Une entreprise de location avec option d’achat utilise un logiciel espion pour recueillir secrètement de grandes quantités de renseignements personnels de nature délicate en vue de récupérer des ordinateurs portables manquants

Rapport de conclusions en vertu de la LPRPDE n^o 2013-016

Au début de 2012, nous avons appris que plusieurs entreprises de location avec option d’achat au Canada auraient utilisé un logiciel espion appelé « Detective Mode » pour retrouver secrètement des ordinateurs portables manquants.

Le logiciel, fourni et pris en charge par la firme américaine DesignerWare Inc., pouvait être installé et activé à distance dans les ordinateurs portables loués. Il était conçu pour recueillir subrepticement des frappes, des coordonnées, des captures d’écran, des photographies prises avec la caméra Web et d’autres renseignements. Les données pouvaient être retransmises à l’entreprise de location afin de faciliter la récupération des ordinateurs portables qu’elle croyait perdus ou volés.

En consultation avec la Commission fédérale du commerce des États-Unis, la commissaire a déterminé qu’elle avait des motifs raisonnables de déposer une plainte contre un franchisé canadien d’Aaron's Inc., une grande entreprise cotée en bourse de location avec option d’achat. Parmi les motifs invoqués, on notait des éléments de preuve crédibles attestant que le franchisé avait demandé l’activation de Detective Mode à 30 occasions sur une période de six mois.

Dans notre plainte, nous alléguons qu’une personne raisonnable ne considérerait pas que la récupération d’ordinateurs manquants justifie le recours au logiciel Detective Mode. De plus, nous faisons valoir que, comme Detective Mode exerce une surveillance sans discernement, on a recueilli plus de renseignements que nécessaire aux fins prévues.

Notre enquête a montré que le franchisé en question n’utilisait plus Detective Mode. Il l’a cependant fait dans le passé en vue de récupérer des ordinateurs portables.

Le franchisé a affirmé que, compte tenu de ses pratiques de suppression de données, il était impossible d’établir le nombre exact d’utilisations de Detective Mode. Il a par contre confirmé avoir demandé au moins cinq activations pendant une même semaine, et ce, parce que l’entreprise croyait qu’une personne s’était enfuie avec un ordinateur portable loué sans avoir fait tous les paiements requis.

Le franchisé a affirmé que quatre des cinq activations avaient permis de retracer les biens manquants.

Nous avons constaté que les quatre activations réussies de Detective Mode se sont soldées par la collecte de centaines de pages de documents contenant des renseignements personnels de nature délicate. Entre autres, on a recueilli une photo d’un utilisateur prise avec la caméra Web, ainsi que des adresses de courriel, des adresses domiciliaires, des numéros de téléphone et des messages personnels destinés à des membres de la famille et à des amis. On a aussi obtenu des captures d’écran tirées de médias sociaux qui comportaient des photos d’enfants, ainsi que des messages publiés et d’autre contenu Internet.

Les données ont été recueillies subrepticement à l’aide de la caméra Web de l’ordinateur portable, par l’enregistrement des frappes de l’utilisateur, et même grâce à une page fictive d’inscription au système d’exploitation.

Aucun des noms ni aucune des autres coordonnées recueillies de cette manière ne correspondait aux personnes qui auraient disparu en emportant les ordinateurs portables loués. On ignore de quelle façon ces utilisateurs se sont retrouvés en possession des appareils.

Nous avons conclu que l’utilisation sans discernement des fonctions de surveillance de Detective Mode par l’entreprise a donné lieu à la collecte de plus de données personnelles que nécessaire aux fins de la récupération des ordinateurs portables.

Notre enquête nous a en outre permis de constater, avec une certaine inquiétude, que Detective Mode est parfaitement en mesure de prendre la photo d’un enfant dans sa chambre, ou encore de recueillir le nom d’utilisateur et le mot de passe bancaires d’un tiers innocent. Lorsque le logiciel est activé, le franchisé n’a aucun moyen de prévoir quels renseignements seront obtenus.

Bien que nous comprenions la volonté du franchisé de protéger ses actifs à l’aide de Detective Mode, nous avons conclu que la perte de protection de la vie privée qui en résultait était disproportionnée par rapport aux éventuels avantages financiers pour l’entreprise de location. En fait, il est difficile d’imaginer un objectif commercial pouvant justifier ce type de collecte excessive et secrète de renseignements personnels.

