CPVPC et CIPVP (Alberta et Colombie-Britannique): applications mobiles

Le Commissariat à la protection de la vie privée du Canada et ses homologues de la Colombie-Britannique et de l'Alberta viennent de publier un document contenant des orientations afin de développer des applis mobiles dans le respect du droit à la vie privée.

Après avoir indiqué qu'"en vertu des lois canadiennes sur la protection des renseignements personnels, toutes les entreprises doivent concilier innovation, esprit d'entreprise et protection efficace des renseignements personnels, et cela s'applique aux concepteurs d'applications mobiles, qu'ils travaillent à leur compte ou pour le compte d'une organisation" (p. 1), ce document met de l'avant les principaux facteurs à prendre en compte en cas de développement d'applications mobiles. 

Ces facteurs s'appliquent à "toutes les parties qui manipulent les renseignements personnels des utilisateurs, notamment les concepteurs, les fournisseurs de services, les plateformes d'applications et les annonceurs, [de respecter] les lois canadiennes sur la protections des renseignements personnels" (p. 4). 

Ces facteurs se déclinent de la façon suivante: 

- être responsable de sa conduite et de son code, c'est-à-dire mettre en place de bonnes pratiques pour gérer la protection des renseignements personnels dès l'étape de la planification d'une application; désigner une personne responsable de cette protection; élaborer des règles de protection de la vie privée visant à gérer les risques en temps opportun (p. 4-5); 

- être ouvert et transparent à propos de ses pratiques, c'est-à-dire informer de l'utilisation faite des renseignements personnels. Cette information doit être claire et compréhensible. Elle doit être facilement accessible tout au long du cycle de vie des renseignements personnels. Par conséquent, il est recommandé de ne "jamais passer sous silence les mises à jour des applications qui amoindriront la protection des renseignements personnels de l'utilisateur"  (p. 5-7 et 10);

- ne recueillir et ne conserver que les renseignements nécessaires au fonctionnement de l'application. Ainsi il est précisé que "si vous ne pouvez expliquer le lien entre un renseignement recueilli par votre application et le fonctionnement de celle-ci, vous devriez probablement vous abstenir de recueillir ce renseignement" (p. 7-8); 

- obtenir un consentement éclairé malgré le défi lié au petit écran, en organisant l'information en couches (i.e. politiques de confidentialité simplifiées ou encore dites multistrates), en offrant un tableau de bord, en recourant à des graphiques, des couleurs et du son (p. 8-9 et 10). 

Pour plus de détails, 

• COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, "Des commissaires à la protection de la vie privée aident les concepteurs à créer des applications qui respectent davantage la vie privée", Communiqué, 24 octobre 2012. 
• COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, COMMISSARIAT À L'INFORMATION ET À LA PROTECTION DE LA VIE PRIVÉE DE L'ALBERTA, COMMISSARIAT À L'INFORMATION ET À LA PROTECTION DE LA VIE PRIVÉE DE LA COLOMBIE-BRITANNIQUE, Une occasion à saisir: Développer des applis mobiles dans le respect du droit à la vie privée, octobre 2012. 

Uruguay: 34e conférence internationale

Lors de la 34° Conférence internationale des commissaires à la protection des données et de la vie privée qui débute aujourd'hui (et qui se termine demain), à Punta del Este en Uruguay, plusieurs problématiques seront envisagées: gouvernement ouvert, géolocalisation, publicité comportementale en ligne, biométrie, coopération internationale entre autorités de protection, données intelligentes, consentement, modifications de la législation européenne ... et la protection des renseignements personnels en Amérique Latine. 

Le programme de la Conférence internationale est disponible à l'adresse suivante: http://privacyconference2012.org/english/home.

FTC: rapport sur la reconnaissance faciale

La Federal Trade Commission (FTC) vient de publier son rapport sur la reconnaissance faciale: "Facing Facts: Best Practices for Common Uses of Facial Recognition Technologies". 

