Le 30 juin 2020, le Commissariat à la protection de la vie privée du Canada (CPVP) a publié son Rapport de conclusions d’enquête sur les pratiques de traitement de l’information de l’exploitant de RateMDs.com, un site Web populaire qui permet aux utilisateurs d’évaluer les professionnels de la santé au profit d’autres patients (RateMDs)1. La décision découlait d’une plainte déposée par une dentiste de la Colombie-Britannique dans laquelle elle demandait que son profil soit définitivement retiré de la plateforme de RateMDs, faisant valoir que RateMDs n’avait pas obtenu son consentement en violation de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE).
Le CPVP a conclu que RateMDs n’était pas tenu d’obtenir le consentement de la plaignante avant de recueillir, d’utiliser ou de communiquer les renseignements personnels de celle-ci, notamment son nom, ses coordonnées d’affaires, de même que les avis et classements publiés à son sujet. Cependant, il a constaté que RateMDs a manqué de transparence concernant le droit des professionnels de la santé de demander la correction ou la modification de leurs renseignements personnels qui sont inexacts ou incomplets ou qui ne sont plus à jour. En outre, le CPVP a également conclu que RateMDs avait adopté une pratique déraisonnable, en contravention du paragraphe 5(3) de la LPRPDE, en offrant un service par abonnement qui comprenait une option de « paiement pour retrait » permettant aux professionnels de la santé de masquer de leur profil jusqu’à trois avis défavorables à leur sujet.
Si la décision fournit des renseignements et des conseils précieux sur les obligations et le rôle des organisations dans la protection de la réputation des personnes en ligne, elle représente un premier pas important, quoique prudent, dans la mise en œuvre d’un « droit à l’oubli » au Canada – une discussion qui cadre étroitement avec les déclarations précédentes du CPVP dans son Projet de position du Commissariat sur la réputation en ligne. À cet égard, la présente décision soulève un certain nombre de questions pour les organisations qui cherchent à mettre en œuvre les recommandations du CPVP et illustre les défis à venir en ce qui a trait à la reconnaissance d’un droit à l’oubli à part entière au Canada. Étant donné qu’un renvoi susceptible d’avoir des répercussions importantes sur la reconnaissance d’un droit à l’oubli au Canada est toujours en instance devant la Cour fédérale, les organisations devraient faire preuve de prudence dans la gestion des demandes de retrait de contenu généré par les utilisateurs conformément à la LPRPDE.
Contexte
Une dentiste de la Colombie-Britannique a déposé une plainte auprès du CPVP, soutenant que RateMDs avait enfreint la LPRPDE après avoir publié des renseignements personnels la concernant sur son site Web sans son consentement et a demandé à faire retirer son profil de façon permanente, y compris les avis et les classements – une demande à laquelle RateMDs a systématiquement refusé de donner suite, invoquant l’intérêt public.
RateMDs décrit son site Web comme étant « destiné à permettre aux patients de classer et d’évaluer les professionnels de la santé auxquels ils font appel afin que d’autres patients puissent prendre des décisions plus éclairées au sujet de leurs soins de santé2 ». Pour atteindre cet objectif, RateMDs permet aux utilisateurs de créer des profils pour les professionnels de la santé. Chaque profil contient le nom du professionnel de la santé, son sexe, sa spécialité et ses coordonnées d’affaires, comme son adresse et son numéro de téléphone3. Une fois le profil créé, RateMDs permet aux patients de soumettre anonymement leurs avis et leurs appréciations de la pratique et du caractère du professionnel de la santé.
Afin de préserver l’intégrité de sa plateforme, RateMDs ne modifie ni ne retire de contenu en se fondant uniquement sur l’allégation d’une personne selon laquelle un avis donné est injuste. Cependant, il fournit aux personnes divers outils pour modifier ou retirer du contenu inapproprié, non pertinent pour la plateforme, manifestement inexact ou incomplet ou qui n’est pas à jour. Si ces outils sont généralement gratuits, RateMDs offre également un service d’abonnement qui permet aux professionnels de la santé de masquer jusqu’à trois avis défavorables.
Décision
En abordant le principal argument de la plaignante selon lequel RateMDs n’a pas obtenu son consentement conformément à la LPRPDE, le CPVP a abordé deux autres questions liées au respect par RateMDs des exigences en matière de transparence et de caractère raisonnable. Bien que la plaignante n’ait pas soutenu que les renseignements contenus dans son profil étaient inexacts de quelque façon que ce soit, le CPVP a également fourni des commentaires sur le processus que les organisations doivent mettre en place pour permettre aux personnes de contester l’exactitude, l’exhaustivité ou l’actualité du contenu publié sur la plateforme de RateMDs.