Après avoir pris connaissance de nos conclusions, le franchisé a promis de détruire le plus rapidement possible tous les renseignements personnels qui demeuraient en sa possession. Il s’est aussi engagé à ne plus jamais utiliser ce type de logiciel espion à l’avenir.

Par conséquent, nous avons déterminé que la plainte était fondée et résolue.

Par suite de notre enquête, nous avons transmis une copie du Rapport de conclusions à des dizaines d’autres entreprises de location avec option d’achat qui étaient, à notre avis, susceptibles d’avoir aussi eu recours à Detective Mode. Nous souhaitions les informer de la position du Commissariat quant à l’utilisation de tels logiciels et les inciter à prendre des mesures proactives pour assurer le respect de la Loi sur la protection des renseignements personnels et les documents électroniques.

Nous continuerons de suivre l’utilisation de logiciels de ce type sur le marché canadien.

Rapport de conclusions

Plainte en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques

1. Le 24 août 2012, le Commissariat à la protection de la vie privée du Canada a déposé une plainte aux termes du paragraphe 11(2) de la Loi au sujet de l’entreprise exploitée sous le nom d’Aaron’s Saskatoon. Le Commissariat avait des motifs raisonnables de croire que l’entreprise recueillait et utilisait des renseignements personnels en contravention de la Loi. On a depuis établi l’identité légale du mis en cause comme étant ACI Holdings Inc.
2. D’après les renseignements recueillis avant l’enquête, dont certains ont été fournis au Commissariat par la Commission fédérale du commerce des États-Unis en vertu de la U.S. SAFE WEB Act, la commissaire avait des motifs raisonnables de croire que le mis en cause avait recours à un logiciel appelé « Detective Mode » pour :
   1. recueillir et utiliser certains renseignements personnels à des fins qu’une personne raisonnable n’estimerait pas acceptables, notamment pour récupérer des ordinateurs portables loués et volés, en contravention du paragraphe 5(3) de la Loi;
   2. recueillir davantage de renseignements personnels que nécessaire afin de récupérer les ordinateurs portables volés, en contravention du principe 4.4 de l’annexe 1 de la Loi.
3. L’enquête a porté sur les deux questions ci‑dessus.

Contexte

4. Le mis en cause est une entreprise privée canadienne constituée en société en Saskatchewan qui exploite deux magasins franchisés d’Aaron's Inc., soit un à Saskatoon, en Saskatchewan, et l’autre à Edmonton, en Alberta. Par l’entremise de ces magasins de location avec option d’achat, le mis en cause loue des ordinateurs portables et d’autres articles.
5. Aaron's est une entreprise américaine cotée en bourse qui fait la location de meubles et d’appareils électroniques par l’intermédiaire de ses propres magasins et de franchises situés aux États-Unis, au Canada et dans d’autres pays.
6. Dans le contexte de son entreprise de location avec option d’achat, le mis en cause employait le logiciel « PC Rental Agent », qui permet à un locateur (par exemple le mis en cause) de verrouiller un ordinateur si le locataire ne respecte pas les modalités du contrat de location. PC Rental Agent permet aussi l’installation et l’activation à distance d’un programme complémentaire appelé « Detective Mode », qui recueille certains renseignements personnels afin de faciliter la récupération des ordinateurs que le locateur croit perdus ou volés.
7. Pendant toute la période visée par la plainte et l’enquête, Detective Mode était mis au point, fourni et pris en charge par la firme DesignerWare Inc., installée en Pennsylvanie.
8. Detective Mode avait été conçu pour recueillir certains renseignements dans un ordinateur portable perdu ou volé et les communiquer par Internet au locateur afin de faciliter la récupération de l’appareil. Detective Mode offrait trois niveaux d’activité, au choix du locateur :
   1. le niveau 1 permettait d’obtenir une capture d’écran et des frappes (c’est-à-dire les touches enfoncées par l’utilisateur de l’ordinateur portable) toutes les deux minutes pendant une heure;
   2. le niveau 2 permettait de recueillir l’information de niveau 1 toutes les deux minutes, mais pendant une période indéfinie, jusqu’à ce que le locateur ordonne l’arrêt de la collecte;
   3. le niveau 3 permettait d’obtenir l’information de niveau 2 et de paralyser l’ordinateur, qui affichait alors une fenêtre précisant ce qui suit : [traduction]

