Bulletin Protection de l information et de la vie privée

Transcription

1 Août 2009 Fasken Martineau DuMoulin S.E.N.C.R.L., s.r.l. Facebook a contrevenu à plusieurs dispositions de la Loi sur la protection des renseignements personnels et les documents électroniques Julie Cuddihy et Charles Lupien, Calgary Ottawa Londres Johannesburg À la fin du mois de mai de l'année 2008, la Clinique d intérêt public et de politique d Internet du Canada («CIPPIC») a déposé une plainte contre Facebook auprès du Commissariat à la protection de la vie privée du Canada (le «Commissariat»). Selon la plainte, le site web de réseautage social contrevenait à plusieurs dispositions et principes de la Loi sur la protection des renseignements personnels et les documents électroniques (la «Loi»). Le 16 juillet 2009, le Commissariat a publié ses conclusions relatives aux allégations de la CIPPIC qui portaient sur le principe fondamental du consentement éclairé prévu à la Loi. Le Commissariat a étudié 24 allégations. Pour les fins du présent article, nous examinerons trois aspects qui suscitent un intérêt particulier. D abord, le Commissariat a enquêté pour savoir si Facebook avait obtenu un consentement éclairé des utilisateurs en leur expliquant adéquatement le but pour lequel il recueillait, utilisait ou divulguait des renseignements personnels. Deuxièmement, le Commissariat a porté une attention toute particulière aux pratiques de Facebook relativement à la conservation des renseignements personnels de l utilisateur au moment de la désactivation ou de la suppression du compte. Finalement, la question des mesures de sécurité des renseignements personnels des utilisateurs à l'égard des applications de tiers a occupé également une partie importante de l enquête. 1. Renseignements personnels et la Loi La Loi a été adoptée en 1999 et est entrée en vigueur sur une période de plusieurs années jusqu en Elle s applique aux organismes du secteur privé au Canada exerçant des activités commerciales, à moins qu une province n ait adopté une loi essentiellement semblable, auquel cas la loi provinciale s appliquera en règle générale. À ce jour, seules les provinces du, de l Alberta et de la Colombie-Britannique ont adopté une législation semblable. De façon générale, la Loi a pour but de protéger les renseignements personnels d'un individu. Lorsqu un organisme privé tel Facebook recueille des renseignements personnels auprès d une personne, elle doit informer ladite personne des fins pour

2 Fasken Martineau DuMoulin S.E.N.C.R.L., s.r.l. 2 lesquelles ces renseignements sont recueillis et obtenir le consentement de celle-ci à une telle collecte et à tout usage approprié ou divulgation ultérieure de ces renseignements. De plus, la collecte de renseignements doit se limiter aux renseignements nécessaires pour réaliser les fins indiquées. Une fois les renseignements recueillis, ils ne peuvent être utilisés ni divulgués à aucune autre fin que celle pour laquelle ils ont été initialement recueillis, à moins d'obtenir le consentement de la personne. En vertu de la Loi, les renseignements personnels sont définis de façon générale comme étant «tout renseignement concernant un individu identifiable». Il n existe pas de liste exhaustive ou de catégorie de renseignements qui pourraient être considérés comme «identifiables». La norme utilisée en vertu de la législation canadienne sur les renseignements personnels repose plutôt sur le caractère raisonnable. En bref, les parties qui recueillent, utilisent ou divulguent des renseignements doivent se demander si les renseignements peuvent raisonnablement permettre d identifier une personne. Si la réponse est positive, dès lors les renseignements sont considérés comme des «renseignements personnels» et les parties doivent respecter les obligations prévues par la Loi. Dans le cas de Facebook, les utilisateurs sont tenus de fournir des renseignements personnels au moment de l inscription. Des renseignements personnels se retrouvent aussi dans le contenu qu ils ont créé ou téléchargé sur Facebook par leur utilisation du site web. 2. Comprendre Facebook Facebook est souvent décrit dans les médias comme un site de «réseautage social». L expérience de réseautage social commence lorsqu un visiteur s inscrit en créant un profil personnel pour lequel il fournit des renseignements personnels à Facebook. Le profil comprend au minimum les mêmes renseignements que ceux fournis au moment de l inscription, à savoir : le nom de la personne, son âge (qui peut être masqué en totalité ou en partie), son sexe et son adresse courriel. Toutefois, les profils sur Facebook peuvent contenir d autres renseignements portant, entre autres, sur la scolarité, le lieu de travail, les loisirs, les intérêts et plus encore. Ces renseignements constituent tous des exemples de renseignements personnels fournis par un utilisateur. L aspect «social» est la façon dont un profil interagit avec un autre. Les profils deviennent connectés lorsque les utilisateurs deviennent des «amis» sur Facebook; un processus aux termes duquel un utilisateur demande à l autre la permission de l ajouter à sa «liste d amis». Une fois qu un utilisateur a établi sa liste d amis, il recevra des mises à jour périodiques des activités de ses amis sur Facebook. Par exemple, si un ami accepte une invitation à un événement, cette information figurera dans les «Actualités» de l utilisateur. La somme des renseignements qui sont diffusés à des amis via cette application peut être limitée au moyen des paramètres de confidentialité. Le type de contenu qui peut être téléchargé sur Facebook se compose en règle générale de textes (sous forme de messages ou de renseignements de profil), de photos et de vidéos. Ce genre de renseignements est considéré constituer des «renseignements personnels» au sens de la Loi. Les utilisateurs conservent la propriété de tous les renseignements et du contenu qu ils affichent sur Facebook. Toutefois, comme condition de l utilisation du site, les utilisateurs doivent accorder à Facebook une licence mondiale, non-exclusive, cessible, pouvant donner lieu à l octroi de sous-licences et sans

