Résultats réels — Vol. 2

La recherche innovatrice pour protéger les droits relatifs à la vie privée

Commissariat à la protection de la vie privée du Canada

Mai 2016

---

Introduction

Depuis que notre vie s'affiche en ligne, la question de la protection de la vie privée est étroitement liée à Internet. Les inquiétudes suscitées par les atteintes à la sécurité, le vol d'identité et le suivi sur le Web ne datent pas d'hier.

De nouveaux enjeux liés à la protection de la vie privée font leur apparition à mesure que la technologie progresse. Les données se déplacent à la vitesse de l'éclair. La connectivité est intégrée aux « objets » qui nous entourent—nos appareils mobiles, nos capteurs corporels, nos maisons et même nos voitures. Nous pouvons stocker et analyser d'immenses quantités de « mégadonnées » .

Mais quels sont les risques pour notre vie privée?

Les bases de données généalogiques renferment désormais des milliards de dossiers en ligne. Et ces renseignements personnels, qui peuvent être agrégés et vendus au plus offrant, sont recoupés avec des dossiers médicaux et des données de séquençage génétique et ce, à des fins qui sont encore en grande partie inconnues.

Alors que nous prenons le volant de voitures branchées à Internet, nos activités peuvent être suivies, surveillées et exploitées, faisant de nous les transmetteurs involontaires de données de géolocalisation et de données démographiques et commerciales. Quant aux enfants, qui jouent de plus en plus à des jeux en ligne et avec des jouets connectés à Internet, ils ne savent pas forcément comment protéger leur vie privée et éviter que les données qui les concernent soient exploitées.

Parfois, les données que nous affichons peuvent nuire à notre capacité d'obtenir un emploi, d'aller en vacances à l'étranger ou d'être entraîneur bénévole pour l'équipe de soccer de nos enfants.

Même les petits démêlés que nous avons eus par le passé avec la justice—que ce soit en tant que suspect ou comme personne demandant des soins médicaux—peuvent donner lieu à des dossiers de non-condamnation. Ces dossiers, qui renferment parfois des données de nature délicate sur la santé mentale, peuvent être conservés dans les bases de données des services de police et communiqués dans des situations non précisées à des employeurs éventuels et à des gestionnaires de bénévoles.

Bon nombre d'innovations en ligne ont rendu notre vie plus facile, plus commode et plus agréable. Certaines ont même renforcé notre sécurité. Mais ne sommes-nous pas en train de sacrifier notre vie privée en échange des avantages de l'ère numérique?

Où notre piste électronique mène-t-elle? Qui possède nos renseignements personnels? Et comment pouvons-nous les protéger à l'ère numérique?

Comment pouvons-nous développer de nouveaux outils et des compétences, connaissances et conceptions nouvelles pour comprendre les enjeux liés à la protection de la vie privée et garder le contrôle de nos renseignements personnels?

Ce sont là des questions complexes auxquelles des chercheurs de partout au pays se sont attaqué grâce aux fonds fournis par le Commissariat à la protection de la vie privée du Canada.

Des résultats réels

Le Programme des contributions du Commissariat à la protection de la vie privée du Canada finance des projets de recherche indépendants et des initiatives connexes d'application des connaissances visant à générer des idées, des approches et des renseignements novateurs sur la vie privée au Canada. Ces projets, en plus de faire progresser le savoir collectif sur la vie privée, livrent de vrais résultats de recherche tangibles que les Canadiennes et les Canadiens peuvent utiliser pour prendre des décisions éclairées concernant la protection de leur propre vie privée et que les organisations peuvent mettre en pratique pour mieux s'acquitter de leurs obligations en matière de protection des renseignements personnels.

Les projets présentés ici constituent un échantillon récent de la recherche indépendante novatrice et socialement pertinente que le Commissariat appuie depuis le lancement du Programme des contributions.

En plus de fournir des renseignements sur les projets eux-mêmes, Des résultats réels présente les commentaires et idées des chercheurs indépendants derrière les projets. Même si les opinions exprimées ne correspondent pas nécessairement à celles du Commissariat à la protection de la vie privée du Canada, elles proposent des points de vue uniques sur les problèmes et aident à définir la valeur pratique des de recherche sur la protection de la vie privée que nous finançons.

Le Commissariat à la protection de la vie privée du Canada

Le Parlement a confié au commissaire à la protection de la vie privée du Canada le mandat de veiller à la protection de la vie privée au Canada. Le commissaire est responsable de l'application de deux lois fédérales relatives à la protection des renseignements personnels : la Loi sur la protection des renseignements personnels, qui s'applique au secteur public fédéral, et la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), qui régit la protection de la vie privée dans le secteur privé au Canada.

À titre de défenseur du droit à la vie privée au Canada, le Commissariat a pour mandat de sensibiliser le grand public et de favoriser la compréhension des droits en matière de protection de la vie privée de plusieurs façons, notamment par l'entremise de la recherche. Par le truchement de son Programme des contributions, le Commissariat finance la recherche sur des enjeux relevant du champ d'application de la LPRPDE, qui définit les règles de base de la collecte, de l'utilisation ou de la communication de renseignements personnels par les organisations dans le cadre d'activités commerciales.

La vérification des antécédents : Livre-t-elle trop d'information?

Vous avez posé votre candidature pour l'emploi de vos rêves, mais plutôt que de recevoir une offre d'emploi, vous recevez la lettre de refus tant redoutée.

Peut-être que vous n'étiez pas aussi qualifié que les autres candidats. Mais qu'en est-il si votre candidature a été rejetée en raison d'une accusation criminelle abandonnée il y a 20 ans ou d'un incident de santé mentale survenu il y a très longtemps et pour lequel la police a été appelée?

La plupart des gens présument que s'ils n'ont pas de casier judiciaire, c'est-à-dire qu'ils n'ont jamais été reconnus coupables d'une infraction en vertu du Code criminel, ils n'auront pas de difficulté à franchir l'étape de la vérification des antécédents. Alors pourquoi devraient-ils s'inquiéter?