« ****** Cette copie de Windows n’est pas activée ******

Pour activer Microsoft Windows, vous devez sauvegarder l’information associée à votre licence. Microsoft Windows confirmera si votre adresse et votre code postal correspondent à un emplacement valide pour s’assurer que vous n’êtes PAS victime de piratage. »

Une fois que l’utilisateur avait soumis son nom, son adresse, ses numéros de téléphone et son adresse de courriel, une photographie était prise par la caméra Web, puis transmise au locateur avec l’information fournie.

9. Chaque client utilisant Detective Mode devait désigner le principal détenteur du compte qui, à l’aide d’un mot de passe, pouvait demander l’activation de Detective Mode au nom du locateur et recevoir l’information recueillie par le logiciel.

Sommaire de l’enquête

10. L’enquête a montré que le mis en cause était client de DesignerWare depuis mai 2008, et nous avons des éléments de preuve indiquant qu’entre novembre 2010 et mai 2011, il a demandé l’activation de Detective Mode dans au moins trente ordinateurs portables qu’il avait loués et qu’il pensait volés.
11. Le mis en cause a confirmé au Commissariat qu’il avait employé Detective Mode afin de faciliter la récupération d’ordinateurs portables perdus ou volés, mais qu’il ne s’en servait plus depuis mai 2011.
12. Selon le mis en cause, les documents générés par Detective Mode ont généralement été supprimés en continu pendant la période où le logiciel a été utilisé, et la plupart de ceux qui restaient ont été éliminés peu de temps après qu’il a cessé d’avoir recours à l’application. Le mis en cause a par conséquent fait valoir qu’il n’était pas en mesure de confirmer le nombre exact de fois où il avait demandé l’activation de Detective Mode entre novembre 2010 et mai 2011.
13. Cependant, le mis en cause a aussi affirmé qu’il avait réalisé une vérification approfondie des dossiers électroniques et des courriels archivés, ce qui avait permis d’établir qu’il avait demandé l’activation de Detective Mode à au moins cinq occasions pendant les six mois visés. Plus précisément, les dossiers ont montré que ces cinq activations confirmées ont été demandées sur une période d’une semaine, entre le 3 et le 9 novembre 2010.
14. Le mis en cause a indiqué au Commissariat que chacune des cinq demandes d’activation confirmées avait pour but de tenter de localiser un client pour récupérer un ordinateur portable après que le client eut mis fin aux paiements. Le mis en cause a de plus affirmé que dans chacun de ces cas, il avait tenté en vain de contacter le client par téléphone, par courrier ou en se rendant à sa dernière adresse connue avant d’utiliser Detective Mode, et que l’activation n’avait jamais été demandée à une autre fin.
15. Selon notre enquête, quatre des cinq demandes confirmées d’activation de Detective Mode soumises par le mis en cause ont donné lieu à l’installation du logiciel sur l’ordinateur portable disparu et à la collecte de renseignements personnels sur les utilisateurs. Le mis en cause a fourni des copies de ce qu’il affirme être tous les documents recueillis par suite des quatre activations (« documents de Detective Mode »). Les documents faisaient au total 388 pages, ce qui comprend les avis administratifs sur l’activation transmis par DesignerWare au principal détenteur du compte. Les renseignements personnels recueillis au sujet des utilisateurs des ordinateurs portables comprenaient notamment ce qui suit :
    1. caméra Web — photo de l’utilisateur de l’ordinateur portable;
    2. frappes et activation d’une fausse « page d’inscription à Microsoft » — adresses de courriel, adresses postales, numéros de téléphone, messages personnels à des amis et à des membres de la famille, etc.;
    3. captures d’écran — pages de sites de réseautage social (y compris des photos des utilisateurs, de leurs amis, de leurs enfants et d’autres membres de leur famille et les messages affichés) et autre contenu Internet.
16. Selon les renseignements recueillis par le logiciel Detective Mode (p. ex. nom et coordonnées), aucun des utilisateurs au sujet desquels des données ont été obtenues ne semblait être le locataire de l’ordinateur portable. On ne sait pas comment ces personnes se sont retrouvées en possession des appareils prétendument volés.
17. Dans chacun des quatre cas d’activation réussie de Detective Mode, l’ordinateur portable a été retrouvé. Le mis en cause affirme ne détenir aucune information pour expliquer : i) comment les ordinateurs portables ont été retrouvés; ii) le cas échéant, quelle information recueillie au moyen de Detective Mode a permis de retrouver les appareils.
18. Le mis en cause affirme qu’il a cessé d’utiliser le logiciel Detective Mode en mai 2011. Il signale également que, depuis cette date, il n’a utilisé aucun logiciel pour retrouver des ordinateurs perdus ou volés et s’est tourné vers les méthodes traditionnelles de récupération du matériel (p. ex. appels et visites chez le dernier locataire).
19. En réaction à nos préoccupations, le mis en cause s’est engagé à ne plus utiliser de logiciel comme Detective Mode (c.-à-d. des logiciels qui recueillent subrepticement des frappes, des captures d’écran et des photos de caméra Web).
20. Le mis en cause signale qu’il est incapable de supprimer tous les documents de Detective Mode, puisqu’ils se trouvent sur les serveurs d’Aaron, aux États-Unis, et sont détenus par Aaron dans le cadre d’une poursuite judiciaire en cours. Le mis en cause a toutefois obtenu la confirmation écrite qu’Aaron :
    1. a supprimé l’accès du mis en cause à tous les documents de Detective Mode sur ses serveurs,
    2. supprimera tous les documents de Detective Mode qui se trouvent sur ses serveurs dès que cela sera légalement autorisé.

