FTC: nouvelles règles relatives à la COPPA

Début décembre, la Federal Trade Commission (FTC) a complété son processus de révision des règles d'application de la Children's Online Privacy Protection Act (COPPA), processus qui avait commencé en septembre 2011. 

Il convient de mentionner que ces règles, entrées en vigueur en avril 2000, ont pour objet d'encadrer la collecte des renseignements personnels auprès de jeunes de moins de 13 ans et, qu'elles ont été mises de l'avant par la FTC à plusieurs reprises: Playdom Inc., W3 Innovations LLC, www.skidekids.com, par exemple

Les nouvelles règles modifient la définition de certaines notions, notamment: "operator", "personal information", "website or online service directed to children", "collection". Elles renforcent certaines exigences quant à l'information préalable, au consentement des parents, à la sécurité ou encore quant au contrôle exercé par la FTC sur les différents programmes d'exonération. Elles insistent sur l'importance d'adopter des procédures raisonnables pour la conservation et la destruction des des données. 

Ces nouvelles règles entreront en vigueur en le 1er juillet 2013.

Pour aller plus loin: 

• FEDERAL TRADE COMMISSION, "FTC Strengthens Kids’ Privacy, Gives Parents Greater Control Over Their Information By Amending Children’s Online Privacy Protection Rule", Media Release, December 19, 2012. 

Nouvelle-Zélande: la Commission européenne reconnaît le caractère adéquat de la protection des données

Le 19 décembre dernier, la Commission européenne a reconnu que le Privacy Act 1993, soit la loi régissant la protection des données à caractère personnel en Nouvelle-Zélande, offre un niveau de protection adéquat à la Directive 95/46/CE et, ce conformément à l'article 25 de cette directive. Cette reconnaissance fait écho à l'avis 11/2011 du Groupe de l'Article 29. Désormais, "les données à caractère personnel peuvent être transférées des 27 États membres de l'UE [i.e. Union Européenne], et des trois États membres de l'EEE [i.e. Espace économique européen] (Norvège, Liechtenstein et Islande) vers [la Nouvelle-Zélande] sans qu’il soit nécessaire de prévoir d’autres garanties". (Source: IP/12/1403) 

Pour plus de détails, voir notamment: 

• EUROPA, "L'UE approuve les normes en matière de protection des données en vigueur en Nouvelle-Zélande ce qui contribuera à stimuler les échanges avec ce pays", IP/12/1403, Communiqué de presse, 19 décembre 2012. 
• PRIVACY COMMISSIONER OF NEW ZEALAND, "European Union endorses New Zealand Privacy Act", Media Release, December 20, 2012.
• GROUPE DE TRAVAIL "ARTICLE 29" SUR LA PROTECTION DES DONNÉES, Avis 11/2011 relatif au niveau de protection des données à caractère personnel assuré en Nouvelle-Zélande, WP182, 4 avril 2011.  

AFAPDP: pour un instrument mondial de protection des données personnelles

Publié le 20-12-2012, modifié le 21-12-2012

Du 21 au 23 novembre décembre dernier, la Commission de contrôle des informations nominatives (CCIN) de Monaco a accueilli la 6° conférence annuelle et de la 6° assemblée générale de l'Association francophone des autorités de protection des données personnelles (AFAPDP) dont la présidence est assurée par la Commission d'accès à l'information (CAI) du Québec et dont le secrétariat est basé à la Commission nationale de l'informatique et des libertés (CNIL) en France.

Lors de l'assemblée générale, les membres de l'AFAPDP ont adopté la Déclaration de Monaco par laquelle ils soutiennent "l'adoption d'un instrument mondial de protection des données personnelles inspiré des standards internationaux adoptés à Madrid en 2009".

Pour plus de détails,

• ASSOCIATION FRANCOPHONE DES AUTORITÉS DE PROTECTION DES DONNÉES PERSONNELLES, 
• Déclaration de Monaco, 23 novembre 2012. 
• "Les autorités de protection des données francophones appellent à l’adoption d’un instrument juridique mondial".
• INTERNATIONAL CONFERENCE OF DATA PROTECTION AND PRIVACY COMMISSIONERS, International Standards on the Protection of Personal Data and Privacy (The Madrid Resolution), November 5, 2009. 

