Le 26 janvier 2018, le Commissariat à la protection de la vie privée du Canada (le « CPVP ») a publié son projet de proposition sur la réputation en ligne de même qu’un avis de consultation et appel aux commentaires sur cette position. Le projet de proposition suit une consultation et demande d’articles lancée en 2016 sur la question.
Dans ce projet de position, le CPVP propose des solutions qui, selon lui, permettent de trouver un équilibre entre la liberté d’expression et les intérêts des personnes en matière de protection de la vie privée. Ces solutions découlent de la rétroaction d’intervenants et de membres de la population canadienne qui reconnaissent les avantages de la participation au monde en ligne tout en se disant de plus en plus préoccupés par leur réputation en ligne.
Afin de répondre à ces préoccupations, le projet de position cerne donc diverses solutions — abordées ci-dessous — dont le déréférencement et la modification ou l’effacement à la source (takedown), qui s’apparentent au « droit à l’oubli » créé dans une décision rendue en 2014 par la Cour de justice de l’Union européenne ainsi qu’au « droit à l’effacement » prévu dans le Règlement général sur la protection des données (le « RGPD ») de l’UE dont l’entrée en vigueur est imminente.
Déréférencement par des moteurs de recherche
Les moteurs de recherche se livrent à des activités commerciales
Dans le projet de position, le CPVP estime que le référencement de pages Web contenant des renseignements personnels et affichant des liens vers ces pages dans les résultats de recherche constitue une collecte, une utilisation et une communication de renseignements personnels qui sont réglementées par la Loi sur la protection des renseignements personnels et les documents électroniques (le « LPRPDE »). Les moteurs de recherche se livrent à des « activités commerciales » même quand ils sont gratuits, puisque la plupart affichent des publicités à côté des résultats de recherche pour générer des revenus.
Exactitude
Selon le principe 4.6 figurant à l’annexe 1 de la LPRPDE, il est obligatoire que les renseignements personnels soient « aussi exacts, complets et à jour que l’exigent les fins pour lesquelles ils sont destinés ». Au principe 4.9, le législateur accorde à une personne le droit de contester l’exactitude et l’intégralité des renseignements qui la concernent et d’y faire apporter les corrections appropriées. Le CPVP précise que, si une personne conteste avec succès le degré d’exactitude et de mise à jour ou le caractère complet des résultats d’une recherche lancée au moyen de son nom, ces résultats doivent alors être modifiés. Il peut s’agir pour le moteur de recherche de déréférencer tout résultat inapproprié et de supprimer le lien ou, dans certains cas, de rétrograder le résultat dans le classement ou de signaler qu’il est inexact ou incomplet. Le CPVP reconnaît toutefois qu’il y aura des demandes ne justifiant pas le déréférencement de la page et qu’il faut tenir compte, dans la décision, de l’intérêt public de l’accessibilité des renseignements.
Critère de la personne raisonnable
Se rapportant au critère des « fins qu’une personne raisonnable estimerait acceptables » énoncé au paragraphe 5(3) de la LPRPDE, le projet de position mentionne qu’il existe certaines circonstances limitées dans lesquelles une personne raisonnable estimerait inacceptable que le nom d’une personne soit associé par un moteur de recherche à du contenu précis où figurent des renseignements personnels. Par exemple, lorsqu’il peut s’ensuivre « un préjudice grave à l’individu et que l’affichage du résultat de la recherche n’est pas d’intérêt public ou que le préjudice, compte tenu de son ampleur et de sa probabilité, l’emporte sur tout intérêt public ».
Critère de l’intérêt public
Le projet de position énumère les facteurs qu’un moteur de recherche devrait prendre en considération afin de déterminer s’il est d’intérêt public que le référencement du contenu soit préservé. Il s’agit notamment des suivants : (i) si la personne concernée est une personnalité publique (p. ex. le ou la titulaire d’une charge publique, un politicien ou une politicienne, un homme ou une femme d’affaires en vue), (ii) si les renseignements en jeu ont trait à une question faisant l’objet d’une controverse ou d’un débat public, (iii) si les renseignements se rapportent à la vie privée d’une personne par opposition, par exemple, à sa vie professionnelle ou active, (iv) si les renseignements concernent une infraction criminelle pour laquelle l’individu a obtenu une absolution, une réhabilitation ou la suspension de son casier judiciaire, (v) si les renseignements concernent un mineur.
