Section surveillance

Montréal, le 19 octobre 2016 Madame Madame Agent de protection de la vie privée Directrice des affaires juridiques Bureau canadien de la gestion de risques LA BAIE D’HUDSON CAPITAL ONE 698, avenue Lawrence Ouest 5140, Yonge Street, bureau 1900 Toronto (Ontario) M6A 3A5 Toronto (Ontario) M2N 6L7 Objet : Plainte à l’endroit de la banque Capital One et de La Baie d’Hudson N/Réf. : 1004354 _______________________________________________________________ Mesdames, (le plaignant) a porté plainte à la Commission d’accès à l’information (la Commission) à l’endroit de la banque Capital One et de La Baie d’Hudson (La Baie). Il s’interroge sur la nécessité pour ces entreprises de recueillir des renseignements personnels d’identité non nécessaires le concernant lors d’une demande de carte de crédit HBC, notamment son numéro de passeport et le numéro de sa carte d’identité nationale tunisienne. Il s’interroge également sur les règles relatives à la conservation et à l’utilisation des renseignements personnels que contient le formulaire de demande de carte de crédit dans la mesure où elle lui a été refusée. À la suite de cette plainte, la Commission a procédé à une enquête, conformément à l’article 81 de la Loi sur la protection des renseignements personnels dans le secteur privé 1 . L’enquête de la Commission révèle les faits suivants. L’ENQUÊTE Peu de temps après son arrivée au Québec, le plaignant se voit offrir par une employée à la caisse d’un magasin La Baie, lors d’un achat, de faire une demande de carte de crédit. L’employée lui mentionne qu’il pourrait bénéficier de certains rabais. 1 RLRQ, c. P-39.1, la Loi sur le privé. … 2

N/Réf. : 1004354 2 Le plaignant lui explique que des banques ont refusé de lui accorder une carte de crédit compte tenu de son statut de nouvel arrivant au Québec. L’employée lui répond qu’il peut à tout le moins essayer et faire une demande. Le plaignant complète donc un formulaire de demande de carte de crédit de la banque Capital One. Ce formulaire comprend ses coordonnées, le nom de son employeur et sa profession, de même que des renseignements d’identification, soit le type de pièce d’identité consulté (choix de case à cocher parmi une liste), la province ou le territoire de délivrance de cette pièce et le numéro qui y est inscrit. L’employée doit apposer son nom, un numéro de référence et ses initiales pour confirmer qu’elle a vérifié l’identité de la personne. Le plaignant a indiqué son numéro de passeport étranger. L’employée de La Baie lui a demandé de présenter un second document, soit sa carte d’identité nationale tunisienne. Elle a ajouté ce numéro sur le formulaire, bien qu’un seul espace soit prévu pour inscrire le numéro d’une pièce d’identité. La demande de carte de crédit du plaignant est refusée. Il demande alors de récupérer le formulaire contenant ses renseignements personnels ou de le détruire. L’employée l’informe qu’elle doit le conserver et le transmettre à ses supérieurs. Pour sa part, Capital One considère que la collecte des renseignements d’identité dans le contexte d’une demande de carte de crédit est nécessaire à l’exercice normal de leurs activités commerciales et conforme aux dispositions de la loi, notamment la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes 2 , en vertu de laquelle les institutions financières doivent confirmer l’identité de la personne à qui le crédit est octroyé. Cette entreprise ajoute que le choix de la pièce d’identité revient au client qui peut choisir parmi plusieurs documents officiels, dont le permis de conduire (canadien), un passeport (canadien ou étranger), une carte d’assurance maladie, une carte citoyenneté canadienne, un extrait de naissance, etc. Cette liste est indiquée au formulaire utilisé par Capital One pour l’obtention d’une carte de crédit que le client peut notamment utiliser dans les magasins de la chaîne La Baie d’Hudson. Une copie du formulaire complété par le plaignant est transmise à l’enquêteur par Capital One. 2 L.C. 200, ch. 17. … 3

