CPVPC et CIPVP (Alberta et Colombie-Britannique): applications mobiles

Le Commissariat à la protection de la vie privée du Canada et ses homologues de la Colombie-Britannique et de l'Alberta viennent de publier un document contenant des orientations afin de développer des applis mobiles dans le respect du droit à la vie privée.

Après avoir indiqué qu'"en vertu des lois canadiennes sur la protection des renseignements personnels, toutes les entreprises doivent concilier innovation, esprit d'entreprise et protection efficace des renseignements personnels, et cela s'applique aux concepteurs d'applications mobiles, qu'ils travaillent à leur compte ou pour le compte d'une organisation" (p. 1), ce document met de l'avant les principaux facteurs à prendre en compte en cas de développement d'applications mobiles. 

Ces facteurs s'appliquent à "toutes les parties qui manipulent les renseignements personnels des utilisateurs, notamment les concepteurs, les fournisseurs de services, les plateformes d'applications et les annonceurs, [de respecter] les lois canadiennes sur la protections des renseignements personnels" (p. 4). 

Ces facteurs se déclinent de la façon suivante: 

- être responsable de sa conduite et de son code, c'est-à-dire mettre en place de bonnes pratiques pour gérer la protection des renseignements personnels dès l'étape de la planification d'une application; désigner une personne responsable de cette protection; élaborer des règles de protection de la vie privée visant à gérer les risques en temps opportun (p. 4-5); 

- être ouvert et transparent à propos de ses pratiques, c'est-à-dire informer de l'utilisation faite des renseignements personnels. Cette information doit être claire et compréhensible. Elle doit être facilement accessible tout au long du cycle de vie des renseignements personnels. Par conséquent, il est recommandé de ne "jamais passer sous silence les mises à jour des applications qui amoindriront la protection des renseignements personnels de l'utilisateur"  (p. 5-7 et 10);

- ne recueillir et ne conserver que les renseignements nécessaires au fonctionnement de l'application. Ainsi il est précisé que "si vous ne pouvez expliquer le lien entre un renseignement recueilli par votre application et le fonctionnement de celle-ci, vous devriez probablement vous abstenir de recueillir ce renseignement" (p. 7-8); 

- obtenir un consentement éclairé malgré le défi lié au petit écran, en organisant l'information en couches (i.e. politiques de confidentialité simplifiées ou encore dites multistrates), en offrant un tableau de bord, en recourant à des graphiques, des couleurs et du son (p. 8-9 et 10). 

Pour plus de détails, 

• COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, "Des commissaires à la protection de la vie privée aident les concepteurs à créer des applications qui respectent davantage la vie privée", Communiqué, 24 octobre 2012. 
• COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, COMMISSARIAT À L'INFORMATION ET À LA PROTECTION DE LA VIE PRIVÉE DE L'ALBERTA, COMMISSARIAT À L'INFORMATION ET À LA PROTECTION DE LA VIE PRIVÉE DE LA COLOMBIE-BRITANNIQUE, Une occasion à saisir: Développer des applis mobiles dans le respect du droit à la vie privée, octobre 2012. 

Uruguay: 34e conférence internationale

Lors de la 34° Conférence internationale des commissaires à la protection des données et de la vie privée qui débute aujourd'hui (et qui se termine demain), à Punta del Este en Uruguay, plusieurs problématiques seront envisagées: gouvernement ouvert, géolocalisation, publicité comportementale en ligne, biométrie, coopération internationale entre autorités de protection, données intelligentes, consentement, modifications de la législation européenne ... et la protection des renseignements personnels en Amérique Latine. 

Le programme de la Conférence internationale est disponible à l'adresse suivante: http://privacyconference2012.org/english/home.

FTC: rapport sur la reconnaissance faciale

La Federal Trade Commission (FTC) vient de publier son rapport sur la reconnaissance faciale: "Facing Facts: Best Practices for Common Uses of Facial Recognition Technologies". 

Ce rapport revient sur les travaux menés par la FTC depuis décembre 2011, notamment le Face Facts workshop qui a conduit à un examen des progrès et des utilisations actuelles et futures de cette technologie au regard de la protection des renseignements personnels (billet). Et, il présente les trois scénarii suivants: 

1. Facial Detection: "An eyeglass company allows consumers to upload their images to the company’s website and then uses facial detection to detect the face and eyes in the image and superimpose various styles of glasses on the consumer’s face. The company stores the images in order to enable consumers to use this feature of the website in the future without uploading a new image". (Source: FTC report, p. 11-12)
2. Detection or Recognition of Demographic Characteristics in Digital Signs: "A sports drink company operates digital signs in a supermarket. These signs include cameras and have the ability to assess the age range and gender of the consumer standing in front of them. The signs display a targeted advertisement to the consumer based on those demographic characteristics. The consumer’s image is processed instantaneously while the consumer is standing in front of the sign and is not stored for future use".(Source: FTC report, p. 13-17)
3. Facial Recognition in Online Social Networks: "An existing social network implements a facial recognition feature. When a user uploads new photos, the social network scans those photos against existing “tagged” photos of the user’s “friends.” The social network then identifies the user’s “friends” in the new photos so the user can tag them. Users cannot utilize the feature to identify other users who are not their “friends."". (Source: FTC report, p. 17-20)

