À la suite d'un cas où une adolescente a été victime d'usurpation d'identité en ligne, le site de réseautage social Facebook accepte d'aider, au cas par cas, les non-utilisateurs à rétablir leur réputation en ligne

Rapport des conclusions en vertu de la LPRPDE n^o 2013-010

Le 11 juillet 2013

---

Une mère s'est plainte qu'une personne avait créé un compte Facebook au nom de sa fille adolescente. Alors que la victime n'avait même pas de compte Facebook, l'imposteur a communiqué avec ses camarades de classe qui en avaient un et a formulé des commentaires inappropriés à leur sujet.

Quand elle a pris connaissance de la situation dans laquelle sa fille se trouvait, la plaignante a communiqué avec Facebook pour signaler l'usurpation d'identité. Après avoir confirmé que le compte du présumé imposteur était faux, Facebook l'a supprimé ainsi que tout le contenu connexe (y compris les commentaires).

La plaignante voulait que Facebook aille plus loin et qu’il communique avec tous les camarades de classe de sa fille qui étaient devenus amis avec l’imposteur pour les informer de la supercherie.

Facebook n’était pas disposé à aller jusque-là et ne pensait pas qu’il serait approprié, pratique ou bénéfique qu’il intervienne dans les relations personnelles entre individus.

Le principe 4.9.5 prévoit que, lorsqu’une personne démontre que des renseignements personnels sont inexacts ou incomplets, l’organisation  doit communiquer l’information modifiée à des tiers ayant eu accès à l’information en question.

Nous avions déterminé que, compte tenu des circonstances, il serait inapproprié que Facebook avise les personnes devenues amies avec l’imposteur pour les informer de la supercherie puisque cela risquerait de stigmatiser à nouveau la victime.

Toutefois, nous demeurions profondément préoccupés par les conséquences psychologiques et sur la réputation qu’entraîne l’usurpation d’identité chez les non‑utilisateurs de sites de réseautage social, comme l’adolescente dans le cas présent.

Après d’autres discussions avec le Commissariat, Facebook a accepté, dans le cas des non-utilisateurs, d’examiner au cas par cas les allégations d’usurpation d’identité portées à l’attention de l’administrateur du site lorsque la victime demande un type d’aide en particulier, et de faire enquête à leur sujet. Une telle aide pourrait comprendre la mise en place, par Facebook, d’un processus  permettant aux non-utilisateurs d’informer eux-mêmes les personnes devenues amies avec un imposteur.

Rapport de conclusions

Plainte en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (la Loi ou la LPRPDE)

1. La plaignante allègue, au nom de sa fille de 13 ans, que Facebook Inc. (Facebook) aurait violé sa propre Déclaration des droits et responsabilités quand il a permis à un imposteur de créer un compte au nom de sa fille. Le compte de l'imposteur incluait une photo de sa fille ainsi que des messages inappropriés affichés sur le mur des nouveaux « amis » Facebook.

