On félicite une banque pour le vocabulaire qui figure au contrat de carte de crédit

Résumé de conclusions d'enquête en vertu de la LPRPDE n^o 2004-263

[Principes 4.3, 4.3.2, 4.3.3]

Plainte

Une personne s'est plainte qu'une banque exigeait de ses clients qu'ils consentent à une communication générale de leurs renseignements personnels lorsqu'ils remplissent un formulaire de contrat pour l'obtention d'une carte de crédit Mastercard. Le plaignant a attiré l'attention sur un certain nombre de passages du formulaire de consentement. Il s'inquiétait plus particulièrement du consentement demandé concernant la collecte et la communication de « tous » les renseignements personnels relatifs au demandeur et non pas seulement des renseignements financiers dont une compagnie émettrice de cartes de crédit peut, selon le plaignant, légitimement exiger.

Résumé de l'enquête

Le plaignant a décidé de déposer une plainte lorsqu'il a reçu un contrat de carte de crédit mis à jour, par la poste. L'article ayant trait à la protection des renseignements personnels prévoyait ce qui suit :

Vos renseignements personnels (...) serviront uniquement à prendre la décision relative à votre demande, à gérer votre compte, à vous offrir des produits et des services (...) et à remplir les exigences de la loi et de la réglementation. Soyez assuré que la banque vous demandera préalablement l'autorisation d'employer vos renseignements personnels pour tout autre usage et sachez que vous avez le droit de consulter votre dossier et d'y apporter des corrections. Si vous désirez un exemplaire de notre fascicule sur la protection des renseignements personnels, veuillez écrire à (...), à l'adresse suivante. Si vous préférez ne pas être contacté pour vous faire offrir des produits et services, veuillez écrire à : (...).

L'article du contrat qui préoccupait plus particulièrement le plaignant stipulait ce qui suit :

Collecte et utilisation des renseignements : Vous acceptez que (la banque) ouvre et conserve un dossier contenant des renseignements personnels vous concernant et qu'elle obtienne et échange de temps à autre tous les renseignements vous concernant (notamment l'information relative à votre dossier de crédit) avec nos succursales, nos sociétés affiliées et nos agents et avec toute agence d'évaluation du crédit (...).

Le site Web de la banque comporte un lien direct vers un énoncé complet de sa politique et de ses pratiques en matière de protection des renseignements personnels. On y décrit assez précisément les catégories de renseignements personnels, les fins de la collecte d'information et les sociétés affiliées avec lesquelles l'information pourrait être partagée. On y énonce par exemple ce qui suit.

Les renseignements personnels que nous recueillons peuvent être les suivants :

• les renseignements que vous nous fournissez (...), par exemple, votre nom, votre sexe, votre adresse, votre numéro de téléphone, votre profession, vos biens, votre revenu et la langue de communication que vous préférez;
• les renseignements que nous recueillons (...) lorsque nous nous informons de vos préférences, de vos besoins ou de vos intérêts;
• les renseignements que nous obtenons sur vos opérations (...), par exemple vos numéros de compte, les soldes de vos comptes, les antécédents de paiement et l'activité de vos comptes;

(La banque) peut employer les renseignements (...) aux fins suivantes :

1. pour prendre les décisions relatives aux demandes;
2. pour évaluer votre solvabilité, faire le suivi de votre compte, le gérer et y prélever des montants; (...)

5. pour comprendre vos besoins et vous offrir des produits et des services répondant à ces besoins;
6. pour permettre à nos sociétés affiliées et certaines entreprises de vous faire connaître leurs produits et services; (...)

Vous pouvez ne pas accorder ou retirer votre consentement au paragraphe (vi) comme nous l'expliquons ici (...).

Il peut arriver de temps à autre que nous communiquions (...) des listes de marketing. Ces listes (...) contiennent des renseignements très généraux et non confidentiels comme des noms, des adresses et des numéros de téléphone ainsi que les catégories de biens et de services pouvant répondre à vos préférences et vos intérêts. Nous ne communiquons en aucun cas des renseignements confidentiels, notamment des données financières ou des évaluations du crédit, sans (...) votre consentement exprès. (...)

Si vous préférez ne pas apparaître dans les listes de marketing que nous partageons avec des tiers, n'hésitez pas à en faire la demande en tout temps, en nous écrivant à l'adresse ci-dessous. (...)

L'exemplaire imprimé du formulaire de demande invite le lecteur à téléphoner (c'est nous qui soulignons) ou à écrire pour se faire rayer de la liste.

Conclusions

Rendues le 12 janvier 2004

Compétence : Au 1^er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) s'appliquait à tout ouvrage, toute entreprise, toute installation ou tout secteur d'activité fédéral. La commissaire adjointe à la protection de la vie privée était donc compétente en l'espèce parce que la banque était un ouvrage, une entreprise, une installation ou un secteur d'activité fédéral selon la Loi.

Application : Selon le principe 4.3, toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire. Selon le principe 4.3.2, il faut informer la personne au sujet de laquelle on recueille des renseignements et obtenir son consentement, et les organisations doivent faire un effort raisonnable pour s'assurer que la personne est informée des fins auxquelles les renseignements seront utilisés. Toujours selon ce principe, pour que le consentement soit valable, les fins doivent être énoncées de façon que la personne puisse raisonnablement comprendre de quelle manière les renseignements seront utilisés ou communiqués. Selon le principe 4.3.3, une organisation ne peut pas, pour le motif qu'elle fournit un bien ou un service, exiger d'une personne qu'elle consente à la collecte, à l'utilisation ou à la communication de renseignements autres que ceux qui sont nécessaires pour réaliser les fins légitimes et explicitement indiquées.

La commissaire adjointe a fait les observations suivantes :

• La banque attire l'attention des nouveaux clients sur sa politique et ses pratiques en matière de protection des renseignements personnels au moment où ils font leur demande. Le nouveau contrat de carte de crédit attire l'attention des clients actuels sur la politique de la banque en matière de protection des renseignements personnels et les informe de leur droit de non-participation. Ces mesures constituent un effort raisonnable pour informer les clients des pratiques de la banque en matière de protection des renseignements personnels, conformément au principe 4.3.2.
• La politique de la banque en matière de protection des renseignements personnels explique clairement le type de renseignements que la banque recueille, les usages qui en sont faits et les modes de communication envisagés. Les demandeurs peuvent facilement et commodément ne pas souscrire aux conditions d'utilisation et de communication de leurs renseignements personnels aux fins secondaires du marketing en téléphonant ou en écrivant à la banque. La banque, conformément au principe 4.3.3, ne demande pas à ses clients de consentir à une communication générale de leurs renseignements personnels.

Selon la commissaire adjointe, la banque respecte les exigences du principe 4.3 en matière de consentement. Elle a félicité la banque d'avoir employé un vocabulaire simple et clair dans le formulaire de contrat de carte de crédit et dans l'énoncé de sa politique en matière de protection des renseignements personnels.

La commissaire adjointe a donc conclu que la plainte était non fondée.