Une institution financière utilise initialement à tort la dérogation relative aux renseignements commerciaux confidentiels pour refuser de communiquer des renseignements personnels

Conclusions en vertu de la LPRPDE n^o 2017-011

Le 31 mars 2017

Description

Un plaignant a allégué qu’une institution financière a refusé de répondre à sa demande d’accès aux renseignements personnels. Dans sa réponse initiale à la demande d’accès, l’institution financière a informé le plaignant que les documents relatifs à la demande étaient la correspondance entre l’institution financière et la banque du commerçant. Cette correspondance était considérée comme un renseignement commercial confidentiel à ne pas divulguer en vertu de l’alinéa 9(3)b) de la Loi sur la protection des renseignements personnels et les documents électroniques. Au cours de notre enquête, nous avons examiné les documents et déterminé que la dérogation invoquée était inappropriée. Lorsque les documents ne relevaient pas de l’alinéa 9(3)b), des observations supplémentaires de l’institution financière ont permis au Commissariat d’établir que les renseignements en question ne constituaient pas les renseignements personnels du plaignant. Par conséquent, le plaignant n’y avait pas accès en vertu de la Loi.

Rapport de conclusions

Plainte déposée en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE)

1. Le plaignant a contesté une transaction d’un commerçant figurant sur son relevé de carte de crédit, et a demandé à l’institution financière de lui donner accès à ses renseignements personnels.
2. L’institution financière a fourni au plaignant des copies des relevés de compte, de la correspondance, des notes des services des comptes et des transcriptions d’appels téléphoniques. Toutefois, l’institution financière a déclaré que les documents préalables à l’arbitrage sont de la correspondance entre l’institution financière et la banque du commerçant et, à ce titre, constituent des renseignements commerciaux confidentiels et non des renseignements personnels. L’institution financière s’est fondée sur la dérogation relative à la communication prévue à l’alinéa 9(3)b) de la Loi sur la protection des renseignements personnels et les documents électroniques pour refuser de communiquer des renseignements en réponse à une demande d’accès, car ces renseignements sont considérés comme des renseignements commerciaux confidentiels.
3. Nous avons examiné les documents pour lesquels l’institution financière invoquait la dérogation; il n’était pas possible d’établir clairement pour quelles raisons cette dernière y avait recours. Malgré nos demandes, l’institution financière n’a fourni aucune observation valable à l’appui de l’application de la dérogation prévue par la Loi sur la protection des renseignements personnels et les documents électroniques qu’elle avait invoquée.
4. À la suite de la publication par le Commissariat d’un rapport d’enquête préliminaire assorti de recommandations, l’institution financière a fourni des renseignements supplémentaires au sujet de l’information caviardée. Nous avons ensuite établi que les renseignements en question n’étaient pas des renseignements personnels du plaignant. Ainsi, le plaignant n’y avait pas accès en vertu de la Loi.
5. Par conséquent, en raison du retard de l’institution financière à répondre à la demande du plaignant, nous avons conclu que la plainte est fondée et résolue.

Résumé de l’enquête

Contexte

6. Le plaignant était un client de l’institution financière et détenait une carte de crédit émise par l’institution financière. En 2014, le plaignant a contesté une transaction d’un commerçant figurant sur son relevé de carte de crédit.
7. À l’origine, l’institution financière a informé le plaignant qu’elle commencerait une demande de rejet de débit auprès de la banque du commerçant pour contester la transaction comme un « service non rendu ». Toutefois, le commerçant a refusé de participer au processus de « préarbitrage » tel qu’il avait été demandé par l’institution financière puisqu’il croyait que le service avait été rendu. Ainsi, l’institution financière a informé le plaignant qu’elle appliquait de nouveau les frais contestés à son compte de carte de crédit, malgré les protestations du plaignant.
8. Le plaignant a ensuite présenté une demande d’accès à ses renseignements personnels à l’institution financière. Dans sa demande, adressée au président et chef de la direction de l’institution financière, il demandait ce qui suit :

   1. [traduction] « […] une preuve photographique générale et complète, page par page, des dossiers personnels me concernant qui sont sous la garde et le contrôle de l’institution financière ou de ses bureaux affiliés qui ont un lien avec mon compte de carte de crédit maintenant fermé [à cause] d’une transaction frauduleuse. »
   2. Un disque compact des enregistrements téléphoniques [traduction] « faits par les intimés ou leurs bureaux affiliés, aussi connus sous le nom de spécialistes du service à la clientèle, au sujet en particulier de la lettre en pièce jointe d’un employé de l’institution financière ».