Application

21. Pour prendre notre décision, nous avons appliqué le paragraphe 5(3) et l’alinéa 7(1)b) de la Loi sur la protection des renseignements personnels et les documents électroniques, ainsi que les principes 4.4, 4.4.1 et 4.4.2 de l’annexe 1 de la Loi.
22. En vertu du paragraphe 5(3), « l’organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu’à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances ».
23. Selon l’alinéa 7(1)b), l’organisation peut recueillir des renseignements personnels à l’insu de l’intéressé et sans son consentement si la collecte est raisonnable à des fins liées à une enquête sur la violation d’un accord et s’il est raisonnable de s’attendre à ce que la collecte effectuée au su ou avec le consentement de l’intéressé puisse compromettre l’exactitude du renseignement ou l’accès à celui-ci.
24. Selon le principe 4.4, « [l]'organisation ne peut recueillir que les renseignements personnels nécessaires aux fins déterminées et doit procéder de façon honnête et licite ». Plus précisément, le principe 4.4.1 stipule que les organisations ne doivent pas recueillir des renseignements de façon arbitraire et que l’on doit restreindre tant la quantité que la nature des renseignements recueillis à ce qui est nécessaire pour réaliser les fins déterminées. Enfin, le principe 4.4.2 vise à empêcher de telles organisations de tromper les gens et de les induire en erreur quant aux fins auxquelles les renseignements sont recueillis.

