Internet des objets : il ne faut pas négliger la protection de la vie privée

Cette page Web a été archivée dans le Web

L’information dont il est indiqué qu’elle est archivée est fournie à des fins de référence, de recherche ou de tenue de documents. Elle n’est pas assujettie aux normes Web du gouvernement du Canada et elle n’a pas été modifiée ou mise à jour depuis son archivage. Pour obtenir cette information dans un autre format, veuillez communiquer avec nous.

Archivée

Cette page Web a été archivée dans le Web.

Allocution prononcée à la Connected+ Conference de 2016

Toronto (Ontario)
Le 12 octobre 2016

Allocution prononcée par Luk Arbuckle
Directeur, Analyse des technologies

(Le texte prononcé fait foi)

C’est avec un grand enthousiasme que j’ai récemment joint les rangs du Commissariat à la protection de la vie privée du Canada. J’avais travaillé auparavant comme scientifique des données en milieu universitaire et dans l’industrie pendant plus de dix ans. Je me suis spécialisé dans le domaine des méthodes de désidentification et des outils d’évaluation du risque de réidentification. J’étais à la tête d’une équipe d’analystes experts.

J’aimerais vous dire quelques mots sur le Commissariat au cas où vous ne sauriez pas en quoi consiste notre travail. Le Commissariat à la protection de la vie privée du Canada est responsable des lois qui régissent la protection de la vie privée au sein des institutions fédérales et des organisations commerciales qui recueillent, utilisent et communiquent des renseignements personnels au pays (à quelques exceptions près). Les activités commerciales qui font appel à des renseignements personnels sont généralement assujetties à la Loi sur la protection des renseignements personnels et les documents électroniques – la LPRPDE. Le Commissariat a publié un guide expliquant ce que les entreprises et les organisations devraient savoir à ce sujet. Je vous en donnerai un aperçu un peu plus tard.

La protection de la vie privée est intimement liée à la sécurité, mais elle n’est pas toujours prise en compte dans la conception des appareils de l’Internet des objets. Je vous parlerai surtout de la protection de la vie privée, mais on ne peut faire abstraction de la sécurité dans son ensemble. Le Commissariat a mené divers travaux dans le domaine, allant de la recherche préliminaire à l’élaboration de lignes directrices sur certains aspects de la protection de la vie privée dans l’Internet des objets. Nous menons actuellement une consultation sur le consentement auprès des intervenants. Ce sujet touche aussi l’Internet des objets. Nous vous donnerons plus d’information sur ce sujet dans l’avenir.

C’est donc le sujet de ma présentation d’aujourd’hui : les travaux du Commissariat et leur lien avec l’Internet des objets. Je parlerai des questions de protection de la vie privée qui touchent expressément l’Internet des objets, des solutions possibles pour intégrer des mécanismes de sécurité et de protection des renseignements personnels dès la conception des appareils, de l’Internet des objets dans le contexte de la législation en vigueur au Canada et de résultats d’un ratissage pour la protection de la vie privée portant sur les appareils de l’Internet des objets auquel le Commissariat a récemment participé. Selon les résultats du ratissage de 2016, les énoncés sur la protection de la vie privée n’expliquent pas adéquatement la façon dont les renseignements personnels sont recueillis, utilisés et communiqués, la façon dont ils sont protégés ou les mesures que peut prendre l’utilisateur pour supprimer l’information le concernant. Nous reviendrons sur le sujet un peu plus tard.

Je fais maintenant partie d’une équipe hautement qualifiée composée d’analystes ayant un solide bagage en sécurité des TI, en protection de la vie privée, en analyse des données et en recherche. J’aimerais vous parler un peu plus en détail de notre travail particulier dans le domaine. D’une façon générale, notre équipe apporte son appui aux enquêtes qui comportent un volet technologique, ce qui est très souvent le cas puisque nous vivons dans un monde numérique. Nous menons aussi des recherches dans notre laboratoire technologique. Je vous parlerai de certains dossiers auxquels nous travaillons en lien avec notre ratissage récent.