Pour déterminer si RateMDs avait l’obligation d’obtenir le consentement de la plaignante, le CPVP devait évaluer si les coordonnées d’affaires de cette dernière et d’autres renseignements factuels contenus dans son profil bénéficiaient d’une exception au consentement ou d’une exemption en vertu de la LPRPDE, à savoir l’« exemption relative aux coordonnées d’affaires4 » ou l’« exception relative aux renseignements auxquels le public a accès5 ». En ce qui concerne l’exemption, le CPVP a estimé que RateMDs ne respectait pas les conditions requises, car l’exemption ne s’appliquait qu’aux renseignements recueillis, utilisés ou communiqués « uniquement » « pour entrer en contact — ou pour faciliter la prise de contact — avec lui dans le cadre de son emploi, de son entreprise ou de sa profession6 ». Étant donné que l’objectif déclaré de RateMDs est d’aider les patients à prendre une décision éclairée quant à leur choix de professionnels de la santé, et non pas « uniquement » de faciliter la communication entre les patients et leurs professionnels de la santé, le CPVP a conclu que les renseignements en question ne pouvaient pas être exemptés en vertu de la LPRPDE7.
Cependant, pour ce qui est de l’« exception relative aux renseignements auxquels le public a accès », le CPVP a conclu que RateMDs était admissible et pouvait recueillir, utiliser et communiquer le nom de la plaignante, son domaine de spécialisation et ses coordonnées d’affaires sans son consentement, puisque ces renseignements figuraient dans un certain nombre de répertoires et de registres publics considérés comme des renseignements « auxquels le public a accès » au sens de la LPRPDE8. Ces répertoires et registres publics comprenaient le registre du College of Dental Surgeons of British Columbia (CDSBC), les Pages jaunes et d’autres répertoires professionnels ou commerciaux en ligne, comme le site Web du cabinet de la plaignante.
Le CPVP s’est ensuite penché sur la question de savoir si les renseignements personnels non exemptés (c.-à-d. les avis et les classements concernant la plaignante) nécessitaient le consentement de la plaignante. Avant d’aborder cette question, le CPVP a déterminé que RateMDs était responsable du contenu généré par les utilisateurs sur sa plateforme, car il recueille, utilise ou communique ces renseignements à ses propres fins lucratives. Le CPVP a facilement conclu que les avis et les classements constituaient des « renseignements personnels » de l’utilisateur qui les a générés et de la plaignante, ouvrant ainsi la voie à un grand débat sur la nécessité d’obtenir le consentement des deux personnes. C’est à ce stade que le CPVP a souligné à juste titre que la LPRPDE « se prête mal à la réglementation de ces types de services, qui opposent les droits à la vie privée de certaines personnes aux droits et aux intérêts d’autres personnes9 ». En revanche, il a reconnu facilement que, lorsque ces droits et intérêts sont en conflit, il serait « rarement possible » d’obtenir le consentement des deux parties10.
Pour surmonter cette difficulté, le CPVP a décidé d’adopter une approche surprenante. Plutôt que d’envisager d’appliquer l’exemption à des fins journalistiques afin d’exempter les avis et les classements publiés sur la plateforme de RateMDs du champ d’application de la LPRPDE – une solution sans doute plus acceptable – le CPVP a préféré présenter le problème comme une question d’équilibre entre deux « droits » concurrents. Ce faisant, il a tenu compte des divers intérêts concurrents, y compris l’intérêt du public à consulter les avis et les classements en question, et a conclu qu’il serait inapproprié en l’espèce de privilégier les intérêts de la plaignante au détriment des intérêts plus vastes en jeu. Par conséquent, aucun consentement n’était requis de la part de la plaignante dans cette affaire.
Pour ce qui est des deux questions en suspens, à savoir la transparence et le caractère raisonnable, le CPVP a jugé que la plainte était fondée sur ces deux points. Tout d’abord, le CPVP a conclu que RateMDs avait enfreint le principe de la transparence (principe 4.8) en omettant d’informer adéquatement les professionnels de la santé de leur droit de demander la correction ou la modification de leurs renseignements personnels lorsque ces renseignements étaient inexacts ou incomplets ou qu’ils n’étaient plus à jour. Par la suite, RateMDs a résolu le problème en modifiant la formulation des conditions d’utilisation et de la FAQ de son site Web.