9. Après réception de cette demande, l’institution financière a répondu à la demande d’accès du plaignant. L’institution financière s’est excusée d’avoir dépassé le délai de réponse de 30 jours imposé par la Loi sur la protection des renseignements personnels et les documents électroniques, affirmant qu’elle n’avait pas été en mesure de communiquer avec le plaignant pour clarifier la portée de sa demande et que celle-ci avait été reçue par le spécialiste du service à la clientèle de l’institution financière près de deux semaines après sa rédaction.
10. L’institution financière a fourni au plaignant des copies des documents suivants : relevés de compte, correspondance et notes de service sur le compte. L’institution financière a également informé le plaignant que les transcriptions des appels téléphoniques qu’il avait demandées lui seraient envoyées par la poste dans les deux semaines.
11. Dans une lettre ultérieure, l’institution financière a fourni au plaignant une transcription écrite d’un appel téléphonique effectué en 2014 et l’a invité à se rendre dans une succursale locale de l’institution financière pour écouter l’enregistrement. Le plaignant a également reçu les notes de service et les annotations de dossier découlant d’un deuxième appel effectué en 2014, ainsi que de deux appels effectués le même jour en 2015. L’institution financière a fait remarquer au plaignant qu’elle n’a pas été en mesure de lui donner accès à deux lettres automatisées qui lui ont été envoyées en 2014 et 2015 parce qu’elle ne conserve pas de copies de ces lettres.
12. En réponse, le plaignant a envoyé une lettre à l’institution financière, renvoyant la seule transcription écrite de l’appel téléphonique qu’il avait reçue parce qu’il la jugeait inexacte. Il s’est également demandé pourquoi on ne lui avait pas fourni d’information concernant la transaction par carte de crédit contestée, en particulier les documents suivants.
    1. Documents à l’« appui de l’accusation que vous avez établie »;
    2. Enregistrement des appels avec deux spécialistes du contentieux;
    3. Documents « à l’appui d’une lettre de préarbitrage »;
    4. Lettre de préarbitrage du commerçant;
    5. Lettre du commerçant refusant le préarbitrage.
13. L’institution financière a répondu à cette lettre en indiquant qu’elle n’avait pas d’enregistrement des deux appels avec les spécialistes du contentieux (point b ci-dessus) puisque les appels ne sont pas tous enregistrés. Quant aux documents recherchés relativement au préarbitrage (points c à e ci-dessus), l’institution financière a déclaré que ces documents sont [traduction] « de la correspondance entre l’institution financière et la banque du commerçant et, à ce titre, sont confidentiels sur le plan commercial et ne constituent donc pas vos renseignements personnels. Ces renseignements ne peuvent être divulgués en réponse à une demande d’accès en vertu de [l’alinéa] 9(3)b) de la Loi sur la protection des renseignements personnels et les documents électroniques, car ils sont considérés comme des renseignements commerciaux confidentiels. »
14. Le Commissariat a obtenu et examiné une copie des documents caviardés par l’institution financière. Les documents se rapportent au différend relatif à la carte de crédit entre le plaignant et le commerçant. L’information comprend un « Formulaire de déclaration de l’acquéreur », qui a été rempli par le commerçant et indique la réponse du commerçant à la contestation de la transaction ainsi que les documents justificatifs que le commerçant a fournis à l’appui de la transaction. Le commerçant y avait indiqué qu’il [traduction] « fournissait des documents prouvant que les conditions de rejet de débit n’étaient pas remplies ». L’institution financière nous a également fourni des saisies d’écran du compte du plaignant et de l’historique de ses transactions avec le commerçant.
15. Le Commissariat a également examiné les « questionnaires de préarbitrage » ainsi que les questionnaires de rejet de débit remplis par la banque, qui décrivent les allégations du plaignant.
16. Lorsque nous avons demandé pourquoi les renseignements transactionnels concernant le plaignant avaient été caviardés dans ces documents, l’institution financière a expliqué qu’il y avait eu une erreur au moment d’indiquer quels documents ne devaient pas être caviardés et que les renseignements transactionnels appartenaient bien au plaignant. L’institution financière a déclaré que l’information transactionnelle avait déjà été fournie au plaignant. Toutefois, la date à laquelle les renseignements ont été fournis a précédé la demande d’accès du plaignant à ses renseignements personnels.
17. Quant aux communications entre l’institution financière et le commerçant, qui sont néanmoins restées caviardées, l’institution financière a expliqué au Commissariat qu’elle et le commerçant sont liés par les règlements de fonctionnement de la société émettrice de cartes de crédit et que ces questionnaires témoignent du processus de rejet de débit. Ainsi, selon l’institution financière, elles ont trait à l’entente confidentielle entre les participants. De plus, l’institution financière a jugé que le formulaire de déclaration de l’acquéreur et le questionnaire de rejet de débit sont :

