À la une : Le Commissaire à la protection de la vie privée du Canada propose des outils pour…

Étant donné que la section « Learn » de TalkRights propose des contenus rédigés par des bénévoles de l’ACLC ainsi que des entretiens avec des experts qui s’expriment en leur propre nom, les opinions qui y sont exprimées ne reflètent pas nécessairement les politiques ou les positions de l’ACLC. Pour consulter les publications officielles, les rapports clés, les prises de position, la documentation juridique et les dernières actualités concernant le travail de l’ACLC, rendez-vous dans la section « In Focus » de notre site web.

Le 26 janvier 2018, le Commissariat à la protection de la vie privée du Canada (« CPVP ») a publié un projet de document d’orientation sur la question de la protection de la « réputation en ligne ». Dans ce projet de document, le commissaire interprète la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) comme accordant aux particuliers le droit de demander aux moteurs de recherche de « désindexer » tout lien vers des sites Web contenant des informations manifestement inexactes, incomplètes ou périmées les concernant, et leur accordant le droit conditionnel de demander au propriétaire d’un site Web commercial de modifier ou de supprimer ces informations erronées. Cet article présente un résumé détaillé des deux propositions clés formulées par le CPVP dans ce projet de document et propose quelques brèves remarques critiques.

Conflit d’intérêts : la protection de la réputation en ligne et la liberté d’expression

Le fait de permettre un accès sans restriction à des renseignements personnels inexacts, trompeurs ou périmés sur Internet peut avoir des répercussions néfastes et durables sur la vie d’une personne, surtout si ces informations erronées sont utilisées pour prendre des décisions. De nombreux employeurs, par exemple, ont recours aux moteurs de recherche sur Internet dans le cadre de leur processus de présélection des candidatures. Cela dit, le CPVP reconnaît également que l’intérêt d’une personne à protéger sa réputation en ligne doit être mis en balance avec l’intérêt opposé que représente le droit d’une autre personne à la liberté d’expression — une valeur inscrite dans la Charte.

En conséquence, de son propre aveu, le Commissariat à la protection de la vie privée du Canada (CPVP) ne cherche pas, dans son projet de document d’orientation, à proposer un nouveau droit autonome visant à protéger la réputation en ligne d’une personne. Le CPVP soutient plutôt que, correctement interprétée, la LPRPDE prévoit certaines protections pour la réputation en ligne d’une personne.

Proposition n° 1 : Désindexation

La LPRPDE est la principale loi canadienne régissant la manière dont les organisations du secteur privé peuvent recueillir, utiliser ou communiquer des renseignements personnels dans le cadre de leurs activités commerciales. Conformément à l’alinéa 4(1)a), la LPRPDE s’applique à « toute organisation en ce qui concerne les renseignements personnels que […] l’organisation recueille, utilise ou communique dans le cadre de ses activités commerciales ». Le CPVP fait valoir que les activités des moteurs de recherche relèvent du champ d’application de la LPRPDE.

Lorsqu’un utilisateur effectue une recherche sur le nom d’une personne, l’algorithme du moteur de recherche utilise toutes les informations personnelles concernant cette personne qui existent sur Internet afin de générer une liste de sites Web contenant les informations les plus pertinentes à son sujet. Selon le CPVP, cela constitue une « collecte, utilisation ou communication » de renseignements personnels au sens de la LPRPDE. Deuxièmement, l’objectif principal du moteur de recherche lorsqu’il utilise ces renseignements personnels est de générer des revenus auprès des annonceurs. En d’autres termes, les renseignements personnels sont utilisés par le moteur de recherche dans le cadre d’une activité commerciale. Par conséquent, étant donné que les moteurs de recherche « recueillent, utilisent ou communiquent » des données personnelles dans le cadre d’une activité commerciale, le CPVP fait valoir que les moteurs de recherche sont soumis aux dispositions de la LPRPDE.

