Encore Facebook ! Mais vous aussi êtes légalement responsables des informations sur vos « amis »
En marge de l’enquête du Commissariat à la vie privée du Canada
Prolongement par écrit d’une chronique radio offerte le 23 juillet 2009 à l’émission Citoyen numérique sur101,5 Radio Montréal.
Notion abordée : Les informations (notamment les informations personnelles) et l’informatique jouent des rôles croissants dans la vie des individus, des groupes et des sociétés
Facebook a connu son lot de controverses à propos :
- de ses tentatives de s’approprier à perpétuité les informations personnelles mis en ligne de ses usagers;
- de la vente des ces informations à des entreprises commerciales;
- de l’utilisation de ces mêmes informations afin de faire de la publicité ciblée;
- de l’incapacité des usagers de faire effacer les informations qu’ils avaient mises en ligne, même une fois avoir fermé sa page et son compte Facebook.
Le 16 juillet 2009, le Commissariat à la vie privée du Canada publiait à son tour un rapport de conclusions de l’enquête menée à la suite d’une plainte déposée par la Clinique d’intérêt public et de politique d’Internet du Canada (CIPPIC) contre Facebook Inc. en regard de la Loi sur la protection des renseignements personnels et les documents électroniques. Le rapport lui-même est volumineux. Il fait l’équivalent de quelque 150 pages. Cela s’explique par le caractère compliqué et ramifié de Facebook qui est plus qu’un site de réseautage social, mais plutôt un véritable environnement informationnel impliquant des centaines de milliers de partenaires, commerciaux ou non. Plusieurs ont déjà résumé ou commenté les conclusions de ce rapport concernant la gestion des informations personnelles des usagers par Facebook et par ses partenaires.
Par contre, on parle beaucoup moins de qui réalise l’essentiel de la production et de la circulation d’informations personnelles sur Facebook. Et ce n’est pas Facebook. Ni les partenaires d’affaires de Facebook. Le gros du maniement d’informations personnelles est le fait des usagers de Facebook eux-mêmes.
Le Commissariat à la vie privée du Canada a délibérément choisi de ne pas traiter du maniement effectué par les usagers dans son rapport. Pourtant, les usagers des services de réseautage sociaux (c’est-à-dire probablement vous qui lisez ces lignes) sont aussi soumis à des obligations légales similaires à celles s’appliquant aux entreprises offrant des réseaux sociaux et à leurs partenaires. Il serait bon qu’on le rappelle aussi.
Rappel des conclusions du Commissariat
Le rapport du Commissariat à la protection de la vie privée recommande notamment à Facebook de faire preuve de plus de transparence. Les plus de 12 millions d’utilisateurs canadiens du site de réseautage social doivent disposer des renseignements nécessaires pour prendre des décisions éclairées concernant les usages pouvant être faits ou non de leurs informations personnelles par Facebook, d’autres usagers (« amis » ou non), les publicitaires ainsi que les fournisseurs des quelque 350,000 applications (jeux, questionnaires, gadgets, horoscopes, etc.) offertes sur Facebook.
En effet, le Commissariat conclut que Facebook ne fournit pas aux usagers des renseignements sur les usages et les communications de leurs informations personnelles de manière suffisamment claire, complète et aux moments opportuns. En outre, les usagers Facebook ne se voient pas vraiment offrir l’opportunité de contrôler ou consentir ou non à ces usages et communications. Enfin, Facebook ne contrôle pas adéquatement l’accès et les usages que les entreprises partenaires font des informations personnelles sur les usagers et leurs « amis ».
Une obligation dans un pays peut s’appliquer partout
À la lecture du rapport, on constate que cette entreprise basée aux États-Unis se soumet volontiers à la loi fédérale canadienne. Il n’y a là rien de très étonnant ici. Facebook aurait déjà plus de 12 millions d’usagers canadiens. Il doit donc tenir compte des lois applicables au service qu’il offre au Canada à travers le Web. Cela même si les Canadiens ne sont qu’une minorité parmi les plus de 200 millions d’usagers de Facebook dans le monde. Ici, l’entreprise se comporte comme plusieurs de celles qui doivent effectuer des maniements d’informations à travers plusieurs pays. Elle cherche à se soumettre simultanément à toutes les lois applicables en harmonisant ses pratiques en fonction des dispositions les plus exigeantes (pourvu que ces dernières ne se contredisent pas entre elles). En pratique, cela veut dire que les amendements que Facebook apporte à ses façons de faire pour respecter le droit fédéral canadien profiteront probablement à l’ensemble de ses usagers à travers le monde.
