La réputation en ligne et la protection des renseignements personnels

Avner Levin (l'Université Ryerson)^{Note de bas de page 1}

Août 2016

Remarque : Ce document a été présenté par les auteurs ou auteures au Commissariat à la protection de la vie privée du Canada dans le cadre de la consultation sur la réputation en ligne.

Avertissement : Les opinions exprimées dans ce document sont celles des auteurs ou auteures et ne reflètent pas nécessairement celles du Commissariat à la protection de la vie privée du Canada. Comme ce mémoire a été fourni par une entité non assujettie à la Loi sur les langues officielles, il a été traduit de sa langue d’origine par le Commissariat à titre indicatif. En cas de divergence, veuillez consulter la version anglaise. Pour plus d’information sur la politique du Commissariat sur l’offre de contenu dans les deux langues officielles, vous pouvez consulter la page d’Avis importants.

---

Introduction

Je soumets le court article qui suit en réponse à l’excellent document de travail du CPVP et à la demande d’essais sur le sujet de la réputation en ligne. Cet article répond aux questions 2, 3 et 5 posées au cours de la consultation. L’article propose des solutions à la question du risque pour la réputation en ligne, aborde le droit à l’oubli et son applicabilité au Canada et propose des rôles que le CPVP, le gouvernement et le secteur privé peuvent jouer dans la protection de la réputation en ligne.

Des solutions et le droit à l’oubli

Le document de travail invite les collaborateurs à trouver des solutions aux risques pour la réputation en ligne de différents points de vue : pratique, technique, stratégique et juridique. Bien que cette division des points de vue soit sans doute pratique, il est encore plus important de reconnaître que la réputation — le contrôle sur les renseignements personnels — nécessite des solutions innovatrices qui combinent ces points de vue et les utilisent pour se compléter les unes les autres. La mise en œuvre de l’arrêt Google Spain est en soi un exemple important — paradigmatique, même — de la façon dont les solutions devraient être mises en œuvre au Canada et, pourrait on dire, ailleurs dans le monde.

De ce point de vue, le caractère nouveau et l’importance de la décision sur le droit à l’oubli de l’UE ne se trouveraient pas dans le précédent juridique remarquable qu’elle a établi, mais dans la décision qu’elle a entraînée lorsque Google a décidé de concevoir un formulaire en ligne en vue du dépôt des demandes de retrait. Google aurait pu choisir de laisser les futurs plaignants intenter des procès et choisir de contester chaque plainte en utilisant le processus des commissions de la protection des données et, par la suite, le processus judiciaire. Google a plutôt répondu à une « question » juridique au moyen d’une « solution » technologique (et pratique) consistant à créer une interface en ligne pour les plaintes et un processus d’arbitrage à l’intérieur de Google fondé sur les principes énoncés dans l’arrêt Google Spain pour déterminer l’issue de chaque plainte. Comme l’indique le document de travail, la décision de Google d’« ouvrir » le processus a entraîné le dépôt de centaines de milliers de demandes de retrait en une courte période.

Il est vrai que la solution proposée par Google pourrait être améliorée et que certains aspects de la solution proposée par Google ne font pas l’unanimité, par exemple le fait que les retraits sont limités aux versions nationales du moteur de recherche et le fait que les intervenants de l’extérieur de Google sont exclus du processus interne d’arbitrage, mais ces critiques ne pèsent pas lourd par rapport à l’importance de l’initiative qui consiste à offrir à des millions d’utilisateurs un recours abordable et facile à utiliser. Il ne fait aucun doute que ces centaines de milliers de demandes de retrait n’auraient pas été présentées dans un processus traditionnel de contentieux ou de plaintes traitées par un commissaire.

C’est sur cette question que l’arrêt Google Spain revêt une importance paradigmatique. Un processus de plainte a mené à un procès, qui a mené à un recours judiciaire qui a mené à une solution pratique et technique qui a transformé instantanément toute la question de la réputation presque partout en Europe. Bien sûr, de nombreuses entreprises avaient déjà conçu et adopté des solutions technologiques qui ne découlaient pas de décisions judiciaires ou réglementaires. Google elle même, par exemple, avait décidé, en réponse à des demandes répétées, de supprimer les sites de « pornographie vengeresse » de ses résultats de recherche et a modifié son formulaire en ligne de demande de retrait (à l’échelle mondiale) pour permettre à des personnes de demander le retrait d’images de cette nature^{Note de bas de page 2}. Bien sûr, en ce qui concerne certains intérêts légaux et commerciaux — notamment les demandes liées à la propriété intellectuelle —, une solution technique est en place depuis de nombreuses années.

De nombreuses solutions technologiques et pratiques sont donc déjà disponibles au Canada concernant les problèmes de réputation dans les plateformes de Google, de Microsoft et des principaux sites de médias sociaux comme Facebook. Toutefois, en ce qui concerne d’autres demandes de retrait, il semble, selon le document de travail, que les demandes de retrait soient traitées par le secteur privé de façon ponctuelle et volontaire, en quelque sorte, et que le secteur privé prenne surtout des mesures dans les dossiers dans lesquels le CPVP intervient. Le document de travail mentionne que le CPVP estime que son mandat en matière de réputation est limité par des questions de compétences concernant la portée de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE). Afin de faire progresser la protection de la réputation au Canada, il faut probablement d’abord discuter de la façon dont la question de la protection de la réputation devrait être envisagée et comprise.

