Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2005-299

Lire la mise à jour concernant la réponse fournie par la banque aux recommandations de la commissaire adjointe

Un voleur encaisse un chèque de dépannage tiré sur un compte de crédit annulé

(Principes 4.6.1 et 4.6.7 de l'Annexe 1)

Plainte

Une personne affirme qu'une banque n'a pas protégé ses renseignements personnels et qu'en conséquence, une tierce partie a encaissé frauduleusement un chèque de dépannage en son nom.

Résumé de l'enquête

Le plaignant a été victime de fraude. Son courrier a été volé dans l'immeuble où il habite. Parmi les choses volées se trouvait un relevé de compte de crédit contenant — ce que le plaignant ignorait — des chèques de dépannage qu'il n'avait pas demandés. Peu après, le voleur a contrefait un chèque de 900 $ au nom du plaignant et l'a encaissé.

Le jour avant que le chèque ne soit encaissé, le plaignant avait avisé la banque qu'il s'était fait voler son courrier dans son édifice. Il a fait annuler sa carte de crédit et demandé une nouvelle carte. Il a aussi demandé une copie de son dernier relevé de compte, puisqu'il ne l'avait pas reçu.

Quelques semaines plus tard, il a communiqué avec la banque après avoir constaté un débit de 900 $ sur son nouveau compte. Le débit avait été causé par l'encaissement d'un chèque de dépannage portant son ancien numéro de compte. Le représentant du centre d'appel à qui le plaignant a parlé a noté dans son dossier que ce débit était contesté sans toutefois inscrire qu'il s'agissait d'une fraude.

Pendant six mois, la banque a continué d'inscrire le débit de 900 $ et les intérêts accumulés sur le nouveau compte du plaignant. Il a fallu plusieurs interventions du plaignant, notamment des appels téléphoniques et des lettres, pour que la banque accepte d'enlever ce débit et de le traiter comme un cas de fraude. Le plaignant a même annulé sa carte de crédit à cause de la manière dont la banque a traité cette affaire. Il a toutefois continué de recevoir des documents publicitaires avec son nouveau compte de carte de crédit, incluant des chèques de dépannage.

La banque a indiqué que son système d'autorisation avait initialement rejeté le chèque contrefait puisque le chèque en question référait à une carte déclarée volée. Un employé de la banque, à la section des autorisations, a effectué un examen de routine de la pièce rejetée. Il a approuvé l'encaissement du chèque et a débité le compte de la nouvelle carte du plaignant. Le dossier du plaignant contenait des notes indiquant qu'un relevé manquait, mais ne faisait pas mention du relevé accompagné de chèques de dépannage. L'employé a approuvé le chèque dans le but d'offrir un bon service.

La banque a confirmé que le plaignant l'avait informée ne pas avoir encaissé le chèque de dépannage. Le représentant à qui le plaignant a parlé n'a cependant pas noté que le chèque avait été volé ou encaissé de manière frauduleuse. Quelques mois plus tard, la banque a envoyé au plaignant une copie du chèque annulé. Le plaignant a alors appelé le service des fraudes de la banque; son appel a toutefois été dirigé vers le service à la clientèle, car la lettre qu'il avait reçue provenait de ce service.

Après avoir reçu une lettre du plaignant, la banque a admis qu'il s'agissait d'une fraude. Elle a annulé le débit, a crédité son compte et lui a envoyé une lettre d'excuses.

Au cours de l'enquête, d'autres préoccupations ont été soulevées concernant deux pratiques de la banque : l'envoi de chèques de dépannage personnalisés non demandés à des détenteurs et l'accès par téléphone à un compte de carte de crédit sur simple communication du numéro du compte.

Les chèques de dépannage de la banque sont considérés comme un produit de commercialisation. Ces chèques comprennent le nom du détenteur du compte, son adresse et son numéro de compte. Ils sont envoyés par la poste aux détenteurs de cartes avec d'autres articles promotionnels (jusqu'à quatre ou cinq fois par année) ou à la demande du client. Le formulaire de demande de carte de crédit contient une clause de consentement qui permet à la banque d'utiliser des renseignements personnels « pour promouvoir et commercialiser des produits et des services que nous offrons, des marchands choisis qui honorent la carte et d'autres compagnies bien établies, entre autres par une commercialisation directe ». Le formulaire de demande mentionne qu'un détenteur de carte peut demander à tout moment de ne plus recevoir de matériel promotionnel ; il ne mentionne pas spécifiquement les chèques de dépannage.

