flux RSS
Cyberconsommation.N°19 : Le contrat fait-il état de façon précise des modalités de protection des renseignements personnels ?
On entend par « renseignements personnels, tout renseignement qui concerne une personne physique et permet de l´identifier » (« Loi sur la protection des renseignements personnels dans le secteur privé, article 2).
De plus en plus de « fichiers » mis en œuvre par des opérateurs privés présentent des risques sérieux d´atteintes à la liberté individuelle et à la protection de la vie privée.
Beaucoup de sites web recueillent des informations personnelles à votre insu. D´autres encore ne vous donneront accès à leurs sites qu´une fois certaines informations personnelles données. D´autres sites utilisent des « cookies » ou « témoins ».
Les renseignements suivants pourront être recueillis : nom, âge, grandeur, revenus, achats et habitudes de consommation, race, origine ethnique, couleur de peau, groupe sanguin, niveau d´instruction, adresse et numéro du domicile…
Problèmes connexes :
* Recevez-vous des pourriels (spam) depuis l’utilisation d’un site Internet ?
* Votre identité a-t-elle été volée ?
Au Québec
Deux lois principales visent à protéger les renseignements personnels. Il s´agit, pour le secteur public, de la Loi sur l´accès aux documents des organismes publics et sur la protection des renseignements personnels et, pour le secteur privé, de la Loi sur la protection des renseignements personnels dans le secteur privé.
Au niveau fédéral, la Loi sur les renseignements personnels et les documents électroniques (LPRPDÉ) réitère essentiellement les mêmes principes.
Les principes qui doivent régir la collecte, l´utilisation et la communication des renseignements personnels sont les suivants :
• La détermination des fins de la collecte
Si de nouvelles finalités apparaissent, il faut s’assurer d’obtenir le consentement approprié de l’intéressé avant de faire usage des renseignements personnels
• L´obtention d´un consentement préalable de la part de l´intéressé
Il arrive toutefois que cela ne soit pas obligatoire dans certains cas, pour des raisons d’ordre juridique ou médical, ou pour des raisons de sécurité
• La limitation de la collecte, de l´utilisation, de la communication et de la conservation de ces données
La société devra en faire un usage raisonnable et approprié. La conservation de ces données n´est pas éternelle. Leur communication à des tiers est interdite sauf consentement de la personne visée ou dans certaines circonstances prévues par les textes légaux. (Loi sur l´accès, art. 59, 67 ; Loi sur le secteur privé, art. 13, 18).
Exemples de circonstances permettant la communication des données sans consentement préalable :
• l’exécution du contrat entre les parties
• le respect d’une obligation légale imposée par une autorité
• la sauvegarde de l’intérêt vital
• l’exécution d’une mission d’intérêt public
• la réalisation d’un intérêt légitime poursuivi par le responsable du traitement
• L´exactitude de ces renseignements personnels
• Présence de mesures de protection adéquate selon le niveau de sensibilité des données.
• Accès facile aux politiques de gestion des renseignements personnels.
Les renseignements fournis doivent ainsi :
• identifier nommément la personne responsable,
• la description des moyens d´accéder aux renseignements personnels,
• la description du genre de renseignements possédés par la société,
• un document explicatif de la politique, des normes suivies etc…,
• la définition de la nature des renseignements personnels communiqués aux filiales par exemple.
(Loi sur l´accès, art. 65, 83 ; Loi sur le secteur privé art. 8, 27).
• Possibilité d´accéder aux renseignements qui nous concernent personnellement. La personne concernée a un droit d´accès à son dossier. Cela emporte l´obligation de permettre l´accès à ce dossier d´une manière simple et facile, mais aussi d´y apporter des corrections.
• La responsabilité de celui qui collecte de telles données
• La société devra avoir une personne en charge de cette fonction, désignée nommément. Il lui incombe de prendre toutes les mesures requises afin que les principes relatifs à la protection des renseignements personnels soient mis en œuvre
• Possibilité de porter plainte en cas de non respect de ces principes. La personne concernée doit avoir la possibilité de corriger ou effacer les informations erronées ou incomplètes la concernant. Si ces droits sont refusés, elle dispose d´un droit de recours auprès de la Commission d´accès à l´information.
Le Principe 4 du Code canadien des pratiques pour la protection des consommateurs dans le commerce électronique énonce que le commerçant doit assurer au consommateur l’accès à la politique de vie privée sur son site. Cette politique doit contenir un certain nombre d’informations. En outre, le commerçant doit, en vertu du principe 4, remplir certaines obligations quant aux renseignements ainsi collectés qui rentrent dans le cadre d’une utilisation diligente.
En France
La Loi Informatique et Libertés (1978) constitue l droit actuel. De par son application tant au secteur privé que public, de par l´instauration de la Commission Nationale de l´informatique et des Libertés (CNIL), elle permet une protection relativement efficace et notamment au regard du cyberespace.