Ce rapport revient sur les travaux menés par la FTC depuis décembre 2011, notamment le Face Facts workshop qui a conduit à un examen des progrès et des utilisations actuelles et futures de cette technologie au regard de la protection des renseignements personnels (billet). Et, il présente les trois scénarii suivants: 

1. Facial Detection: "An eyeglass company allows consumers to upload their images to the company’s website and then uses facial detection to detect the face and eyes in the image and superimpose various styles of glasses on the consumer’s face. The company stores the images in order to enable consumers to use this feature of the website in the future without uploading a new image". (Source: FTC report, p. 11-12)
2. Detection or Recognition of Demographic Characteristics in Digital Signs: "A sports drink company operates digital signs in a supermarket. These signs include cameras and have the ability to assess the age range and gender of the consumer standing in front of them. The signs display a targeted advertisement to the consumer based on those demographic characteristics. The consumer’s image is processed instantaneously while the consumer is standing in front of the sign and is not stored for future use".(Source: FTC report, p. 13-17)
3. Facial Recognition in Online Social Networks: "An existing social network implements a facial recognition feature. When a user uploads new photos, the social network scans those photos against existing “tagged” photos of the user’s “friends.” The social network then identifies the user’s “friends” in the new photos so the user can tag them. Users cannot utilize the feature to identify other users who are not their “friends."". (Source: FTC report, p. 17-20)

Partant, et en gardant à l'esprit les principes de protection intégrée de la vie privée (Privacy by Design - PbD), de politique de confidentialité simplifiée et de transparence mis de l'avant en mars 2012 dans "Protecting Consumer Privacy in an Era of Rapid Change" (billet), le présent rapport du FTC contient les recommandations suivantes : 

"The FTC staff report recommends that companies using facial recognition technologies:
- design their services with consumer privacy in mind;
- develop reasonable security protections for the information they collect, and sound methods for determining when to keep information and when to dispose of it;
- consider the sensitivity of information when developing their facial recognition products and services – for example, digital signs using facial recognition technologies should not be set up in places where children congregate.
The staff report also recommends that companies take steps to make sure consumers are aware of facial recognition technologies when they come in contact with them, and that they have a choice as to whether data about them is collected.  So, for example, if a company is using digital signs to determine the demographic features of passersby, such as age or gender, they should provide clear notice to consumers that the technology is in use before consumers come into contact with the signs.
In another example cited in the report, FTC staff recommends that social networks using facial recognition features should provide consumers with clear notice about how the feature works, what data it collects, and how that data will be used. They also should provide consumers with an easy to use choice not to have their biometric data collected and used for facial recognition, and the ability to turn the feature off at any time and have the biometric data previously collected from their photos permanently deleted.
Finally, the report states, there are at least two scenarios in which companies should get consumers’ affirmative consent before collecting or using biometric data from facial images. First, they should obtain consent before using consumers’ images or any biometric data in a different way than they represented when they collected the data.  Second, companies should not use facial recognition to identify anonymous images of a consumer to someone who could not otherwise identify him or her, without obtaining the consumer’s affirmative consent first."

(Source: FTC, Press Release)

Pour aller plus loin, 

• FEDERAL TRADE COMMISSION, Facing Facts: Best Practices for Common Uses of Facial Recognition Technologies, October 2012. 
• FEDERAL TRADE COMMISSION, "FTC Recommends Best Practices for Companies That Use Facial Recognition Technologies", Press Release, October 22, 2012.

Europe: non-indépendance de l'autorité autrichienne

Le 16 octobre 2012, la Cour de justice de l'Union européenne a déclaré que l'autorité autrichienne de protection des données personnelles ne répond pas aux exigences de la Directive relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, plus particulièrement au fait que ces autorités doivent exercer "en toute indépendance les missions dont elles sont investies" (art. 28 al. 1 par. 2), dans les termes suivants:  

"Par ces motifs, la Cour (grande chambre) déclare et arrête:

1) En ne prenant pas toutes les dispositions nécessaires pour que la législation en vigueur en Autriche satisfasse au critère d’indépendance concernant la Datenschutzkommission (commission de protection des données), plus précisément, en instituant un cadre réglementaire en vertu duquel

– le membre administrateur de la Datenschutzkommission est un fonctionnaire fédéral assujetti à une tutelle de service,

– le bureau de la Datenschutzkommission est intégré aux services de la chancellerie fédérale, et

– le chancelier fédéral dispose d’un droit inconditionnel à l’information sur tous les aspects de la gestion de la Datenschutzkommission,

la République d’Autriche a manqué aux obligations qui lui incombent en vertu de l’article 28, paragraphe 1, second alinéa, de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.

2) (...)"