Partant, et en gardant à l'esprit les principes de protection intégrée de la vie privée (Privacy by Design - PbD), de politique de confidentialité simplifiée et de transparence mis de l'avant en mars 2012 dans "Protecting Consumer Privacy in an Era of Rapid Change" (billet), le présent rapport du FTC contient les recommandations suivantes : 

"The FTC staff report recommends that companies using facial recognition technologies:
- design their services with consumer privacy in mind;
- develop reasonable security protections for the information they collect, and sound methods for determining when to keep information and when to dispose of it;
- consider the sensitivity of information when developing their facial recognition products and services – for example, digital signs using facial recognition technologies should not be set up in places where children congregate.
The staff report also recommends that companies take steps to make sure consumers are aware of facial recognition technologies when they come in contact with them, and that they have a choice as to whether data about them is collected.  So, for example, if a company is using digital signs to determine the demographic features of passersby, such as age or gender, they should provide clear notice to consumers that the technology is in use before consumers come into contact with the signs.
In another example cited in the report, FTC staff recommends that social networks using facial recognition features should provide consumers with clear notice about how the feature works, what data it collects, and how that data will be used. They also should provide consumers with an easy to use choice not to have their biometric data collected and used for facial recognition, and the ability to turn the feature off at any time and have the biometric data previously collected from their photos permanently deleted.
Finally, the report states, there are at least two scenarios in which companies should get consumers’ affirmative consent before collecting or using biometric data from facial images. First, they should obtain consent before using consumers’ images or any biometric data in a different way than they represented when they collected the data.  Second, companies should not use facial recognition to identify anonymous images of a consumer to someone who could not otherwise identify him or her, without obtaining the consumer’s affirmative consent first."

(Source: FTC, Press Release)

Pour aller plus loin, 

• FEDERAL TRADE COMMISSION, Facing Facts: Best Practices for Common Uses of Facial Recognition Technologies, October 2012. 
• FEDERAL TRADE COMMISSION, "FTC Recommends Best Practices for Companies That Use Facial Recognition Technologies", Press Release, October 22, 2012.

Europe: non-indépendance de l'autorité autrichienne

Le 16 octobre 2012, la Cour de justice de l'Union européenne a déclaré que l'autorité autrichienne de protection des données personnelles ne répond pas aux exigences de la Directive relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, plus particulièrement au fait que ces autorités doivent exercer "en toute indépendance les missions dont elles sont investies" (art. 28 al. 1 par. 2), dans les termes suivants:  

"Par ces motifs, la Cour (grande chambre) déclare et arrête:

1) En ne prenant pas toutes les dispositions nécessaires pour que la législation en vigueur en Autriche satisfasse au critère d’indépendance concernant la Datenschutzkommission (commission de protection des données), plus précisément, en instituant un cadre réglementaire en vertu duquel

– le membre administrateur de la Datenschutzkommission est un fonctionnaire fédéral assujetti à une tutelle de service,

– le bureau de la Datenschutzkommission est intégré aux services de la chancellerie fédérale, et

– le chancelier fédéral dispose d’un droit inconditionnel à l’information sur tous les aspects de la gestion de la Datenschutzkommission,

la République d’Autriche a manqué aux obligations qui lui incombent en vertu de l’article 28, paragraphe 1, second alinéa, de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.

2) (...)"

(Source: CJUE 16 octobre 2012)

Pour plus de détails:

• COUR DE JUSTICE DE L'UNION EUROPÉENNE, Commission européenne (soutenue par le Contrôleur européen de la protection des données) c. République d'Autriche (soutenue par la République fédérale d'Allemagne), Affaire C-614/10, 16 octobre 2012.  
• CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES, "Commission contre Autriche: la Cour de justice déclare que l'autorité autrichienne de protection des données n'est pas indépendante", Communiqué, 16 octobre 2012.

CNIL: recommandations sur les règles de confidentialité de Google

Le 16 octobre 2012, la Commission nationale de l'informatique et des libertés, agissant pour le compte des 27 autorités européennes de protection des données, a fait parvenir à Google une série de recommandations relatives aux nouvelles règles de confidentialité entrées en vigueur le 1er mars dernier. 

Parmi ces recommandations, on retiendra le fait que: 

- "Les autorités européennes demandent à Google de fournir une information plus claire et plus complète sur les données collectées et les finalités de chacun de ses traitements de données personnelles. Par exemple, les autorités européennes recommandent la mise en place d'une présentation avec trois niveaux de détails qui assurera une information conforme aux exigences de la Directive [95/46/CE] sans dégrader l'expérience des utilisateurs". (Source: CNIL, Actualité 16 octobre 2012)

Cette présentation sur trois niveaux pourraient reprendre l'architecture suivante:

"Premièrement, des notes de confidentialité intégrées aux produits et des notes interstitielles pourraient être rédigées pour indiquer aux utilisateurs que leurs données sont traitées lorsqu'ils utilisent les services et, en particulier, lorsqu'ils lancent un nouveau service pour la première fois. [...]

