Les organisations doivent répondre dans les 30 jours aux demandes concernant l’utilisation et la communication de renseignements personnels

Résumé de conclusions d'enquête en vertu de la LPRPDE no 2015-012

Le 10 novembre 2015


Leçons apprises

  • Une demande faite par une personne à une organisation concernant l’utilisation et la communication de ses renseignements personnels relève du principe 4.9 prévu par la LPRPDE. L’organisation doit, par conséquent, répondre dans les 30 jours suivant sa réception, sauf s’il y a demande de prorogation.
  • Règle générale, une demande d’explication de motivation d’enquête de crédit sur une personne est considérée comme une demande d’information sur l’utilisation et la communication de renseignements personnels et d’accès à l’information, en vertu du principe 4.9 de la LPRPDE.

Plainte

Un plaignant a fait plusieurs allégations à propos d’une banque dans la plainte qu’il a déposée auprès du Commissariat.

L’une de ces allégations est que la banque n’aurait pas répondu dans les 30 jours à une demande qu’il aurait adressée au responsable de la protection de la vie privée de l’institution. Dans sa demande, le plaignant voulait savoir pourquoi la banque a demandé à ce qu’une agence d’évaluation du crédit procède à une vérification de son dossier de crédit.

Résumé de l’enquête

Le plaignant a été client de la banque pendant deux décennies, avant de décider de mettre fin à la relation bancaire. Environ un an plus tard, il a remarqué que la banque avait demandé à une grande agence d’évaluation de crédit à ce qu’une enquête soit effectuée sur lui. L’enquête était de type « mise à jour » non reliée à une nouvelle demande de crédit et n’ayant donc aucune incidence sur la cote de crédit auprès de l’agence d’évaluation du crédit.

Néanmoins, le plaignant se demande si la banque avait une raison valable de faire une telle enquête compte tenu de la fin de leur relation. Il a donc envoyé une demande par écrit au responsable de la protection de la vie privée de la banque lui demandant pourquoi cela était arrivé.

La banque a fourni une réponse 38 jours plus tard. Le plaignant a alors communiqué avec le Commissariat pour lui indiquer que la banque avait dépassé le délai de réponse de 30 jours tel que prévu par la LPRPDE en ce qui concerne les demandes d’accès à des renseignements personnels.

Pour sa part, la banque a affirmé qu’elle ne considérait pas la demande du plaignant comme une demande d’accès à des renseignements personnels et que par conséquent, elle ne voyait aucune obligation de respecter ce délai de 30 jours.

Après avoir examiné attentivement la demande, le Commissariat est d’un avis contraire.

Conclusion

Nous avons constaté que le plaignant a demandé à la banque pourquoi celle-ci avait utilisé ses renseignements personnels pour faire une enquête de crédit à une date précise. En outre, le plaignant a adressé sa demande au responsable de la protection de la vie privée de la banque, qu’il a identifié par son nom et son titre.

Le principe 4.9 de la LPRPDE prévoit qu’une organisation doit informer toute personne qui en fait la demande de l’existence de renseignements personnels qui la concernent, de l’usage qui en est fait et du fait qu’ils ont été communiqués à des tiers, et lui permettre de les consulter. En outre, le paragraphe 8(3) stipule que l’organisation doit répondre aux demandes formulées en vertu du principe 4.9 dans les 30 jours suivant leur réception, à moins qu’une prorogation ne soit accordée en vertu du paragraphe 8(4).

Le Commissariat a conclut précédemment que lorsqu’une organisation demande à une agence d’évaluation du crédit de faire enquête sur une personne, il s’agit bien d’une utilisation et d’une communication des renseignements personnels de ladite personne.

Après avoir été informée de notre décision, la banque s’est engagée à respecter dorénavant le délai de 30 jours pour répondre aux demandes de ce genre.

À la lumière des mesures prises par la banque, le Commissariat conclut que la présente plainte est fondée et résolue.

 

Date de modification :