3 Fasken Martineau DuMoulin S.E.N.C.R.L., s.r.l. 3 redevances lui permettant d utiliser le contenu de l utilisateur comme il le souhaite. Par exemple, avec cette licence, Facebook pourrait utiliser une photo de l utilisateur pour promouvoir la marque Facebook dans sa publicité ou permettre à un tiers d en faire autant. La licence est résiliée lorsque le contenu est retiré de Facebook ou lorsque le compte de l utilisateur est supprimé. Cette question n a pas été examinée par le Commissariat puisqu elle ne faisait pas partie de son mandat et des objectifs de l enquête du Commissariat. Elle n en demeure pas moins, à notre avis, une question très importante dont l utilisateur devrait être conscient au moment d accéder à Facebook. L aspect social de Facebook est beaucoup plus complexe que la description que l on pourrait en faire ici dans ces quelques lignes. Essentiellement, Facebook constitue un outil de communication. Les utilisateurs peuvent communiquer de façon active entre eux en s ajoutant mutuellement comme amis, en s envoyant des messages, etc. Les utilisateurs peuvent aussi communiquer de façon passive en permettant à Facebook de diffuser à leurs amis leurs activités sur le site web. 3. Publicités L accès à Facebook est gratuit pour tous les visiteurs et détenteurs de comptes. Plutôt que de procéder à la perception de frais d abonnement mensuels ou annuels auprès des utilisateurs, le modèle opérationnel de Facebook utilise la publicité comme principale source de revenus. Le Commissariat a conclu que la publicité est essentielle à la prestation des services de Facebook et que les utilisateurs Facebook doivent accepter de recevoir une certaine quantité de publicité en contrepartie de l'utilisation du site Web. Le système de publicité Facebook est composé de publicités sociales et de publicités Facebook. Les publicités sociales tiennent compte des interactions sociales sur Facebook, par exemple devenir «fan» d une page ou se joindre à un groupe. En faisant le suivi de ces interactions sociales, Facebook peut afficher des publicités sociales dans certaines sections stratégiques du site comme les Actualités. Par opposition, les publicités Facebook utilisent les profils démographiques enregistrés dans la base de données de Facebook et ciblent des mots clés ou données clés du profil des utilisateurs, notamment l âge. Les publicités Facebook apparaissent dans le même espace publicitaire sur toutes les pages du site Web. La CIPPIC alléguait que Facebook ne faisait pas d efforts raisonnables pour expliquer pourquoi et comment il utilisait les renseignements qui figurent dans le profil de l utilisateur dans son système de publicité, et qu il n obtenait pas le consentement approprié pour le faire. À la lumière de sa conclusion, selon laquelle l affichage de publicités sur le site Web était nécessaire pour préserver l accès gratuit à ce site, le Commissariat a recommandé que Facebook explique plus en détail son système de publicité. Une demande a aussi été formulée à Facebook visant à lui faire étoffer sa Politique de confidentialité. La recommandation devrait être respectée par Facebook, mais les utilisateurs doivent savoir que Facebook utilise les renseignements qui figurent dans leur profil ainsi que leurs habitudes en ligne à des fins de publicité ciblée, et qu'ils peuvent refuser de recevoir les publicités sociales mais pas les publicités Facebook. 4. Plateforme Facebook (Applications de tiers) La Plateforme Facebook permet au public, utilisateur ou non, de programmer ses propres applications (jeux, casse-têtes, etc.) pour une utilisation sur Facebook. À l heure actuelle,

