Décision no 46382-174Q307

Dossier : 46382-174Q307

Question de conformité

Code de conduite – Code de pratique canadien des services de cartes de débit (2002) - Défaut de conformité à un code de conduite volontaire relativement à la fraude par carte de débit

Loi sur l'Agence de la consommation en matière financière du Canada, alinéa 3(2)c)

Code de pratique canadien des services de cartes de débit (2002), article 5, paragraphe 6(6).

Un consommateur s'est plaint à l'Agence de la consommation en matière financière du Canada (ACFC) d'avoir été tenu responsable d'opérations non autorisées imputées sur son compte bancaire. Les opérations contestées avaient été effectuées avec sa carte de débit, qu'on lui avait volée. Il s'est rendu compte qu'il n'avait plus sa carte de débit dans la matinée, et il en a informé la banque un peu plus tard dans la même journée.

Le Code de pratique canadien des services de cartes de débit énonce l'obligation des banques de rembourser aux consommateurs les pertes qu'ils ont subies en raison d'activités non autorisées.

Durant son enquête, la banque a découvert, par vidéosurveillance, qu'une personne connue du consommateur avait volé la carte. Qui plus est, elle a constaté que cette personne avait inscrit correctement le numéro d'identification personnel (NIP) du titulaire de la carte, et ce, dès le premier essai. Par conséquent, la banque a conclu que le consommateur était responsable des opérations effectuées, car le NIP avait été inscrit correctement, ce qui laisse à penser que le NIP était une combinaison facile à reconnaître et que le consommateur n'avait pas protégé convenablement son NIP.

Le paragraphe 5(5) du Code (version de 2002) précise que le titulaire d'une carte contribue à l'utilisation non autorisée de sa carte s'il divulgue volontairement son NIP, notamment s'il inscrit son NIP sur sa carte ou conserve à proximité de la carte une inscription mal camouflée du NIP.

Le titulaire d'une carte est également considéré comme ayant contribué à l'utilisation non autorisée de sa carte lorsqu'il néglige d'aviser l'émetteur de la carte, dans un délai raisonnable, de la perte, du vol ou d'un mauvais usage de sa carte, ou de la possibilité que quelqu'un d'autre connaisse son NIP.

L'annexe A du Code – clauses 3 et 5 – donne des instructions sur la façon d'interpréter l'article 5 du Code (version de 2002). La clause 3 présente les situations dans lesquelles le titulaire d'une carte ne serait pas tenu responsable des pertes survenues. La clause 5 décrit la façon dont un titulaire de carte pourrait contribuer à l'utilisation non autorisée de sa carte.

Le consommateur s'est aussi plaint que la banque ne l'avait pas convenablement informé de sa procédure de règlement des différends, dont il pouvait se prévaloir.

Le paragraphe 6(6) du Code (version de 2002) précise que le titulaire dont le problème ne peut être réglé par l'émetteur du NIP sera informé des raisons qui sous-tendent l'opinion de l'émetteur à l'égard des opérations non autorisées. Il indique également que l'émetteur informera le titulaire de la carte des autorités compétentes auxquelles s'adresser aux fins de règlement.

Vu l'information fournie par le consommateur et la banque pendant la conduite de l'enquête de l'ACFC, la Direction de la conformité et de l'application de l'Agence est arrivée à la conclusion qu'il s'agissait d'un cas de non-conformité au Code (version de 2002). Une lettre de non-conformité a donc été adressée à la banque. La lettre indiquait que la banque n'avait pas envisagé l'éventualité du « piquage de mot de passe », c'est-à-dire la technique qui consiste à espionner par-dessus l'épaule d'une personne lorsqu'elle entre son NIP sur le clavier du terminal de point de vente, ou d'autres circonstances entourant les opérations contestées, et qu'elle n'avait pas informé le titulaire de la carte de l'étape suivante de son processus de règlement des différends.

Décision prise

Après avoir reçu la lettre de non-conformité adressée par la Direction de la conformité et de l'application de l'ACFC, et conformément au cadre de conformité de l'Agence, la banque a demandé que le cas soit soumis au commissaire par intérim de l'ACFC, à des fins d'examen.

Après avoir examiné les faits entourant le cas et les observations présentées par la banque, le commissaire par intérim a conclu que la banque s'était bien conformée au paragraphe 5(5) du Code (version de 2002) concernant l'établissement des responsabilités en cas d'opérations non autorisées. Le commissaire par intérim a néanmoins maintenu la constatation précédente de non-conformité au paragraphe 6(6) du Code (version de 2002). La banque n'avait pas informé le titulaire des autorités compétentes auxquelles s'adresser au sujet de sa décision contestée de tenir le consommateur responsable des opérations non autorisées.

