Une entreprise de télécommunications accepte d’arrêter de faire des vérifications de solvabilité à des fins de marketing

Rapport de conclusions d’enquête en vertu de la LPRPDE n^o 2015-018

Le 20 octobre 2015

Plainte

Une personne s’est plainte qu’une entreprise de télécommunications aurait recueilli et utilisé ses renseignements personnels sans son consentement. Les renseignements personnels en cause se rapportaient à une vérification de solvabilité effectuée par l’entreprise de télécommunications après que la personne a demandé des renseignements sur les services de télécommunications. La personne s’est également plainte que l’entreprise de télécommunications aurait effectué des vérifications de solvabilité en continu sans son consentement après son inscription aux services de l’entreprise.

Résumé de l’enquête

Vérification de solvabilité initiale

Le plaignant a reçu du matériel promotionnel de l’entreprise de télécommunications faisant la publicité d’une offre spéciale pour un service particulier et il a communiqué avec l’entreprise pour en savoir plus sur l’offre. Bien qu’il ait décliné l’offre à ce moment-là, le plaignant a par la suite contacté l’entreprise de télécommunications pour commander le service et organiser son installation.

Plus tard, après un examen de son rapport de solvabilité, le plaignant a découvert que l’entreprise de télécommunications avait effectué une vérification de solvabilité à la date de son premier contact avec l’entreprise de télécommunications. Le plaignant a déclaré que le représentant du service à la clientèle n’avait pas indiqué qu’une vérification de solvabilité serait effectuée et qu’il ne l’avait pas autorisée.

L’entreprise de télécommunications a expliqué qu’elle effectue une vérification initiale de solvabilité afin de déterminer la solvabilité d’un client et si celui-ci peut obtenir des services sans payer de dépôt de garantie. Elle a également expliqué qu’elle demande à ses représentants du service à la clientèle d’obtenir un consentement explicite avant d’effectuer une vérification de solvabilité initiale. En l’espèce, l’entreprise de télécommunications n’était pas en mesure de fournir la preuve que le consentement du plaignant avait été obtenu.

Vérifications de solvabilité continues

Lors de l’examen de ses rapports de solvabilité subséquents, le plaignant a remarqué que l’entreprise de télécommunications avait effectué des vérifications de solvabilité environ tous les deux mois, à compter de la date à laquelle il s’était ultérieurement inscrit aux services. Le plaignant a estimé que ces vérifications de solvabilité continues constituaient une collecte et une utilisation injustifiées de renseignements personnels.

L’entreprise de télécommunications a expliqué qu’elle avait recueilli les renseignements sur la solvabilité du plaignant pour évaluer son admissibilité à une campagne promotionnelle et que la pratique était décrite dans l’entente de service de l’entreprise, que le plaignant avait acceptée. L’entreprise de télécommunications a également fait référence à sa politique de confidentialité, qui énumérait d’autres objectifs pour lesquels des renseignements personnels pourraient être recueillis.

Résultats

Vérifications de solvabilité initiales

Une affaire antérieure a établi qu’il était approprié dans les circonstances qu’une entreprise de télécommunications recueille des renseignements personnels auprès d’un particulier afin de faciliter la tenue d’une vérification de solvabilité. Cependant, les personnes doivent consentir à cette collecte pour qu’elle soit conforme à la LPRPDE. En l’espèce, l’entreprise de télécommunications n’a pas obtenu le consentement valable du plaignant lorsqu’elle a effectué une vérification initiale de solvabilité, ce qui contrevient au principe 4.3 de l’annexe 1 de la LPRPDE.

L’entreprise de télécommunications a depuis mis en œuvre une combinaison de formations et de communications à l’intention du personnel pour s’assurer que le consentement valable d’un client est obtenu avant d’accéder à toute information sur la solvabilité.

Vérifications de solvabilité continues

Le paragraphe 5(3) de la LPRPDE énonce qu’une organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu’à des fins qu’une personne raisonnable estimerait acceptables dans ces circonstances. L’enquête sur le Programme de publicité pertinente de Bell du Commissariat a clairement établi que les renseignements sur la solvabilité ne devraient être utilisés qu’à des fins directement liées à des décisions ayant des conséquences financières importantes.

En l’espèce, en effectuant des vérifications de solvabilité auprès du plaignant à l’appui du programme de marketing, l’entreprise de télécommunications recueillait des renseignements personnels dans un but qu’une personne raisonnable ne jugerait pas approprié dans les circonstances. Par conséquent, la collecte de renseignements sur la solvabilité par l’entreprise de télécommunications à des fins de marketing a contrevenu au paragraphe 5(3) de la LPRPDE.