Selon Laura Berger, directrice de programme par intérim de l'Association canadienne des libertés civiles (ACLC), les employés et les stagiaires éventuels auraient beaucoup à craindre de la vérification des antécédents, qu'ils le sachent ou non.

« Les gens sont souvent très surpris de voir quels renseignements peuvent figurer dans une vérification du dossier de police ou des antécédents, explique M^me Berger. La plupart supposent à tort que seules les condamnations criminelles y sont indiquées : en fait, à peu près tous les renseignements que la police recueille et conserve au sujet d'une personne peuvent être communiqués. »

Les employés et les stagiaires éventuels peuvent donc se voir refuser un emploi en raison d'une longue liste de renseignements de non-condamnation. Qu'est-ce qui figure sur la liste? Le fait d'avoir été accusé d'un crime, mais jamais déclaré coupable. Le simple fait d'avoir été acquitté d'un crime. Le fait qu'une enquête policière mentionne votre nom. Le fait d'avoir appelé le 911 pour une crise en santé mentale. Et ainsi de suite.

Or, la communication de ces renseignements peut constituer un obstacle important à des possibilités d'emploi, de formation et de bénévolat, aux voyages à l'étranger et à l'obtention de certains services sociaux.

« C'est une pratique injuste qui pourrait affecter des milliers de gens ordinaires innocents », affirme M^me Berger.

Des millions de vérifications menées chaque année

Même l'ACLC a d'abord été surprise de l'ampleur du problème. En 2012, après avoir publié son premier rapport sur le sujet intitulé Presumption of Guilt? The Disclosure of Non-Conviction Records in Police Background Checks, l'organisme a été contacté par des dizaines de personnes durement touchées par la communication de renseignements de non-condamnation.

« Nous pensions que notre rapport serait populaire auprès des juristes et il est finalement devenu un ouvrage de référence, explique M^me Berger. Mais nous avons été inondés d'appels et de courriels de gens qui ont été touchés personnellement. Nous avons été vraiment surpris de l'étendue du problème. »

Dans le cadre d'un projet de recherche récent financé par le Programme des contributions du Commissariat à la protection de la vie privée intitulé « Vérifications des antécédents par la police et secteur privé », l'ACLC s'est concentrée sur les organismes privés et les organismes sans but lucratif qui s'adressent à la police pour faire des vérifications des antécédents dans le cadre de leurs pratiques courantes d'embauche et de gestion.

Il ressort de la recherche que les corps policiers partout au pays effectuent chaque année des millions de vérifications des dossiers et communiquent des renseignements qui vont bien au-delà des déclarations de culpabilité et des verdicts officiels de culpabilité.

« Les entreprises privées considèrent qu'il s'agit d'une façon d'atténuer les risques, et elles veulent protéger leurs clients et leurs biens, indique M^me Berger. Elles peuvent se sentir contraintes de mener des vérifications des dossiers de police en raison des pressions exercées par leur compagnie d'assurance ou des exigences réglementaires ou contractuelles. La plupart d'entre elles n'ont toutefois pas élaboré de lignes directrices pour déterminer ce qui est pertinent ou non dans les antécédents d'une personne. »

Quant à l'application des lois régissant la protection des renseignements personnels et les droits de la personne, c'est une autre question. Selon le rapport de recherche, ces lois ne sont pas appliquées de manière uniforme dans le contexte de l'emploi. Cela s'explique en partie par le fait qu'il y a « un ensemble de lois différentes qui s'appliquent à différents éléments », explique M^me Berger.

Toutes les lois canadiennes sur les droits de la personne interdisent la discrimination fondée sur la maladie mentale, mais seulement quelques provinces et territoires offrent une protection au titre des droits de la personne à ceux qui ont eu des démêlés avec la police par le passé. En pareil cas, les personnes touchées peuvent communiquer avec la commission locale des droits de la personne ou avec une clinique juridique qui examine les plaintes.

L'ACLC demande des réformes concrètes pour favoriser le respect de la vie privée, des droits de la personne et de la présomption d'innocence. L'organisme milite en outre afin « de réintégrer de façon générale le contexte et l'équilibre dans l'utilisation que fait la société des vérifications des dossiers de police ».

Selon M^me Berger, le problème s'aggravera considérablement avant de s'atténuer. « Les demandes de vérification des dossiers de police ou des antécédents émanant des organisations canadiennes sont en hausse. Pour un nombre croissant d'organisations, elles font partie des pratiques de base en matière d'embauche et de gestion. »

Ces demandes proviennent non seulement d'employeurs, mais aussi de gestionnaires de bénévoles, d'établissements d'enseignement, d'organismes qui délivrent des permis et de pouvoirs publics.

Ce que vous ne savez pas pourrait bien vous nuire

Fait ironique, bon nombre de gens qui posent leur candidature à un emploi ou à une formation ne sauront jamais qu'ils n'ont pas obtenu le poste convoité ou la formation demandée à cause d'un dossier de non-condamnation. Il se pourrait en effet qu'on ne leur dise jamais que leur candidature a été rejetée en raison de renseignements de non-condamnation communiqués dans le cadre d'une vérification de routine des antécédents.

Dans le cas des personnes qui ont eu des démêlés avec la justice, M^me Berger recommande qu'elles demandent copie de leur casier judiciaire pour voir quels renseignements y figurent.

Une personne qui pense avoir été lésée a-t-elle des recours? Vers qui peut-elle se tourner?

Il est possible de demander aux services de police que certains renseignements soient « expurgés » ou « supprimés ». Mais les services de police n'ont pas tous des procédures en place pour le faire. En pareil cas, l'intéressé peut communiquer avec une commission des droits de la personne ou une clinique juridique pour porter plainte.

L'ACLC a créé un large éventail de ressources et de produits éducatifs pour aider les gens à comprendre leurs droits et les étapes à suivre s'ils ont fait l'objet d'une discrimination fondée sur des renseignements de non-condamnation. L'Association a aussi élaboré des pratiques exemplaires à l'intention des employeurs afin de les sensibiliser davantage à leurs obligations juridiques et de les inciter à ne s'intéresser qu'aux renseignements pertinents.

