Une banque est accusée d'avoir refusé de communiquer les renseignements d'une piste de vérification

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2002-74

[Principe 4.9 de l'annexe 1]

Plainte

Un individu s'est plaint de ce qu'une banque ait refusé de lui communiquer des renseignements personnels concernant les demandes de renseignements sur son compte avec la banque.

Résumé de l'enquête

Le plaignant a demandé l'accès aux renseignements concernant toutes les demandes de renseignements faites par le personnel de la banque au sujet de son compte au cours d'une période de trois ans et demi. La banque a répondu en ne lui donnant aucun des renseignements demandés mais en lui suggérant de demander son dossier de crédit personnel à deux agences d'évaluation du crédit. Le plaignant a fait une deuxième demande à la banque pour les mêmes renseignements. Cette fois, la banque lui a répondu que les renseignements demandés n'étaient pas disponibles parce que la banque n'avait pas de mécanismes ou de pistes de vérification en place pour relever les demandes de renseignements sur les comptes des clients.

Dans des observations présentées au Commissariat, la banque a reconnu qu'elle enregistre toutes les activités du système liées aux clients, mais que ces enregistrements ne sont gardés que pour 52 semaines. De plus, les enregistrements sont difficiles à extraire. La banque a mal interprété la période couverte par la demande et a fait valoir que les renseignements demandés n'existaient plus. La banque a également déclaré que même si les enregistrements demandés existaient toujours, ils ne seraient d'aucune utilité au plaignant, vue leur complexité.

L'enquête a confirmé que les renseignements les plus récents demandés par le plaignant existaient en fait encore dans la base de données de la banque. Il a aussi été établi que d'autres renseignements étaient disponibles à la banque au moment de la demande initiale.

Compte tenu de l'utilisation généralisée de codes et d'abréviations dans les enregistrements, les renseignements ne sont pas faciles à comprendre pour les personnes qui ne connaissent pas bien les systèmes informatiques de la banque. Toutefois, la banque est convenue de communiquer les enregistrements au plaignant s'il le désire.

Conclusions du commissaire

Rendues le 9 octobre 2002

Compétence : Depuis le 1er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques s'applique aux entreprises fédérales. Le commissaire avait compétence dans cette cause parce que les banques sont des entreprises fédérales selon la définition de la Loi.

Application : Le principe 4.9 de l'annexe 1 stipule que l'organisation doit informer toute personne qui en fait la demande de l'existence de renseignements personnels qui la concernent, de l'usage qui en est fait et du fait qu'ils ont été communiqués à des tiers; de même, il doit être permis de contester l'exactitude et l'intégralité des renseignements.

Le commissaire a établi qu'une bonne partie des renseignements demandés n'était plus disponible au moment de la demande. Toutefois, certains renseignements auxquels le plaignant avait droit auraient encore pu être consultés. Il n'y a pas de disposition dans la Loi qui permet à une organisation de refuser l'accès à des renseignements en fonction de leur valeur présumée pour le demandeur, de la difficulté de leur extraction ou de leur complexité. Le commissaire a donc conclu que la banque, en refusant de communiquer les enregistrements du système, contrevenait au principe 4.9.

Le commissaire a conclu que la plainte était fondée.

Autres considérations

Le commissaire a été heureux de noter que la banque cherche à améliorer son système, notamment en allongeant la période de conservation des données et en perfectionnant ses capacités de recherche. Il a recommandé à la banque de veiller à tenir compte de ses obligations d'offrir les renseignements demandés sous une forme compréhensible, lorsqu'elle élaborera les améliorations aux capacités de son système d'enregistrement.