Loi 5 sur les renseignements personnels de santé et de services sociaux

Alors que la Loi 25 est venue moderniser le cadre juridique applicable à la protection des renseignements personnels dans son ensemble, la Loi 5 (ou RLRQ c. R-22.1), qui entre en vigueur ce 1er juillet 2024, s’applique spécifiquement aux renseignements de santé et de services sociaux détenus par un organisme du secteur de la santé et des services sociaux. (Voir Communiqué du Cabinet du ministre de la Santé du 12 juin 2024).

Cette notion (art. 2) vise « tout renseignement qui permet, même indirectement, d’identifier une personne et qui répond à l’une des caractéristiques suivantes:

1. il concerne l’état de santé physique ou mentale de cette personne et ses facteurs déterminants, y compris les antécédents médicaux ou familiaux de la personne;
2. il concerne tout matériel prélevé sur cette personne dans le cadre d’une évaluation ou d’un traitement, incluant le matériel biologique, ainsi que tout implant ou toute orthèse, prothèse ou autre aide suppléant à une incapacité de cette personne;
3. il concerne les services de santé ou les services sociaux offerts à cette personne, notamment la nature de ces services, leurs résultats, les lieux où ils ont été offerts et l’identité des personnes ou des groupements qui les ont offerts;
4. il a été obtenu dans l’exercice d’une fonction prévue par la Loi sur la santé publique (chapitre S-2.2);
5. toute autre caractéristique déterminée par règlement du gouvernement. »

De plus, il est précisé qu’ « un renseignement permettant l’identification d’une personne tels son nom, sa date de naissance, ses coordonnées ou son numéro d’assurance maladie est un renseignement de santé et de services sociaux lorsqu’il est accolé à un renseignement visé au premier alinéa ou qu’il est recueilli en vue de l’enregistrement, de l’inscription ou de l’admission de la personne concernée dans un établissement ou de sa prise en charge par un autre organisme du secteur de la santé et des services sociaux. »

 

Dans le but d’assurer la protection de ces renseignements, la Loi 5 a notamment pour objet (art. 1) :

• d’établir des normes en ce sens, tout en permettant l’optimisation de l’utilisation qui en est faite et leur communication en temps opportun, à l’exclusion de leur vente ou de toute autre forme d’aliénation ;
• d’établir différentes possibilités d’accès à ces renseignements et de prévoir les cas et les conditions dans lesquels ils peuvent être utilisés au sein d’un organisme du secteur de la santé et des services sociaux ou communiqués dans le cadre de ces accès ou autrement ;
• d’instituer un modèle de gouvernance fondé sur la transparence ainsi que sur la responsabilité et l’imputabilité des intervenants et des organismes du secteur de la santé et des services sociaux.

Pour ce faire, la Loi 5 met l’accent sur les notions de nécessité (art. 13), de responsabilité (art. 99), de consentement (art. 6 et s.), d’informations à transmettre aux personnes concernées au moment de la collecte de leurs renseignements, incluant en cas de recours à une technologie comprenant des fonctions permettant de les identifier, de les localiser ou encore d’effectuer un profilage de celles-ci (art. 14 et 15). Elle prévoit également, entre autres :

• les droits d’accès et de rectification reconnus aux personnes concernées, mais aussi à certaines personnes qui leur sont liées (mineur, majeur inapte, défunt) ou encore les modalités d’accès de certaines personnes, à savoir les intervenants et les chercheurs (art. 17 à 61) - voir Règlement d’application de certaines dispositions de la Loi sur les renseignements de santé et de services sociaux publié le 12 juin 2024 ("Règlement d’application").
• les modalités relatives à l’utilisation des renseignements au sein d’un organisme (art. 62 et s.), mais aussi à la communication des renseignements qu’il détient (art. 66 et s.) notamment lorsque celle-ci est nécessaire à l’exercice d’un mandat ou à l’exécution d’un contrat de service ou d’entreprise (art. 77). Elle précise que si ce mandat ou ce contrat implique une communication de renseignements à l’extérieur du Québec, une évaluation des facteurs relatifs à la vie privée doit être réalisée préalablement (art. 78).