FTC (et autres): applications mobiles et jeunes

Il y a quelques mois la Federal Trade Commission (FTC) a publié une étude dans laquelle elle invitait les développeurs d'applications mobiles à revoir la présentation et le contenu de l'information transmise aux jeunes, mais aussi à leurs parents afin que celle-ci soit plus accessible (billet). Le 10 décembre dernier, la FTC rendait publique les conclusions de sa nouvelle étude sur cette même problématique. 

Dans cette nouvelle étude intitulée Mobile Apps for Kids: Disclosures Still Not Making the Grade, la FTC constate que "parents still are not given basic information about the privacy practices and interactive features of mobile apps aimed at kids ... many of the apps shared certain information - such as device ID, geolocation, or phone number - with third parties without disclosing that fact to parents" ... a number of apps contained intercative features - such as advertising, the ability to make in-app purchase, and links to social media - without disclosing these features to parents prior to download". (Source: FTC Staff Report, p. 4)

La FTC en arrive alors à la conclusion que: 

"Since FTC staff conducted its first kids’ app survey, many stakeholders have called for industry to increase transparency in the mobile marketplace, and many initiatives have been launched in pursuit of that goal. Despite these efforts, staff found little or no improvement in the disclosures made and, worse, a significant discrepancy between the privacy disclosures and the actual practices of the surveyed apps. Without adequate and accurate information about apps they download for their kids, parents cannot make informed choices about their children’s privacy and exposure to social networks and other interactive features.

FTC staff has initiated a number of investigations to address the gaps between company practices and disclosures. These discrepancies could constitute violations of COPPA or the FTC Act’s prohibition against unfair or deceptive practices. However, enforcement actions alone, while vitally important, are not enough to ensure that the privacy of consumers and their children are protected adequately. Staff calls on everyone involved in the mobile app marketplace – app stores, app developers, and third-parties that interact with the apps – to follow the three key principles laid out in the FTC’s Privacy Report: (1) adopting a “privacy- by-design” approach to minimize risks to personal information; (2) providing consumers with simpler and more streamlined choices about relevant data practices; and (3) providing consumers with greater transparency about how data is collected, used, and shared. Of greatest relevance to the findings in this report, industry participants must work together to develop accurate disclosures regarding what data is collected through kids’ apps, how it will be used, who it will be shared with, and whether the apps contain interactive features such as advertising, the ability to make in-app purchases, and links to social media." 

(Source: FTC Staff Report, p. 21)

Cette étude de la FTC fait écho à celle menée par Pew Internet & American Life Project selon laquelle "most parents of teenagers are concerned about what their teenage children do online and how their behavior could be monitored by others. Some parents are taking steps to observe, discuss, and check up on their children's digital footprints" ... et cette étude menée auprès de 802 parents et jeunes démontre que :

"- 81% of parents of online teens say they are concerned about how much information advertisers can learn about their child’s online behavior, with some 46% being “very” concerned.
- 72% of parents of online teens are concerned about how their child interacts online with people they do not know, with some 53% of parents being “very” concerned.
- 69% of parents of online teens are concerned about how their child’s online activity might affect their future academic or employment opportunities, with some 44% being “very” concerned about that. 
- 69% of parents of online teens are concerned about how their child manages his or her reputation online, with some 49% being “very” concerned about that." 

(Source: Pew Internet, p. 2)

Cette étude de la FTC fait également écho au rapport du Défenseur des droits intitulé Enfants et écrans: grandir dans le monde numérique proposant notamment de "faire reconnaître aux mineurs le droit à une protection renforcée de leur vie privée (droit à l'oubli, droit au déréférencement)" (p. 8).