« Nous abordons cette question sous différents angles, dit M^me Berger. Nous nous efforçons notamment à sensibiliser les employeurs afin qu'ils soient moins portés à utiliser la vérification des antécédents comme outil de gestion du risque. Ce n'est pas là un moyen infaillible. »

Ressources du CPVP

Passez à la prochaine étape

Vous voulez savoir ce qu'est un dossier de police, comment s'y prendre face à un dossier de non-condamnation, quelles sont les lois applicables en matière de protection de la vie privée ou de droits de la personne, ou quelles sont les pratiques exemplaires de la part des employeurs?

L'ACLC a élaboré une série de lignes directrices et de fiches d'information sur tous ces sujets. (en anglais).

Généalogie incorporée

« Qui sont nos ancêtres? » La quête d'une réponse à cette question a fait de la généalogie un passe-temps extrêmement populaire au Canada.

Qu'ils découvrent un petit aristocrate, un réformateur politique ou même un criminel de bas étage, les gens s'investissent à fond pour en apprendre davantage sur les personnes qui font partie de leur histoire familiale et peuplaient leur pays d'origine, ne serait-ce que pour avoir une anecdote savoureuse à raconter. L'intérêt a aussi été stimulé par les généalogies de vedettes présentées dans le cadre d'émissions de télévision comme Qui êtes-vous?.

La recherche généalogique comportait auparavant un aspect fastidieux consistant à envoyer des lettres, à explorer personnellement les fonds d'archives et à se rendre dans les palais de justice, les églises et les bibliothèques pour demander copie de registres et de renseignements. Elle est aujourd'hui devenue virale grâce à la facilité avec laquelle on peut mener ces recherches sur Internet.

Des milliards de certificats de mariage et de décès, de dossiers de recensement du gouvernement, de listes de passagers de navires, de dossiers d'archives de l'armée, d'annuaires municipaux, de photos de familles et d'autres données ont été téléchargés dans Internet par des particuliers, des organismes sans but lucratif et des entreprises de généalogie à but lucratif. Et la ruée vers la numérisation des renseignements sur les ancêtres ne semble pas vouloir ralentir.

Mais à qui appartiennent ces renseignements? Qui les protégera au fil du temps?

Un secret de famille suscite des recherches plus poussées

Il y a environ dix ans, éperonnée par le désir de mettre au jour un secret de famille, Julia Creet, professeure agrégée d'anglais à l'Université York de Toronto, a entrepris sa propre quête pour trouver ses ancêtres. Cherchant des renseignements au sujet de sa mère, qui avait caché son identité juive après avoir survécu à l'Holocauste, M^me Creet a passé des années à éplucher des archives familiales et une foule d'autres documents.

Mais plus elle creusait, plus elle se posait de questions sur l'entreprise de généalogie elle-même.

« J'ai commencé à avoir le sentiment que beaucoup, beaucoup de gens faisaient de la recherche généalogique et qu'il y avait un tout autre aspect à cette entreprise, explique M^me Creet. J'ai commencé à me poser la question : Si je suis à la recherche des fantômes de mon arbre généalogique (le zeitgeist), mes motivations sont-elles purement individuelles ou s'inscrivent-elles dans un courant plus puissant? »

Ces questions l'ont chicotée et l'ont amenée à faire une enquête plus poussée sur les raisons de la croissance exponentielle de la généalogie, l'incitant finalement à produire le film documentaire intitulé Data Mining the Deceased.

Réalisé grâce au soutien financier du Programme des contributions du Commissariat à la protection de la vie privée du Canada, le film suit les démarches de M^me Creet pour découvrir les principaux acteurs de l'industrie de la généalogie et analyser leurs motivations. Outre les questions épineuses concernant l'identité raciale, le film soulève des préoccupations en ce qui a trait à la propriété et à la confidentialité des données personnelles, particulièrement dans le contexte de la fusion de l'information génétique et généalogique.

« Je n'ai pas commencé en m'interrogeant sur la protection de la vie privée, mais il est vite devenu évident qu'il y avait des tensions au sein même de ma propre famille. En effet, ce n'est pas tout le monde qui veut rendre publics ses secrets de famille, explique M^me Creet. Toute une nouvelle série de questions ayant trait à la protection de la vie privée surgissent lorsque des renseignements personnels sont ajoutés à des bases de données en ligne et agrégés. Lorsque vous associez ces renseignements à de l'information génétique, ce que vous donnez est beaucoup plus précieux que ce que vous obtenez en retour. »

L'arbre généalogique de l'Islande

La caméra suit d'abord M^me Creet en Islande, qui possède la base de données généalogiques la plus complète au monde—ses registres d'état civil remontent au 9e siècle, peu après la colonisation de l'île isolée.

La situation de l'Islande a attiré l'attention du monde entier lorsque, dans les années 1990, la compagnie de génétique privée deCODE a voulu fusionner la recherche sur l'ADN et les données démographiques du système de santé national dans le but de découvrir des facteurs de risque génétiques de maladies courantes.

L'entreprise a aussi fourni des fonds pour accélérer la numérisation des dossiers généalogiques des Islandais et demandé à des volontaires d'accepter le prélèvement de leur ADN. Elle a par la suite obtenu un permis de 12 ans du gouvernement, de même que la permission de l'autorité nationale de protection des données, pour accéder à des dossiers médicaux nationalisés. Même si cet accès a par la suite été retiré après un tollé de protestations de la part du public, des dizaines de milliers de dossiers avaient déjà été transférés à l'entreprise.

« À l'instar du canari dans la mine de charbon, l'expérience de l'Islande doit nous alerter. Lorsque deCODE a commencé à croiser l'information génétique et généalogique, les questions de protection de la vie privée ont fait surface. Certains ont commencé à s'opposer au fait que leurs antécédents médicaux fassent partie d'une base de données privée », indique M^me Creet, soulignant que la société deCODE a depuis lors été vendue au géant de la biotechnologie américain Amgen, compliquant encore davantage la question de la propriété des données.

