Vie pratique - Du recueil illégal d’informations par des commerçants et autres organismes

Hier, une proche me dit qu’elle a dû refuser un cadeau de 25 dollars d’un marchand. Une caissière lui offrait 25 dollars s’il elle prenait la carte de crédit de cette chaine de magasins. Un autre client lui avait dit : « Accepte l’offre. Moi, j’ai pris la carte. J’ai fait un achat avec pour profiter du cadeau. Puis j’ai fait annuler la carte. » Bon, 25 dollars pour deux minutes de paperasse, ce n’est pas un mauvais échange.

Elle a donc accepté offre et la caissière a aussitôt commencé à remplir le formulaire pour elle. Naturellement, la caissière a demandé la présentation d’une pièce d’identité avec photo. La cliente a offert son permis de conduire qui porte son nom, son adresse de domicile ainsi que des photos d’elle et de sa signature. C’est alors que la caissière inscrit le numéro de permis de conduire sur le formulaire. La cliente l’interrompt : « mais vous n’avez pas le droit de noter le numéro de permis de conduire ». Ceci est légalement vrai. Au Québec, il est clairement énoncé que les numéros de permis de conduire et d’assurance-maladie ne peuvent être recueillis que pour les fins associées à l’application du Code de la route et de la Loi sur l’assurance-maladie, respectivement. Ailleurs au Canada, au minimum, le principe de nécessité des lois de protection des renseignements personnels restreint une telle collecte.

La caissière a alors répondu qu’on l’obligeait à recueillir le numéro pour l’émission de la carte. Elle exhibe la section du formulaire prévue à cet effet comme preuve à l’appui de son affirmation.

Face à l’impasse, la cliente décide d’annuler sa demande. Elle se fait remettre le formulaire et le déchire en petit morceau. Elle va aussi porter plainte à la Commission d’accès à l’information pour faire cesser cette pratique.

Ce n’est pas ce que j’aurai fait. Mais d’abord quelques explications.

Pourquoi le recueil de ces informations ?

Souvent, les employés ne savent même pas exactement pourquoi on leur demande de recueillir ces informations.

Une croyance répandue est que les organisations recueillent ces numéros de carte d’identité ou en prennent une photocopie parce que ces informations pourraient les aider à retracer une personne qui déménage ou envers qui il faut engager des mesures de recouvrement de créances. La réalité est plus triviale.

Un collègue qui avait travaillé dans le secteur bancaire m’a indiqué qu’il s’agit plutôt d’une mesure de contrôle… du travail des employés.

Ce recueil a été imposé par des vérificateurs et s’est répandu partout dans le secteur des services. Il s’agissait de s’assurer que les employés avaient bel et bien demandé et tenu en main les pièces nécessaires à une confirmation raisonnable de l’identité des clients se présentant en personne devant eux.

Effet pervers

Le problème est que les mesures de contrôle bureaucratique deviennent souvent des fins en elles-mêmes au détriment de l’objectif initialement recherché. La finalité de la confirmation d’identité est de protéger l’entreprise et les clients contre l’usurpation d’identité. Or l’exigence du formulaire et les contraintes de temps font que les préposés à la clientèle se concentrent sur la prise du numéro ou la photocopie de la pièce d’identité plutôt que sur la vérification à savoir si la personne ressemble à sa photo, sa signature sur le formulaire ressemble à la signature sur la pièce, si les nom et adresse concordent et leurs orthographes sont correctes. Ainsi, au lieu de protéger l’entreprise et les clients, la procédure peut souvent avoir l’effet contraire : un bâclage de la confirmation d’identité. Pire. Toutes ces informations recueillies un peu partout augmentent les risques qu’une personne mal intentionnée s’en empare pour des fins illégitimes, telles… l’usurpation d’identité et la fraude.

Solutions techniques… imparfaites

Les organisations ont un besoin légitime de moyens de confirmer l’identité des gens avec qui elles font affaire. Or, il n’existe pas de pièces d’identité conçues expressément à un tel usage dans la vie quotidienne.

Diverses solutions techniques sont envisageables. Un exemple parmi plusieurs : on pourrait permettre aux organisations d’avoir un lecteur de cartes qui contacterait directement les ordinateurs des émetteurs du permis de conduire ou carte d’assurance-maladie. Les organisations pourraient alors obtenir assurance que la pièce d’identité est valide ou non, accompagnée d’un numéro de confirmation qui est totalement différent du numéro de carte. L’inscription du numéro de confirmation permettrait de prouver que l’employé a bien effectué la procédure… mais pas encore de prouver que l’employé s’est bien assuré que la personne devant lui est probablement celle qu’elle prétend être. Au mieux, on pourrait ajouter des sections au formulaire où l’employé déclare qu’il a bien vérifié avec la photo, qu’il a bien vérifié la signature, qu’il a bien vérifié les nom et adresse. Ce qui ne satisfera qu’à moitié les vérificateurs et autres contrôleurs du travail. À moins de recourir à la biométrie (et encore !), il faut se reposer que sur le professionnalisme du personnel qui comprendrait bien, non seulement la procédure, mais aussi son objectif.

En outre, il faudrait prévoir fournir des moyens d’identification pour ces nombreuses personnes qui ne conduisent pas d’automobiles ou qui ne sont pas admissibles à l’assurance maladie.

Conseil pratique

Qu’aurai-je fait à la place de la cliente ?

J’aurai rempli le formulaire comme demandé, pris le 25 dollars et… ensuite porté plainte à la Commission d’accès à l’information de faire cesser cette collecte (en envoyant une copie au commerçant pour qu’il détruise l’information illégalement recueillie). Autant être dédommagé pour le temps, les démarches, les enveloppes et les timbres.

Je conseille encore plus la même approche lorsqu’un service essentiel ou un droit est en cause. Par exemple, lorsqu’il s’agit d’obtenir un logement, un emploi, une place en garderie, etc. Obtenez d’abord votre service ou l’exercice de votre droit, et seulement ensuite portez plainte. Les commissions de protection de renseignements personnels acceptent généralement de traiter votre plainte en gardant votre identité confidentielle si sa divulgation à l’organisation pouvait compliquer vos relations avec elle. Car dans tous les cas, l’objectif de la commission sera de faire cesser la pratique envers toutes les personnes dans la même situation, pas seulement envers vous.