Communication alléguée sans consentement de renseignements personnels pour des fins secondaires de marketing par un commerce de détail

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2002-77

[Principe 4.3 de l'Annexe 1]

Plainte

Une personne a déposé une plainte parce qu'un commerce de détail qui possède une division exploitant des activités au Yukon et aux Territoires du Nord-Ouest, recueille, utilise ou communique des renseignements personnels pour des fins secondaires de marketing sans consentement.

En particulier, elle a allégué que l'entreprise n'informait pas ses clients de sa politique de communiquer des renseignements personnels sur les clients à ses filiales pour des fins secondaires de marketing et ne leur donnait pas l'occasion de se désister de la communication de ces renseignements. La plainte porte essentiellement sur le programme d'émission de cartes de crédit et le programme de récompenses offertes par l'entreprise.

Cette plainte est une parmi plusieurs déposées par la même personne contre un certain nombre d'organisations. Sa position se résume comme suit :

• Il convient toujours d'informer les clients et d'obtenir leur consentement avant de divulguer des renseignements pour des fins secondaires de marketing.
• Les compagnies de marketing et les clients potentiels ne partagent pas les mêmes vues au sujet du consentement qu'il convient d'obtenir.
• Les entreprises devraient non seulement déclarer les fins de la communication de renseignements personnels dans un document de politique mais aussi informer les clients individuellement de la pratique de communiquer ces renseignements, et leur donner la possibilité de retirer le consentement de les communiquer.
• Les entreprises ne respectent pas cette obligation à plusieurs égards :

  (a) en se fondant sur un document qui n'est pas fourni aux clients, elles obligent ainsi le client à prendre l'initiative;

  (b) en enfouissant ces renseignements dans un long document en les imprimant en petits caractères;

  (c) en ne rédigeant pas ces renseignements en termes clairs et simples pour qu'un client ordinaire puisse les comprendre;

  (d) en ne fournissant pas aux clients des renseignements suffisamment détaillés au sujet de l'ampleur et des fins de l'utilisation et du partage envisagés des renseignements personnels; et

  (e) en ne donnant pas de démarche facile pour refuser le consentement de communiquer ces renseignements.

Résumé de l'enquête

L'entreprise possède plusieurs divisions disséminées partout au Canada. L'entreprise ne communique pas des renseignements personnels outre frontière pour contrepartie. L'une de ses divisions possède des magasins au Yukon et aux Territoires du Nord-Ouest, et l'enquête en l'instance s'est concentrée sur ces endroits.

L'enquête révèle que les magasins en cause ne participent pas au programme de récompenses proposé par l'entreprise. En ce qui concerne leur participation au programme d'émission de cartes de crédit, la participation de ces magasins se limitait en théorie seulement qu'à l'envoi des demandes à un bureau de crédit centralisé. Les magasins ne conservaient aucune copie des demandes et n'effectuaient aucune fonction administrative se rapportant à l'émission des cartes de crédit. Les magasins en cause n'offrent d'ailleurs plus ce service et par conséquent, à l'heure actuelle, ils ne recueillent pas de renseignements personnels des clients en marge du programme d'émission de cartes de crédit de l'entreprise, et donc n'utilisent pas de tels renseignements et ne les communiquent pas.

Conclusions du commissaire

Rendues le 16 octobre 2002

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques s'applique aux entreprises fédérales. La Loi s'applique notamment aux entreprises fédérales exploitant des activités au Yukon, au Nunavut, ou dans les Territoires du Nord-Ouest. Le commissaire ne possède qu'une compétence limitée en ce qui concerne les magasins exploitées par l'entreprise au Yukon et dans les Territoires du Nord-Ouest.

Application : Le principe 4.3 stipule que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire.

Puisque les magasins de l'entreprise ne recueillent pas de renseignements personnels des clients en marge du programme de récompenses de cartes de crédit et du programme de récompenses de l'entreprise, et donc n'utilisent pas de tels renseignements et ne les communiquent pas, le commissaire ne disposait d'aucun motif lui permettant de conclure que l'entreprise ne se conformait pas au principe 4.3.

Par conséquent, le commissaire conclut que la plainte était non fondée.

Autres considerations

Néanmoins, le commissaire a souligné à l'entreprise que ses activités ailleurs au Canada seront assujetties à la Loi ou à des lois provinciales essentiellement au même effet à compter du 1er janvier 2004. Il a par ailleurs rappelé à l'entreprise qu'il avait conclu que les attentes du plaignant telles que formulées dans la plainte étaient raisonnables et pertinentes eu égard à la Loi. Il recommanda fortement à l'entreprise qu'elle tienne compte de la teneur de la plainte et des conclusions du commissaire à cet égard dans le cadre de ses préparatifs en vue s'acquitter de ses obligations plus vastes.