« Peu de gens lisent les mentions en petits caractères, ajoute M^me Creet, mais lorsque vous donnez votre ADN à une base de données privée, l'entreprise acquiert tous les droits de propriété. Elle peut agréger les données, les vendre à d'autres entreprises et les vendre à des fins de recherches qui peuvent être menées par des organismes sans but lucratif ou à but lucratif. »

Des milliards de dossiers se retrouvent maintenant en ligne

Même lorsque des bénévoles investis d'une mission religieuse créent des bases de données sans but lucratif, des intérêts privés peuvent y être associés, comme l'a découvert M^me Creet lorsqu'elle a commencé à démêler les liens entre la base de données gratuite FamilySearch de l'Église mormone et ancestry.com, propriété d'Ancestry et « plus grande ressource généalogique en ligne ». Le site compte deux millions d'abonnés payants qui peuvent accéder à plus de 16 milliards de documents.

Les mormons croient qu'ils devraient offrir le baptême à leurs parents décédés. Pour aider les membres à dresser leur arbre généalogique, l'Église de Jésus-Christ des saints des derniers jours a amassé environ 30 fois la quantité de renseignements détenus par la bibliothèque du Congrès et s'enrichit continuellement de nouveaux documents! On estime que FamilySearch renferme maintenant les données généalogiques du quart de l'humanité. En utilisant les importantes ressources du site, l'Église cherche à établir l'arbre généalogique d'autant de personnes au monde que possible.

Dans le film, M^me Creet s'entretient avec des cadres de FamilySearch et des cofondateurs d'Ancestry et met au jour des partenariats stratégiques entre les deux organisations. Au fil des ans, de nombreuses bases de données de l'Église de Jésus-Christ des saints des derniers jours ont été vendues à Ancestry. Lors d'une transaction récente, FamilySearch a accepté de mettre à la disposition des abonnés d'Ancestry un milliard de documents généalogiques de divers pays numérisés sur cinq ans.

Lorsque M^me Creet aborde la question de la protection de la vie privée avec les cofondateurs d'Ancestry, ceux-ci reconnaissent que c'est « au mieux une zone grise ».

« Je crois que la vie privée des personnes vivantes est protégée, affirme un ancien cadre d'Ancestry. Mais je ne suis pas certain qu'il y ait des démarches ou des efforts pour tenter de protéger des documents qui concernent des personnes qui ne sont plus en vie ».

Ancestry impose maintenant des frais aux utilisateurs qui veulent soumettre leur ADN afin de connaître leurs origines ethniques, découvrir des parents éloignés ou en apprendre davantage sur leur histoire familiale grâce à AncestryDNA. L'entreprise a récemment vendu l'accès à sa base de données génétiques à Calico, une société de génétique soutenue par Google, qui a l'intention d'examiner le profil génétique des personnes qui vivent longtemps.

Quel est votre message?

« La plupart des gens qui achètent ces services ne lisent pas au préalable les politiques de confidentialité de l'entreprise, dit M^me Creet. Or, les entreprises privées accumulent d'énormes quantités de renseignements d'importance vitale. Une grande partie de ces renseignements, qui sont donnés au départ par les utilisateurs, est ensuite achetée et vendue. Nous n'avons aucune idée de la façon dont les renseignements seront utilisés, mais cela pourrait avoir une incidence sur l'assurabilité et l'employabilité. Nous savons tous comment un vieux message sur Facebook peut revenir nous hanter. »

À terme, le film de M^me Creet est une mise en garde pour quiconque entreprend des recherches généalogiques. Son conseil aux personnes qui font des recherches sur l'histoire de leur famille est le suivant : « Si vous voulez protéger votre vie privée, tenez-vous loin des bases de données en ligne. Informez-vous auprès d'autres membres de votre famille au sujet de vos ancêtres communs. De toute façon, après deux ou trois générations, les histoires sont généralement de la fiction. »

On peut communiquer avec Julia Creet à l'adresse creet@yorku.ca

Pour obtenir des renseignements sur la projection du film Data Mining the Deceased, veuillez communiquer avec le distributeur

Pour en savoir plus

• Pour lire le résumé du rapport et voir des extraits du film (en anglais seulement).

La voiture connectée — La vie privée en péril au volant

Votre voiture vous espionne-t-elle? Même si l'idée semble sortie tout droit d'un film de James Bond, dites-vous que d'ici 2020, environ 90 % des véhicules neufs seront dotés d'une connectivité intégrée.

La voiture « connectée » est équipée du Wi-Fi embarqué et d'un modem 3G intégré afin de disposer de sa propre connexion Internet. Les constructeurs automobiles sont en compétition pour ajouter de nouvelles fonctionnalités et faire en sorte que les modèles qu'ils mettent sur le marché se démarquent de la concurrence.

Les plus récents systèmes de télématique embarquée vont au-delà des simples commandes moteur et diagnostics sur l'état du véhicule et offrent désormais une aide à la navigation et une assistance routière mieux adaptées (en cas d'accident, le véhicule peut maintenant appeler immédiatement le 911), des applications d'infodivertissement, une technologie à commande vocale perfectionnée et beaucoup d'autres caractéristiques de pointe.

C'est grâce à l'Internet des objets (IdO) que la voiture se métamorphose en téléphone intelligent sur roues. En effet, l'IdO nous permet d'intégrer des circuits électroniques, des logiciels, des capteurs et des connexions réseau à des objets et des appareils de tous les jours. La connectivité intégrée permet ainsi aux voitures de communiquer entre elles pour éviter des collisions. Elle leur permet aussi de communiquer avec les nouvelles infrastructures de transport connectées à Internet pour améliorer la sécurité et éviter les congestions. À terme, des « systèmes de transport intelligents » gouvernementaux prévus pour le Canada relieront les véhicules d'urgence, les camions, les trains, les feux de circulation et d'autres dispositifs intelligents.