N/Réf. : 1004354 3 La politique de Capital One régissant la confidentialité, la sécurité, la collecte, l’utilisation et l’échange de renseignements personnels pour les demandes de crédit prévoit que les formulaires de demande de carte de crédit sont conservés afin de déterminer la pertinence des produits et services à offrir aux clients selon leurs besoins et leurs intérêts. Toutefois, lorsqu’une demande est rejetée, comme dans le cas présent, Capital One n’utilise pas les renseignements personnels contenus sur le formulaire de demande, sauf dans les situations suivantes:  Lorsqu’il est nécessaire d’y référer pour une demande d’information du client ou d’une autre nature, comme dans le cadre de l’enquête de la Commission;  Dans l’éventualité d’une future commercialisation de produits de Capital One. Cette politique prévoit également que dans les 30 jours suivant l’ouverture du compte, le nom du consommateur n’est pas ajouté à la liste de campagne de marketing de tierces parties. Si le consommateur ne souhaite pas que ses renseignements soient utilisés aux fins de commercialisation secondaire, la personne concernée doit communiquer avec un représentant au service des Relations avec les clients. L’entreprise affirme que les renseignements personnels concernant le plaignant, particulièrement les renseignements relatifs à la vérification de son identité, ne seront pas utilisés à quelque fin que ce soit. En matière de confidentialité et de sécurité des renseignements personnels, la politique prévoit que Capital One a mis en place différentes mesures de protection telles que la sécurisation des lieux (accès restreint aux établissements), le chiffrement des données et des pratiques commerciales sécuritaires (authentification des clients qui appellent). L’accès aux renseignements personnels est limité aux seules personnes qui en ont besoin pour fournir des produits et services aux clients. En réponse à une demande de complément d’information de l’enquêteur, Capital One répond qu’à titre d’entreprise fédérale, elle relève de la compétence exclusive du Parlement fédéral et que la plainte aurait dû être adressée au Commissariat à la protection de la vie privée du Canada. Elle refuse donc de répondre aux questions supplémentaires qui lui sont adressées. … 4

N/Réf. : 1004354 4 En ce qui concerne La Baie, l’enquête révèle qu’elle ne conserve aucun renseignement contenu dans une demande de crédit rejetée. Elle envoie la demande de crédit rejetée à Capital One et aucune copie de la demande n’est conservée. Ses employés sont informés ne pas détruire les demandes de crédit rejetées et de les remettre à Capital One, comme le prévoit une directive de cette dernière. La Baie confirme qu’elle ne conserve aucun renseignement au sujet du plaignant et qu’elle n’a pas utilisé les renseignements contenus au formulaire de demande de crédit du plaignant. Elle affirme que son employé n’a pas indiqué au plaignant que l’entreprise se servirait de ses renseignements, mais lui aurait plutôt dit qu’il ne pouvait ni lui remettre le formulaire de demande ni le détruire puisque ce dernier devait être envoyé à Capital One. ANALYSE La Commission doit déterminer si la collecte des renseignements d’identité du plaignant et leur conservation sont conformes à la Loi sur le privé. Avant de se faire, elle précise qu’elle considère que Capital One est assujettie à la Loi sur le privé. En effet, selon l’article 1 de cette loi, celle-ci s’applique à toute personne qui recueille, détient, utilise ou communique à des tiers des renseignements personnels, à l’occasion de l’exploitation d’une entreprise au sens de l’article 1525 du Code civil du Québec 3 . Cette dernière disposition prévoit que l’exercice, par une ou plusieurs personnes, d’une activité économique organisée, consistant dans la production ou la réalisation de biens, leur administration ou leur aliénation, ou dans la prestation de services, constitue l’exploitation d’une entreprise. À la lumière des informations au dossier de la Commission, l’entreprise offre notamment, au Québec, des services bancaires et de cartes de crédit. Elle exerce, au Québec, une activité économique organisée de nature commerciale qui consiste à offrir des services financiers bancaires et de cartes de crédit. Il s’agit donc d’une entreprise au sens de l’article 1525 du C.c.Q. L’exercice de cette activité économique implique la collecte, la conservation, l’utilisation et la 3 RLRQ, c. CCQ-1991, le C.c.Q. … 5