La Loi 5 contient aussi des dispositions en lien avec, entre autres :

• les mesures de sécurité qu’un organisme doit prendre, incluant la journalisation des accès (art. 99, 103) ;
• le rôle et les responsabilités du responsable de la protection des renseignements (art. 100 et s.) ;
• la politique de gouvernance des renseignements détenus par un organisme (art. 105) – il est précisé que le ministre de la Santé et des Services sociaux ("ministre") définit, par règlement, les règles encadrant la gouvernance des renseignements : voir Règlement sur la gouvernance des renseignements de santé et de services sociaux publié le 12 juin 2024.
• les évaluations de facteurs relatifs à la vie privée qu’un organisme doit réaliser pour tout projet d’acquisition, de développement et de refonte de produits ou services technologiques ou de système de prestation électronique de services impliquant des renseignements (art. 106) ;
• l’inscription dans un registre de tout produit ou service technologique utilisé (art. 107) - il est précisé qu’un règlement du gouvernement doit déterminer la teneur de registre : voir Règlement d’application.
• les incidents de confidentialité (art. 108 à 110) qui devront s'ils présentent un risque de préjudice sérieux être déclaré, avec diligence, au ministre et à la Commission d'accès à l'information ("CAI"), mais aussi à toute personne dont un renseignement est concerné par l’incident - il est précisé qu’un règlement du gouvernement doit déterminer le contenu et les modalités des avis à transmettre au ministre, à la CAI et aux personnes concernées, ainsi que la teneur du registre qu’un organisme doit tenir en pareille situation : voir Règlement d’application.
• la conservation, la destruction et l’anonymisation des renseignements (art. 16 et 111).

La Loi 5 précise enfin les fonctions et les pouvoirs de la CAI en la matière, incluant le montant des amendes pouvant être prononcées en cas d’infractions (art. 112 et s.).

Québec: Entrée en vigueur dans 6 mois du droit à la portabilité

 Dans six (6) mois, le 𝐝𝐫𝐨𝐢𝐭 𝐚̀ 𝐥𝐚 𝐩𝐨𝐫𝐭𝐚𝐛𝐢𝐥𝐢𝐭𝐞́ entre en vigueur au Québec.

À partir du 22 septembre 2024, toute personne (justifiant de son identité) pourra obtenir,

• dans un format technologique structuré et couramment utilisé; 
• un renseignement personnel informatisé qu’elle a fourni à un organisme public ou à une entreprise.

Elle pourra aussi demander à ce que ce renseignement soit transmis à une autre personne ou à un organisme dans ce même format, en autant que ces derniers sont autorisés à recueillir de tels renseignements personnels.

Le droit à la portabilité ne s’appliquera pas:

• aux renseignements personnels créés ou inférés à partir des renseignements personnels de la personne concernée; 
• lorsque cela soulèvera des difficultés pratiques sérieuses pour l’organisme public ou l’entreprise à qui la demande est faite. 

L’exercice de ce droit étant inscrit dans les sections relatives aux droits reconnus aux personnes concernées par un renseignement personnel, tant dans la 𝐿𝑜𝑖 𝑠𝑢𝑟 𝑙’𝑎𝑐𝑐𝑒̀𝑠 𝑎𝑢𝑥 𝑑𝑜𝑐𝑢𝑚𝑒𝑛𝑡𝑠 𝑑𝑒𝑠 𝑜𝑟𝑔𝑎𝑛𝑖𝑠𝑚𝑒𝑠 𝑝𝑢𝑏𝑙𝑖𝑐𝑠 𝑒𝑡 𝑠𝑢𝑟 𝑙𝑎 𝑝𝑟𝑜𝑡𝑒𝑐𝑡𝑖𝑜𝑛 𝑑𝑒𝑠 𝑟𝑒𝑛𝑠𝑒𝑖𝑔𝑛𝑒𝑚𝑒𝑛𝑡𝑠 𝑝𝑒𝑟𝑠𝑜𝑛𝑛𝑒𝑙𝑠 (LADOPPRP) que dans la 𝐿𝑜𝑖 𝑠𝑢𝑟 𝑙𝑎 𝑝𝑟𝑜𝑡𝑒𝑐𝑡𝑖𝑜𝑛 𝑑𝑒𝑠 𝑟𝑒𝑛𝑠𝑒𝑖𝑔𝑛𝑒𝑚𝑒𝑛𝑡𝑠 𝑝𝑒𝑟𝑠𝑜𝑛𝑛𝑒𝑙𝑠 𝑑𝑎𝑛𝑠 𝑙𝑒 𝑠𝑒𝑐𝑡𝑒𝑢𝑟 𝑝𝑟𝑖𝑣𝑒́ (LPRPSP), le responsable de la protection des renseignements personnels devra:

• répondre selon les délais applicables dans ces lois; 
• motiver son refus de donner suite à la demande; et 
• indiquer les recours qui s’offrent au demandeur.

LADOPPRP: art. 84 modifié par la Loi 25

LPRPSP: art. 27 modifié par la Loi 25

Protection des renseignements personnels : plus que 6 mois avant l’entrée en vigueur de la majorité des dispositions de la Loi 25.

Dans 6 mois, soit le 22 septembre 2023, la majorité des dispositions de la Loi 25 venant moderniser le cadre juridique applicable aux renseignements personnels au Québec tant à l’égard des organismes publics que des entreprises seront en vigueur.
 
Ainsi, à partir de cette date, les organismes publics et les entreprises devront tenir comptes des nouvelles exigences en lien, notamment, avec :

• les règles encadrant la gouvernance des renseignements personnels;
• le consentement, surtout lorsqu’il est question de renseignements personnels sensibles;
• les évaluations de facteurs relatifs à la vie privée (EFVP) à réaliser, entre autres, pour tout projet d’acquisition, de développement ou de refonte d’un système d’’information ou de prestation électronique de services impliquant des renseignements personnels ou encore avant toute communication de renseignements personnels à l’extérieur du Québec;
• les informations à fournir, par exemple, lors du recours à une technologie comprenant des fonctions permettant d’identifier, de localiser ou d’effectuer le profilage d’une personne ou encore lorsqu’une décision fondée exclusivement sur un traitement automatisé est rendue à l’endroit d’une personne;
• les paramètres de confidentialité des produits ou services technologiques offerts au public qui, par défaut, doivent offrir le plus haut niveau de confidentialité;
• la dépersonnalisation, l’anonymisation, la cessation de la diffusion ou la désindexation d’un lien hypertexte.

Ces exigences viennent s’ajouter à celles qui sont entrées en vigueur le 22 septembre 2022, à savoir la désignation d’un responsable de la protection des renseignements personnels pour les entreprises, la constitution d’un comité sur l’accès à l’information et la protection des renseignements personnels pour les organismes publics, la déclaration des incidents de confidentialité ou encore le délai pour divulguer à la Commission d’accès à l’information la création d’une banque de caractéristiques ou de mesures biométriques.

Même s’il reste encore quelques mois, il ne faut surtout pas sous-estimer l’ampleur de la tâche d’autant, qu’à partir, du 22 septembre 2023, le montant des amendes pouvant être prononcées à l’égard d’un organisme public et d’une entreprise sera plus élevé qu’actuellement, tout comme celui des dommages-intérêts punitifs pouvant être accordés. De plus, la Commission aura également le pouvoir d’imposer des sanctions administratives pécuniaires à l’égard d’une personne ou d’une entreprise en cas de manquement à la loi.

#Loi25 #Québec #renseignementspersonnels #secteurpublic #entreprises #gouvernance #consentement #EFVP #consentement #incidentsdeconfidentialité #biométrie #ComitéAIPRP #confidentialité #anonymisation #dépersonnalisation #désindexation

Québec: Entrée en vigueur de nouvelles dispositions en matière de protection des renseignements personnels

Le 22 septembre 2022 marque l'entrée en vigueur de nouvelles dispositions en matière de renseignements personnels ("RP") au Québec. 

