Projet de position du Commissariat sur la réputation en ligne

Sommaire

Lorsque le Commissariat à la protection de la vie privée du Canada a fait de la réputation et de la protection de la vie privée l’une de ses priorités stratégiques liées à la vie privée pour 2015-2020, il s’est fixé un objectif :

Aider à créer un environnement en ligne où les gens peuvent se servir d’Internet pour explorer leurs intérêts et se développer comme personnes sans craindre que leur trace numérique n’entraîne un traitement injuste.

Dans la poursuite de cet objectif, le Commissariat lancé une consultation et sollicité des mémoires sur la réputation en ligne. À la lumière des 28 mémoires reçus et de sa propre analyse, il a publié un projet de position sur la réputation en ligne qui préconise des solutions permettant de trouver un équilibre entre la liberté d’expression et les intérêts des personnes en matière de protection de la vie privée.

Des intervenants et la population canadienne nous ont dit que, tout en reconnaissant les avantages personnels et professionnels de la participation au monde en ligne, ils sont de plus en plus préoccupés par leur réputation en ligne. Dans des groupes de discussion, les Canadiens ont déploré l’absence de mécanismes de contrôle pour se protéger contre les risques d’atteinte à leur réputation en ligne. En outre, plusieurs intervenants ont signalé l’importance de respecter la liberté d’expression.

Le développement des réputations en ligne est compliqué. En effet, dans l’environnement numérique, les gens portent généralement des jugements en se fondant sur les renseignements qu’ils lisent au sujet d’autres personnes, ou sur les images qu’ils voient, souvent sans bénéficier d’un contact personnel et pas nécessairement dans le contexte prévu.

En outre, une fois affichés en ligne, les renseignements acquièrent des caractéristiques qui nuisent à la réputation – ils peuvent facilement être déformés,  persistent longtemps après leur création et sont parfois très difficiles à effacer.

Solutions

Il est clair que les Canadiens ont besoin de meilleurs outils pour les aider à protéger leur réputation en ligne.

Le projet de position du Commissariat met en évidence les mesures de protection prévues par la loi fédérale sur la protection des renseignements personnels dans le secteur privé au Canada, indique des changements législatifs éventuels et propose d’autres solutions à examiner.

Ces mesures comprennent le droit de demander aux moteurs de recherche le déréférencement de pages Web qui renferment des renseignements inexacts, incomplets ou périmés; l’effacement ou la modification de renseignements à la source; ainsi que l’éducation pour aider les Canadiens à devenir des cybercitoyens responsables et bien informés.

Déréférencement et effacement à la source

Le rapport fait état de deux mécanismes clés –  qui découlent de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) – pour améliorer le contrôle exercé par les individus sur leur réputation en ligne, soit le déréférencement et l’effacement à la source.

Le déréférencement est le processus par lequel une page Web, une image ou une autre ressource en ligne est supprimée des résultats présentés par un moteur de recherche lorsque l’utilisateur a entré le nom d’une personne comme terme de recherche. L’effacement à la source consiste à supprimer le contenu sur Internet.

En ce qui a trait au déréférencement, le Commissariat estime que la LPRPDE s’applique au référencement du contenu en ligne et à l’affichage des résultats de recherche par les moteurs de recherche. Par conséquent, les moteurs de recherche sont tenus de respecter les obligations leur incombant en vertu de la Loi.

Ils doivent notamment permettre aux individus de contester  le caractère exact, à jour et complet des résultats d’une recherche lancée au moyen de leur nom. Il faudrait évaluer ces contestations au cas par cas et décider s’il y a lieu de supprimer des liens en prenant en compte le droit à la liberté d’expression et l’intérêt public au regard de l’accessibilité des renseignements en question. On trouvera dans le rapport des détails, des critères et des analyses supplémentaires.

Si une personne conteste avec succès les résultats d’une recherche pour un motif susmentionné, il faudrait les déréférencer. Toutefois, dans certaines situations, des solutions de remplacement – par exemple rétrograder un résultat dans le classement ou signaler qu’il est inexact ou incomplet – pourraient être suffisantes.

Pour ce qui est de l’effacement à la source, la LPRPDE accorde aux individus le droit de retirer leur consentement et exige que les renseignements personnels dont on n’a plus besoin soient détruits, effacés ou dépersonnalisés. Conjointement, ces deux principes supposent qu’une personne devrait pouvoir effacer les renseignements qu’elle a elle-même affichés en ligne.

Lorsque les renseignements personnels en question ont été affichés par d’autres, l’intéressé n’a pas un droit absolu de les retirer. Néanmoins, tout comme dans le cas du déréférencement, il devrait pouvoir utiliser un mécanisme permettant de contester  le caractère exact, à jour et complet des renseignements et, lorsqu’il est établi que la contestation est justifiée, on devrait pouvoir les faire corriger, effacer ou étoffer comme il se doit.

Dans les deux cas de figure susmentionnés, s’il est impossible de régler un problème avec un site Web ou un moteur de recherche, les individus peuvent déposer une plainte officielle auprès du Commissariat.

Dans l’ensemble, le pouvoir de demander le déréférencement de résultats de recherche ou l’effacement de renseignements à la source est, dans certaines situations, similaire au « droit à l’effacement (‘‘droit à l’oubli’’) » prévu par le Règlement général sur la protection des données (RGPD) de l’Union européenne. Toutefois, le rapport ne constitue pas l’adoption au Canada d’un cadre européen. Il s’agit plutôt d’une interprétation des lois canadiennes actuelles et des recours qu’elles prévoient concernant la réputation en ligne.

Il est important de prendre des mesures en ce qui a trait au déréférencement – étant donné qu’il y a un risque d’atteinte à la réputation et que les solutions proposées par le Commissariat sont, à son avis, équilibrées et réalisables. Toutefois, le rapport recommande aussi que le Parlement examine cet enjeu. Les élus devraient confirmer le juste équilibre entre la protection de la vie privée et la liberté d’expression dans notre société démocratique.

Éducation

Le rapport souligne aussi l’importance de l’éducation dans le domaine de la protection de la vie privée.

C’est pourquoi le Commissariat et les organismes provinciaux et territoriaux analogues ont envoyé au Conseil des ministres de l’Éducation (Canada) une lettre conjointe demandant que la protection de la vie privée soit intégrée aux programmes d’éducation visant à acquérir des connaissances numériques.

Un programme d’éducation axé sur les droits permettra de former de bons cybercitoyens possédant les connaissances techniques voulues pour se protéger et comprenant bien comment se comporter de façon responsable en ligne et pourquoi c’est important.

Il est important de sensibiliser les jeunes – et en fait tous les Canadiens – à l’utilisation des mécanismes à leur disposition pour exercer un contrôle sur leur réputation, par exemple les procédures d’effacement, les paramètres de confidentialité et les technologies nouvelles améliorant la protection de la vie privée. Il l’est tout autant d’insister sur le fait que les individus doivent réfléchir aux répercussions éventuelles de leurs actions sur les autres.

Le Commissariat, en collaboration avec d’autres intervenants, continuera de créer des ressources qui aideront à informer les gens des risques d’atteinte à la réputation et des mesures de protection de la vie privée.

Autres propositions

Outre le déréférencement, l’effacement à la source et l’éducation, le rapport présente plusieurs mécanismes et propositions visant à améliorer le contrôle exercé par les individus sur leur réputation en ligne :

• Le Parlement devrait envisager d’enchâsser dans la loi le droit quasi absolu des jeunes d’obtenir l’effacement de renseignements qu’ils ont eux-mêmes affichés en ligne ou fournis à une organisation afin qu’elle les affiche.
• Le Parlement devrait envisager de permettre aux jeunes, lorsqu’ils atteignent l’âge de la majorité, de demander et d’obtenir l’effacement de renseignements à leur sujet affichés en ligne par leurs parents ou tuteurs.
• Le Commissariat s’est engagé à prendre des mesures proactives pour régler les problèmes systémiques ou sectoriels touchant la réputation en ligne, par exemple lorsqu’il s’agit de groupes vulnérables.
• Le Commissariat s’est aussi engagé à encourager la recherche portant sur de nouvelles solutions en matière de protection des renseignements en ligne ainsi que l’élaboration et l’adoption de ces solutions, notamment dans le cadre de son Programme des contributions.
• Il faudrait élaborer un code de pratique à l’échelle de l’industrie concernant les politiques d’effacement des renseignements, les paramètres par défaut et les procédures de protection de la vie privée.