(Source: CJUE 16 octobre 2012)

Pour plus de détails:

• COUR DE JUSTICE DE L'UNION EUROPÉENNE, Commission européenne (soutenue par le Contrôleur européen de la protection des données) c. République d'Autriche (soutenue par la République fédérale d'Allemagne), Affaire C-614/10, 16 octobre 2012.  
• CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES, "Commission contre Autriche: la Cour de justice déclare que l'autorité autrichienne de protection des données n'est pas indépendante", Communiqué, 16 octobre 2012.

CNIL: recommandations sur les règles de confidentialité de Google

Le 16 octobre 2012, la Commission nationale de l'informatique et des libertés, agissant pour le compte des 27 autorités européennes de protection des données, a fait parvenir à Google une série de recommandations relatives aux nouvelles règles de confidentialité entrées en vigueur le 1er mars dernier. 

Parmi ces recommandations, on retiendra le fait que: 

- "Les autorités européennes demandent à Google de fournir une information plus claire et plus complète sur les données collectées et les finalités de chacun de ses traitements de données personnelles. Par exemple, les autorités européennes recommandent la mise en place d'une présentation avec trois niveaux de détails qui assurera une information conforme aux exigences de la Directive [95/46/CE] sans dégrader l'expérience des utilisateurs". (Source: CNIL, Actualité 16 octobre 2012)

Cette présentation sur trois niveaux pourraient reprendre l'architecture suivante:

"Premièrement, des notes de confidentialité intégrées aux produits et des notes interstitielles pourraient être rédigées pour indiquer aux utilisateurs que leurs données sont traitées lorsqu'ils utilisent les services et, en particulier, lorsqu'ils lancent un nouveau service pour la première fois. [...]

Deuxièmement, les Règles de confidentialité actuelles devraient être présentées comme un guide général sur les traitement de Google et des renvois devraient être insérés vers des informations plus détaillées sur les différents traitements. [...]

Troisièmement, des notes de confidentialité spécifiques aux produits devraient être mises à disposition. Ces notes devraient détailler pour chaque traitement et pour chaque service: les données qui sont traitées, les finalités du traitement, les destinataires et la manière dont les utilisateurs peuvent accéder à leurs données. [...]

Plus généralement, Google devraient mettre au point des présentations interactives permettant aux utilisateurs d'explorer le contenu des notes de confidentialité sans avoir à lire de longs documents linéaires. [...]"

(Source: Annexe)

- "La combinaison des données entre services a été généralisée avec ces nouvelles règles de confidentialité [...]. Les CNIL européennes relèvent que cette combinaison poursuit des finalités différentes [...]. Google doit donc modifier ses pratiques quand les données sont combinées pour ces finalités." (Source: CNIL, Actualité 16 octobre 2012)

Ainsi, Google devrait: 

1) "simplifier les mécanismes d'opt-out"; 

2) "différencier les finalités de la combinaison de données"; 

3) "collecter le consentement explicite pour la combinaison de données"; 

4) "centraliser les mécanisme d'opt-out dans un emplacement unique"; 

5) "proposer aux utilisateur authentifiés la possibilité de contrôler dans quel service ils sont authentifiés lorsque des services sont disponibles sans authentification"; 

6) "limiter la collecte et la combinaison de données provenant des utilisateurs passifs, excepté pour des finalités de sécurité"; 

7) "étendre à tous les utilisateurs européennes le processus d'analyse de fréquentation mis en place en Allemagne (information améliorée des personnes concernées par le site Web, utilisation limitée des données pour les finalités d'analyse de fréquentation et anonymisation des adresses IP)"

(Source: Annexe)

- "Google devrait définir plus clairement la durée de conservation des données personnelles, notamment pour les actions suivantes: suppression d'un contenu particulier, désabonnement à un service spécifique, suppression du compte". (Source: Annexe)

- "Google doit informer plus clairement les nouveaux utilisateurs de la possibilité d'ouvrir un compte Google sans fournir son vrai nom" (Source: Annexe)

- "Google doit compléter les Règles de confidentialité en mentionnant que les données biométriques peuvent être traitées, et préciser les conditions de la collecte et du stockage des gabarits faciaux". (Source: Annexe)

Il est à noter que ces recommandations ne portent pas sur les flux transfrontières de données ni sur la sphère de sécurité ("Safe Harbor") entre les États-Unis et l'Union européenne (Source: Annexe).  