La première moitié de ma présentation portera sur ce sujet. Dans la deuxième moitié, il sera question de l’atelier en tant que tel. Je parlerai de l’orientation que fournit le Commissariat pour le développement d’applications mobiles dans le respect du droit à la vie privée et nous passerons en revue les lignes directrices en matière d’identification et d’authentification. Nous ne parlerons pas de l’authentification d’appareil à appareil, car cette question relève principalement de la sécurité. Nous discuterons plutôt de l’identification et de l’authentification des individus, deux procédés qui font appel à des renseignements personnels.

Croissance massive de l’Internet des objets : à qui la responsabilité?

Selon les estimations établies l’an dernier par la société Gartner, plus de cinq millions de nouveaux « objets » devraient être connectés chaque jour en 2016. Et plus de 20 milliards de dispositifs devraient être connectés et utilisés d’ici 2020. Cette croissance est certainement l’une des principales raisons de votre présence ici aujourd’hui. Vous espérez profiter de ce marché en pleine expansion. Il s’agit d’une occasion en or pour les producteurs et les concepteurs d’appareils et de services axés sur l’Internet des objets. Cela ne fait aucun doute.

L’essor de l’Internet des objets est étroitement lié à la baisse du prix des appareils, qui sont à la fois plus compacts et plus éconergétiques que les produits de la génération précédente. Il est aussi attribuable aux possibilités d’interconnexion de ces dispositifs et à la possibilité de déployer de nombreux appareils dans plusieurs aspects de notre vie. Ces appareils peuvent communiquer et travailler ensemble afin d’offrir de nouveaux services emballants. Il y en a même auxquels nous n’avons pas encore pensé! Je suis convaincu que vous verrez bien des possibilités de cette nature au cours de la conférence. Pensons, entre autres, à l’identification des aliments par radiofréquence, grâce à laquelle notre réfrigérateur intelligent pourra nous indiquer ce qui manque quand nous serons à l’épicerie. Ou à la toilette qui nous dit… enfin… je ne veux même pas imaginer ce que ma toilette me dira. Mais il est possible de révolutionner la salle de bains et de nombreux autres aspects de notre quotidien.

Les entreprises tireront parti de cet essor et de l’interconnectivité pour recueillir, utiliser et communiquer en temps réel d’énormes quantités de renseignements à notre sujet. Déjà, certains organismes gouvernementaux ont manifesté un vif intérêt pour l’utilisation de l’Internet des objets à des fins de surveillance (lien en anglais seulement). Les pirates informatiques pourraient eux aussi s’y intéresser, par exemple pour voler des renseignements personnels ou bloquer des appareils ou des données jusqu’à ce que la victime paie une rançon.

Comme le dit Spiderman, l’homme-araignée, « un grand pouvoir implique une grande responsabilité ». Vous ne voulez pas que les pirates informatiques ciblent et attaquent votre appareil plutôt qu’un autre. C’est mauvais pour les affaires. Non seulement pour les vôtres, mais pour celles de l’industrie dans son ensemble. Le succès de l’Internet des objets reposera en partie sur votre capacité à sécuriser vos appareils et à gagner la confiance des utilisateurs en leur montrant que leurs renseignements personnels seront protégés.

