Déclaration commune sur les attentes mondiales en matière de respect de la vie privée envers les entreprises de vidéoconférence

Le 21 juillet 2020

Introduction

La présente est une lettre ouverte aux entreprises fournissant des services de vidéoconférence. Nous vous écrivons en tant que sous-ensemble de la communauté mondiale de réglementation de la protection de la vie privée, chargée de protéger le droit à la vie privée de citoyens du monde entier.

Préoccupations en matière de protection de la vie privée

L’utilisation de la vidéoconférence pour rester en contact n’est pas une nouveauté. À la suite de la pandémie de COVID-19, nous avons constaté une forte augmentation de l’utilisation de la vidéoconférence à des fins sociales et commerciales, y compris dans le domaine de la santé et de l’éducation virtuelles, lesquelles peuvent impliquer le transfert de renseignements particulièrement sensibles, pour des groupes particulièrement vulnérables. Cette augmentation de l’utilisation exacerbe les risques existants liés au traitement des renseignements personnels par les entreprises de services de vidéoconférence, et en crée également de nouveaux.

Des reportages dans les médias, et d’autres qui nous sont directement communiqués en tant qu’autorités d’application des lois, indiquent la concrétisation de ces risques dans certains cas. Cela nous a amenés à nous demander si les mesures de protection et les mesures mises en place par les entreprises de services de vidéoconférence suivent l’évolution rapide du profil de risque des renseignements personnels qu’elles traitent.

La présente lettre

Cette lettre ouverte a pour but d’exposer nos préoccupations, de clarifier nos attentes et les mesures que vous devriez prendre en tant qu’entreprises de services de vidéoconférence pour atténuer les risques soulevés et, en fin de compte, pour garantir que les renseignements personnels de nos citoyens sont protégés conformément aux attentes du public et à l’abri de tout préjudice.

Notez qu’il s’agit d’une liste non exhaustive de questions de protection des données et de la vie privée associées à la vidéoconférence. Elle est destinée à vous rappeler certains des domaines clés à prendre en considération dans le contexte de l’utilisation accrue de vos services de vidéoconférence.

Nous vous invitons tout de même à revoir régulièrement votre approche sur les questions clés en matière de protection de la vie privée par l’intermédiaire d’évaluations des facteurs relatifs à la vie privée. Lorsque les risques ne peuvent pas être atténués, nous attendons des organisations qu’elles consultent leurs autorités de réglementation en matière de protection de la vie privée pour leur expliquer les risques particuliers qui ont été soulevés et travailler sur les solutions possibles pour y faire face.

Principes

1. Sécurité

Les renseignements personnels sont le moteur de nos économies numériques. C’est pourquoi les cyberrisques et les menaces à la sécurité des données sont en constante évolution. Les mesures de sécurité actuelles pourraient bientôt être dépassées et compromises par de nouvelles menaces. La sécurité des données est une responsabilité de chaque instant et la vigilance des organisations est primordiale.

Au cours de la pandémie actuelle, nous avons pris connaissance de rapports inquiétants concernant des failles de sécurité dans les produits de vidéoconférence. Ceux-ci auraient conduit à un accès non autorisé à des comptes, des fichiers partagés et des appels.

Dans un monde où les conversations font fi des frontières, les renseignements personnels et les communications privées passant par de nombreux pays, les fournisseurs de services de vidéoconférence devraient mettre en place certaines normes de sécurité universelles. Celles-ci comprendraient généralement : un cryptage efficace de bout en bout de toutes les données communiquées, une authentification à deux facteurs et des mots de passe forts.

Les entreprises qui offrent des services de vidéoconférence à des secteurs qui traitent régulièrement des renseignements sensibles, comme les hôpitaux qui offrent des consultations médicales à distance et les thérapeutes en ligne, devraient être particulièrement à l’affût de ces mesures de sécurité. Les plateformes de vidéoconférence qui permettent le partage de fichiers et d’autres médias, en plus de la liaison audio et vidéo, font aussi partie de cette catégorie.

