Dans l'actualité : Le commissaire à la protection de la vie privée du Canada propose des outils pour…

Étant donné que la section Apprendre de TalkRights présente du contenu produit par des bénévoles de l'ACLC et des entretiens avec des experts dans leurs propres mots, les opinions exprimées ici ne représentent pas nécessairement les propres politiques ou positions de l'ACLC. Pour les publications officielles, les rapports clés, les prises de position, la documentation juridique et les dernières nouvelles sur le travail de l'ACLC consultez la section In Focus de notre site Web.

Le 26 janvier 2018, le Commissariat à la protection de la vie privée du Canada (« CPVP ») a publié un projet de prise de position politique sur la question de la protection de sa « réputation en ligne ». Dans le projet de document, le commissaire interprète le Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) comme offrant aux individus le droit de demander aux moteurs de recherche de « désindexer » tout lien vers des sites Web contenant des informations manifestement inexactes, incomplètes ou obsolètes sur l'individu et fournissant aux individus le droit qualifié de demander au propriétaire d'un site Web commercial de modifier ou supprimer de telles informations erronées. Cet article fournit un résumé détaillé des deux propositions clés faites par l'OPC dans le projet de document et offre un bref commentaire critique.

Intérêts concurrents : protection de sa réputation en ligne et liberté d'expression

Permettre un accès illimité à des informations personnelles sur Internet qui sont inexactes, trompeuses ou obsolètes peut avoir un impact néfaste et durable sur la vie de l'individu, en particulier si ces informations erronées sont utilisées pour prendre des décisions. De nombreux employeurs, par exemple, utilisent des moteurs de recherche Internet dans le cadre de leur processus de sélection des candidatures. Cela dit, le CPVP reconnaît également que l'intérêt d'une personne à protéger sa réputation en ligne doit être mis en balance avec l'intérêt contraire du droit d'une autre personne à la liberté d'expression, une valeur qui est inscrite dans la Charte.

Par conséquent, de son propre aveu, l'OPC ne cherche pas à proposer un nouveau droit indépendant de protéger sa réputation en ligne dans le projet de document d'orientation. Au lieu de cela, l'OPC soutient que, correctement interprété, LPRPDE implique certaines protections pour la réputation en ligne d'un individu.

Proposition #1 : Désindexation

 LPRPDE est la principale loi canadienne régissant la façon dont les organisations du secteur privé peuvent recueillir, utiliser ou divulguer des renseignements personnels dans le cadre de leurs activités commerciales. Conformément à l'alinéa 4(1)a), LPRPDE s'applique à « toute organisation en ce qui concerne les renseignements personnels que […] l'organisation recueille, utilise ou divulgue dans le cadre d'activités commerciales ». L'OPC fait valoir que les activités des moteurs de recherche entrent dans le champ d'application LPRPDE.

Lorsqu'un utilisateur recherche le nom d'une personne, l'algorithme du moteur de recherche les usages toutes les informations personnelles sur la personne recherchée qui existent sur Internet pour créer une liste de sites Web contenant les informations les plus pertinentes sur cette personne. Ceci, selon l'OPC, constitue « la collecte, utilisation ou la divulgation » de renseignements personnels au sens de LPRPDE. Deuxièmement, l'objectif principal du moteur de recherche en utilisant les informations personnelles est de générer des revenus auprès des annonceurs. En d'autres termes, les informations personnelles sont utilisées par le moteur de recherche dans le cadre d'une activité commerciale. Par conséquent, étant donné que les moteurs de recherche « recueillent, utilisent ou divulguent » des données personnelles dans le cadre d'une activité commerciale, l'OPC fait valoir que les moteurs de recherche sont soumis aux dispositions figurant dans LPRPDE.