4 Fasken Martineau DuMoulin S.E.N.C.R.L., s.r.l. 4 Facebook compte environ applications et plus d un million de développeurs à l échelle mondiale. N importe qui peut devenir un développeur de Plateforme Facebook en téléchargeant les fichiers de la Plateforme Facebook et en acceptant les «Conditions de service» (ou maintenant «la Déclaration des droits et responsabilités»). La Plateforme Facebook permet à un développeur d applications d interagir avec la base de données Facebook. La Plateforme Facebook constituait la plainte la plus importante de la CIPPIC. Selon les allégations de la CIPPIC à l égard de la Plateforme Facebook, Facebook ne divulguait pas adéquatement aux utilisateurs comment et pourquoi leurs renseignements personnels étaient recueillis et utilisés, puis divulgués à des tiers développeurs et utilisés par ceux-ci. De plus, le Commissariat a fait remarquer que les utilisateurs devaient fournir beaucoup plus de renseignements que ce qui était réellement nécessaire au fonctionnement d une application donnée. Facebook a constamment soutenu que la Plateforme Facebook incite les développeurs d application à se comporter de façon responsable étant donné que chaque fois qu un utilisateur utilise une application, et que l application se connecte avec la base de données Facebook, elle y est autorisée au moyen d une «clé» d accès individuel qui identifie le développeur d application. Un développeur d application obtient accès à l intégralité de la base de données Facebook en présentant cette clé à chaque consultation de la base de données Facebook. Ainsi, Facebook peut retracer quelle application et quel développeur accède aux renseignements personnels d'un utilisateur. Le Commissariat a conclu que même si cette pratique favorise effectivement un niveau modéré de responsabilité, il s agissait d une mesure insuffisante compte tenu du manque de supervision de la part de Facebook et de l absence de contraintes technologiques pour accéder aux renseignements personnels des utilisateurs. Le Commissariat a également conclu que Facebook avait fait défaut d obtenir le consentement valable des utilisateurs qui intègrent des applications de tiers à leur compte. Pour remédier à cette situation, le Commissariat a recommandé que Facebook utilise des moyens technologiques pour restreindre l accès des développeurs d application aux renseignements des utilisateurs qui ne sont pas essentiels au fonctionnement de l application. Ensuite, le Commissariat a proposé que les utilisateurs soient clairement informés des renseignements précis auxquels accède une application donnée, et que le consentement soit obtenu de chaque utilisateur quant à l accès à ces renseignements. Enfin, le Commissariat a recommandé fortement à Facebook d interdire la divulgation de renseignements concernant les amis des utilisateurs qui ajoutent une application. En date des présentes, Facebook n a pas encore accepté de mettre en œuvre les recommandations du Commissariat relativement à la divulgation de renseignements personnels par l intermédiaire de la Plateforme Facebook. En fait, Facebook s est vigoureusement objecté aux conclusions du Commissariat, faisant valoir que l exonération juridique de responsabilité qu il utilise est une clause type dans les contrats Web et que la structure de la Plateforme Facebook «permet l identification et le retrait d applications possiblement problématiques». 5. Désactivation et suppression d un compte Enfin, une autre allégation qui, selon le Commissariat, était bien fondée et demeure non résolue par Facebook, est la question de la désactivation et de la suppression d un compte.

5 Fasken Martineau DuMoulin S.E.N.C.R.L., s.r.l. 5 Lorsqu un utilisateur se lasse d utiliser Facebook, deux options s offrent à lui. Il peut décider de désactiver son compte, ce qui constitue une forme de suspension de compte initiée par l utilisateur, ou il peut demander la suppression permanente de son compte. Dans le cas d une désactivation, l utilisateur disparaît de Facebook, c est-à-dire qu il n apparaît plus sur les listes d amis, dans les résultats de recherche, et son profil n est plus accessible. Cependant, les renseignements qui figurent dans le compte de l utilisateur demeurent sur les serveurs de Facebook pour une période indéterminée. Facebook offre cette option à ceux qui pourraient souhaiter réactiver leur compte Facebook à un moment ultérieur sans avoir à reconstruire leur réseau social. La deuxième option est la suppression du compte et elle constitue le retrait permanent des renseignements personnels d un utilisateur du site, des serveurs et de la base de données. Cependant, Facebook prétend que cette option est plus compliquée et prend plus de temps tant pour l utilisateur que pour le personnel Facebook, et qu il est possible qu elle ne puisse être complétée avant plusieurs jours. En réponse aux conclusions du Commissariat, Facebook a accepté d ajouter de l information sur la suppression de comptes dans sa Politique de confidentialité. Cependant, jusqu à présent, elle a refusé d élaborer une politique de rétention selon laquelle les comptes des utilisateurs désactivés seraient supprimés après un délai raisonnable. Sans cette politique de rétention, il est possible que les renseignements personnels d un utilisateur désactivé demeurent sur les serveurs de Facebook pendant des années, voire même indéfiniment. 6. Incidence sur votre entreprise Même si Facebook et le réseautage social peut sembler très éloigné de votre entreprise, les commentaires, conclusions et recommandations du Commissariat constituent un rappel de la façon dont les entreprises doivent interpréter et appliquer les principes de la Loi. Au coeur de la saga de la protection des renseignements personnels sur Facebook se retrouvent les questions liées au consentement éclairé et à la restriction de la collecte des renseignements personnels à ce qui est «nécessaire». Les entreprises doivent savoir que les renseignements personnels qu elles recueillent, utilisent ou divulguent ne peuvent l être qu aux fins pour lesquelles une personne a donné son consentement et qu elles ne peuvent recueillir plus de renseignements que ceux qui sont nécessaires pour les fins mentionnées et pour lesquelles l'individu a donné son consentement. Le Commissariat réfère régulièrement à la norme «raisonnable», ce qui signifie essentiellement que les entreprises doivent déterminer si la cueillette, l utilisation ou la divulgation des renseignements personnels de leurs employés, clients et clients éventuels est raisonnable compte tenu des circonstances. En conséquence, il n existe pas de réponse universelle étant donné que chaque cas est un cas d espèce. Il est intéressant de souligner que Facebook a collaboré avec le Commissariat. En fait, le Commissariat a expressément remercié Facebook pour sa coopération et pour avoir répondu aux questions soulevées dans la plainte de la CIPPIC. Étant donné que la Loi est pionnière en matière de protection des renseignements personnels au monde, le fait de se conformer à celle-ci représente certainement une excellente occasion pour Facebook de démontrer à ses utilisateurs, de même qu aux autorités en matière de protection des renseignements personnels à travers le monde, qu elle s'engage à protéger les renseignements personnels.

