Une banque améliore les procédures de consentement relatives aux enquêtes auprès des agences d'évaluation du crédit

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2003-246

[Principe 4.3 de l'annexe 1]

Plainte

Une personne s'est plainte qu'une banque ait effectué une vérification de crédit à son sujet sans son consentement, alors qu'elle faisait une demande de prêt hypothécaire.

Résumé de l'enquête

Une personne a demandé à une banque si elle pouvait lui offrir le même taux hypothécaire qu'une autre succursale de la même banque. Le représentant financier a déclaré qu'elle devait d'abord remplir une demande de prêt hypothécaire, et la personne a acquiescé. Quand le représentant a accédé au profil de la personne, il a noté qu'il y avait au dossier un accord financier signé avec une filiale bancaire. L'accord, signé deux ans auparavant, stipulait que la filiale pouvait recueillir et communiquer des renseignements personnels à d'autres prêteurs et agences d'évaluation du crédit. Le représentant a alors procédé à une vérification rapide du crédit de la personne sans au préalable l'informer ou obtenir son consentement.

Puis, quand le directeur de la succursale a informé le plaignant qu'une vérification de crédit avait été faite et que la banque ne pouvait offrir le même taux hypothécaire, ce dernier a communiqué ses inquiétudes et demandé que toutes les informations le concernant, y compris l'enquête de l'agence d'évaluation du crédit, soient supprimées de son dossier et qu'on le lui confirme par écrit. Comme il n'avait toujours pas eu de réponse après un certain laps de temps, le plaignant a communiqué avec un représentant du service d'assistance à la clientèle qui l'a informé que la banque avait été autorisée à faire une vérification de crédit en vertu d'un vieil accord financier qui figurait au dossier. Le plaignant s'est inquiété puisqu'il avait fermé son ancien compte l'année précédente et qu'il estimait que, de toute façon, la filiale de la banque était une entité juridique distincte et que tout accord entériné avec elle ne devrait pas s'appliquer à une transaction avec la banque elle-même.

Le représentant du service d'assistance à la clientèle a écrit par la suite à la personne pour confirmer la suppression des dossiers de la banque de tout renseignement personnel à son sujet. Il a ajouté également que, pour montrer sa bonne volonté, il avait communiqué avec l'agence d'évaluation du crédit pour faire supprimer l'enquête de son rapport et avait découvert que l'agence n'en avait aucune trace.

La banque a admis que plutôt que de se fier au vieil accord financier avec sa filiale, elle aurait dû remplir une demande détaillée de crédit et obtenir l'autorisation écrite de la personne avant de procéder à une enquête auprès d'une agence d'évaluation du crédit. La banque a en outre déclaré que, en raison de cet incident et d'autres cas semblables, elle avait diffusé une lettre circulaire à son personnel pour lui rappeler la politique et les procédures de l'institution bancaire en qui avait trait au consentement du client et les enquêtes auprès d'agences d'évaluation du crédit.

Conclusions

Rendues le 4 décembre 2003

Compétence : Depuis le 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) s'applique à toute installation, tout ouvrage, toute entreprise ou tout secteur d'activité fédéral. La commissaire adjointe à la protection de la vie privée avait compétence dans cette cause parce qu'une banque constitue un ouvrage, une entreprise ou un secteur d'activité fédéral aux termes de la Loi.

Application : Le principe 4.3 stipule que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire.

La commissaire adjointe a délibéré comme suit :

• Dans le cadre de délibérations antérieures du Commissariat en matière de consentement, on a souligné qu'une personne pouvait s'attendre à être informée de toute collecte ou communication de renseignements, et de leur finalité, au moment même de la collecte ou de la communication des renseignements.
• Il était clair, cependant, que le représentant de la banque n'avait pas informé la personne ni demandé son consentement avant de procéder à une vérification rapide du crédit, bien que cette dernière était alors présente.
• De plus, même si l'accord financier que la personne avait signé avec la filiale bancaire donnait son consentement à la communication de renseignements à d'autres prêteurs et à des agences d'évaluation du crédit, une si large clause de consentement, signée deux ans auparavant avec une filiale de la banque fonctionnant comme une entité juridique distincte et concernant un compte fermé depuis, ne justifiait pas la collecte de renseignements personnels et leur communication aux fins d'une enquête de crédit.

La commissaire adjointe a donc conclu que la banque n'avait pas respecté ses obligations en vertu du principe 4.3.

• Néanmoins, la commissaire adjointe était heureuse que la banque ait admis son erreur et qu'elle ait pris des mesures immédiates pour empêcher qu'une telle erreur ne se reproduise en émettant une lettre circulaire pour rappeler au personnel la politique et les procédures de la banque au sujet des enquêtes auprès d'agences d'évaluation du crédit et du consentement des clients.
• De plus, la banque a écrit à la personne pour confirmer que tous les renseignements relatifs à sa demande de prêt hypothécaire avaient été supprimés du système et que l'enquête de crédit ne figurait pas au rapport de l'agence d'évaluation du crédit.
• La personne a indiqué qu'elle était satisfaite de la mesure prise par la banque dans ce dossier.

La commissaire adjointe a conclu que la plainte était résolue.