    [traduction] […] des renseignements commerciaux confidentiels, car il ne s’agit pas des renseignements personnels du client, mais plutôt du processus confidentiel par lequel l’institution financière peut aider le client à obtenir un remboursement du commerçant. De plus, il est à noter que tous les renseignements qui font partie du processus de rejet de débit ont déjà été fournis par le client et que ce dernier serait réputé avoir déjà ces renseignements. Par conséquent, selon notre interprétation, les deux documents ci-dessus sont confidentiels sur le plan commercial.

18. Dans une lettre ultérieure, l’institution financière a fourni au plaignant, [traduction] « […] des renseignements qui ont été transposés dans un document contenant vos renseignements personnels […] ». Plus précisément, l’institution financière a transféré dans un document distinct ce qu’elle comprenait être les renseignements personnels du plaignant à partir du formulaire de déclaration de l’acquéreur et du questionnaire de rejet de débit, plutôt que de fournir au plaignant ses renseignements personnels dans un document caviardé.
19. À la suite de l’envoi de la lettre susmentionnée par l’institution financière, nous avons envoyé à celle-ci notre rapport d’enquête préliminaire dans lequel nous l’avisions de la recommandation du Commissariat et lui demandions de répondre.

Application

20. Dans notre analyse des faits, nous avons appliqué le principe 4.9 de l’annexe 1 de la Loi sur la protection des renseignements personnels et les documents électroniques, ainsi que les paragraphes 8(3), 8(4) et 9(1) et l’alinéa 9(3)b) de la Loi sur la protection des renseignements personnels et les documents électroniques.
21. Le principe 4.9 stipule qu’une organisation doit informer toute personne qui en fait la demande de l’existence de renseignements personnels qui la concernent, de l’usage qui en est fait et du fait qu’ils ont été communiqués à des tiers, et lui permettre de les consulter.
22. Le paragraphe 8(3) prévoit que l’organisation saisie de la demande doit y donner suite avec la diligence voulue et, en tout état de cause, dans les 30 jours suivant sa réception.
23. Le paragraphe 8(4) prévoit que l’organisation peut proroger le délai d’une période maximale de 30 jours, mais qu’elle doit envoyer au demandeur, dans les 30 jours suivant la demande, un avis de prorogation l’informant du nouveau délai, des motifs de la prorogation et de son droit de déposer auprès du commissaire une plainte à propos de la prorogation.
24. Le paragraphe 9(1) prévoit que l’organisation ne peut communiquer un renseignement personnel à l’intéressé dans le cas où cette communication révélerait vraisemblablement un renseignement sur un tiers. Toutefois, si ce renseignement peut être retranché du document en cause, l’organisation est tenue de le retrancher puis de communiquer à l’intéressé le renseignement le concernant.
25. L’alinéa 9(3)b) prévoit que, malgré la note qui accompagne le principe 4.9 de l’annexe 1, l’organisation n’est pas tenue de communiquer à l’intéressé des renseignements personnels dans le cas où la communication révélerait des renseignements commerciaux confidentiels.

Analyse et constatations

Enjeux

26. La question est de savoir si le plaignant a obtenu le plein accès à ses renseignements personnels, conformément à sa demande d’accès. Dans cette demande, il visait l’accès à ses renseignements personnels concernant son compte de carte de crédit détenu auprès de son institution financière, ainsi qu’à certains enregistrements téléphoniques liés à un différend concernant une transaction sur son compte de carte de crédit.
27. Premièrement, il est clair que l’institution financière n’a pas répondu au plaignant dans les 30 jours prévus au paragraphe 8(3) de la Loi sur la protection des renseignements personnels et les documents électroniques et qu’elle ne lui a pas envoyé un avis de prorogation dans les 30 jours suivant la date de sa demande, comme l’exige le paragraphe 8(4).
28. Deuxièmement, il a été établi que le plaignant a obtenu un accès partiel aux renseignements qu’il a demandés, même s’il a renvoyé une transcription d’une conversation téléphonique à l’institution financière, alléguant qu’elle était inexacte et ayant choisi de ne pas écouter l’enregistrement source de la transcription à une succursale de l’institution financière. De plus, nous reconnaissons que les enregistrements ou transcriptions de certains appels téléphoniques entre le plaignant et l’institution financière ne peuvent être fournis parce que les appels n’ont pas été enregistrés.
29. Toutefois, nous continuons d’avoir des doutes quant à la non-communication par l’institution financière de certains documents concernant la transaction contestée et le processus de rejet de débit. L’institution financière a soutenu que les renseignements n’ont pas à être communiqués parce qu’il s’agit de renseignements commerciaux confidentiels. Plus précisément, nous contestons l’application de l’alinéa 9(3)b) afin d’exempter le plaignant de son droit d’accès à ces documents.
30. En ce qui concerne ce qui constitue des « renseignements commerciaux confidentiels », un bulletin d’interprétation sur l’accès aux renseignements personnels publié par le Commissariat indique que, dans un cas sur lequel nous avons fait enquête, le commissaire à la protection de la vie privée du Canada a déterminé ce qui suit :