En effet, la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels mais aussi la Loi sur la protection des renseignements personnels dans le secteur privé ont fait l'objet d'une modernisation à la suite de l'adoption du projet de loi n°64, Loi modernisant des dispositions législatives en matière de protection des renseignements personnels en septembre 2021. Précisons que cette modernisation vise également 19 autres lois dont la Loi concernant le cadre juridique des technologies de l'informations. 

Les dispositions qui entrent en vigueur aujourd'hui visent aussi bien les organismes publics que les entreprises ("organisation"). Elles visent aussi les ordres professionnels et leurs membres. 

• Responsabilité: une organisation est responsable des RP qu'elle détient et ce, même si elle en confie la gestion à un tiers. 

• Responsable de la protection des renseignements personnels: une organisation doit désigner un responsable de la protection des renseignements personnels ("PRP"). 

Cette fonction revient à la personne ayant la plus haute autorité, elle peut néanmoins être déléguée, par écrit

• à un membre du l'organisme public ou de son conseil d'administration, selon le cas, ou à un membre du personne de direction. Les titres et les coordonnées du responsable doivent être transmis à la Commission d'accès à l'information; 
• à toute personne pour les entreprises.  Les titres et les coordonnées du responsable doivent être publiés sur le site Internet de l'entreprise ou, si elle n'en a pas, rendus accessibles par tout autre moyen approprié.  

• Comité sur l'accès à l'information et la protection des renseignements personnels ("CAIRPR"): un organisme public, mais aussi les ordres professionnels, doivent constituer un tel comité. 

Ce comité est chargé de soutenir l'organisme public / l'ordre professionnel dans l'exercice de ses responsabilités et dans l'exécution de ses obligation. Il doit aussi approuver les règles encadrant la gouvernance à l'égard des renseignements personnels. 

• Incident de confidentialité: une organisation doit déclarer à la CAI les incidents de confidentialité qui présente un risque qu'un préjudice sérieux soit causé aux personnes dont les renseignements personnels sont visés par l'incident. Elle doit aussi aviser les personnes concernées. Elle doit également tenir un registre des incidents de confidentialité.
  

• Transaction commerciale: une entreprise partie à une telle transaction peut communiquer à l'autre partie, sans le consentement des personnes concernées, des renseignements personnels nécessaires aux fins de la conclusion de cette transaction. 

Une entente doit préalablement être conclue entre les parties. Et, si la transaction est conclue, la partie qui a reçu les RP doit aviser, dans un délai raisonnable, les personnes concernées qu'elle détient ses RP en raison de la transaction.  

• Étude, recherche, production de statistiques: une organisation peut communiquer des renseignements personnels a de telles fins, sans le consentement des personnes concernées. 

Elle doit au préalable effectuer une évaluation des facteurs relatifs à la vie privée et conclure une entente avec la personne ou l'organisme à qui elle transmet les RP. Cette entente doit être transmise à la Commission d'accès à l'information et entre en vigueur 30 jours après sa réception par celle-ci. 

• Biométrie: une organisation doit déclarer à la Commission d'accès à l'information la création et la mise en service de toute banque de caractéristiques ou de mesures biométriques. 

En vertu de la LCCJTI cette déclaration doit intervenir au plus tard 60 jours avant la mise en service de la banque. De plus, les personnes concernées doivent donner un consentement exprès et l'organisation doit être en mesure de proposer une méthode alternative.      

Ces changements ne sont pas les seuls prévus. En effet, le cadre juridique applicable à la protection des renseignements personnels au Québec connaîtra d'autres modifications au cours des prochains mois, de nouvelles dispositions entrant en vigueur en septembre 2023 et 2024. 

--- 

Sur une note plus personnelle, le 22 septembre 2022 marque aussi la reprise de mes billets sur cette plateforme. 

Québec: la CAI, les entreprises et la protection des renseignements personnels

La Commission d'accès à l'information (CAI) du Québec vient de publier une affiche intitulée Votre entreprise et les renseignements personnels: les bonnes questions à se poser !

