Les nouveaux clients d'une carte de crédit doivent consentir à l'utilisation ou à la communication de renseignements personnels à des fins de marketing secondaire

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-238

[Principes 4.3, 4.3.3 et 4.3.5 de l'annexe 1]

Plainte

Un homme s'est plaint qu'une banque exige de ses nouveaux clients qu'ils consentent à l'utilisation et à la communication de renseignements personnels qui les concernent à des fins de marketing secondaire — fins qui figurent comme facultatives au formulaire de demande de carte de crédit.

Résumé de l'enquête

Le plaignant a reçu une offre de carte de crédit par la poste. Il voulait certes profiter des avantages offerts par la carte de crédit, mais la clause de consentement sur le formulaire de demande le préoccupait. La clause en question indiquait : 1) que la banque pouvait utiliser ou communiquer les renseignements personnels du client à des fins de marketing secondaire, 2) que le consentement à ces fins était facultatif et 3) que, si le demandeur demandait de mettre fin à cette utilisation, il faudrait huit semaines pour que sa demande prenne effet. Le plaignant ne voulait pas que ses renseignements personnels soient communiqués à d'autres sociétés, qui pourraient s'en servir pour lui annoncer leurs produits durant la période de huit semaines.

La banque a indiqué que lorsqu'un client lui fait part d'une demande de retrait du marketing secondaire, elle en prend note et transmet la demande à l'entreprise chargée de préparer ses listes à des fins de marketing. Toutefois, la banque a expliqué qu'en raison des différents délais de production des diverses campagnes de publipostage direct ou de télémarketing, cela pouvait prendre jusqu'à 90 jours pour que toute sollicitation prenne fin. Donc, si le plaignant avait choisi de faire une demande de carte de crédit et avait simultanément demandé que son nom soit retiré des listes de marketing, sa demande aurait été notée, mais il aurait continué de recevoir des appels téléphoniques et des messages publipostés faisant la promotion d'une variété de produits bancaires pendant un certain temps.

Le Commissariat a suggéré à la banque de modifier ses pratiques commerciales afin que la demande de retrait dont lui fait part un client potentiel entre en vigueur dès que celui-ci devient client, mais la banque a expliqué que cela n'était pas possible. Selon elle, un client devrait avoir l'occasion de se familiariser avec les divers produits et services afférents à une relation avec la banque avant d'autoriser le traitement des options de refus individuelles.

Conclusions

Rendues le 4 décembre 2003

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (La Loi) s'applique à toutes les installations, tous les ouvrages, toutes les entreprises et tous les secteurs d'activité fédéraux. La commissaire adjointe à la protection de la vie privée a compétence dans ce cas, parce qu'une banque constitue une entreprise fédérale, selon à définition de la Loi.

Application : Le principe 4.3 énonce que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concerne et y consentir, à moins qu'il ne soit pas approprié de le faire. Le principe 4.3.3 prévoit qu'une organisation ne peut pas, pour le motif qu'elle fournit un bien ou un service, exiger d'une personne qu'elle consente à la collecte, à l'utilisation ou à la communication de renseignements autres que ceux qui sont nécessaires pour réaliser les fins légitimes et explicitement indiquées. Le principe 4.3.5 nous oblige à considérer les attentes raisonnables de la personne relativement à l'obtention de son consentement.

À l'occasion d'une plainte déposée antérieurement contre la même banque, le Commissariat a établi que la banque n'avait pas obtenu un consentement valable de la part de ses clients pour l'utilisation qu'elle faisait de leurs renseignements personnels à des fins de marketing secondaire. Dans ses conclusions, le Commissariat a indiqué qu'en n'offrant pas à ses clients un moyen de retirer leur consentement aux fins de marketing secondaire, la banque exigeait comme condition à la fourniture d'un produit ou service que ses clients consentent à la collecte, à l'utilisation et à la communication de renseignements autres que ceux nécessaires pour les fins explicitement indiquées. Pour corriger cette situation, le Commissariat a recommandé que la banque adopte des mesures pour satisfaire les attentes raisonnables de ses clients en leur fournissant un moyen immédiat, facile et peu coûteux de retirer leur consentement à la collecte, l'utilisation et la communication facultatives de leurs renseignements personnels. En réponse, la banque a fait connaître un numéro sans frais que ses clients peuvent appeler pour retirer leur consentement.

En l'occurrence, la commissaire adjointe a reconnu que la méthode adoptée par la banque était facile et peu coûteuse, mais qu'elle ne pouvait pas être interprétée comme immédiate. Elle a convenu avec le plaignant que la plupart des demandeurs s'attendraient raisonnablement à ce qu'on respecte leur souhait de se soustraire au marketing secondaire dès le moment de leur demande d'une carte de crédit — et non huit semaines plus tard (ou douze, le cas échéant). Elle a donc estimé que la banque ne satisfaisait pas les attentes raisonnables des demandeurs, comme le prévoit le principe 4.3.5. Elle a aussi déterminé qu'en raison du délai en question, la banque exigeait que tout nouveau détenteur d'un compte consente à une fin secondaire facultative comme condition à l'obtention du produit. Par conséquent, elle a estimé que la banque n'avait pas encore obtenu un consentement valable des nouveaux clients, contrairement aux principes 4.3 et 4.3.3.

La commissaire adjointe a conclu que la plainte était fondée.

Autres considérations

La commissaire adjointe a recommandé que la banque modifie ses pratiques commerciales pour faire en sorte que la décision de ses nouveaux clients de refuser l'utilisation ou la communication de leurs renseignements personnels à des fins de marketing secondaire entre en vigueur sans délai, au moment de leur demande de carte de crédit.