Une personne prétend qu'une banque a recueilli des renseignements inutiles et les a conservés trop longtemps

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-139

[Principes 4.4 et 4.5 de l'annexe 1]

Plainte

Une personne s'est plainte qu'une banque lui ait demandé indûment des renseignements personnels et les ait conservés pendant une période de temps trop longue.

Résumé de l'enquête

Un représentant de la banque a communiqué avec le plaignant, dont la fille avait fait une demande de marge de crédit pour étudiants, et lui a posé des questions détaillées concernant ses finances personnelles et les finances de son entreprise. Le plaignant a fourni ces renseignements, même s'il les considérait excessifs, afin d'agir à titre de co-signataire du prêt de sa fille. Le plaignant n'était pas un client de la banque en question.

Deux jours après que la communication des renseignements par le plaignant, on a refusé le prêt à la fille en se fondant uniquement sur sa cote de crédit. Le plaignant a immédiatement communiqué avec le même représentant bancaire pour demander que tous les renseignements qu'il avait fournis soient supprimés. On a d'abord dit au plaignant que ses dossiers ne pouvaient pas être supprimés en raison des périodes de rétention et des exigences relatives aux vérifications. On l'a ultérieurement informé que ses renseignements seraient effacés, mais pas avant la fin de la saison des RÉER. Plus de deux mois après la collecte, les renseignements personnels du plaignant ont été effacés.

La banque a admis qu'elle avait commis une erreur en demandant les renseignements personnels du plaignant. L'employé de la banque aurait dû se rendre compte que la demande de la fille ne serait pas approuvée, même avec un co-signataire, et que, par conséquent, il n'aurait pas dû avoir demandé les renseignements. Elle a offert de la formation à l'employé concerné pour éviter que cette situation se produise de nouveau.

Quant aux politiques de rétention, la banque conserve dans ses dossiers la demande de crédit d'une personne (et les renseignements relatifs au co-signataire) conformément aux délais prévus par la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes et son Règlement, ainsi que conformément aux délais provinciaux après lesquels les tribunaux n'envisageraient aucune cause d'action. La banque a indiqué qu'elle conserve également ces renseignements dans l'éventualité où elle doive répondre à des requêtes qui peuvent être présentées en rapport avec la demande et toute mention de cette dernière qui puisse figurer dans le rapport de crédit d'une personne.

Malgré cela, la banque a accepté de supprimer les renseignements relatifs au plaignant étant donné qu'ils avaient été recueillis par erreur. Quant à la rapidité avec laquelle les renseignements ont été supprimés, la banque a fait valoir qu'elle n'aurait pas pu supprimer ces renseignements avant que les contraintes opérationnelles découlant de la saison des REÉR n'aient diminué.

Conclusions du commissaire

Rendues le 6 mars 2003

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) s'applique à tous les ouvrages, entreprises ou secteurs d'activités fédéraux. Le commissaire avait compétence dans cette affaire parce qu'une banque est un ouvrage, une entreprise ou un secteur d'activités selon la définition de la Loi.

Application : Le principe 4.4 stipule que la collecte de renseignements personnels doit se limiter à ce qui est nécessaire aux fins déterminées par l'organisation. Le principe 4.5 établit que les renseignements personnels ne doivent pas être utilisés ni communiqués à des fins autres que celles auxquelles ils ont été recueillis à moins que la personne n'y consente ou que la loi ne l'exige. Les renseignements personnels ne doivent être conservés qu'aussi longtemps que nécessaire pour la réalisation des fins déterminées.

Le commissaire a déterminé, ce que la banque n'a pas contesté, qu'elle avait recueilli des renseignements inutiles de la part du plaignant. Il a donc conclu que la banque contrevenait au principe 4.4.

Compte tenu du fait que les renseignements n'ont pas été recueillis à des fins appropriées et que la banque était consciente de ce fait presque immédiatement après les avoir recueillis, bien avant le début de la saison des REÉR, le commissaire a déterminé que les renseignements personnels du plaignant avaient été conservés pendant une période trop longue et que la banque contrevenait au principe 4.5 de l'annexe 1.

Il a donc conclu que les plaintes étaient fondées.