Vous recueillez des renseignements auprès des enfants? Voici dix conseils sur les services destinés aux enfants et aux jeunes

Décembre 2015

La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE, ou la Loi) stipule que le consentement obtenu avant de recueillir, d’utiliser et de communiquer des renseignements personnels doit être valable, et qu’il faut tenir compte des attentes de l’utilisateur pour déterminer la forme de consentement appropriée. De plus, le consentement de l’intéressé, en vertu de la LPRPDE n’est valable que s’il est raisonnable de s’attendre à ce qu’un individu visé par les activités de l’organisation comprenne la nature, les fins et les conséquences de la collecte, de l’utilisation ou de la communication des renseignements personnels auxquelles il a consenti. Bien que la Loi ne fasse aucune distinction entre les adultes, d’une part, et les jeunes, d’autre part^{Note de bas de page 1}, le Commissariat à la protection de la vie privée du Canada (le Commissariat) a toujours considéré les renseignements personnels relatifs aux jeunes et aux enfants comme étant de nature particulièrement sensible, surtout ceux des plus jeunes enfants, et que toute collecte, utilisation ou communication de tels renseignements doit se faire dans cet esprit (ou alors ne pas se faire du tout).

La présente fiche-conseil comprend de précieuses leçons tirées de trois rapports de conclusions importants émis par le Commissariat au profit d’organisations qui conçoivent ou offrent des services en ligne axés sur les jeunes. Les rapports abordent les cas suivants : i) un réseau social pour les jeunes âgés de 13 à 18 ans^{Note de bas de page 2}, ii) un « monde en ligne » interactif destiné aux enfants âgés de 6 à 13 ans^{Note de bas de page 3}, et iii) une garderie qui permet aux parents d’avoir accès en ligne à des images captées au moyen d’une caméra Web^{Note de bas de page 4}.  Bon nombre de ces leçons s’appliquent aux services en ligne destinés à des utilisateurs de tous âges^{Note de bas de page 5}; or, il importe d’en tenir compte particulièrement lorsque les utilisateurs cibles comprennent des jeunes.

Il convient de noter que ces conseils sont élaborés à partir de leçons tirées jusqu’à présent à la suite d’enquêtes du Commissariat, et ne représentent aucunement l’ensemble de la position du Commissariat sur la collecte, l’utilisation et la communication de renseignements liés aux jeunes.

