ARCHIVÉ - Télécom Lettre du Conseil

Lettre

Ottawa, le 24 avril 2006

Envoyé par télécopieur et par courrier électronique

Madame Dawn L. Hunt
Vice-présidente, Relations avec le gouvernement
et les entreprises
Rogers Wireless Inc.
333, rue Bloor Est
9e étage
Toronto (Ontario)
M4W 1G9

Madame,

La présente fait suite au rapport que Rogers Wireless Partnership (RWP) a déposé à titre confidentiel en son nom et au nom de FIDO Inc. (FIDO) (collectivement Rogers), le 28 novembre 2005, en réponse à la demande du personnel du Conseil réclamant que Rogers fournisse des détails précis sur les présumés incidents de divulgation de renseignements confidentiels sur les clients. Le personnel du Conseil avait également demandé à Rogers de décrire les mesures de protection en place au moment des présumés incidents ainsi que les mesures supplémentaires qui ont été ou seront mises en ouvre.

Toujours sur ce sujet, Rogers doit déposer auprès du Conseil, dans les 20 jours suivant la réception de la présente lettre, des réponses aux questions ci-jointes indiquant clairement les cas où les réponses sont différentes pour RWP et pour FIDO.

Je vous informe qu'une copie de la présente et de l'annexe 2 seront rendues publiques. Une version abrégée de l'annexe 1 sera également rendue publique.

Veuillez agréer, Madame, l'expression de mes sentiments distingués.

Le directeur, Consommation,
Direction générale des télécommunications,

Gerry Lylyk

c.c. Renée Gauthier, CRTC (819) 994-5174

p.j. :   Annexe 1 : Questions à Rogers  
          Annexe 2 : Questions à Rogers

Annexe 1

Questions à Rogers Wireless Partnership (RWP)/FIDO Inc. (FIDO) (collectivement Rogers ) [1]

B) Enquête de FIDO

1.  Veuillez vous reporter au rapport joint à votre lettre du 28 novembre 2005, page 1, troisième paragraphe. ##
    ..................................................................... ##

D) Enquête de RWP

2.  ##
     ............................................................................................ ##

3.  ##
     ............... ## mentionné au sous-paragraphe D) du rapport joint à votre lettre du 28 novembre 2005.

E) Renseignements obtenus

4.   ##
      ............................................................................................... ? ##

5.   ##
      ........................................................................................... ? ##   

F) Vérification des processus de validation d'identité de Rogers

6.  ##
     ............................................  ## mentionné au sous-paragraphe F) du rapport joint à votre lettre du 28 novembre 2005. ##
    ....................................... ##

G) Contre mesures

7.  ##
  .................................................... ##   

8.  ##
    ...............................   ##

H) Renseignements supplémentaires

9.  ##
     ............................................................................... ##

10.  ##
      ........................ ##

Autre

11.  Prenons le cas d'une personne qui se présente comme un employé de la compagnie ou un agent de la compagnie avant de demander des renseignements confidentiels à un RSC.

a)  Décrivez les procédures en place au moment où le présumé incident s'est produit, qui permettaient aux RSC de se protéger contre quelqu'un qui avait prétendu être un employé de la compagnie ou un agent de la compagnie.

b)  Décrivez les procédures en place qui permettent aux RSC de se protéger contre quelqu'un qui prétend être un employé de la compagnie ou un agent de la compagnie.

c)  Décrire les circonstances, avant et depuis le présumé incident, dans lesquelles les RSC sont tenus de revalider l'identité d'un client et ce que celà implique.

d)  Si les RSC se fient sur les renseignements fournis par le service Afficheur, indiquez si cette méthode d'identification peut être inexacte et donc non fiable.

12.  Dans le numéro du 28 novembre 2005 de la revue Maclean's, on dit qu'il existe un logiciel qui permet à un appelant d'assumer l'identité d'une autre personne en faisant s'afficher le numéro de téléphone de cette personne, quelle que soit l'origine réelle de l'appel. Veuillez indiquer si votre compagnie estime cela possible. Si c'est possible, donnez votre opinion sur le bien-fondé de se fier aux renseignements affichés pour valider l'identité d'un client.

13.   Décrivez les mesures en place pour protéger les utilisateurs contre un accès électronique non autorisé aux systèmes de technologie de l'information de votre compagnie (bases de données internes, réseaux de communication, interfaces clients sur le Web, etc.) au moment du présumé incident. Indiquez les changements apportés aux mesures de protection à la suite du présumé incident.  

14.  Veuillez expliquer pourquoi les mesures de protection en place contre les accès électroniques non autorisés sont jugées appropriées. Incluez dans votre réponse une description de ce que votre compagnie : a) a fait, et b) fait de façon continue afin de vérifier si les mesures sont suffisantes pour assurer une protection adéquate contre les nouvelles méthodes d'accès électronique non autorisé.

15.  Pour chaque renseignement identificateur acceptable requis pour valider l'identité d'un client, et qui figure au tableau de l'annexe 2, indiquez dans quelle mesure les renseignements sont publics. Par exemple, le nom, l'adresse et les codes postaux peuvent être facilement obtenus sur Internet. En outre, l'article de la revue Maclean's du 21 novembre 2005 indiquait que la date de naissance du Commissaire à la protection de la vie privée du Canada avait été trouvée à Montréal dans un acte de propriété et des documents hypothécaires publics. Dans la mesure où les renseignements identificateurs sont publics, expliquez et justifiez le bien-fondé d'utiliser ces renseignements pour valider l'identité d'un appelant.