Résumé de l’enquête

2. La fille de la plaignante n'avait jamais eu de compte Facebook. Quand certains de ses camarades lui ont dit qu'ils étaient devenus « amis » avec elle sur Facebook, sa mère (la plaignante) a découvert qu'un imposteur se faisant passer pour sa fille avait créé un faux profil à son nom sur le site Web du réseau social. Cet imposteur avait utilisé une photo de sa fille pour créer un compte à son nom et avait formulé des commentaires inappropriés sur le mur des camarades de celle ci qui avaient accepté d'être « amis » avec lui.
3. La plaignante a immédiatement communiqué avec Facebook par courriel pour lui demander de prendre les mesures suivantes :
   1. supprimer le compte de l'imposteur – immédiatement et de façon permanente;
   2. supprimer tous les commentaires attribuables au compte de l'imposteur;
   3. communiquer avec les personnes figurant sur la liste d'« amis » et les informer de la supercherie.
4. Pour les fins de son enquête, Facebook a demandé à la plaignante de lui fournir certains renseignements personnels (p. ex. nom, coordonnées) ainsi qu'une copie numérique d'une pièce d'identité avec photo émise par le gouvernement et appartenant à la personne dont l'identité avait été usurpée.
5. La plaignante a fourni à Facebook les renseignements demandés ainsi qu'une copie du passeport de sa fille aux fins de vérification de l'identité.
6. Après avoir examiné le compte et l'information figurant sur le passeport, Facebook a supprimé le faux profil de la fille de la plaignante et tout le contenu connexe, et en a informé la plaignante.
7. La plaignante avait encore plusieurs préoccupations, principalement en ce qui a trait à ce qui suit :
   1. Facebook avait au départ permis l'usurpation d'identité;
   2. une telle situation pourrait ternir de façon irréversible la réputation d'un mineur;
   3. Facebook n'avait pas communiqué avec les camarades figurant sur la liste d'« amis » pour les informer de la supercherie;
   4. la plaignante n'avait pu parler à personne par téléphone ou au bureau de Facebook Canada à Toronto;
   5. les renseignements personnels de sa fille qu'elle avait fournis aux fins de vérification avaient été conservés par Facebook.
8. Ces préoccupations ont incité la plaignante à déposer la présente plainte auprès du Commissariat.
9. Au cours de notre enquête, Facebook a confirmé au Commissariat qu'il avait supprimé de manière permanente le profil créé par l'imposteur et le contenu connexe, y compris tout contenu affiché à partir du compte (p. ex. commentaires). Facebook a également confirmé qu'il avait supprimé de ses systèmes l'information figurant sur la copie du passeport fournie par la plaignante, conformément à sa politique qui prévoit la suppression ou la destruction immédiate des renseignements personnels qui ne sont plus nécessaires aux fins pour lesquelles ils ont été recueillis.
10. Nous avons examiné les procédures de signalement d'un faux compte de Facebook, que l'on peut consulter à partir de la page « Aide de l'application de bureau »^{Note de bas de page 1} , et noté que tant les utilisateurs que les non-utilisateurs pouvaient signaler des faux comptes.
11. En ce qui concerne la transmission aux « amis » Facebook d'un avis concernant le compte de l'imposteur, Facebook nous a informés qu'il avait pour politique générale de ne pas envoyer ce genre d'avis au nom d'un utilisateur à une liste d'amis dans de telles circonstances (ni dans aucune autre). En outre, il a indiqué qu'une fois qu'un compte a été désactivé, toutes les publications et tous les messages envoyés à partir de ce compte sont immédiatement supprimés de Facebook. Si le détenteur d'un faux compte ou d'un compte autrement illicite a envoyé des messages à d'autres utilisateurs Facebook, ces messages ne peuvent plus être consultés dans le système dès que le compte en question a été désactivé.
12. Facebook a également indiqué avoir créé un formulaire de contact à l'intention des personnes qui souhaitent lancer une enquête privée sur un cas d'usurpation d'identité. Le formulaire est également accessible à partir de la page « Aide de l'application de bureau ».
13. Facebook a précisé que, dans le contexte des comptes créés par un imposteur, il serait tout à fait inapproprié et trop difficile pour lui d'informer de la supercherie les personnes qui sont « amies » avec l'imposteur et que cela pourrait souvent faire plus de mal que de bien. Contrairement au cas où une organisation a transmis elle-même des renseignements personnels inexacts à un tiers, il ne serait pas approprié pour Facebook (ou tout autre fournisseur de services ou plate-forme dans des circonstances similaires) de prendre ces mesures et d'intervenir dans des relations personnelles entre individus.
14. De plus, Facebook a poursuivi en indiquant qu'il ne pouvait pas toujours déterminer quels problèmes signalés par les utilisateurs étaient légitimes et lesquels ne l'étaient pas. Le site de réseautage social peut vérifier l'identité d'un demandeur et donner suite à une demande non contestée de désactivation d'un compte, mais il n'est pas en mesure de déclarer en toute confiance qu'un compte a été désactivé pour des raisons d'usurpation d'identité.
15. Pour ces raisons, Facebook adopte comme position qu'il vaut mieux laisser aux gens le soin de prendre eux-mêmes les mesures qu'ils jugent appropriées contre les imposteurs. Bien que le Commissariat soit convaincu par nombre de ces arguments selon lesquels les utilisateurs de Facebook disposent d'outils pour rectifier la situation à leur façon et comme ils l'entendent, nous demeurons préoccupés par les cas, comme celui-ci, où la victime de l'usurpation d'identité est une non-utilisatrice de Facebook qui ne dispose d'aucun moyen pour contacter ̶ à plus forte raison identifier ̶ les « amis » concernés pour rétablir les faits. Nous avons souligné la nécessité pour Facebook, en particulier dans le cas des non-utilisateurs, d'assumer une part de responsabilité pour son modèle de gestion, qui permet au départ à des imposteurs d'ouvrir des comptes, et de prendre les mesures qu'il faut pour limiter ou atténuer les préjudices psychologiques ou l'atteinte à la réputation découlant de ces actes qui constituent une atteinte à la vie privée.

Application

16. Pour parvenir à nos conclusions, nous avons appliqué les principes 4.9 et 4.9.5 de l'annexe 1 de la Loi.
17. Le principe 4.9 indique notamment qu'une personne pourra contester l'exactitude et l'intégralité des renseignements (détenus par une organisation) et y faire apporter les corrections appropriées.
18. En vertu du principe 4.9.5, lorsqu'une personne démontre que des renseignements personnels sont inexacts ou incomplets, l'organisation doit apporter les modifications nécessaires à ces renseignements. Selon la nature des renseignements qui font l'objet de la contestation, l'organisation doit corriger, supprimer ou ajouter des renseignements. S'il y a lieu, l'information modifiée doit être communiquée à des tiers ayant accès à l'information en question.