Par ailleurs, ces recommandations ont été applaudies par les membres de l'Asia Pacific Privacy Autohities (lettre), par le Commissariat à la protection de la vie privée du Canada (lettre). 

Reste maintenant à voir la réponse de Google à ces recommandations ... à suivre donc.  

Pour aller plus loin: 

• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, "Règles de confidentialité de Google: une information incomplète et une combinaison de données incontrôlée", Actualité, 16 octobre 2012. 
• ARTICLE 29 DATA PROTECTION WORKING PARTY, Lettre à Google, October 16, 2012.  
• Annexe- Règles de confidentialité de Google: Principales conclusions et recommandations du Groupe de l'article 29. 

W3C: commentaires de Neelie Kroes sur les travaux du "Tracking Protection Working Group"

Le W3C Tracking Protection Working Group dont les travaux ont pour but de développer des mécanismes permettant aux utilisateurs d'environnements électroniques d'exprimer leurs préférences en matière de suivi (billet) s'est réuni, à Amsterdam (Pays-Bas), du 3 au 5 octobre 2012 (Sixth face-to-face: Agenda). 

Même si elle reconnaît que plusieurs navigateurs ont déjà intégré le mécanisme «Do Not Track» ou «DNT» qui était au centre des discussions du groupe de travail du W3C, Neelie Kroes, la vice-présidente de la Commission européenne chargée de la stratégie numérique, lors d'un discours au Centre d'études de la politique européenne (CEPS), le 11 octobre 2012, s'est dite inquiète de la progression des travaux. 

"[...] Le nouveau mécanisme DNT a été rapidement intégré dans plusieurs des principaux navigateurs, ce qui est un point positif.

Mais je dois être franche: la normalisation ne se déroule pas comme prévu. En fait, je suis de plus en plus inquiète. Inquiète des retards, et inquiète de la tournure que prennent les discussions au sein du W3C. Je crois que vous connaissez la situation. Et je sais que mes collègues du FTC, de l’autre côté de l’Atlantique, partagent mes préoccupations. [...]

Voyons donc quelles sont plus précisément mes préoccupations.

Premièrement, il y a la manière dont les utilisateurs sont informés des réglages par défaut de leurs logiciels et de leurs appareils. C’est un aspect crucial: l’option par défaut est-elle d’autoriser le suivi, ou de refuser le consentement? [...]

Deuxièmement, la norme DNT ne devrait pas laisser la possibilité aux sites web de préjuger du choix de l’utilisateur ou de l’ignorer. [...]

Troisièmement, en l’absence de consentement, les sites ne devraient pouvoir utiliser que de manière limitée les informations de l’utilisateur, et uniquement conformément à l’objectif général de la norme. Or les exceptions proposées semblent aller très très loin. [...]

Les inquiétudes sont donc nombreuses. Le temps travaille contre nous. Je voudrais donc dire aujourd’hui à tous ceux qui participent à ces discussions: il faut arriver à un bon compromis, et vite.

Ne croyez pas que je sois naïve. Vu l’évolution des débats, je ne crois pas que la norme DNT, à elle seule, permettra d’arriver à des dispositions légales satisfaisantes en ce qui concerne les cookies. Ne serait-ce que parce que dans le consensus qui se dégage, les «cookies d’origine» semblent exclus de la norme.

Mais le mécanisme DNT n’en reste pas moins utile. [...]

En résumé:

Si une norme DNT solide est établie, elle jouera un rôle majeur et positif. Je n’ai aucun doute à ce sujet.

Mais à l’heure actuelle, il n’est pas certain que la norme finalement retenue soit d’une telle qualité, et je m’inquiète aussi de la lenteur des progrès. En cas d’échec, nous serions tous perdants. Les utilisateurs seraient privés d’un moyen simple de protéger leur vie privée; les sites web seraient privés d’un moyen simple de se conformer aux exigences en matière de consentement. Et en dernier ressort, les annonceurs seraient perdants, eux aussi.

Il faut donc éviter d’en arriver là. Je reste convaincue qu’une norme substantielle reste possible. Une norme qui évite les écueils que j’ai décrits. Il faudra sans doute quelques mois supplémentaires, mais aujourd’hui, une telle norme reste la meilleure solution pour tout le monde.

Mais le temps nous est compté, et il sera bientôt trop tard. Il faut donc agir vite pour que tous les internautes aient accès au DNT.

