Le droit à l’oubli? Le commissaire à la protection de la vie privée du Canada affirme que la loi exige la désindexation des moteurs de recherche

1 février 2018

Dans l’une des interprétations les plus importantes et les plus controversées de la loi qui porte sur la protection des renseignements personnels dans le secteur privé au Canada, le commissaire fédéral à la protection de la vie privée en a surpris plusieurs en laissant entendre que la loi actuelle permet aux individus de demander aux moteurs de recherche le déréférencement de pages Web qui renferment leurs renseignements personnels.

À l’issue d’une consultation publique tenue en 2016, le Commissariat à la protection de la vie privée (le « CPVP ») a récemment publié un projet de position qui affirme que la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) accorde aux individus le droit de demander aux moteurs de recherche le « déréférencement » (c.‑à-d., la suppression) de certains résultats de recherche qui ternissent leur réputation. Les droits de déréférencement ne s’appliquent pas à l’information des sites Web sources, mais la rendent plus difficile à trouver.

L’interprétation du CPVP conférerait un droit vaguement similaire au « droit à l’oubli » prévu par le droit européen. Le CPVP a toutefois précisé que son interprétation était strictement fondée sur le droit canadien, sans égard au cadre européen.

L’analyse du CPVP

Dans son projet de position, le CPVP présente en détail la démarche interprétative ayant mené à ses conclusions, à savoir notamment que lorsque les moteurs de recherche référencent des pages Web renfermant des renseignements personnels, ils recueillent, utilisent et communiquent des renseignements personnels. Cette conclusion constitue le principal critère d’application de la LPRPDE.

Le CPVP a ensuite déterminé que l’application de la LPRPDE imposerait les obligations suivantes aux moteurs de recherche :

  • Caractère exact, à jour et complet. Étant entendu que conformément à la LPRPDE, les renseignements personnels doivent être aussi exacts, complets et à jour que l’exigent les fins auxquelles ils sont destinés, et compte tenu des intérêts de la personne en cause, le CPVP a déterminé que les moteurs de recherche doivent permettre aux individus de contester le caractère exact ou complet des renseignements personnels, et procéder au déréférencement des résultats (ou éventuellement rétrograder les résultats dans le classement ou les signaler) lorsque l'individu concerné a démontré qu’ils sont inexacts ou incomplets.
  • Fins acceptables. Étant entendu que la LPRPDE prévoie également que « l’organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu’à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances », le CPVP a jugé raisonnable que les moteurs de recherche affichent des liens menant aux renseignements personnels d’une personne dans le cadre d’une recherche lancée au moyen de son nom. Toutefois, le moteur de recherche devrait procéder au déréférencement lorsque du contenu Web est associé à des renseignements personnels (par exemple lorsqu’il contrevient à une interdiction de publication), ou lorsque l’accessibilité aux renseignements pourrait causer à l’individu concerné un préjudice qui l’emporte sur tout intérêt public.

Aux termes du cadre proposé par le CPVP, les moteurs de recherche doivent traiter les contestations au cas par cas et évaluer si le préjudice que pourrait causer à l’individu la communication des renseignements l’emporte sur tout intérêt public. Le CPVP a donné des indications concernant l’équilibre entre l’intérêt public du maintien de l’accessibilité des renseignements personnels et la protection de la vie privée, précisant qu’il est davantage d’intérêt public que les renseignements demeurent accessibles s’ils ont trait à une personnalité publique ou à une question faisant l’objet d’un débat public, et qu’il est moins d’intérêt public que les renseignements demeurent accessibles s’ils se rapportent à la vie privée d’une personne (par opposition à sa vie professionnelle) ou à un mineur, ou encore s’il s’agit de renseignements concernant le casier judiciaire d’un individu qui ne sont plus à jour.

Lorsque le déréférencement de résultats de recherche est jugé nécessaire, le CPVP a déterminé que les moteurs de recherche devraient utiliser des techniques de « géoblocage » (par exemple, en limitant tout déréférencement aux recherches lancées à partir d’une adresse IP canadienne) pour appliquer le déréférencement à tout le Canada plutôt qu’aux recherches effectuées dans le domaine canadien (« .ca ») pour un moteur de recherche.

Si le CPVP reconnaît qu’il existe des tensions entre le droit des personnes à la vie privée et la liberté d’expression protégée par la Charte canadienne des droits et libertés, il estime avoir trouvé un juste équilibre conforme à la jurisprudence et incite le Parlement à examiner et à clarifier l’application de la LPRPDE aux moteurs de recherche.