Réponses aux inquiétudes formulées par les intervenants
Soulignons qu’Éloïse Gratton, associée chez BLG et co-auteure du présent article, a transmis ses commentaires dans le cadre de la consultation effectuée en 2016; elle s’y interroge sur l’opportunité d’importer au Canada un droit à l’oubli qui permettrait à des personnes d’empêcher des moteurs de recherche d’établir des liens vers des données qui ne sont plus pertinentes, sont réputées inadéquates ou sont excessives. Elle y exprime sa réticence quant à l’idée de confier à des entités privées la responsabilité d’arbitrer des valeurs et des droits fondamentaux puis de déterminer ce qui est dans l’intérêt public, sous la surveillance restreinte, voire inexistante, des gouvernements ou des tribunaux. Elle soulève également d’autres préoccupations.
Dans son projet de position, le CPVP répond à certaines des inquiétudes et remises en question — voir ci-dessous — dont ont fait état divers intervenants durant la consultation de 2016 en ce qui concerne le déréférencement :
- Le déréférencement est inefficace puisque le contenu sous-jacent reste accessible en ligne. Le CPVP est d’avis que le déréférencement aura une incidence très positive, même si les renseignements sources demeurent accessibles.
- Il n’est pas approprié que des organisations du secteur privé aient à décider de l’équilibre à trouver entre le droit à la vie privée et la liberté d’expression. Le CPVP répond à cette critique en indiquant que des organisations se livrent déjà à cet exercice d’équilibrage, que des moteurs de recherche en particulier ont déjà mis en place des mécanismes pour examiner les demandes de déréférencement et supprimer de leurs résultats de recherche les contenus potentiellement préjudiciables ou illicites. En plus, la LPRPDE confie aux organisations le soin d’agir comme premiers intervenants en vertu du principe 4.10.2, qui énonce qu’elles « doivent établir des procédures pour recevoir les plaintes et les demandes de renseignements concernant leurs politiques et pratiques de gestion des renseignements personnels, et y donner suite ».
- Il n’y a pas de mécanisme permettant de faire valoir l’intérêt public dans le cadre de demandes de déréférencement, puisque ceux qui ont publié les renseignements ne seraient pas avisés de ces demandes (en vertu de la procédure de déréférencement prévue par l’UE). Le CPVP reconnaît qu’il peut y avoir des cas où un moteur de recherche trouvera utile d’obtenir des commentaires du site Web source ou de permettre à celui-ci de s’opposer à une décision de déréférencer des résultats, mais en soulignant qu’il laisse aux moteurs de recherche le soin de concevoir des mécanismes appropriés pour résoudre ce problème. Il indique par ailleurs que cet aspect mérite d’être examiné de plus près.
- Le déréférencement créerait un fardeau pour les moteurs de recherche. Le CPVP analyse cette question en précisant que les moteurs de recherche ont pour activité de rendre l’information plus accessible, qu’ils génèrent souvent ainsi des revenus importants et que les Canadiens devraient disposer au minimum d’un mécanisme pour contester la conformité à la LPRPDE en ce qui concerne les renseignements présentés dans les résultats de recherche.
- La portée territoriale est limitée. Sur ce point, le CPVP fait valoir que le déréférencement peut s’avérer inefficace s’il est appliqué seulement aux résultats des recherches effectuées dans le domaine canadien d’un moteur de recherche, car l’information demeurera facilement accessible dans les domaines .com ou ceux propres à d’autres pays. Cependant, comme le déréférencement des résultats à l’échelle mondiale pourrait porter indûment atteinte à la souveraineté d’autres pays, le CPVP propose le recours à des techniques de géoblocage limitant le déréférencement des résultats aux recherches effectuées au Canada (p. ex. les recherches enclenchées à partir d’une adresse IP canadienne).