Analyse

Fins acceptables

25. Pour déterminer si la collecte et l’utilisation de renseignements personnels par le mis en cause étaient à des fins raisonnablement acceptables dans les circonstances, au sens du paragraphe 5(3) de la Loi, nous avons jugé utile de recourir au critère en quatre parties ayant déjà servi dans d’autres contextes :
    1. La collecte de renseignements personnels grâce aux mesures de surveillance en question est-elle nécessaire pour répondre à un besoin démontrable?
    2. La collecte est-elle susceptible de répondre efficacement à ce besoin?
    3. L’atteinte à la vie privée est-elle proportionnelle à l’avantage obtenu?
    4. Y a-t-il un moyen moins envahissant de parvenir aux mêmes fins?
26. Bien que l’utilisation du logiciel Detective Mode puisse permettre au mis en cause d’atteindre son objectif de retrouver les ordinateurs volés, il ne nous apparaît pas évident que la collecte secrète de renseignements personnels qui en découle soit un besoin démontrable, ou le moyen le moins envahissant d’atteindre cet objectif. En fait, le mis en cause est retourné (paragraphe 18) à un mode plus traditionnel de recherche des appareils, qui porte moins atteinte à la vie privée. Qui plus est, à l’instar de nombreuses entreprises de location avec option d’achat, le mis en cause continue d’offrir des services de location de meubles et de matériel, autre que des ordinateurs portables, qui ne comportent pas de logiciel de surveillance pour la récupération en cas de vol.
27. De notre point de vue, il est évident que l’atteinte à la vie privée qui découle de l’utilisation du logiciel Detective Mode dans ce contexte est tout à fait disproportionnée par rapport aux avantages possibles. Chacune des quatre activations confirmées a donné lieu à la collecte secrète et à l’utilisation de renseignements personnels au sujet de personnes qui n’étaient pas le locataire soupçonné de s’être enfui avec l’ordinateur portable. Le mis en cause a non seulement recueilli les coordonnées (dont l’adresse) des utilisateurs, mais a aussi obtenu des photos de ceux-ci, de leurs amis, de leurs enfants et d’autres membres de leur famille, de même que des extraits de conversations personnelles et de l’information sur les sites Web visités et le contenu consulté. En outre, les documents fournis par le mis en cause correspondent à ce qui a été recueilli à partir de quatre activations au cours d’une semaine seulement. Nous en déduisons que le nombre total d’activations – et, par le fait même, la quantité de renseignements personnels recueillis par le mis en cause au sujet des utilisateurs des ordinateurs portables – excède de beaucoup ce qui a été confirmé par le mis en cause.
28. Cela va dans le même sens que les résultats d’une enquête menée par la Commission fédérale du commerce (FTC) au sujet de cas similaires aux États-Unis. Le 25 septembre 2012, la FTC a annoncé ses projets de plainte contre plusieurs mis en cause, y compris DesignerWare, et ses dirigeants, et sept boutiques américaines de location avec option d’achat (« projets de plainte de la FTC »). Dans ses projets de plainte, la FTC allègue que les mis en cause ont violé les lois américaines et centre son attention sur l’utilisation de Detective Mode par les boutiques américaines de location avec option d’achat. Selon la FTC, les mis en cause ont recueilli des renseignements personnels très délicats, tels que des noms d’utilisateur et des mots de passe de comptes de courriel, de sites de réseautage social et d’établissements financiers; des numéros de sécurité sociale; des renseignements médicaux; des courriels envoyés en privé à des médecins; des relevés de compte bancaire et de carte de crédit; des photos d’enfants, de personnes partiellement vêtues et d’activités intimes prises à la maison au moyen d’une caméra Web.
29. Le logiciel Detective Mode permet la surveillance secrète et systématique des utilisateurs, bien souvent à leur domicile, peu importe leur âge et leur relation avec le locateur. Notre enquête a révélé que l’utilisation de Detective Mode a donné lieu à la collecte d’une grande quantité de renseignements personnels, de nature parfois très délicate, à l’insu et sans le consentement des personnes concernées. En conséquence, nous concluons qu’une personne raisonnable n’aurait pas, au sens du paragraphe 5(3), estimé acceptables les fins pour lesquelles le mis en cause a utilisé le logiciel Detective Mode.
30. Compte tenu de cette conclusion, nous n’avons pas cherché à savoir si le mis en cause a tenté ou non d’obtenir un consentement pour l’utilisation de Detective Mode. Le paragraphe 5(3) de la Loi fournit une norme objective à partir de laquelle on peut mesurer la collecte, l’utilisation ou la communication de renseignements personnels, indépendamment du consentement ou de l’absence de consentement des utilisateurs. En conséquence, même la collecte de renseignements personnels faite avec le consentement de la personne est susceptible de contrevenir à la Loi si elle est effectuée à des fins inacceptables selon le paragraphe 5(3).
31. Pour les mêmes raisons, nous ne nous sommes pas demandé si s’appliquait l’exception à l’égard de l’obligation d’obtenir un consentement, énoncée à l’alinéa 7(1)b) de la Loi.

