Une agence de rencontres en ligne a utilisé sans son consentement les renseignements personnels d’un ancien client et a refusé de lui donner accès à cette information

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2013-014

Le 18 décembre 2013

---

Plainte

Après avoir mis fin à son abonnement à une agence de rencontres en ligne, un individu a demandé à la propriétaire de retirer son nom de sa liste d’envoi et de supprimer l’information le concernant. En dépit de cette requête, on a continué de lui envoyer des courriels de marketing.

Le plaignant a également demandé à avoir accès à ses renseignements personnels que détenait l’agence. La propriétaire lui a répondu que cette information appartenait à l’agence et que les renseignements demandés associés à son profil personnel ne se trouvaient dans aucune base de données.

Notre enquête

Lorsque le Commissariat s’est penché sur le dossier, la propriétaire de l’agence nous a informés qu’elle avait retiré de ses systèmes informatiques tous les renseignements personnels du plaignant et qu’elle avait détruit et déchiqueté tout document le concernant. Elle alléguait également – sans toutefois fournir de preuve – avoir en fait remis au plaignant son profil en ligne.

De façon inattendue, à mi-chemin de notre enquête, l’agence de rencontres a changé de mains. Le contrat de vente stipulait que le nouveau propriétaire obtiendrait le profil de tous les clients ainsi que leurs contacts (c’est-à-dire la « base de données »).

Nos activités de suivi auprès du nouveau propriétaire ont permis de constater que l’information du plaignant lui avait été transmise, y compris celle associée à son profil. Nos discussions avec le nouveau propriétaire ont également révélé que celui-ci avait obtenu de l’ancienne propriétaire la base de données de l’agence, qui contenait l’adresse de courriel du plaignant. En conséquence, le plaignant a eu accès à une partie de ses renseignements personnels, soit ceux qu’avait trouvés le nouveau propriétaire. Le plaignant a attiré notre attention sur l’absence de certains documents, dont des photographies. L’ancienne propriétaire a reconnu avoir supprimé les photographies, car elle n’avait pu déterminer si elles renfermaient des renseignements personnels du plaignant. Par la suite, le nouveau propriétaire a confirmé au Commissariat qu’il avait détruit tous les renseignements personnels du plaignant dont il disposait. À notre connaissance, le plaignant n’a reçu aucune autre communication de l’agence de rencontres.

Après que le plaignant eut reçu confirmation que l’information avait été détruite, le plaignant nous a contactés pour vérifier si l’organisation avait omis de conserver l’information aussi longtemps que nécessaire pour lui donner la possibilité d’épuiser les recours à sa disposition en vertu de la Loi.

Nos constatations

Dans la plainte présentée au Commissariat, le plaignant alléguait que l’agence ne lui avait pas donné accès à tous ses renseignements personnels. De plus, vu les courriels de marketing non sollicités qu’il avait reçus, le plaignant alléguait que l’organisation n’avait pas donné suite au retrait de son consentement à la collecte, à l’utilisation et à la communication de ses renseignements personnels après la résiliation de son abonnement.

Le Commissariat a conclu que l’agence avait refusé au plaignant l’accès à ses renseignements personnels en contravention du principe 4.9 de l’annexe 1 de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE). L’organisation n’avait pas respecté le délai de 30 jours prévu au paragraphe 8(3). Comme le nouveau propriétaire avait donné au plaignant uniquement accès à certains renseignements personnels plusieurs mois plus tard, à la suite de l’intervention du Commissariat, nous concluons que cet élément de la plainte est fondé. Par ailleurs, en détruisant les photographies, l’organisation a empêché le plaignant d’épuiser tous ses recours en lien avec sa demande d’accès. En conséquence, nous concluons que l’organisation a enfreint le paragraphe 8(8) de la Loi.

Le Commissariat a également constaté que l’organisation avait conservé l’information du plaignant alors qu’elle n’en avait plus besoin pour fournir des services de rencontres, contrevenant ainsi au principe 4.5.3. Toutefois, puisque le nouveau propriétaire avait détruit les dossiers et en avait informé le plaignant, nous considérons que cet élément de la plainte est fondé et résolu.

Le Commissariat a également constaté que l’agence avait continué d’utiliser les renseignements personnels du plaignant, plus précisément son adresse de courriel pour lui envoyer des messages de marketing, après que celui-ci eut clairement retiré son consentement à cette fin. En continuant d’utiliser les renseignements personnels du plaignant, l’organisation a enfreint le principe 4.3.8 de l’annexe 1 de la LPRPDE. Toutefois, puisque le nouveau propriétaire a fini par retirer l’adresse de courriel du plaignant de ses listes de marketing avant la fin de notre enquête et que rien ne prouve qu’il a par la suite utilisé à mauvais escient ces renseignements personnels, nous estimons que cet élément de la plainte est fondé et résolu.

Enfin, le Commissariat a également constaté que l’organisation n’avait adopté aucune politique de confidentialité à l’époque où le plaignant a commencé à faire affaire avec elle, ce qui contrevenait à l’alinéa d) du principe 4.1.4. Après notre intervention, le nouveau propriétaire a affiché sur son site Web une politique de confidentialité détaillée. Nous considérons donc que cet élément de la plainte est fondé et résolu.

Enfin, le Commissariat considère que l’agence n’a pas protégé les renseignements personnels du plaignant comme l’exige le principe 4.7.1. L’organisation a déclaré que l’information n’était pas stockée dans des bases de données informatisées et qu’elle était conservée en toute sécurité dans des dossiers inactifs, ce qui s’est révélé faux. Comme la politique de confidentialité mise en œuvre par le nouveau propriétaire fait état des mesures de sécurité, cet élément de la plainte est considéré comme fondé et résolu.