Le Bureau de la concurrence va faire appliquer la réglementation sur la protection de la vie privée en imposant des sanctions

Le Bureau de la concurrence va faire appliquer la réglementation sur la protection de la vie privée en imposant des sanctions

La réglementation canadienne en matière de protection de la vie privée va entrer dans une nouvelle phase. En effet, le Bureau de la concurrence (le « Bureau ») a tenu sa promesse en enquêtant sur les indications fausses ou trompeuses relatives à la protection de la vie privée des consommateurs, considérées comme des infractions à la Loi sur la concurrence (la « Loi »).

Dans pareil contexte – et compte tenu des sanctions administratives pécuniaires (SAP) élevées qui pourraient être imposées en cas de non-conformité –, on recommande à toutes les organisations implantées au Canada d’entreprendre immédiatement un examen et une mise à jour de leur politique de confidentialité et de leurs pratiques commerciales, afin de garantir que les indications relatives à la protection de la vie privée et des données des consommateurs ne sont trompeuses ou inexactes à aucun égard.

Les choses vont changer

Les premiers signes avant-coureurs du changement ont fait leur apparition l’an dernier, quand le gouvernement fédéral a annoncé sa Charte numérique. Peu de temps après, le ministre de l’Innovation, des Sciences et du Développement économique (le « Ministre ») a envoyé une lettre au Commissaire de la concurrence[1], dans laquelle il établissait un lien entre, d’une part, la promotion d’une saine concurrence dans un environnement axé sur les données et, d’autre part, le besoin d’une plus grande transparence et d’un contrôle accru par les citoyens de l’utilisation, du traitement et de la transférabilité de leurs renseignements personnels. Le Ministre a en outre fait observer ceci : « Il sera important de comprendre le rôle que le droit et la politique de la concurrence peuvent jouer pour encourager la confiance, l’innovation et la concurrence[2]. »

Lors de la 26e conférence annuelle de l’Institut canadien sur le droit de la publicité et du marketing, un représentant du Bureau a indiqué que l’organisme entendait accorder plus d’attention aux affirmations d’organisations qui influent sur la décision des consommateurs de communiquer leurs données personnelles. En particulier, Josephine Palumbo, sous-commissaire, Direction des pratiques commerciales trompeuses, a annoncé que, « […] lorsque des entreprises font des déclarations fausses ou trompeuses sur le type de données qu’elles recueillent, sur les raisons pour lesquelles elles les recueillent et sur la façon dont elles les utiliseront, les conserveront et les effaceront, nous prendrons des mesures[3]. »

De la même façon, en mars de cette année, dans le Recueil des pratiques commerciales trompeuses[4], le Bureau a indiqué son intention de s’attaquer à la collecte de données sur les consommateurs en échange de produits et de services numériques « gratuits », comme les navigateurs Web et les applications. Réprimandant les entreprises qui ont adopté une « politique de confidentialité longue et complexe », le Bureau fait observer que les consommateurs ne comprennent pas toujours précisément ce qu’il advient de leurs renseignements personnels, comment ils sont recueillis et qui les recueille et les utilise.

La semaine dernière, ces avertissements sont devenus réalité, lorsque le Bureau a annoncé avoir conclu une entente prévoyant le paiement d’une SAP de 9 millions de dollars canadiens par une entreprise qui aurait donné des indications fausses ou trompeuses à propos de l’utilisation et de la communication des renseignements personnels de certains Canadiens. Dans le cadre du règlement intervenu avec le Bureau, l’entreprise a également accepté : i) de payer 500 000 $ pour couvrir les coûts de l’enquête menée par le Bureau; ii) de ne donner au public aucune indication qui soit fausse ou trompeuse de façon importante à propos de la communication de renseignements personnels; iii) de mettre en place un programme visant à faciliter la conformité aux dispositions de la Loi relatives aux pratiques commerciales trompeuses, programme qui doit être validé et appuyé par la haute direction et qui inclut des obligations de présentation de rapports périodiques au Commissaire de la concurrence.

Le régime de concurrence

La Loi interdit de donner au public des indications fausses ou trompeuses « sur un point important ». Pour déterminer si des indications sont fausses ou trompeuses, le Bureau tient compte de l’impression générale qu’elles peuvent donner, ainsi que de leur sens littéral.

Il faut surtout mentionner que le Bureau n’a pas besoin de prouver que quelqu’un a effectivement été trompé ou induit en erreur par les indications données pour pouvoir lancer une enquête en vertu des dispositions sur les pratiques commerciales trompeuses.

S’il est établi qu’une entreprise a donné des indications fausses ou trompeuses, divers recours peuvent être ordonnés, dont des SAP pouvant atteindre 10 millions de dollars pour une première infraction et 15 millions pour les infractions subséquentes, et/ou le dédommagement des acheteurs qui ont été lésés par les fausses indications. Les indications fausses ou trompeuses faites sciemment ou inconsidérément peuvent même faire l’objet de poursuites pénales.