En ce qui concerne le deuxième point, le CPVP a contesté une option du service d’abonnement de RateMDs, qui permettait aux professionnels de la santé de masquer jusqu’à trois avis défavorables de leur profil public. En citant la décision rendue dans l’affaire Globe24h11, qui concernait une organisation republiant des décisions de tribunaux canadiens dans l’intention de facturer leur retrait, une pratique que la Cour fédérale a jugée déraisonnable et interdite en vertu du paragraphe 5(3) de la LPRPDE, le CPVP a considéré que le service de « paiement pour retrait » de RateMDs était analogue à cette décision et contrevenait à l’exigence du caractère raisonnable de la LPRPDE.
Points à retenir pour les entreprises
Bien qu’un certain nombre de questions aient été soulevées, la décision est remarquable à quatre égards :
- Tout d’abord, la décision réaffirme que les commentaires, les avis et les classements générés par les utilisateurs peuvent être à la fois des renseignements personnels des utilisateurs et de la personne visée par ces commentaires, et si ces personnes partagent des intérêts concurrents, les organisations doivent soupeser soigneusement ces intérêts avant de donner la priorité à l’un sur l’autre. La façon d’y parvenir en pratique n’est pas claire, car les organisations ne sont pas toujours les mieux placées pour trouver un équilibre entre des considérations et des facteurs plus généraux liés à l’intérêt du public à maintenir la disponibilité des renseignements concernés.
- Un deuxième élément clé à retenir est l’obligation d’une organisation de faire preuve de transparence au sujet de ses politiques et pratiques en matière de gestion des renseignements personnels. Plus précisément, les organisations doivent non seulement avoir en place un processus « équitable et accessible » qui permet aux personnes de rectifier leurs renseignements personnels, mais elles doivent aussi en informer adéquatement les personnes concernées et leur indiquer clairement qu’elles ont le droit de demander la correction ou la modification de leurs renseignements personnels s’il est démontré qu’ils sont « inexacts, incomplets ou ne sont pas à jour ». Il ne suffit pas qu’une organisation déclare simplement que les renseignements seront supprimés ou modifiés s’ils sont « inappropriés », car les personnes doivent être informées de leurs droits à la vie privée et des moyens dont elles disposent pour les exercer. En pratique, on y parvient généralement en incorporant une formulation pertinente dans une politique sur la protection de la vie privée mise à la disposition des personnes concernées dans un format facilement accessible.
- La décision réaffirme également que le modèle d’affaires d’une organisation ne peut être fondé, même en partie, sur l’imposition de frais à des personnes pour le retrait ou la modification de leurs renseignements personnels, puisque cela constituerait une pratique « déraisonnable » au sens du paragraphe 5(3) de la LPRPDE (ou, comme le dit le CPVP, une « zone interdite »). Cependant, il est important de noter que la LPRPDE permet aux organisations d’imposer des frais modiques aux personnes pour répondre à une demande d’accès ou de correction12.
- Enfin, l’analyse du CPVP de l’« exemption relative aux coordonnées d’affaires » et de l’« exception relative aux renseignements auxquels le public a accès » fournit des conseils utiles sur leur portée et leur application respectives, qui demeurent malheureusement relativement circonscrites dans le cadre de la loi fédérale. Par exemple, alors que l’exemption exige que les renseignements soient utilisés « uniquement » pour faciliter la communication entre les personnes, l’exception ne l’exige pas, ce qui ouvre la voie à une application plus souple de l’exception relative aux renseignements auxquels le public a accès, une excellente affaire pour les entreprises qui comptent sur ce type de renseignements. Autrement dit, dans la mesure où cette exception exige que les renseignements auxquels le public a accès soient recueillis, utilisés ou communiqués à une fin particulière – généralement pour laquelle les renseignements figurent dans un registre ou un répertoire désigné – cette condition sera satisfaite même si cette fin n’est qu’accessoire par rapport à l’ensemble des activités de l’organisation. Par ailleurs, puisque les renseignements dans ce cas ont été générés par les utilisateurs, le CPVP semble également suggérer que les organisations n’ont pas besoin de recueillir des renseignements directement auprès d’une source publique désignée pour être admissibles à l’exception.