Prochaines étapes

Après avoir sollicité les commentaires des intervenants sur les propositions énoncées dans son projet de position, le Commissariat définira sa position définitive et élaborera un plan d’action pour mettre en pratique les nouvelles mesures. Nous vous invitons à prendre connaissance de la version intégrale de notre exposé de position sur la réputation en ligne ci-après.

Introduction

En janvier 2016, le Commissariat à la protection de la vie privée du Canada a lancé, sur les bases d’un document de travail, une consultation et un appel de mémoires portant sur la réputation en ligne.

Dans le cadre de cette consultation, le Commissariat sollicitait des opinions et des commentaires concernant des façons nouvelles et novatrices de protéger la vie privée et la réputation, l’une de ses priorités stratégiques en matière de protection de la vie privée. L’objectif était d’enrichir le débat public et de faire en sorte que le Commissariat soit mieux placé pour informer le Parlement de diverses solutions visant à régler les problèmes liés à la réputation en ligne et de définir une position de principe concernant cet enjeu.

Nous avons reçus 28 mémoires de divers intervenants. Nous avons examiné cette rétroaction à la lumière de notre analyse et de notre expérience pour renforcer notre position et formuler nos recommandations en matière de protection de la vie privée et de réputation en ligne. Entre autres, nous exprimons notre point de vue sur les mesures de protection qui découlent de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), loi fédérale sur la protection des renseignements personnels dans le secteur privé au Canada, sur les modifications législatives (se rapportant à la LPRPDE ou à la législation canadienne en général) que l’on pourrait ou devrait envisager pour améliorer la situation actuelle ainsi que sur les autres solutions que l’on devrait promouvoir dans le domaine.

Objectif

Lorsque le Commissariat a fait de la réputation et de la protection de la vie privée l’une de ses priorités stratégiques liées à la vie privée pour 2015-2020, il s’est fixé un objectif :

Aider à créer un environnement en ligne où les gens peuvent se servir d’Internet pour explorer leurs intérêts et se développer comme personnes sans craindre que leur trace numérique n’entraîne un traitement injuste.

Notre consultation a, à tout le moins, validé l’importance de cet objectif. Les auteurs de nombreux mémoires ont souligné la légitimité de permettre aux individus d’exercer un certain contrôle sur leur réputation en ligne. Les aspects sur lesquels les idées variaient – et sur lesquels le présent document met l’accent – sont la mesure dans laquelle les personnes devraient être autorisées à exercer un contrôle sur leur réputation en ligne compte tenu d’autres intérêts importants établis dans la législation en vigueur ainsi que les mécanismes leur permettant de le faire.

Considérations sur la liberté d’expression et équilibre avec les intérêts en matière de protection de la vie privée

L’interaction qui existe entre la protection de la vie privée et d’autres valeurs sociétales, comme la liberté d’expression, a présenté un intérêt particulier pour les auteurs de mémoires et pour le Commissariat dans leur évaluation des mécanismes de contrôle de la réputation. Par exemple, les défenseurs de la vie privée font valoir que les individus devraient pouvoir exercer un contrôle sur la présence ou l’accessibilité de leurs renseignements personnels, mais il existe dans certains cas un intérêt opposé à s’assurer que ces renseignements demeurent largement accessibles. Il est donc nécessaire – et il s’agit de l’un des principaux objectifs du présent document – de déterminer comment trouver un juste équilibre entre les intérêts des individus en matière de protection de la vie privée et d’autres valeurs pertinentes, dont la liberté d’expression.

En règle générale, la liberté d’expression protégée par l’alinéa 2b) de la Charte canadienne des droits et libertés a une grande portée et englobe toute activité qui « transmet ou tente de transmettre une signification » à l’exception de la violence^{Note de bas de page 1}. La Cour suprême du Canada a toujours soutenu que le concept de liberté d’expression doit recevoir une « interprétation large et libérale »^{Note de bas de page 2} et elle a conclu que la liberté d’expression protège autant celui qui s’exprime que celui qui écoute, en particulier le droit des individus de recevoir des renseignements d’intérêt public et d’y avoir accès^{Note de bas de page 3}.

La Cour suprême a également noté que si grande que soit la liberté d’expression, elle n’est pas absolue^{Note de bas de page 4}. Le défi consiste donc à envisager des mesures assurant un juste équilibre entre, d’une part, la protection de la vie privée d’un individu et ses intérêts sur le plan de sa réputation et, d’autre part, les valeurs tout aussi importantes protégées par la liberté d’expression^{Note de bas de page 5}.

La Cour suprême a déterminé trois valeurs qui sont à la base de la liberté d’expression, soit l’épanouissement individuel, la recherche de la vérité et la promotion du discours démocratique. Signalons que la protection de la réputation peut faire progresser ces mêmes intérêts. Par exemple, il est possible que les personnes dont la réputation est indûment ternie ne soient pas en mesure de participer pleinement au discours public. Il se peut qu’on les ignore, qu’on ne les croie pas ou encore que leur contribution au « creuset d’idées » soit jugée en fonction de leur réputation plutôt que de son contenu.

Dans la décision Hill c. Église de scientologie^{Note de bas de page 6}, la Cour suprême a déclaré :

[L]a plupart des gens tiennent plus que tout à leur bonne réputation, qui se rattache étroitement à la valeur et à la dignité innées de la personne. Elle est un attribut qui doit, au même titre que la liberté d’expression, être protégé par les lois de la société.

Les démocraties ont toujours reconnu et révéré l’importance fondamentale de la personne. Cette importance doit, à son tour, reposer sur la bonne réputation. Cette bonne réputation […] rehausse le sens de valeur et de dignité d’une personne […]. Une société démocratique a donc intérêt à s’assurer que ses membres puissent jouir d’une bonne réputation et la protéger aussi longtemps qu’ils en sont dignes.

De même, dans Grant c. Torstar Corp.^{Note de bas de page 7}, la Cour conclut :

Cela tient à ce que la réputation du demandeur peut mériter d’être protégée tout autant que l’épanouissement personnel passant par l’expression exempte d’entraves. […] Les principes de la Charte n’autorisent personne à ternir la réputation d’autrui pour le simple assouvissement du désir atavique de s’exprimer.

Bien que les deux déclarations ci-dessus figurent dans des jugements portant sur la diffamation, on peut faire valoir l’argument pour des mesures qui protègent la réputation de façon plus générale – notamment les lois sur la protection de la vie privée.

Compte tenu de ce qui précède, nous avons cherché à éviter (pour paraphraser un mémoire) de « fétichiser » le « droit » d’un individu à gérer sa réputation ou d’autres valeurs telles que la liberté d’expression. Nous nous sommes plutôt attachés à définir une position qui respecte à la fois la liberté d’expression et les intérêts en matière de vie privée.

À notre avis, le meilleur moyen d’atteindre cet équilibre dans le contexte de la réputation en ligne consiste à déterminer si l’accessibilité des renseignements personnels est dans l’intérêt public. En général, lorsque leur accessibilité est suffisamment d’intérêt public, elle l’emportera d’ordinaire sur le souhait d’une personne de contrôler l’accès à ses renseignements personnels publiés légitimement en ligne. La Cour suprême du Canada a proposé la définition suivante de la notion d’« intérêt public » dans le contexte de la législation régissant la diffamation :

Pour être d’intérêt public, une question « doit être soit de celles qui éveillent l’attention publique de façon démontrable ou qui préoccupent sensiblement le public, ou une partie de la population, parce qu’elles concernent le bien-être de citoyens, soit de celles qui jouissent d’une notoriété publique considérable ou qui ont créé une controverse importante ». […] L’intérêt public peut découler de la notoriété de la personne mentionnée, mais la simple curiosité ou l’intérêt malsain sont insuffisants. Il faut que certains segments de la population aient un intérêt véritable à être au courant du sujet du matériel diffusé^{Note de bas de page 8}.