Le Commissariat n'a pas pu confirmer si le plaignant était au courant initialement de l'offre de chèques de dépannage aux clients de la banque. Le plaignant a cependant refusé ces chèques une fois qu'il a appris qu'on les lui avait volés. Après avoir fermé son deuxième compte, il a reçu de nouveaux chèques portant son nouveau numéro de compte. La banque et le plaignant ont tous deux confirmé qu'il ne reçoit désormais plus de matériel de commercialisation, ni de chèques de dépannage.

Quant à l'accès par téléphone à des renseignements sur le compte, le plaignant s'est dit préoccupé que la banque fournisse des renseignements sur le compte, y compris le solde, le paiement minimal exigé, le dernier paiement reçu, le montant du dernier paiement et le crédit disponible à toute personne qui fournit un numéro de compte par téléphone. Même si le plaignant a affirmé qu'il pouvait avoir accès à des renseignements sur son compte sans utiliser un code de protection, il a reconnu qu'il n'avait jamais vérifié la fiabilité du système en programmant son numéro de téléphone résidentiel dans un téléphone cellulaire. Il était d'avis que même si les renseignements ne pouvaient être obtenus qu'au moyen d'un téléphone résidentiel référant au numéro personnel du client, le système de la banque n'était pas sécuritaire.

La banque a affirmé que l'information n'est pas fournie seulement à partir du numéro de compte. La banque utilise un système de réponse vocale interactif auquel les clients peuvent accéder en composant les numéros de téléphone réguliers du service à la clientèle. Au moment de la plainte, la banque utilisait, grâce à ce système de réponse vocale interactif, les méthodes de vérification suivantes :

Anciennes méthodes de vérification avec le système de réponse vocale interactif :

• Le numéro de téléphone d'où provient l'appel correspond au numéro de téléphone inscrit dans le dossier du détenteur ; aucun mot de passe n'est requis.
• Le numéro de téléphone d'où provient l'appel ne correspond pas au numéro de téléphone inscrit dans le dossier du détenteur ; on a recours à un mot de passe ainsi qu'à d'autres vérifications, telles l'année de naissance du détenteur et plusieurs questions choisies au hasard.
• Qu'il y ait correspondance ou non entre le numéro d'où provient l'appel et celui inscrit au dossier, si le client a un mot de passe, il doit le fournir. Les clients peuvent créer leur propre mot de passe dès le début. Il leur suffit de l'inscrire en ligne ou en téléphonant à un représentant du service à la clientèle. La carte du détenteur est activée seulement si ce dernier fournit son mot de passe. Un message enregistré donne des instructions sur les mots de passe.

Méthodes actuelles de vérification avec le système de réponse vocale :

• Qu'il y ait correspondance ou non entre le numéro d'où provient l'appel et celui inscrit au dossier, si le client a oublié son mot de passe, il doit indiquer l'année de sa naissance et répondre à plusieurs questions choisies au hasard.
• Qu'il y ait correspondance ou non, si le client se souvient de son mot de passe, il doit le donner. Le mot de passe est choisi selon la méthode indiquée dans le dernier alinéa des anciennes méthodes de vérification.

Conclusions

Rendues le 31 mars 2005

Application : Le principe 4.6 stipule que les renseignements personnels doivent être aussi exacts, complets et à jour que l'exigent les fins auxquelles ils sont destinés; le principe 4.7.1 stipule que les mesures de sécurité doivent protéger les renseignements personnels contre la perte ou le vol et contre toute consultation, communication, copie, utilisation ou modification non autorisées.

La commissaire adjointe à la vie privée a exposé ses délibérations de la manière suivante :

