Écrit par Ruth Promislow, HC Lee, Stephen Burns, Sébastien Gittens and Adam Williams

Dans Référence concernant le paragraphe 18.3(1) de la Loi sur les Cours fédérales (le renvoi), la Cour fédérale du Canada a statué que la Loi sur la protection des renseignements personnels et les documents électroniques, SC 2000, c 5 (LPRPDE) s’applique aux moteurs de recherche sur Internet lorsqu’ils indexent des pages Web et présentent des résultats de recherche en réponse à des recherches sur le nom d’une personne.

Cette question a été tranchée par la Cour à la suite d’un renvoi du Commissariat à la protection de la vie privée du Canada (CPVP) dans le cadre d’une enquête sur une plainte déposée contre Google. La plainte allègue que Google a contrevenu à la LPRPDE en affichant des liens vers des articles de presse qui contenaient des renseignements personnels et sensibles sur le plaignant. La plainte soulève, en partie, la question de savoir si la LPRPDE inclut ou non un « droit à l’oubli ».  

Dans un document de 2018 intitulé « Ébauche de la position du CPVP sur la réputation en ligne », le CPVP a affirmé que la LPRPDE prévoit deux mécanismes clés pour « améliorer le contrôle d’une personne sur sa réputation en ligne »; à savoir que les personnes peuvent : (i) contester l’exactitude, l’exhaustivité et l’actualité des résultats retournés pour les recherches sur leur nom; et (ii) exiger que les renseignements personnels qui ne sont plus nécessaires soient détruits, effacé ou rendu anonyme. Dans l’ébauche, le CPVP a fait remarquer que le libellé de la LPRPDE ne prévoit pas expressément les deux mécanismes définis par le CPVP. Toutefois, comme il est décrit ci-dessous, un tel libellé explicite pourrait être inclus dans les réformes prévues à la LPRPDE en vertu du projet de loi C-11.

Dans la plainte sous-jacente de 2017 qui a donné lieu au renvoi, le plaignant a soutenu que Google avait contrevenu à la LPRPDE en affichant des liens vers des sites Web contenant des articles de presse contenant des renseignements personnels et sensibles en réponse à des recherches de son nom. La plaignante a allégué que les renseignements étaient périmés et inexacts, et qu’ils avaient causé des préjudices, notamment des voies de fait, des occasions d’emploi perdues et une grave stigmatisation sociale. En réponse, Google n’a pas supprimé les liens, renvoyant plutôt le plaignant aux administrateurs de ces sites Web pour résolution.

Dans le renvoi, la Cour fédérale s’est penchée sur la question de savoir si « le moteur de recherche de Google recueille, utilise ou communique des renseignements personnels dans le cadre d’activités commerciales au sens de l’alinéa 4(1)a) de la LPRPDE lorsqu’il indexe des pages Web et présente des résultats de recherche en réponse à des recherches sur le nom d’une personne ».

L’alinéa 4(1)a) de la LPRPDE stipule ce qui suit :

4 (1) La présente partie s’applique à toute organisation à l’égard des renseignements personnels qui :

(a) l’organisation recueille, utilise ou divulgue dans le cadre d’activités commerciales.

La Cour fédérale a conclu ce qui suit :

• Google recueille des renseignements personnels dans le cadre de l’exploration automatisée des pages Web (c.-à-d. en utilisant un logiciel pour accéder continuellement aux pages Web et transmettre des renseignements à des fins d’indexation);
• Google utilise des renseignements personnels, en particulier : « Google a besoin d’autant d’informations que possible pour rendre son moteur de recherche aussi complet et précieux que possible pour les utilisateurs et, par conséquent, pour les annonceurs »; et
• Google divulgue des renseignements personnels en affichant et en contrôlant la commande de ses « extraits » dans ses résultats de recherche.