Deuxièmement, les Règles de confidentialité actuelles devraient être présentées comme un guide général sur les traitement de Google et des renvois devraient être insérés vers des informations plus détaillées sur les différents traitements. [...]

Troisièmement, des notes de confidentialité spécifiques aux produits devraient être mises à disposition. Ces notes devraient détailler pour chaque traitement et pour chaque service: les données qui sont traitées, les finalités du traitement, les destinataires et la manière dont les utilisateurs peuvent accéder à leurs données. [...]

Plus généralement, Google devraient mettre au point des présentations interactives permettant aux utilisateurs d'explorer le contenu des notes de confidentialité sans avoir à lire de longs documents linéaires. [...]"

(Source: Annexe)

- "La combinaison des données entre services a été généralisée avec ces nouvelles règles de confidentialité [...]. Les CNIL européennes relèvent que cette combinaison poursuit des finalités différentes [...]. Google doit donc modifier ses pratiques quand les données sont combinées pour ces finalités." (Source: CNIL, Actualité 16 octobre 2012)

Ainsi, Google devrait: 

1) "simplifier les mécanismes d'opt-out"; 

2) "différencier les finalités de la combinaison de données"; 

3) "collecter le consentement explicite pour la combinaison de données"; 

4) "centraliser les mécanisme d'opt-out dans un emplacement unique"; 

5) "proposer aux utilisateur authentifiés la possibilité de contrôler dans quel service ils sont authentifiés lorsque des services sont disponibles sans authentification"; 

6) "limiter la collecte et la combinaison de données provenant des utilisateurs passifs, excepté pour des finalités de sécurité"; 

7) "étendre à tous les utilisateurs européennes le processus d'analyse de fréquentation mis en place en Allemagne (information améliorée des personnes concernées par le site Web, utilisation limitée des données pour les finalités d'analyse de fréquentation et anonymisation des adresses IP)"

(Source: Annexe)

- "Google devrait définir plus clairement la durée de conservation des données personnelles, notamment pour les actions suivantes: suppression d'un contenu particulier, désabonnement à un service spécifique, suppression du compte". (Source: Annexe)

- "Google doit informer plus clairement les nouveaux utilisateurs de la possibilité d'ouvrir un compte Google sans fournir son vrai nom" (Source: Annexe)

- "Google doit compléter les Règles de confidentialité en mentionnant que les données biométriques peuvent être traitées, et préciser les conditions de la collecte et du stockage des gabarits faciaux". (Source: Annexe)

Il est à noter que ces recommandations ne portent pas sur les flux transfrontières de données ni sur la sphère de sécurité ("Safe Harbor") entre les États-Unis et l'Union européenne (Source: Annexe).  

Par ailleurs, ces recommandations ont été applaudies par les membres de l'Asia Pacific Privacy Autohities (lettre), par le Commissariat à la protection de la vie privée du Canada (lettre). 

Reste maintenant à voir la réponse de Google à ces recommandations ... à suivre donc.  

Pour aller plus loin: 

• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, "Règles de confidentialité de Google: une information incomplète et une combinaison de données incontrôlée", Actualité, 16 octobre 2012. 
• ARTICLE 29 DATA PROTECTION WORKING PARTY, Lettre à Google, October 16, 2012.  
• Annexe- Règles de confidentialité de Google: Principales conclusions et recommandations du Groupe de l'article 29. 

W3C: commentaires de Neelie Kroes sur les travaux du "Tracking Protection Working Group"

Le W3C Tracking Protection Working Group dont les travaux ont pour but de développer des mécanismes permettant aux utilisateurs d'environnements électroniques d'exprimer leurs préférences en matière de suivi (billet) s'est réuni, à Amsterdam (Pays-Bas), du 3 au 5 octobre 2012 (Sixth face-to-face: Agenda). 

Même si elle reconnaît que plusieurs navigateurs ont déjà intégré le mécanisme «Do Not Track» ou «DNT» qui était au centre des discussions du groupe de travail du W3C, Neelie Kroes, la vice-présidente de la Commission européenne chargée de la stratégie numérique, lors d'un discours au Centre d'études de la politique européenne (CEPS), le 11 octobre 2012, s'est dite inquiète de la progression des travaux. 

"[...] Le nouveau mécanisme DNT a été rapidement intégré dans plusieurs des principaux navigateurs, ce qui est un point positif.

Mais je dois être franche: la normalisation ne se déroule pas comme prévu. En fait, je suis de plus en plus inquiète. Inquiète des retards, et inquiète de la tournure que prennent les discussions au sein du W3C. Je crois que vous connaissez la situation. Et je sais que mes collègues du FTC, de l’autre côté de l’Atlantique, partagent mes préoccupations. [...]

Voyons donc quelles sont plus précisément mes préoccupations.

Premièrement, il y a la manière dont les utilisateurs sont informés des réglages par défaut de leurs logiciels et de leurs appareils. C’est un aspect crucial: l’option par défaut est-elle d’autoriser le suivi, ou de refuser le consentement? [...]

