Archives d’auteur : Techtonik Legal

À propos de Techtonik Legal

Je travaille en tant qu'avocat au Canada et pratique principalement dans les domaines des technologies et des intangibles, incluant quant à ce qui touches les technologies, la propriété intellectuelle, les télécommunications et les renseignements personnels.

Droit à la réparation des appareils électroniques? oui… peut-être… un jour

Publié le par

On voit de plus en plus de billets et d’articles au sujet du droit à la réparation, pas de doute. Ce matin, BBC avait un bon article dont le point de départ est un étudiant canadien qui s’improvise réparateur de cellulaires. Je vous recommande l’article.

Encore aujourd’hui, l’industrie utilise encore trop souvent l’«obsolescence programmée» ou l’«obsolescence planifiée», comme façon de s’assurer de nouveaux achats éventuels par les consommateurs et les entreprises. En gros: l’appareil ne durera pas, parce que c’est précisément ce que vise son fabricant. Pire encore, s’ils brisent, ces objets s’avèrent souvent impossibles à réparer: il faudra souvent tout simplement les jeter.

L’un des problèmes qu’accompagne l’impossibilité de réparer la plupart des bidules électroniques dont nous nous servons quotidiennement, c’est le gaspillage de ressources qu’il entraîne, alors que des millions de tonnes de déchets électroniques sont produites chaque année. (En 2019, on parlerait de plus de 50 millions de tonnes.) Une fois un appareil jeté, il doit être remplacé grâce à de nouvelles ressources qu’on devra extraire du sol, en émettant des gaz à effet de serre au passage, dans un cycle sans fin. Disons-le, la consommation électronique pathologique et la planète s’avèrent incompatibles.

C’est là un aspect de ce qui fait du système actuel de la consommation électronique une absurdité. Ce système prive aussi les individus du choix de réparer leurs appareils, chose que l’industrie fait généralement de son mieux pour fortement décourager. C’est clair, la mentalité très 1950 du «Tout beau tout neuf» empoisonne encore nos habitudes collectives, alors que le propriétaire de téléphone intelligent est fortement incité (par le marché) à remplacer son appareil tous les deux ou trois ans. Il s’agit d’un symptôme criant.

Dans le monde d’aujourd’hui, le problème implique aussi celui des mises à jour logicielles d’appareils; comme ce Chromebook chez nous, que Google cessera de mettre à jour d’ici septembre 2021. Quand on cesse de mettre à jour un appareil, les failles du système d’exploitation deviennent alors permanentes (dans cet appareil), ce qui, côté cybersécurité, s’avère moins qu’idéal, disons. C’est là une autre facette des problèmes liés à la pérennité fonctionnelle des appareils.

Devant ce problème, certains territoires commencent graduellement à inciter les fabricants à envisager et permettre la réparation de leurs appareils. Alors qu’aujourd’hui c’est encore souvent une aberration à éviter, la possibilité de réparer ses appareils électroniques pourrait devenir la norme en produisant des bidules que l’acheteur pourra entretenir au fil du temps et réparer au besoin.

L’Europe est notamment à mettre en place un système de cote de réparabilité, que les manufacturiers devront afficher sur les emballages d’électroménagers et de certains types d’appareils. Malgré cette initiative, par contre, on est encore loin de pouvoir présumer que ce qui s’achète se répare. L’industrie de l’électronique n’a malheureusement pas évolué dans ce sens, au contraire; souvent, les pièces ne sont tout simplement pas disponibles ni même l’information technique à savoir comment réparer ou remplacer telle ou telle composante. Oui, pas de doute, il nous reste un long chemin à parcourir en matière de droit (éventuel) à la réparation.

Au Canada, à part de vagues projets, dont un projet de loi privé en 2019, je ne perçois malheureusement pas beaucoup de mouvement côté droit à la réparation, incluant du côté du Québec. Ce n’est pas demain la veille, disons.

