Auteurs(trice)
Associé, Litiges, Montréal
Associé, Litiges, Toronto
Associé, Litiges, Calgary
Associée, Litiges, Montréal
Associé, Litiges, Toronto
Associé, Litiges et Insolvabilité et restructuration, Montréal
Table des matières
- Canada (Privacy Commissioner) v. Facebook, Inc. 2024 FCA 140
- Parker v. Ontario Medical Association, 2024 FC 667
Revue de la jurisprudence sur la protection de la vie privée
Canada (Privacy Commissioner) v. Facebook, Inc. 2024 FCA 140
Lire les détails de l’affaire (disponible en anglais seulement)
Faits
En 2020, le commissaire à la protection de la vie privée du Canada (le commissaire) a intenté une action contre Facebook devant la Cour fédérale, après avoir conclu, dans le cadre d’une enquête, que Facebook n’avait pas réussi à protéger les renseignements des utilisateurs ou à obtenir de leur part un consentement valide en vue de communiquer des données à des applications tierces hébergées sur sa plateforme. L’action faisait suite à l’enquête du commissaire sur le moissonnage des données des utilisateurs de Facebook par l’application « thisisyourdigitallife ». En première instance, la Cour fédérale a rejeté la demande du commissaire, estimant que ce dernier n’avait pas démontré que Facebook avait omis d’obtenir des utilisateurs un consentement valable pour la communication de leurs données, ni que Facebook n’avait pas réussi à protéger de manière adéquate les données des utilisateurs. La Cour a également estimé qu’elle ne disposait pas de preuves subjectives concernant les attentes et la compréhension des utilisateurs de Facebook en matière de protection des renseignements personnels. La Cour a donc conclu qu’elle était en situation d’« absence de preuves » (evidentiary vacuum).
Décision
La Cour d’appel fédérale a accueilli l’appel, estimant que le tribunal de première instance avait commis une erreur dans son analyse des principes de consentement valable et de sécurité prévus par la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE). Plus précisément, elle a conclu que la Cour fédérale avait commis une erreur en fondant sa conclusion exclusivement ou en grande partie sur l’absence de preuves expertes et subjectives. En outre, la Cour d’appel fédérale a estimé que le tribunal de première instance avait omis de vérifier l’existence ou la validité du consentement donné, non seulement par les utilisateurs qui avaient téléchargé les applications tierces, mais aussi par leurs amis de façon indépendante. La Cour d’appel fédérale a estimé que les amis n’avaient pas eu la possibilité d’examiner les politiques d’utilisation des données des applications tierces, application par application, avant la communication de leurs données, et qu’ils n’avaient pas pu comprendre à quelles fins leurs données seraient utilisées par les applications. Bien que la politique d’utilisation des données de Facebook – à laquelle tous les utilisateurs ont adhéré – contienne des clauses expliquant comment et quand les applications tierces peuvent accéder à leurs données, la Cour d’appel fédérale a estimé que la formulation était trop générale pour constituer un consentement valable, car, à la lecture des clauses, un utilisateur ne pouvait pas « [traduction libre] s’informer de manière adéquate des innombrables façons dont une application pouvait utiliser ses données, et ne pouvait donc pas consentir de manière valable à de futures communications à des applications tierces inconnues téléchargées par ses amis ».
Point principal à retenir
Cette affaire comprend une analyse approfondie des principes de consentement valable et de sécurité prévus par la LPRPDE.
Parker v. Ontario Medical Association, 2024 FC 667
Lire les détails de l’affaire (disponible en anglais seulement)
Faits
Les requérants, trois médecins, ont demandé un contrôle judiciaire en vertu de l’article 14 de la LPRPDE concernant une étude commandée par l’intimée, l’Ontario Medical Association (OMA), concernant les frais généraux des médecins. Dans le cadre de cette étude, l’OMA devait communiquer à Statistique Canada le prénom, le nom, la date de naissance, le sexe, l’adresse principale et la spécialité des médecins. Les requérants étaient membres de l’Ontario Specialists Association (OSA). L’OSA a déposé une plainte auprès du Commissariat à la protection de la vie privée du Canada (CPVP), alléguant que l’étude proposée par l’OMA contreviendrait à l’article 6.1 et au principe 4.3 de la LPRPDE. Le CPVP a rejeté la plainte au motif que l’étude ne constituait pas une « activité commerciale » au sens de la LPRPDE et qu’elle n’entrait donc pas dans le champ d’application de la loi. En outre, le CPVP a estimé qu’il n’avait pas compétence pour enquêter sur la plainte. Les médecins ont saisi la Cour fédérale d’une demande de contrôle judiciaire de la décision du CPVP.
Décision
La Cour a rejeté la demande de contrôle judiciaire, estimant que l’étude proposée ne constituait pas une « activité commerciale » au sens de la LPRPDE. Par conséquent, la LPRPDE ne s’appliquait pas. La juge Fothergill a conclu que les renseignements que l’OMA souhaitait communiquer à Statistique Canada constituaient des « renseignements personnels » au sens de la LPRPDE, car ils étaient destinés à permettre l’identification des individus. Toutefois, la Cour a estimé que la communication des renseignements personnels des médecins à Statistique Canada ne constituait pas une « activité commerciale » parce qu’elle ne comportait pas « [traduction libre] l’échange, le commerce, l’achat et la vente » de quoi que ce soit. L’étude proposée visait à soutenir les négociations avec le gouvernement en vue d’un accord sur les services médicaux (ASM), qui fixe les taux de facturation des services de santé en Ontario. L’OMA ne tirerait aucun profit ou avantage financier de l’étude proposée ou de la négociation de l’ASM. En outre, l’OMA n’agit pas au nom du gouvernement lorsqu’elle reçoit ou paie les factures des médecins, et n’oriente pas les patients vers des médecins pour qu’ils reçoivent un traitement. L’objectif de l’étude était de fournir des renseignements sur les frais généraux des médecins et de promouvoir une plus grande « relativité des revenus » (income relativity) dans le prochain ASM.
Point principal à retenir
Cette analyse fait la lumière sur ce qui constitue – ou non – une « activité commerciale » au sens de la LPRPDE. Par exemple, l’échange de renseignements personnels peut ne pas constituer une « activité commerciale » si l’organisation qui communique les renseignements ne tire pas de profit ou d’avantage financier ou autre de la communication.