Dans cette optique, le reste du présent document explore les mécanismes suivants, qui permettent d’améliorer le contrôle exercé sur la réputation en ligne d’un individu :

1. Déréférencement des résultats de recherche
2. Modification ou effacement de renseignements à la source
3. Le cas particulier des jeunes
4. Amélioration des pratiques des sites
5. Amélioration de l’éducation
6. Promotion de recherches supplémentaires;
7. Solutions législatives

A. Déréférencement

Le « déréférencement » est peut-être le moyen le plus fréquemment évoqué pour améliorer le contrôle exercé par les individus sur leur réputation en ligne. Il s’agit d’un processus par lequel une page Web, une image ou une autre ressource en ligne est supprimée des résultats présentés par un moteur de recherche lorsque l’utilisateur a entré le nom d’une personne comme terme de recherche^{Note de bas de page 9}. Il est important de noter que le déréférencement n’efface pas le contenu même de l’Internet et qu’il n’empêche pas de le trouver en utilisant d’autres termes de recherche ou en naviguant sur un site Web (c’est pourquoi nous utilisons « déréférencement » plutôt qu’« effacement » lorsqu’il est question de l’information soustraite aux résultats de recherche). Cette méthode permet tout de même d’éviter que le contenu soit associé de façon bien évidente au nom d’une personne dans les résultats de recherche. Ainsi, le déréférencement peut avoir une incidence importante sur la réputation et le droit à la vie privée d’une personne.

Comme il est mentionné dans notre résumé des mémoires, la majorité des auteurs estiment que les paramètres du droit de demander un déréférencement au sein de l’Union européenne peuvent poser problème. Toutefois, certains ont fait valoir que les principes de protection de la vie privée qui sous-tendent le déréférencement sont conformes aux lois canadiennes. Le fait de permettre à une personne d’exercer un certain contrôle sur ses renseignements personnels diffusés sur Internet (en particulier lorsqu’il y a un risque de préjudice ou que les renseignements en question ne sont pas d’intérêt public) repose sur des valeurs fondamentales telles que la vie privée, la dignité et l’autonomie^{Note de bas de page 10}. Cette mesure de contrôle peut aider les individus à [traduction] « se détacher des événements passés »^{Note de bas de page 11} et réduit le potentiel d’autocensure des actions et des propos. La mise en œuvre de ce type de contrôle au moyen du déréférencement peut permettre d’atteindre un juste équilibre entre la vie privée et la liberté d’expression (en particulier si on compare cette approche avec la prévention de la possibilité de s’exprimer ou l’effacement total des propos exprimés).

Dans l’analyse qui suit, nous ne cherchons pas à établir un nouveau droit ou une nouvelle capacité de demander le déréférencement des résultats de recherche. Nous souhaitons plutôt déterminer si les lois canadiennes actuelles prévoient ce type de mesure. À cette fin, il nous faut répondre à deux questions :

• La LPRPDE s’applique-t-elle au référencement du contenu en ligne et à l’affichage des résultats de recherche par les moteurs de recherche?
• Dans l’affirmative, dans quelles circonstances, le cas échéant, la LPRPDE exige-t-elle que les moteurs de recherche suppriment des liens dans les résultats d’une recherche lancée à partir du nom d’une personne?

i) Les moteurs de recherche et la LPRPDE

Tout d’abord, nous devons préciser que l’analyse qui suit se rapporte uniquement à la fonction des moteurs de recherche consistant à référencer le contenu Web et à générer ainsi des résultats de recherche. De nombreuses organisations qui utilisent des moteurs de recherche de premier plan (Google, Microsoft, Yahoo, etc.) ont également d’autres secteurs d’activité auxquels la LPRPDE peut s’appliquer ou non. Le présent document n’en fait pas état.

Concernant l’application de la LPRPDE aux moteurs de recherche, notons qu’en vertu de l’alinéa 4(1)a) la Loi s’applique à « toute organisation à l’égard des renseignements personnels […] qu’elle recueille, utilise ou communique dans le cadre d’activités commerciales ».

À notre avis, lorsque les moteurs de recherche référencent des pages Web renfermant des renseignements personnels et affichent des liens menant à ces pages dans les résultats de recherche, ils recueillent, utilisent et communiquent des renseignements personnels au sens de la LPRPDE. Lorsqu’un utilisateur cherche de l’information sur une personne en utilisant son nom, les moteurs de recherche peuvent créer un profil détaillé de tous les renseignements pertinents concernant cette personne et présenter cette information à l’utilisateur. Les moteurs de recherche eux mêmes reconnaissent que leurs activités peuvent faire appel à des renseignements personnels et ils disposent de politiques prévoyant que certains types de renseignements personnels, comme les numéros d’assurance sociale, ne peuvent pas figurer dans les résultats de recherche.

La plupart des moteurs de recherche sont gratuits, mais ils affichent des publicités à côté des résultats de recherche. Les moteurs de recherche ne pourraient vendre cet espace publicitaire si ce n’était du service de recherche qu’ils offrent. Ces deux fonctions ont été qualifiées d’« inextricablement liées »^{Note de bas de page 12}. Ainsi, il semble y avoir peu de doute que les moteurs de recherche recueillent, utilisent et communiquent des renseignements personnels « dans le cadre d’activités commerciales ».

Certains soutiennent que les moteurs de recherche sont néanmoins exemptés de la LPRPDE parce qu’ils ont une fonction journalistique ou littéraire^{Note de bas de page 13}. Cependant, les moteurs de recherche ne font pas la distinction entre le contenu journalistique ou littéraire. Ils présentent du contenu dans les résultats de recherche, peu importe qu’il soit de nature journalistique ou littéraire. Nous ne sommes donc pas convaincus que les moteurs de recherche agissent à des fins « journalistiques » ou « littéraires » ou du moins pas exclusivement à ces fins comme l’exige l’alinéa 4(2)c).

Certains ont également souligné que la façon dont certaines exigences de la LPRPDE peuvent raisonnablement s’appliquer à un moteur de recherche n’est pas claire. Par exemple, comme nous l’avons indiqué dans le rapport sur le consentement du Commissariat^{Note de bas de page 14}, il peut être impossible pour un intermédiaire comme un moteur de recherche d’obtenir le consentement pour référencer toutes les pages Web renfermant des renseignements personnels. Dans notre rapport sur le consentement, nous avons recommandé au Parlement d’envisager de nouvelles exceptions à l’obligation d’obtenir le consentement – des exceptions bien structurées – pour permettre de régler des situations telles que les activités de référencement des moteurs de recherche, lorsqu’il pourrait être impossible d’obtenir le consentement ou qu’un consentement implicite serait déformé au point de perdre tout son sens. Nous continuons de croire que cette clarification serait souhaitable.

Entre-temps, nous sommes d’avis que le champ d’application de la LPRPDE englobe le référencement des pages Web et l’affichage des résultats par les moteurs de recherche. Nous devons donc appliquer de notre mieux la loi sous sa forme actuelle. Examinons maintenant les obligations qui incombent à un moteur de recherche en vertu de la Loi.

ii) Que font réellement les moteurs de recherche?

Pour l’analyse qui suit, il est important de définir clairement le rôle des moteurs de recherche. Les résultats de recherche ne servent pas à fournir simplement et indistinctement des liens menant à tout le contenu Web associé à une interrogation de recherche. Ils sont plutôt destinés à fournir à l’utilisateur les renseignements qui, selon eux, sont les plus pertinents pour sa recherche.

Par exemple, signalons les points suivants :

• Les résultats de recherche diffèrent souvent d’un utilisateur à l’autre en fonction de ce qui est considéré comme « le plus pertinent » pour lui (résultats personnalisés).
• Les sites Web jugés « de piètre qualité » figurent rarement en premier dans les résultats de recherche ou ils n’y figurent tout simplement pas.
• Les moteurs de recherche s’efforcent de détecter les « fausses » nouvelles, de supprimer les suggestions de recherche diffamatoires, etc^{Note de bas de page 15}.

Autrement dit, les moteurs de recherche ne servent pas à créer simplement un index de toute l’information accessible en ligne. Ils cherchent plutôt à [traduction] « fournir aux utilisateurs de l’information pertinente provenant des sources accessibles les plus fiables^{Note de bas de page 16} ».