Deuxièmement, la norme DNT ne devrait pas laisser la possibilité aux sites web de préjuger du choix de l’utilisateur ou de l’ignorer. [...]

Troisièmement, en l’absence de consentement, les sites ne devraient pouvoir utiliser que de manière limitée les informations de l’utilisateur, et uniquement conformément à l’objectif général de la norme. Or les exceptions proposées semblent aller très très loin. [...]

Les inquiétudes sont donc nombreuses. Le temps travaille contre nous. Je voudrais donc dire aujourd’hui à tous ceux qui participent à ces discussions: il faut arriver à un bon compromis, et vite.

Ne croyez pas que je sois naïve. Vu l’évolution des débats, je ne crois pas que la norme DNT, à elle seule, permettra d’arriver à des dispositions légales satisfaisantes en ce qui concerne les cookies. Ne serait-ce que parce que dans le consensus qui se dégage, les «cookies d’origine» semblent exclus de la norme.

Mais le mécanisme DNT n’en reste pas moins utile. [...]

En résumé:

Si une norme DNT solide est établie, elle jouera un rôle majeur et positif. Je n’ai aucun doute à ce sujet.

Mais à l’heure actuelle, il n’est pas certain que la norme finalement retenue soit d’une telle qualité, et je m’inquiète aussi de la lenteur des progrès. En cas d’échec, nous serions tous perdants. Les utilisateurs seraient privés d’un moyen simple de protéger leur vie privée; les sites web seraient privés d’un moyen simple de se conformer aux exigences en matière de consentement. Et en dernier ressort, les annonceurs seraient perdants, eux aussi.

Il faut donc éviter d’en arriver là. Je reste convaincue qu’une norme substantielle reste possible. Une norme qui évite les écueils que j’ai décrits. Il faudra sans doute quelques mois supplémentaires, mais aujourd’hui, une telle norme reste la meilleure solution pour tout le monde.

Mais le temps nous est compté, et il sera bientôt trop tard. Il faut donc agir vite pour que tous les internautes aient accès au DNT.

Nous pourrons ensuite focaliser notre attention, ensemble, sur la croissance de l’économie en ligne et sur les questions de vie privée en ligne. Ensemble avec les utilisateurs, et non contre les utilisateurs."

(Source: Discours Neelie Kroes) 

Par ailleurs, il convient de noter que dans son discours, Neelie Kroes rappelle combien il est important pour les gestionnaires d'environnements électroniques d'informer les internautes sur leurs intentions en matière de protection des renseignements personnels et de les respecter sous peine de perdre la confiance de ces derniers. En effet, 

"La vie privée en ligne et l’entreprise en ligne ne sont pas dissociables l’un de l’autre. Le respect de la vie privée est un droit fondamental. Un entrepreneur qui ne respecte pas ce droit n’ira pas loin. Parce que les utilisateurs n’utilisent pas ce en quoi ils n’ont pas confiance. Et qu’ils cessent très vite d’utiliser ce dont ils méfient. Pour une entreprise en ligne, perdre la confiance de ses utilisateurs, c’est gaspiller d’immenses opportunités de développement commercial." 

(Source: Discours Neelie Kroes)

Pour aller plus loin: 

• W3C Tracking Protection Working Group (Agenda et Documents)
• Neelie KROES, "Vie privée en ligne et commerce électronique: un état de la situation sur «Do Not Track»", Discours devant le Centre d'études de la politique européenne (CEPS), Bruxelles (Belgique), 11 octobre 2012. 

• Camille GÉVAUDAN, "Protection contre la pub ciblée : l’Europe s’impatiente", Libération, 11 octobre 2012.  
• Natasha SINGER, "Do Not Track? Advertisers Say ‘Don’t Tread on Us’", New York Times, October 13, 2012. 

NB: En 2007, j'ai publié un article sur le thème de la confiance: "La confiance, instrument de régulation des environnements électroniques", (2007) 37 R.D.U.S. 441. 

Nouvelle-Zélande: Google, WiFi et vie privée

Comme mentionné précédemment, Google a informé l'Office of Autralian Information Commissioner avoir découvert de nouveaux disques contenant des données dites "de contenu" (billet) ... ces disques contiennent des données provenant d'Australie mais aussi de Nouvelle-Zélande. 

Face à cette situation, le Privacy Commissioner's Office a publié le communiqué suivant: 

"Google has now said that it appears it did not destroy all the information collected from unsecured WiFi networks during its Street View filming in New Zealand. In recent checks, it has found one disk that may contain New Zealand and Australian information, along with disks relating to other countries. These had been missed when Google responded to the original privacy investigations.
The Privacy Commissioner's office has told Google to destroy the disk.
Google had earlier informed the Privacy Commissioner that all the ‘payload' information - that is, contents of communications crossing the WiFi networks - had been securely destroyed. The destruction was verified by an independent agency.
"It's very disappointing that this disk could be overlooked," said Assistant Commissioner Katrine Evans. "Collecting the information in the first place was a major breach of privacy, and we made it plain as part of our original investigation that all the information should be destroyed.
"Fortunately, it appears very unlikely that the information on the disk has been accessed or used in any way. Google is willing to destroy the disk. It has also apologised for its mistake. We sincerely hope that this will be an end to what has been a long-running saga.""