    Des renseignements résultant de l’enquête effectuée par une banque au sujet d’une allégation de fraude en matière de carte de crédit peuvent être considérés comme des renseignements commerciaux confidentiels lorsque leur divulgation pourrait porter un préjudice irréparable aux intérêts commerciaux de l’organisation et que la préservation de la confidentialité constitue un intérêt suffisamment important. (Caractère gras ajouté)

31. De plus, dans une décision récente de la Cour fédérale du Canada dans une affaire sur laquelle le Commissariat a enquêté, Bertucci c. Banque royale du Canada, la Cour a noté au paragraphe 39 de la décision que « la norme de la Loi visant la justification de la dissimulation d’information en vertu de l’alinéa 9(3)b) est très rigoureuse ».
32. À notre avis, et malgré les observations de l’institution financière et nos exhortations à l’institution financière au sujet de l’affaire en question, on ne nous a pas fourni d’explication convaincante sur la raison pour laquelle le refus de communiquer l’information du plaignant ou la façon de le faire répond à cette norme très élevée. Les règlements d’exploitation des cartes de crédit auxquels l’institution financière renvoie n’appuient pas sa position de confidentialité, d’autant plus que l’institution financière prétend qu’elle a informé verbalement le plaignant de la réponse du commerçant.
33. Nous estimons que les raisons avancées par l’institution financière pour ne pas divulguer les renseignements ne sont pas convaincantes et sont non fondées. Nous ne savons toujours pas comment l’institution financière ou le commerçant subirait un préjudice irréparable [si] ces renseignements étaient communiqués au plaignant.
34. Dans notre lettre et dans notre rapport préliminaire d’enquête, nous avons recommandé que l’institution financière fournisse au plaignant l’accès à tous ses renseignements personnels, y compris le formulaire de déclaration de l’acquéreur, le questionnaire de préarbitrage et le questionnaire de rejet de débit qui ne lui avaient pas été fournis et qui avaient été expressément demandés par le plaignant.
35. L’institution financière a répondu à nos recommandations :
    1. L’institution financière a fourni des éclaircissements sur les renseignements qui avaient été caviardés du formulaire de déclaration de l’acquéreur, du questionnaire de préarbitrage et du questionnaire de rejet de débit. Plus précisément, l’institution financière a indiqué que les renseignements en question ne sont pas considérés comme des renseignements personnels du plaignant et qu’ils sont caviardés en vertu du paragraphe 9(1), qui concerne les renseignements de tiers;
    2. L’institution financière a fourni au plaignant ses renseignements personnels contenus dans le formulaire de déclaration de l’acquéreur, le questionnaire de préarbitrage et le questionnaire de rejet de débit.
36. Après avoir examiné les documents en question, le Commissariat a établi que l’institution financière s’était fondée à tort sur la dérogation relative aux renseignements commerciaux confidentiels prévue à l’alinéa 9(3)b) pour caviarder certains renseignements. Toutefois, après une analyse minutieuse, nous concluons que les formulaires ont depuis été caviardés correctement, conformément au paragraphe 9(1). Le plaignant n’a pas droit aux renseignements caviardés aux termes de cette dérogation.
37. Bien que nous soyons convaincus que le plaignant a maintenant obtenu l’accès aux renseignements personnels auxquels il a droit à partir de ces documents, nous estimons que le long délai pris par l’institution financière pour appliquer la bonne dérogation et pour remplir ses obligations en répondant à la demande d’accès du plaignant, est totalement inutile dans ces circonstances. Nous encourageons l’institution financière à faire en sorte que la réceptivité, la rapidité et la qualité soient des priorités dans le traitement des demandes d’accès.

Conclusion and recommendations

38. En conséquence, nous concluons que la plainte est fondée et résolue.