Nous pourrons ensuite focaliser notre attention, ensemble, sur la croissance de l’économie en ligne et sur les questions de vie privée en ligne. Ensemble avec les utilisateurs, et non contre les utilisateurs."

(Source: Discours Neelie Kroes) 

Par ailleurs, il convient de noter que dans son discours, Neelie Kroes rappelle combien il est important pour les gestionnaires d'environnements électroniques d'informer les internautes sur leurs intentions en matière de protection des renseignements personnels et de les respecter sous peine de perdre la confiance de ces derniers. En effet, 

"La vie privée en ligne et l’entreprise en ligne ne sont pas dissociables l’un de l’autre. Le respect de la vie privée est un droit fondamental. Un entrepreneur qui ne respecte pas ce droit n’ira pas loin. Parce que les utilisateurs n’utilisent pas ce en quoi ils n’ont pas confiance. Et qu’ils cessent très vite d’utiliser ce dont ils méfient. Pour une entreprise en ligne, perdre la confiance de ses utilisateurs, c’est gaspiller d’immenses opportunités de développement commercial." 

(Source: Discours Neelie Kroes)

Pour aller plus loin: 

• W3C Tracking Protection Working Group (Agenda et Documents)
• Neelie KROES, "Vie privée en ligne et commerce électronique: un état de la situation sur «Do Not Track»", Discours devant le Centre d'études de la politique européenne (CEPS), Bruxelles (Belgique), 11 octobre 2012. 

• Camille GÉVAUDAN, "Protection contre la pub ciblée : l’Europe s’impatiente", Libération, 11 octobre 2012.  
• Natasha SINGER, "Do Not Track? Advertisers Say ‘Don’t Tread on Us’", New York Times, October 13, 2012. 

NB: En 2007, j'ai publié un article sur le thème de la confiance: "La confiance, instrument de régulation des environnements électroniques", (2007) 37 R.D.U.S. 441. 

Nouvelle-Zélande: Google, WiFi et vie privée

Comme mentionné précédemment, Google a informé l'Office of Autralian Information Commissioner avoir découvert de nouveaux disques contenant des données dites "de contenu" (billet) ... ces disques contiennent des données provenant d'Australie mais aussi de Nouvelle-Zélande. 

Face à cette situation, le Privacy Commissioner's Office a publié le communiqué suivant: 

"Google has now said that it appears it did not destroy all the information collected from unsecured WiFi networks during its Street View filming in New Zealand. In recent checks, it has found one disk that may contain New Zealand and Australian information, along with disks relating to other countries. These had been missed when Google responded to the original privacy investigations.
The Privacy Commissioner's office has told Google to destroy the disk.
Google had earlier informed the Privacy Commissioner that all the ‘payload' information - that is, contents of communications crossing the WiFi networks - had been securely destroyed. The destruction was verified by an independent agency.
"It's very disappointing that this disk could be overlooked," said Assistant Commissioner Katrine Evans. "Collecting the information in the first place was a major breach of privacy, and we made it plain as part of our original investigation that all the information should be destroyed.
"Fortunately, it appears very unlikely that the information on the disk has been accessed or used in any way. Google is willing to destroy the disk. It has also apologised for its mistake. We sincerely hope that this will be an end to what has been a long-running saga.""

(Source: Privacy Commissioner Statement)

• PRIVACY COMMISSIONER OF NEW ZEALAND, "All WiFi payload data to be destroyed, Privacy Commissioner tells Google", Media Statement, October 10, 2012.

Australie: Google, WiFi et vie privée (2)

En août dernier, Google a indiqué à l'Office of the Australian Information Commissioner avoir détruit les disques contenant des données dites "de contenu" (billet). Toutefois, on peut lire, cette semaine, sur le site de l'autorité australienne que l'entreprise a découvert de nouveaux disques. Face à cette situation, le commissaire à la vie privée a déclaré que:

"I [i.e. Timothy Pilgrim, Privacy Commissioner] have informed Google that it should immediately destroy this data, unless there is a lawful purpose for its retention. Once this has occurred I have asked Google to again confirm via an independent third party that the data has been destroyed.

I remain concerned that this data still exists given that Google previously confirmed that all data relating to this issue had been destroyed. I have advised Google that it is important that there is no further Street View Wi-Fi data in Google’s possession requiring destruction. I have asked Google for further information about their audit process to allow me to better understand the steps taken during the review of their disk inventory.