N/Réf. : 1004354 5 communication de renseignements personnels, comme en témoigne notamment le formulaire de demande de crédit au dossier. Enfin, aucun élément au dossier ne permet à la Commission de conclure que les règles relatives à la collecte de renseignements personnels entravent le plein exercice de la compétence fédérale en matière de banques. L’entreprise n’a pas davantage démontré qu’il existe un conflit entre la loi fédérale et la loi provinciale visant la protection des renseignements personnels applicables en matière de collecte de renseignements personnels, dans le cadre du présent dossier. Selon les décisions récentes de la Cour suprême 4 , il faut favoriser une interprétation visant la conciliation des lois provinciales et fédérales applicables à une situation donnée, surtout lorsque les deux lois poursuivent par des moyens semblables, le même objet et la même finalité. La Loi sur le privé et la Loi sur la protection des renseignements personnels et des documents électroniques 5 visent le même objectif, soit la protection des renseignements personnels et, par conséquent, la protection du public. Collecte des renseignements Selon la Loi sur le privé, une entreprise peut recueillir uniquement les renseignements personnels nécessaires à l’objet d’un dossier : 5. La personne qui recueille des renseignements personnels afin de constituer un dossier sur autrui ou d’y consigner de tels renseignements ne doit recueillir que les renseignements nécessaires à l’objet du dossier. À la lumière des éléments révélés par l’enquête et des documents au dossier, la Commission conclut que le formulaire de demande de crédit utilisé par Capital One et La Baie permet de recueillir uniquement les renseignements nécessaires à l’objet du dossier, soit l’émission ou non d’une carte de crédit. Selon la réglementation relative à la lutte contre le recyclage des produits de la criminalité et le financement des activités terroristes, Capital One a l’obligation de recueillir certains renseignements lors de l’ouverture d’un compte de carte de 4 Voir notamment : Banque de Montréal c. Marcotte, 2014 CSC 55; Banque canadienne de l’Ouest c. Alberta, 2007 CSC 22. 5 L.C. 2000, ch. 5, LPRPDE. … 6

N/Réf. : 1004354 6 crédit, dont les renseignements d’identification, la date de naissance du client et sa profession 6 . L’entreprise doit aussi vérifier l’identité du client de la manière prévue par cette réglementation. Le Règlement sur le recyclage des produits de la criminalité et le financement des activités terroristes prévoit : 64 (1) Dans les cas prévus aux articles 53, 53.1 et 54, à l’alinéa 54.1a) [carte de crédit] et aux articles 55, 56, 57, 59, 59.1, 59.2, 59.3, 59.4, 59.5, 60 et 61, l’identité de la personne est vérifiée : a) en se rapportant à un document d’identité délivré par le gouvernement fédéral ou un gouvernement provincial ou un gouvernement étranger autre que municipal, contenant le nom et la photographie de la personne et en confirmant que ce nom et cette photographie sont ceux de la personne; b) en se rapportant à des renseignements sur la personne que la personne ou l’entité qui effectue la vérification reçoit, sur demande, d’un organisme gouvernemental fédéral ou provincial — ou d’un mandataire d’un tel organisme — autorisé au Canada à vérifier l’identité des personnes et en confirmant que les nom et adresse ou les nom et date de naissance compris dans ces renseignements sont ceux de la personne; c) en se rapportant à des renseignements figurant au dossier de crédit de la personne — si ce dossier est situé au Canada, ce dossier devant exister depuis au moins trois ans — et en confirmant que les nom, adresse et date de naissance compris dans le dossier de crédit sont ceux de la personne; d) […] 6 Art. 14.1 du Règlement sur le recyclage des produits de la criminalité et le financement des activités terroristes, DORS/2002-184, en ligne : http://laws-lois.justice.gc.ca/fra/reglements/DO RS-2002-184/page-4.html#docCont, consulté le 13 octobre 2016. … 7

N/Réf. : 1004354 7 (2) Les vérifications sont effectuées : […] b.2) dans le cas prévu à l’alinéa 54.1a), avant l’activation de toute carte de crédit; […] À l’époque de la plainte, ce règlement énumérait diverses pièces d’identité reconnues, dont le certificat de naissance, le permis de conduire, la carte d’assurance maladie provinciale (si un tel usage n’est pas interdit aux termes de la loi provinciale applicable), le passeport ou tout document semblable. Pour sa part, la Ligne directrice 6G : Tenue de documents et identification des clients – Entités financières émise par le Centre d’analyse des opérations et déclarations financières du Canada (CANAFE) 7 prévoit : 3.12 Documents concernant la vérification de l’identité […] Documents d’identification Si vous utilisez un document d’identification pour vérifier l’identité de la personne, le dossier doit préciser le type de document que vous avez utilisé à cette fin, son numéro de référence et son lieu de délivrance. […] 4.12 Comment vérifier l’identité d’une personne Voir le paragraphe 3.12 pour obtenir de l’information supplémentaire sur ce que doit contenir un document lorsque vous devez vérifier l’identité d’une personne. Aux fins décrites dans la présente ligne directrice, on peut vérifier l’identité d’une personne au moyen de l’un des documents suivants : du certificat de naissance, du permis de conduire, du passeport, de la fiche d’établissement, de la carte de résident permanent ou d’un autre document semblable. Vous pouvez utiliser la carte d’assurance-maladie provinciale de l’individu, à moins qu’une loi provinciale ou territoriale ne vous en empêche. […] [nos soulignements] 7 Février 2014, en ligne : http://www.canafe.gc.ca/publications/guide/Guide6/6G-fra.asp#s3-12, consultée le 7 octobre 2016, la Ligne directrice 6G. … 8