Aujourd'hui, certaines voitures connectées peuvent déjà capter des images de leur conducteur pour déceler les signes de fatigue. Bon nombre peuvent signaler les mauvais comportements du conducteur, comme l'excès de vitesse et le freinage brusque, et la plupart peuvent détecter tout mouvement du conducteur grâce à une technologie de géolocalisation embarquée de pointe.

Des fonctionnalités pratiques, mais qui donnent froid dans le dos

Il ne fait aucun doute que certaines de ces caractéristiques profiteront aux conducteurs puisqu'elles améliorent la sécurité, l'efficience et l'agrément. Mais à quel moment la commodité devient-elle un élément perturbant? À quoi les conducteurs s'engagent-ils lorsqu'ils prennent le volant d'une voiture connectée?

Voilà des questions auxquelles s'intéresse Philippa Lawson, défenseure de la vie privée et chercheuse affiliée à la BC Freedom of Information and Privacy Association (FIPA).

M^me Lawson, avocate, est la chercheuse principale du projet « Le véhicule connecté : Qui est aux commandes? », financé par le Programme des contributions du Commissariat à la protection de la vie privée du Canada. Le fruit du projet a été la publication du rapport intitulé The Connected Car: Who's in the Driver's Seat? Même si M^me Lawson reconnaît que les caractéristiques de haute technologie d'un véhicule peuvent rehausser l'expérience du conducteur et améliorer la sécurité, elle s'inquiète des fortes répercussions qu'elles risquent d'avoir sur la vie privée.

Le rapport, qui examine de près nombre des caractéristiques des voitures connectées—comme les dispositifs de surveillance des véhicules, les enregistreurs de conversations et les enregistreurs vidéo, les lecteurs biométriques pour l'identification des conducteurs et la géolocalisation—, s'interroge sur ce que la plupart de ces technologies ont en commun. En fait, elles produisent un flux de données qui peuvent être envoyées à des constructeurs, à des compagnies d'assurance et à des spécialistes du marketing, et ce, pratiquement à l'insu des conducteurs.

« Les voitures connectées sont différentes des téléphones intelligents parce qu'elles peuvent produire une foule de données, explique M^me Lawson. Très peu de conducteurs comprennent à quel point ces données peuvent être personnelles : leur voiture peut en fait savoir où ils vont et avec qui, comment ils conduisent et ce qu'ils font dans leur voiture. Une fois ces données regroupées, elles permettent de créer un profil très détaillé de la vie privée d'une personne. »

Selon M^me Lawson, le risque d'atteinte à la vie privée, que ce soit par piratage ou surveillance de l'État, est considérable.

« Nous en sommes à considérer notre voiture comme une extension de notre maison, poursuit M^me Lawson. Imaginez que vous êtes chez vous et que chacun de vos mouvements est épié, que des images de vos activités sont saisies et que vos conversations sont enregistrées. Et qu'une partie de ces données est envoyée à des organisations externes à des fins inconnues, sans votre consentement éclairé. Tout le monde trouverait cela inacceptable. »

Moteurs de forage de données

M^me Lawson s'inquiète aussi de la facilité avec laquelle les données de géolocalisation et d'autres renseignements recueillis peuvent être utilisés pour le forage de données et les études de marché.

Les spécialistes du marketing jubilent à l'idée non seulement de commercialiser de nouvelles applications, des récompenses et des services directement auprès des conducteurs, qui deviennent à leur insu des clients éventuels, mais aussi d'accroître la fidélité à la marque, la voiture agissant commodément comme plateforme pour ces activités.

« Cela peut être très angoissant de passer devant un bistro et de voir un coupon-rabais personnalisé de ce même bistro s'afficher sur l'écran d'infodivertissement de votre voiture, souligne M^me Lawson. Mais l'autre aspect de la question est que votre profil comportemental a peut-être été vendu à des annonceurs, à votre insu ou sans votre consentement. La plupart des conducteurs de voitures connectées seraient surpris d'apprendre qu'ils génèrent des données de marketing chaque fois qu'ils prennent le volant. »

Si l'on suppose que les conducteurs sont au courant de la présence de systèmes de surveillance dans leur voiture, peuvent-ils se soustraire à des mécanismes inutiles de collecte, d'utilisation et de communication de leurs renseignements personnels?

« De façon générale, c'est "tout ou rien", explique M^me Lawson. Il n'est pas possible de refuser les usages non essentiels, qui sont courants et parfois ouverts. Il y a certaines différences selon le constructeur et le fournisseur de services. Si la plupart vous permettent de refuser les messages promotionnels, force est de constater que si vous voulez le service, vous êtes contraint d'accepter un éventail souvent ouvert de mécanismes inutiles de collecte, d'utilisation et de communication de vos renseignements personnels. »

La solution n'est pas de devenir un lecteur assidu d'ententes de confidentialité. Dans le cas d'une voiture connectée, M^me Lawson a relevé plus d'une dizaine de fabricants de pièces de rechange ayant pour la plupart leur propre entente de confidentialité rédigée dans un jargon juridique. Mais certains ne se donnent même pas la peine de fournir les ententes, présumant que le conducteur donne son consentement dès lors qu'il a acheté le véhicule et utilisé le mécanisme.

Adopter la « protection intégrée de la vie privée »

Pour atténuer les préoccupations liées à la protection de la vie privée, qui ne se rattachent pas exclusivement aux voitures connectées, le rapport recommande notamment que les constructeurs automobiles adoptent des principes de protection intégrée de la vie privée (Privacy by Design ou PbD).

« Les constructeurs devraient faire participer des spécialistes de la protection de la vie privée à l'étape de la conception des voitures connectées et des systèmes de transport intelligents, de manière à ce que des mesures de protection de la vie privée puissent être intégrées dès le départ dans les systèmes », affirme M^me Lawson.

