C’est d’ailleurs ce qu’on souligné en conférence au tout premier congrès de l’association des conseillers juridiques d’entreprise (ACC) Mes Éloise Gratton et Elisa Henry, avocates de Borden Ladner Gervais spécialisées en respect de la vie privée et protection des renseignements personnels ainsi que technologie de l’information.

Voici quelques enjeux cruciaux touchants principalement le Québec en ce qui concerne la protection de la vie privée.

L’obligation de notifier en cas de bris de sécurité

Le Québec possède une loi en matière de protection des données. Mais sa loi concernant l’obligation de notifier en cas de bris de sécurité procure une protection plutôt faible aux clients. La situation s’améliore peu à peu compte tenu de nouvelles mesures imposées au fédéral.

De nouvelles obligations existent lorsque vient le temps d’informer les individus touchés ou le commissariat à la protection de la vie privée du Canada (CPVP) suite à une atteinte de la sécurité.

L’organisation fautive doit déclarer au commissaire les atteintes aux mesures de sécurité touchant les renseignements personnels dont elle a la gestion, s’il est raisonnable de croire, dans les circonstances, que l’atteinte présente un risque réel de préjudice grave à l’endroit d’un individu. Ce dernier doit également être informé.

Les préjudices graves causés peuvent s’agir notamment d'humiliation, de lésions corporelles, de dommages à la relation, de pertes financières ou de vols d’identité.

Défis du modèle de consentement

À partir de janvier 2019, des lignes directrices concernant l’obtention d’un consentement valable sur le web seront instaurées par le CPVP pour les organisations.

Les demandes de consentement devront notamment mettre l’accent sur des éléments clés, tels que les renseignements personnels qui seront recueillis, les tiers auxquels ils seront communiqués, les fins auxquels ils seront recueillis et les risques de préjudices ainsi que les conséquences tenues dans le consentement donné.

Désormais, les utilisateurs devront avoir explicitement le choix d’accepter ou de refuser la collecte d’informations à laquelle ils seront exposés lors de la visite d’un site web. Ces choix doivent être explicitement expliqués et être accessibles.

Analyse de données

Parfois, l’analyse de données personnelles dans son ensemble ne requiert aucun consentement de l’utilisateur.

Au Québec, selon l’article 18.2 de la loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP), une entreprise peut communiquer des renseignements personnels dans un cadre de recherche, sans avoir obtenu le consentement de la personne concernée.

Toujours selon cet article, « la communication de renseignements peut s’effectuer si les documents ne sont pas structurés de façon à être retrouvés par référence au nom d’une personne ou à un signe ou symbole propre à celle-ci et s’il n’y a pas de moyen pour repérer ces renseignements à partir d’une telle référence. »

Actions collectives en matière de protection de la vie privée

Une des preuves que l’utilisation de données confidentielles et la manière d’obtenir un consentement des internautes sont des enjeux en hausse: le nombre d’actions collectives en la matière intentées au cours des dernières années.

Entre 2014 et 2017, environ 10 demandes d’actions collectives par années portant sur ces enjeux ont été déposées au Canada. Cette année, 14 actions collectives envers des entreprises comme Google, Yahoo!, Facebook et la Banque de Montréal ont été déposées.

Du nombre, environ 25% des actions collectives provenaient du Québec.