Effacement à la source
La modification ou l’effacement à la source permettent de modifier ou de supprimer l’information tout entière à la source. Il s’agit manifestement pour le CPVP d’une protection renforcée de la vie privée qui peut toutefois poser un défi beaucoup plus grand sur le plan de la liberté d’expression. Le projet de position établit une distinction entre les cas où les renseignements ont été fournis par la personne qui demande la modification ou l’effacement et ceux où ils ont été fournis par un tiers.
Renseignements fournis par la personne elle-même
Le projet de position rappelle que la LPRPDE accorde aux individus le droit de retirer leur consentement et exige que les renseignements personnels dont on n’a plus besoin soient détruits, effacés ou dépersonnalisés. Il s’ensuit que cette « capacité d’effacer les renseignements affichés par la personne concernée devrait être quasi absolue, sauf dans la mesure où ils sont soumis à des restrictions légales ou contractuelles » (dans le cas des jeunes, ces restrictions ne peuvent pas être invoquées) et qu’elle ne devrait pas non plus être « définie selon le critère de l’intérêt public ».
Renseignements fournis par d’autres
D’après le CPVP, le législateur n’accorde pas dans la LPRPDE un droit sans réserve de retirer un contenu fourni à une organisation par une personne autre que l’intéressé (sauf dans le cas des jeunes, où le droit de suppression devrait se rapprocher le plus possible d’un droit absolu), mais une personne peut à tout le moins contester les renseignements affichés à son sujet par une autre personne en invoquant deux principes : l’exactitude et les fins acceptables. Une personne obtient donc la possibilité d’utiliser un mécanisme permettant de contester et de corriger les renseignements qui ne sont manifestement pas exacts, complets ou à jour.
Dans le cas précis des jeunes, le projet de position recommande au Parlement d’envisager d’offrir aux jeunes la possibilité, lorsqu’ils atteignent l’âge de la majorité, de demander et d’obtenir l’effacement des renseignements à leur sujet affichés en ligne par leurs parents ou tuteurs.
Amélioration de l’éducation
Le projet de position affirme de nouveau le principe énoncé pour la première fois par le CPVP dans son rapport sur le consentement, suivant lequel les enfants devraient être renseignés très tôt sur la protection de la vie privée. Quant à la réputation en ligne plus précisément, le CPVP propose d’éduquer les gens à propos des mécanismes actuellement offerts pour exercer un contrôle sur la réputation (comme les mécanismes d’effacement et les paramètres de confidentialité), de les informer sur les nouvelles technologies améliorant la confidentialité et de « veiller à ce que les messages éducatifs insistent davantage sur l’importance de réfléchir aux éventuelles répercussions des actions d’un individu sur toutes les parties concernées ». Les Canadiens devraient aussi savoir que les résultats de recherche ne présentent pas toujours le portrait complet d’une personne.
Solutions législatives
En plus de recommander au Parlement de prendre en considération l’équilibre approprié entre les droits à la vie privée et la liberté d’expression, le projet de position réitère les demandes formulées par le CPVP dans son rapport sur le consentement publié en 2017, où il proposait que la LPRPDE soit modifiée de manière à renforcer les pouvoirs du CPVP en matière d’application de la loi, notamment lui permettre de rendre des ordonnances et d’imposer des amendes en plus, par exemple, de l’autoriser à procéder à un examen proactif des mesures prises par les organisations par rapport aux demandes de déréférencement.
Conclusion
Le CPVP reconnaît que la capacité de demander le déréférencement et l’effacement à la source, qui, selon lui, font partie du cadre canadien, s’apparente au « droit à l’oubli » et au « droit à l’effacement » énoncés par l’UE. Dans son projet de position, néanmoins, il indique précisément qu’il ne cherche pas à importer le cadre européen au Canada. À ses yeux, son rapport offre plutôt une interprétation des lois canadiennes actuelles et des recours qu’elles prévoient concernant la réputation en ligne. Bien que le travail de réflexion du CPVP ne soit pas encore terminé, certains ont déjà exprimé des préoccupations vis-à-vis du projet de position sur la question du déréférencement.
Les organisations qui souhaitent présenter leurs commentaires sur le projet de position doivent le faire au plus tard le 19 avril 2018.