Réputation, protection de la vie privée et protection des renseignements personnels

Bien que nous soyons maintenant habitués à traiter la protection des renseignements personnels comme un aspect de la protection de la vie privée, il importe de noter dans le contexte de la réputation en ligne que ces deux notions ne sont pas identiques et qu’il existe des raisons et des valeurs légitimes pour lesquelles des personnes pourraient vouloir protéger leurs renseignements personnels qui, d’un point de vue conceptuel, se distinguent de la protection de la vie privée; mentionnons notamment la réputation et, surtout, la dignité humaine. La recherche dans ce domaine menée par de nombreux universitaires montre, par exemple, que lorsque des jeunes adultes expriment ce qu’ils entendent par « préoccupations pour la protection de la vie privée », ils se préoccupent souvent de la formation et de l’expression de leur identité, comme l’explique le document de travail.

Il est important de fonder la protection de la réputation directement sur la notion de protection des renseignements personnels puisqu’à la base de la protection des renseignements personnels se trouve le concept de contrôle individuel sur ses renseignements personnels et de consentement aux fins précises du traitement des renseignements personnels, ce que les Allemands appellent « autodétermination informationnelle »^{Note de bas de page 3}. De plus, le fait d’aborder la discussion sur la réputation comme une discussion sur les renseignements personnels et sur la façon dont elle est contrôlée nous évite de devoir composer avec les conséquences qui surviennent lorsque des renseignements personnels facilement accessibles en ligne sont qualifiés de « personnels » en ce sens qu’il s’agit de renseignements plutôt secrets, confidentiels ou dont la diffusion est très restreinte.

Il ne s’agit pas de la seule raison pour laquelle il est important d’aborder la discussion sur la réputation comme une discussion sur le contrôle. L’UE désigne généralement les organisations et les entités qui traitent des renseignements personnels par le terme « responsables du traitement »^{Note de bas de page 4}, et il est donc clair qu’un aspect fondamental du débat sur la réputation en ligne est le débat qui consiste à déterminer qui contrôle ou traite les renseignements personnels qui forment la réputation, de quelle manière et dans quelles circonstances. Cette façon d’aborder le débat devrait garantir au CPVP un mandat lui permettant clairement de s’appuyer sur la LPRPDE pour intervenir à l’égard des responsables du traitement de l’information qui cherchent à tirer profit de la réputation qu’ils créent, comme Globe24h, mais avant tout à l’égard des intermédiaires commerciaux présents au Canada, qui jouent un rôle beaucoup plus important et ayant davantage de répercussions en ce qui concerne la communication aux personnes de renseignements qui ont une incidence sur la réputation.

Les principaux intervenants et leur rôle

Dans une certaine mesure, le rôle du CPVP demeurera limité par son incapacité d’adopter des décrets. Il a beaucoup été question de la nécessité de doter le CPVP de ce type de pouvoir. Le CPVP doit absolument continuer à demander des changements à la loi qui lui permettraient d’exercer ce type de pouvoir. En l’absence de ces pouvoirs, le CPVP doit persister à mener des recherches, à tirer des conclusions et à demander aux tribunaux un décret prévoyant l’existence du droit à l’oubli au Canada. Espérons que le procès contre Globe24h établira un précédent à cet égard^{Note de bas de page 5}.

Au même moment, le CPVP devrait préconiser la création de solutions hybrides fondées sur la réglementation et la technologie comme les formulaires en ligne de demande de retrait, qui devraient fortement intéresser les Canadiennes et les Canadiens — ainsi que le secteur privé — en raison de leur faible coût et de leur facilité d’utilisation. La création de processus en ligne, même s’ils sont partiellement automatisés ou exécutés par des algorithmes, améliorerait la gestion de la réputation pour de nombreuses personnes et rendrait moins nécessaires les interventions ponctuelles de la part de l’organisme de réglementation.

Les membres du secteur privé — les principales plateformes que les personnes utilisent pour accéder à l’information et socialiser en ligne — devraient continuer à développer et à exprimer leur engagement à permettre aux personnes de contrôler leurs renseignements personnels. De plus en plus, les personnes prônent et exigent ces caractéristiques de protection. Les entreprises devraient donc trouver des solutions technologiques attrayantes, abordables et préventives. En l’absence d’application de la réglementation, les entreprises devraient adopter un comportement socialement responsable et éthique en créant ces solutions de façon proactive et volontaire.

Conclusion

Il y aura sans doute une forte résistance à toute coopération entre l’organisme de réglementation et le secteur privé, en particulier à toute coopération qui créerait des réparations nouvelles, hybrides et innovatrices qui pourraient être perçues comme des moyens de contourner le processus traditionnel et prévu par la législation de plainte et de réparation. En fait, des membres de la profession juridique ont déjà exprimé des craintes sur le fait de permettre à une société de concilier des valeurs constitutionnelles et quasi constitutionnelles. Il est important que le CPVP n’accorde pas trop de poids à ces arguments et se souvienne que son rôle consiste à servir le public. À une époque où la représentation par des avocats et les recours judiciaires sont de moins en moins à la portée de la moyenne des Canadiennes et des Canadiens de la classe moyenne, sans parler des personnes vulnérables, il est grandement nécessaire d’adopter des solutions innovatrices, simples et abordables qui permettront aux Canadiennes et aux Canadiens de reprendre possession de leurs renseignements personnels.