Ainsi, en ce qui concerne les recherches lancées au moyen du nom d’une personne, les moteurs de recherche utilisent les renseignements personnels (et non personnels) pour créer un profil dynamique de ce qu’ils considèrent comme l’information la plus « pertinente » accessible en ligne pour cette personne en particulier^{Note de bas de page 17}.

iii) Obligations imposées aux moteurs de recherche en vertu de la LPRPDE

Les organisations assujetties à la LPRPDE sont tenues de respecter toutes les obligations prévues dans la Loi. Néanmoins, dans le contexte du déréférencement par les moteurs de recherche, les deux principales dispositions de la LPRPDE sont le principe 4.6 de l’annexe 1 (et les dispositions connexes, comme les principes 4.9.5 et 4.10) et le paragraphe 5(3). Voyons comment chacune de ces dispositions s’applique aux activités des moteurs de recherche.

Principe 4.6 – Exactitude (et dispositions connexes)

Le principe de la LPRPDE qui évoque le plus directement le droit au déréférencement est le principe 4.6 (et ses dispositions connexes sous 4.9 et 4.10), lequel énonce les dispositions suivantes régissant l’exactitude des renseignements personnels :

4.6 : Les renseignements personnels doivent être aussi exacts, complets et à jour que l’exigent les fins auxquelles ils sont destinés.

4.6.1 : Le degré d’exactitude et de mise à jour ainsi que le caractère complet des renseignements personnels dépendront de l’usage auquel ils sont destinés, compte tenu des intérêts de la personne. Les renseignements doivent être suffisamment exacts, complets et à jour pour réduire au minimum la possibilité que des renseignements inappropriés soient utilisés pour prendre une décision à son sujet.

4.9 : Il sera aussi possible de contester l’exactitude et l’intégralité [de ses] renseignements et d’y faire apporter les corrections appropriées.

4.9.5 : Lorsqu’une personne démontre que des renseignements personnels sont inexacts ou incomplets, l’organisation doit apporter les modifications nécessaires à ces renseignements. Selon la nature des renseignements qui font l’objet de la contestation, l’organisation doit corriger, supprimer ou ajouter des renseignements.

4.10 : Toute personne doit être en mesure de se plaindre du non-respect des principes énoncés ci dessus en communiquant avec la ou les personnes responsables de les faire respecter au sein de l’organisation concernée.

Les moteurs de recherche – à l’instar de toute organisation assujettie à la LPRPDE – doivent respecter les obligations leur incombant en vertu de la Loi. Comme il a été établi précédemment, « l’utilisation » que font les moteurs de recherche des renseignements personnels figurant dans les résultats d’une recherche sur une personne consiste à créer un profil composé des renseignements accessibles en ligne les plus pertinents correspondant à son nom, soit un profil qui renferme ses renseignements personnels. Les moteurs de recherche devraient donc réagir aux contestations selon lesquelles le profil, présenté sous forme de résultats de recherche, n’est pas exact, complet ou à jour.

Si une personne conteste avec succès le degré d’exactitude et de mise à jour et le caractère complet des résultats d’une recherche lancée au moyen de son nom (par exemple parce que des renseignements figurant dans un ou plusieurs résultats affichés ne sont manifestement pas exacts, complets ou à jour), conformément au principe 4.9.5, ces résultats doivent alors être modifiés en conséquence. Le moyen le plus évident d’apporter ce type de modification consiste à déréférencer tout résultat inapproprié et à supprimer le lien. Toutefois, dans certaines situations, d’autres solutions (comme rétrograder un résultat dans le classement ou signaler qu’il est inexact ou incomplet) peuvent également être appropriées.

Il sera néanmoins important de déterminer si la contestation est valide à la lumière du principe 4.6.1, selon lequel le degré d’exactitude et de mise à jour ainsi que le caractère complet des renseignements dépendront de l’usage auxquels ils sont destinés compte tenu des intérêts de la personne. Par exemple, il est possible qu’un seul énoncé inexact ou l’omission d’un seul fait dans une page Web par ailleurs totalement exacte ne justifie pas le déréférencement de la page, en particulier lorsque l’inexactitude ou l’omission n’a pas d’incidence importante sur les intérêts personnels. Ce critère doit être examiné au cas par cas et devrait tenir compte de l’intérêt public de l’accessibilité des renseignements.

5(3) – Fins acceptables

Le paragraphe 5(3) de la LPRPDE prévoit :

L’organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu’à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances.

Ce paragraphe prévoit « une exigence primordiale »^{Note de bas de page 18} qui s’ajoute aux autres obligations incombant à une organisation de s’assurer qu’elle recueille, utilise et communique des renseignements personnels uniquement à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances.

De manière générale, nous considérons que les moteurs de recherche utilisent les renseignements personnels à des fins acceptables lorsqu’ils référencent des pages Web renfermant des renseignements personnels et les présentent dans les résultats d’une recherche lancée au moyen du nom d’une personne. En effet, il est difficile d’imaginer que l’on puisse naviguer dans la multitude de données en ligne sans utiliser des moteurs de recherche^{Note de bas de page 19}. Cela dit, il existe à notre avis plusieurs circonstances limitées dans lesquelles une personne raisonnable estimerait inacceptable qu’un contenu particulier renfermant des renseignements personnels soit considéré par un moteur de recherche comme étant « pertinent » pour la recherche lancée au moyen du nom d’une personne et qu’il occupe par conséquent une place prépondérante dans les résultats de recherche. Mentionnons entre autres les circonstances suivantes :

• Lorsque ce contenu est illégal ou illicitement publié (par exemple lorsqu’il contrevient à une interdiction de publication, qu’il est diffamatoire ou qu’il viole les droits d’auteur)^{Note de bas de page 20};
• Lorsque l’accessibilité aux renseignements peut causer un préjudice grave^{Note de bas de page 21} à l’individu et que l’affichage du résultat de la recherche n’est pas d’intérêt public ou que le préjudice, compte tenu de son ampleur et de sa probabilité, l’emporte sur tout intérêt public.

À cet égard, nous considérons qu’un moteur de recherche, une fois informé de l’une des circonstances ci dessus par la personne dont les renseignements personnels sont en cause, devrait être tenu de supprimer des résultats d’une recherche lancée au moyen du nom de l’intéressé, les liens menant au contenu en question. Les situations mentionnées ne représentent pas nécessairement une liste exhaustive de toutes les circonstances applicables, car il peut y en avoir d’autres qui émergent ou évoluent avec le temps.

D’après nous, cette approche assure un juste équilibre avec la liberté d’expression, tout en ayant une incidence très positive sur le droit des personnes à la vie privée. En particulier, nous notons que, dans ces scénarios, les actions exécutées par le moteur de recherche n’effacent pas le contenu sous-jacent et ne réduisent pas son accessibilité pour les autres termes de recherche. Seul le lien entre le contenu en question et le nom de la personne est supprimé dans les résultats de recherche. Dans les situations susmentionnées, nous considérons que les effets bénéfiques sur la vie privée et la dignité de la personne liés à la suppression des liens dans les résultats de recherche l’emportent manifestement sur les effets préjudiciables limités sur l’accès à l’information.

Facteurs pertinents pour évaluer l’intérêt public

Nous avons affirmé que l’intérêt public du maintien de l’accessibilité de l’information est un facteur à prendre en compte dans l’évaluation des demandes de déréférencement en vertu du paragraphe 5(3) ou du principe 4.6. À notre avis, plusieurs facteurs pourraient être pertinents pour déterminer s’il est d’intérêt public que les renseignements demeurent accessibles dans le contexte d’une demande de déréférencement, par exemple :

• si la personne concernée est une personnalité publique (p. ex. le titulaire d’une charge publique, un politicien ou un homme d’affaires bien en vue);
• si les renseignements en jeu ont trait à une question faisant l’objet d’une controverse ou d’un débat public;
• si les renseignements se rapportent à la vie privée d’une personne par opposition, par exemple, à sa vie professionnelle ou active;
• si les renseignements concernent une infraction criminelle pour laquelle l’individu a obtenu une absolution, une réhabilitation ou une suspension de son casier judiciaire;
• si les renseignements concernent un mineur (voir la section sur la jeunesse ci-après).