(Source: Privacy Commissioner Statement)

• PRIVACY COMMISSIONER OF NEW ZEALAND, "All WiFi payload data to be destroyed, Privacy Commissioner tells Google", Media Statement, October 10, 2012.

Australie: Google, WiFi et vie privée (2)

En août dernier, Google a indiqué à l'Office of the Australian Information Commissioner avoir détruit les disques contenant des données dites "de contenu" (billet). Toutefois, on peut lire, cette semaine, sur le site de l'autorité australienne que l'entreprise a découvert de nouveaux disques. Face à cette situation, le commissaire à la vie privée a déclaré que:

"I [i.e. Timothy Pilgrim, Privacy Commissioner] have informed Google that it should immediately destroy this data, unless there is a lawful purpose for its retention. Once this has occurred I have asked Google to again confirm via an independent third party that the data has been destroyed.

I remain concerned that this data still exists given that Google previously confirmed that all data relating to this issue had been destroyed. I have advised Google that it is important that there is no further Street View Wi-Fi data in Google’s possession requiring destruction. I have asked Google for further information about their audit process to allow me to better understand the steps taken during the review of their disk inventory.

I remind all organisations that they have a responsibility to protect customer privacy and securely store the data that they hold. Personal information that is no longer being used or is out of date should be destroyed or permanently deidentified."

[Source: OAIC Statement]

Pour plus de détails:

• OFFICE OF THE AUSTRALIAN INFORMATION COMMISSIONER, 
• "Google Street View Wi-Fi Collection - additional disks located", Media Statement, October 9, 2012.
• "Google Street View Wi-Fi Collection - letter to Google", Correspondence, October 9, 2012. 

Canada (CSC): les jeunes, la cyberintimidation et leur protection

Le 27 septembre dernier, la Cour suprême du Canada [CSC] dans l'arrêt A.B. c. Bragg Communications Inc. a accueilli la demande de A.B., une adolescente de 15 ans, "de procéder de façon anonyme dans le cadre d'une ordonnance obligeant [un fournisseur de services Internet [FAI] et de divertissement au Canada atlantique, à savoir Eastlink] à divulguer l'identité de l'utilisateur ou des utilisateurs [d'une] l'adresse IP" [31] en vue d'une action en diffamation. 

L'adolescente a, en effet, "découvert que quelqu'un avait affiché un profil sur Facebook en utilisant sa photographie, une version légèrement modifiée de son nom et d'autres détails qui l'identifiaient. À la photographie s'ajoutaient des commentaires désobligeants sur l'apparence physique de l'adolescente ainsi que des allusions sexuellement explicites" [1]. Facebook "a fourni l'adresse IP associée au compte" [2] et, le FAI "a consenti à donner des renseignements plus précis au sujet de l'adresse [IP] si un tribunal l'autorisait à le faire" [3]. Dès lors, l'adolescente, par le biais de son tuteur, a présenté une demande préliminaire en vue d'obtenir une ordonnance en ce sens. 

Dans cette ordonnance, elle déclare avoir "subi un préjudice et qu'elle cherche à minimiser le risque de préjudice supplémentaire" [3] et, par conséquent, elle sollicite "de la cour la permission de chercher de façon anonyme l'identité de l'auteur du faux profil ainsi qu'une ordonnance de non-publication visant le contenu du faux profil Facebook" [3]. 

Le FAI ne s'est pas opposé à la demande. Toutefois deux médias ont contesté "les deux demandes de l'adolescente, soit la demande concernant le droit de procéder de façon anonyme et la demande en vue d'obtenir une ordonnance de non-publication". 

Les tribunaux inférieurs ont ordonné au FAI de "communiquer des renseignements sur l'auteur du faux profil Facebook". Toutefois, ils ont refusé que l'adolescente procède de façon anonyme et ne lui ont pas accordé l'ordonnance de non-publication car elle "ne s'était pas acquittée du fardeau de démontrer l'existence d'un véritable préjudice important justifiant la restriction de l'accès des médias" [5 et 7]. 

A.B. s'est donc pourvu devant la CSC en se fondant "sur ce qu'elle affirme être l'incapacité des tribunaux inférieurs d'établir un juste équilibre entre les risques concurrentiels en l'espèce, à savoir le préjudice inhérent à la divulgation de son identité par rapport au risque d'atteinte au principe de la publicité des débats judiciaires si [elle] obtient la permission de procéder de façon anonyme et d'être protégée par une ordonnance de non-publication. [Elle] plaide que si sa vie privée n'est pas protégée, les jeunes qui, comme elle, sont victimes de cyberintimidation à caractère sexuel refuseront de faire valoir leur droit à une protection et se verront en conséquence refuser l'accès à la justice" [10].