Pour aller plus loin, 

• FEDERAL TRADE COMMISSION, Mobile Apps for Kids: Disclosures Still Not Making the Grade, December 2012.  
• PEW INTERNET & AMERICAN LIFE PROJECT and BERKMAN CENTER FOR INTERNET ? SOCIETY, Parents, Teens and Online Privacy, Novermber 14, 2012.  
• DÉFENSEUR DES DROITS, Enfants et écrans: grandir dans le numérique, 20 novembre 2012.

Nouvelle-Zélande: 2012, année des failles de sécurité

Marie Shroff, la commissaire à la vie privée de la Nouvelle-Zélande qualifie, dans son rapport annuel, 2012 comme étant l'année des failles de sécurité: 

"This year has been marked for us by major public sector data breaches. [...] These losses of data have highlighted the urgent need for far better security and respect by government agencies for New Zealanders' personal information [...].
"The public sector can't afford to be complacent. It's quite clear that agencies holding large amounts of personal information need to place greater value on that information asset. They need to develop strong leadership and a culture of respect for privacy, as well as day to day policies and practices to provide trustworthy stewardship of our personal information at every level of the organisation. There has been far too little focus on the fact that there are real people behind the masses of information that government agencies hold [...].
"Data breach notification isn't currently required by law, but the Law Commission recently recommended that it should be made compulsory where breaches put people at risk. That would bring New Zealand law into line with practice overseas [...]"

(Source: Privacy Commissioner, Media Release, November 28, 2012)

Pour plus de détails: 

• PRIVACY COMMISSIONER OF NEW ZEALAND, 
• "Privacy Commissioner's Annual Report 2012 - The Year of the Data Breach", Media release, November 28, 2012.
• Annual Report 2012, Wellington, The Privacy Commissioner, 2012.

FTC: atelier sur la collecte systématique de données

Dans la continuité du rapport Protecting Consumer Privacy in an Era of Rapid Change: Recommendations For Businesses and Policymakers publié en mars dernier (billet), la Federal Trade Commission organise, le 6 décembre prochain, un atelier intitulé The Big Picture: Comprehensive Online Data Collection.   

Cet atelier a pour but d'examiner les enjeux inhérents à la collecte systématique de renseignements personnels, notamment les données relatives aux activités en ligne des consommateurs par les fournisseurs de services Internet, les navigateurs, les opérateurs de téléphonie mobile et autres médias sociaux. 

Et, comme mentionné dans le programme, lors de cet atelier les thèmes suivants seront mis de l'avant:  

1. The Technological Landscape of Comprehensive Data Collection
2. Benefits ans Risks of Conprehensive Data Collection   
3. Consumer Attitudes About and Choice with Respect to Comprehensive Data Collection
4. The Future of Comprehensive Data Collection

Pour plus de détails: 

• FEDERAL TRADE COMMISSION
• "FTC Announces Agenda for Workshop Exploring Practices, Privacy Implications of Comprehensive Collection of Web Data", News Release, November 23, 2012. 
• "FTC to Host Workshop to Explore Practices and Privacy Implications of Comprehensive Collection of Internet Users’ Data", News Release, October 15, 2012.  
• Protecting Consumer Privacy in an Era of Rapid Change: Recommendations For Businesses and Policymakers, March 2012.

Californie: applications mobiles et politique de confidentialité

Billet intéressant posté sur Privacy and Information Security Law Blog faisant état de la lettre envoyée le mois dernier par la juge Kamala D. Harris de la Californie à une centaine d'opérateurs d'applications mobiles ne respectant pas les principes énoncés dans la California Online Privacy Protection Act, notamment celui relatif à l'obligation de publier une politique de confidentialité sur un site Web collectant des renseignements personnels. 

À suivre ...  

• PRIVACY AND INFORMATION SECURITY LAW BLOG, "Time Running Out for Mobile App Operators Targeted by California Attorney General", November 26, 2012.

Hong-Kong: brochures sur les applications mobiles et les téléphones intelligents

Les enjeux liés aux applications mobiles et à l'utilisation de téléphones intelligents sont mis de l'avant dans deux documents qui l'Office of Privacy Commissioner for Personal Data (OPCPD) d'Hong Kong vient de publier. 