Sécurité et protection de la vie privée

La plupart d’entre vous ont certainement déjà entendu parler de l’attaque contre le site Web de Brian Krebs (lien en anglais seulement). M. Krebs est journaliste et spécialiste de la cybersécurité. Des pirates ont pris le contrôle d’appareils de l’Internet des objets mal sécurisés pour qu’ils prennent part à une attaque massive en dirigeant toute la circulation vers son site Web. Résultat : un flux de données d’une ampleur inégalée au cours d’un incident. Ce qui est inquiétant, c’est la facilité avec laquelle les pirates ont réussi leur coup. M. Krebs a parlé de « démocratisation de la censure » (lien en anglais seulement), parce qu’il est devenu vraiment facile de se procurer les outils nécessaires pour attaquer et fermer un site Web en ligne. Les pirates ont mené l’attaque contre M. Krebs au moyen de 68 mots de passe faciles à deviner, et rendu public le code source utilisé pour la lancer. Il ne s’agissait même pas des mots de passe des appareils de l’Internet des objets comme tels. C’était ceux du micrologiciel du produit utilisé pour concevoir ces appareils. Malheureusement, le fait que les produits n’étaient pas sécurisés au départ importe peu, car les entreprises qui fabriquent les appareils de l’Internet des objets en utilisant ces produits doivent faire preuve d’une diligence raisonnable pour s’assurer qu’elles utilisent des produits sécurisés.

Pour les besoins de ma présentation, il est important de souligner que cette menace à la sécurité constituera également une menace pour la vie privée, que ce soit dans le cadre des efforts de surveillance ou de l’utilisation d’appareils de l’Internet des objets non sécurisés laissant filtrer des renseignements personnels. C’est ce qui s’est passé dans le cas d’une entreprise qui diffusait en direct des images filmées par des caméras Web utilisées partout dans le monde. Les caméras Web n’étaient pas sécurisées et enregistraient des séquences vidéo dans des bureaux et des domiciles. Le Commissariat, en collaboration avec de nombreuses autres autorités de protection des données, a envoyé une lettre aux exploitants du site Web. Le site a alors été fermé. Lorsqu’il a été rouvert par la suite, on avait mis en place des critères de filtrage pour atténuer le risque de diffusion d’enregistrements captés par des caméras Web installées dans des bureaux ou des domiciles. Nous avons également écrit aux fabricants pour les inciter à intégrer dans leurs appareils des mécanismes de sécurité par défaut appropriés.

Bien entendu, on ne peut parler de l’Internet des objets et de la protection de la vie privée sans mentionner l’un des plus grands reportages sur le sujet récemment diffusés dans les médias. Il s’agit du tristement célèbre accessoire sexuel We-Vibe, qui recueille des renseignements qu’une utilisatrice a jugés beaucoup trop personnels pour être communiqués à une organisation quelle qu’elle soit. Selon la plaignante, on aurait recueilli les données sur son utilisation du We-Vibe et son adresse de courriel, ce qui porte à croire qu’il s’agit de renseignements personnels permettant d’identifier un individu. Elle a donc décidé d’intenter un recours collectif aux États-Unis (lien en anglais seulement).

Le Commissariat n’a pas participé au dossier. D’ailleurs, à ma connaissance, nous n’avons reçu aucune plainte concernant le We-Vibe. Je ne sais pas vraiment comment fonctionne le service au Canada et je ne peux donc fournir de commentaires sur des aspects précis du cas. Mais cette histoire concorde avec les tendances constatées à l’issue de notre dernier ratissage, qui portait sur les appareils de l’Internet des objets liés à la santé. Je reviendrai sur ce ratissage un peu plus tard. Ainsi, même si la protection de la vie privée et la sécurité sont intimement liées, elles présentent des différences.

Introduction aux questions de protection de la vie privée dans l’Internet des objets

Renseignements personnels

Dans bien des cas, les données recueillies par un appareil de l’Internet des objets ne semblent pas constituer des renseignements personnels. Si on les prend isolément et hors contexte. Mais le problème, c’est qu’il est possible de combiner les données à des données provenant d’autres appareils de l’Internet des objets qui révèlent alors des renseignements personnels. On peut penser à de nombreuses situations où nous voudrions combiner des données de plusieurs appareils de l’Internet des objets afin d’obtenir un tableau complet. Il peut s’agir des thermostats intelligents dans votre maison, combinés aux capteurs de proximité, aux fenêtres intelligentes dont la teinte s’ajuste selon l’ensoleillement et la température intérieure, et ainsi de suite. C’est l’une des principales fonctions que vantent bien des observateurs lorsqu’il s’agit de l’Internet des objets : l’interconnectivité et la possibilité d’apprendre et de fonctionner de façon intégrée.