La CSC reconnaît l'importance du principe de la publicité des débats judiciaires et de la liberté de la presse [13]. Elle reconnaît tout autant "le principe de la vulnérabilité inhérente des enfants" [17] et, le fait qu'"un enfant n'a pas à démontrer dans le cadre d'une demande relative à la cyberintimidation à caractère sexuel qu'il se conforme à ce paradigme juridique. Le droit attribue la vulnérabilité accrue en fonction de l'âge et non du tempérament" [17]. Et, elle est d'avis qu'"il est logique d'inférer que la cyberintimidation peut causer un préjudice aux enfants" [20] et "que, si on lui refuse l'anonymat, l'enfant intimidé pourra s'abstenir d'engager une poursuite" [24]. 

Par conséquent, la CSC autorise l'adolescente "à procéder de façon anonyme à la recherche de l'identité de l'auteur de la cyberintimidation" [27]. 

Cependant, "dès lors que l'identité de A.B. est protégée par son droit de procéder dans l'anonymat, une ordonnance de non-publication du contenu du faux profil Facebook qui ne permet pas d'identifier A.B. [...] semble difficilement justifiable. La publication de ces renseignements n'entraîne aucun effet préjudiciable puisque ceux-ci ne révèlent pas l'identité de A. B. Le droit du public à la publicité des débats judiciaires et à la liberté de la presse prévaut donc en ce qui concerne le contenu du profil Facebook qui ne permet pas d'identifier A. B." [30]. 

Pour plus de détails, voir: 

• A.B. c. Bragg Communications Inc., 2012 CSC 46. 

Voir également le communiqué du CPVPC qui a été autorisé à intervenir au nom de A.B. devant la CSC pour faire "valoir qu’il faut établir un équilibre entre le droit à la vie privée et le principe de la publicité des débats judiciaires, particulièrement dans un contexte de cyberintimidation". 

• COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, "La commissaire se réjouit de la décision de la Cour suprême qui reconnaît l'importance de protéger la vie privée des jeunes", Communiqué, 1 octobre 2012. 

CNIL: enquête sur Facebook (2)

Suite à l'annonce selon laquelle certains messages d'utilisateurs de Facebook auraient été rendus publics, la Commission nationale de l'informatique et des libertés a décidé de mener une enquête (billet). 

Elle vient de publier ses conclusions qui se lisent comme suit: 

"Il ressort des analyses menées par la CNIL que les messages incriminés par de nombreux utilisateurs de Facebook semblent être exclusivement des messages "Wall-To-Wall" (de "murs à murs") et non des messages envoyés par l'intermédiaire de la "messagerie privée" de Facebook.

Pour autant, le caractère privé du contenu de certaines des communications révélées semble indiscutable. En d'autres termes, les utilisateurs avaient l'impression d'envoyer des messages privés lorsqu'ils utilisaient la messagerie wall to wall.

Plusieurs raisons expliquent ce phénomène :

- le fonctionnement de Facebook avant 2010 n'était pas comparable au fonctionnement du site de réseau social aujourd'hui. L'ergonomie du site était telle que la visibilité des messages "Wall-To-Wall" était beaucoup plus réduite. Les messages "Wall-To-Wall" étaient donc davantage perçus comme privés par les utilisateurs.

- Facebook a modifié de manière unilatérale et récurrente les paramètres de confidentialité des données entre 2009 et 2010. À l'époque, la CNIL et le G29 (groupe des CNIL européennes) avaient vivement critiqué ces changements réalisés à l'insu des utilisateurs. En effet, par défaut, si les utilisateurs n'étaient pas vigilants ou s'ils suivaient les recommandations de Facebook, des contenus auparavant privés ou accessibles uniquement aux amis étaient rendus accessibles à tout le monde. Par ailleurs, les messages concernés pouvant être anciens, il devenait parfois difficile pour les utilisateurs de constater ce changement d'audience des messages

En outre, les utilisateurs ont récemment re-découvert ces messages lors du passage automatique à la Timeline (historique des activités et des messages par année depuis la création du compte), constatant qu'ils étaient aujourd'hui facilement accessibles.

Cet épisode témoigne de la nécessité de suivre les recommandations de la CNIL et du G29 qui, depuis plusieurs années, encouragent les réseaux sociaux à garantir :

- une plus grande transparence vis-à-vis de leurs utilisateurs quant à l'usage de leurs données personnelles ;

- la mise à disposition d'outils offrant aux utilisateurs un meilleur contrôle de leurs données et des informations qu'ils publient ;

- le recueil du consentement exprès des utilisateurs pour la transmission de leurs données à des tiers ou l'activation de nouvelles fonctionnalités ;

- des paramètres par défaut protecteurs de la vie privée, en particulier lorsqu'ils modifient de manière unilatérale leur politique de confidentialité ou ces paramètres.

L'audit de Facebook, mené par l'autorité irlandaise pour le compte du G29, a d'ailleurs très récemment rappelé l'importance de ces garanties."

Voir: 

• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, "Les conclusions de la CNIL sur le "bug" Facebook", Article, 2 octobre 2012. 

France et Canada: tribune et résultats de recherche

Cette semaine, Isabelle Falque-Pierrotin, présidente de la Commission nationale de l'informatique et des libertés a indiqué que la protection des renseignements personnels "loin d'être une contrainte, voire un handicap comme l'estiment certains, devient un facteur de différenciation concurrentielle, un outil de compétitivité", ou encore un "argument économique" pour les entreprises. Dès lors, il est important de moderniser la législation européenne relative à la protection des renseignements personnels afin de "coller aux nouvelles réalités d'Internet". 

• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, "La protection des données personnelles, un atout pour la France et l'Europe !", Article, 28 septembre 2012 (Article publié dans Les Échos en date du 25 septembre 2012)

De son côté, la commissaire à la protection de la vie privée du Canada, Jennifer Stoddart, publiait les résultats d'une recherche "sur les pratiques de certains sites Web très prisés de la population canadienne afin d’évaluer si les fuites sur Internet représentent une atteinte à la vie privée au Canada".

• COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, "Des sites Web populaires au Canada divulguent des renseignements personnels", Communiqué, 25 septembre 2012.

CNIL: enquête sur Facebook

Suite à l'annonce selon laquelle des messages auraient été rendus publics, la Commission nationale de l'informatique et des libertés a rencontré des représentants de Facebook France et a décidé de poursuivre ses investigations "afin de déterminer si des messages privés ont effectivement été rendus publics" (Source: CNIL, Article, 25 septembre 2012)

 

À suivre donc ...

Pour plus de détails: 

• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, "La CNIL poursuit ses investigations sur Facebook", Article, 25 septembre 2012.
• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, "Faille sur Facebook: la CNIL enquête", Article, 25 septembre 2012.

Irlande: nouvel audit sur Facebook (et reconnaissance faciale)

En décembre 2011, le Data Protection Commissioner d'Irlande a indiqué dans son rapport d'enquête sur les pratiques de Facebook en matière de protection des renseignements personnels qu'un nouvel audit serait publié courant 2012 (billet).

Le 21 septembre 2012, l'autorité irlandaise a rendu public les conclusions de ce nouvel audit portant sur la mise en oeuvre des points suivants: 1) Privacy and data use policy; 2) Advertising; 3) Access requests; 4) Retention of data; 5) Cookies / Social plugs-ins; 6) Third party apps; 7) Disclossures to third parties; 8) Facial recognition / Tag suggest; 9) Data security; 10) Detention of accounts; 11) Friend finder; 12) Tagging; 13) Posting on other profiles; 14) Facebook credits; 15) Pseudonymous profiles; 16) Abuse reporting; et 17) Compliance management / Governance

On peut lire dans le communiqué que:  

"[...] The Review finds that the great majority of the recommendations have been fully implemented to the satisfaction of this Office, particularly in the following areas:  

- The provision of better transparency for the user in how their data is handled, 

- The provision of increased user control over settings.

- The implementation of clear retention periods for the deletion of personal data or an enhanced ability for the user to delete items, 

- The enhancement of the user’s right to have ready access to their personal data and the capacity of FB-I to ensure rigorous assessment of compliance with Irish and EU data protection requirements.

Those recommendations which are not implemented by FB-I as of yet are highlighted with a clear timescale for implementation listed.

The Irish Data Protection Commissioner, Billy Hawkes said, “I am satisfied that the Review has demonstrated a clear and ongoing commitment on the part of FB-I to comply with its data protection responsibilities by way of implementation or progress towards implementation of the recommendations in the Audit Report.  I am particularly encouraged in relation to the approach it has decided to adopt on the tag suggest/facial recognition feature by in fact agreeing to go beyond our initial recommendations, in light of developments since then, in order to achieve best practice.  This feature has already been turned off for new users in the EU and templates for existing users will be deleted by 15 October, pending agreement with my Office on the most appropriate means of collecting user consent.  By doing so it is sending a clear signal of its wish to demonstrate its commitment to best practice in data protection compliance.”

Deputy Commissioner, Gary Davis who led the both the Audit and the Review stated that “the outcome reflects months of detailed engagement between Facebook Ireland and this Office.  The discussions and negotiations that have taken place, while often robust on both sides, were at all times constructive with a collective goal of compliance with data protection requirements.  There were a number of items on which progress was not as fully forward as we had hoped and we have set a deadline of 4 weeks for these matters to be brought to a satisfactory conclusion.   

It is also clear that ongoing engagement with the company will be necessary as it continues to bring forward new ways of serving advertising to users and retaining users on the site.  The value of such engagement to identify and deal with any data protection concerns prior to launch of new products and services is fully accepted by FB-I.”"  

(Source: Data Protection Commissioner, Press Release, September 21, 2012)

Il est à noter que depuis la publication de cet audit, plusieurs commentateurs, comme l'Electronic Privacy Information Center (EPIC), soulignent le fait que 

"Facebook has agreed to give users the choice over the use of facial recognition, to grant users access to their facial recognition template, and to delete the facial recognition data of EU citizens by October 15"

(Source: EPIC, Press Release, September 21, 2012) 

Rappelons que le recours à la reconnaissance faciale est dans la mire de plusieurs autorités: Allemagne, Norvège, Luxembourg, Groupe de l'article 29, Federal Trade Commission, par exemple (billet)


Pour plus de détails: 

• IRISH DATA PROTECTION COMMISSIONER, Facebook Ireland Ltd - Report of Re-Audit, 21 September 2012
• IRISH DATA PROTECTION COMMISSIONER, "Report of Review of Facebook Ireland’s Implementation of Audit Recommendations Published – Facebook turns off Tag Suggest in the EU", Press Release, September 21, 2012. 