Dans la fiche d'information Personal data privacy protection: what mobile apps developers and their clients should know, l'OPCPD insiste sur le fait qu'en plus de suivre une approche référant à la protection intégrée de la vie privée (Privacy by Design - PbD) et de procéder à une évaluations des facteurs relatifs à la vie privée (Privacy Impact Assessment), les développeurs d'applications mobiles doivent respecter les principes énoncés dans la Personal Data (Privacy) Ordinance. On peut y lire, par exemple, que: 

Personal Information Collection Statement (PICS)

"Apps Developers have to provide mobile device users with a PICS on or before collecting their personal data. They should communicate to the mobile device users under what circumstances will their personal data be collected, accessed or shared and for what purposes. This notice should be presented to mobile device users clearly before they confirm installing the mobile apps." (Source: p. 3)

Removal Commitment

"Account information (including uploaded or shared information) of a mobile device user should be completely removed upon the user’s request or upon account termination unless there is legal or regulatory reason not to do so. Apps Developers should make this account removal function easily accessible." (Source: p. 4)

Privacy Policy Statement (PPS) 

"Apps Developers should prepare a PPS to outline their policies and practices in relation to personal data. Technical terms and elusive language should be avoided in the PPS. It should be easily readable and easily understandable, and in appropriate length. Its location on the mobile apps should be prominent. Its availability also on the businesses’ normal websites is recommended." (Source: p. 5)

Contact Details for Making Data Access and Correction Requests 

"Apps Developers should make available their contact details (including name or post title, and address) in the mobile apps to facilitate mobile device users to make data access and correction requests. They should also have policies and procedures in place to ensure that a request is complied with or refused (as the case may be) within 40 days from receiving the request. Please refer to the Guidance on the Proper Handling of Data Access Request and Charging of Data Access Request Fee by Data Users published by the Commissioner." (Source: p. 6)

Dans la brochure Protect Privacy by Smart Use of Smartphones, l'OPCPD rappelle comment protéger son téléphone intelligent et sécuriser les données qui y sont stockées, comment utiliser en toute sécurité les applications mobiles et limiter la géolocalisation.  

• OFFICE FOR THE PRIVACY COMMISSIONER FOR PERSONAL DATA OF HONK KONG, "Privacy Commissioner Advises Mobile Apps Community to Take Privacy Seriously", Media Statement, November 21, 2012.
• OFFICE FOR THE PRIVACY COMMISSIONER FOR PERSONAL DATA OF HONK KONG, "Privacy Commissioner Advises Smartphone Users to Get Smarter about Privacy", Media Statement, November 21, 2012.  

Nouvelle-Zélande: Google, WiFi, vie privée (2)

En octobre dernier, Google a informé le Privacy Commissioner's Office de Nouvelle-Zélande avoir découvert de nouveaux disques contenant des données dites "de contenu" (billet) ... le 19 novembre, Marie Shroff, la commissaire à la vie privée, a reçu la confirmation que ces données ont toutes été détruites par l'entreprise.  

• PRIVACY COMMISSIONER OF NEW ZEALAND, "Google confirms NZ Street View 'payload' data destroyed", Media Statement, November 19, 2012.

Canada: décret d'exlusion visant les dépositaires de renseignements personnels sur la santé de Terre-Neuve-et-Labrador

En vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDÉ), le gouverneur en conseil peut, par décret, exclure un domaine d'activité de l'application de cette loi s'il est convaincu que la loi provinciale régissant ce domaine offre un niveau de protection essentiellement similaire à la LPRPDÉ en ce qui concerne la protection des renseignements personnels à l'intérieur de cette province (art. 26(2)b) LPRPDÉ). 

C'est en vertu de cette procédure que, le 20 octobre dernier, la Personal Health Information Act de Terre-Neuve-et-Labrador a été reconnu comme offrant un niveau de protection essentiellement similaire à la LPRPDÉ. Ainsi, 

"1. Tout dépositaire de renseignements personnels sur la santé qui est assujetti à la loi intitulée Personal Health Information Act, SNL 2008, ch. P-7.01, est exclu de l’application de la partie 1 de la Loi sur la protection des renseignements personnels et les documents électroniques à l’égard de la collecte, de l’utilisation et de la communication de renseignements personnels sur la santé qui s’effectuent à Terre-Neuve-et-Labrador." 