Si Facebook est soumis au droit fédéral canadien, il l’est aussi aux lois des autres pays. Et dans le cas de fédérations, aux lois de leurs états constituants. Au Canada, cela veut dire aussi les lois des provinces et territoires. Or, il existe une différence notable entre le droit fédéral canadien d’une part, et celui de certaines autres juridictions d’autre part. La loi fédérale canadienne s’applique exclusivement au maniement d’informations personnelles dans le cadre d’activités dites « commerciales ». Cette loi impose donc des obligations aux Facebook et autres sites sociaux, ainsi qu’à leurs partenaires « commerciaux ». Par contre, plusieurs autres législations et principes de droits communs ailleurs dans le monde, s’applique au maniement d’informations personnelles par toute « personne », y compris les individus, indépendamment du caractère commercial ou non de sa finalité. Cela veut dire que les individus usagers de Facebook et autres sites sociaux ont souvent aussi des obligations légales.
Utilisateurs commerciaux contre utilisateurs non commerciaux
Le rapport du Commissariat à la vie privée du Canada a exclu de son enquête et de ses recommandations les obligations des usagers de Facebook en matière de gestion transparente et équitable d’informations personnelles sur leurs « amis », parce que ces usagers ne sont pas, a priori, des entreprises commerciales. Ainsi, l’enquête du Commissariat a, par exemple :
- exclu de discuter la publication par des usagers Facebook d’informations et de photos sur leurs amis (puisqu’il ne s’agirait pas d’une activité commerciale); mais
- inclu une discussion de l’utilisation par Facebook de l’adresse courriel des personnes non-usagers mentionnées dans les descriptions de ces mêmes photos (puisque cela permet à Facebook de réaliser une activité commerciale de sollicitation auprès d’éventuels futurs usagers).
De même, l’enquête a pour les mêmes raisons :
- exclu la responsabilité de l’usager de permettre à un fournisseur d’une des 350,000 applications Facebook d’accéder à sa liste d’« amis»; mais
- inclu la responsabilité de Facebook de surveiller et contrôler l’accès et l’usage que ces fournisseurs d’applications font de cette même liste d’« amis».
Cette exclusion des usagers se justifie aussi par l’objet de la plainte soumise qui s’effectuait contre Facebook et ses partenaires. Cette décision demeure cependant discutable dans la mesure où bon nombre d’usagers Facebook sont en fait des entreprises commerciales ou des individus qui se servent de Facebook à des fins professionnelles ou autres, assimilables à des activités commerciales. La loi fédérale canadienne s’applique pourtant à eux.
Ainsi, le fait que le Commissariat se soit ainsi concentré sur les obligations des utilisateurs commerciaux ne veut nullement dire que les simples usagers de Facebook et autres réseaux sociaux ne sont soumis à aucune obligation légale. En outre, comme nous le verrons d’autres sources de droit peuvent imposer des obligations aux usagers individuels. On peut même aller plus loin, il n’est pas dit que les Facebook et autres réseaux sociaux n’ont pas le devoir de faciliter le respect des obligations légales de leurs usagers, individuels comme commerciaux. Et que ces mêmes obligations des usagers pourraient aussi avoir des conséquences pour leurs partenaires fournisseurs d’applications ou publicitaires.
Les obligations des usagers
Au Canada, le droit québécois présente l’intérêt de codifier ses règles de droit commun dans un texte de base, le Code civil du Québec. À l’instar des normes semblables ailleurs dans le monde, celui-ci énonce expressément que : « Toute personne a droit au respect de sa réputation et de sa vie privée » et que nul ne peut y porter atteinte sans que la personne concernée y consente. Concrètement, cela veut dire qu’un usager d’un réseau social ne pourrait pas publier des commentaires ou des photos sur la vie privée d’une autre personne, « ami » ou non, sans en l’informer, ni sans que cette autre personne n’y ait consenti. D’ailleurs, Code civil du Québec précise expressément qu’« utiliser son nom, son image, sa ressemblance ou sa voix à toute autre fin que l’information légitime du public » peut constituer une « atteinte à la vie privée d’une personne ».