En ce qui a trait aux deux premiers facteurs, ils semblent indiquer un intérêt public à ce que les renseignements demeurent accessibles; en revanche, ce pourrait être le contraire pour les trois derniers. Bien entendu, cette liste n’est pas exhaustive. D’autres circonstances peuvent être pertinentes dans un cas particulier. Il est possible que les facteurs susmentionnés ne soient pas tous pertinents dans une situation donnée. En fin de compte, le plus important c’est de savoir si le public a un intérêt légitime à accéder à l’information en question.

Enfin, soulignons que l’évaluation doit se faire dans le contexte particulier d’une demande de déréférencement. Autrement dit, il s’agit de savoir non pas si les renseignements sous-jacents servent l’intérêt public dans l’absolu, mais plutôt s’il est dans l’intérêt public que ces renseignements demeurent constamment accessibles dans les résultats d’une recherche lancée au moyen du nom d’une personne.

iv) Critiques à l’égard du déréférencement

À la lumière de l’analyse précédente des obligations qui incombent aux moteurs de recherche en vertu de la LPRPDE, nous estimons que, selon la loi actuelle, les personnes devraient pouvoir demander le déréférencement des résultats de recherche et il faudrait dans certaines circonstances faire droit à ces demandes. À notre avis, notre interprétation de loi permet de trouver un juste équilibre entre les intérêts des individus en matière de protection de la vie privée et le droit à la liberté d’expression. Nous reconnaissons cependant que plusieurs mémoires reçus pendant notre consultation soulèvent des critiques légitimes au sujet du droit des individus à demander le déréférencement des résultats de recherche. Dans la présente section, nous analysons certaines critiques et, dans la mesure du possible, nous y répondons.

a) Efficacité du déréférencement

Certains ont soutenu que le déréférencement constitue un recours inefficace, puisque le contenu sous-jacent demeure accessible en ligne. Selon l’expérience du Commissariat dans le cadre d’enquêtes antérieures, il existe une différence entre le fait de rendre des renseignements accessibles pour ceux qui les recherchent directement à partir de sites Web sources (par exemple un avocat effectuant des recherches jurisprudentielles dans CanLII ou un journaliste cherchant des articles sur un sujet donné) et le fait qu’un ami, un collègue, un voisin ou une autre connaissance lançant par curiosité une simple recherche au moyen du nom d’une personne puisse tomber par hasard sur les renseignements en question^{Note de bas de page 22}. Le Commissariat est d’avis que la suppression des liens dans les résultats de recherche dans les circonstances limitées susmentionnées aura une incidence très positive, même si les renseignements sources demeurent.

b) Rôle du secteur privé dans l’équilibre des droits

D’après les auteurs de certains mémoires, il n’appartient pas à une organisation du secteur privé de décider de l’équilibre à trouver entre le droit à la vie privée et le droit à la liberté d’expression.

Il s’agit d’une préoccupation légitime, mais nous constatons que les organisations se livrent régulièrement à cet exercice d’équilibrage dans une certaine mesure – par exemple lorsqu’elles établissent des conditions de service susceptibles d’entraîner l’effacement d’un contenu ou de propos, voire de comptes entiers. En particulier, les moteurs de recherche ont déjà mis en place des mécanismes pour examiner les demandes de déréférencement et supprimer de leurs résultats de recherche les contenus potentiellement préjudiciables (p. ex. numéros de cartes de crédit et images de signature) ou illicites (p. ex. violation du droit d’auteur).

Nous notons également que le rôle de l’organisation en tant que premier intervenant est en fait prescrit en vertu du principe 4.10.2 de la LPRPDE :

Les organisations doivent établir des procédures pour recevoir les plaintes et les demandes de renseignements concernant leurs politiques et pratiques de gestion des renseignements personnels et y donner suite. Les procédures relatives aux plaintes devraient être facilement accessibles et simples à utiliser.

Les moteurs de recherche sont donc tenus de répondre aux demandes de déréférencement de résultats, conformément aux obligations leur incombant en vertu de la LPRPDE.

En outre, il est important de noter que les moteurs de recherche ont créé la situation où le contenu est facilement associé au nom d’un individu et qu’ils perfectionnent activement des algorithmes visant à personnaliser les résultats de recherche au fil du temps dans le cadre de leur modèle d’affaires.

D’après certains, compte tenu des droits fondamentaux en jeu, seul un organisme de surveillance ou un tribunal devrait examiner les demandes de déréférencement. Dans les cas contestés, les individus et les moteurs de recherche devraient en bout de ligne avoir droit à un examen effectué par un arbitre indépendant, mais il nous semble approprié que les moteurs de recherche procèdent au premier examen d’une demande de déréférencement. En effet, on peut soutenir qu’une évaluation initiale des demandes par les moteurs de recherche faciliterait l’accès à la justice et la primauté du droit, au lieu de les entraver, en offrant un recours pratique et rapide^{Note de bas de page 23}.

Néanmoins, nous reconnaissons la légitimité des préoccupations soulevées concernant le rôle du secteur privé dans l’équilibre des droits. Il s’agit par conséquent d’un aspect qui mérite d’être examiné de plus près.

Enfin, même si nous estimons raisonnable que les moteurs de recherche assument ce premier niveau de responsabilité, ils sont invités à collaborer avec les organismes de réglementation (ou d’autres intervenants compétents) pour élaborer leur processus d’évaluation des demandes de déréférencement.

c. Avis à ceux qui ont publié les renseignements

En ce qui concerne l’équilibre entre les droits, les auteurs de certains mémoires ont fait remarquer que la procédure de déréférencement établie au sein de l’Union européenne est unilatérale : les demandeurs de déréférencement peuvent plaider en faveur de l’effacement, mais aucune partie équivalente ne fait valoir l’intérêt public de la conservation du résultat de recherche. De façon générale, les organismes de réglementation européens recommandent de ne pas systématiquement aviser le site Web source de la demande de déréférencement. Ces organismes reconnaissent toutefois qu’il pourrait être approprié dans certaines situations (par exemple dans « les dossiers particulièrement difficiles ») de communiquer avec ceux qui ont publié les renseignements à l’origine^{Note de bas de page 24}.

Dans ce contexte, nous sommes conscients des défis opérationnels et logistiques qu’entraînerait toute obligation pour un moteur de recherche de contacter la source d’information faisant l’objet d’une demande de déréférencement. De plus, le déréférencement en tant que moyen d’exercer un contrôle sur la réputation perdrait tout son sens ou serait même préjudiciable si les demandes de déréférencement étaient beaucoup plus mises en évidence.

Il convient également de répéter que le déréférencement dans ce contexte ne supprime pas l’information sur le site Web source. Il supprime uniquement les liens y menant dans les résultats d’une recherche lancée au moyen du nom d’une personne. Ainsi, l’incidence du déréférencement sur les sites Web sources sera le plus souvent minime.

Cela dit, nous reconnaissons qu’avant de prendre une décision sur une demande de déréférencement ou de permettre qu’un site Web source s’oppose à une décision de déréférencer des résultats après le fait, un moteur de recherche peut trouver utile dans certains cas d’obtenir des commentaires du site Web source. En fin de compte, nous laissons aux moteurs de recherche le soin de concevoir les mécanismes appropriés pour résoudre ce problème. Toutefois, nous signalons cet aspect en tant que question de procédure qui mérite d’être examinée de plus près.

d) Fardeau incombant aux moteurs de recherche

Certains mémoires ont également fait valoir que la mise en place et l’application de processus d’évaluation des demandes de déréférencement représentent un fardeau trop lourd pour les moteurs de recherche et risquent de nuire à la concurrence.

Nous reconnaissons que le coût lié à l’établissement et au fonctionnement d’un mécanisme pour traiter les demandes d’effacement n’est pas négligeable. Cependant, en vertu de la LPRPDE, toutes les organisations doivent « établir des procédures pour recevoir les plaintes […] et y donner suite^{Note de bas de page 25} ». L’activité des moteurs de recherche consiste à rendre l’information plus accessible. D’ailleurs, les moteurs les plus utilisés génèrent ainsi des revenus importants. Il ne semble pas déraisonnable que cette pratique engendre une obligation d’atténuer les répercussions inappropriées ou préjudiciables de leurs propres actions.