Mais si l’objectif est de combiner les données de plusieurs appareils de l’Internet des objets, les fournisseurs devront-ils déterminer si les données, une fois regroupées, sont considérées ou non comme des renseignements personnels? Eh bien, en fait, selon les autorités de protection des données du monde entier (lien en anglais seulement), la quantité, la qualité et la sensibilité des données recueillies par les appareils de l’Internet des objets sont telles que l’on doit considérer et traiter ces données comme des données à caractère personnel. Nous ne parlons pas ici des dispositifs de communication d’appareil à appareil qui sont utilisés dans les applications commerciales et celles propres aux appareils. Mais si ces dispositifs de communication se connectent à des appareils de l’Internet des objets et recueillent donc des données au sujet des gens et de leurs « objets », les renseignements seront probablement considérés comme étant à caractère personnel.

Transparence et consentement

Le sujet du consentement en lui-même est assez complexe, même lorsqu’il est question d’un seul appareil qui peut ou non être doté d’une interface utilisateur appropriée. La règle générale, c’est qu’il ne faut pas penser que les détails concernant les données recueillies et leur utilisation prévue peuvent être dissimulés dans un accord de licence ou d’utilisation interminable. D’ailleurs, on sait tous que la plupart des gens ne lisent pas ces accords. Pour obtenir un consentement valable, il faudra de plus en plus adopter des stratégies plus flexibles afin d’indiquer aux utilisateurs, au moment même de la collecte, quels renseignements sont recueillis et à quelles fins.

Il faut se rappeler que les renseignements personnels doivent être recueillis, utilisés et communiqués uniquement à des fins qu’une personne raisonnable jugerait acceptables dans les circonstances. Personne ne devrait être étonné d’apprendre que ses renseignements personnels ont été recueillis, utilisés ou communiqués. Nous avons le droit de décider à quel moment et de quelle façon nos renseignements personnels sont utilisés : c’est un concept fondamental de la protection de la vie privée (lien en anglais seulement) (et noté par la Cour suprême du Canada).

Le meilleur moment pour demander l’autorisation de recueillir des données de géolocalisation au moyen d’un appareil ou dans le cadre d’un service est le moment même où ces données sont nécessaires. L’utilisateur pourra alors faire un choix éclairé. J’y reviendrai lorsque nous parlerons du ratissage pour la protection de la vie privée. Le consentement peut demeurer valide pourvu que les fins de la collecte demeurent les mêmes. Mais les utilisateurs doivent aussi pouvoir retirer leur consentement à la collecte des données en question et aux fins de cette collecte. Ce sera difficile dans le cas d’un appareil de l’Internet des objets qui n’a aucune interface. En pareil cas, l’appareil lui-même devrait être adapté à la fin précise et les utilisateurs ne devraient pas être étonnés de la nature des données qui sont recueillies et des fins visées. La documentation devrait indiquer clairement les fonctions de l’appareil et les données recueillies pour les utiliser. Si vous achetez une caméra Web, ce doit être une caméra Web. Et elle devrait enregistrer en continu seulement lorsque vous le voulez et aux fins que vous souhaitez. Si la caméra recueille des données de géolocalisation, il faut que cette fonction soit clairement décrite afin que les utilisateurs sachent ce que fait la caméra et pourquoi elle le fait.