En plus de clarifier l’application de la LPRPDE aux moteurs de recherche, le CPVP a formulé plusieurs recommandations concernant le droit des jeunes à la vie privée, notamment les suivantes :

  • établir un droit quasi absolu des jeunes de faire supprimer des renseignements les concernant qu’ils ont eux‑mêmes fournis à une organisation;
  • permettre aux jeunes, lorsqu’ils atteignent l’âge de la majorité, de demander que soient supprimés les renseignements à leur sujet affichés en ligne par leurs parents ou tuteurs.

Commentaire

En plus des préoccupations évidentes concernant les tensions entre la position du CPVP et les garanties constitutionnelles de la liberté d’expression, l’application de la LPRPDE aux moteurs de recherche suggérée par le CPVP pourrait se révéler controversée, alors que certains pourraient soutenir que les moteurs de recherche (du moins en ce qui concerne leurs fonctions de recherche de base) ne « recueillent » pas réellement de renseignements personnels au sens généralement donné à ce terme dans le contexte du droit à la vie privée. Plutôt que de recueillir et de constituer des dossiers d’information sur des personnes identifiables, les moteurs de recherche permettent uniquement de trouver plus facilement du contenu Web publié par d’autres en reliant des mots clés à du contenu Web et à des sites Web. Ils ne recueillent pas de renseignements, mais établissent plutôt des liens menant à des renseignements publiés par d’autres.

Les tribunaux ne se sont pas encore directement penchés sur l’interprétation du CPVP selon laquelle les moteurs de recherche recueillent, utilisent et communiquent des renseignements; toutefois, dans d’autres contextes, ils ont examiné les liens menant à du contenu Web. Dans l’arrêt de principe Crookes c. Newton, une action en diffamation, la Cour suprême a conclu à la majorité que les hyperliens constituent essentiellement des renvois qui mènent l’utilisateur à d’autres sources et non pas des actes de diffusion. Si le même raisonnement devait être appliqué à la LPRPDE, on pourrait conclure que le référencement de contenu Web n’équivaut pas à recueillir ou à utiliser des renseignements personnels, mais équivaut plutôt à fournir des liens vers ce contenu.

En outre, admettre que la LPRPDE s’applique au référencement par les moteurs de recherche implique que les moteurs de recherche sont nécessairement assujettis à la loi en entier, et non seulement à certaines de ses dispositions ou à certains de ses principes. En fait, la pleine application de la loi poserait des problèmes importants d’exploitation et de conformité pour les moteurs de recherche. À cet égard, le CPVP a lui‑même reconnu (tout en évitant la question) qu’« il peut être impossible pour un intermédiaire comme un moteur de recherche d’obtenir le consentement pour référencer toutes les pages Web renfermant des renseignements personnels ». L’impossibilité pour les moteurs de recherche d’obtenir le consentement requis entraînerait le non‑respect généralisé et inéluctable de l’exigence qui constitue vraisemblablement le fondement de la LPRPDE, ce qui suggère que la loi n’est pas destinée à s’appliquer à cette activité.

De même, le consentement requis par la loi comprend le droit général de retirer le consentement en question, sous réserve uniquement de restrictions prévues par une loi ou un contrat. Bien au‑delà de l’approche intentionnelle et « équilibrée » suggérée par le CPVP, le fait d’accorder aux individus le droit de retirer leur consentement à l’égard des moteurs de recherche laisserait entendre que les individus auraient le droit général d’empêcher les moteurs de recherche de référencer des renseignements personnels à leur sujet, pour à peu près n’importe quelle raison.

Conclusion

Au moment de publier son projet de position, le CPVP a invité les parties intéressées à lui formuler des commentaires, précisant que les mémoires devaient être reçus d’ici le 19 avril 2018. La décision finale de l’organisme de réglementation devrait être rendue (et éventuellement révisée) par la suite, puis un plan d’action sera établi pour mettre en œuvre les nouvelles mesures.

Le CPVP n’a pas le pouvoir de rendre des ordonnances en vertu de la LPRPDE et une version finale de son projet de position n’aurait aucun effet juridique. Le projet de position du CPVP laisse toutefois entendre que la LPRPDE fera l’objet d’une interprétation plus large dorénavant, particulièrement en ce qui concerne les secteurs de l’Internet et des technologies, et suggère également que des modifications législatives pourraient éventuellement être apportées.

MISE EN GARDE : Cette publication a pour but de donner des renseignements généraux sur des questions et des nouveautés d’ordre juridique à la date indiquée. Les renseignements en cause ne sont pas des avis juridiques et ne doivent pas être traités ni invoqués comme tels. Veuillez lire notre mise en garde dans son intégralité au www.stikeman.com/avis-juridique.

Restez au fait grâce à Notre savoir