Comme nous l’avons déjà mentionné, nous estimons que les Canadiens devraient disposer au minimum d’un mécanisme pour contester la conformité à la LPRPDE en ce qui concerne les renseignements présentés dans les résultats de recherche, en fonction des obligations susmentionnées.

e) Portée territoriale

La portée territoriale appropriée du déréférencement fait actuellement l’objet d’un débat à l’échelle mondiale. À titre de principe directeur, le Commissariat est d’avis qu’un déréférencement en vertu de la LPRPDE devrait être efficace pour être pertinent, mais qu’il devrait également être limité de manière à respecter les lois d’autres pays. À notre avis, le déréférencement des résultats des recherches effectuées dans le domaine canadien pour un moteur de recherche (p. ex. Google.ca) n’est pas suffisant, car l’information demeurera facilement accessible dans les domaines .com ou ceux propres à d’autres pays. Cependant, nous pensons également que le déréférencement des résultats à l’échelle mondiale pourrait éventuellement interférer indûment avec la souveraineté d’autres pays. D’après nous, pour avoir l’assurance que les protections accordées par la LPRPDE aux individus sont efficaces mais qu’elles ne s’étendent pas de façon illégitime au-delà du Canada, il faudrait utiliser des techniques de géoblocage limitant le déréférencement des résultats aux recherches effectuées au Canada^{Note de bas de page 26}.

Certes, cette solution n’est pas idéale, mais nous croyons que le géoblocage assure pour l’instant un juste équilibre entre l’efficacité et la portée territoriale appropriée. Nous pourrions redéfinir cette position à mesure que le droit canadien et international évoluera.

v) Conclusion

Le déréférencement est un moyen d’offrir aux individus un recours efficace pour certaines atteintes à la vie privée, mais ce recours comporte son lot de difficultés. Il ne s’agit pas non plus de la solution idéale pour toutes les atteintes à la réputation en ligne. La position que nous avons soutenue est que la LPRPDE oblige les organisations, y compris les moteurs de recherche, à assumer la responsabilité de leurs actions et à prévoir un mécanisme à la disposition des individus pour contester la conformité aux principes applicables. Nous estimons que la position exposée ci-dessus permet de trouver un juste équilibre et qu’elle est réalisable. En outre, nous considérons que, en vertu de loi actuelle, il est approprié de prendre des mesures compte tenu des intérêts considérables en jeu en matière de protection de la vie privée. Nous reconnaissons néanmoins que les participants à notre consultation ont soulevé des préoccupations légitimes concernant les répercussions de ce type de mécanisme, notamment sur les droits, par exemple la liberté d’expression. Ces préoccupations, et celles que nous venons tout juste de mentionner, méritent d’être examinées de plus près. C’est pourquoi nous recommandons que le Parlement examine aussi cet enjeu de façon exhaustive pour déterminer si nous avons trouvé un juste équilibre. Nous présentons une analyse plus détaillée à la section G du présent document.

B. Modification ou effacement à la source

Alors que le déréférencement permet de laisser l’information en ligne (en rompant le lien immédiat entre celle-ci et l’individu), la modification ou l’effacement à la source s’applique à l’information tout entière. Il s’agit manifestement d’une protection renforcée de la vie privée. Toutefois, du moins dans certaines circonstances, cette pratique peut poser un défi beaucoup plus grand sur le plan de la liberté d’expression.

Pour examiner la possibilité d’une modification ou d’un effacement à la source, nous nous penchons sur deux scénarios selon que les renseignements ont été fournis par la personne elle-même ou par une autre source.

Renseignements fournis par la personne elle-même

La LPRPDE accorde aux individus le droit de retirer leur consentement sous réserve de restrictions prévues par une loi ou un contrat (principe 4.3.8) et exige que les renseignements personnels dont on n’a plus besoin soient détruits, effacés ou dépersonnalisés (principe 4.5.3).

Conjointement, ces deux principes supposent qu’une personne devrait pouvoir effacer les renseignements qu’elle a elle-même fournis dans un forum en ligne exerçant une activité commerciale (notamment un réseau social). Dans la mesure du possible, cette capacité devrait être ciblée, autogérée et efficace. Par exemple, une personne devrait pouvoir effacer un ou plusieurs messages dans les médias sociaux sans avoir à effacer l’intégralité de son compte. Elle devrait aussi être en mesure de le faire de façon autonome, sans avoir à présenter une demande et à attendre la réponse de l’organisation. De nombreux sites de médias sociaux (et autres services similaires) offrent déjà cette possibilité. Toutefois, comme l’indique l’un des mémoires, la qualité et l’accessibilité des outils d’effacement varient grandement.

Cette capacité d’effacer les renseignements affichés par la personne concernée devrait être quasi absolue, sauf dans la mesure où ils sont soumis à des restrictions légales ou contractuelles. En particulier, nous ne croyons pas que cette capacité doive être définie selon le critère de l’intérêt public. Une personne devrait pouvoir effacer les renseignements qu’elle a publiés elle-même, peu importe si d’autres personnes préfèrent qu’ils restent accessibles.

Il convient de noter que cette possibilité d’effacer les renseignements affichés par la personne concernée ne s’applique qu’à la publication initiale. Nous analysons ci-après les situations où d’autres personnes ont saisi ces renseignements et les ont republiés.

Renseignements fournis par d’autres

Lorsque des renseignements personnels sont fournis à une organisation par une personne autre que l’intéressé (y compris lorsque les renseignements publiés par une personne sont saisis et republiés par une autre personne), l’intéressé n’a pas un droit absolu de retirer ce contenu sous le régime de la LPRPDE.

Cela dit, la LPRPDE prévoit au moins deux principes^{Note de bas de page 27} en vertu desquels une personne peut à tout le moins contester les renseignements affichés à son sujet par une autre personne : l’exactitude et les fins appropriées.

Comme nous l’avons déjà indiqué, le principe 4.9.5 oblige les organisations à corriger des renseignements lorsqu’une personne a démontré qu’ils ne sont pas complets, exacts ou à jour. Ainsi, lorsqu’une personne autre que celle à laquelle des renseignements personnels se rapportent les communique à une organisation dans le cadre d’une activité commerciale, l’intéressé devrait pouvoir utiliser un mécanisme permettant au minimum de contester et de corriger les renseignements qui ne sont manifestement pas exacts, complets ou à jour. C’est particulièrement le cas lorsque l’organisation crée un profil de la personne sur la base des renseignements fournis par d’autres et que ce profil sert à prendre des décisions concernant l’intéressé. À notre avis, la correction, l’effacement ou toute autre modification de renseignements manifestement inexacts, incomplets ou périmés représente un juste équilibre avec la liberté d’expression.

Par conséquent, une personne devrait pouvoir contester le degré d’exactitude et de mise à jour ainsi que le caractère complet des renseignements publiés, et le site Web source ou la plateforme de médias sociaux (s’ils exercent une activité commerciale) devraient disposer d’un mécanisme pour intervenir de façon adéquate.

En outre, le paragraphe 5(3) – selon lequel une organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu’à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances – peut aussi obliger les organisations à effacer un contenu concernant un individu publié par d’autres personnes. Par exemple, dans nos orientations sur les zones interdites, nous considérons que des fins qui seraient illégales dans d’autres circonstances, de même que la sollicitation et la publication de renseignements personnels dans le but d’exiger un paiement en échange de leur effacement, seraient considérées inacceptables en vertu du paragraphe 5(3) de la LPRPDE.

C. Le cas particulier des jeunes

Comme il est expliqué dans notre document de travail, la protection de la réputation en ligne représente un défi particulier pour les enfants et les adolescents. Ceux ci n’ont souvent guère d’autre choix que d’aller en ligne (p. ex. en raison des pressions sociales ou des exigences imposées par l’école). Ils sont aussi dans une période d’expérimentation au cours de laquelle ils testent les limites. Il est donc essentiel de donner aux jeunes un moyen de se réinventer à mesure qu’ils évoluent et entrent dans l’âge adulte –fait reconnu par l’existence du principe de la « table rase » et d’autres mécanismes de protection au Canada et ailleurs^{Note de bas de page 28}.