Demander le consentement de la personne concernée préalablement à la publication sur le web peut être relativement facile avec lorsque celle-ci est un usager du même réseau social que vous. Cela peut cependant exiger des démarches plus exigeantes lorsque cette personne est un non-usager. Encore plus si elle est une personne qu’on connait peu.
Facebook offre aux usagers qui affichent des photos de tierces personnes de contacter ces dernières par courriel pour les en informer. Faudrait-il qu’il oblige cette prise de contact avant publication ?
En outre, ces mêmes dispositions légales affirment qu’on ne peut pas écrire ou afficher n’importe quoi pouvant affecter négativement la réputation d’un ami ou toute autre personne. Diverses décisions de tribunaux à travers le monde confirment que ce principe s’applique sur le Web comme ailleurs.
Le Code civil va plus loin. L’article 37 affirme que « Toute personne qui constitue un dossier sur une autre personne (…) ne peut, sans le consentement de l’intéressé ou l’autorisation de la loi », en communiquer des informations qu’il contient à des tiers. Ainsi, si je m’inscris à une application ou dans un réseau Facebook qui implique que des tiers auront accès à des informations sur mes « amis », je devrais demander leur consentement. Cela peu importe qu’il s’agisse d’information sur leur vie privée ou leur vie publique. Il s’agit seulement que cette information puisse être communiquée à une personne autre que moi-même et celle directement concernée. Cette règle ne s’applique cependant pas dans le cas de l’information légitime du public, c’est-à-dire à une activité de type journalistique ou de commentaire d’un fait d’actualité.
Le Code prévoit aussi que « toute personne peut, gratuitement, consulter et faire rectifier un dossier qu’une autre personne détient sur elle (…) pour informer un tiers (…) ». C’est-à-dire « faire corriger (…) des renseignements inexacts, incomplets ou équivoques; (…) faire supprimer un renseignement périmé ou non justifié (…) ou formuler par écrit des commentaires et les verser au dossier. » Ces dispositions particulières s’énoncent comme des règles typiques de bonnes pratiques de gestion des informations personnelles (mieux connue sous le terme de protection des renseignements personnels). Cependant, elles correspondent aussi à l’application des principes anciens de respect de la réputation et d’équité envers autrui qu’on retrouve dans beaucoup de systèmes légaux.
Ainsi, vous pouvez demander de faire rectifier des informations publiées dans Facebook ou autre site par tout usager soumis à une telle obligation. Et inversement, les personnes sur lesquelles vous publier des informations peuvent faire la même demande à votre endroit.
La pratique
La première difficulté est évidemment de connaître l’existence de ces informations si ces dernières ne sont pas accessibles à tous ou vous n’êtes pas vous-même usager du site de réseautage social. Ici, il n’y a guère de choix que d’établir une sorte de veille de ce qu’on publie sur vous sur le Web en utilisant des outils tel Google Alertes. Évidemment, vaut alors mieux ici ne pas avoir un nom ou des pseudonymes trop communs…
La seconde difficulté est de déterminer à quelles règles de quel endroit est soumise la personne qui a publié les informations contestées ou celle qui gère le site. D’où l’intérêt qu’un site établisse contractuellement des règles uniformes pour tous ses usagers, peu importe d’où ils sont sur la planète. Cependant, on ne peut pas affirmer qu’une simple déclaration du type « Vous ne publierez pas de contenu et vous n’entreprendrez rien sur Facebook qui pourrait enfreindre les droits d’autrui ou autrement enfreindre la loi » (comme on retrouve dans les Conditions d’utilisation) soit bien éclairante à ce sujet.
Enfin, la troisième difficulté est la résolution des désaccords. Si les commissions de protection des renseignements personnels offrent des recours accessibles et gratuits aux individus ayant des différends avec des organisations ou individus agissant professionnellement, qu’en est-il entre simples individus agissant à titre purement personnel ? Peuvent-ils s’adresser au gestionnaire du site ? Ou n’auront-ils d’autres choix que de s’adresser aux tribunaux ordinaires ?
On constate donc qu’il y a là tout un chantier à mettre en ordre.
Catégories : Chroniques radio, Observations
Mots clés: Commissariat à la protection de la vie privée du Canada, Facebook, Information personnelle, Information: source of conflicts, Privacy Commissioner of Canada
vs 