• Le plaignant a informé la banque que son courrier avait été volé et qu'il voulait fermer son compte, en ouvrir un nouveau et obtenir une copie du relevé qu'il n'avait pas reçu. Il ne savait pas qu'il y avait des chèques de dépannage avec le relevé manquant, et les représentants du service à la clientèle à qui il a parlé ne savaient pas que les chèques avaient été insérés avec le relevé.
• Le lendemain du jour où le plaignant a communiqué avec la banque pour signaler que le relevé manquait, un chèque a été encaissé, portant son ancien numéro de compte. Le système d'autorisation de la banque a initialement rejeté le chèque parce que le chèque se rapportait à une carte déclarée volée. Cependant, puisque la banque a omis de noter tous les renseignements quant au relevé manquant — c'est-à-dire que des chèques de dépannage accompagnaient le relevé -, un représentant du service à la clientèle a autorisé l'encaissement du chèque. Manifestement, en n'inscrivant pas de façon claire et précise cette information, la banque n'a pas bien protégé les renseignements personnels du plaignant.
• Par la suite, lorsque le plaignant a tenté d'aviser la banque que quelqu'un avait contrefait sa signature et encaissé un chèque, le représentant du service à la clientèle n'a pas noté qu'il s'agissait d'un cas de fraude — ce qu'il aurait dû faire, puisque la banque savait que le compte du plaignant avait été l'objet d'irrégularités — mais il a plutôt noté que le débit était contesté. Par conséquent, il a fallu six mois au plaignant pour faire enlever des renseignements inexacts de son compte.
• La commissaire adjointe a donc conclu que la banque a contrevenu aux principes 4.6 et 4.7.1 de l'annexe 1.

La commissaire adjointe a conclu que la plainte était fondée.

Autres considérations

Lorsque cette conclusion a été affiché sur le site Web, la commissaire adjointe a saisi l'occasion pour émettre des commentaires sur d'autres questions soulevées par l'enquête.

Elle reconnaît que l'émission de chèques de dépannage non demandés à des détenteurs de carte de crédit est une pratique courante de l'industrie, mais elle se préoccupe du fait qu'une telle pratique peut compromettre les renseignements personnels des clients. Ce qui est arrivé au plaignant est un cas typique. Il ne savait pas que son relevé contenait des chèques de dépannage et, par conséquent, il ignorait qu'il s'était fait voler non seulement son relevé, mais aussi les chèques en question. Les représentants à qui il a parlé ne savaient pas non plus que le relevé contenait des chèques de dépannage.

La commissaire adjointe a donc recommandé que la banque mette fin à sa pratique d'envoi de chèques de dépannage non sollicités et qu'elle envisage plutôt d'informer ses clients sur la façon de commander de tels chèques.

Enfin, quant aux procédés de vérification d'identité par téléphone utilisés par la banque, la commissaire adjointe considère que la banque a mis en place des mesures appropriées pour protéger les renseignements se rapportant aux comptes. L'accès à un compte requiert la communication de renseignements que seuls le client et la banque connaissent. La banque a manifestement établi un processus d'authentification qui garantit que chaque client a accès au bon compte.

Mise à jour

Réponse de la banque aux recommandations de la commissaire adjointe :

• La banque n’est pas disposée à envisager un envoi postal séparé pour les chèques de dépannage. Selon elle, cette pratique doublerait ses coûts et la désavantagerait par rapport aux autres banques, qui continueraient à inclure des chèques de dépannage aux relevés de compte mensuels.
• Toutefois, les clients ont maintenant cinq options de refus. Ils peuvent refuser de recevoir l’information concernant tous les produits, ou refuser de recevoir les chèques de dépannage, la documentation sur les assurances, les sollicitations téléphoniques et/ou les courriels. Ces options sont énoncées à l’endos du relevé bancaire, où figure également le numéro de téléphone du service à la clientèle.
• Pour renforcer la sécurité entourant les chèques de dépannage, la banque oblige maintenant les détenteurs de carte à ajouter des renseignements sur les chèques. Il s’agit de renseignements qui sont difficiles à obtenir pour quiconque essaie d’utiliser indûment les chèques envoyés aux clients par la poste.
• La banque a également pris des mesures pour faire en sorte que l’on ne puisse pas obtenir aisément les numéros de compte des clients figurant sur les chèques de dépannage, réduisant ainsi les risques d’utilisation indue.

Bien que la commissaire adjointe voit d’un bon œil le renforcement des mécanismes de sécurité, elle a décidé de confier à l’Association des banquiers canadiens (ABC) ses inquiétudes concernant la pratique courante de l’industrie qui consiste à émettre des chèques de dépannage non demandés qui contiennent des renseignements personnels. Elle a prié l’ABC d’encourager l’élaboration de pratiques exemplaires à l’intention de l’industrie des banques afin d’accroître la protection des renseignements personnels des clients en ce qui a trait aux chèques de dépannage.