pourrait exiger des demandeurs de prêt. La mise en cause dispose déjà d’une politique interne indiquant quels types de renseignements elle exige, et nous ne voyons pas pourquoi ces renseignements ne pourraient pas être à la disposition des clients potentiels.

74. À l’égard de l’exigence de la mise en cause selon laquelle les demandeurs qui sont travailleurs autonomes, comme le plaignant, doivent soumettre les états financiers ou les déclarations de revenus de leur entreprise, nous sommes préoccupés par le fait que ces renseignements, en plus des avis de cotisation, ne sont pas requis pour réaliser les fins de la mise en cause. Bien que le plaignant n’ait pas soulevé cette question directement, nous ne comprenons pas pourquoi des avis de cotisation couvrant plusieurs années et indiquant, entre autres, le revenu imposable ne seraient pas suffisants pour que l’on puisse évaluer la capacité financière d’un demandeur qui est travailleur autonome.

75. Il nous semble que les états financiers ou les déclarations de revenus d’entreprise pourraient contenir beaucoup plus de renseignements personnels liés aux revenus et aux dépenses qu’il est nécessaire pour que la mise en cause respecte ses obligations en tant que prêteur prudent. La mise en cause déclare qu’elle souhaite évaluer la viabilité des revenus, mais n’a pas pleinement expliqué pourquoi les avis de cotisation pour plusieurs années sont insuffisants à cette fin. Elle a également fait des déclarations générales selon lesquelles elle est tenue d’évaluer si les revenus ont été touchés de façon légitime et de détecter le blanchiment d’argent, mais n’a pas précisé les obligations réglementaires qui lui exigeraient d’obtenir les états financiers ou les déclarations de revenus d’entreprise des demandeurs qui sont travailleurs autonomes. Elle n’a pas non plus démontré comment ces renseignements l’aideraient à réaliser ces fins. Nous encourageons donc la mise en cause à reconsidérer l’exigence selon laquelle les demandeurs de prêts personnels qui sont travailleurs autonomes doivent lui soumettre des états financiers ou des déclarations de revenus d’entreprise.