Le rapport annuel fait état d’ordinateurs portatifs loués qui espionnaient les utilisateurs, des efforts déployés pour venir en aide à une adolescente dont la réputation a été entachée par un imposteur sur un réseau social et d’un site de rencontre qui a négligé de protéger des renseignements personnels de nature délicate sur l’état de santé.
Ottawa, le 6 juin 2013 — La commissaire à la protection de la vie privée Jennifer Stoddart a publié aujourd’hui le rapport annuel du Commissariat à la protection de la vie privée du Canada concernant la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) pour 2012, qui présente en détail des enquêtes sur des plaintes pour atteinte à la réputation en ligne de personnes et fait ressortir l’importance croissante de la responsabilité organisationnelle. C’est le dernier rapport annuel concernant la LPRPDE avant la fin du mandat de la commissaire actuelle, et il souligne la nécessité de modifier la loi pour qu’elle puisse suivre le rythme imposé par l’évolution rapide des technologies à l’ère numérique.
« Comme nos rapports des années précédentes, celui de 2012 présente certaines réalisations importantes, car nos enquêtes ont permis d’améliorer les pratiques de protection de la vie privée adoptées par les entreprises, a déclaré la commissaire Stoddart. Toutefois, ces changements sont souvent l’aboutissement de processus d’enquête et de suivi longs et coûteux. »
« On répondrait mieux aux besoins des Canadiens en adoptant une loi qui inciterait les organisations à protéger la vie privée dès le départ au lieu de ramasser les pots cassés lorsque le droit à la vie privée a été bafoué comme c’est le cas à l’heure actuelle. »
Ordinateurs portatifs espions
Le rapport annuel explique en détail les résultats d’une plainte déposée par la commissaire à l’endroit d’un franchisé canadien de l’entreprise de location avec option d’achat Aaron’s Inc. Le franchisé avait installé sur ses ordinateurs portatifs loués le logiciel espion Detective Mode, qui lui permettait de recueillir des renseignements, y compris des frappes au clavier, des captures d’écran et des photographies provenant d’une caméra Web, à l’insu de l’utilisateur.
Le franchisé souhaitait ainsi retrouver les ordinateurs portatifs perdus ou volés, mais le Commissariat a conclu que cette mesure extrême n’était pas justifiée en raison du caractère excessif et disproportionné de l’atteinte à la vie privée de ses clients. Le franchisé a convenu de supprimer les renseignements recueillis au moyen du logiciel et l’entreprise s’est engagée à ne plus jamais utiliser ce type d’outil.
Tromperie sur Facebook
Le rapport de cette année relate aussi l’histoire d’une adolescente dont la réputation a été entachée par un faux compte Facebook créé à son nom. Elle n’avait jamais eu de compte Facebook, mais un grand nombre de ses amis dans la vraie vie en avaient un. Après avoir accepté d’être « amis » avec l’imposteur, ils ont reçu une avalanche de commentaires inappropriées.
La mère de l’adolescente a déposé une plainte auprès du Commissariat et exigé que Facebook supprime le compte. Après avoir déterminé qu’il s’agissait bel et bien d’un faux compte, l’entreprise l’a rapidement supprimé. Toutefois, la réputation de l’adolescente demeurait compromise, car les utilisateurs qui étaient devenus ses « amis » sur Facebook ignoraient toujours que son compte avait été créé par un imposteur. À l’issue de négociations avec le Commissariat, Facebook a accepté de mettre en œuvre un nouveau processus pour aider les non-utilisateurs victimes d’une tromperie semblable à en informer eux-mêmes leurs « amis » Facebook de façon à restaurer leur réputation en ligne.
Renseignements non protégés concernant des personnes atteintes d’une infection transmissible sexuellement
Le rapport présente aussi en détail l’enquête du Commissariat sur les plaintes déposées par des membres du site de rencontre en ligne PositiveSingles.com, qui s’adresse aux personnes atteintes d’une infection transmissible sexuellement. Les plaignants alléguaient que les renseignements figurant dans leur profil, y compris des renseignements personnels sur leur état de santé, avaient été stockés à leur insu dans une base de données accessible par les utilisateurs d’un réseau élargi de sites affiliés.
L’enquête a révélé que PositiveSingles et sa société mère, SuccessfulMatch, avaient omis d’expliquer ouvertement et clairement aux membres potentiels qui pourrait voir leurs renseignements personnels, à qui ils seraient communiqués et de quelle façon. SuccessfulMatch a par la suite apporté des modifications à son site Web pour améliorer la transparence de ses pratiques de traitement des renseignements et pour informer dès le départ, soit au moment de l’inscription, les personnes intéressées à devenir membres que leur profil pourrait être visionné par un grand nombre de personnes à partir de différents sites.
En tout, le Commissariat a accepté 220 plaintes en 2012, ce qui représente une diminution par rapport aux 281 plaintes acceptées l’année précédente. Il a également mené 145 enquêtes sur des plaintes, ce qui représente une augmentation de 21 % par rapport à 2011, tout en réduisant de 12 % le temps nécessaire à la réalisation des enquêtes officielles.
À propos du Commissariat
Le Parlement a confié au Commissariat à la protection de la vie privée du Canada le mandat d’agir à titre d’ombudsman et de gardien du droit à la vie privée au Canada. La commissaire est chargée de l’application de deux lois fédérales relatives à la protection des renseignements personnels, soit la Loi sur la protection des renseignements personnels, qui s’applique au secteur public fédéral, et la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), qui s’applique aux organisations menant des activités commerciales dans les provinces de l’Atlantique, en Ontario, au Manitoba, en Saskatchewan et dans les territoires. Le Québec, l’Alberta et la Colombie-Britannique se sont dotés de leur propre loi sur la protection des renseignements personnels applicable au secteur privé. Toutefois, même dans ces provinces, les entreprises du secteur privé sous réglementation fédérale ainsi que les renseignements personnels obtenus dans le cadre d’opérations interprovinciales et internationales sont assujettis à la LPRPDE.
- 30 -