(Source: Décret d'exclusion TR/2012-72 visant des dépositaires 

de renseignements personnels sur la santé à Terre-Neuve-et-Labrador )

Il est à noter qu'en plus de cette loi, d'autres lois provinciales ont été déclarées comme offrant un niveau de protection essentiellement similaire depuis l'entrée en vigueur de la LPRPDÉ. Il en va ainsi de: 

• la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (décret CP 2003-1842); 
• la Personal Information Protection Act de la Colombie-Britannique (décret CP 2004-1164);
• la Personal Information Protection Act de l'Alberta (décret CP 2004-1163);
• la Loi de 2004 sur la protection des renseignements personnels sur la santé de l’Ontario (décret CP 2005-2224); 
• la Loi sur l'accès et la protection en matière de renseignements personnels sur la santé du Nouveau-Brunswick (décret CP 2011-1319).

Uruguay: résolutions et déclaration de la 34e conférence internationale

Les 23 et 24 octobre dernier s'est tenue à Punta del Este (Uruguay) la 34° conférence internationale des commissaires à la protection des données et de la vie privée (billet). 

Lors de cette conférence deux résolutions ont été adoptées: 

• une sur l'infonuagique (ou cloud computing) dans laquelle les commissaires recommandent que : 

"- Cloud computing should not lead to a lowering of privacy and data protection standards as compared with other forms of data processing;  
- Data controllers carry out the necessary privacy impact and risk assessments (if necessary, by using trusted third parties) prior to embarking on CC projects;  
- Cloud service providers ensure that they provide appropriate transparency, security, accountability and trust in CC solutions in particular regarding information on data breaches and contractual clauses that promote, where appropriate, data portability and data control by cloud users; cloud service providers, when they are acting as data controllers, make available to users, where appropriate, relevan information about potential privacy impacts and risks related to the use of their services.  
- Further efforts be put into research, third party certification, standardisation, privacy by design technologies and other related schemes in order to achieve a desired level of trust in CC; to build privacy thoroughly and effectively into cloud computing adequate measures should be embedded into the architecture of IT systems and business processes at an early stage (privacy by design);  
- Legislators assess the adequacy and interoperability of existing legal frameworks to facilitate cross-border transfer of data and consider additional necessary privacy safeguards in the era of CC, and  
- Privacy and Data Protection Authorities continue to provide information to data controllers, cloud service providers and legislators on questions relating to privacy and data protection issues."

• une autre sur le futur de la vie privée, dans laquelle " [t]he 34th International Conference of Data Protection and Privacy Commissioners has decided that its members should:

1. intensify cooperation with each other in order to respond to cross-border data protection and privacy risks in a coordinated manner, by joining multilateral cooperation and enforcement networks; 
2. share information and expertise as much as possible to ensure that the authorities’ scarce resources can be used to the maximum possible; 
3. use this window of opportunity to achieve greater interoperability between the various legal systems and privacy regimes." 

Lors de cette conférence, les commissaires ont également mis l'accent sur les enjeux liés au profilage comme l'illustre la déclaration de la conférence qui invite à prendre en considération les éléments suivants en ce domaine:  

