Comment s’assurer d’une éthique numérique?

Droits fondamentaux liés à la protection des données confidentielles

Icone d'une femme avec plusieurs livres devant elle

Lorsque des organisations collectent vos données confidentielles, y compris vos renseignements personnels, elles peuvent parfois le faire à des fins malveillantes, trompeuses ou injustifiées.

En tant que cybercitoyen ou cybercitoyenne responsable, vous avez le droit de poser des questions, d’exiger des explications et de refuser certaines pratiques.

Voyez ce que prévoit la loi au Québec en matière de protection des données.

Icone d'un pouce vers le haut.

Droit au consentement

Icone d'une main ouverte.

Droit à l’oubli et droit à la portabilité

Icone d'une main qui écrit avec un crayon.

Droit d’auteur et droit à l’image

Loi 25 : l’essentiel pour les entreprises et la population

Jean-Frédérick Labranche, auxiliaire de recherche
Chaire de recherche en éthique organisationnelle et gouvernance de l’intelligence artificielle

Connaissez-vous la loi 25 – la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels? Adoptée en septembre 2021, cette loi québécoise renforce la protection de vos données personnelles en vous accordant plus de droits. Que vous soyez membre du personnel ou gestionnaire, que vous œuvriez dans le domaine public ou privé, voici ce que vous devez savoir.

Gouvernance et responsabilité

La Loi 25 introduit de nouvelles obligations pour les organisations en matière de gouvernance, soit la manière d’orienter, de guider et de coordonner ses activités.

D’abord, l’organisation a le devoir de désigner une personne responsable de la protection des renseignements personnels. Cette personne doit s’assurer que l’organisation a des politiques claires sur :

  • la conservation et la destruction des renseignements personnels;
  • les rôles et responsabilités des membres du personnel en matière de protection des renseignements personnels;
  • et le traitement des plaintes relatives à la protection des renseignements personnels.

Ces politiques doivent être accessibles au public et proportionnelles à la taille et aux activités de l’organisation. On peut s’attendre à ce qu’une petite entreprise n’ait pas le même niveau de responsabilité que les grandes banques canadiennes ou les entreprises internationales, par exemple.

Évaluation des risques et consentement

De plus, pour tout projet impliquant la collecte ou l’utilisation des renseignements personnels – comme le développement d’une nouvelle application de prise de rendez-vous par exemple – une organisation a l’obligation d’en évaluer les risques. C’est ce qu’on appelle une évaluation des facteurs relatifs à la vie privée.

Non seulement les risques doivent être documentés, mais des mesures d’atténuation de ces risques doivent être définies et mises en œuvre. Sur son site Web, la Commission d’accès à l’information propose des ressources qui peuvent vous aider dans votre démarche.

Une organisation a également l’obligation d’obtenir votre consentement avant de collecter vos renseignements personnels. Ce consentement doit être clair (c’est-à-dire formulé en termes simples et compréhensibles), exprès (en remplissant un formulaire ou en demandant votre accord verbal, par exemple) et distinct (c’est-à-dire que la demande de consentement de la collecte de vos données ne peut être faite en même temps qu’un consentement aux soins, par exemple. Il s’agit de deux consentements différents). À chaque demande, son consentement.

Recours

Si vous suspectez qu’une organisation enfreint votre droit à la vie privée dans sa collecte de données personnelles, vous avez des recours. Dans un premier temps, adressez-vous au responsable de la protection des renseignements personnels de cette organisation. Si la réponse ne vous satisfait pas, vous pouvez dans un deuxième temps déposer une plainte officielle à la Commission d’accès à l’information.

Sanctions en cas de non-respect

En cas de non-conformité à la Loi 25, la Commission d’accès à l’information du Québec peut sévir. Une organisation qui refuse ou qui ne parvient pas à corriger la situation fautive est passible d’une amende pouvant atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial du dernier trimestre.

Dans les cas plus graves, en cas de récidives ou d’atteintes majeures à la vie privée, l’amende peut atteindre 25 millions de dollars ou 4 % du chiffre d’affaires mondial du dernier trimestre.

En résumé, la Loi 25, c’est un engagement envers la protection des renseignements personnels afin de créer un climat de confiance dans le cyberespace. En tant que membre du personnel ou gestionnaire, vous avez l’obligation de protéger les données personnelles que vous recueillez, détenez, utilisez, communiquez et conservez. En tant que citoyenne et citoyen, vous avez le pouvoir de faire valoir vos droits : savoir quels renseignements sont collectés, dans quel but, et, si besoin est, demander que ceux-ci soient supprimés.

1

Droit au consentement

Icone d'un pouce vers le haut.

Le droit au consentement signifie que vous avez le choix d’autoriser ou non la collecte, l’utilisation et le partage de vos données personnelles en ligne. Ce droit repose sur le principe du consentement libre, éclairé, spécifique et révocable, tel que défini par la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (communément appelée « Loi 25 »). Concrètement, aucune organisation ne peut collecter vos données sans vous en informer clairement et obtenir votre accord explicite.

Par exemple :

  • Lorsque vous naviguez sur le Web, et que l’on vous demande d’accepter ou de refuser des témoins. attention
  • Lorsqu’une application réclame l’accès à votre localisation, votre caméra ou vos contacts.
  • Lorsqu’un formulaire en ligne requiert votre adresse courriel ou votre date de naissance.

Le droit au consentement protège votre vie privée, limite les risques de profilage abusif, de discrimination ou de vol de données, et vous redonne du pouvoir dans un monde numérique souvent opaque.

attention L’emprunt intégral « cookie » est déconseillé parce qu’il n’est pas légitimé dans l’usage en français au Québec.

