Postes Canada partage des renseignements personnels avec une agence d'évaluation du crédit

La protection contre le vol d'identité a compliqué ce qui était auparavant une question relativement simple — changer son adresse postale au bureau de poste —, particulièrement lorsque la population canadienne veut le faire en ligne pour des raisons pratiques.

Le processus en ligne comporte sept étapes, et un homme s'est plaint du fait qu'à la dernière étape, Postes Canada a vérifié sa cote de crédit.

Notre enquête a permis d'établir que Postes Canada avait une raison légitime de confirmer l'identité des personnes demandant un changement d'adresse. Le détournement du courrier personnel est une tactique courante dans le vol d'identité.

Pour vérifier l'identité des demandeurs en ligne, Postes Canada a retenu les services d'Equifax, surtout connue comme agence d'évaluation du crédit.

Les renseignements personnels fournis en ligne à Postes Canada par un demandeur sont envoyés électroniquement à Equifax.

Le demandeur en ligne est dirigé sans autre formalité vers le site Web de vérification de l'identité d'Equifax où on lui pose des questions sur des prêts en souffrance et d'autres opérations financières dont est au courant l'agence d'évaluation du crédit.

Si la personne répond correctement à ces questions « hors portefeuille », Equifax avise Postes Canada que l'identité a été vérifiée avec succès. Postes Canada traite ensuite le paiement pour le changement d'adresse et active ce dernier.

Equifax nous a assurés que les renseignements fournis par la personne durant le processus de vérification de l'identité resteront entièrement séparés de ceux recueillis et conservés dans le dossier de crédit de la personne à titre de renseignement sur sa solvabilité.

À la suite de notre enquête, nous étions convaincus que Postes Canada possède l'autorisation législative de recueillir les renseignements personnels utilisés dans ce processus en ligne. Nous étions en outre convaincus que Postes Canada n'effectue pas de vérification de la solvabilité des personnes qui veulent changer leur adresse en ligne. Il n'y a donc pas eu d'infraction de la Loi sur la protection des renseignements personnels à cet égard. Nous avons déterminé que la plainte n'était pas fondée.

Néanmoins, le Commissariat était inquiet, car les clients n'étaient pas informés adéquatement du fait que leurs renseignements personnels étaient partagés avec Equifax. Nous recommandons donc que Postes Canada énonce clairement sur son site Web qu'elle transmet à Equifax des renseignements personnels de particuliers et qu'elle indique quels renseignements seront ou pourront être divulgués. De plus, nous recommandons que la Société précise ses exigences en matière d'identification pour les demandes en ligne. Postes Canada a mis en œuvre nos recommandations.