Dans A.B. c. Bragg, la Cour suprême a reconnu le cas particulier des jeunes en matière de protection de la vie privée^{Note de bas de page 29} :

La reconnaissance du principe de la vulnérabilité inhérente des enfants demeure profondément enracinée en droit canadien. Ainsi, la vie privée des jeunes est protégée en vertu du Code criminel […], de la Loi sur le système de justice pénale pour les adolescents […] et de la législation en matière de protection de l’enfance, sans oublier les ententes internationales comme la Convention relative aux droits de l’enfant […], et cette protection est fondée entièrement sur l’âge et non sur la sensibilité de l’enfant en particulier. [La mise en relief figure dans l’original.]

Parallèlement à cette vulnérabilité inhérente, on reconnaît que le niveau de maturité cognitive et affective des enfants et des jeunes évolue constamment et qu’il faudrait leur accorder une attention particulière. Par exemple, dans son récent rapport sur le consentement, le Commissariat a soutenu que, sauf dans des circonstances exceptionnelles, le consentement à la collecte, à l’utilisation et à la communication de renseignements personnels d’enfants de moins de 13 ans doit être obtenu auprès de leurs parents ou tuteurs. Pour les jeunes de 13 à 18 ans, le consentement ne peut être considéré comme valable que si les organisations ont tenu compte de leur niveau de maturité dans l’élaboration de leurs processus de consentement et les ont adaptés en conséquence.

Sur la base de cette constatation, nous proposons plusieurs mesures supplémentaires pour protéger la réputation en ligne des enfants et des jeunes. Premièrement, lorsque l’on examine le paragraphe 5(3) de la LPRPDE dans la perspective d’enfants ou de jeunes (soit pour déréférencer les résultats d’une recherche ou effacer de l’information sur un site Web source), les facteurs à considérer devraient généralement peser plus lourd en faveur du déréférencement ou de l’effacement du contenu. Deuxièmement, dans le cas de renseignements fournis à une organisation ou autrement publiés par des jeunes les concernant personnellement, le droit d’effacement devrait être aussi absolu que possible et libre de toute limitation contractuelle. Le Parlement devrait envisager de prévoir officiellement ce droit dans la loi, comme c’est le cas dans d’autres pays.

Enfin, à l’ère actuelle des médias sociaux, nous constatons qu’il n’est pas rare que les parents affichent des renseignements concernant leurs enfants ou adolescents. Une anecdote ou une photo « mignonne » peut – dès maintenant ou dans l’avenir – se révéler très embarrassante, voire préjudiciable pour l’enfant ou le jeune. D’ailleurs, les jeunes ont indiqué qu’ils souhaitaient exercer un plus grand contrôle sur ces renseignements^{Note de bas de page 30}. Ainsi, nous recommandons au Parlement d’envisager également de donner aux jeunes la possibilité, lorsqu’ils atteignent l’âge de la majorité, de demander et d’obtenir l’effacement des renseignements à leur sujet affichés en ligne par leurs parents ou tuteurs, qui disposaient jusqu’alors du pouvoir décisionnel. Cette capacité doit bien entendu être conçue de manière à être pratique et à respecter la liberté d’expression du parent.

D. Amélioration des pratiques des sites

En plus d’offrir des mesures permettant aux individus d’exercer un contrôle sur les renseignements à leur sujet, les organisations jouent un rôle clé dans la création d’un environnement qui limite le risque d’atteinte à la réputation. À cet égard, nous paraphrasons une réponse à notre document de travail :

Les décideurs devraient [laisser les utilisateurs] tranquilles et prêter plus attention aux pratiques et aux politiques des entreprises qui ne leur permettent pas de négocier la confidentialité dans les médias en réseau.

Les organisations qui exploitent des services en ligne prennent fréquemment des décisions concernant les éléments qui incitent les individus à communiquer des renseignements personnels (ainsi que le niveau de détail et de sensibilité des renseignements communiqués) et la fréquence à laquelle les personnes sont invitées à répondre à des questions de confidentialité (p. ex. exercice d’un contrôle sur la visibilité de tous les messages ou de messages individuels). Ces organisations sont également capables d’établir des normes communautaires en ce qui concerne la non-tolérance des abus ainsi que des mécanismes par lesquels les personnes sont encouragées à résoudre les conflits dans le milieu (au lieu d’avoir recours à un intervenant chargé de la surveillance ou de la réglementation). Les organisations font également des choix concernant les mécanismes de contrôle de la réputation, par exemple les mécanismes d’effacement et la période pendant laquelle les renseignements sont conservés et facilement accessibles.

Toutes ces décisions, et la manière dont elles sont mises en œuvre et communiquées^{Note de bas de page 31}, ont une grande incidence sur les personnes – directement en leur permettant d’exercer leur propre responsabilité et indirectement en créant un environnement qui réduit les risques de préjudice.

Dans la mesure où les décisions de conception susmentionnées se rapportent aux obligations imposées en vertu de la LPRPDE, nous chercherons à conseiller les organisations et encouragerons l’industrie à élaborer des codes de pratique dans certains domaines clés^{Note de bas de page 32}. En particulier, il est recommandé que les organisations coordonnent l’élaboration d’un code de pratique à l’échelle de l’industrie concernant les politiques d’effacement des renseignements, les paramètres par défaut et les procédures de protection de la vie privée. À tout le moins, ce type de code respecterait et mettrait en œuvre les « zones interdites » pertinentes que le Commissariat a définies dans son document d’orientation. De plus, il respecterait les demandes de déréférencement ou d’effacement dans les circonstances supplémentaires indiquées ci-dessus. Idéalement, ce code établirait, au fil du temps, une expérience raisonnablement cohérente permettant aux Canadiens de comprendre les éléments sur lesquels reposent les décisions des organisations à l’égard de leurs demandes de déréférencement ou d’effacement.

Enfin, nous notons que le Commissariat a clairement indiqué son intention de jouer un rôle plus proactif pour assurer la conformité à la LPRPDE afin de maîtriser des risques systémiques plus généraux d’atteinte à la vie privée des Canadiens. Ces mesures seront particulièrement importantes dans le domaine de la réputation en ligne, compte tenu du nombre de personnes susceptibles d’être touchées par une seule organisation non conforme ainsi que des importantes répercussions que la non conformité pourrait avoir sur les gens, en particulier l’incidence disproportionnée sur les personnes vulnérables, qui peuvent choisir de ne pas porter plainte au Commissariat pour éviter d’attirer l’attention sur elles-mêmes ou de s’exposer à des représailles. Chacun de ces facteurs souligne les avantages liés à la réduction des risques d’atteinte à la vie privée dès le départ, avant que les problèmes ne surviennent, ou dans les zones à risque élevé où les problèmes peuvent ne pas être détectables de l’extérieur.

En résumé, le Commissariat ne pense pas que le fardeau de la protection de la réputation incombe uniquement aux individus. Les organisations ont un rôle à jouer et le Commissariat continuera de chercher proactivement des façons de s’assurer que ce rôle est rempli.

E. Amélioration de l’éducation

Une formation continue sur la protection de la vie privée est manifestement nécessaire. Dans notre rapport sur le consentement, nous avons déclaré :

En ce qui a trait à l’éducation du public, la stratégie la plus efficace pourrait bien être de sensibiliser les enfants à la protection de la vie privée dès leur jeune âge. Nous exhortons donc les gouvernements provinciaux et territoriaux à intégrer ce sujet plus concrètement dans les programmes d’études.

À l’échelle internationale, nous avons aidé à rédiger la Résolution de Marrakech 2016, qui réclamait l’adoption d’un référentiel de formation des élèves à la protection des données personnelles. À l’heure actuelle, dans le cadre du Groupe de travail international en éducation au numérique, nous participons aux efforts visant à favoriser l’acquisition de compétences en matière de protection des données et de la vie privée dans le programme scolaire des élèves du monde entier.

En général, nous sommes d’accord avec la British Columbia Freedom of Information and Privacy Association, qui a déclaré dans son mémoire^{Note de bas de page 33} :

[traduction] Une éducation du public qui adopte une approche reposant sur les droits en ce qui a trait à la réputation en ligne peut aider à renforcer les normes assurant une protection à cet égard. Elle peut aussi mieux faire connaître les lois ainsi que la façon d’utiliser les mécanismes de contrôle axés sur l’architecture et d’évaluer les mesures de protection offertes sur une multitude de plateformes.