N/Réf. : 1004354 8 Le formulaire de Capital One complété par le plaignant prévoit que l’employé de La Baie doit vérifier l’identité du client en demandant de voir l’une des pièces qui y est énumérée. L’employé doit cocher la case correspondant à la pièce vérifiée et noter le numéro de la pièce et la province ou le territoire de délivrance. Le formulaire ne prévoit qu’un seul espace pour indiquer un numéro de pièce. Il ne prévoit donc que la collecte des renseignements contenus sur une seule pièce d’identité, conformément à ce que requiert la réglementation applicable. Cette réglementation et les lignes directrices adoptées en lien avec celle-ci indiquent qu’il est parfois requis, dans certaines circonstances particulières, de prendre des mesures d’identification supplémentaires. C’est notamment le cas lorsque l’identité de la personne ne peut être établie avec certitude à partir d’un seul document ou que le risque évalué de recyclage de produits de la criminalité ou d’activités terroristes est tout sauf minime. En l’espèce, aucun élément du dossier ne vient préciser si l’employé de La Baie a considéré être en présence d’une de ces situations. Il semble plutôt que la collecte du numéro d’une seconde pièce d’identité, soit le numéro de la carte d’identité tunisienne du plaignant, ait été une initiative de l’employé de La Baie qui a vérifié son identité. Puisque rien au dossier n’indique qu’il s’agit d’une pratique habituelle des employés de La Baie pour toute demande de carte de crédit, la Commission n’émet pas d’ordonnance. Toutefois, dans la mesure où La Baie, agissant pour le compte de Capital One, ne peut recueillir que les renseignements nécessaires à l’objet du dossier, la Commission l’invite à rappeler régulièrement à ses employés qu’ils ne doivent pas recueillir plus de renseignements que ceux requis dans le formulaire de demande de crédit. Conservation des renseignements En ce qui concerne la conservation du formulaire de demande de carte de crédit du plaignant, l’enquête révèle que La Baie ne le détient plus; elle l’a envoyé à Capital One. La Baie confirme qu’elle ne conserve aucun renseignement au sujet du plaignant et qu’elle n’a pas utilisé les renseignements contenus au formulaire de demande de crédit du plaignant. … 9

N/Réf. : 1004354 9 Quant à Capital One, la réglementation précitée prévoit qu’elle a l’obligation de conserver toute demande de crédit, même celles qui ont été rejetées : 14.1 Sous réserve du paragraphe 62(2), toute entité financière doit, pour chaque compte de carte de crédit qu’elle ouvre, tenir les documents et renseignements suivants : […] e) toutes les demandes de carte de crédit qu’elle reçoit du client dans le cours normal de ses activités; […] Ainsi, elle doit conserver les renseignements contenus au formulaire de demande de carte de crédit du plaignant. Elle peut les utiliser conformément aux dispositions suivantes de la Loi sur le privé : 12. L’utilisation des renseignements contenus dans un dossier n’est permise, une fois l’objet du dossier accompli, qu’avec le consentement de la personne concernée, sous réserve du délai prévu par la loi ou par un calendrier de conservation établi par règlement du gouvernement. 13. Nul ne peut communiquer à un tiers les renseignements personnels contenus dans un dossier qu’il détient sur autrui ni les utiliser à des fins non pertinentes à l’objet du dossier, à moins que la personne concernée n’y consente ou que la présente loi ne le prévoie. CONCLUSIONS L’enquête de la Commission ne permet pas de conclure que Capital One a contrevenu aux dispositions de la Loi sur le privé concernant la collecte, l’utilisation ou la conservation de renseignements personnels dans le contexte du présent dossier. Quant à La Baie, l’enquête démontre qu’elle a recueilli des renseignements non nécessaires à la demande de carte de crédit, soit le numéro contenu sur deux pièces d’identité du plaignant alors qu’un seul était requis. Toutefois, dans la mesure où rien n’indique qu’il s’agit d’une pratique habituelle de l’entreprise, qu’elle ne détient plus ces renseignements et qu’elle ne les a pas utilisés, la Commission n’émet pas d’ordonnance. Elle invite La Baie à rappeler régulièrement à ses employés qu’ils ne doivent pas recueillir plus de renseignements que ceux requis dans le formulaire de demande de crédit de Capital One. … 10

N/Réf. : 1004354 10 À la lumière de ces conclusions, la Commission ferme le présent dossier. Diane Poitras Juge administratif c. c.