Il y aurait peut-être même des moyens de faire en sorte que les règles automatisées ou les approches d’apprentissage machine permettent la prise de décisions par procuration. Mais ce sont des idées avant-gardistes que nous n’avons pas encore examinées pleinement – au sein du Commissariat ou en tant que société. Ce type de mécanisme de consentement dirigé par une machine exigerait probablement lui-même un consentement! Nous discutons avec les intervenants des difficultés associées au consentement. Nous avons reçu 51 mémoires d’universitaires, de l’industrie et du public. Nous menons actuellement une consultation dans tout le pays pour poursuivre le dialogue. Cette initiative est en cours et nous informerons les Canadiens des résultats de notre travail à la fin de la phase actuelle.

Sécurisation de l’Internet des objets

En vertu des lois canadiennes sur la protection des renseignements personnels, les mesures de sécurité devraient être proportionnelles au degré de sensibilité des renseignements. Comment les concepteurs pourront-ils répondre à cette exigence s’ils ne savent pas quels autres appareils pourraient être connectés au leur? Des données qui ne semblent pas sensibles aujourd’hui pourront le devenir lorsqu’elles seront combinées à des données d’autres appareils de l’Internet des objets. Et vous ne voulez surtout pas être le maillon faible de la chaîne de l’Internet des objets!

Ce point soulève des questions intéressantes concernant la responsabilité en cas d’atteinte à la sécurité de données. La possibilité d’interaction de plusieurs appareils complique les choses sur le plan de la reddition de comptes. Plus il y a de pièces mobiles dans un système, plus grand est le risque d’incidents imprévus qui entraînent des défaillances en cascade. Si les concepteurs d’un appareil n’ont pas pris en compte les risques de la collecte de renseignements personnels sensibles, les mesures de sécurité de cet appareil sont probablement moins rigoureuses que celles d’autres appareils. Il pourrait déclencher une cyberattaque dévastatrice.

Je pourrais vous citer bien d’autres exemples. Pensons à l’automobile connectée qui recueille des données émanant d’autres appareils de l’Internet des objets, comme les lampadaires, les autres véhicules et les appareils utilisés par des piétons. Nous avons déjà vu des cas où des pirates informatiques avaient pris les commandes de véhicules, par exemple la Jeep (lien en anglais seulement) et la Tesla (lien en anglais seulement). Et ces technologies en sont encore à leurs balbutiements. Les logiciels comportent des vulnérabilités et une connexion à Internet ouvre l’accès à des personnes de l’extérieur. Pour les pirates informatiques, l’Internet des objets pourrait être un rêve devenu réalité.

Internet of Things Trust Framework élaboré par l’Online Trust Alliance (OTA)

Parlons maintenant d’une orientation particulière. L’Online Trust Alliance est un organisme américain sans but lucratif qui a pour mission d’accroître la confiance en ligne. À cette fin, elle fait connaître les pratiques exemplaires et les outils qui permettent d’améliorer la sécurité des utilisateurs ainsi que la protection de leur vie privée et de leur identité. Selon un article paru en janvier 2016 dans le Canadian Privacy Law Review, le concept du cadre de confiance est à tout le moins conforme aux principes juridiques applicables au Canada. En effet, ce cadre et ces principes découlent des mêmes principes sous-jacents de traitement équitable de l’information. Le cadre de confiance énonce 31 principes portant sur la sécurité, l’accès des utilisateurs et leurs éléments d’identification, la protection de la vie privée, la communication des renseignements, la transparence et les exigences réglementaires.

Mais n’en déduisez pas que l’auteur considère que le cadre de confiance concorde avec les exigences de la LPRPDE. Il ne formule pas non plus un avis juridique à ce sujet. C’est simplement le point de départ d’une orientation pratique visant à s’assurer que les appareils de l’Internet des objets respectent les principes de base un tant soit peu acceptés à l’échelle mondiale en matière de sécurité et de protection de la vie privée.