I remind all organisations that they have a responsibility to protect customer privacy and securely store the data that they hold. Personal information that is no longer being used or is out of date should be destroyed or permanently deidentified."

[Source: OAIC Statement]

Pour plus de détails:

• OFFICE OF THE AUSTRALIAN INFORMATION COMMISSIONER, 
• "Google Street View Wi-Fi Collection - additional disks located", Media Statement, October 9, 2012.
• "Google Street View Wi-Fi Collection - letter to Google", Correspondence, October 9, 2012. 

Canada (CSC): les jeunes, la cyberintimidation et leur protection

Le 27 septembre dernier, la Cour suprême du Canada [CSC] dans l'arrêt A.B. c. Bragg Communications Inc. a accueilli la demande de A.B., une adolescente de 15 ans, "de procéder de façon anonyme dans le cadre d'une ordonnance obligeant [un fournisseur de services Internet [FAI] et de divertissement au Canada atlantique, à savoir Eastlink] à divulguer l'identité de l'utilisateur ou des utilisateurs [d'une] l'adresse IP" [31] en vue d'une action en diffamation. 

L'adolescente a, en effet, "découvert que quelqu'un avait affiché un profil sur Facebook en utilisant sa photographie, une version légèrement modifiée de son nom et d'autres détails qui l'identifiaient. À la photographie s'ajoutaient des commentaires désobligeants sur l'apparence physique de l'adolescente ainsi que des allusions sexuellement explicites" [1]. Facebook "a fourni l'adresse IP associée au compte" [2] et, le FAI "a consenti à donner des renseignements plus précis au sujet de l'adresse [IP] si un tribunal l'autorisait à le faire" [3]. Dès lors, l'adolescente, par le biais de son tuteur, a présenté une demande préliminaire en vue d'obtenir une ordonnance en ce sens. 

Dans cette ordonnance, elle déclare avoir "subi un préjudice et qu'elle cherche à minimiser le risque de préjudice supplémentaire" [3] et, par conséquent, elle sollicite "de la cour la permission de chercher de façon anonyme l'identité de l'auteur du faux profil ainsi qu'une ordonnance de non-publication visant le contenu du faux profil Facebook" [3]. 

Le FAI ne s'est pas opposé à la demande. Toutefois deux médias ont contesté "les deux demandes de l'adolescente, soit la demande concernant le droit de procéder de façon anonyme et la demande en vue d'obtenir une ordonnance de non-publication". 

Les tribunaux inférieurs ont ordonné au FAI de "communiquer des renseignements sur l'auteur du faux profil Facebook". Toutefois, ils ont refusé que l'adolescente procède de façon anonyme et ne lui ont pas accordé l'ordonnance de non-publication car elle "ne s'était pas acquittée du fardeau de démontrer l'existence d'un véritable préjudice important justifiant la restriction de l'accès des médias" [5 et 7]. 

A.B. s'est donc pourvu devant la CSC en se fondant "sur ce qu'elle affirme être l'incapacité des tribunaux inférieurs d'établir un juste équilibre entre les risques concurrentiels en l'espèce, à savoir le préjudice inhérent à la divulgation de son identité par rapport au risque d'atteinte au principe de la publicité des débats judiciaires si [elle] obtient la permission de procéder de façon anonyme et d'être protégée par une ordonnance de non-publication. [Elle] plaide que si sa vie privée n'est pas protégée, les jeunes qui, comme elle, sont victimes de cyberintimidation à caractère sexuel refuseront de faire valoir leur droit à une protection et se verront en conséquence refuser l'accès à la justice" [10].

La CSC reconnaît l'importance du principe de la publicité des débats judiciaires et de la liberté de la presse [13]. Elle reconnaît tout autant "le principe de la vulnérabilité inhérente des enfants" [17] et, le fait qu'"un enfant n'a pas à démontrer dans le cadre d'une demande relative à la cyberintimidation à caractère sexuel qu'il se conforme à ce paradigme juridique. Le droit attribue la vulnérabilité accrue en fonction de l'âge et non du tempérament" [17]. Et, elle est d'avis qu'"il est logique d'inférer que la cyberintimidation peut causer un préjudice aux enfants" [20] et "que, si on lui refuse l'anonymat, l'enfant intimidé pourra s'abstenir d'engager une poursuite" [24]. 

