Des risques perdurent dans le sillage d’atteintes chez des courtiers en prêts hypothécaires, selon un rapport de vérification

Bien que les courtiers aient eu pris des mesures positives à la suite d’une série d’atteintes à la sécurité des données, une vérification menée par le Commissariat à la protection de la vie privée du Canada a décelé des éléments non résolus qui laissaient à risque les renseignements personnels de clients et d’autres personnes

OTTAWA, le 8 juin 2010 – Plusieurs courtiers en prêts hypothécaires ont amélioré certaines mesures de sécurité et de protection des renseignements personnels à la suite d’une série d’atteintes importantes à la sécurité des données. Ils ont toutefois omis de mettre en place des mesures de contrôle pour sonner l’alarme si des activités suspectes devaient être entreprises à l’avenir, selon une vérification des pratiques de gestion des renseignements personnels.

La vérification menée par le Commissariat à la protection de la vie privée du Canada a été entreprise après que les courtiers aient déclaré 14 atteintes à la protection des renseignements personnels en l’espace de quelques mois au milieu de l’année 2008. Dans chacun des cas, une personne se faisant passer pour un agent en prêts hypothécaires chevronné téléchargeait des rapports de solvabilité au sujet de personnes qui n’avaient jamais présenté de demande de prêt. Par conséquent, des renseignements de milliers de personnes partout au Canada ont été mis en jeu.

« Les atteintes ont poussé les courtiers à entreprendre des mesures positives pour mieux protéger les renseignements personnels. Toutefois, notre vérification a révélé que ces modifications n’étaient pas suffisantes », affirme la commissaire à la protection de la vie privée Jennifer Stoddart.

« Les renseignements personnels, non seulement de clients, mais aussi de personnes qui n’ont jamais eu de lien avec ces courtiers, demeuraient donc exposés au risque. »

La vérification a également soulevé des inquiétudes quant à la sécurité des données, à l’entreposage de fortune de documents contenant des renseignements personnels, à l’absence de consentement des clients, et à un manque de connaissances et de responsabilisation généralisé au sujet de la protection de la vie privée.

Cette vérification est décrite dans le rapport annuel de la commissaire sur la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) pour l’année 2009, qui a été déposé au Parlement aujourd’hui.

Ce rapport annuel aborde également la circulation transfrontières des données et les défis liés à l’application de règles concernant les renseignements personnels dans un monde où le flux de données est multipoint et multidirectionnel. Il résume nombre d’enquêtes menées à la suite de plaintes en 2009 et fait valoir qu’un nombre croissant d’enquêtes menées par le Commissariat explorent la manière dont les lois sur la protection des renseignements personnels s’appliquent dans le monde virtuel.

Le résumé de la plus récente vérification menée par le Commissariat dans le secteur privé mentionne que les courtiers représentent un secteur important et en pleine croissance de l’industrie canadienne des prêts hypothécaires — ils traitent le quart de l’ensemble des transactions hypothécaires. Ils doivent obtenir des rapports de solvabilité de la part d’agences d’évaluation du crédit afin de déterminer si une personne peut se voir accorder un prêt hypothécaire. Les rapports de solvabilité comprennent des renseignements personnels détaillés qui peuvent servir à des criminels pour commettre des fraudes d’identité.

Dans le sillage des atteintes, les cinq courtiers ayant fait l’objet de la vérification ont resserré leurs pratiques d’embauche. Toutefois, la vérification a permis de constater que les mesures de contrôle pour restreindre l’accès aux rapports de solvabilité par les agents faisaient défaut. Plus particulièrement, l’outil Web servant à obtenir les rapports de crédit ne permet pas aux courtiers de restreindre le nombre de rapports qu’un agent peut télécharger. En outre, il n’existe aucun moyen technologique pour déceler et signaler les activités suspectes.

Parmi les autres risques à la sécurité des renseignements personnels soulignés dans le rapport, on retrouve les suivants :

• Certains courtiers empilaient leurs dossiers sur le plancher ou sur des bureaux accessibles à tous. Un des courtiers entreposait son surplus de dossiers dans un stationnement non sécurisé.
• Les courtiers ne disposaient pas de déchiqueteuses pouvant détruire de manière sécuritaire les documents. Un courtier se servait du verso d’anciennes demandes de prêt hypothécaire pour imprimer de nouvelles demandes.
• Les rapports de solvabilité étaient parfois obtenus avant que l’on ait enregistré le consentement des clients, et ces derniers n’avaient aucun moyen de refuser l’utilisation de leurs renseignements à des fins secondaires, telles le marketing.
• La formation sur les responsabilités en matière de protection des renseignements personnels était lacunaire et de nombreux agents ne savaient pas à qui ils devaient adresser leurs questions relatives à la vie privée. Dans un des cas, un courtier franchisé nous a dit que le responsable de la protection de la vie privée de l’organisation se trouvait au siège social, alors qu’en réalité, c’était lui.

Un des cinq courtiers ayant fait l’objet de la vérification ne fait plus affaire dans le domaine du courtage d’hypothèques. Les quatre autres ont affirmé qu’ils mettraient en œuvre toutes les recommandations contenues dans le rapport de vérification du Commissariat.

« À la suite de cette vérification, nous entretenons toujours des préoccupations quant aux mesures de contrôle et de sécurité entourant la manière dont les rapports de solvabilité sont obtenus. Nous effectuons un suivi auprès de l’entreprise qui fournit cet outil aux courtiers en hypothèques, des associations industrielles et des agences canadiennes d’évaluation du crédit, afin de discuter des pratiques exemplaires pour le partage de renseignements personnels », affirme la commissaire adjointe Elizabeth Denham.

« Nous poursuivons également nos travaux avec les associations de courtiers en prêts hypothécaires en vue d’élaborer des documents d’orientation qui aideraient les courtiers à respecter leurs obligations en vertu de la loi canadienne en matière de protection des renseignements personnels. »

Le rapport annuel et le rapport de vérification des courtiers en prêts hypothécaires sont disponibles au www.priv.gc.ca.

Le Parlement a confié au Commissariat à la protection de la vie privée du Canada le mandat d'agir à titre d'ombudsman, de défenseur et de gardien du droit à la vie privée des Canadiennes et des Canadiens.

Pour consulter les rapports :

• Rapport annuel au Parlement 2009 – Rapport sur la Loi sur la protection des renseignements personnels et les documents électroniques
• Vérification de certains courtiers en prêts hypothécaires

Personne-ressource à l’intention des médias :

Valerie Lawton
Commissariat à la protection de la vie privée du Canada
Téléphone : 613-943-5982 
Courriel : Valerie.Lawton@priv.gc.ca