Analyse des questions en suspens
Questions de compétence
Cette décision illustre les problèmes de compétence complexes qui surviennent souvent lorsqu’une organisation mène ses activités commerciales en ligne. En effet, les organisations peuvent être assujetties simultanément aux lois provinciales et fédérales sur la protection de la vie privée – un enjeu qui promet de devenir de plus en plus important alors que les provinces, comme le Québec, cherchent à mettre à jour leurs lois sur la protection de la vie privée de façon potentiellement incongrue. Pour une analyse plus détaillée des modifications proposées par le Québec à sa loi sur la protection des renseignements personnels, consultez notre article Amendements proposés à la loi québécoise sur la protection des renseignements personnels : Conséquences sur les entreprises.
Il convient de souligner que la plaignante, une résidente de la Colombie-Britannique, a déposé sa plainte contre RateMDs, une société californienne, en vertu de la LPRPDE, et non de la loi sur la protection de la vie privée du secteur privé de la Colombie-Britannique, la Personal Information Protection Act (PIPA). La Colombie-Britannique est actuellement l’une des trois provinces – avec l’Alberta et le Québec – qui ont adopté leur propre loi sur la protection de la vie privée dans le secteur privé, jugée « essentiellement similaire » à la LPRPDE. Comme elles sont « essentiellement similaires », les lois provinciales sur la protection de la vie privée, et non la LPRPDE, s’appliquent aux questions intraprovinciales. Cependant, c’est la LPRPDE qui s’applique aux questions interprovinciales ou internationales, peu importe la province où la question a été soulevée en premier lieu.
En l’espèce, le CPVP a conservé le pouvoir d’appliquer la LPRPDE, puisque RateMDs est établie aux États-Unis et que les renseignements personnels étaient traités en dehors des frontières de la Colombie-Britannique. Cependant, qu’en est-il de la loi de la Colombie-Britannique? La plaignante avait-elle également le droit de porter plainte contre RateMDs en vertu de la PIPA? Dans ce cas, la réponse est probablement non, car l’alinéa 3(2)(c) de la PIPA prévoit expressément que c’est la LPRPDE, et non la loi de la Colombie-Britannique, qui s’applique dans ce genre de situation. En revanche, ce n’est pas le cas pour les lois de l’Alberta et du Québec. Par conséquent, la question de la compétence concurrente est plus susceptible de se poser pour les organisations ayant des activités dans ces provinces. L’organisme de réglementation de la protection de la vie privée du Québec a récemment rendu une décision dans laquelle il a confirmé sa compétence pour appliquer la loi provinciale du Québec sur la protection de la vie privée à une organisation sous réglementation fédérale qui exerce partiellement ses activités dans la province13. Par conséquent, les organisations doivent faire preuve de prudence lorsqu’elles déterminent quelle loi sur la protection de la vie privée s’applique à leurs activités, d’autant plus qu’un certain nombre de provinces ont déjà proposé ou envisagent de proposer des modifications importantes à leurs lois sur la protection de la vie privée. Consultez notre article La réforme du droit canadien relatif à la protection de la vie privée est imminente – êtes-vous prêt? pour en savoir plus.
Exemption à des fins journalistiques
Une autre question notable absente de la décision est celle de savoir si les avis et les classements générés par les utilisateurs sur la plateforme de RateMDs pouvaient être admissibles à l’exemption à des fins journalistiques prévue à l’alinéa 4(2)c) de la LPRPDE. Cette disposition exempte entièrement les renseignements personnels qu’une organisation recueille, utilise ou communique « exclusivement » à des « fins journalistiques, artistiques ou littéraires14 ». Pourtant, le terme « journalistique » n’est pas défini dans la législation fédérale et les tribunaux en ont interprété le sens avec parcimonie.
Dans l’affaire Globe24h, la Cour fédérale a fait valoir qu’une activité sera qualifiée de « journalistique » lorsque son objectif est « 1) d’informer la collectivité sur des questions qui l’intéresse, 2) lorsqu’elle concerne un élément de la production originale et 3) une " auto-discipline visant à présenter une description exacte et juste des faits, des opinions et des débats d’une situation"15 ». Cela dit, les tribunaux canadiens ont également fait une mise en garde contre l’interprétation du terme « journalistique » comme englobant toute forme d’expression. En effet, dans l’affaire United Food and Commercial Workers, Local 401, la Cour d’appel de l’Alberta a fait remarquer que « même si tout journalisme peut être une forme d’expression, toute expression n’est pas du journalisme16 » [traduction].