Cette affiche vise à fournir "les réponses aux 10 questions que toute personne qui exploite une entreprise doit se poser pour satisfaire aux exigences de la [Loi sur la protection des renseignements personnels dans le secteur privé]. On y traite notamment de l’information qu’il convient de donner aux personnes concernées au moment de constituer un dossier sur elles, de l’utilisation qui peut être faite des renseignements personnels ou encore des précautions à prendre lors du partage et de la conservation de ces renseignements personnels". [Source: CAI, Nouvelles récentes, 10/09/2014]

(Source: Commission d'accès à l'information du Québec)

Europe: avis du G29 sur la Loi québécoise sur la protection des renseignements personnels dans le secteur privé

Le 4 juin 2014, le Groupe de l’article 29 (G29) a rendu un avis 7/2014 sur le niveau de protection accordé par la Loi québécoise sur la protection des renseignements personnels dans le secteur privé au regard de la Directive 95/46/CE relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.

Même si les dispositions de la loi québécoise renferment les principes énoncés par la Directive 95/46/CE, le G29 est d'avis qu’avant de pouvoir se prononcer sur l’adéquation de cette loi il convient de clarifier la question inhérente au partage des compétences entre le gouvernement fédéral et le Québec.

"Firstly, the Working Party stresses that the territorial scope of the Quebec Act in relation to the PIPEDA should be clearly defined before any decision on its adequacy is taken by the European Commission". 

(Source: Avis 7/2014, p. 17, voir également p. 4-5)

Le G29 considère également que la loi québécoise devrait entre autres  : 

- préciser la notion de responsable de la protection des renseignements personnels. 

Il est à noter que la Commission d'accès à l'information (CAI) du Québec, soit l'autorité chargée de surveiller l'application de cette loi, a fait une recommandation en ce sens dans son Rapport quinquennal de 2011 et qui se lit comme suit: 

"La Commission recommande que la Loi sur la protection des renseignements personnels dans le secteur privé prévoit la création de la fonction de responsable de l'accès et de la protection des renseignements personnels"

(Source: CAI, Rapport quinquennal 2011, p. 47) 

- préciser la notion de renseignements sensibles afin que la sensibilité des données ne soit pas seulement considérée au regard des mesures de sécurité qu’une entreprise doit mettre en œuvre. 

"Fourthly, the Working Party considers necessary any initiative, such as a legislation change or a Court ruling, offering a clear definition of the notion of “sensitive information”. In addition, the Working Party would welcome the systematic use of a highest level of protection when sensitive data is processed and encouraged the Quebec authorities and the CAI to work towards this goal. This higher level of protection should not be limited to security measures and could include adequate safeguards, such as the requirement of the explicit consent of the data subject for the processing". 

(Source: Avis 7/2014, p. 17, voir également p. 10)

- préciser les mécanismes permettant de s’assurer que la communication à l’extérieur du Québec des renseignements personnels répond aux exigences de la loi québécoise, en rendant par exemple obligatoire la conclusion d’un contrat entre les deux entités.

"Fifthly, the Working Party considers that the onward transfer principle needs to be clarified in Quebec’s law. In fact, any onward transfer should require the use of contractual or other binding provisions in order to provide a comparable level of protection with the protection awarded by EU law. A comparable level of protection refers to all data protection principles, and is not limited to the purposes of processing and the requirement of consent for further communication of the personal data. Consent should not be promoted as the general legal basis for onward transfers as the recipient then does not commit to take any action to ensure an adequate level of protection; this situation should thus remain an exception.

Sixthly, the Working Party would welcome the addition of a transfers section on the CAI Website which could provide more details concerning rules and practices for transfers and onward transfers outside Quebec".

(Source: Avis 7/2014, p. 17, voir également p. 9)

À suivre donc ...

Pour aller plus loin: 

• ARTICLE 29 DATA PROTECTION WORKING PARTY, Opinion 7/2014 on the protection of personal data in Quebec, WP 219, June 4, 2014
• Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P-39.1. 

Internet et l'analyse de votre comportement

Si vous vous demander si votre comportement est analysé sur Internet, l'article "Facebook à la chasse aux souris" paru dans Libération vous intéressera. 