Pour terminer ce billet, je me permets aussi de vous recommander un article récent de Wired (acheminé par une amie) au sujet de la saga des appareils Taylor à crème glacée dans les restos de la chaîne McDonald’s. Vous savez, ces machines à faire la concoction glacée McFlurry? Bien que l’histoire touche un peu le droit à la réparation, il s’agit aussi et surtout d’un article intéressant au sujet de l’utilisation d’un produit appareil électronique «propriétaire» dans un système de franchise qui l’impose à ses franchisés, incluant en s’assurant qu’ils ne peuvent le réparer eux-mêmes. Sérieusement, l’article en vaut la lecture.

Failles alléguées dans l’outil Cellebrite UFED: on pourrait devoir douter de preuves tirées de cellulaires verrouillés

Publié le par

Comme on s’en doute, les policiers se butent parfois à des appareils cellulaires dont le contenu n’est pas accessible pour eux, parce que verrouillé. Principe de base en sécurité, autant pour les citoyens honnêtes que les malfrats : verrouillez votre appareil lorsqu’il n’est pas utilisé. Pour les policiers, cela crée parfois des problèmes puisque la preuve requise se trouvera parfois à l’intérieur d’un appareil ainsi bloqué. Quand cela se produit, les forces de l’ordre disposent de certains outils qui peuvent s’avérer utiles, notamment le produit UFED d’une société israélienne nommée Cellebrite.

En utilisant UFED, les forces de l’ordre pourront parfois avoir accès aux données que renferme l’appareil mobile d’un suspect, y compris s’il s’agit d’un cellulaire de marque iPhone. On s’en doute, l’accès aux données d’un cellulaire peut s’avérer une mine d’or pour trouver de la preuve, incluant les messages, les fichiers, etc.

Or (et c’est là que l’histoire devient intéressante), récemment on est parvenu à mettre la main sur UFED et à en examiner la sécurité ou, plus précisément, la quasi-absence de sécurité, selon certains. En fait, selon le rapport à ce sujet que faisait Moxie Marlinspike (créateur de l’appli Signal), le produit de Cellebrite s’avère tellement truffé de vulnérabilités logicielles qu’on peut aisément le corrompre simplement en l’utilisant sur un cellulaire piégé. Selon lui, quand cela se produit, certains rapports issus d’UFED pourraient être modifiés à l’insu de l’opérateur.

Ce que cela a à faire avec le droit, c’est que les médias rapportent qu’un procureur de la défense (créatif, disons-le) s’est déjà emparé de cette information afin de contester la condamnation de l’un de ses clients, laquelle avait entre autres été obtenue grâce à de la preuve générée par UFED. Après tout, si on ne peut se fier sur les résultats d’un outil utilisé pour créer de la preuve, ne devrait-on pas à tout le moins pouvoir contester le résultat d’un procès dans lequel une telle preuve a été présentée? En telles circonstances, il est concevable que certaines condamnations (liées à de la preuve obtenue grâce à UFED) puissent être remises en question, incluant en demandant la tenue de nouveaux procès.

UFED serait utilisé à grande échelle par les forces de l’ordre, particulièrement quand une enquête se bute à un iPhone verrouillé. On ignore encore combien de cas cela pourrait toucher si ce problème d’UFED est un jour confirmé.

Voilà donc là un nouvel exemple de l’interaction perpétuellement problématique entre la cybersécurité et le droit.

Rejet d’une action collective quant aux données personnelles dans un ordinateur portable égaré

Publié le par

La Cour supérieure rejetait il y a quelques semaines une action collective fondée sur un défaut de protéger adéquatement les renseignements personnels d’individus fichés chez une organisation. Fait intéressant, contrairement au scénario habituel, la poursuite en question est parvenue à passer tout le processus d’une action collective, pour en arriver à un véritable jugement sur le fond, contrairement à ce qui se passe habituellement dans ce genre de dossier, comme le rejeter parce que frivole ou parce que l’action collective ne tient pas la route pour un tel type de recours devant les tribunaux.

Cette fois, les tribunaux québécois nous fournissent une véritable décision suivant une action collective en matière de fuite de renseignements personnels, chose relativement rare, au Québec comme ailleurs. Nous obtenons donc ici une vraie de vraie décision se prononçant quant au comportement d’une organisation qui a subi une fuite de données personnelles.