L’éducation du public devrait servir à faire des utilisateurs de bons cybercitoyens qui possèdent les connaissances techniques voulues pour se protéger et qui comprennent très bien comment et pourquoi se comporter de façon responsable en ligne. Pour progresser sur ce front, plusieurs sujets ont été déterminés comme points d’intérêt potentiels, notamment :

• Éduquer les gens à propos des mécanismes actuellement offerts pour exercer un contrôle sur la réputation (mécanismes d’effacement et paramètres de confidentialité) et des nouvelles technologies améliorant la confidentialité;
• Veiller à ce que les messages éducatifs insistent davantage sur l’importance de réfléchir aux éventuelles répercussions des actions d’un individu sur toutes les parties concernées.

L’éducation peut également être un élément important de certaines solutions présentées précédemment dans le présent document – par exemple il faudrait expliquer clairement aux Canadiens que, dans de nombreux cas (sinon dans la plupart d’entre eux), les résultats de recherche ne présentent pas un portrait complet d’une personne (seulement les renseignements en ligne à son sujet). Ainsi, on ne devrait pas supposer qu’une décision fondée sur des résultats de recherche est prise sur la base de renseignements complets.

De nombreux groupes d’intervenants ont offert de travailler avec le Commissariat à l’élaboration et à la distribution de matériel éducatif. Nous continuerons de collaborer avec eux s’il y a lieu. En outre, le Commissariat et les organismes provinciaux et territoriaux analogues ont envoyé une lettre conjointe au Conseil des ministres de l’Éducation (Canada) demandant que la protection de la vie privée soit intégrée aux programmes d’éducation visant à acquérir des connaissances numériques.

Enfin, comme nous l’avons mentionné à la section précédente, nous travaillerons avec des organisations pour nous assurer que les personnes aient de réelles possibilités de mettre en pratique les enseignements tirés de ce matériel éducatif.

F. Promotion de recherches supplémentaires

Comme le recommandent plusieurs mémoires, le Commissariat continuera de faire des recherches et de lancer des consultations sur les normes, les attitudes et les défis relativement à la réputation des jeunes et à la protection de leur vie privée. Le but est de mieux comprendre les pratiques appropriées pour les sites et les services en ligne s’adressant aux jeunes Canadiens et de formuler des recommandations à cet égard. Nous continuerons également de solliciter de l’information concernant les mesures qui pourraient être nécessaires ou la manière dont on pourrait adapter les mesures existantes pour éliminer les obstacles en matière de réputation auxquels font face les groupes ciblés et touchés de manière disproportionnée par les abus en ligne, comme les femmes.

Les services en ligne individuels ont la responsabilité de proposer à leurs utilisateurs des options et des contrôles appropriés. Toutefois, l’accessibilité et l’adoption généralisées de services et de technologies permettant de gérer la réputation en ligne qui sont indépendants de tout site Web particulier présentent aussi des avantages. Comme nous l’avons mentionné dans notre rapport sur le consentement, nous pensons que les technologies ou les bonnes idées pour protéger la réputation en ligne ne manquent pas; elles n’ont tout simplement pas été suffisamment approfondies ou n’ont pas été adoptées.

À cet égard, nous encouragerons la recherche ainsi que le développement et l’adoption de nouvelles solutions pour protéger la réputation en ligne. En particulier, nous sollicitons des propositions dans le cadre de notre Programme des contributions, pour faire des recherches et élaborer de nouvelles solutions visant à protéger la réputation en ligne. Nous avons d’ailleurs lancé dans la version 2018-2019 du Programme un appel de propositions particulier pour les technologies améliorant la confidentialité.

G. Solutions législatives

Tout au long du présent exposé de position, nous avons généralement proposé des solutions pour relever les défis associés à la réputation en ligne que le Commissariat et les organisations peuvent mettre en application en exerçant leurs pouvoirs actuels. Cependant, il existe également plusieurs questions que le Parlement devrait selon nous examiner.

Premièrement, comme il est expliqué dans la section portant sur le déréférencement, le Commissariat estime que la position exposée dans le présent document est réalisable, qu’elle permet d’atteindre un juste équilibre entre les droits et les intérêts et qu’elle est appuyée par la LPRPDE. Nous reconnaissons toutefois que cette position suscite manifestement des enjeux en ce qui a trait à l’équilibre entre le droit à la vie privée des individus et le droit à la liberté d’expression. Elle en suscite aussi concernant le rôle que devraient jouer les intervenants du secteur privé dans l’évaluation de cet équilibre. Il serait inapproprié que le Commissariat n’agisse pas dans ce dossier – nous devons appliquer la LPRPDE de notre mieux selon nos capacités et notre compréhension en tentant de trouver un juste équilibre. Par ailleurs, nous jugeons important également que le Parlement se penche sur cet enjeu. Il devrait examiner les préoccupations soulevées dans le présent document ainsi que les facteurs externes, par exemple les effets, sur le caractère adéquat de la protection offerte, de toute différence entre les cadres législatifs canadien et européen quant au contrôle exercé par les individus sur l’information en ligne.

Ensuite, il est possible de renforcer généralement les pouvoirs du Commissariat de façon à intégrer des mécanismes d’application de la loi plus vigoureux et à renforcer la capacité de prendre des mesures proactives en vertu de la LPRPDE. Dans son document sur le consentement, le Commissariat a réclamé le pouvoir de rendre des ordonnances et d’imposer des amendes ainsi que l’officialisation du pouvoir de prendre des mesures proactives (notamment en obligeant les organisations à montrer qu’elles sont responsables). La justification et les conclusions présentées dans ce document s’appliquent également ici. À titre d’exemple, nous pensons qu’il serait très avantageux pour le Commissariat de pouvoir examiner de façon proactive la façon dont les organisations répondent aux demandes de déréférencement et aux contestations de l’exactitude décrites précédemment.

Par ailleurs, il est également possible de clarifier ou de renforcer les mécanismes à la disposition des individus, à savoir :

• clarifier l’application de certains aspects de la LPRPDE aux moteurs de recherche, peut-être en prévoyant une nouvelle exception à l’obligation d’obtenir le consentement, comme il est expliqué dans notre rapport sur le consentement;
• permettre aux jeunes de demander et d’obtenir plus facilement l’effacement des renseignements qu’ils ont eux-mêmes publiés des médias sociaux et, le cas échéant, des renseignements publiés en ligne par leurs parents ou tuteurs lorsqu’ils atteignent l’âge de la majorité.

Enfin, plusieurs mémoires ont évoqué la notion de « législation ciblée » pour traiter des problèmes particuliers concernant la réputation. S’il devient manifeste qu’une collecte, une utilisation ou une communication particulière de renseignements personnels est très offensante pour les Canadiens, le Parlement devrait envisager d’officialiser les restrictions ou interdictions s’appliquant à cette activité (comme il l’a fait pour la distribution non consensuelle d’images intimes). Cette option sera également utile pour relever les défis posés par les interactions de personne à personne qui peuvent être extrêmement préjudiciables, mais qui ne relèvent pas du champ d’application de la LPRPDE et auxquelles ne s’appliquent pas les lois criminelles en vigueur.

Conclusion et prochaines étapes

Au cours de l’établissement des priorités en 2015, des intervenants et le public canadien ont indiqué au Commissariat que, tout en reconnaissant les avantages personnels et professionnels de la participation au monde en ligne, ils étaient de plus en plus préoccupés par leur réputation sur Internet. Le document de consultation qui a suivi visait à lancer une discussion sur les moyens de régler les problèmes liés à la permanence des renseignements personnels en ligne et à leurs répercussions sur la réputation.

Nous estimons que les mesures décrites ci-dessus représentent une étape importante dans la poursuite de notre objectif d’aider à créer un environnement où les individus pourraient se servir d’Internet pour explorer leurs intérêts et se développer comme personne sans craindre que leur trace numérique n’entraîne un traitement injuste. Nous présentons aux fins de consultation le présent projet de position. Après une période de consultation sur ce document, nous définirons notre position définitive et élaborerons un plan d’action pour mettre en pratique ces nouvelles mesures. Nous serons heureux de travailler avec un large éventail d’intervenants afin de faire entrer les Canadiens dans une nouvelle ère en matière de réputation en ligne.