L’Online Trust Alliance>OTA a constaté qu’il est facile de contourner les vulnérabilités signalées récemment en lien avec l’Internet des objets (lien en anglais seulement). Et c’était avant l’attaque de déni de service distribué (DDOS) sans précédent menée contre le site Web de Brian Krebs! Voici, en gros, les vulnérabilités recensées par l’Online Trust Alliance>OTA :

• la gestion non protégée des éléments d’identification des utilisateurs;
• une explication inadéquate du mode de collecte, d’utilisation et de communication des données;
• l’absence de tests de sécurité rigoureux;
• des lacunes dans la déclaration des vulnérabilités observées;
• des options non protégées ou l’absence d'options pour le contrôle d’appariement en réseau;
• l’absence de tests pour l’exploitation de l’injection de codes communs;
• le transport non sécuritaire et l’absence de stockage chiffré;
• l’absence de moyens clairement définis pour remédier aux vulnérabilités pendant la vie utile de l’appareil.

Ce dernier point est intéressant, mais il est probable que bien des gens l’oublient ou n’en tiennent pas compte. Il est difficile de se projeter loin dans l’avenir et nous avons tendance à minimiser les problèmes qui risquent de se poser à ce moment. Mais, dans les faits, de nombreux appareils de l’Internet des objets peuvent servir pendant plusieurs années – je pense entre autres aux produits qui coûtent cher, comme les électroménagers. Comment peut-on s’assurer que les appareils seront à l’épreuve de l’avenir, d’autant plus que les techniques de chiffrement utilisées aujourd’hui ont une durée de vie limitée? Parmi les solutions possibles, on pourrait doter ces appareils d’un « interrupteur » qui couperait la capacité de connexion à l’Internet des objets sans nuire à leurs principales fonctions. Ainsi, le réfrigérateur pourrait encore refroidir les aliments et la machine à laver, nettoyer les vêtements même si cette fonction était désactivée.

Un guide à l’intention des entreprises et des organisations

Les principes de traitement équitable de l’information énoncés à l’annexe 1 de la LPRPDE constituent les règles de base concernant la prise en charge des renseignements personnels par une organisation et le contrôle exercé par les individus dont les renseignements personnels sont traités par le secteur privé. Je n’énumérerai pas les 10 principes. Je vous dirai simplement qu’ils existent et que vous pouvez consulter notre document d’orientation pour en savoir plus. J’ai déjà parlé brièvement de plusieurs principes au cours de ma présentation. Pour mieux comprendre leurs aspects pratiques dans le contexte de l’Internet des objets, nous examinerons le document d’orientation intitulé Une occasion à saisir : Développer des applis mobiles dans le respect du droit à la vie privée dans la deuxième moitié de l’atelier. Et nous parcourrons ensemble le document d’orientation sur l’identification et l’authentification publié par le Commissariat.

Ratissage effectué sous l’égide du Global Privacy Enforcement Network (GPEN)

Je vous ai parlé un peu plus tôt de notre récent ratissage pour la protection de la vie privée, qui portait sur les appareils de l’Internet des objets. Le GPEN organise chaque année un ratissage pour la protection de la vie privée. Cette année, 25 autorités de protection des données du monde entier ont examiné 314 appareils. Le Commissariat s’est concentré sur les appareils liés à la santé, comme les moniteurs d’activité physique et les moniteurs de fréquence cardiaque. Les partenaires d’autres pays ont examiné des produits allant des jouets connectés aux automobiles et aux téléviseurs intelligents.

Les ratisseurs pouvaient utiliser diverses méthodes pour évaluer les énoncés de confidentialité. Par exemple, ils pouvaient prendre connaissance de l’information sur la protection de la vie privée accompagnant l’appareil à l’achat ou affichée en ligne sur le site Web de l’entreprise. Ils pouvaient aussi utiliser l’appareil pour déterminer par eux-mêmes dans quelle mesure la documentation reflétait leur expérience d’utilisation. Ou encore, ils pouvaient communiquer directement avec l’entreprise pour lui poser des questions précises sur la protection de la vie privée. Le Commissariat a utilisé ces trois méthodes.