Limitation en matière de collecte

32. Selon notre enquête, le mis en cause, comme tout locateur ayant recours au logiciel Detective Mode, n’avait aucun pouvoir sur la nature de l’information recueillie, ni sur l’identité des personnes au sujet desquelles l’information était obtenue. Le logiciel peut avoir recueilli des renseignements utiles à l’atteinte de l’objectif du mis en cause, mais des photos de caméra Web, des frappes et des captures d’écran ont été obtenues même s’il était inévitable que cela fournisse beaucoup plus de renseignements personnels que ce qui était nécessaire pour retrouver les ordinateurs disparus.
33. Comme on l’a signalé précédemment, dans le contexte de la plainte, le mis en cause a recueilli non seulement les coordonnées des utilisateurs des ordinateurs portables, mais aussi des photos des amis, des enfants et d’autres membres de la famille des utilisateurs, de même que des extraits de conversations personnelles et de l’information sur les sites Web visités et le contenu consulté.
34. En outre, le mis en cause n’était pas en mesure de déterminer au sujet de qui les renseignements seraient recueillis lorsqu’il a demandé l’activation de Detective Mode. Au moment de l’activation, l’utilisateur pouvait aussi bien être le locataire de l’appareil, un voleur ou même un enfant ou une personne ayant acheté l’ordinateur sans être au courant de la situation. En fait, chacune des quatre activations confirmées a donné lieu à la collecte de renseignements personnels au sujet de personnes qui n’étaient pas le locataire soupçonné d’avoir volé l’ordinateur.
35. À la lumière de notre enquête, nous concluons que, contrairement aux principes 4.4 et 4.4.1 énoncés à l’annexe 1 de la Loi, la façon arbitraire dont les renseignements ont été recueillis au moyen du logiciel Detective Mode a donné lieu à la collecte de plus de renseignements personnels que ce qui était nécessaire aux fins de la récupération des ordinateurs portables.
36. De plus, nous sommes d’avis que l’information provenant d’une fausse « page d’inscription à Microsoft Windows » a été obtenue par des moyens frauduleux. Les renseignements fournis par les utilisateurs pour vérifier la licence de Windows étaient, en fait, transmis au locateur aux fins de la récupération des appareils. Selon nous, il s’agit de renseignements personnels obtenus par tromperie, ce qui contrevient au principe 4.4 de l’annexe 1 de la Loi, de même qu’au principe 4.4.2 qui fournit des précisions à cet égard.

Conclusion

37. Conformément aux résultats de notre enquête et à l’analyse ci-dessus, nous concluons que le mis en cause, par son utilisation du logiciel Detective Mode aux fins de la récupération d’ordinateurs portables loués, a contrevenu à la Loi sur la protection des renseignements personnels et les documents électroniques : i) en recueillant des renseignements personnels à des fins qu’une personne raisonnable n’estimerait pas acceptables dans les circonstances; ii) en recueillant plus d’information que ce qui était nécessaire pour atteindre son objectif. En réaction à nos préoccupations, le mis en cause s’est engagé à ne plus utiliser de logiciel du même type que Detective Mode (soit des logiciels qui recueillent subrepticement des frappes, des captures d’écran et des photos de caméra Web) et a obtenu la confirmation de l’entreprise Aaron qu’elle : i) a supprimé l’accès du mis en cause à tous les documents de Detective Mode se trouvant sur ses serveurs; ii) supprimera tous ces documents dès que cela sera légalement autorisé. En conséquence, nous estimons que la plainte est fondée et résolue.

Autre

38. Le 25 septembre 2012, après le début de l’enquête, la Commission fédérale du commence (FTC) a proposé la prise de neuf ordonnances par consentement. En application des ordonnances proposées relativement à DesignerWare, dans le contexte des transactions de location avec option d’achat, il serait interdit à l’entreprise d’utiliser une technologie de surveillance (y compris le logiciel Detective Mode), de vendre cette technologie ou des licences ou d’en fournir l’accès d’une façon ou d’une autre à un tiers au pays ou à l’étranger. Les ordonnances par consentement proposées contre les entreprises de location avec option d’achat prévoient l’interdiction de l’utilisation de la technologie de surveillance et de renseignements recueillis de manière inappropriée dans ce contexte.