À la suite de l’enquête, l’entreprise de télécommunications a cessé la collecte continue de renseignements personnels sur la solvabilité à des fins de marketing.

Après avoir examiné les mesures prises par l’entreprise de télécommunications pour régler les questions soulevées dans le cadre de cette enquête, le Commissariat a conclu que la plainte était fondée et résolue.

Bien que notre enquête traitait de la collecte et de l’utilisation des renseignements sur la solvabilité du plaignant et non de la question du consentement, le Commissariat a noté qu’il était peu probable que les clients de l’entreprise de télécommunications aient bien compris, en vertu des modalités de l’entente et de la politique de confidentialité de cette dernière, que les renseignements relatifs à la solvabilité seraient utilisés pour fournir des promotions personnalisées.

Rapport de conclusions

Plainte déposée en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (« la Loi »)

Plainte

1. Le plaignant a allégué qu’une entreprise de télécommunications, l’intimée, aurait recueilli et utilisé ses renseignements personnels à son insu et sans son consentement. Plus précisément, le plaignant a allégué que l’entreprise de télécommunications aurait effectué une vérification sur son dossier de solvabilité sans son autorisation.
2. Il a également allégué que l’entreprise de télécommunications aurait continué à recueillir et à utiliser ses renseignements personnels à son insu et sans son consentement. Notamment, il a affirmé que l’entreprise de télécommunications aurait effectué des vérifications continues de son dossier de solvabilité après son inscription au service de l’entreprise.

Résumé de l’enquête

3. Les faits énoncés ci-dessous sont fondés sur les observations et les pièces justificatives fournies au Commissariat par le plaignant et l’entreprise de télécommunications, respectivement.

Vérification de solvabilité initiale

4. Le plaignant a reçu du matériel promotionnel de la part de l’entreprise de télécommunications visant à annoncer une offre spéciale pour un service particulier. Il a ensuite communiqué avec l’entreprise de télécommunications pour en savoir plus sur l’offre. Il a soutenu qu’il avait refusé l’offre à ce moment-là, mais qu’il avait rappelé l’entreprise de télécommunications le mois suivant pour commander le service et organiser son installation.
5. Plus tard, après un examen de son rapport de solvabilité, le plaignant a découvert que l’entreprise de télécommunications avait effectué une vérification de solvabilité à la date de son premier appel. Il a déclaré que le représentant du service à la clientèle avec qui il avait parlé ne l’avait pas informé qu’une vérification de solvabilité serait effectuée et qu’il ne l’avait pas autorisée.
6. Dans ses déclarations au Commissariat, l’entreprise de télécommunications a indiqué qu’elle effectuait une « vérification approfondie » du dossier de solvabilité d’un client afin de déterminer sa solvabilité. Les résultats de cette vérification de solvabilité initiale sont utilisés pour déterminer si le client peut obtenir l’équipement et les services de l’entreprise de télécommunications sans dépôt de garantie.
7. L’entreprise de télécommunications a également soumis un formulaire de service à la clientèle indiquant une commande du service Internet par le plaignant, comme preuve que le client a effectivement commandé des services lors de son premier appel pour obtenir des renseignements. L’entreprise a toutefois reconnu qu’elle ne pouvait pas confirmer que son représentant du service à la clientèle avait obtenu le consentement pour la vérification de solvabilité liée à la commande, car les enregistrements vocaux de l’appel en question n’étaient plus disponibles.
8. L’entreprise a fait remarquer que tous ses représentants sont tenus d’obtenir le consentement d’une personne avant d’accéder à son dossier de solvabilité et a souligné que son système Web, utilisé par ses représentants pour créer de nouvelles commandes d’installation, invite automatiquement les représentants à s’assurer qu’ils ont obtenu le consentement du client avant d’effectuer une vérification de solvabilité externe.
9. Avant l’intervention du Commissariat, l’entreprise de télécommunications a également modifié d’autres documents internes pour souligner cette étape. Les scripts du graphique d’acheminement de l’entreprise, qui guide les représentants tout au long des différentes activités de contact direct avec la clientèle, ont été mis à jour pour rappeler aux représentants la nécessité d’obtenir un consentement.
10. L’entreprise a ajouté qu’un suivi avait été réalisé avec le représentant du service à la clientèle qui a parlé avec le plaignant et que des rappels avaient été envoyés à tous les représentants du service à la clientèle de l’entreprise à deux reprises afin de souligner l’importance de demander le consentement du client avant toute vérification de solvabilité. Ces rappels, que le Commissariat a passés en revue, ont clairement informé les représentants de l’importance qu’ils obtiennent un tel consentement et comprenaient des détails sur les procédures connexes de l’intimée ainsi qu’un lien vers les documents de formation de l’entreprise de télécommunications.

