Renseignements juridiques associés à la LPRPDE

Communiqués

Lettre publié aujourd'hui sur Abika.com, un courtier en données en ligne dans les États-Unis

Afin de renseigner les Canadiennes et les Canadiens des graves inquiétudes des courtiers en données en ligne à l'égard de la protection de la vie privée, la commissaire à la protection de la vie privée du Canada a publié aujourd'hui la lettre suivante sur Abika.com, un courtier en données en ligne qui recueille, utilise et communique les renseignements personnels des Canadiennes et des Canadiens

Le 18 novembre 2005

Je réponds par la présente à votre lettre de plaintes contre Abika.com aux termes de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE). Dans cette lettre que le Commissariat a reçu le 24 décembre 2004, vous alléguez que Abika.com recueille, utilise et communique des renseignements personnels sur les Canadiennes et Canadiens sans leur consentement. Vous alléguez également que Abika.com rassemble et communique des renseignements personnels inexacts dans le cadre de son service « de profil psychologique ». Le 12 mars 2005, vous avez précisé que votre allégation ne portait pas uniquement sur la collecte, l’utilisation et la communication sans consentement de renseignements personnels sur les Canadiennes et les Canadiens et la communication de fausses informations, mais aussi sur la collecte, l’utilisation et la communication de renseignements personnels sur des Canadiennes et Canadiens à des fins inappropriées.

En 2004, vous avez commandé deux recherches sur vous-même à Abika.com : une recherche sur un casier judiciaire et un profil psychologique. On vous a fait payer environ 100 $ US pour ce service. À l’époque, on ne vous a demandé aucune preuve d’identité. Vous avez déclaré que le profil psychologique était complètement inexact, et nous avons constaté que la vérification des casiers judiciaires ne renvoie qu’à la province de l’Ontario.

Au cours de notre enquête, nous avons examiné le site Web de Abika.com et appris que cette entreprise offrait un certain nombre de services, y compris un service de recherches sur des personnes. Entre autres choses, l’entreprise est censée fournir :

  • Des services de vérification des antécédents, y compris des casiers judiciaires, des dossiers du tribunal, des antécédents scolaires, des rumeurs, l’adresse actuelle et les adresses antérieures sur 20 ans, des rapports de police, des droits de propriété, des états de service, des privilèges fiscaux, des jugements civils, des antécédents de conducteur d’automobile, de même que des relevés de compte de téléphone ou de cellulaire.
  • Des profils psychologiques, y compris les traits de personnalité, les préférences en tant que consommateur, de même que les préférences sentimentales.
  • La comparaison de courriels ou de messages instantanés à des adresses ou des numéros de téléphone, ou de nouvelles adresses électroniques à des anciennes.
  • Des numéros de téléphone ou de cellulaire confidentiels.
  • Des détails sur les appels d’arrivée ou sortants provenant de n’importe quel numéro de téléphone.
  • Des recherches sur les plaques d’immatriculation pouvant conduire au nom, à l’adresse, aux antécédents de conducteur d’automobile et à la situation sur le plan des assurances.

Nous sommes entrés en communication avec Abika.com à Cheyenne, au Wyoming, afin de demander à cette organisation de nous fournir les coordonnées de ses sources provenant du Canada pour nous aider à poursuivre notre enquête. Notre enquêteur vous a informé que Abika.com dans sa réponse à notre lettre nous a fait savoir que Abika.com est un moteur de recherche et non une base de données. Nous nous sommes heurtés à un obstacle, Abika.com refusant de répondre à notre demande quant aux sources provenant du Canada.

Comme vous le savez, le paragraphe 11(1) de la LPRPDE prévoit que :

Tout intéressé peut déposer auprès du commissaire une plainte contre une organisation qui contrevient à l’une des dispositions de la section 1 ou qui omet de mettre en œuvre une recommandation énoncée dans l’annexe 1.

Le paragraphe 12(1) de la LPRPDE précise que :

Le commissaire procède à l’examen de toute plainte?

Pour faire une enquête sur Abika.com, entreprise située à Cheyenne, au Wyoming, la commissaire doit avoir l’autorisation légale requise pour exercer ses pouvoirs à l’extérieur du Canada. Toutefois, les principes de base de la souveraineté et de l’adhésion déférente en vertu de la loi internationale précisent qu’un pays ne peut légiférer à l’extérieur de ses frontières. La convention générale veut que le Canada ne légifère que sur son territoire et ne réglemente des activités qu’à l’intérieur de ses frontières. Si le Parlement peut faire des lois ayant une portée à l’extérieur du pays, il le fait rarement. Dans les rares occasions où il le fait, cela concerne la sécurité nationale ou d’autres fins limitées. Lorsqu’il juge qu’une loi doit s’appliquer à l’extérieur du Canada, un tribunal prend en considération l’intention du corps législatif au moment où il a promulgué cette loi. Il existe une forte présomption selon laquelle, en l’absence de toute indication contraire explicite ou implicite, la législation canadienne ne s’appliquera qu’aux personnes, à la propriété et aux actes et activités juridiques qui sont à l’intérieur des frontières territoriales où le corps législatif exerce sa compétence.

Rien dans laLPRPDE ne laisse croire que cette loi pourrait s’appliquer à l’extérieur du Canada ni que les pouvoirs de la commissaire pourraient s’exercer hors des frontières de notre pays. Selon un arrêt de principe, lorsque les termes d’une loi peuvent être interprétés comme n’ayant aucune portée au-delà des frontières, c’est cette interprétation qui prévaut. Il apparaît évident que cette Loi ne doit pas être interprétée comme ayant une portée à l’extérieur du pays. En l’absence de toute intention du législateur implicite ou expresse, je dois conclure que la LPRPDE n’a aucune application directe à l’extérieur du Canada.

