Une banque est accusée d'avoir communiqué les affaires bancaires personnelles à l'employeur de son client

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2002-30

[principes 4.3, 4.3.5 et 4.5 de l'annexe 1; et articles 2 et paragraphe 5(3)]

Plainte

Une personne s'est plainte qu'une banque ait communiqué des renseignements personnels concernant ses affaires bancaires à son employeur, à son insu et sans son consentement.

Résumé de l'enquête

Le plaignant, résidant d'une petite collectivité de l'Ouest, avait eu une discussion animée avec un employé de sa succursale locale de la banque en question. Il s'agit d'une succursale où le plaignant à la fois avait un compte personnel et faisait souvent affaire dans le cadre de son emploi. La discussion avait porté sur les frais portés au débit de son compte personnel pour un chèque. En fin de matinée ce jour-là, son employeur l'a confronté au sujet de cette discussion. Le plaignant a appris que le directeur de la succursale bancaire en question avait téléphoné à l'employeur, qu'il avait mis au courant de la discussion, spécifiquement en ce qui concernait ce que le directeur de succursale a qualifié de comportement grossier et inapproprié de la part du plaignant. En outre, le directeur de succursale s'était ouvert à l'employeur de l'intention de la banque de mettre fin à sa relation financière avec le plaignant. Le directeur avait présenté cet appel comme question de « courtoisie commerciale ». Il voulait à la fois faire savoir à l'employeur que l'un de ses employés s'était comporté d'une manière qui pourrait déteindre défavorablement sur l'entreprise et demander l'assurance que la discontinuation du service personnel au plaignant n'aurait pas de conséquences défavorables sur la relation d'affaires que la banque avait avec l'employeur. Le lendemain, le directeur de succursale a rappelé l'employeur pour l'informer que la banque avait officiellement mis fin à sa relation avec le plaignant. Le directeur de succursale n'a, à aucun moment, communiqué à l'employeur le moindre renseignement financier au sujet du plaignant.

La position d'ensemble prise par la banque était que les communications en question entraient dans la catégorie du « discours public normal », assimilable aux « potins anodins ». Ses représentants ont fait valoir que la succursale avait le droit de faire de telles communications en guise de courtoisie commerciale et pour protéger les intérêts de la banque dans ses futurs rapports d'affaires avec l'employeur du plaignant. Essentiellement, la position de la banque s'appuyait sur l'application du principe 4.3.5 de l'annexe 1 et du paragraphe 5(3) de la Loi, qui traitent dans les deux cas de la pertinence des attentes raisonnable de l'individu. Partant de là, la banque a aussi présenté divers arguments pour faire valoir qu'aucun des éléments précis des renseignements communiqués ne devrait être considéré comme un renseignement personnel aux fins de la Loi.

Conclusions du commissaire

Rendues le 8 janvier 2002

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques s'applique aux entreprises fédérales. Le commissaire avait compétence dans cette cause parce que les banques sont des entreprises fédérales selon la définition de la Loi.

Application : L'article 2 de la Loi définit « renseignement personnel » comme « ...tout renseignement concernant un individu identifiable. ». Le principe 4.3 de l'annexe 1 énonce que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir. Le principe 4.5 énonce que les renseignements personnels ne doivent pas être utilisés ou communiqués à des fins autres que celles auxquelles ils ont été recueillis à moins que la personne concernée n'y consente. Le paragraphe 5(3) énonce que l'organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu'à des fins qu'une personne raisonnable estimerait acceptables dans les circonstances.

Ne jugeant pas fondés les arguments contraires de la banque, le commissaire a jugé que les renseignements en question concernaient clairement un individu identifiable et qu'ils devaient donc être considérés comme des renseignements personnels aux fins de la Loi.

Pour le commissaire, la question centrale était de savoir s'il aurait été raisonnable ou pas que le plaignant s'attende que les communications en cause se fassent sans son consentement dans les circonstances. Le commissaire était d'avis que, dans une petite ville où les gens ont tendance à connaître les affaires des autres et à se faire des communications anodines et par inadvertance entre eux, il aurait été raisonnable que le plaignant s'attende que les communications en cause finissent par se faire par le téléphone arabe ou, selon les mots mêmes de la banque, dans le discours public normal. Mais le commissaire n'a pas pu convenir qu'une personne raisonnable, dans les circonstances, s'attendrait que son directeur de banque fasse ces communications à son employeur. Il a jugé que la banque avait contrevenu aux principes 4.3 et 4.5 de l'annexe 1.

Le commissaire a donc conclu que la plainte était fondée.

Autres considerations

En présentant ses conclusions au plaignant, le commissaire a formulé le commentaire suivant :

« À mon avis,... le caractère raisonnable de la situation s'arrête exactement au point où le directeur [de banque], sachant que vous aviez agi en votre propre nom à sa succursale ce matin-là, a néanmoins pris le téléphone à son bureau pendant les heures d'affaires pour informer votre employeur. Ce n'était pas une communication anodine ou par inadvertance. Ce n'était pas des potins anodins. Il s'agissait d'un acte délibéré de communication de renseignements personnels à un tiers par une personne agissant en sa qualité officielle, qui n'avait pas droit de faire cette communication. En outre, la Loi place les droits des individus au-dessus de notions comme la « courtoisie commerciale » et ne fait pas de distinction quant à la taille de la collectivité qu'habite l'individu. Y a-t-il quelque part une personne raisonnable qui s'attende que son directeur de banque communique à son employeur des renseignements au sujet de ses affaires bancaires personnelles – La réponse à cette question est manifestement non. »