CPVP vs Facebook : l’affaire se transporte en Cour fédérale

Par Simon Du Perron, étudiant à la maîtrise en droit des technologies de l’information et Katarina Daniels, avocate

Simon du Perron, étudiant à la maîtrise en droit des technologies de l’information

Katarina Daniels, avocate, bibliothécaire de liaison à la bibliothèque de droit Nahum Gelber, Université McGill

Le 6 février dernier, le Commissaire à la protection de la vie privée du Canada (CPVP) a présenté une demande d’audience à la Cour fédérale en vertu de l’alinéa 15 a) de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDÉ) dans une affaire mettant en cause les pratiques de Facebook en matière de protection de la vie privée.

La demande fait suite au rapport de conclusions d’enquête daté du 25 avril 2019 dans lequel le CPVP a conclu que le géant du web avait contrevenu aux dispositions de la LPRPDÉ en n’obtenant pas le consentement valable des utilisateurs en vue de la communication de leurs renseignements personnels à des applications conçues par des développeurs tiers et en ne protégeant pas adéquatement les renseignements personnels des utilisateurs contre l’utilisation et l’accès non autorisés par ces applications. Cette enquête s’est amorcée à la suite d’une plainte de trois députés fédéraux alertés par des reportages dans les médias ayant révélé que la société britannique Cambridge Analytica avait eu accès, par l’intermédiaire d’une application tierce, à des renseignements personnels de millions d’utilisateurs de Facebook, sans leur consentement.

Notons que Facebook n’en était pas à ses premiers démêlés avec le CPVP puisqu’en 2009 l’enquête CIPPIC concluait que l’entreprise n’avait pas obtenu le consentement valable des utilisateurs à la communication de leurs renseignements personnels aux développeurs d’applications tierces. Facebook a donc choisi, à deux reprises, de ne pas mettre en œuvre les recommandations formulées par le CPVP.

Dans ses motifs, le CPVP indique qu’en créant un environnement grâce auquel l’entreprise recueille et permet la communication à des millions d’applications, d’une quantité considérable de renseignements personnels potentiellement sensibles, Facebook crée des risques réels d’atteintes graves à la vie privée. Ainsi, tant que l’entreprise n’aura pas revu ses pratiques afin de se conformer à la LPRPDE, il y aura un risque constant que les renseignements personnels des Canadiens soient communiqués à des applications ou à d’autres tierces parties et qu’ils soient utilisés d’une manière que l’utilisateur ne connaît pas ou à laquelle il ne s’attend pas.

Dans sa procédure, le CPVP enjoint la Cour à prononcer plusieurs ordonnances notamment :

· Déclarer que les pratiques de Facebook, en ce qui concerne la communication de renseignements personnels à des applications tierces, contreviennent aux articles 4.3, 4.3.2 et 4.7 de l’annexe 1 et à l’article 6.1 de la LPRPDÉ ;

· Interdire à Facebook de continuer d’utiliser ou de communiquer les renseignements personnels des utilisateurs à des tierces parties d’une manière qui contrevient à la loi ; et

· Exiger que Facebook prenne des mesures simples efficaces en vue d’obtenir et de conserver le consentement valable des utilisateurs pour la communication de leurs renseignements à des tierces parties.

Finalement, notons qu’une demande présentée en vertu des articles 14 ou 15 de la LPRPDÉ n’est pas une demande de contrôle judiciaire, mais une audition de novo[1]. Par conséquent, le CPVP ne peut se contenter de déposer son rapport d’enquête et doit faire la preuve que Facebook ne s’est pas conformée à la LPRPDÉ. Il est donc possible que la Cour parvienne à différentes conclusions. Chose certaine, nous suivrons attentivement l’évolution du dossier T-190-20 PRIVACY COMMISSIONER OF CANADA v. FACEBOOK, INC. dans les prochains mois.

[1] Nammo c. TransUnion of Canada Inc., 2010 CF 1284, par. 28.

——–

La protection des données personnelles vous intéresse ? Le 27
mars prochain, joignez-vous à plus de 300 jeunes professionnels partageant votre
passion pour le droit et la technologie. Cliquez
ici pour vous inscrire à la 14e édition de la Conférence Legal.IT, la plus
importante conférence au Canada sur l’impact des TI et leur potentiel sur le
droit, organisée par le Jeune Barreau de Montréal. 

——–

Les chroniques du CTI sont rédigées par un ou plusieurs membres du Comité Technologies de l’information (CTI)
dans le but de susciter les discussions et de soulever les réflexions
au sein de la communauté juridique à propos des nouvelles technologies
et le droit. Les auteurs sont donc seuls responsables du contenu des
articles et l’opinion qui y est véhiculée n’est pas celle du JBM, mais
bien celle des auteurs. Si vous désirez rédiger une chronique, envoyez
un courriel au cti@ajbm.qc.ca.