1. Limitez, ou évitez complètement, la collecte de renseignements personnels. La LPRPDE stipule que les organisations ne peuvent recueillir que les renseignements personnels nécessaires aux fins déterminées par l’organisation. Les fournisseurs de services axés sur les jeunes doivent donc s’attendre à devoir expliquer la nécessité des renseignements personnels qu’ils ont recueillis. Comme il peut s’avérer fort difficile (voire impossible) d’obtenir le consentement valable de jeunes, et en particulier de très jeunes enfants, il est recommandé de concevoir des services où l’on évite de recueillir des renseignements personnels. Toutefois, s’il faut recueillir certains renseignements personnels en vue de fournir un service donné, vous devriez alors : i) déterminer le sous-ensemble d’information minimum à recueillir pour atteindre vos fins; ii) déterminer le niveau de granularité nécessaire pour atteindre vos fins (p. ex., demander le pays de résidence au lieu de la ville); iii) examiner la façon dont vous obtiendrez le consentement (se reporter plus particulièrement aux conseils 5 et 6 ci-après); et iv) documenter ces évaluations.
2. Prenez garde de ne pas procéder à des collectes « par inadvertance ». Même si vous ne recueillez pas de renseignements personnels de manière intentionnelle, faites attention aux champs dans lesquels les utilisateurs pourraient être tentés de saisir de l’information personnelle. Par exemple, tant dans ses enquêtes sur le réseau social que sur le « monde en ligne » dont il est question ci-dessus, le Commissariat a constaté qu’une portion importante d’utilisateurs semblaient avoir indiqué leur vrai nom comme nom d’utilisateur. Les champs de texte libre tels que « À propos de moi » peuvent également contenir suffisamment de renseignements pour permettre d’identifier l’utilisateur. Surveillez de quelle manière vos utilisateurs font véritablement usage de ces champs – pas seulement la manière dont vous aviez prévu qu’ils en feraient usage.
3. Utilisez un calendrier de conservation approprié des comptes inactifs. Peut-être hésitez-vous à supprimer des renseignements personnels qui peuvent s’avérer encore utiles pour vos utilisateurs. Or, conserver indéfiniment de l’information dans des comptes inactifs va à l’encontre du principe selon lequel les renseignements personnels ne devraient être conservés qu’aussi longtemps que nécessaire. Vous devez disposer d’un calendrier de conservation approprié des comptes inactifs (à supprimer après une période définie d’inactivité, par exemple) et informer vos utilisateurs de son existence. Vous devez en outre prévoir une option de « suppression réelle » des données conservées de façon à ce que les comptes des utilisateurs soient véritablement supprimés et non simplement archivés.
4. Abordez les services particuliers offerts aux jeunes. Nous avons constaté récemment que des organisations ont recours à des politiques de confidentialité unifiées décrivant les pratiques de l’organisation en matière de protection de la vie privée pour tous les services qu’elle offre. L’enquête sur le « monde en ligne » a révélé que l’organisation offrait divers services destinés tant aux plus jeunes enfants qu’aux adultes, des services dont les répercussions en matière de protection de la vie privée étaient considérablement différentes bien que relevant de la même politique de confidentialité. Nous étions d’avis que cette pratique risquait de susciter beaucoup de confusion chez les utilisateurs et leurs parents. Votre politique de confidentialité, ou autres avis, devraient toujours faire mention des services particuliers fournis – surtout lorsque le service est destiné à un public dont la protection de la vie privée est plus sensible, comme les enfants.
5. Assurez-vous que vos utilisateurs puissent vous comprendre – ou qu’ils sachent qu’ils doivent demander l’aide de leurs parents/tuteurs. La capacité des jeunes à donner un consentement valable pour la collecte et l’utilisation de leurs renseignements personnels dépend grandement de leur âge et de leur développement cognitif et affectif. Aussi, vous devez tenir compte du public à qui sont destinés vos services ainsi qu’expliquer vos pratiques – et leurs risques possibles – d’une manière que votre public pourra pleinement comprendre. Il pourrait être impossible de le faire si votre public comprend de jeunes enfants. Vous devrez alors trouver une façon de communiquer, dans un langage que l’utilisateur pourra comprendre, l’exigence qu’un parent/tuteur participe au processus^{Note de bas de page 6}.
