Vous vous rappelez sans doute que le Commissariat a participé, il y a quelques semaines, au premier ratissage international d’Internet du Global Privacy Enforcement Network (GPEN), mené sous sa gouverne.
Nous avons cherché à reproduire l’expérience vécue par les consommateurs en naviguant sur différents sites pendant quelques minutes afin de déterminer comment les organisations s’y prennent pour faire connaître au public leurs pratiques de protection de la vie privée. Le « ratissage » visait à évaluer la transparence en ligne des organisations et non leurs pratiques de protection de la vie privée proprement dites. Il ne s’agissait ni d’une enquête ni d’une démarche destinée à recenser de façon concluante des problèmes de conformité ou des infractions à la loi.
Nous avons consulté plus de 300 sites ce jour-là et nous n’avons pas encore terminé le dépouillement des résultats obtenus, mais nous voulions vous donner un aperçu de nos résultats préliminaires.
Le bon
Nous avons trouvé plusieurs exemples positifs de transparence en matière de communication des pratiques de protection de la vie privée. Les meilleures politiques sont axées sur la clientèle; elles font état de renseignements que les gens sont vraiment susceptibles de vouloir connaître et de juger utiles. Nous vous présentons quelques exemples parmi nos préférés.
Tim Hortons indique les différents types de renseignements personnels que l’entreprise recueille et utilise pour plusieurs activités – par exemple, lorsque les gens font des achats en ligne, qu’ils participent à des concours ou qu’ils s’inscrivent pour obtenir une carte de paiement. Dans l’ensemble, nous estimons que la politique de l’entreprise est présentée de façon claire et directe - cliquez sur l'instantané d'écran pour lire l'extrait :
La politique de confidentialité de TripAdvisor se démarque également. Elle explique en détail sa fonction de personnalisation instantanée, qui utilise les renseignements fournis par Facebook pour offrir aux utilisateurs une expérience mieux adaptée à leurs besoins. En plus d’indiquer en détail les renseignements qu’elle recueille et la façon dont ils sont utilisés, l’entreprise fournit des instructions sur la façon d’activer ou de désactiver cette fonction. Jetez un coup d’œil à la saisie d’écran :
Allstate se distingue également. L’entreprise a mis en place un système anonyme et confidentiel qui permet à ses clients de signaler, par l’intermédiaire d’un tiers, toute atteinte à la vie privée. La promotion et la facilitation d’un véritable échange avec les clients concernant le respect de la vie privée est un élément clé de la transparence. C’est pourquoi il est réconfortant de constater qu’une entreprise comme Allstate se soucie de la façon dont ses clients souhaitent lui faire part de leurs préoccupations en matière de vie privée.
Des politiques de confidentialité qui s’appliquent à la fois aux pratiques en ligne et en magasin figurent également à notre palmarès. Dans son avis de confidentialité, IKEA Canada signale que ses magasins et ses stationnements sont équipés de caméras de surveillance en circuit fermé (CCTV). L’entreprise renvoie à sa politique en matière de surveillance par CCTV, que l’on peut obtenir en communiquant avec le Bureau de la confidentialité d’IKEA. Puisque cette technologie de surveillance est utilisée dans nombre de magasins et de stationnements, cet exemple ne devrait pas être aussi rare qu’il l’est.
Le mauvais
Environ 20 % des sites que nous avons examinés ne font état d’aucune personne‑ressource en matière de protection de la vie privée ou n’indiquent pas les coordonnées de cette personne de façon à ce qu’il soit facile de les trouver.
Par exemple, plusieurs sites, notamment les sites theloop.ca et tsn.ca, renvoient à la Politique de confidentialité de Bell Média, dont voici un extrait :
Et l’adresse de courriel à utiliser est?
Eh bien, nous n’avons pas réussi à la trouver.
Sur un grand nombre des sites Web que nous avons examinés, les responsables se contentent d’aligner des milliers de mots paraphrasant la LPRPDE, mais ils donnent très peu d’information présentant un véritable intérêt pour les lecteurs. Alors que les auteurs des sites cités en exemple se sont efforcés de fournir aux consommateurs des renseignements clairs et utiles, les sites médiocres ont adopté une approche à caractère plus juridique et ont mis l’accent sur la conformité à la loi.
Jetez un coup d’œil à un extrait du Code de protection des renseignements personnels de GlaxoSmithKline, où l’entreprise explique comment elle cherche à obtenir le consentement des clients pour la collecte, l’utilisation et la divulgation des renseignements personnels. Sa Politique sur la protection des renseignements personnels est très similaire au libellé de la législation canadienne, mais elle n’est guère utile au consommateur qui tient à savoir quand on pourrait solliciter son consentement. Nous avons mis en surbrillance le texte qui reprend pratiquement mot pour mot l’annexe 1 de la LPRPDE :
Hein?
Le site Web de GlaxoSmithKline contient aussi une politique sur la protection des renseignements personnels sur Internet qui, à certains égards, explique mieux que le Code de protection des renseignements personnels de quelle manière les renseignements d’un client peuvent être recueillis et utilisés. Nous avons cependant trouvé que cette politique, à l’instar d’autres politiques consultées au cours de notre ratissage, met l’accent sur l’utilisation des témoins et sur d’autres données techniques recueillies par l’entremise du site et ne renferme pas suffisamment d’information sur la façon dont l’organisation recueille et utilise d’autres types de renseignements au sujet du client.
Le pire
Environ 10 % des sites que nous avons examinés ne semblent renfermer aucune politique de confidentialité.
Dans 10 % des sites également, la politique de confidentialité est difficile à trouver, voire quasi‑ introuvable, puisqu’elle est noyée dans un long avis juridique ou dans un document de modalités.
Près de 90 % des sites examinés renferment une politique ou un avis de confidentialité sous une forme quelconque. Toutefois, dans certains cas, la transparence de la politique ou de l’avis laisse tellement à désirer que le site pourrait aussi bien être muet sur la question.
Par exemple, A&W Canada, qui recueille des renseignements personnels comme des photos, des adresses et des dates de naissance dans le cadre de diverses initiatives, a ajouté à la fin de ses Modalités une politique sur le respect de la vie privée de 144 mots qui n’est en fait qu’une vague promesse de se conformer à la loi. Même si l’entreprise fournit quelques autres détails sur ses pratiques en matière de vie privée ailleurs sur son site et que les visiteurs désireux d’en savoir plus peuvent s’adresser au responsable du respect de la vie privée à l’adresse de courriel indiquée, nous croyons que les organisations peuvent faire mieux. Les gens ne devraient pas avoir à se fendre en quatre et à fournir leurs coordonnées pour savoir comment une organisation s’en servira.
Paternity Testing Centers of Canada recueille et traite les échantillons d’ADN de ses clients. Bien qu’il s’agisse là de renseignements hautement confidentiels, l’avis de confidentialité de l’entreprise est si court qu’il tiendrait à l’intérieur d’un gazouillis : [traduction] « Paternity Testing Centers of Canada se soucie de ses clients et s’assure que tous les tests effectués sont strictement confidentiels. »
Nous tenions à vous présenter certains résultats préliminaires qui sont ressortis de notre ratissage. Lorsque nous aurons terminé le dépouillement des résultats du Commissariat et des organismes étrangers ayant participé au ratissage, nous déterminerons, en concertation avec nos partenaires étrangers dans cette initiative, les mesures de suivi qui s’imposent, s’il y a lieu.