Votre organisation devrait en tout temps être consciente des nouveaux risques et menaces pour la sécurité de la plateforme de vidéoconférence et y répondre avec agilité. Nous nous attendons à ce que vous demandiez régulièrement aux utilisateurs de votre plateforme de mettre à jour la version de l’application qu’ils ont installée, afin de s’assurer qu’ils disposent des derniers correctifs et mises à jour en matière de sécurité.

Il convient également de veiller tout particulièrement à ce que les renseignements soient correctement protégés lorsque des tiers les traitent, y compris dans d’autres pays.

2. Protection de la vie privée dès la conception et protection des données par défaut

Si la protection des données et de la vie privée est prise en considération après coup seulement dans la conception et l’expérience utilisateur d’une plateforme de vidéoconférence, il est fort probable que vous ne soyez pas en mesure de répondre aux attentes de vos utilisateurs en matière de respect de leurs droits. Par exemple, nous avons vu ce phénomène se manifester dans des comptes rendus bien documentés concernant des accès inattendus de tiers à des appels.

Vous devriez veiller à adopter une approche de protection de la vie privée dès la conception de votre service de vidéoconférence. Cela signifie que la protection des données et de la vie privée doit faire partie intégrante des services que vous fournissez au client. Prenez toujours comme point de départ les renseignements les plus sensibles qui pourraient être communiqués sur votre plateforme. Adoptez les paramètres par défaut les plus respectueux de la vie privée (à l’instar du principe du droit d’accès minimal en matière de cybersécurité). Les personnes qui utilisent votre plateforme pour des conversations ou la publication de contenus moins sensibles pourront ajuster ces paramètres en fonction de leurs besoins.

Parmi les mesures simples pour y parvenir, on peut citer :

• établir des paramètres par défaut respectueux de la vie privée qui soient bien visibles et faciles à utiliser, y compris mettre en place des contrôles d’accès stricts par défaut, l’annonce claire des nouveaux appelants et la mise en sourdine de leurs flux audio et vidéo à la connexion;
• mettre en œuvre des fonctionnalités qui permettent aux usagers commerciaux de respecter leurs propres obligations en matière de protection de la vie privée, y compris des fonctionnalités qui leur permettent de demander le consentement d’autres utilisateurs;
• restreindre les données ou renseignements personnels recueillis, utilisés et communiqués par votre produit à ce qui est nécessaire pour fournir le service.

Les fournisseurs de services de vidéoconférence devraient également procéder à une évaluation des facteurs relatifs à la vie privée afin de déterminer l’impact de leurs pratiques de traitement des renseignements personnels sur la vie privée des personnes, et mettre en œuvre des stratégies pour gérer, minimiser ou éliminer ces risques.

3. Connaître son public

Pendant la pandémie de COVID-19, de nombreuses plateformes de vidéoconférence ont été déployées dans des contextes pour lesquels elles n’avaient pas été conçues à l’origine. Cela peut créer de nouveaux risques que vous n’aviez peut-être pas prévus avant la crise actuelle.

Par conséquent, assurez-vous d’examiner et d’identifier les usages et utilisateurs nouveaux ou différents de votre service dans le sillage de la pandémie. Cela revêt une importance particulière lorsqu’il s’agit d’enfants, de groupes vulnérables et de contextes où les discussions qui ont lieu sur les appels sont susceptibles d’être particulièrement sensibles (dans l’éducation et les soins de santé par exemple). C’est également le cas lorsqu’on mène des activités dans des territoires où les questions de droits de la personne et de libertés civiles pourraient créer un risque supplémentaire pour les personnes qui utilisent la plateforme.

Examinez les exigences en matière de protection des données et de la vie privée pour tous les contextes dans lesquels votre plateforme est actuellement utilisée, et mettez en œuvre les mesures et les garanties appropriées en conséquence.

4. Transparence et équité

Après plusieurs atteintes à la vie privée très médiatisées ces dernières années, la collectivité est plus consciente du traitement que les organisations accordent aux renseignements personnels et de l’utilisation des données dans l’économie numérique mondiale actuelle, et les attentes collectives en la matière sont plus élevées. Il en va de même pour les plateformes de vidéoconférence. Ne pas dire aux gens comment vous utilisez leurs renseignements et ne pas vous demander si ce que vous faites est attendu et équitable peut entraîner une violation de la loi et de la confiance de vos utilisateurs.