En appliquant la Loi aux questions qui touchent la protection de la vie privée, le Bureau considère que les entreprises devraient savoir que les consommateurs vont être influencés par leurs indications à propos du traitement des renseignements personnels. Elles doivent donc veiller à ne pas induire les consommateurs en erreur à propos de la collecte et de l’utilisation de leurs renseignements personnels. Pour le Bureau, au chapitre des « points importants » figure le fait de tromper les consommateurs pour qu’ils prennent une décision (par exemple, la divulgation de leurs renseignements personnels) qu’ils n’auraient peut-être pas prise si on ne leur avait pas transmis une information trompeuse.

Selon le Bureau, les éléments clés suivants sont les plus susceptibles de soulever des préoccupations relatives à une possible impression générale fausse ou trompeuse :

• possibilité que les données des consommateurs soient recueillies;
• nature des données qui seront recueillies;
• fréquence à laquelle elles seront recueillies;
• raison pour laquelle elles seront recueillies et utilisées;
• possibilité que les données soient vendues ou communiquées à des tierces parties;
• possibilité que les données des consommateurs soient conservées, façon dont elles seront conservées, lieu où elles seront stockées et moment où elles seront supprimées;
• niveau de contrôle qu’ont les consommateurs sur ces éléments.

Leçons à retenir pour les organisations

Le Commissariat à la protection de la vie privée du Canada réclame depuis longtemps un élargissement marqué des pouvoirs d’application que confère la Loi sur la protection des renseignements personnels et les documents électroniques (la « LPRPDE »), dont la capacité à imposer des amendes. Malheureusement, parce que tous les gouvernements accordent actuellement la priorité à la COVID-19, les changements significatifs qu’il faut apporter à la LPRPDE devront attendre. Entre-temps, le Bureau n’aura pas le choix d’agir et d’exercer ses pouvoirs considérables d’application de la loi en ce qui concerne les pratiques commerciales trompeuses d’entités qui utilisent les renseignements personnels.

Compte tenu de la possibilité d’imposition de SAP élevées et d’autres répercussions, il serait prudent que les organisations implantées au Canada :

• révisent et mettent à jour régulièrement leur politique de confidentialité et toute autre information communiquée aux consommateurs, afin de s’assurer qu’elles reflètent fidèlement les pratiques de l’organisation en matière de traitement des renseignements personnels;
• évitent de fonder leur politique de confidentialité sur des suppositions optimales ou des renseignements incomplets. Pour garantir que les indications données dans ce type de politique sont exactes, une organisation doit avant tout maîtriser parfaitement les types de renseignements personnels qu’elle recueille auprès des consommateurs et qu’elle traite, la façon dont ils sont traités, communiqués et stockés, et les mesures de sécurité qu’elle et ses sous-traitants ont mises en place pour protéger ces renseignements;
• révisent régulièrement et avec soin les indications relatives à la protection de la vie privée qui sont données dans les documents promotionnels (dépliants, contenu des sites Web et autres), afin de veiller à ce qu’elles ne soient fausses ou trompeuses à aucun égard;
• tiennent compte de l’avertissement du Bureau, selon lequel il n’est pas judicieux d’intégrer les dispositions relatives à la protection de la vie privée dans une « politique de confidentialité longue et complexe ». Les organisations devraient fournir des renseignements clairs et faciles d’accès à propos de leur politique de confidentialité, par exemple en présentant les points saillants au début de la politique et en permettant aux utilisateurs à demander plus de détails s’ils le souhaitent;
• veillent à ce que les messages relatifs aux pratiques de l’organisation en matière de protection de la vie privée et des données soient les mêmes sur toutes les plateformes, afin d’éviter toute ambiguïté ou toute confusion.

par Lyndsay Wasser et Kristen Pennington

[1] Voir : https://www.bureaudelaconcurrence.gc.ca/eic/site/cb-bc.nsf/fra/04464.html.
[2] Voir : https://www.bureaudelaconcurrence.gc.ca/eic/site/cb-bc.nsf/fra/04464.html.
[3] Voir : https://www.canada.ca/fr/bureau-concurrence/nouvelles/2020/01/une-publicite-honnete-a-lere-numerique.html.
[4] Voir : https://www.bureaudelaconcurrence.gc.ca/eic/site/cb-bc.nsf/fra/04520.html.

Mise en garde

Le contenu du présent document ne fournit qu’un aperçu du sujet et ne saurait en aucun cas être interprété comme des conseils juridiques. Le lecteur ne doit pas se fonder entièrement sur ce document pour prendre une décision, mais devrait plutôt consulter ses propres conseillers juridiques.

© TRC-Sadovod S.E.N.C.R.L., s.r.l. 2020