Je tiens toutefois à préciser que le ratissage n’est pas une enquête ayant pour objet de déceler des problèmes de non-conformité ou des infractions. Il vise plutôt :

• à sensibiliser le public et les entreprises aux droits, aux responsabilités et aux pratiques exemplaires en matière de protection de la vie privée;
• à encourager la conformité aux lois sur la protection des renseignements personnels;
• à renforcer la coopération entre les autorités de protection des données.

Je vous présenterai maintenant un résumé des résultats du ratissage dans son ensemble. Vous trouverez dans notre blogue des précisions sur les conclusions que nous avons tirées du ratissage des appareils liés à la santé. Comme vous le constaterez, les renseignements recueillis par les entreprises, la façon dont elles les recueillent et les fins de leur collecte suscitent beaucoup d’intérêt.

Indicateur no 1 : Les énoncés sur la protection de la vie privée expliquent-ils adéquatement la façon dont les renseignements personnels sont recueillis, utilisés et communiqués ? (Oui : 41 %; non : 59 %)

En règle générale, les utilisateurs veulent savoir pourquoi les organisations recueillent certains renseignements à leur sujet. L’idéal, c’est de leur donner cette information au moment où les données sont nécessaires, par exemple des données de géolocalisation, puis de leur expliquer la raison de la collecte. Comme c’est le moment même où ils utilisent le produit pour la première fois, la collecte de l’information leur semblera plus logique. Autrement, pourquoi recueillir les données en premier lieu? Les utilisateurs ont le droit de savoir et le droit de décider en toute connaissance de cause s’ils consentent ou non à la collecte de renseignements les concernant.

Indicateur no 2 : Les utilisateurs sont-ils pleinement informés de la façon dont les renseignements personnels recueillis par l’appareil sont stockés et protégés? (Oui : 32 %; non : 68 %)

Chaque cyberattaque ou atteinte à la sécurité des données sensibilise les gens à la sécurité. Il vaut mieux être proactif et fournir l’information aux utilisateurs. Que ce soit dans la boîte ou sur le site Web, l’information doit être relativement facile à trouver et à comprendre. Cela dit, vous avez intérêt à éviter les erreurs commises dans le dossier du site Web Ashley Madison, où l’entreprise affirmait avoir des garanties de sécurité qui n’existaient pas!

Indicateur no 3 : Les énoncés sur la protection de la vie privée fournissent-ils des coordonnées pour les personnes qui souhaitent communiquer avec l’entreprise au sujet d’une question liée à la protection de la vie privée? (Oui : 62 %; non : 38 %)

Comme les gens se préoccupent de la protection de leur vie privée, il est préférable de leur donner accès à une personne dûment formée et bien informée à qui ils pourront faire part de leurs préoccupations. D’ailleurs, nous recommandons nous-mêmes aux gens de communiquer avec l’organisation visée lorsqu’il semble y avoir un problème lié à la protection de la vie privée. La plupart des entreprises sont à l’écoute des préoccupations formulées par les consommateurs et sont heureuses de leur fournir l’information qui les rassurera.

Indicateur no 4 : Les énoncés sur la protection de la vie privée expliquent-ils à l’utilisateur les mesures à prendre pour supprimer l’information le concernant? (Oui : 28 %; non : 72 %)

Il est très décourageant de devoir effectuer des recherches pour trouver comment retirer son consentement ou supprimer ses renseignements personnels. Les utilisateurs ne devraient pas avoir à communiquer avec quelqu’un pour pouvoir supprimer leurs renseignements. La technologie actuelle permet de le faire facilement et rapidement. Un seul clic et un message demandant une confirmation devraient suffire. Les utilisateurs ont le droit de retirer leur consentement ou de supprimer des renseignements personnels. Et vous avez l’obligation de leur permettre d’exercer ces droits. Des ratisseurs ont constaté qu’un service n’avait pas supprimé le compte ou les données d’utilisateurs deux mois après qu’ils en eurent fait la demande. Et pourtant, ils avaient communiqué avec le service à la clientèle pour confirmer la suppression. Votre objectif devrait être d’établir votre crédibilité et de gagner la confiance des clients.