Selon le CPVP, les principes existants de la LPRPDE, à savoir les principes 4.6, 4.9 et 4.10, impliquent un droit à la désindexation. La désindexation est un moyen par lequel les moteurs de recherche suppriment certains liens des résultats de recherche pour des termes spécifiques (tels que le nom d’une personne) ou abaissent le classement de certains sites Web dans les résultats de recherche. Il est important de noter que la désindexation ne supprime pas le contenu lui-même du site web source et n’empêche pas non plus d’accéder à ce contenu en naviguant directement vers le site web.

Les principes pertinents de la LPRPDE sont libellés comme suit :

• Les données à caractère personnel doivent être aussi exactes, complètes et à jour que nécessaire au regard des finalités pour lesquelles elles sont destinées.
• Lorsqu’une personne démontre de manière convaincante que des données à caractère personnel sont inexactes ou incomplètes, l’organisation doit modifier ces données comme il se doit. En fonction de la nature des données contestées, cette modification peut prendre la forme d’une correction, d’une suppression ou d’un ajout
• Le degré d’exactitude, d’exhaustivité et d’actualité des données à caractère personnel dépendra de l’utilisation qui en est faite, en tenant compte des intérêts de la personne concernée.

Rappelons que l’algorithme d’un moteur de recherche utilise les informations personnelles relatives à un individu qui sont accessibles au public sur Internet afin de fournir à l’utilisateur un résultat de recherche pertinent correspondant au nom de cette personne. Selon le CPVP, il incombe donc au moteur de recherche, en vertu du principe 4.6, de s’assurer qu’il utilise des informations exactes, complètes et à jour. De plus, lorsqu’une personne est en mesure de démontrer de manière probante que les renseignements personnels utilisés par le moteur de recherche sont inexacts, incomplets ou périmés, le principe 4.9.5 implique que cette personne a le droit d’exiger que le moteur de recherche modifie le résultat de recherche afin d’en garantir l’exactitude, l’exhaustivité et l’actualité. Selon le CPVP, le moyen le plus facilement accessible pour procéder à une telle modification consiste à désindexer le site web des résultats de recherche ou à abaisser son classement dans les résultats de recherche. Cela dit, le CPVP est conscient que toutes les informations inexactes figurant sur un site web ne justifient pas nécessairement sa désindexation. Selon le CPVP, le principe 4.61 exige que les moteurs de recherche tiennent compte de l’utilisation des renseignements personnels et des intérêts de la personne concernée. Par exemple, lorsque des renseignements personnels figurant sur un site web sont inexacts à des fins satiriques, il semble peu probable que la désindexation de ce site web des résultats de recherche soit appropriée.

Bien que la désindexation semble constituer une solution innovante pour protéger sa réputation en ligne tout en préservant la liberté d’expression des moteurs de recherche (puisque la désindexation n’empêche pas le site web d’apparaître dans d’autres résultats de recherche et ne supprime pas le contenu proprement dit du site web d’origine), l’interprétation de la LPRPDE par le CPVP en ce qui concerne les moteurs de recherche pose un problème potentiel. En particulier, il n’est pas clair si la LPRPDE visait à faire entrer les moteurs de recherche dans le champ d’application de certaines dispositions. Il est important de rappeler que les moteurs de recherche explorent un ensemble de renseignements personnels déjà accessibles au public sur Internet, puis se contentent de présenter les liens vers les sites web dans l’ordre que l’algorithme du moteur juge le plus pertinent par rapport au terme de recherche. Il n’est donc pas clair si les résultats de recherche eux-mêmes (c’est-à-dire les liens vers les sites web ou même l’ordre dans lequel ces liens sont présentés) peuvent être évalués quant à leur exactitude ou leur actualité au regard du principe 4.9.5 de la LPRPDE. Compte tenu de la difficulté d’interprétation que pose le fait de déterminer si les moteurs de recherche relèvent du champ d’application de la LPRPDE, il serait souhaitable de demander des précisions législatives à ce sujet.