6. Tenez compte de l’expérience d’utilisateur. En plus d’utiliser un langage approprié, vous devez déterminer de quelle façon vous présenterez votre information. Lorsque votre public cible comprend des jeunes, vous devriez envisager d’adopter des moyens plus novateurs de présenter l’information relative à la protection de la vie privée. L’enquête sur le réseau social pour jeunes a révélé que les techniques interactives et novatrices empruntées pour informer les utilisateurs des répercussions de leurs décisions sur leur vie privée, spécifiquement conçues à l’intention du groupe d’utilisateurs, sont plus efficaces dans l’obtention du consentement des utilisateurs que de simplement prévoir des liens vers les accords d’utilisation et les politiques de confidentialité. Faites participer votre équipe de l’expérience d’utilisateur et innovez – pourquoi ne pas présenter les principaux renseignements sur la protection de la vie privée de manière aussi conviviale que l’information touchant les autres volets de vos services?
7. Identifiez clairement la personne devant consentir aux modalités. La case à cocher « J’ai lu et j’accepte les conditions d’utilisation et la Politique de confidentialité » que l’on retrouve généralement sur les formulaires d’inscription pose une difficulté supplémentaire pour des jeunes utilisateurs. Votre organisation demande-t-elle à l’utilisateur d’accepter ces modalités ou le demande-t-elle à l’un de ses parents/tuteurs? N’oubliez pas que, lorsqu’il s’agit d’enfants, on ne peut pas demander à l’utilisateur d’accepter les modalités en raison de la nécessité d’obtenir un consentement valable. Sauf dans des cas exceptionnels, le consentement pour la collecte, l’utilisation et la communication de renseignements personnels d’enfants de moins de 13 ans, doit être obtenu d’un parent ou d’un tuteur^{Note de bas de page 7}. Dans ce cas, comment vous assurez-vous qu’il a bel et bien participé au processus? La réponse à ces questions doit être claire et cohérente, tant pour vos utilisateurs que pour vous.
8. Assurez-vous d’avoir les bons paramètres par défaut en fonction de l’âge de vos utilisateurs. Dans l’enquête sur le réseau social pour jeunes, nous avons eu du mal à croire qu’une personne raisonnable jugerait approprié que l’on choisisse des paramètres de confidentialité par défaut susceptibles d’inciter les utilisateurs à dévoiler des renseignements personnels, parfois très sensibles, à n’importe qui sur Internet. Même dans les réseaux axés sur la transparence, le partage des renseignements personnels ne peut fonctionner que si les utilisateurs en ont le contrôle, qu’ils possèdent tous les renseignements nécessaires et comprennent bien la nature et les risques de telles divulgations. Les conditions par défaut servent souvent de base à la façon dont vos services seront utilisés. Assurez-vous qu’elles conviennent aux attentes raisonnables de vos utilisateurs.
9. Soyez au fait de ce qui se passe sur votre site. Les organisations sont tenues de disposer de procédures de protection des renseignements personnels^{Note de bas de page 8}; or, on s’attend également – en particulier en ce qui a trait aux renseignements de nature sensible – à ce que ces procédures soient efficaces. Par exemple, l’enquête sur le « monde en ligne » a révélé que bien que les utilisateurs avaient pour directive de ne pas utiliser leur véritable nom comme nom d’utilisateur, aucun mécanisme ne permettait de vérifier qu’on se conformait à cette directive. Dans le même ordre d’idées, bien que l’organisation disposait d’une protection contractuelle avec ses publicitaires leur interdisant de suivre les utilisateurs, l’organisation ne prenait pas les mesures requises pour contrôler cette pratique. Les organisations doivent se demander si les mécanismes dont elles se dotent pour protéger les renseignements personnels des jeunes sont réellement efficaces ou qu’ils sont utilisés ou respectés.
10. Vaut mieux prévenir que contrôler. En dernier lieu, il est préférable pour les organisations, dans la mesure du possible, de mettre en place des mesures techniques (ou autres) pour prévenir l’utilisation non autorisée d’information sur les enfants plutôt que de compter uniquement sur la surveillance et l’hypothèse que les tierces parties respecteront leurs obligations contractuelles. Par exemple, une organisation fournissant des services à des jeunes pourrait souhaiter éviter de placer des fichiers témoins susceptibles d’être utilisés pour la publicité comportementale en ligne^{Note de bas de page 9}, en plus de stipuler dans ses contrats qu’elle interdit le recours à de telles mesures de suivi. Savoir que des atteintes à la vie privée ne peuvent se produire est beaucoup plus sécurisant que de croire et d’espérer qu’elles ne surviendront pas.

Pour conclure, le Commissariat a publié en 2012 un document de recherche intitulé Les technologies de surveillance appliquées aux enfants^{Note de bas de page 10}. L’objet de ce document était de résumer les études existantes sur les effets de la surveillance technique sur les enfants, et de parvenir à une meilleure compréhension des répercussions de la surveillance sur les expériences des enfants et sur leur attitude à l’égard de la notion de vie privée. Les organisations qui recueillent des renseignements personnels liés aux jeunes – particulièrement de façon continue – voudront sans doute consulter ce document afin de mieux comprendre l’importance (autre que l’observation des lois) de limiter de façon appropriée la collecte de ce type de renseignements.

Mise à jour en décembre 2015