Analyse

Contestation de l'exactitude des renseignements personnels

19. En l'espèce, il était clair que l'imposteur qui avait ouvert un compte Facebook au nom de la fille de la plaignante et utilisé sa photo et ses renseignements personnels avait l'intention de créer un faux profil.
20. La plaignante a averti Facebook que le compte avait été créé par un imposteur. Elle a contesté l'exactitude des renseignements personnels ayant trait au nom de sa fille, a cherché à les faire corriger et a demandé que les « amis » de l'imposteur soient avisés.
21. Facebook a mis en place une procédure permettant de signaler les « faux comptes ». L'information à ce sujet se trouve dans sa page « Aide de l'application de bureau ». Lorsqu'une activité suspecte associée à un compte est signalée, Facebook demande aux personnes concernées de fournir des renseignements d'identification pour confirmer que le titulaire du compte est une vraie personne. L'objectif de Facebook est de demeurer une communauté de personnes utilisant leur identité réelle pour entrer en contact et échanger, conformément à sa Déclaration des droits et responsabilités.
22. Facebook informe clairement ses utilisateurs des fins pour lesquelles il doit recueillir des renseignements personnels les concernant ̶ entre autres par mesure de sécurité pour s'assurer que l'utilisateur est une vraie personne. De plus, le Commissariat a déjà constaté que cette fin permet de protéger la vie privée des utilisateurs et l'intégrité de leur compte.
23. En l'espèce, après que la plaignante a signalé le compte de l'imposteur et a fourni à Facebook les renseignements nécessaires pour identifier sa fille (c'est à dire les renseignements figurant dans le passeport de sa fille), Facebook a supprimé le compte, les publications et les messages associés au compte, ainsi que les renseignements tirés du passeport, dans un délai de cinq jours.
24. En vertu du principe 4.9.5, la plaignante a demandé à Facebook d'envoyer un avis aux « amis » Facebook avec lesquels l'imposteur avait eu des contacts par l'intermédiaire du faux compte. Facebook a indiqué au Commissariat que, dans le contexte des usurpations d'identité pour la création d'un compte, il serait tout à fait inapproprié et trop difficile pour lui d'informer de la supercherie les personnes qui sont « amies » avec l'imposteur. Facebook a fait valoir que cette notification pourrait aggraver la situation et, dans bien des cas, faire plus de mal que de bien en entraînant une nouvelle victimisation de la victime d'usurpation d'identité.
25. Par conséquent, Facebook a adopté comme position qu'en vertu du principe 4.9.5, il n'est pas tenu par la loi d'aviser les « amis » liés à un faux compte créé par un imposteur car il ne serait pas « approprié » de le faire dans ce genre de situation. Contrairement à une situation où une organisation aurait transmis elle même des renseignements personnels inexacts à un tiers et devrait lui communiquer la version corrigée, Facebook affirme qu'il ne serait pas « approprié » pour lui (ou tout autre fournisseur de services ou plate-forme dans des circonstances similaires) de prendre de telles mesures.
26. Nous estimons que ces arguments sont convaincants. Il serait en effet inapproprié de s'attendre à ce que Facebook intervienne dans les relations interpersonnelles et statue sur ce qui est vrai ou faux. Obliger Facebook à informer de manière proactive les amis d'un faux compte créé par un imposteur que le compte a été désactivé risquerait d'attirer encore plus d'attention sur la fausse information. Cette mesure éveillerait plus de soupçons qu'elle ne fournirait de réponses et risquerait de stigmatiser à nouveau la victime et d'exacerber les préjudices et l'embarras éventuels associés au compte.
27. Facebook a satisfait à l'exigence énoncée au principe 4.9.5 en désactivant et en supprimant rapidement le faux compte créé par l'imposteur. Nous reconnaissons que dans ces circonstances, la Loi n'oblige pas Facebook, en tant qu'organisation, à informer de la supercherie les personnes qui sont devenues des « amies » du compte de l'imposteur.