Selon l'OPC, les directeurs existants en vertu de LPRPDE, à savoir les principes 4.6, 4.9 et 4.10, impliquent un droit de désindexation. La désindexation est un moyen par lequel les moteurs de recherche suppriment certains liens des résultats de recherche de termes de recherche spécifiques (comme le nom d'une personne) ou abaissent le classement de certains sites Web dans les résultats de recherche. Il est important de noter que la désindexation ne supprime pas le contenu lui-même du site Web source et n'empêche pas l'accès au contenu en naviguant directement vers le site Web.

Les principes pertinents de LPRPDE lire comme suit :

• Les renseignements personnels doivent être aussi exacts, complets et à jour que l'exigent les fins pour lesquelles ils doivent être utilisés.
• Lorsqu'une personne démontre avec succès l'inexactitude ou le caractère incomplet des renseignements personnels, l'organisation doit modifier les renseignements au besoin. Selon la nature des informations contestées, la modification implique la correction, la suppression ou l'ajout d'informations
• La mesure dans laquelle les informations personnelles seront exactes, complètes et à jour dépendra de l'utilisation des informations, en tenant compte des intérêts de l'individu.

Rappelons que l'algorithme d'un moteur de recherche utilise les informations personnelles sur un individu qui sont publiquement disponibles sur Internet pour rendre un résultat de recherche pertinent du nom de la personne à l'utilisateur. Selon l'OPC, il incombe donc au moteur de recherche en vertu du principe 4.6 de s'assurer que le moteur de recherche utilise des informations exactes, complètes et à jour. De plus, lorsqu'une personne est en mesure de démontrer de manière démontrable que les informations personnelles utilisées par le moteur de recherche sont inexactes, incomplètes ou obsolètes, le principe 4.9.5 implique que la personne a le droit de demander au moteur de recherche de modifier le résultat de la recherche pour en assurer l'exactitude, l'exhaustivité et l'actualité. Selon l'OCP, le moyen le plus facilement disponible pour effectuer une telle modification est de désindexer le site Web des résultats de recherche ou de réduire le classement du site Web dans les résultats de recherche. Cela dit, l'OPC est sensible au fait que toutes les informations inexactes sur un site Web ne justifient pas sa désindexation. Selon l'OPC, le principe 4.61 exige que les moteurs de recherche soient sensibles à l'utilisation des renseignements personnels et aux intérêts de l'individu. Par exemple, lorsque des informations personnelles sur un site Web sont inexactes à des fins satiriques, il semble peu probable que la désindexation de ce site Web des résultats de recherche soit appropriée.

Bien que la désindexation semble être une solution innovante pour protéger sa réputation en ligne d'une manière qui équilibre également la liberté d'expression du moteur de recherche (puisque la désindexation ne supprime pas le site Web d'apparaître sur d'autres résultats de recherche ni le contenu réel de le site Web source), il y a un problème potentiel avec l'interprétation de l'OPC LPRPDE en ce qui concerne les moteurs de recherche. En particulier, il n'est pas clair si LPRPDE destiné à faire tomber les moteurs de recherche dans le champ d'application de certaines dispositions. Il est important de se rappeler que les moteurs de recherche recherchent dans une collection d'informations personnelles déjà disponibles publiquement sur Internet, puis présentent simplement les liens vers des sites Web dans l'ordre que l'algorithme du moteur trouve le plus pertinent pour le terme de recherche. Il n'est donc pas clair si les résultats de recherche eux-mêmes (c'est-à-dire les liens mêmes vers des sites Web ou même l'ordre dans lequel les liens sont présentés) peuvent être mesurés pour leur exactitude ou leur actualité en vertu du principe 4.9.5 dans LPRPDE. Étant donné le défi d'interprétation de trouver des moteurs de recherche pour entrer dans le champ d'application de LPRPDE, il conviendrait de rechercher des éclaircissements législatifs en la matière.