Compte tenu de ce qui précède, il faut se demander si l’objectif de RateMDs – qui est d’aider les patients à « prendre des décisions plus éclairées au sujet de leurs soins de santé » – répondait aux trois conditions décrites dans Globe24h pour qu’il soit considéré comme « journalistique » et, le cas échéant, s’il poursuivait ses activités « exclusivement » à cette fin. Bien qu’il ne soit pas du ressort du présent bulletin de fournir une réponse exhaustive à ces questions, il est utile d’examiner quelques décisions dans lesquelles cette exemption a été invoquée afin de dégager des arguments potentiels qu’il aurait été intéressant de prendre en compte dans la décision du CPVP.
Par exemple, l’affaire Globe24h concernait une organisation dont les activités consistaient à republier en ligne les décisions des tribunaux canadiens et à facturer par la suite des frais aux personnes nommées dans ces décisions pour leur retrait. En concluant que l’organisation ne poursuivait pas d’objectifs « journalistiques », le juge a fondé sa conclusion en partie sur le fait que l’organisation n’ajoutait « rien à la publication par des commentaires, des renseignements supplémentaires ou une analyse17 ». De même, Surrey Creep Catcher (Re) concernait une exemption similaire au titre de la PIPA et mettait en cause une organisation dont les activités consistaient à leurrer de présumés prédateurs d’enfants dans des confrontations enregistrées sur vidéo afin de mettre ensuite la vidéo en ligne. En concluant que les activités de l’organisation n’étaient pas considérées comme « journalistiques », l’organisme de réglementation de la protection de la vie privée de la Colombie-Britannique a fait valoir qu’il n’y avait « aucune preuve » que l’organisation avait fait « tous les efforts pour présenter le point de vue des plaignants lors de la publication des vidéos, pour fournir des commentaires ou des analyses ou pour offrir « une description exacte et équitable des faits, des opinions et des débats en jeu dans une situation18 » [traduction].
Contrairement à ces décisions, il y a quelques raisons de croire que RateMDs aurait pu être admissible à l’exemption pour fins journalistiques. Premièrement, les pratiques de RateMDs visaient clairement un intérêt public légitime, ce qu’a expressément reconnu le CPVP dans son analyse du consentement, dans laquelle il a privilégié l’intérêt public plutôt que celui de la plaignante. Deuxièmement, étant donné que RateMDs a géré activement le contenu affiché sur sa plateforme pour en assurer la pertinence, l’exactitude, l’intégralité et l’actualité, on peut aussi soutenir que, contrairement à Surrey Creep Catcher (Re), RateMDs prenait un certain nombre de mesures pour fournir « une description exacte et juste des faits, des opinions et des débats d’une situation ». Ainsi, dans la présente décision, l’absence de toute mention de l’exemption à des fins journalistiques est surprenante, étant donné la solidité relative de ces arguments préliminaires. Même si RateMDs avait eu la tâche difficile de satisfaire également à l’exigence d’« exclusivité » afin d’être admissible à l’exemption, il ressort clairement de la discussion qui précède qu’il s’agissait d’une occasion ratée de clarifier la portée d’une disposition souvent oubliée. On ignore toujours si ces arguments seront abordés plus en détail dans le renvoi de 2018 du CPVP, qui est toujours en instance devant la Cour fédérale.
Défis posés par un droit à l’oubli au Canada
Essentiellement, la décision du CPVP représente une première étape importante vers la mise en œuvre d’un droit à l’oubli en application de la loi canadienne sur la protection de la vie privée – une notion qui a vu le jour en Europe et qui a fait son chemin au Canada, et plus récemment au Québec. Si la question de savoir si les moteurs de recherche sont tenus de supprimer les renseignements dépend en partie de l’issue du renvoi toujours en instance devant la Cour fédérale, cette décision porte sur le deuxième volet du droit à l’oubli, qui permet aux personnes de demander le retrait de leurs renseignements personnels à la source. Le régime potentiel d’avis et de retrait soulève des questions importantes concernant la liberté d’expression et le droit du public à l’information. Comme l’illustre l’analyse suivante, la LPRPDE est tout simplement mal adaptée pour relever ces défis dans sa forme actuelle et constitue un outil relativement rudimentaire pour la médiation des droits et libertés constitutionnels des personnes. Pour une analyse plus détaillée des modifications proposées par le Québec à sa loi sur la protection des renseignements personnels, consultez notre article Amendements proposés à la loi québécoise sur la protection des renseignements personnels : Conséquences sur les entreprises.