Proposition n° 2 : Suppression ou modification de la source

Outre le droit à la désindexation, le CPVP fait valoir que les dispositions de la LPRPDE impliquent un droit conditionnel de demander la modification ou la suppression des renseignements inexacts, incomplets ou périmés les concernant qui figurent sur des sites Web commerciaux. Le CPVP cite deux situations dans lesquelles ce droit proposé serait applicable : (1) lorsqu’une utilisatrice d’un site web, tel qu’une plateforme de réseau social, publie des informations la concernant qu’elle souhaite par la suite modifier ou supprimer et (2) lorsqu’une personne souhaite demander au propriétaire d’un site web commercial de supprimer ou de modifier des informations inexactes, incomplètes ou périmées publiées à son sujet par un tiers sur ce site web.

Les dispositions pertinentes de la LPRPDE relatives au retrait ou à la modification sont les suivantes :

• Une personne peut retirer son consentement à tout moment, sous réserve des restrictions légales ou contractuelles et d’un préavis raisonnable. L’organisation doit informer la personne des conséquences d’un tel retrait.
• Les données à caractère personnel qui ne sont plus nécessaires à la réalisation des finalités identifiées doivent être détruites, effacées ou rendues anonymes. Les organisations doivent élaborer des lignes directrices et mettre en œuvre des procédures régissant la destruction des données à caractère personnel.
• Lorsqu’une personne démontre de manière convaincante que des données à caractère personnel sont inexactes ou incomplètes, l’organisation doit modifier ces données comme il convient. En fonction de la nature des données contestées, cette modification peut prendre la forme d’une correction, d’une suppression ou d’un ajout

Dans le premier cas, lorsque l’utilisatrice d’un site web commercial, tel qu’une plateforme de réseau social, souhaite modifier ou supprimer des informations la concernant qu’elle a publiées précédemment, le CPVP fait valoir que les principes 4.3.8 et 4.5.3, pris conjointement, impliquent que la personne concernée dispose d’un droit quasi absolu de supprimer ces informations, sauf dans la mesure où celles-ci sont soumises à des restrictions légales ou contractuelles.

L’OCP reconnaît que la deuxième situation, dans laquelle un tiers publie sur un site web commercial des informations concernant une personne qui sont inexactes, trompeuses ou obsolètes, soulève davantage de difficultés et nécessite de trouver un équilibre entre l’intérêt de chacun à protéger sa réputation en ligne et la liberté d’expression de l’auteur. Néanmoins, selon l’OCP, le principe 4.9.5 prévoit qu’il existe, au minimum, un mécanisme formel permettant à une personne de demander que ces informations soient supprimées ou modifiées sur le site web. Cela, selon l’OCP, assure un équilibre approprié avec la liberté d’expression.

Malheureusement, l’OPC ne fournit aucune indication sur la manière dont la liberté d’expression d’une personne doit être mise en balance avec l’intérêt d’une autre personne pour sa réputation en ligne, se contentant d’affirmer qu’un tel équilibre doit être établi en tenant compte de l’intérêt général. Or, cet exercice de mise en balance crée une fausse parité entre le droit à la liberté d’expression et le droit à la réputation en ligne. Alors que le premier est un droit inscrit dans la Constitution, le second n’a jusqu’à présent bénéficié que d’une reconnaissance limitée dans le contexte de la diffamation ou de la calomnie.[1] Exiger des organisations soumises à la LPRPDE qu’elles suppriment ou modifient des contenus publiés de manière légale pourrait soulever des contestations difficiles au regard de la Charte.

Compte tenu de la difficulté d’interprétation que pose l’inclusion des moteurs de recherche dans le champ d’application de la LPRPDE et des contestations potentielles fondées sur la Charte concernant le retrait ou la modification des sources, il serait souhaitable de clarifier la législation sur la question de la protection de la réputation en ligne. Il serait peut-être plus approprié de créer un droit autonome de protection de la réputation ou de demander une modification de la LPRPDE afin de rendre ce droit plus explicite. Néanmoins, malgré ces défis, le projet de document du CPVP constitue une étape importante dans la poursuite du débat sur la protection de la réputation en ligne, qui devient un sujet de plus en plus controversé à mesure que nos renseignements personnels se retrouvent en plus grand nombre sur Internet.

[1] Voir Hill c. Église de Scientologie de Toronto, [1995] 2 RCS 1130, au paragraphe 121, et Grant c. Torstar Corp., [2009] 3 RCS 640, au paragraphe 51