Certes, la commissaire peut demander des renseignements à toute personne qui selon elle pourrait posséder des informations pertinentes pour une enquête, mais elle ne peut exercer ses pouvoirs d’enquête officiels qu’au Canada.  Abika.com n’a pas répondu à notre demande d’obtention des noms de ses sources canadiennes. Nous n’avons donc aucun moyen d’identifier les personnes qui représenteraient une présence canadienne pour cette organisation, encore moins d’enquêter à leur sujet. Et nous n’avons pas le pouvoir de forcer une organisation américaine à nous répondre.

Vous avez mentionné simplement Abika.com, mais nous avons noté l’existence d’un Abika.ca qui avait cherché à s’informer de son enregistrement, en pensant que personne ne pourrait obtenir un enregistrement « .ca » sans avoir une présence canadienne. Or nous avons appris que le titulaire de l’enregistrement « .ca » peut être un citoyen canadien qui réside et travaille aux États-Unis. Autrement dit, même s’il existe un enregistrement « .ca », nous n’avons pas suffisamment de facteurs de rattachement pour nous assurer qu’il y a un lien réel et important entre le Canada et les activités de Abika.com aux É-U. Par conséquent, nous ne pouvons assujettir Abika.com à l’autorité du Canada et le considérer comme visé au titre de laLoi sur la protection des renseignements personnels et les documents électroniques. Quant à la légitimité de la demande d’enregistrement du site Web, nous avons transmis le dossier à l’Autorité canadienne pour les enregistrements Internet.

Le commerce électronique à l’échelle mondiale pose des problèmes à tous les gouvernements nationaux qui cherchent à préserver le droit à la vie privée et à protéger les consommateurs. Vous avez sans doute constaté dans vos rencontres en cours avec le Commissariat que nous partageons vos préoccupations concernant la collecte, l’utilisation ou la communication sans discernement et sans consentement de renseignements personnels par des organisations d’établissement de profils et des courtiers de données. Nous convenons que ces pratiques soulèvent de sérieuses questions en matière de protection des renseignements personnels. Nous avons donc demandé au gouvernement du Canada de nous aviser quant aux protocoles officiels qui pourraient exister, le cas échéant, et qui nous permettraient de mener des enquêtes sur les atteintes potentielles à la protection de la vie privée qui pourraient constituer des infractions aux lois canadiennes sur la protection des données. La situation que vous portez à notre attention est importante, mais elle ne peut être résolue par un recours au mécanisme de plainte en vertu de la LPRPDE.

Sachez que, du point de vue des politiques, cet état de choses nous déplaît tout autant qu’à vous. Nous cherchons à mettre en œuvre les initiatives suivantes concernant la circulation transfrontalière de données :

  • La commissaire a présenté un exposé récemment à Paris, au cours d’une réunion de l’OCDE portant sur les sections 20 à 22 des lignes directrices de l’OCDE, notamment sur la circulation transfrontalière de données et la collaboration mutuelle. Nous faisons la même chose avec l’APEC. De façon générale, cette question a été très peu développée, dans bon nombre de forums internationaux et ce, pendant longtemps. Nous exerçons des pressions pour que des mesures concrètes soient prises.
  • Nous cherchons à obtenir les autorisations nécessaires (traités d’entraide juridique, protocoles d’entente) afin d’aborder ce genre de dossier avec les États-Unis à l’avenir.
  • Nous travaillons à l’élaboration de fiches d’information et nous sommes en pourparlers avec le Bureau de la consommation d’Industrie Canada au sujet de la sensibilisation des consommateurs.

À propos de ces initiatives stratégiques, notre directrice de la recherche et de la politique,  Stéphanie Perrin, communiquera avec vous sous peu pour vous consulter et obtenir la participation de votre organisation.

Vous avez demandé également que nous collaborions avec le Federal Trade Commission (FTC) des États-Unis, auprès de laquelle vous avez aussi déposé une plainte. Nous avons rencontré des représentants de la FTC pour discuter d’un large éventail de questions. Comme l’indique son site Web, la FTC assume une mission de protection des consommateurs dont la protection de la vie privée représente un des éléments centraux. Même si la FTC ne s’occupe pas elle-même de résoudre les plaintes de consommateurs individuels, elle utilise ces plaintes pour identifier de nouvelles tendances, dévoiler de nouvelles escroqueries et cibler des compagnies et des personnes suspectes afin d’établir de nouvelles mesures d’application de la loi. J’aimerais attirer votre attention sur le fait que l’organisme américain Electronic Privacy Information Center (EPIC) a déposé une plainte auprès de la FTC le 7 juillet 2005 pour lui demander de faire enquête sur les courtiers en données sur Internet, affirmant que l’obtention de ces renseignements enfreignait les lois fédérales des États-Unis. (Pour plus de détails, voir la page Web : Complaint and Request for Injunction, Investigation and for Other Relief, disponible en anglais seulement.) Nous surveillerons ce dossier de près pour voir s’il peut nous aider à découvrir des entités canadiennes d’établissement de profils.

En conclusion, nous ne pouvons donner suite à votre plainte, puisque nous n’avons pas le pouvoir de forcer des organisations américaines à produire les éléments de preuve dont nous aurions besoin pour mener l’enquête. Par conséquent, j’ai le regret de vous dire que nous devons fermer ce dossier. L’organisation en a été informée. Toutefois, sachez que nous venons d’amorcer une enquête concernant une organisation semblable, dans une situation où nous avons été en mesure de repérer les sources canadiennes de données.

La commissaire adjointe à la protection de la
vie privée du Canada (LPRPDE),

(La version originale est signée par)

Heather Black