Le Commissariat à la protection de la vie privée du Canada annonçait il y a quelques jours les résultats de son enquête sur la réutilisation de profils d’utilisateurs de Facebook et leur rediffusion sur le site Web Profile Engine, un moteur de recherche exploité par la société de Nouvelle-Zélande Profile Technology. Conclusion du commissaire à ce sujet : le fait de copier et de rediffuser les profils Facebook d’autrui, même s’ils sont « publics », viole la loi canadienne, en portant atteinte au droit à la vie privée des Canadiens touchés.
L’affaire en question découle de plaintes reçues par le Commissariat relativement à Web Profile Engine, un site d’agrégation d’information chapardée (de façon automatisée), au hasard du Web (dont sur les profils publics Facebook) concernant les individus utilisant les réseaux sociaux.
La question se posait : les renseignements publiés (et indiqués originalement comme « publics ») sur Facebook par un usager demeurent-ils protégés ou deviennent-ils de facto d’une notoriété publique telle qu’ils cessent d’être réellement considérés comme des renseignements personnels?
Selon Profile Technology, tout ce qu’elle fait, c’est de rassembler à un seul endroit (son moteur de recherche) ce que tout internaute peut déjà découvrir lui-même en cherchant à droite et à gauche sur les réseaux sociaux. Pour elle, tous ces renseignements que les individus publient à la face du monde (notamment sur Facebook) deviennent dès lors des « renseignements réglementaires auxquels le public a accès », tel que permis par l’article 7(1)d) de la Loi sur la protection des renseignements personnels et les documents électroniques (la « LPRPDE »).
Ce qu’il faut comprendre au sujet de cet argument, c’est que l’article 7(1)d) réfère en fait à un type de renseignements défini dans le Règlement précisant les renseignements auxquels le public a accès. Ce règlement crée une catégorie de renseignements qu’on peut recueillir à l’insu de l’individu visé sans son consentement, à savoir :
- nom, adresse et numéro de téléphone figurant dans un annuaire téléphonique accessible au public […] ;
- les nom, titre, adresse et numéro de téléphone, qui figurent dans un répertoire, listage ou avis à caractère professionnel ou d’affaires qui est accessible au public […] ;
- les renseignements personnels qui figurent dans un registre, qui sont recueillis aux termes d’une autorisation législative […] ;
- les renseignements personnels qui figurent dans un dossier ou document d’un organisme judiciaire ou quasi judiciaire, qui est accessible au public […] ;
- les renseignements personnels qui figurent dans une publication, y compris les magazines, livres et journaux, sous forme imprimée ou électronique, qui est accessible au public, si l’intéressé a fourni les renseignements.
Malheureusement pour Profile Technology, notre Commissariat prend plutôt la position suivante : « L’information comprise dans les profils dont il est question n’était pas « accessible au public » au sens de la loi […] Les profils Facebook peuvent changer au fil du temps lorsque les utilisateurs mettent à jour leurs renseignements, les rendent inaccessibles au public ou à d’autres utilisateurs de Facebook ou les suppriment carrément. »
En droit, le problème avec le Web Profile Engine est donc que l’information republiée ainsi ne reflète qu’un moment dans le temps, alors que l’usager a bien pu depuis modifier les paramètres de son compte et/ou l’information elle-même. Republier ainsi des renseignements périmés et/ou inexacts se révèle inapproprié, entre autres parce que cela risque de causer de la gêne ou un préjudice aux individus visés. Conclusion : republier l’information tirée de Facebook est problématique, à tout le moins si au moment de la republier elle peut avoir été modifiée ou cachée par l’usager.
À la demande du Commissariat, Profile Technology aurait maintenant supprimé de son moteur tous les renseignements tirés des profils Facebook de Canadiens, en conservant cependant les profils tirés d’autres sources.