L'auteure Camille Gévaudan insiste non seulement sur les données démographiques "fournies volontairement par les membres du réseau social", mais surtout sur les données comportementales qui "sont récupérées par le site à [l'insu des membres], en surveillant automatiquement et systématiquement toutes leurs actions en ligne" ... et elle continue en disant que ces dernières données "ont une valeur inestimable pour Facebook, qui cherche actuellement à augmenter leur volume dans de larges propositions, et notamment en instaurant un pistage du curseur des internautes, pour savoir précisément quelle zone de l'écran attire leur souris à chaque instant". 

• Camille GÉVAUDAN, "Facebook à la chasse aux souris", Libération (Écrans), 5 novembre 2013. 

Ce "système de détection de position du curseur et de défilement des pages à l'écran" dont parle l'auteure s'inscrit au nombre des mécanismes utilisés par les entreprises pour anticiper les besoins de leurs clients. 

Cette problématique du profilage à des fins de publicité interpellent les autorités de protection des données personnelles comme l'illustrent notamment la Résolution sur le profilage adoptée lors de la 35° Conférence internationale des commissaires à la protection des données et de la vie privée (billet), les contrôles menés à l'endroit de PayPal en France et de Bell au Canada (billet) ou encore la fiche d'information sur le profilage et la publicité ciblée que vient de publier la Commission d'accès à l'information du Québec. 

Google: suivi de billets sur la politique de confidentialité et sur les Google Glass

Que se soit pour sa politique de confidentialité ou pour ses Google Glass, Google est dans la mire de plusieurs autorités de protection des renseignements personnels.

Ainsi, par exemple, le 10 juin dernier, la Commission nationale de l'informatique et des libertés (CNIL) mettait l'entreprise en demeure relativement à sa politique de confidentialité (billet) et, le 22 juillet la CNIL a fait le point sur les actions répressives à l'encontre de Google en Europe. 

• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, "Point d'étape sur les actions répressives à l'encontre de Google en Europe", Article, 22 juillet 2013.

En ce qui concerne les Google Glass, le 18 juin dernier, les autorités de protection de l'Australie, de la Nouvelle-Zélande, du Mexique, d'Israël, de la Suisse, du Canada (Alberta, Colombie-Britannique, Québec, commissariat fédéral) et le Groupe de l'article 29, ont fait parvenir une lettre commune à l'entreprise (billet). Le 27 juin l'entreprise a répondu dans les termes suivants:

"Je vous remercie de votre récente lettre concernant Google Glass. La protection de la sécurité et de la vie privée de nos utilisateurs figure en tête de liste de nos priorités. Conscients du fait que la nouvelle technologie soulèvera de nouveaux types de questions, nous avons mûrement réfléchi dès le début à la façon de concevoir Google Glass et nous continuons d’examiner Glass dans la perspective du vaste programme de protection de la vie privée de Google. Nous avons notamment à cœur de concevoir Glass en nous souciant du respect de la vie privée et en veillant à ce que Google obtienne un consentement valable des utilisateurs.
Glass n’a pas encore été lancé à grande échelle sur le marché de la consommation et en est encore à ses débuts, mais nous sommes convaincus que l’expérience concrète de cet appareil continuera d’aider à recentrer les discussions au bénéfice des utilisateurs et de la population. C’est pourquoi nous avons lancé le programme Google Glass Explorer à l’intention de nos explorateurs aux États-Unis, qui sont des personnes de divers horizons qui participent aux premiers essais pratiques du produit. Au moment d’élaborer les étapes à venir, nous accordons une grande importance à leurs commentaires.
Vous trouverez ci-après des renseignements sur certaines caractéristiques de Glass qui devraient vous aider à comprendre ce qu’il en est :
- Pour commencer, nous avons mis au point Glass pour permettre aux utilisateurs de déterminer quand et comment utiliser Glass. Par exemple, comme dans le cas des appareils mobiles, l’utilisateur de Glass doit poser des gestes précis pour obtenir le résultat voulu, par exemple faire des recherches dans Internet, trouver un itinéraire, prendre une photo ou enregistrer une vidéo. L’utilisateur dit « Okay, Glass », puis il donne des commandes vocales comme « Google » pour faire des recherches dans Internet ou « Get directions » pour afficher l’itinéraire jusqu’à sa destination. Pour prendre une photo ou enregistrer une vidéo, l’utilisateur appuie sur un bouton sur la monture de Glass ou dit « Take a photo » ou « Record a video ». Le lien ci-après conduit à une vidéo qui donne une bonne idée de certaines fonctions de base de Glass : https://www.youtube.com/watch?v=4EvNxWhskf8.
- L’utilisateur aura accès à son propre site «  MyGlass » (www.google.com/myglass) et à l’application mobile MyGlass, qui lui permettra de suivre de près l’état de ses lunettes, de gérer les paramètres et de décider quels éléments ou applications afficheront l’information sur Glass.
- Notre engagement à donner la maîtrise à l’utilisateur s’étend aux politiques que nous avons élaborées à l’intention des développeurs qui conçoivent les applications pour Glass, également appelées « Glassware ». Par exemple, Google affirme depuis plusieurs années qu’elle n’ajoutera pas de fonctions de reconnaissance faciale à ses produits sans avoir d’abord mis en place de vigoureuses mesures de protection de la vie privée. Dans cette optique, nous n’approuverons pour le moment aucune application Glassware de reconnaissance faciale. En outre, nous interdisons aux développeurs de désactiver ou d’éteindre l’écran lorsque la caméra est en marche. Quelle que soit l’application Glassware, l’affichage doit s’activer au moment de la prise d’une photo et le demeurer pendant l’enregistrement d’une vidéo.
- Nous demandons aux participants à notre programme Explorer de ne pas vendre ni céder leur Glass, mais les utilisateurs qui les céderont un jour à une autre personne pourront en retirer le contenu. Glass affiche les éléments comme les photos, les vidéos et les textos sur une ligne du temps et comporte une fonction « suppression » qui permet de les en retirer. Cette fonction représente une façon d’effacer le contenu de Glass. L’utilisateur pourra également, grâce au site et à l’application MyGlass susmentionnés, désactiver des éléments particuliers (notamment Gmail, Google+ et Now) de Glass et réinitialiser l’appareil, ce qui supprimera toutes ses données. Si un utilisateur perd son Glass, il pourra utiliser ces fonctions sur le site et dans l’application MyGlass.
- Nous avons aussi intégré certains signaux dans le mode d’utilisation de Glass en pensant aux utilisateurs et aux non-utilisateurs. Outre les commandes vocales, l’utilisateur peut toucher Glass afin de faire défiler des éléments ou appuyer sur un bouton situé sur la branche de l’appareil afin de prendre une photo ou d’enregistrer une vidéo — ce qui aura pour effet d’activer l’écran de Glass d’une manière qui sera visible aux autres. Ces signaux permettent à l’utilisateur de respecter l’étiquette dans toute situation donnée et aident les gens à comprendre ce que fait l’utilisateur de Glass. Comme vous le savez, certaines parties peuvent prendre elles-mêmes des mesures pour baliser l’utilisation de la technologie existante — par exemple les téléphones cellulaires, les ordinateurs portatifs ou les caméras — dans certaines circonstances. Nous nous attendons à ce que ces types de règles continuent d’évoluer à mesure que les technologies vestimentaires seront lancées sur le marché en plus grand nombre.
Il est à noter que nous continuons de travailler activement sur Glass. L’information fournie dans le présent document est sujette à changement avant le lancement du produit à grande échelle sur le marché de la consommation. Comme vous le savez, Google a, dans la plupart de vos pays, des spécialistes locaux et régionaux en matière de protection de la vie privée, de droit et de politiques, qui seront vos points de contact à l’avenir."

(Source: Communiqué du Commissariat à la protection de la vie privée du Canada)

• COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, "Réponse de Google aux autorités chargées de la protection des données au sujet de Google Glass", Communiqué, 25 juillet 2013