Selon l'étude, les compagnies d'assurance doivent faire l'objet d'une surveillance spéciale, au même titre que les constructeurs automobiles et les spécialistes du marketing. Dans le cas des programmes fondés sur l'utilisation, les conducteurs peuvent accepter volontairement que leur système de gestion de véhicule transmette à des compagnies d'assurance des renseignements détaillés concernant leur comportement au volant, comme l'accélération, le freinage et la vitesse.

Soulignant que plusieurs courtiers d'assurance en Ontario et au Québec offrent des tarifs réduits aux conducteurs qui acceptent d'être surveillés dans le cadre de ces programmes, les auteurs du rapport prévoient qu'un jour, les compagnies d'assurance pourraient les rendre obligatoires afin de surveiller le comportement au volant des conducteurs et d'imposer des primes plus élevées aux « mauvais conducteurs ».

Compte tenu des risques d'atteinte à la vie privée qui sont inhérents aux voitures connectées, le rapport affirme que les gouvernements doivent se mobiliser pour réglementer l'industrie en plein essor des voitures connectées. Il demande une réglementation standard sur le type de données qui peuvent être communiquées ainsi que des normes pancanadiennes de protection des données pour les programmes d'assurance fondés sur l'utilisation, afin de prévenir le plus possible les atteintes à la vie privée.

« Il ne faut pas compter sur les forces du marché pour régler ces préoccupations grandissantes relatives à la vie privée, indique M^me Lawson. Les constructeurs automobiles ne s'autoréglementeront pas volontairement du seul fait que la demande des consommateurs ne favorise pas la protection de la vie privée au même titre que la sécurité et les émissions. En outre, nous ne pouvons compter sur l'autoréglementation pour la collecte de données personnelles en arrière-plan. Nous avons besoin de normes rigoureuses et concrètes et non de mécanismes de consentement inutiles. »

Pour en savoir plus

Accès au rapport (en anglais seulement)

La force de la communication visuelle

Apprendre à mieux protéger sa vie privée au moyen du jeu vidéo, de la bande dessinée et de l'infographie

Parfois, une image vaut mille mots, surtout lorsque le message s'adressant à des enfants et à des jeunes adultes porte sur des sujets très complexes, comme la sécurité en ligne, l'exploration de données et les politiques de confidentialité.

Pour permettre aux jeunes de mieux comprendre comment protéger leur vie privée à l'ère numérique, deux équipes de recherche financées par le Programme des contributions du Commissariat à la protection de la vie privée ont eu recours à des méthodes visuelles créatives, entre autres les jeux vidéo, les bandes dessinées et les infographies.

Pour aider les enfants, leurs parents et leurs enseignants à être plus au fait des questions liées à la protection des renseignements personnels en ligne, HabiloMédias, un organisme canadien sans but lucratif qui œuvre dans le domaine de l'éducation aux médias et de la littératie numérique, a créé le jeu « Pirates de la vie privée ». Au fil de leur jeu sur un ordinateur de bureau, un iPad ou un téléphone intelligent, les enfants assemblent les éléments d'une carte menant à un trésor. Pourquoi un trésor? Les chercheurs ont conçu le jeu pour aider les enfants à comprendre que leurs renseignements personnels sont extrêmement précieux et que d'autres personnes peuvent les convoiter.

Entretemps, une autre équipe de chercheurs de l'Université Carleton a utilisé des techniques visuelles pour aider de jeunes adultes à améliorer leur conception de la sécurité et de la protection de la vie privée en ligne. L'équipe a eu recours à des infographies et à des bandes dessinées interactives mettant en vedette des personnages auxquels les jeunes peuvent s'identifier pour expliquer des menaces comme les maliciels et le géomarquage. Ce matériel divertissant a ensuite été mis à l'essai pour voir s'il aidait les utilisateurs à prendre davantage de mesures de sécurité.

Deux équipes valent mieux qu'une

Après avoir appris leur existence mutuelle sur le site Web du Commissariat à la protection de la vie privée, les deux groupes de recherche ont constaté qu'ils avaient des intérêts communs et collaborent désormais à plusieurs projets. Les étudiants de l'Université Carleton apportent une expérience en graphisme, en informatique et en interaction personne-machine qui complète bien le savoir-faire d'HabiloMédias en développement de matériel éducatif.

HabiloMédias intégrera des bandes dessinées sur la cybersécurité élaborées à l'Université Carleton au cadre de culture numérique que l'organisme doit lancer, dans le but d'élargir la portée du cadre à un plus grand nombre de groupes d'âge.

Les étudiants de l'Université Carleton participent maintenant au « redémarrage » d'un des anciens jeux d'HabiloMédias. Ensemble, les deux groupes procèdent à un remaniement complet du jeu, en y ajoutant notamment de nouvelles leçons sur la cybersécurité, un synopsis et une conception visuelle mis à jour et des scénarios et résultats correspondant au quotidien des enfants.

Grâce au Programme des contributions du Commissariat, les deux équipes de recherche ont découvert des synergies stimulantes et mettent à profit leurs ressources et leurs capacités pour renforcer la protection de la vie privée des jeunes Canadiens.

Aider les enfants à protéger leur vie privée en ligne? Il y a une appli pour ça!

Le jeu des enfants en ligne est surveillé, suivi et exploité à des fins commerciales. Il existe maintenant un jeu pour aider les enfants à connaître leurs droits en matière de protection des renseignements personnels.

C'est le rêve devenu réalité pour le spécialiste du marketing.

Un jeune garçon visite un site Web populaire pour enfants où on lui demande de fournir quelques renseignements personnels pour s'inscrire. Pour avoir accès à un contenu de qualité supérieure, il doit donner un peu plus de renseignements personnels. Soudain, un concours s'affiche à l'écran. Et le prix à payer pour courir la chance de gagner consiste à transmettre quelques renseignements supplémentaires à son sujet et au sujet de ses amis.

L'enfant n'a même pas encore commencé à jouer qu'il est d'ores et déjà exposé à un risque d'atteinte à sa vie privée. Et le pire est peut-être encore à venir.