La décision du CPVP d’assurer un équilibre entre les intérêts a été présentée comme une question mettant en cause deux « droits » concurrents aux termes de la LPRPDE, question à laquelle il n’y a pas de solution évidente. Dans le cadre de cet exercice, le CPVP a cité un certain nombre de décisions antérieures concernant une personne qui cherchait à obtenir l’accès à des opinions formulées à son sujet par d’autres personnes sans leur consentement, plaçant le droit d’une personne d’accéder à ses renseignements personnels en opposition au droit d’une autre personne de refuser son consentement à la communication de ses renseignements personnels. Contrairement à ces décisions, l’affaire en cause n’a pas donné lieu en soi à deux droits concurrents, en ce que les utilisateurs qui ont publié des avis et des classements au sujet de la plaignante n’avaient pas un « droit de fournir » leurs renseignements personnels à RateMDs, alors que la plaignante avait le droit de refuser de consentir à la publication de ses renseignements personnels. Bien qu’il soit probable que le CPVP ait interprété plus largement le sens du mot « droit » afin d’inclure la liberté d’expression et le droit du public à l’information, la LPRPDE ne vise pas à traiter clairement de ce genre de situations, et encore moins à exiger des organisations qu’elles se livrent à ce genre d’analyse contextuelle et juridique. Par exemple, il n’est pas facile de déterminer comment ou selon quelle norme une organisation est censée faire prévaloir l’intérêt du public sur celui d’un plaignant pour retirer ses renseignements. Étant donné que les tribunaux eux-mêmes ont de la difficulté à définir le concept de l’« intérêt public », les organisations ont peu de certitude lorsqu’elles s’engagent dans ce genre d’analyse, ce qui fait craindre qu’elles préfèrent simplement retirer le contenu pour éviter les tracasseries liées à la contestation des plaintes relatives à la protection de la vie privée.
Ces problèmes sont aggravés lorsque nous examinons les suggestions du CPVP en ce qui concerne le traitement des demandes de rectification. Bien qu’il n’ait pas rendu de conclusions définitives à cet égard, le CPVP a souligné dans sa décision l’iniquité du processus de contestation de l’exactitude, de l’exhaustivité et de l’actualité des avis et des classements publiés par des utilisateurs anonymes. S’il est indéniable qu’une personne sera désavantagée lorsqu’elle exercera son droit de faire rectifier ce type de renseignements si elle est incapable de confirmer l’identité de son auteur, il est également clair que les utilisateurs anonymes sont également désavantagés. Par exemple, la LPRPDE n’exige pas dans ce genre de situation d’aviser les utilisateurs lorsque l’organisation a reçu une demande de modification de leurs renseignements personnels, et elle ne leur donne pas non plus la possibilité de défendre l’exactitude, l’exhaustivité et l’actualité de leurs avis et de leurs classements. Même si ce processus existait, comment pourrait-il être appliqué si les avis et les classements étaient affichés de façon anonyme? La LPRPDE interdirait probablement à une organisation de recueillir ou de divulguer l’identité de ses utilisateurs anonymes. En ce sens, le processus prévu dans la LPRPDE pour corriger les renseignements personnels subjectifs est injuste à la fois pour le plaignant et pour les utilisateurs anonymes dans ces situations, ce qui fait ressortir à quel point, comme le CPVP l’a reconnu à juste titre, la LPRPDE est « mal adaptée pour réglementer ces types de services ». C’est en partie pour cette raison que l’organisme de réglementation de la protection de la vie privée du Québec a expressément déclaré que le droit de rectification prévu par la loi québécoise sur la protection de la vie privée dans le secteur privé s’appliquait « uniquement aux faits précis et vérifiables », c’est-à-dire aux « renseignements objectifs », et qu’à ce titre, « les commentaires, observations, opinions et diagnostics ne peuvent pas faire l’objet d’une demande de rectification puisqu’ils correspondent au point de vue de cette [personne] à la suite de son observation subjective des faits pertinents19 ».