Vous devriez faire preuve de transparence quant aux renseignements que vous recueillez, à la manière dont vous les utilisez, aux personnes auxquelles vous les communiquez (y compris les responsables du traitement dans d’autres pays) et aux raisons pour lesquelles vous les communiquez. Même si vous jugez sans importance la collecte, l’utilisation ou la communication de ces renseignements, il est tout de même important que leur utilisation soit communiquée en toute franchise au client à tout moment. C’est particulièrement le cas lorsque l’usage que vous faites des renseignements personnels n’est probablement pas celui auquel on peut s’attendre parce qu’il ne serait pas considéré comme un but essentiel du service de vidéoconférence. Ces renseignements devraient être fournis de manière proactive, être facilement accessibles et ne pas être simplement enfouis dans une politique de confidentialité. Lorsque le consentement de l’utilisateur concernant le traitement des renseignements personnels est requis, vous devriez vous assurer que ce consentement est précis et éclairé.

Réfléchissez à la manière dont les modifications que vous apporterez aux futures versions de la plateforme influeront sur tout ce qui précède. Évaluez leur impact et déterminez s’il est important de sensibiliser les utilisateurs à ces changements. Cela leur permettra de prendre des décisions éclairées sur la manière dont ils utiliseront votre plateforme à l’avenir.

5. Contrôle exercé par l’utilisateur final

Souvent, les utilisateurs finaux peuvent n’avoir que peu de choix quant à l’utilisation d’un service de vidéoconférence si une plateforme particulière a été achetée, ou est utilisée de façon exclusive, sur un lieu de travail, à l’école ou dans un autre cadre donné. Certaines des caractéristiques les plus récentes des plateformes de vidéoconférence peuvent augmenter le risque d’une surveillance secrète ou inattendue.

Les entreprises et les établissements qui utilisent votre plateforme de vidéoconférence possèdent leurs propres politiques en matière de protection des données, de confidentialité et, plus généralement, de droit et d’éthique lorsqu’elles prennent des décisions concernant l’utilisation des fonctions de surveillance. Vous devriez prendre vos propres mesures pour veiller à ce que les utilisateurs finaux de votre service soient habilités à exercer cette responsabilité en leur fournissant les renseignements et le contrôle appropriés.

Par exemple, si vous offrez une plateforme de vidéoconférence qui permet à l’hôte de recueillir des données de localisation, de suivre l’engagement ou l’attention des participants, ou d’enregistrer ou de créer des transcriptions d’appels, vous devriez veiller à ce que l’utilisation de ces fonctionnalités soit clairement indiquée aux participants lorsqu’elles sont activées (par l’intermédiaire d’icônes et de fenêtres contextuelles, par exemple). Dans la mesure du possible, vous devriez également prévoir un mécanisme permettant aux utilisateurs finaux de choisir de ne pas communiquer ces renseignements, par exemple par l’entremise d’une option de refus, en notant que des mécanismes d’acceptation pourraient être plus appropriés dans certains cas.

En résumé

Les entreprises de vidéoconférence offrent un service précieux qui nous permet à tous de rester connectés où que nous soyons dans le monde, ce qui est particulièrement important en pleine pandémie de COVID-19. Cependant, la facilité de rester en contact ne doit pas se faire au détriment de la protection des données et du droit à la vie privée des personnes.

Les principes énoncés dans cette lettre ouverte définissent certains des enjeux clés à garder à l’esprit pour faire en sorte que votre offre de vidéoconférence est conforme aux lois sur la protection des données et de la vie privée dans le monde entier, tout en contribuant à renforcer la confiance de votre communauté d’utilisateurs.

Nous encourageons les entreprises de service de vidéoconférence à nous faire part de leurs réponses à cette lettre ouverte d’ici le 30 septembre 2020, notamment pour démontrer la manière dont elles prennent en compte ces principes dans la conception et la prestation de leurs services. Les réponses seront communiquées aux cosignataires de cette lettre.