Points à examiner

Dans les observations qu'elle a présentées au commissaire par intérim, la banque a montré que les déclarations du consommateur contenaient quelques contradictions sur ce qui était arrivé à sa carte de débit et, en conséquence, sur la façon dont les opérations non autorisées ont pu avoir lieu.

Lorsque le consommateur a signalé la perte de sa carte à la banque pour la première fois, il n'a pas déclaré avoir été victime de piquage de mot de passe ni indiqué que son NIP avait pu être divulgué à une tierce partie ou révélé d'une manière ou d'une autre. Le consommateur a également fait savoir à la banque qu'il avait déposé un rapport de police, mais il n'en a jamais remis une copie à la banque, ni informé cette dernière de son contenu.

Pendant l'enquête effectuée par la banque, une photo de la personne responsable des opérations non autorisées a été montrée au consommateur. Celui-ci a confirmé verbalement aux employés de la banque qu'il connaissait la personne en question. Par contre, il n'a donné aucune précision sur la nature de leur relation.

Lors d'une enquête menée ultérieurement par le bureau de l'ombudsman de la banque, le consommateur a déclaré avoir été victime de « professionnels » et « qu'il n'était pas le seul à être victime de cette personne ou de ce groupe ». Il a avancé l'hypothèse qu'il aurait pu être victime de piquage de mot de passe lorsqu'il a utilisé le guichet automatique de la succursale qu'il a l'habitude d'utiliser. Toutefois, à cette occasion, il a omis de mentionner au bureau de l'ombudsman de la banque qu'il connaissait la personne responsable des opérations non autorisées.

La banque a fait valoir que la possibilité de piquage de mot de passe n'entrait pas en ligne de compte, parce qu'un temps trop long s'était écoulé entre la dernière fois que le consommateur avait utilisé sa carte et le vol de son portefeuille, et le début des opérations non autorisées. De plus, la banque a précisé que le NIP avait toujours été inscrit sans erreur. Les enquêtes ultérieures ont également révélé que le consommateur avait une combinaison de NIP facilement reconnaissable.

Par conséquent, la banque a prétendu que le consommateur avait contribué à l'utilisation non autorisée de sa carte de débit^{Footnote 1} .

La banque a remis au consommateur sa procédure de règlement des plaintes lorsqu'il a déposé sa plainte pour la première fois. Toutefois, elle ne l'a pas informé des autorités compétentes auxquelles s'adresser au sujet de la décision contestée, lorsqu'elle lui a indiqué les raisons pour lesquelles elle le tenait responsable des opérations non autorisées.

Mesure prise par l'institution financière

Lorsque la banque refuse une demande de remboursement liée à des opérations non autorisées, elle remet désormais une lettre type qui contient l'information concernant les autorités compétentes auxquelles s'adresser en cas de contestation.

Résultats

L'ACFC surveille les institutions financières sous réglementation fédérale pour s'assurer qu'elles se conforment à certains codes de conduite et engagements publics adoptés pour protéger les intérêts des consommateurs. L'ACFC rend compte chaque année au Parlement du niveau de conformité des institutions financières à ces codes et engagements, ainsi que de la nature et du nombre de plaintes reçues.

Le Code de pratique canadien des services de cartes de débit a pour objectif de protéger les consommateurs canadiens qui utilisent ces services. Il énonce les pratiques de l'industrie et les responsabilités des consommateurs et de l'industrie en ce qui concerne les opérations faites par carte de débit et la responsabilité qui s'y rattache. Des enquêtes approfondies doivent être menées pour s'assurer que les codes volontaires comme celui-ci fonctionnent dans l'intérêt des consommateurs.

Dans le cas présent, après avoir examiné l'information fournie par le consommateur et la banque, le commissaire par intérim a convenu que, selon la prépondérance des probabilités, le consommateur devait avoir contribué à l'utilisation non autorisée de sa carte de débit^{Footnote 2} .​

Toutefois, le commissaire par intérim a maintenu le constat de non-conformité au paragraphe 6(6) du Code (version de 2002), au sens où la banque n'a pas fourni au titulaire de la carte les coordonnées des autorités compétentes auxquelles s'adresser – comme l'exige le Code de pratique canadien des services de cartes de débit – au cas où il souhaiterait contester la décision de la banque de le tenir responsable des opérations non autorisées effectuées avec sa carte de débit.