Isabelle Lafont est étudiante dans le cadre du cours DRT6903.

Dans un avis public affiché ce vendredi par la CNIL, nous apprenons que PagesJaunes aurait collecté et affiché sur ses pages blanches des renseignements personnels à l’insu des abonnés de son service. En effet, PagesJaunes avait lancé, en mars 2010, un nouveau service en ligne permettant d’afficher sur ses pages blanches, en plus de l’adresse et du numéro de téléphone, le profil de ses abonnés sur les réseaux sociaux, incluant photographies, noms de l’établissement scolaire et de l’employeur et localisation géographique. Les abonnés pouvaient s’opposer à l’affichage seulement a posteriori, en remplissant, pour chaque lien qu’ils voulaient voir retirer, un formulaire en ligne (apparemment non sécurisé !) auquel ils devaient joindre une copie d’une pièce d’identité. Plusieurs abonnés se sont plaints à la CNIL de ne pas avoir été préalablement informés des modalités de ce nouveau service, d’autant plus que parmi les profils agrégés, certains concernaient même des mineurs ou des personnes inscrites sur la liste rouge.

Lorsque la CNIL a informé l’entreprise de son intention de prononcer une sanction, PagesJaunes a interrompu son service. C’était en mars 2011. Voilà que le verdict de la CNIL est tombé : « carton rouge pour les PagesJaunes ». La CNIL a considéré que PagesJaunes n’a pas respecté le droit des personnes concernées (information, opposition, rectification).

Sans s’attarder sur les conséquences de cette décision pour l’entreprise, il convient d’examiner l’une des conclusions de la CNIL concernant la « collecte déloyale des données » et l’ « absence d’information des personnes quant à l’indexation ».

En effet, la décision de la CNIL indique que l’argument classique de la collecte légale sans consentement, au motif que les renseignements sont déjà publics et disponibles sur le web, ne tient pas. Par ailleurs, le couplage de renseignements publics requiert le consentement des personnes concernées. En effet, la CNIL mentionne, dans sa décision, que :

« […] la circonstance que des profils personnels sont affichés publiquement sur Internet ne permet pas pour autant à un organisme tiers de procéder à une collecte massive, répétitive et indifférenciée de ces données sans en avertir les personnes concernées. Si les personnes concernées se sont inscrites sur des réseaux sociaux de leur plein gré, il ne résulte pas de cette démarche volontaire que l’ensemble de ces personnes aient également accepté, systématiquement et en toute conscience, que leurs informations communautaires soient récupérées par des tiers pour être agrégées à leurs données d’annuaires et diffusées sur le réseau. »

Le caractère volontairement public des renseignements ne dispenserait donc pas l’entreprise d’informer et d’obtenir le consentement de la personne concernée.

Au niveau Canadien, le CPVC s’était penché, en 2009, sur un cas similaire impliquant une organisation qui fournissait des listes de renseignements sur des consommateurs à des entreprises à des fins de marketing direct. L’organisation couplait les nom, adresse et numéro de téléphone de consommateurs (disponibles dans les pages blanches) avec les données démographiques du recensement de Statistiques Canada, sans obtenir au préalable le consentement des consommateurs. Le CPVC avait donc conclu que les listes combinées constituaient des renseignements sur des quartiers, et non sur des personnes identifiables. L’obtention du consentement n’était pas nécessaire.

L’élément clé concernant l’obtention du consentement consisterait donc à déterminer si la collecte et le couplage de renseignements publics concernant une personne donnée a pour effet d’en faire des renseignements personnels au sens de LPRPDE, i.e. permettant de l’identifier. La combinaison de renseignements publics concernant une personne n’en fait pas nécessairement des renseignements personnels au sens de la loi. Encore faut-il que le renseignement ou la combinaison de renseignements publics permette d’identifier la personne concernée. Dans l’affirmative, se pose alors une question plus fondamentale : comment situer la notion de protection des renseignements personnels dans l’ensemble qui l’englobe, soit la protection de la vie privée ?

Tel que le soulignait Patricia Kosseim, avocate générale au CPVC, lors d’une allocution prononcée le 25 janvier 2011, ce type d’affaire «  soulève des questions légitimes sur la mesure dans laquelle des données peuvent atteindre un « point de non retour » ». En attendant, il est peu probable que PageJaunes.ca ne s’y essaie considérant l’avis de la CNIL. PageJaunes Groupe a toutefois mentionné, dans un communiqué, étudier tous ses recours.