6 Fasken Martineau DuMoulin S.E.N.C.R.L., s.r.l. 6 Les questions soulevées dans le présent article demeurent importantes et sont au coeur du modèle d affaire de réseautage social, autant pour Facebook que pour les autres sites de réseautage social à l échelle mondiale. Fasken Martineau sera heureuse de vous aider et d aider votre entreprise à démystifier les principes qui peuvent parfois paraître confus mais qui demeurent essentiels à la protection des renseignements personnels. Pour obtenir de plus amples renseignements sur la façon dont nous pourrions vous aider, veuillez consulter notre site Web à l adresse Les auteurs souhaitent remercier l étudiant en droit Constantinos Ragas pour son travail exceptionnel dans le cadre de la préparation de cet article.

7 Fasken Martineau DuMoulin S.E.N.C.R.L., s.r.l. 7 Points de contact à ce sujet dans nos groupes de pratique Protection de l information et de la vie privée Lorene A. Novakowski lnovakowski@fasken.com Jeffrey A. Kaufman jkaufman@fasken.com Antoine Aylwin aaylwin@fasken.com Lyne Duhaime lduhaime@fasken.com Norman K. Trerise ntrerise@fasken.com Alex Cameron jkaufman@fasken.com John P. Beardwood jbeardwood@fasken.com Julie Cuddihy jcuddihy@fasken.com Karl Delwaide kdelwaide@fasken.com Jasmin Marcotte jmarcotte@fasken.com Claude Dallaire cdallaire@fasken.com Technologie de l information et propriété intellectuelle Keith E. Spencer kspencer@fasken.com John P. Beardwood jbeardwood@fasken.com Stéphane Gilker sgilker@fasken.com Jean-Philippe Mikus jpmikus@fasken.com Bruce Tattrie btattrie@fasken.com Gary Ott gott@fasken.com C. Ian Kyer ikyer@fasken.com Lisa K. Abe labe@fasken.com Jean-Nicolas Delage jndelage@fasken.com Nicolas Faucher nfaucher@fasken.com Sébastien Roy nfaucher@fasken.com Charles Lupien clupien@fasken.com Les textes inclus dans ce recueil ont pour but de fournir des commentaires généraux sur la protection de l information et de la vie privée. Les textes reflètent le point de vue de chacun des auteurs et ne constituent pas des opinions exprimées au nom de Fasken Martineau DuMoulin S.E.N.C.R.L., s.r.l. ou toute société membre. Ces textes n ont pas pour but de fournir des conseils juridiques. Les lecteurs ne devraient pas prendre des mesures sur la foi des renseignements sans prendre conseil à l égard des questions spécifiques qui les concernent. Il nous fera plaisir de fournir, sur demande, des détails supplémentaires Fasken Martineau DuMoulin S.E.N.C.R.L., s.r.l vancouver@fasken.com Calgary calgary@fasken.com toronto@fasken.com Ottawa ottawa@fasken.com montreal@fasken.co quebec@fasken.com Londres london@fasken.co.uk Johannesburg johannesburg@fasken.com