Tandis qu'il sélectionne des personnages, qu'il fait des choix et qu'il clavarde avec d'autres joueurs, les données concernant ses préférences, ses comportements et ses sujets de conversation peuvent maintenant être transmises directement aux équipes de marketing.

Les données peuvent être agrégées, numérisées et triées en fonction de profils démographiques et comportementaux. Ces profils peuvent être vendus à des annonceurs, qui créent des publicités en ligne ciblant les enfants ayant des caractéristiques démographiques et comportementales semblables.

S'il s'agit là d'une véritable mine d'or pour les spécialistes du marketing et les annonceurs, n' est-ce pas également quelque chose de potentiellement préjudiciable pour les enfants?

« Le but ultime des annonceurs est de trouver les meilleurs moyens de cibler les gens pour offrir leurs produits, indique Matthew Johnson, directeur de l'Éducation chez HabiloMédias, mais de nombreux parents seront surpris d'apprendre que ces entreprises s'adonnent avant tout à la "surveillance" des enfants en ligne. Bien qu'elles ne soient pas nécessairement en train de recueillir des renseignements personnalisés, nous savons pertinemment qu'elles établissent des profils qu'elles pourront transmettre aux annonceurs. »

HabiloMédias étudie de près le phénomène qui consiste à utiliser les enfants pour l'exploitation de données.

« Nos recherches ont montré que si les jeunes aiment l'idée des annonces ciblées, ils n'apprécient pas du tout que des spécialistes du marketing recueillent des données à leur sujet et les surveillent en ligne », ajoute M. Johnson.

« Par ailleurs, en général, les enfants et leurs parents ne connaissent pas très bien les lois sur la protection de la vie privée et leurs droits en la matière, ce qui ne laisse pas d'être préoccupant, affirme M. Johnson. Le plus souvent, ils ne savent pas comment les entreprises commerciales protégeront et utiliseront leurs renseignements. »

Qui lit les mentions en petits caractères?

M. Johnson cite Hello Barbie en exemple. Cette poupée connectée au Wi-Fi utilise la technologie de réponse vocale interactive pour « dialoguer » avec les enfants. Sur la simple pression d'un bouton sur la poupée, ces conversations enregistrées sont téléchargées à des serveurs exploités par ToyTalk, partenaire de Mattel.

Le texte écrit en petits caractères indique que ToyTalk peut utiliser les conversations enregistrées « à des fins d'analyse des données » et les partager avec « des vendeurs, des consultants et d'autres fournisseurs de services ».

« Mattel ne cache pas le fait qu'elle recueille des renseignements, souligne M. Johnson, mais nul ne sait ce qu'elle fera de ces données. »

Que le grand cric me croque : un jeu de pirates aide les enfants à protéger leur vie privée

Pour aider les enfants, leurs parents et leurs enseignants à être plus au fait de ces questions, HabiloMédias a créé en 2011 le jeu en ligne « Pirates de la vie privée » grâce à des fonds du Programme des contributions du Commissariat à la protection de la vie privée.

Créé au départ pour un ordinateur de bureau, le jeu est maintenant offert sous forme d'application téléchargeable sur les tablettes et les téléphones intelligents.

Conçu pour les enfants de sept à neuf ans—l'âge moyen auquel, selon les recherches d'HabiloMédias, les enfants commencent à utiliser des appareils numériques sans supervision—, le jeu est accompagné d'un tutoriel d'introduction sur le concept de la protection des renseignements personnels en ligne. L'introduction aide les enfants à faire la distinction entre les renseignements qu'ils peuvent communiquer et ceux qu'il est préférable de garder pour soi, et explique comment cela peut varier selon la situation.

Dans le jeu, les enfants assemblent les éléments d'une carte menant à un trésor.

« Nous avons créé le jeu pour leur montrer que des renseignements à leurs yeux sans intérêt n'en demeurent pas moins précieux pour quelqu'un, et que cela vaut la peine de les protéger. Les pirates sont toujours à la recherche d'objets de valeur. »

Au cours de la partie, les joueurs doivent répondre à des questions sur la vie privée et la protection des renseignements personnels en ligne. Plutôt que d'enseigner des principes généraux, le jeu présente aux enfants des scénarios précis et des situations réelles où ils font face à des défis liés à la protection des renseignements personnels. Les bonnes réponses sont récompensées par un autre élément de la carte.

« Nous avons consacré beaucoup de temps à étudier les pratiques exemplaires de l'enseignement aux jeunes enfants, explique M. Johnson. Les études nous indiquent que les enfants de cet âge n'apprennent pas de leurs erreurs. Nous essayons donc de nous concentrer sur ce qu'ils font de bien. Le jeu est très indulgent : il offre maintes occasions de reprendre une question pour donner la bonne réponse. »

Tant le module d'introduction que le module du jeu proprement dit permettent d'avoir accès à un « mentor » qui donne des conseils aux enfants s'ils en font la demande. Ce faisant, ils reproduisent l'importante habileté qui consiste à demander l'aide d'un adulte en qui on a confiance lorsqu'on n'est pas certain du bon choix à faire.

« Notre objectif est de donner aux enfants un sentiment d'autonomie, pour qu'ils puissent prendre le contrôle de leurs expériences en ligne », affirme M. Johnson.

Pour en savoir plus

• Accès au jeu et aux renseignements connexes

Ressources du CPVP

• Page Web sur la vie privée des jeunes

La plus grande menace en matière de cybersécurité à laquelle les jeunes adultes sont confrontés : eux-mêmes

La plupart des jeunes adultes « vivent » leur vie en ligne : ils vont sur les sites de médias sociaux, magasinent en ligne, y font leurs opérations bancaires et envoient des courriels.

Et bien que la plupart d'entre eux sachent que ces activités les exposent davantage à des risques comme le vol d'identité et l'accès non autorisé à leurs renseignements personnels, nombre d'entre eux ne prennent pas les mesures de sécurité nécessaires pour protéger leurs renseignements personnels.

Quel est le problème?