De plus, il concurrence les termes français déjà en usage, notamment témoin et témoin de connexion qui sont bien implantés. (Vitrine linguistique)

Saviez-vous que…

Certaines utilisations des témoins peuvent poser des risques pour votre vie privée. Par exemple, une entreprise pourrait utiliser les témoins pour collecter des données sur votre comportement de navigation et les partager, à votre insu, avec des partenaires publicitaires ou d’autres tiers. attention

De plus, lors de leur transmission sur Internet, les témoins pourraient être interceptés par des acteurs malveillants, notamment sur des sites non sécurisés.

Enfin, bien que les témoins ne soient pas des logiciels malveillants, certains logiciels espions peuvent imiter leur fonctionnement pour recueillir vos données sans votre consentement.

attention Pour désigner une personne morale, l’emploi du masculin est le plus courant (un tiers), mais l’emploi du féminin est admis (tierce). (Vitrine linguistique)

Quelques bonnes pratiques à adopter

  • Pour les témoins, évitez de cliquer sur « Tout accepter ». Privilégiez plutôt « Refuser tout » ou « Accepter seulement les témoins nécessaires ».
  • Supprimez régulièrement vos témoins via les paramètres de confidentialité de votre navigateur.
  • Vérifiez la sécurité du site : un petit cadenas dans la barre d’adresse de votre navigateur indique un site sécurisé.
  • Effacez la mémoire cache de temps à autre pour limiter la collecte passive de données.

2

Droit à l’oubli et droit à la portabilité

Icone d'une main ouverte.

Une fois publiées en ligne, les informations prennent un caractère quasi permanent. Même si vous les supprimez par la suite, il est pratiquement impossible de savoir qui les a vues, copiées ou conservées.

Des personnes malveillantes peuvent avoir pris des captures d’écran, et plusieurs sites Web se réservent le droit de conserver les données pour une durée indéterminée dans leurs politiques de confidentialité.

Face à ces pratiques, vous disposez de droits importants pour mieux contrôler la circulation de vos renseignements personnels.

Droit à l’oubli

Vous pouvez exiger qu’une organisation cesse de diffuser vos renseignements personnels ou déréférence des résultats de recherche associés à votre nom, si cette diffusion vous cause préjudice, ou si elle contrevient à la Loi ou à une ordonnance judiciaire.

Cependant, l’application concrète de ce droit demeure complexe. Certaines informations peuvent continuer d’exister sur des serveurs à l’étranger, dans des archives numériques ou dans des copies personnelles (comme des captures d’écran ou des téléchargements). Ainsi, le droit à l’oubli se heurte à d’importantes limites techniques ainsi qu’à la portée mondiale et incontrôlable du Web.

Droit à la portabilité des données

Selon le droit à la portabilité des données, vous pouvez demander à une organisation de vous transmettre vos renseignements personnels informatisés dans un format structuré et couramment utilisé, afin de pouvoir les réutiliser ou les transférer à une autre organisation.

3

Droit d’auteur et droit à l’image

Icone d'une main qui écrit avec un crayon.

Droit d’auteur

La publication d’une image ou d’une vidéo peut également enfreindre des lois sur le droit d’auteur attention si l’œuvre utilisée appartient à un tiers.

Cependant, le consentement n’est pas nécessaire dans certains cas bien précis :

  • L’œuvre relève du domaine public, par exemple si la personne qui en est l’autrice est décédée depuis plus de 70 ans.
  • L’utilisation est considérée comme équitable, ce qui inclut certains usages pédagogiques, critiques ou parodiques.
    Pour qu’elle soit équitable, l’utilisation doit s’inscrire dans un cadre permis par la Loi (produire des photocopies pour les élèves d’une classe, critiquer l’œuvre, faire une parodie d’une chanson), avoir un impact limité sur l’auteur ou l’autrice, ou sur l’œuvre originale, porter sur une quantité raisonnable de contenu et ne pas avoir d’alternative équivalente dans le domaine public.

Droit à l’image

Sachez également que publier ou modifier l’image ou la vidéo d’une personne sans son consentement constitue une violation de son droit à l’image. Ce droit appartient exclusivement à la personne photographiée et s’applique à la publication de tout contenu, qu’il soit en ligne ou sur papier, qu’il soit préjudiciable ou non.

attention L’emprunt à l’anglais « copyright », attesté depuis la fin du XIXe siècle, est acceptable parce qu’il s’inscrit dans la norme sociolinguistique du français au Québec.

« Copyright » est également légitimé ailleurs en francophonie et est en usage dans de nombreuses autres langues. (Vitrine linguistique)

Saviez-vous que…

L’usage d’outils de création de vidéos truquées (comme les hypertrucages) est particulièrement problématique. En plus de propager de fausses informations, les logiciels utilisés pour leur création peuvent capter des données biométriques sensibles (voix, traits du visage, etc.), sans que les personnes concernées en soient conscientes ou qu’elles aient donné leur accord.

Il s’agit d’une violation de la vie privée et du droit à l’image. Ces pratiques sont non seulement contraires à l’éthique, mais aussi susceptibles d’être illégales.

Quelques bonnes pratiques à adopter

  • Ne propagez pas de fausses informations, que ce soit sur des plateformes publiques ou dans des messages privés. Pour des conseils précis sur la diffusion responsable d’informations, consultez le Parcours 2 – Comment éviter la propagation de fausses informations en ligne?.
  • Obtenez le consentement de la personne concernée avant de publier ou de partager une image, une vidéo ou tout autre matériel contenant des données confidentielles.