Par conséquent, la CSC autorise l'adolescente "à procéder de façon anonyme à la recherche de l'identité de l'auteur de la cyberintimidation" [27]. 

Cependant, "dès lors que l'identité de A.B. est protégée par son droit de procéder dans l'anonymat, une ordonnance de non-publication du contenu du faux profil Facebook qui ne permet pas d'identifier A.B. [...] semble difficilement justifiable. La publication de ces renseignements n'entraîne aucun effet préjudiciable puisque ceux-ci ne révèlent pas l'identité de A. B. Le droit du public à la publicité des débats judiciaires et à la liberté de la presse prévaut donc en ce qui concerne le contenu du profil Facebook qui ne permet pas d'identifier A. B." [30]. 

Pour plus de détails, voir: 

• A.B. c. Bragg Communications Inc., 2012 CSC 46. 

Voir également le communiqué du CPVPC qui a été autorisé à intervenir au nom de A.B. devant la CSC pour faire "valoir qu’il faut établir un équilibre entre le droit à la vie privée et le principe de la publicité des débats judiciaires, particulièrement dans un contexte de cyberintimidation". 

• COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, "La commissaire se réjouit de la décision de la Cour suprême qui reconnaît l'importance de protéger la vie privée des jeunes", Communiqué, 1 octobre 2012. 

CNIL: enquête sur Facebook (2)

Suite à l'annonce selon laquelle certains messages d'utilisateurs de Facebook auraient été rendus publics, la Commission nationale de l'informatique et des libertés a décidé de mener une enquête (billet). 

Elle vient de publier ses conclusions qui se lisent comme suit: 

"Il ressort des analyses menées par la CNIL que les messages incriminés par de nombreux utilisateurs de Facebook semblent être exclusivement des messages "Wall-To-Wall" (de "murs à murs") et non des messages envoyés par l'intermédiaire de la "messagerie privée" de Facebook.

Pour autant, le caractère privé du contenu de certaines des communications révélées semble indiscutable. En d'autres termes, les utilisateurs avaient l'impression d'envoyer des messages privés lorsqu'ils utilisaient la messagerie wall to wall.

Plusieurs raisons expliquent ce phénomène :

- le fonctionnement de Facebook avant 2010 n'était pas comparable au fonctionnement du site de réseau social aujourd'hui. L'ergonomie du site était telle que la visibilité des messages "Wall-To-Wall" était beaucoup plus réduite. Les messages "Wall-To-Wall" étaient donc davantage perçus comme privés par les utilisateurs.

- Facebook a modifié de manière unilatérale et récurrente les paramètres de confidentialité des données entre 2009 et 2010. À l'époque, la CNIL et le G29 (groupe des CNIL européennes) avaient vivement critiqué ces changements réalisés à l'insu des utilisateurs. En effet, par défaut, si les utilisateurs n'étaient pas vigilants ou s'ils suivaient les recommandations de Facebook, des contenus auparavant privés ou accessibles uniquement aux amis étaient rendus accessibles à tout le monde. Par ailleurs, les messages concernés pouvant être anciens, il devenait parfois difficile pour les utilisateurs de constater ce changement d'audience des messages

En outre, les utilisateurs ont récemment re-découvert ces messages lors du passage automatique à la Timeline (historique des activités et des messages par année depuis la création du compte), constatant qu'ils étaient aujourd'hui facilement accessibles.

Cet épisode témoigne de la nécessité de suivre les recommandations de la CNIL et du G29 qui, depuis plusieurs années, encouragent les réseaux sociaux à garantir :

- une plus grande transparence vis-à-vis de leurs utilisateurs quant à l'usage de leurs données personnelles ;

- la mise à disposition d'outils offrant aux utilisateurs un meilleur contrôle de leurs données et des informations qu'ils publient ;

- le recueil du consentement exprès des utilisateurs pour la transmission de leurs données à des tiers ou l'activation de nouvelles fonctionnalités ;

- des paramètres par défaut protecteurs de la vie privée, en particulier lorsqu'ils modifient de manière unilatérale leur politique de confidentialité ou ces paramètres.

L'audit de Facebook, mené par l'autorité irlandaise pour le compte du G29, a d'ailleurs très récemment rappelé l'importance de ces garanties."

Voir: 

• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, "Les conclusions de la CNIL sur le "bug" Facebook", Article, 2 octobre 2012.