Selon Sonia Chiasson, professeure adjointe à l'École d'informatique de l'Université Carleton, « la plupart des conseils en matière de sécurité consistent en une liste de choses à faire et à ne pas faire, sans véritable explication de la façon dont ces mesures aident réellement à améliorer la sécurité. Cela devient rapidement ingérable lorsque vous vous retrouvez avec une quinzaine de ces listes de règles à suivre. Personne ne peut se souvenir de toutes ces règles, et il n'y a pas de raison concrète de les respecter. »

Grâce au soutien financier du Commissariat à la protection de la vie privée, M^me Chiasson a mené une recherche sur le recours à la « visualisation » pour améliorer la conception qu'ont les jeunes adultes (de 18 à 25 ans environ) de la sécurité et de la protection de la vie privée en ligne et leur permettre ainsi de mieux protéger leurs renseignements personnels.

L'équipe de M^me Chiasson a conçu des infographies et des bandes dessinées interactives au sujet des maliciels et des logiciels antivirus, ainsi que sur la protection des renseignements personnels pour les appareils mobiles et sur le géomarquage. En utilisant ce matériel, l'équipe a mené des études afin de déterminer si les éléments visuels étaient efficaces pour aider les participants à modifier leur comportement.

Pourquoi avez-vous jugé nécessaire d'améliorer la conception qu'ont les jeunes adultes de la sécurité et de la protection de la vie privée en ligne?

Par le passé, en menant des études sur les utilisateurs, nous avons constaté que la plupart des gens avaient des idées fausses concernant la sécurité informatique. Nous avons pensé que si nous pouvions aider les gens, notamment les jeunes adultes, à mieux comprendre comment fonctionnent les cyberattaques et pourquoi certaines mesures de protection peuvent aider, ils pourraient être plus enclins à respecter les règles.

Pourquoi utiliser des infographies et des bandes dessinées interactives?

À notre avis, c'est le meilleur moyen d'attirer l'attention des jeunes adultes. Les infographies et les bandes dessinées interactives ont aussi contribué à rendre le sujet plus attrayant et divertissant que les instructions écrites habituelles. C'était là notre intuition, et les études antérieures donnaient à penser que cela était vrai pour d'autres sujets.

Nos études ont montré que nos participants étaient du même avis. Par exemple, ils ont affirmé qu'ils assimilaient l'information plus rapidement et plus facilement parce que les bandes dessinées étaient drôles et amusantes et qu'ils pouvaient s'identifier aux personnages.

Pouvez-vous décrire la méthode de recherche?

Nous avons conçu de façon itérative les bandes dessinées et les infographies, en recueillant des commentaires en cours de route. Nous les avons ensuite évaluées dans le cadre d'études complètes menées auprès d'utilisateurs.

En laboratoire, nous avons évalué la compréhension qu'avaient nos participants du sujet avant et après la lecture des infographies et des bandes dessinées pour déterminer s'il y avait eu amélioration. Une semaine plus tard, nous avons réévalué leur compréhension pour voir s'ils se souvenaient de ce qu'ils avaient appris, et nous leur avons demandé s'ils avaient apporté des changements en conséquence dans leur vie réelle.

En ce qui concerne les infographies, nous avons aussi fait une comparaison avec une version texte de la même information pour voir si la présentation de l'information à l'aide d'éléments visuels était plus efficace.

Les éléments visuels permettent-ils d'améliorer la compréhension qu'ont les utilisateurs de la sécurité et de la protection de la vie privée en ligne?

De l'avis des participants, les bandes dessinées et les infographies constituent une façon efficace de transmettre des renseignements techniques qui n'auraient jamais suscité leur intérêt autrement. Une semaine après avoir vu les documents, les participants ont continué d'afficher une connaissance accrue des menaces particulières liées à la sécurité et des stratégies d'atténuation abordées dans les infographies et les bandes dessinées.

Qui plus est, la recherche a montré que les outils avaient persuadé les utilisateurs de modifier leur comportement en ligne afin d'adopter des mesures plus sécuritaires. Par exemple, les utilisateurs ont mentionné avoir mis à jour leur logiciel antivirus et être plus prudents en naviguant sur le Web. Ils ont aussi modifié leurs paramètres de géolocalisation, ont été plus vigilants quant à l'information qu'ils publient en ligne et ont partagé les leçons apprises avec leur famille et leurs amis.

Pour en savoir plus

• Consultez les bandes dessinées et les infographies du projet.(Le logiciel Flash est nécessaire pour visualiser les bandes dessinées.)

Ressources du CPVP

• Bande dessinée romanesque pour les jeunes — Branchés et futés : Internet et vie privée

Pour nous joindre

Le programme des contributions du Commissariat à la protection de la vie privée

Depuis 2004, le Commissariat à la protection de la vie privée du Canada contribue à faire progresser la recherche et l'application des connaissances sur la protection de la vie privée grâce à son Programme des contributions.

Créé pour appuyer la recherche indépendante sans but lucratif sur la protection de la vie privée, encourager l'élaboration de politiques dans ce domaine et promouvoir la protection des renseignements personnels au Canada, le Programme des contributions est considéré comme l'un des meilleurs programmes de financement de la recherche sur la protection de la vie privée au monde.

Le Programme des contributions est ouvert à toutes les institutions sans but lucratif qui souhaitent générer des idées, des connaissances et des approches nouvelles au sujet de la protection de la vie privée que les organisations peuvent mettre en œuvre pour mieux protéger les renseignements personnels et que les Canadiennes et les Canadiens peuvent utiliser pour prendre des décisions éclairées concernant la protection de leur vie privée.

Le Commissariat lance un appel de propositions annuel et, certaines années, un appel spécial visant des projets d'application des connaissances fondés sur les travaux de recherche réalisés antérieurement.

Pour en savoir plus sur la manière de présenter une demande de financement, nous vous invitons à envoyer un courriel à l'adresse :

contrib@priv.gc.ca
Téléphone : 1-800-282-1376
Téléscripteur/ATS : 819-994-6591

www.priv.gc.ca
Suivez-nous sur Twitter : @PriveePrivacy