Résumé de conclusions d'enquête en vertu de la LPRPDÉ #260

Une personne s'oppose au fait qu'un commerce vende son nom et son adresse à des tiers

[Principes 4.3, 4.3.2 de l'annexe 1]

Plainte

Une personne qui a fait affaire avec un commerce s'est plainte que son nom et son adresse aient été vendus à des tierces parties, sans son consentement.

Résumé de l'enquête

Une personne a effectué une commande par téléphone à un commerce. Quelques mois plus tard, elle a demandé par écrit au commerce de retirer son nom de sa liste d'envoi. Malgré cette demande, le nom de cette dernière figurait toujours sur la liste transmise à un consultant mandaté par le commerce pour échanger et louer sa liste de clients à d'autres organisations. Le commerce a fait valoir que ses catalogues et autres documents à la disposition de ses clients mentionnaient les informations relatives au partage des listes de clients et à la procédure à utiliser pour être retiré de ces listes. Selon lui, ces rubriques informaient spécifiquement les clients que leurs noms et adresses seraient remis à des commerçants tiers.

Conclusions

Rendues le 4 février 2004

Compétence : Depuis le 1er janvier 2001, la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi) s'applique à tous les ouvrages, installations, entreprises et secteurs d'activité fédéraux. L'article 30 de la Loi mentionne toutefois que la Loi peut s'appliquer à une organisation à l'égard des renseignements personnels qu'elle recueille, utilise ou communique dans une province dans la mesure où elle communique ces renseignements pour contrepartie et à l'extérieur de cette province. Puisque dans le cadre de sa plainte, la personne allègue que le commerce. a communiqué ses renseignements pour contrepartie à l'extérieur de la province, la commissaire adjointe a accepté de recevoir la plainte et d'enquêter en vertu de la Loi.

Application : Le principe 4.3 précise que toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu'il ne soit pas approprié de le faire. Le principe 4.3.2. énonce que suivant ce principe, il faut informer la personne au sujet de laquelle on recueille des renseignements et obtenir son consentement. Les organisations doivent faire un effort raisonnable pour s'assurer que la personne est informée des fins auxquelles les renseignements seront utilisés. Pour que le consentement soit valable, les fins doivent être énoncées de façon que la personne puisse raisonnablement comprendre de quelle manière les renseignements seront utilisés ou communiqués.

À la suite de l'intervention du bureau, le commerce a pris l'initiative de modifier ses documents publicitaires pour les rendre plus clairs et plus compréhensibles. Dorénavant, un client peut simplement cocher une case sur le bon de commande et ses informations ne seront pas partagées. Le commerce a également pris l'initiative de mettre sur pied un comité de protection de la vie privée ayant pour objectif de s'assurer du respect de la protection de la vie privée au sein de son entreprise, tant à l'égard de ses employés que de ses clients. Un membre de ce comité sera responsable de la protection de la vie privée au sein de son entreprise. Une politique de protection des renseignements personnels a également été adoptée par le comité et sera acheminée à l'ensemble de sa clientèle. Le comité de protection de la vie privée travaille également à l'élaboration d'une politique de protection de la vie privée destinée à tous les employés de la compagnie.

Le commissariat a établi qu'au moment de la plainte, les documents promotionnels contenaient un avis précisant que les noms et adresses de ses clients étaient partagés avec des compagnies tierces et spécifiant la procédure de retrait des listes, se conformant ainsi au principe 4.3 de l'annexe 1 de la Loi. Cependant, cet avis et la procédure proposée de retrait des listes manquaient de clarté. L'information était dissimulée sous des rubriques dont les titres n'étaient pas représentatifs de leur contenu. Cet avis ne démontrait pas un effort raisonnable de la part de la compagnie de s'assurer que la personne avait été clairement avisée des fins secondaires de la communication des renseignements personnels recueillis. De ce fait, la commissaire adjointe a déterminé que le consentement n'était pas valable et que la compagnie avait contrevenu au principe 4.3.2. de l'annexe 1 de la Loi.

Comme la personne s'est dite satisfaite du fait que son nom ait été retiré de la liste et que la compagnie a effectué les changements nécessaires à sa documentation, la commissaire adjointe a conclu que la plainte était résolue.

Autres considérations

La commissaire adjointe a tenu à féliciter le commerce pour ses initiatives prises à la suite de la plainte. De telles initiatives démontrent l'intérêt de la compagnie ainsi que l'importance qu'elle accorde à la protection des renseignements personnels.