Toutefois, la Loi n° 2004-801 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel a été adoptée le 6 août 2004. Elle modifie la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Les traitements automatisés de données qui n´ont pas été mis en œuvre régulièrement, c’est-à-dire qui n’ont pas étét déclarés à la CNIL ou dont l’instruction n’est pas terminée à la date de la publication de la loi modificative sont soumises aux nouvelles dispositions (articles 22 à 30 de la Loi n° 2004-801)
Tout d´abord la loi nouvellement adoptée élargit la portée de la loi de façon conséquente :
• La protection est accordée quel que soit le support envisagé (art 2 § 1 de la Loi modificative)
• La loi s´applique à tout « traitement automatisé d´informations nominatives » (art 5 Loi Informatique et Libertés). Cette notion est élargie de façon à ce que la portée de la loi n° 78-17 soit la plus étendue possible (art 2 § 3 de la Loi modificative). Dans le même sens, le « fichier de données à caractère personnel » fait l´objet d´une approche élargie (art 2 § 4 de la Loi modificative).
• Le terme employé pour renseignements personnels change également : « données à caractère personnel » (art 2 § 2). Cet alinéa a fait l´objet d´une modification par le Sénat afin de préciser ce que l´on entend par « identifiable ». Ainsi une large gamme d´informations se trouvent incluses, y compris les plus sensibles (art 8-I de la Loi modificative).
Ensuite les droits de la personne sont renforcés :
• Une obligation d´information des intéressés est instaurée lorsque la collecte des renseignements ne s´est pas faite directement auprès d´eux (art 32-III & 39 de la Loi modificative).
• Le droit d´opposition à l´utilisation de renseignements personnels, dans le Projet, devient discrétionnaire et sans perception de frais dans le cas où les données sont utilisées à des fins de prospection commerciale (art 40 de la Loi modificative).
Ainsi toute personne physique ou morale souhaitant collecter, enregistrer et conserver des données personnelles doit en faire la déclaration à la CNIL (art 16&19 Loi Informatique et Libertés).
La Loi n° 2004-801 entend soumettre tant le secteur public que privé au même régime. Le régime de droit commun est celui de la déclaration, la finalité du fichier et la nature des données collectées seront les deux critères déterminants.
Une autorisation préalable auprès de la CNIL ne sera requise que pour des collectes comportant des risques. La CNIL, jusqu´ici dépourvue de tout moyen contraignant outre son pouvoir d´enquête, est dotée dorénavant de pouvoirs de contrôle a posteriori effectifs (art 44 à 49 de la Loi modificative).
La nouvelle loi prévoit également le flux de données transfrontières (art 68 à 70). Le transfert de fichiers vers un État non-membre de la Communauté européenne ne sera possible, sauf exceptions, que si ce pays assure un niveau de protection adéquate de la vie privée et des libertés et droits fondamentaux des personnes. Il appartient à la Commission européenne d´apprécier le niveau de protection offert.
Pour en savoir plus allez voir le site de la CNIL
Voir les Principes à respecter lors de la collecte de renseignements personnels
Au Québec
Commission d’accès à l’information
Selon l’article 43 de la Loi sur la protection des renseignements personnels dans le secteur privé ( L.R.Q., chapitre P-39.1), le consommateur a 30 jours pour faire une demande à la commission suite à un refus du commerçant d’acquiescer à sa demande ou à une absence de réponse de la part de ce dernier.
L’appel des décisions de la Commission se fait devant la Cour du Québec.
Conseils pour le consommateur :
* Ne divulguez pas d´informations personnelles si vous n´êtes pas entièrement certain de l´identité de votre correspondant.
* Ne donnez pas de renseignements s´il n´y a aucune raison valable de vous les demander.
* Ne diffusez sur vous-mêmes que les renseignements à caractère public que vous êtes prêts à voir circuler en toutes circonstances.
* Le mot de passe est comme une clé d´une maison ou d´un coffre-fort. S´il est connu d´autres personnes, ces dernières peuvent l´utiliser et faire à votre place ce qui vous est réservé ou accéder à des informations qui vous sont exclusives ou pouvant avoir une grande importance.
* Évitez de révéler des renseignements sur un site qui n´est pas assujetti à des lois de protection des renseignements personnels. À cet égard, les sites opérés en dehors du Québec ou en dehors de l´Europe sont plus à risque.
Conseils pour le commerçant :
Il faut expliquer de façon claire et simple quel type de renseignement personnel est recueilli, dans quel but et expliquer la manière dont cette information est traitée. L’usager ne doit pas être laissé dans un état d’incertitude quant à la politique du site concernant la protection des renseignements personnels.