Étant donné qu’il existe un certain nombre d’autres mécanismes juridiques pour protéger la réputation des personnes en ligne, qui sont précisément conçus pour traiter les questions complexes et nuancées soulevées dans ces situations de manière équitable et impartiale20, il ne semble ni nécessaire ni souhaitable de créer un raccourci législatif au titre de la LPRPDE pour atteindre cet objectif, aussi louable soit-il. Comme le démontre la décision du CPVP, le fait d’étendre les exigences de la LPRPDE aux avis et aux classements en ligne peut entraîner des conséquences imprévues et une injustice flagrante pour les deux parties. Pour ces raisons, les futures réformes législatives de la LPRPDE constituent une avenue plus adéquate pour aborder les divers défis liés à la mise en œuvre d’un droit à l’oubli au Canada.
Conclusion
Bien que la décision du CPVP soulève un certain nombre de questions intéressantes sur la portée potentielle d’un droit à l’oubli au titre de la législation canadienne sur la protection de la vie privée, de nombreuses incertitudes subsistent quant à la façon dont les organisations doivent mettre en œuvre les recommandations du CPVP à cet égard d’une manière qui protège véritablement les intérêts concurrents des personnes. À cet égard, les organisations qui exploitent des plateformes semblables à RateMDs devraient faire preuve de prudence dans le traitement des demandes de retrait de contenu soumis par les utilisateurs et devraient évaluer si ce contenu est assujetti à la LPRPDE.
Cependant, de façon plus générale, les organisations devraient s’assurer de mettre en œuvre et de maintenir des politiques et des pratiques « équitables et accessibles » pour gérer les droits à la vie privée des personnes, y compris le droit de rectifier leurs renseignements personnels s’ils ne sont plus exacts, complets ou à jour. Plus précisément, les organisations devraient également faire preuve de transparence au sujet de ces politiques et pratiques et informer les personnes de leurs droits par des moyens complets et facilement accessibles, comme une politique sur la protection de la vie privée. En retour, les organisations doivent également éviter de commercialiser les droits de rectification des personnes en imposant des frais pour le retrait de leurs renseignements personnels; une telle pratique serait presque certainement considérée comme déraisonnable aux termes de la LPRPDE.
1 CPVP, Rapport de conclusions d’enquête en vertu de la LPRPDE no 2020-002, 30 juin 2020 [RateMDs].
2 RateMDs, par. 8.
3 RateMDs, par. 10.
4 Article 4.01, LPRPDE.
5 Alinéas 7(1)d), 7(2)c.1), 7(3)h.1), LPRPDE; Règlement précisant les renseignements auxquels le public a accès.
6 Article 4.01, LPRPDE.
7 RateMDs, par. 37.
8 Il est important de noter que les renseignements ne sont pas considérés comme des « renseignements auxquels le public a accès » au sens de la LPRPDE simplement parce que le public y a accès en ligne. Au contraire, aux termes du Règlement précisant les renseignements auxquels le public a accès, les renseignements personnels peuvent être considérés comme des renseignements auxquels le public a accès dans un nombre relativement restreint de circonstances, sous réserve de restrictions liées au type de renseignements et aux exigences relatives à l’objet.
9 RateMDs, par. 52.
10 RateMDs, par. 53.
11 A.T. c. Globe24h.com, [2017] 4 RCF 310.
12 Paragraphe 8(6), LPRPDE.
13 D’Allaire c. Transport Robert (Québec) 1973 ltée, 2020 QCCAI 152.
14 A.T. c. Globe24h.com, [2017] 4 RCF 310, par. 72.
15 A.T. c. Globe24h.com, [2017] 4 RCF 310, par. 68.
16 United Food and Commercial Workers, Local 401 c Alberta (Attorney General), ABCA 130, [2012] (CanLII), au par. 56; décision confirmée en appel par Alberta (Information and Privacy Commissioner) c United Food and Commercial Workers, Local 401, [2013] 3 RCS 733.
17 A.T. c. Globe24h.com, [2017] 4 RCF 310, par. 70.
18 Surrey Creep Catcher (Re), 2020 BCIPC 33 (CanLII), par. 20.
19 S.R. c. Côté, 2009 QCCAI 172 (CanLII), par. 12-16. Voir aussi D.V. c. Benhamou, 2014 QCCAI 75 (CanLII).
20 ;Eloïse Gratton et Jules Polonetsky, « Le droit à la vie privée a-t-il préséance sur tous les autres droits fondamentaux? Les défis que présente la mise en œuvre du droit à l’oubli au Canada », 28 avril 2016, page 22 et pages suivantes.