La décision en question est celle de Lamoureux c. Organisme canadien de réglementation du commerce des valeurs mobilières (2021 QCCS 1093), laquelle découle de l’action intentée par un individu faisant partie d’un groupe dont les renseignements étaient sauvegardés dans un ordinateur portable dont les données n’étaient pas chiffrées, ordinateur et égaré par un préposé de la défenderesse (l’«OCRCVM»). Son recours visait à être indemnisé pour le préjudice lié à de l’inquiétude, l’usurpation (appréhendée ou réelle) de son identité, des inconvénients, etc. On demandait aussi au tribunal d’octroyer des dommages punitifs à cause de l’insouciance alléguée de l’OCRCVM et de son retard à intervenir adéquatement lors de l’incident.

Comme cela se produit souvent dans ce genre d’affaires (lorsqu’on obtient une véritable décision), le tribunal estime que les simples craintes et désagréments découlant d’une perte des renseignements personnels ne seront généralement pas des dommages susceptibles d’être indemnisés par nos tribunaux. Bien qu’il ne soit pas nécessaire de carrément être victime de vol d’identité (par exemple), on doit tout de même avoir subi un véritable préjudice. Or, ici, ce qu’on alléguait constituer un préjudice ne se qualifiait tout simplement pas comme étant de véritables dommages en droit; c’était plutôt ici des «inconvénients normaux que toute personne vivant en société rencontre et devrait être tenue d’accepter». En gros : désolé, mais être simplement dans la liste des personnes impliquées dans une perte de données n’est pas suffisant, en soi, pour justifier un recours devant les tribunaux québécois. Cette conclusion s’avère d’ailleurs conforme à ce qu’on a vu dans d’autres affaires du genre, notamment au Québec.

Ici, le requérant n’est pas parvenu non plus à démontrer de lien de causalité entre la perte de l’ordi en question et les problèmes liés au vol (réel ou tenté) de son identité qui seraient survenus. Ainsi, le tribunal ne pouvait pas non plus donner droit à la demande de dommages punitifs. Comme on s’en souviendra, non seulement doit-on toujours démontrer une faute et un préjudice, mais aussi un lien causal entre les deux. Ce troisième ingrédient faisant défaut, le tribunal rejette aussi le recours de ce côté.

À tout événement, cette décision réitère qu’en pareil cas, s’ils espèrent réussir avec un tel recours devant nos tribunaux, les demandeurs devraient pouvoir démontrer non seulement une faute suffisante, mais aussi (et surtout) de véritables dommages qui soient susceptibles d’indemnisation. La perte de vos renseignements par un tiers n’est donc pas un billet de loterie, loin de là.

De plus, malgré que la demande de M. Lamoureux visait aussi à obtenir des dommages punitifs, le tribunal conclut qu’on était ici non seulement pas dans un cas de faute intentionnelle, mais aussi que l’OCRCVM a été suffisamment diligent dans sa réaction à la perte de l’ordi en question, compte tenu des circonstances. La C.S. se refuse donc à voir ici une faute dont la gravité justifierait d’octroyer des dommages punitifs. Troisième prise, donc.

Fait intéressant, au passage, la C.S. énonce des principes à appliquer dans l’examen de demandes similaires à l’avenir, quand vient le temps de juger du bien-fondé des démarches d’une organisation en pareilles circonstances. En l’occurrence, la C.S. confirme ici qu’en cas de perte d’un appareil mobile (non chiffré), les démarches suivantes peuvent s’avérer adéquates:

  • mener une enquête interne sérieuse;
  • retenir sans délai les services d’un consultant spécialisé afin de cerner l’information perdue et de jauger le risque que cette perte représente, etc.;
  • aviser les autorités, notamment celles en matière de renseignements personnels; et
  • aviser les victimes potentielles, en plus de leur payer un service de surveillance de dossier de crédit.

Quand ce genre de démarches ont été suivies, les tribunaux ne devraient pas normalement envisager l’octroi de dommages punitifs.