"I. To create trust, public and private entities around the world need to ensure that they inform society to the maximum possible extent about their profiling operations. They should be more transparent about profiling, the way the profiles are assembled and the purposes for which the profiles are used. Providing better information should also ensure individuals have better control over their data. 
II. Profiling operations need to be distinguished in three phases. First of all, it should be determined what is the need for the use of profiling. Secondly, the public or private entity in question should decide which assumptions and which data should form the basis for the profile. Finally, it should be decided in what way the profile can be applied in practice. It would be advisable if the various phases are subject to separate decisions and to regulatory oversight.
III. Both profiles and the underlying algorithms require continuous validation. This means controls should take place to verify if the results from profiling make sense and can reasonably be linked to the data provided at input. It also allows to further improve the profiles and underlying algorithms, thus improving results. 
IV. Profiling operations should not take place without human intervention, especially now that the predictive power of profiling due to more effective algorithms increases. Injustice for individuals due to fully automated false positive or false negative results should be avoided. 
V. The creation and application of profiles should preferably not be in the same hand. A balance needs to be found between the information used to create the profile and its practical application. 
VI. Especially in the third phase, the practical application of the profile, provisions need to be established to allow the individual to challenge both the profile and the outcome. 
VII. Profiling requires strong and independent privacy enforcement authorities with supervisory powers over both the public and the private sector. The authorities should ensure they have all the relevant and up to date knowledge regarding technological developments like profiling. 
VIII. Governments have access to many large databases also containing data collected by private entities. Furthermore, they are able to create laws in order to define their own legal basis. Therefore, privacy enforcement authorities should be able to test and challenge government proposals, for example carrying out audits and be able to scrutinize in the pre-legislative phase."

Pour plus de détails, voir: 

• 34° INTERNATIONAL CONFERENCE OF DATA PROTECTION AND PRIVACY COMMISSIONERS, Resolution on cloud computing, Punta del Este (Uruguay), October 26, 2012. 
• 34° INTERNATIONAL CONFERENCE OF DATA PROTECTION AND PRIVACY COMMISSIONERS, Resolution on the future of privacy, Punta del Este (Uruguay), October 26, 2012.
• 34° INTERNATIONAL CONFERENCE OF DATA PROTECTION AND PRIVACY COMMISSIONERS, Uruguay Declaration on Profiling, Punta del Este (Uruguay), October 26, 2012.

La prochaine conférence aura lieu en Pologne du 23 au 27 septembre 2013.

Australie: les drones sous surveillance

Dans la continuité du billet sur l'action de la CNIL, il est à noter que dans une lettre transmise au procureur général, le commissaire à la vie privée d'Australie, Timithy Pilgrim, s'interroge sur l'encadrement entourant l'utilisation des drones et invite à une réflexion sur cette question et ce, dans les termes suivants: 

Dear Attorney-General

There is growing interest in the community and media about the use and implications of aerial drone technology, particularly drones with video recording and streaming capabilities.

While drone technology has clear benefits, such technology presents a number of risks through its potential to be privacy invasive. The risk is heightened because drone equipment is increasingly commercially available, and can be easily purchased and used by individuals in their private capacity.

Where an agency or private sector organisation covered by the Privacy Act 1998 (Cth) (Privacy Act) intends to use drone technology, it must do so in accordance with the Privacy Act. This would include giving notice to affected individuals about the collection of their personal information, only using and disclosing the personal information as permitted by the Privacy Act, and keeping it secure.

The Privacy Act does not however cover the actions of individuals in their private capacity, including any use of drones by individuals.

I understand that there are laws governing unlawful surveillance, stalking and harassment that may apply to the use of drones by individuals. It is unclear however whether those laws provide sufficient regulatory protection, including appropriate restrictions on unreasonable uses.

In particular, individuals who may be subject to surveillance via drone technology may not currently be able to seek appropriate or consistent redress across the Commonwealth. The statutory cause of action for privacy that is currently being considered by Government could be useful in this type of situation.

I suggest that it may be timely to review the current regulatory framework to ascertain whether it is sufficient to deal with any misuse of drone technology. It may also be appropriate to raise this issue with the Standing Council on Law and Justice.

Please contact me if I can be of any assistance.

Yours sincerely

Timothy Pilgrim

À suivre donc. 

• OFFICE OF THE AUSTRALIAN INFORMATIN COMMISSIONER, "Correspondence to the Attorney-General: Regulation of drone technology - September 2012", Latest News, November 5, 2012.

CNIL: les drones sous surveillance

Dans le cadre de sa mission de conseil, la Commission nationale de l'informatique et des libertés a décidé de mener une réflexion quant aux enjeux inhérents à l'utilisation, de plus en plus fréquente, de drones dans le domaine civil eu égard à la protection des renseignements personnels. 

