Conclusions
Rendues le 14 mars 2005

«Application : Le principe 4.3 stipule que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire. Le principe 4.3.2 énonce que les organisations doivent faire un effort raisonnable pour s'assurer que la personne est informée des fins pour lesquelles les renseignements seront utilisés. Pour que le consentement soit valable, les fins doivent être énoncées de façon à ce que la personne puisse raisonnablement comprendre la manière dont les renseignements seront utilisés ou communiqués. Le paragraphe 5(3) précise qu'une organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu'à des fins qu'une personne raisonnable estimerait acceptables dans les circonstances.

En tirant ses conclusions, la commissaire adjointe à la protection de la vie privée a délibéré de la façon suivante :

• En général, elle estime que les fins de la collecte, de l'utilisation et de la communication des renseignements personnels sont appropriées, compte tenu du critère du jugement de la personne raisonnable décrit au paragraphe 5(3). Où il est indiqué que la fin est facultative, le client pourrait facilement dire qu'il ne veut pas être sollicité pour d'autres produits lorsqu'il remplit le formulaire de demande.
• La commissaire adjointe n'est cependant pas satisfaite du libellé utilisé pour décrire la portée des renseignements recueillis et communiqués. Elle a fait valoir qu'un client ne devrait pas être tenu de présenter à une banque une demande d'accès pour connaître les renseignements qu'elle a recueillis ou communiqués. Elle a plutôt signalé que les banques devraient fournir directement des exemples des genres de renseignements personnels recueillis, comme le nom, l'adresse, la préférence linguistique, la date de naissance, l'employeur, la profession, la cote de crédit, la valeur des titres détenus et l'historique du remboursement des prêts. Elles devraient en outre donner la justification de la collecte de chaque genre de renseignement (par exemple, la collecte de la date de naissance est exigée par la loi).
• Le plaignant a précisé que le suivi des achats des clients posait particulièrement problème. Bien que la commissaire adjointe ait estimé qu'une telle activité était appropriée aux fins de la détection de la fraude et de l'activité criminelle ainsi que de l'examen de l'utilisation du crédit, elle est d'accord qu'une personne pourrait ne pas comprendre à partir du libellé du formulaire de demande ou de tout autre document lié à la protection des renseignements personnels les motifs pour lesquels la banque suit l'historique des achats.
• Donc, même si elle accepte les fins invoquées par la banque, elle est d'avis que cette dernière ne fournissait pas un consentement explicite relatif à ses pratiques de collecte, d'utilisation et de communication, comme l'exigent les principes 4.3 et 4.3.2.»