16.  Veuillez indiquer si vous estimez que les clients devraient pouvoir demander que les renseignements confidentiels les concernant ne soient pas divulgués par exemple au téléphone, par télécopieur ou par des méthodes particulières.

17.  En dehors de ce qui est mentionné dans les autres questions, depuis le présumé incident, votre compagnie ou toute autre tierce partie engagée par votre compagnie a-t-elle mené des enquêtes, procédé à des appels de client mystère, fait des vérifications, des rapports, etc. liés à l'accessibilité aux renseignements confidentiels sur les clients? Dans l'affirmative, veuillez fournir tous les détails sur ce qui a été fait et quand, y compris sur le mandat, ainsi que les résultats obtenus, les analyses et les recommandations, le cas échéant. Veuillez fournir des copies de tous les rapports documentaires connexes.

18.  Si votre compagnie a entrepris certaines des activités mentionnées à la question 17, quels changements, le cas échéant, ont été apportés aux processus et aux pratiques de la compagnie?

19.  Veuillez fournir les politiques et les procédures écrites concernant la confidentialité des renseignements sur les clients qui : a) étaient en vigueur au moment du présumé incident, et b) qui sont actuellement en vigueur.

20.  Le 10 février 2006, la Federal Communications Commission (FCC) a amorcé une instance, assortie d'un préavis de projet de réglementation (Notice of Proposed Rulemaking) [2] , pour examiner si des mesures de sécurité supplémentaires pourraient empêcher la divulgation non autorisée par les compagnies de télécommunication de renseignements sensibles sur leurs clients. La FCC demande entre autre des observations sur la faisabilité et le bien-fondé : 1) d'obliger les entreprises à adopter un système de mot de passe établi par les clients pour protéger l'accès à leurs renseignements confidentiels, 2) d'obliger les entreprises à établir des pistes de vérification qui indiquent chaque fois que quelqu'un a accès aux dossiers d'un client, si des renseignements ont été communiqués et à qui, 3) de coder les données stockées par l'entreprise, 4) de supprimer les renseignements confidentiels sur les clients lorsqu'ils ne sont plus nécessaires et dans ce cas, déterminer combien de temps ils devraient être conservés, 5) d'envoyer un préavis avant d'acquiescer à certains types de demandes de divulgation de renseignements confidentiels sur les clients, 6) d'avertir les clients de la divulgation de renseignements confidentiels les concernant, et 7) d'obliger les entreprises à autoriser les clients à placer un ordre d'interdiction absolue de divulgation de leurs renseignements confidentiels.

Si votre compagnie n'a pas pour politique a) d'exiger de tous les clients de protéger leur compte par un mot de passe, b) d'établir une piste de vérification indiquant chaque fois que quelqu'un a accès aux dossiers d'un client, si des renseignements ont été communiqués et à qui, c) de coder les données stockées, d) de supprimer les renseignements confidentiels sur les clients lorsqu'ils ne sont plus nécessaires, e) d'informer les clients si une demande de divulgation des renseignements confidentiels les concernant a été reçue, f) d'informer les clients après la divulgation de renseignements confidentiels et g) de permettre aux clients de placer un ordre d'interdiction absolue de divulgation de leurs renseignements confidentiels, veuillez donner votre opinion sur la faisabilité et le bien-fondé d'établir une telle politique pour chaque article de a) à g).

21.   En ce qui concerne d) à la question 20 ci-dessus, énumérez par article les périodes pendant lesquelles les renseignements confidentiels sur les clients sont conservés par la compagnie.

22.  Si votre compagnie n'a pas pour politique d'informer les clients de la modification des renseignements sur leur compte, veuillez donner votre opinion sur la faisabilité et le bien fondé d'établir une telle   politique.

23.  Si votre compagnie n'a pas pour politique d'encourager les clients à protéger leur compte par un mot de passe, veuillez donner votre opinion sur la faisabilité et le bien fondé d'établir une telle   politique.

24.  Si votre compagnie n'a pas pour politique d'informer les clients d'une modification de leur mot de passe, veuillez donner votre opinion sur la faisabilité et le bien fondé d'établir une telle   politique.

25.  Si votre compagnie n'a pas pour politique d'imposer une limite à la quantité des renseignements confidentiels sur les clients, comme le nombre d'appels pour lesquels le détail de l'appel est fourni, pouvant être distribués a) pendant une session b) au total, donnez votre opinion sur le bien fondé d'établir une telle   politique.

26.  Pour chaque type de renseignements confidentiels sur les clients autorisé à être divulgué, indiquez pourquoi chaque méthode (p. ex. courrier, télécopie, etc.) choisie pour distribuer ces renseignements garantit qu'ils parviendront en toute probabilité au bon client.

27.  Si votre compagnie envoie par télécopieur sur demande des copies de factures de clients, veuillez donner votre opinion sur le bien fondé de prendre des mesures garantissant qui ces renseignements sont envoyés uniquement à l'adresse postale enregistrée.

28.  Veuillez remplir le tableau de l'annexe 2.

[1] Pour faciliter les renvois, les titres des rubriques sont ceux utilisés par RWP dans le rapport joint à sa lettre du 28 novembre 2005 au CRTC, sauf pour la rubrique Autre.

[2] Commission fédérale des communications, Notice of Proposed Rulemaking, CC Docket n o 96-115; RM-11277, FCC 06-10, adopté le 10 février 2006 (RM-11277).

Annexe 2

Nom de l'entreprise

Mise à jour : 2006-04-24