Une banque est accusée d'avoir communiqué à tort un numéro de téléphone confidentiel à une autre institution financière

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-230

[Article 2; principe 4.3 de l'annexe 1]

Plainte

Une cliente s'est plainte que son numéro de téléphone confidentiel avait été communiqué par sa banque à une autre institution financière sans que l'on ait obtenu son consentement.

Résumé de l'enquête

La plaignante et son époux, qui sont copropriétaires d'une entreprise commerciale, étaient depuis longtemps clients d'une banque. Lorsque la plaignante y a ouvert un compte d'affaires, elle a fourni à la banque en question pour les dossiers de celle-ci un numéro de téléphone principal et un autre secondaire. Le numéro de téléphone secondaire qu'elle a donné était son numéro de téléphone personnel à la maison, qui était aussi un numéro confidentiel. Elle n'a pas indiqué à la banque qu'il s'agissait d'un numéro confidentiel, et n'a pas non plus donné d'instructions quant aux circonstances ou au moment où la banque pouvait utiliser ce numéro de téléphone.

Au moyen de sa carte bancaire d'entreprise, la plaignante a fait un achat dans une autre institution financière. Elle n'avait pas de compte dans cette institution et son nom ne figurait pas sur sa carte bancaire. Le lendemain, elle a reçu deux messages vocaux d'un représentant de cette autre institution financière : un message à son numéro de téléphone principal et l'autre à son numéro de téléphone secondaire (confidentiel). Elle a rappelé le représentant, et on l'a avisée qu'elle n'avait pas payé des frais suffisamment élevés pour son achat. Lorsqu'elle a demandé de quelle manière on avait obtenu ses numéros de téléphone, elle a appris que sa banque les avait fournis au représentant après que ce dernier ait déterminé l'origine de la transaction au guichet automatique.

Rien n'indiquait dans les dossiers de la banque qu'un des numéros de téléphone associés aux comptes courant ou d'affaires de la plaignante était confidentiel. Les documents de la banque montraient que le numéro (confidentiel) en question était lié au compte d'affaires de la plaignante et ne figurait pas dans le profil du compte courant de celle-ci. Les documents montraient également que le nom de la plaignante ne se trouvait pas dans le profil de son compte d'affaires.

La banque a mis en doute l'applicabilité de la Loi dans ce cas, étant donné que les renseignements en cause étaient liés à un compte d'affaires. Elle a également maintenu que, dans tous les cas, par l'entremise d'une entente signée liée au compte d'affaires, la plaignante avait autorisé la banque à communiquer le numéro de téléphone en question, puisqu'il figurait dans le profil de son compte d'affaires parmi les numéros de téléphone où l'on pouvait la joindre.

Conclusions du commissaire

Rendues le 16 septembre 2003

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) s'applique à toutes les installations, tous les ouvrages, toutes les entreprises et tous les secteurs d'activité fédéraux. Le commissaire avait compétence dans cette cause parce qu'une banque est une installation, un ouvrage, une entreprise ou un secteur d'activité fédéral au sens de la Loi.

Application : L'article 2 définit les renseignements personnels comme :

« Tout renseignement concernant un individu identifiable, à l'exclusion du nom et du titre d'un employé d'une organisation et des adresses et numéros de téléphone de son lieu de travail. »

Avant d'examiner l'allégation de communication inappropriée par la plaignante, le commissaire a dû déterminer si le numéro de téléphone confidentiel faisait partie dans ce cas-ci des renseignements personnels aux fins de la Loi. Il a examiné ce qui suit :

• D'après la première partie de la définition ci-dessus, il est clair qu'en temps normal, un numéro de téléphone confidentiel fait partie des renseignements d'un individu identifiable et serait des renseignements personnels aux fins de la Loi.
• Cependant, dans le cas qui nous occupe, la deuxième partie de la définition, qui concerne les renseignements sur les entreprises, est pertinente. Cette clause vise à soustraire à la Loi des renseignements de base sur les entreprises comme ceux qui pourraient figurer sur une carte professionnelle.
• Même si le numéro de téléphone de la plaignante était personnel et confidentiel, elle a elle-même choisi de le donner à la banque parmi d'autres renseignements liés à son entreprise.
• La plaignante a présenté le numéro comme un numéro de téléphone secondaire dans son compte d'affaires, sans établir de restrictions ou de conditions, et la banque pouvait raisonnablement supposer que sa cliente ne s'opposerait pas à ce qu'il soit utilisé dans le cadre d'une transaction bancaire dont elle était à l'origine.
• Si la plaignante n'avait pas voulu que son numéro soit considéré comme un numéro de téléphone d'entreprise, il lui incombait d'aviser la banque que ce numéro de téléphone était personnel et confidentiel ou, encore, de ne pas le lui donner.
• Dans de telles circonstances, la banque ne pouvait savoir que le numéro de téléphone qu'elle avait fourni à une autre institution bancaire ne faisait pas partie des renseignements de base sur l'entreprise de la plaignante.
• Compte tenu de ce qui précède, rien ne permettait de déterminer qu'il y a eu communication inappropriée des renseignements personnels de la plaignante à l'encontre de la Loi.

Le commissaire a conclu que la plainte était non fondée.