• ELECTRONIC PRIVACY INFORMATION CENTER, "Facebook Ceases Facial Recognition in European Union", Press Release, September 21, 2012.

•  Somini SENGUPTA and Kevin J. O'BRIEN, "Facebook Can ID Faces, but Using Them Grows Tricky", New York Times, September 21, 2012. 
• "En Europe, Facebook ne reconnaît plus ses utilisateurs", Libération, 21 septembre 2012. 
• "Facebook suspend sa reconnaissance faciale en Europe", Le Monde, 22 septembre 2012.
• Julien L., "Facebook interrompt la reconnaissance faciale en Europe", Numerama, 22 septembre 2012.

Europe: avis du Groupe 29 sur le niveau de protection adéquat offert par Monaco

En novembre 2009, la Principauté de Monaco a demandé à la Commission européenne de se prononcer sur le niveau de protection adéquat offert par la Loi 1.165 relative à la protection des informations nominatives (et par l'Ordonnance souveraine 2.230) au regard de la Directive 95/46/CE. 

Le 19 juillet 2012, après plusieurs discussions, notamment entre la Commission de contrôle des informations nominatives (autorité monégasque) et la Commission nationale de l'informatique et des libertés (autorité française agissant à titre de rapporteur), le Groupe de l'article 29 s'est prononcé dans son avis 07/2012 sur le niveau de protection adéquat offert par la Principauté de Monaco.  

Pour plus de détails: 

• ARTICLE 29 DATA PROTECTION WORKING PARTY, Opinion 07/2012 on the level of protection of personal data in the Prinipality of Monaco, WP 198, July 19, 2012.

CNIL: réseaux sociaux et vie privée

En matière de renseignements personnels, il est souvent fait référence aux manquements de tel organisme public ou de telle entreprise ... mais cela ne veut pas dire qu'il n'existe pas des initiatives visant à mettre en oeuvre les principes de protection et, c'est justement ce que souligne la Commission nationale informatique et libertés (CNIL) dans son communiqué intitulé "Des réseaux sociaux plus protecteurs de la vie privée ...", daté du 10 septembre 2012 et, qui se lit comme suit:

"Les réseaux sociaux peuvent être de formidables outils de communication à disposition des internautes. Toutefois, ils présentent également des risques d'atteinte à la vie privée si les données publiées ne sont pas maîtrisées ou si leurs éditeurs ne mettent pas en œuvre toutes les mesures nécessaires pour protéger les données de leurs membres. Plusieurs réseaux sociaux ont mis en place des dispositifs plus protecteurs de la vie privée de leurs membres. La CNIL invite l'ensemble des acteurs à s'inspirer de ces bonnes pratiques et propose de les accompagner vers une meilleure conformité.

Le fonctionnement de la majorité des réseaux sociaux repose sur la mise à disposition d'un service gratuit en contrepartie d'une collecte d'informations pour une utilisation commerciale (analyse des profils et de la navigation sur internet pour délivrer de la publicité ciblée, transmissions de données à des tiers, …). Or, il est difficile de déterminer le devenir de ces informations une fois qu'elles sont sur le réseau.

C'est pourquoi le G29 (groupe des CNIL européennes) a précisé les règles applicables aux réseaux sociaux dans un avis du 12 juin 2009. Les CNIL européennes leur demandent notamment de :

• définir des paramètres par défaut limitant la diffusion des données des internautes
• mettre en place des mesures pour protéger les mineurs
• supprimer les comptes qui sont restés inactifs pendant une longue période
• permettre aux personnes, même si elles ne sont pas membres des réseaux sociaux, de bénéficier d'un droit de suppression des données qui les concernent
• proposer aux internautes d'utiliser un pseudonyme, plutôt que leur identité réelle
• mettre en place un outil accessible aux membres et aux non membres, sur la page d'accueil des réseaux sociaux, permettant de déposer des plaintes relatives à la vie privée.

L'ensemble de ces règles n'est malheureusement pas toujours respecté. Aussi, la CNIL tient à souligner la démarche entreprise par certains réseaux sociaux tel que le réseau social Famicity qui s'est engagé à suivre l'ensemble des règles protectrices de la vie privée émises par le G29. La CNIL a accompagné cette mise en conformité de Famicity.

L'initiative du réseau social Diaspora peut également être soulignée. Il s'agit d'un réseau social libre où le contrôle des données personnelles par les utilisateurs est a priori garanti par plusieurs techniques.

D'autres sites proposent également des mesures protectrices, en particulier des mineurs, il s'agit par exemple de Mondokiddo, de le Mini réseau, de l'Univers de Wilby ou de Yoocasa.

La CNIL participe ainsi à la mise en conformité des gestionnaires de réseaux sociaux, et invite à la diffusion de ces bonnes pratiques, à destination notamment des mineurs."