La CIPPIC est autorisée à intervenir devant la Cour suprême du Canada dans l'affaire Facebook Inc. c. Commissaire à la protection de la vie privée du Canada

La Cour suprême du Canada a accordé à la CIPPIC l'autorisation d'intervenir dans l'affaire Facebook Inc. c. Commissaire à la protection de la vie privée du Canada (Dossier de la CSC nᵒ 41538). L'appel porte sur l'interprétation et la portée des protections fédérales en matière de vie privée en vertu de la LPRPDE, et découle des conclusions du Commissariat à la protection de la vie privée du Canada (« CPVP ») concernant le traitement des renseignements personnels par Facebook.

Contexte

En 2019, une plainte a été déposée en vertu de la LPRPDE contre Facebook, Inc., à la suite de révélations selon lesquelles une application tierce appelée thisisyourdigitallife (TYDL), créée par l'universitaire Aleksandr Kogan, avait récolté des renseignements personnels non seulement auprès des utilisateurs qui avaient installé l'application, mais aussi auprès de leurs amis. Malgré la modification apportée par Facebook à son API Graph en 2014 pour limiter cet accès, Kogan a continué d'utiliser l'ancienne API. Bien que seulement quelques Canadiens aient installé l'application, Facebook estime que les données de plus de 600 000 Canadiens pourraient avoir été exposées. Les données de l'application ont ensuite été vendues à Cambridge Analytica et à une entité affiliée, qui les ont utilisées pour le ciblage de messages politiques. Au terme d'une enquête du CPVP, le commissaire à la protection de la vie privée a conclu que Facebook avait omis d'obtenir un consentement valide et valable et n'avait pas protégé adéquatement les renseignements personnels des utilisateurs. En février 2020, le commissaire a porté l'affaire devant la Cour fédérale en vertu de l'alinéa 5(1)a) de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE).

Les questions en litige

Les principales questions en litige dans l'affaire CPVP c. Facebook consistent à déterminer si Facebook a enfreint la LPRPDE en permettant à des applications tierces d'accéder aux renseignements personnels des utilisateurs et de les utiliser sans obtenir le consentement direct et valable de chaque personne concernée, y compris les amis des utilisateurs de l'application. La cour a dû évaluer si le modèle de consentement de Facebook, qui s'en remettait aux utilisateurs pour comprendre des paramètres de confidentialité complexes et aux développeurs d'applications pour se conformer aux politiques de la plateforme, satisfaisait à l'exigence de la LPRPDE selon laquelle le consentement doit être valide, éclairé et raisonnablement attendu dans les circonstances. L'affaire a également soulevé la question plus large de savoir si Facebook a mis en place des mesures de sécurité, une surveillance et un contrôle adéquats sur les applications tierces pour protéger les renseignements personnels des utilisateurs, et quel niveau de transparence et de responsabilité les plateformes numériques doivent maintenir lorsqu'elles communiquent des données personnelles à des développeurs externes.

L'intervention de la CIPPIC

La CIPPIC fera valoir que l'approche judiciaire actuelle qui « met en balance » les droits à la vie privée et les intérêts commerciaux constitue une erreur d'interprétation qui est incompatible avec le texte et l'objet de la LPRPDE. La CIPPIC soutiendra que la LPRPDE est une législation en matière de droits de la personne et doit donc être interprétée de manière large et téléologique. La CIPPIC proposera une approche d'interprétation tirée de la jurisprudence sur les droits de la personne et fondée sur la disposition d'objet de la LPRPDE, qui demandera si la pratique est nécessaire, rationnellement liée au service spécifique et menée d'une manière qu'une personne raisonnable jugerait appropriée.

Autres intervenants

La Cour suprême a également accordé l'autorisation d'intervenir à sept autres intervenants ou groupes d'intervenants : Saul Benary (le plaignant initial), l'Association canadienne des libertés civiles, le Commissariat à l'information et à la protection de la vie privée de la Colombie-Britannique, le Centre for Free Expression, la British Columbia Civil Liberties Association, Option consommateurs et la CIPPIC.

La CIPPIC est impatiente de contribuer à cet appel important, qui aura des répercussions considérables sur l'avenir de la protection de la vie privée dans l'écosystème numérique du Canada.