En effet, "dès lors qu'il est équipé d'un appareil photo, d'une caméra mobile, d'un capteur sonore ou encore d'un dispositif de géolocalisation, un drone peut [...] potentiellement porter atteinte à la vie privée, capter et diffuser des données personnelles". (Source: CNIL)

À suivre donc. 

• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, "Usages des drones et protection des données personnelles", Actualité, 30 octobre 2012.  

CPVPC et CIPVP (Alberta et Colombie-Britannique): applications mobiles

Le Commissariat à la protection de la vie privée du Canada et ses homologues de la Colombie-Britannique et de l'Alberta viennent de publier un document contenant des orientations afin de développer des applis mobiles dans le respect du droit à la vie privée.

Après avoir indiqué qu'"en vertu des lois canadiennes sur la protection des renseignements personnels, toutes les entreprises doivent concilier innovation, esprit d'entreprise et protection efficace des renseignements personnels, et cela s'applique aux concepteurs d'applications mobiles, qu'ils travaillent à leur compte ou pour le compte d'une organisation" (p. 1), ce document met de l'avant les principaux facteurs à prendre en compte en cas de développement d'applications mobiles. 

Ces facteurs s'appliquent à "toutes les parties qui manipulent les renseignements personnels des utilisateurs, notamment les concepteurs, les fournisseurs de services, les plateformes d'applications et les annonceurs, [de respecter] les lois canadiennes sur la protections des renseignements personnels" (p. 4). 

Ces facteurs se déclinent de la façon suivante: 

- être responsable de sa conduite et de son code, c'est-à-dire mettre en place de bonnes pratiques pour gérer la protection des renseignements personnels dès l'étape de la planification d'une application; désigner une personne responsable de cette protection; élaborer des règles de protection de la vie privée visant à gérer les risques en temps opportun (p. 4-5); 

- être ouvert et transparent à propos de ses pratiques, c'est-à-dire informer de l'utilisation faite des renseignements personnels. Cette information doit être claire et compréhensible. Elle doit être facilement accessible tout au long du cycle de vie des renseignements personnels. Par conséquent, il est recommandé de ne "jamais passer sous silence les mises à jour des applications qui amoindriront la protection des renseignements personnels de l'utilisateur"  (p. 5-7 et 10);

- ne recueillir et ne conserver que les renseignements nécessaires au fonctionnement de l'application. Ainsi il est précisé que "si vous ne pouvez expliquer le lien entre un renseignement recueilli par votre application et le fonctionnement de celle-ci, vous devriez probablement vous abstenir de recueillir ce renseignement" (p. 7-8); 

- obtenir un consentement éclairé malgré le défi lié au petit écran, en organisant l'information en couches (i.e. politiques de confidentialité simplifiées ou encore dites multistrates), en offrant un tableau de bord, en recourant à des graphiques, des couleurs et du son (p. 8-9 et 10). 

Pour plus de détails, 

• COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, "Des commissaires à la protection de la vie privée aident les concepteurs à créer des applications qui respectent davantage la vie privée", Communiqué, 24 octobre 2012. 
• COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, COMMISSARIAT À L'INFORMATION ET À LA PROTECTION DE LA VIE PRIVÉE DE L'ALBERTA, COMMISSARIAT À L'INFORMATION ET À LA PROTECTION DE LA VIE PRIVÉE DE LA COLOMBIE-BRITANNIQUE, Une occasion à saisir: Développer des applis mobiles dans le respect du droit à la vie privée, octobre 2012. 

Uruguay: 34e conférence internationale

Lors de la 34° Conférence internationale des commissaires à la protection des données et de la vie privée qui débute aujourd'hui (et qui se termine demain), à Punta del Este en Uruguay, plusieurs problématiques seront envisagées: gouvernement ouvert, géolocalisation, publicité comportementale en ligne, biométrie, coopération internationale entre autorités de protection, données intelligentes, consentement, modifications de la législation européenne ... et la protection des renseignements personnels en Amérique Latine. 

Le programme de la Conférence internationale est disponible à l'adresse suivante: http://privacyconference2012.org/english/home.