La Cour fédérale a également statué que les actions susmentionnées ont eu lieu dans le cadre d’activités commerciales. Bien que le moteur de recherche de Google fournisse un service « gratuit » aux fournisseurs de contenu et aux utilisateurs, la Cour fédérale a noté qu’une grande partie des revenus de l’entreprise provenait de publicité affichée à côté des résultats de recherche. Google fait la promotion de ses services publicitaires en soulignant la popularité de son moteur de recherche et sa capacité à cibler les publicités sur les utilisateurs en fonction des informations personnelles qu’il possède à leur sujet. La Cour fédérale a décrit cela comme ayant « un intérêt commercial flagrant » à connecter les utilisateurs et les annonceurs.

Par conséquent, la Cour fédérale a statué que le fonctionnement du moteur de recherche de Google relevait bel et bien de l’alinéa 4(1)a) de la LPRPDE.

La Cour fédérale s’est également penchée sur la question de savoir si le fonctionnement du moteur de recherche de Google était exclu de l’application de la LPRPDE au motif qu’il recueille, utilise ou communique des renseignements personnels à des fins journalistiques. La Cour fédérale a conclu que cette exception à l’application de la LPRPDE ne s’appliquait pas.

La teneur de la plainte sous-jacente visant à déterminer si Google a effectivement enfreint la LPRPDE dans la collecte, l’utilisation ou la communication des renseignements personnels du plaignant a été renvoyée au CPVP. En particulier, la Cour fédérale a noté qu’elle n’avait pas déterminé l’existence du « pouvoir du commissaire de recommander la désindexation ». Par conséquent, malgré la confirmation que la LPRPDE s’applique au moteur de recherche de Google, la question de savoir s’il existe un droit à l’oubli en vertu de la LPRPDE demeure indéterminée.

Voici quelques-uns des principaux points à retenir :

• Bien que l’existence du droit à l’oubli ne soit pas expressément prévue dans la LPRPDE, on s’attend à ce que les prochaines réformes de la législation canadienne sur la protection de la vie privée abordent cette question plus directement. Plus particulièrement, le projet de loi C-11, présenté pour la première fois en novembre 2020, propose d’adopter la Loi sur la protection des renseignements personnels des consommateurs (LRPC). L’ébauche actuelle de la LRPC donne aux personnes le droit de demander à une organisation de disposer de leurs renseignements personnels et exige que les organisations prennent des mesures raisonnables pour assurer l’exactitude des renseignements personnels sous son contrôle. Les commentateurs ont comparé le libellé proposé dans le projet de loi C-11 au « droit à l’oubli » contenu dans le Règlement général sur la protection des données (RGPD), la législation européenne sur la protection de la vie privée, mais ont noté que le libellé proposé n’est pas nécessairement directement aligné sur le libellé du RGPD.
• Pour s’adapter aux changements prévus dans la législation fédérale sur la protection des renseignements personnels concernant le « droit à l’oubli », les organisations devront, entre autres, entreprendre une cartographie complète des données qui sont recueillies, des fins pour lesquelles les données sont recueillies, de la période pendant laquelle ces données doivent être conservées pour atteindre ces objectifs, de la façon dont les données sont déplacées dans l’organisation et de tous les points où les renseignements personnels sont stockés (à l’interne et à l’externe). En plus de cette cartographie des données, en vertu du projet de loi C-11, les organisations devront également élaborer un ensemble de politiques et de protocoles pour régir leurs obligations en vertu de la législation sur la protection des renseignements personnels, y compris la façon dont les demandes d’élimination de renseignements seront traitées et les mesures qui seront prises pour s’assurer que les renseignements personnels sont exacts, à jour et complets.

La LPVPC est abordée plus en détail dans notre publication précédente, Compréhension de l’ébauche de la Loi sur la protection de la vie privée des consommateurs : Résumé des principaux changements proposés.

Le groupe Bennett Jones Privacy & Data Protection group continue de surveiller les mises à jour dans ce domaine, y compris en ce qui concerne les progrès de la CPPA et d’autres dans les lois canadiennes sur la protection de la vie privée et des données. Nous sommes disponibles pour aider les organisations et discuter de la façon dont ces décisions et ces changements peuvent affecter leurs obligations.