Proposition #2 : Retrait/modification de la source

En plus d'un droit de désindexation, l'OPC fait valoir que les dispositions LPRPDE impliquent un droit conditionnel de demander la modification ou la suppression des informations inexactes, incomplètes ou obsolètes les concernant qui sont contenues sur des sites Web commerciaux. L'OPC prévoit deux situations dans lesquelles ce droit proposé serait applicable : (1) lorsqu'un utilisateur d'un site Web, tel qu'une plate-forme de médias sociaux, publie des informations sur lui-même qu'il souhaite par la suite modifier ou supprimer et (2) lorsqu'un individu souhaite demander à un propriétaire d'un site Web commercial de supprimer ou de modifier les informations inexactes, incomplètes ou obsolètes publiées à son sujet par un tiers sur le site Web.

Les dispositions pertinentes de LPRPDE au retrait/modification de la source sont les suivants :

• Une personne peut retirer son consentement à tout moment, sous réserve de restrictions légales ou contractuelles et d'un préavis raisonnable. L'organisation informe l'individu des implications d'un tel retrait.
• Les informations personnelles qui ne sont plus nécessaires pour atteindre les objectifs identifiés doivent être détruites, effacées ou rendues anonymes. Les organisations doivent élaborer des lignes directrices et mettre en œuvre des procédures pour régir la destruction des renseignements personnels.
• Lorsqu'une personne démontre avec succès l'inexactitude ou le caractère incomplet des renseignements personnels, l'organisation doit modifier les renseignements au besoin. Selon la nature des informations contestées, la modification implique la correction, la suppression ou l'ajout d'informations

Dans la première situation où l'utilisateur d'un site Web commercial, tel qu'une plateforme de médias sociaux, souhaite modifier ou supprimer des informations la concernant qu'elle a publiées antérieurement, l'OPC prétend que les principes 4.3.8 et 4.5.3 pris ensemble impliquent que le l'individu a un droit quasi absolu de supprimer les informations, sauf dans la mesure où elles sont soumises à des restrictions légales ou contractuelles.

L'OCP reconnaît que la seconde situation, lorsqu'un tiers publie sur un site marchand des informations inexactes, trompeuses ou obsolètes concernant une personne physique, soulève plus de difficultés et nécessite un équilibre entre l'intérêt à protéger son e-réputation avec le liberté d'expression de l'auteur. Néanmoins, selon l'OCP, le principe 4.9.5 prévoit qu'il existe au minimum un mécanisme formel permettant à un individu de demander que ces informations soient supprimées ou modifiées du site Web. Cela, selon l'OPC, offre un équilibre approprié avec la liberté d'expression.

Malheureusement, l'OPC n'offre aucune indication sur la façon dont la liberté d'expression devrait être mise en balance avec l'intérêt d'une autre personne dans sa réputation en ligne, si ce n'est de prétendre qu'un tel équilibre devrait être fait en tenant compte de l'intérêt public. Cependant, cet exercice d'équilibrage crée une fausse parité entre le droit à la liberté d'expression et le droit à la réputation en ligne. Alors que le premier est un droit garanti par la Constitution, le second n'a jusqu'à présent acquis qu'une reconnaissance limitée dans le contexte de la diffamation ou de la calomnie.[1] Exiger des organisations sous LPRPDE supprimer ou modifier du contenu qui est par ailleurs légalement publié peut soulever des difficultés Charte défis.

Étant donné le défi d'interprétation de trouver des moteurs de recherche pour entrer dans le champ d'application de LPRPDE et les contestations potentielles de la Charte contre le retrait/la modification de la source, il serait conseillé de rechercher des éclaircissements législatifs sur la question de la protection de sa réputation en ligne. Peut-être est-il plus approprié de créer un droit indépendant de protéger sa réputation ou de demander un amendement à LPRPDE rendre ce droit plus explicite. Néanmoins, malgré ces défis, le projet de document de l'OPC est une étape importante pour faire avancer la discussion sur la protection de la réputation en ligne, qui devient une question de plus en plus controversée à mesure que nos informations personnelles se retrouvent sur Internet.

[1] Voir Hill c. Église de Scientologie de Toronto, [1995] 2 RCS 1130, par. 121 et Grant c. Torstar Corp. [2009] 3 RCS 640, paragraphe 51