Vérifications de solvabilité continues

11. Le plaignant a remarqué, lors de l’examen des rapports de solvabilité supplémentaires qu’il a obtenus, que l’entreprise de télécommunications effectuait des vérifications de son dossier de solvabilité aux deux mois environ après qu’il est devenu client. Il a fourni au Commissariat des preuves de vérifications ultérieures effectuées par l’entreprise de télécommunications à trois reprises.
12. Il a considéré que les vérifications continues de l’entreprise de télécommunications constituaient une collecte et une utilisation injustifiées de ses renseignements personnels étant donné que : i) elles ont été effectuées après que le service a été établi; et ii) son compte n’était pas en souffrance.
13. L’entreprise a soutenu qu’elle n’avait pas effectué de vérifications approfondies du dossier de solvabilité du plaignant, mais plutôt qu’elle avait demandé des « vérifications simples » périodiques afin de déterminer l’admissibilité du plaignant aux promotions. Elle a expliqué que les vérifications simples restent dans le rapport de solvabilité de la personne pour une période limitée et sont généralement remplacées dans le rapport lorsque la même organisation demande une autre vérification simple. Les vérifications simples n’ont pas d’incidence sur la cote de solvabilité d’une personne. Plus précisément, en l’espèce, l’entreprise de télécommunications demandait à l’agence d’évaluation du crédit des réponses à une série de neuf questions auxquelles elle répondait par « oui » ou « non » pour certains clients, y compris le plaignant. Les renseignements recueillis par l’entreprise de télécommunications étaient liés à un identifiant unique, lui-même associé à des clients individuels. L’entreprise de télécommunications utilisait l’information sur la solvabilité, qui comprenait des renseignements sur la nature et le montant de la solvabilité nouvelle ou potentielle, pour cerner les personnes les plus susceptibles d’envisager de déménager et pour concevoir des campagnes de marketing visant à attirer ces clients.
14. Elle a soutenu que sa capacité de recueillir périodiquement des renseignements sur la solvabilité était décrite dans l’entente de service de l’entreprise (l’« entente ») en vigueur au moment des incidents allégués dans la plainte en question.
15. Elle a noté que, conformément à son processus habituel, une copie papier de l’entente avait été envoyée par la poste au plaignant avec son équipement. L’entente était également disponible en ligne, en magasin et pouvait être obtenue par la poste. Elle a également expliqué que les clients étaient tenus d’accepter expressément les modalités du contrat avant que le service ne soit activé. Au cours du processus d’activation du service en ligne, les clients ont été invités à cliquer sur un bouton d’acceptation, qui n’est devenu actif qu’une fois qu’ils étaient arrivés au bas de l’entente. L’entreprise de télécommunications a fourni au Commissariat une page du dossier du compte du plaignant indiquant que l’organisation avait reçu confirmation de l’acceptation de l’entente par le plaignant, qui avait cliqué sur le bouton d’acceptation.
16. De plus, l’entreprise a indiqué que sa politique de confidentialité, qui était accessible à l’aide d’un lien dans l’entente, énumérait d’autres fins pour lesquelles des renseignements personnels pourraient être recueillis par l’organisation.
17. À la suite de notre intervention, l’entreprise a informé le Commissariat qu’elle avait cessé de recueillir des renseignements sur la solvabilité aux fins du programme de marketing en question. Elle utilise maintenant un service tiers qui fournit des renseignements sur la solvabilité regroupés géographiquement pour soutenir ses activités promotionnelles.

Application

18. Pour rendre ses décisions, le Commissariat a appliqué les paragraphes 2(1) et 5(3) de la partie 1 de la Loi et les principes 4.3 et 4.3.2 de l’annexe 1 de la Loi.
19. Au paragraphe 2(1), on entend par renseignement personnel tout renseignement concernant un individu identifiable.
20. Le paragraphe 5(3) énonce qu’une organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu’à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances.
21. Le principe 4.3 stipule que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu’il ne soit pas approprié de le faire. Le principe 4.3.2 énonce que les organisations doivent faire un effort raisonnable pour s’assurer que la personne est informée des fins auxquelles les renseignements seront utilisés et enfin que, pour que le consentement soit valable, les fins doivent être énoncées de façon que la personne puisse raisonnablement comprendre de quelle manière les renseignements seront utilisés ou communiqués.