Autres préoccupations soulevées par la plaignante

19. La plaignante a également fait part de sa frustration de ne pas avoir pu communiquer avec Facebook directement ou par téléphone ̶ que la seule façon de le faire était par courriel et que le bureau de Facebook à Toronto n'avait pas pu lui venir en aide. Nous constatons que la Loi ne favorise ou n'impose pas une méthode de communication particulière avec les clients. Dès lors, Facebook n'a pas enfreint la Loi quand il a répondu par courriel uniquement.
20. La plaignante s'est également demandé pourquoi au départ, l'imposteur avait pu créer le compte Facebook. On peut donc se demander si le Commissariat devrait recommander que la création de tout nouveau compte Facebook soit précédée par l'identification et l'authentification de son créateur.
21. Dans des cas antérieurs, le Commissariat a estimé qu'une telle proposition aurait une incidence sur tous les sites de réseaux sociaux, de courriel, de jeux et autres qui offrent des comptes gratuits. Elle serait également extrêmement difficile à mettre en œuvre et pratiquement impossible à appliquer. Enfin, il faudrait que ce soit une initiative mondiale puisqu'il ne serait pas possible de la mettre en œuvre dans un seul pays.
22. Dans ces cas antérieurs, nous avons également examiné la possibilité de lier les procédures de vérification de tout compte Internet à un fournisseur de réseau. Nous avons constaté que le fournisseur en question devrait alors effectuer une vérification pour chaque utilisateur, ce qui pourrait bien entraîner des coûts pour chaque vérification. Même si cette mesure est possible pour les détenteurs de comptes fixes, elle n'offrirait aucune protection contre les éventuels imposteurs utilisant des cafés Internet, des ordinateurs de bibliothèque ou d'autres sites d'accès public à Internet.

Conclusion

32. Par conséquent, en ce qui concerne la suppression du compte de l'imposteur et la transmission d'un avis aux camarades figurant sur la liste d'« amis », nous concluons que la plainte n'est pas fondée.

Autre

33. Bien que la Loi n'oblige pas Facebook à informer les amis du compte de l'imposteur, nous demeurons vivement préoccupés par les conséquences psychologiques et les conséquences sur la réputation des personnes victimes d'usurpation d'identité sur les sites de réseautage social. Dans ce cas particulier, la plaignante, une non-utilisatrice de Facebook, était préoccupée par l'atteinte à la réputation de sa jeune fille qui avait été victime d'usurpation d'identité sur Facebook, où des commentaires inappropriés avaient été faits à ses amis. Elle a donc demandé l'aide de Facebook pour enrayer les conséquences de cet incident sur la réputation de sa fille.
34. Nous reconnaissons que les utilisateurs de Facebook peuvent utiliser cette plate forme pour corriger des renseignements erronés les concernant à partir de leur propre compte et rétablir leur réputation en ligne, à leur façon et comme ils l'entendent. Toutefois, nous demeurons préoccupés pour les non-utilisateurs de Facebook qui n'ont pas cette possibilité.
35. Après de nombreuses consultations entre Facebook et le Commissariat, nous sommes heureux que Facebook ait donné suite à notre préoccupation et accepté de mettre en œuvre un processus par lequel il examinera les allégations d'usurpation d'identité de non-utilisateurs qui sont portées à son attention et fera enquête au cas par cas lorsque la victime demande un type d'aide en particulier.
36. Même si Facebook n'enverra pas lui-même des avis aux « amis » figurant sur la liste d'amis de l'imposteur pour les informer de la supercherie, il a offert comme solution de faciliter un processus par lequel les non-utilisateurs eux-mêmes pourraient aviser les « amis » de l'imposteur. En définitive, cette solution met les non-utilisateurs sur le même pied que les utilisateurs, en leur permettant d'informer les « amis » de l'imposteur et de rétablir leur réputation en ligne à leur façon et comme ils l'entendent.
37. En l'espèce, toutefois, le faux compte de la fille de la plaignante et les renseignements connexes ont été supprimés rapidement et Facebook n'est donc malheureusement pas en mesure d'offrir à la plaignante une aide spéciale. Nous trouvons cependant encourageant que Facebook s'engage à fournir aux non utilisateurs qui présenteront des demandes semblables à l'avenir une aide spéciale en leur permettant d'atténuer le tort éventuel causé à leur réputation par les faux comptes.
38. Nous souhaitons remercier la plaignante d'avoir soulevé cette importante question auprès du Commissariat, car elle a pu ainsi attirer l'attention sur la crainte que l'accessibilité et la pérennité des renseignements personnels en ligne puissent nuire de façon inquiétante à la protection de la vie privée et à la réputation d'une personne. Comme les menaces pour la protection de la vie privée et la réputation sont si importantes et lourdes de conséquences, la protection des renseignements personnels et de la réputation en ligne doit être la responsabilité de tous, c'est-à-dire les autorités de protection des données, les organisations et les individus.
39. Nous aimerions également souligner que les personnes doivent être conscientes de leur présence en ligne. Ce cas rappelle l'importance de sensibiliser les jeunes et leurs parents aux usages abusifs de la technologie Internet et à la façon dont ces usages peuvent nuire à la réputation actuelle et future d'une personne. Il nous rappelle également d'être vigilants face à l'information qui existe en ligne sur chacun d'entre nous. Plus de faux renseignements nous concernant demeurent longtemps en ligne, plus ils risquent de porter atteinte à notre réputation.

Notes