Indicateur no 5 : L’entreprise a-t-elle répondu rapidement et de façon adéquate et claire aux questions de suivi? (Oui : 57 %; non : 43 %)

Nous avons constaté que la plupart des entreprises répondaient rapidement et de façon directe et claire aux questions portant sur la protection de la vie privée. Cela dit, dans certains cas, les entreprises n’avaient pas répondu directement aux questions soulevées ou avaient tout simplement renvoyé les ratisseurs à leur politique de confidentialité. Ce n’est pas le meilleur moyen de gagner la confiance des clients. Il serait certainement préférable d’avoir des employés bien formés ayant les connaissances et l’information voulues pour répondre aux questions à la satisfaction des utilisateurs!

Analyse en réseau

Au cours du ratissage pour la protection de la vie privée, il a fallu utiliser brièvement des appareils de l’Internet des objets pour déterminer si la documentation fournie reflétait l’expérience des utilisateurs en ce qui concerne la protection de la vie privée. Mais nous pouvons faire davantage et nous le ferons très probablement. C’est là que mon équipe entre en action. Au cours des derniers mois, nous avons doté notre laboratoire des outils nécessaires pour effectuer une analyse plus approfondie des appareils et des services en réseau. Nous prévoyons d’analyser un certain nombre d’appareils de l’Internet des objets et de regarder sous le boîtier pour mieux comprendre leur fonctionnement, l’information qu’ils communiquent et à qui ils la communiquent. Nous voulons savoir ce qui arrive à nos renseignements personnels quand nous utilisons ces appareils.

Les résultats obtenus devraient nous permettre de définir une orientation qui s’adressera particulièrement aux petites et moyennes entreprises et aux concepteurs d’applications. Nous espérons leur fournir les outils nécessaires pour intégrer des mécanismes de protection de la vie privée dans leurs produits et services. Nous souhaitons aussi contribuer à l’élaboration de normes technologiques mondiales dans le domaine. Nous pourrions appuyer directement les organismes de normalisation en leur donnant une orientation. Ou encore, leur fournir les documents que nous publions et les résultats de nos ratissages pour qu’ils prennent connaissance des préoccupations des organismes de réglementations dont ils doivent tenir compte.

Nous voulons aussi sensibiliser les Canadiens et les informer des risques d’atteinte à la vie privée afin qu’ils puissent prendre des décisions éclairées. Il faudra à cette fin produire différents types de publications, par exemple des articles de blogue et des documents de recherche qui sensibilisent les gens et leur permettent de comprendre comment leurs renseignements personnels sont recueillis dans chaque aspect de leur vie.

Atelier Connected+

Dans cette partie de l’atelier, nous avons passé brièvement en revue le contenu de nos documents d’orientation en mettant l’accent sur les principaux points et certains cas pertinents.

Principaux facteurs relatifs à la protection des renseignements personnels à prendre en compte dans le développement d’applications mobiles

• Vous êtes responsable de votre conduite et de votre code.
• Soyez ouvert et transparent à propos de vos pratiques en matière de protection des renseignements personnels.
• Ne recueillez et ne conservez que les renseignements dont votre application a besoin pour fonctionner, et protégez-les.
• Obtenez un consentement éclairé malgré le défi lié au petit écran.
• Le choix du moment de l’envoi de l'avis à l’utilisateur et de l’obtention du consentement est capital.

Lignes directrices en matière d’identification et d’authentification

• Identifier uniquement lorsque c’est nécessaire.
• Déterminer les attributs d'identité nécessaires pour autoriser une transaction.
• Informer les personnes et obtenir la forme de consentement appropriée avant l’identification.
• Authentifier uniquement lorsque c'est nécessaire.
• S’assurer que le niveau d'authentification est proportionnel aux risques.
• Protéger les renseignements personnels.