Analyse

Vérification de solvabilité initiale

22. De l’avis du Commissariat, l’entreprise de télécommunications n’a pas démontré qu’elle avait obtenu un consentement adéquat pour la collecte initiale et l’utilisation des renseignements sur la solvabilité du plaignant.
23. Notre enquête a confirmé que l’entreprise de télécommunications avait procédé à une première vérification de crédit approfondie dans le dossier de solvabilité du plaignant. Nous acceptons l’affirmation de l’entreprise selon laquelle elle a effectué sa vérification de solvabilité initiale afin de vérifier la solvabilité du plaignant avant d’accorder un crédit sous forme d’équipement prêté et de services continus sans dépôt de garantie. Par le passé, nous avons déterminé (Résumé de conclusions d’enquête en vertu de la LPRPDE n^o 2002-94) qu’un fournisseur de services de télécommunications peut, avec le consentement de ses clients, recueillir des renseignements sur la solvabilité à ces fins.
24. Cependant, compte tenu de la version des faits du plaignant et du fait que l’entreprise de télécommunications n’était pas en mesure de fournir la preuve du contraire, nous estimons que l’entreprise n’a pas obtenu le consentement du plaignant avant de recueillir ses renseignements sur la solvabilité en l’espèce.
25. Nous concluons donc que, relativement à la collecte initiale des renseignements sur la solvabilité du plaignant, l’entreprise a contrevenu au principe 4.3 de l’annexe 1 de la Loi.
26. Nous reconnaissons toutefois que, dans le but de s’assurer que le consentement du client est obtenu avant de procéder à une vérification de solvabilité, l’entreprise de télécommunications : i) a modifié ses outils internes pertinents; ii) a donné une nouvelle formation au représentant du service à la clientèle visé; et iii) a envoyé un courriel de rappel à tous les représentants du service à la clientèle, soulignant l’importance d’obtenir le consentement et les conséquences possibles de ne pas le faire.

Vérifications de solvabilité continues

27. Selon nous, en effectuant des vérifications de solvabilité auprès du plaignant et d’autres clients à l’appui du programme de marketing en question, l’entreprise de télécommunications recueillait des renseignements personnels dans un but qu’une personne raisonnable ne jugerait pas approprié dans les circonstances.
28. À titre préliminaire, nous estimons que les renseignements recueillis dans le cadre de ce programme de marketing étaient les renseignements personnels du plaignant. Par conséquent, les renseignements recueillis par l’entreprise de télécommunications étaient liés à un identifiant unique, lui-même associé au plaignant.
29. Dans une enquête récente sur le Programme de publicité pertinente de Bell, le commissaire a noté ce qui suit :

    Nous sommes d’avis que de telles lois provinciales [évaluation de la solvabilité] témoignent de la reconnaissance du fait que les indicateurs de solvabilité, comme les cotes de crédit, doivent seulement être utilisés à des fins restreintes liées directement à des décisions ayant des conséquences financières importantes pour le client et l’organisation concernée. L’utilisation par Bell de renseignements sur la cote de crédit afin de concevoir des publicités ciblées va nettement au-delà de ces fins reconnues.

30. De même, le Commissariat conclut dans ce cas que la collecte par l’entreprise de télécommunications de renseignements sur la solvabilité à des fins de marketing est contraire au paragraphe 5(3) de la partie 1 de la Loi.
31. Cependant, nous reconnaissons également qu’à la suite de notre intervention, l’entreprise a cessé d’utiliser des renseignements sur la solvabilité propres à une personne aux fins du programme de marketing en question.

CONCLUSION

32. En conséquence, nous concluons que la plainte est fondée et résolue.

AUTRES

33. Notre enquête portait sur la collecte et l’utilisation des renseignements sur la solvabilité du plaignant aux fins d’une campagne de marketing donnée. Toutefois, de l’avis du Commissariat, de façon plus générale, l’utilisation de renseignements sur la solvabilité obtenus d’une agence d’évaluation du crédit, à des fins de marketing secondaire, serait généralement considérée comme inappropriée en vertu de la Loi.
34. Étant donné que le Commissariat a déterminé que la collecte et l’utilisation par l’entreprise de télécommunications de renseignements sur la solvabilité à des fins de marketing étaient inappropriées en l’espèce, nous n’avons pas formulé de conclusion quant à la question du consentement à de telles fins. Cela dit, à notre avis, il est peu probable que les clients de l’entreprise aient bien compris, en vertu des modalités de l’entente et de la politique de confidentialité de cette dernière, que les renseignements relatifs à la solvabilité seraient utilisés pour offrir des promotions personnalisées. Dans cette optique, le Commissariat encourage fortement l’entreprise de télécommunications à expliquer clairement à ses clients toutes les raisons pour lesquelles elle cherche à obtenir l’autorisation d’utiliser l’information sur la solvabilité de ses clients.