Tentative avortée d’action collective quant à Google Photos au Québec, faute de cause défendable

La Cour supérieure refusait récemment d’autoriser une action collective, dans Homsy c. Google (2022 QCCS 722). Le tribunal y retourne essentiellement le demandeur faire ses devoirs, en nous fournissant un rappel utile du fait que, bien que nos règles de procédures visent à faciliter l’introduction de tels recours devant nos tribunaux, il ne faut pas assumer que tout ce qu’on peut imaginer amener devant nos tribunaux passe le test et sera nécessairement traité par le système judiciaire.

La décision en question découle d’allégations d’un Québécois à l’effet que la société Google utiliserait l’information biométrique des usagers du service Google Photos sans consentement adéquat de la part des usagers. Selon M. Homsy, des pratiques douteuses d’extraction, de collecte, de conservation et d’utilisation de ses données biométriques faciales seraient en cause, tout comme un préavis insuffisant aux usagers et des consentements inadéquats.

Malheureusement pour le demandeur, bien que les problèmes rapportés existent peut-être, le hic ici c’est que cette tentative de recours collectif contre Google ne repose sur aucune preuve adéquate. Devant ce constat, le tribunal nous sert un rappel utile en refusant d’autoriser ce recours: une action collective c’est bien, pour peu qu’on puisse démontrer avoir une «cause défendable». À défaut, même le régime spécial qui vise à favoriser l’introduction de ce genre de recours ne devrait pas laisser passer n’importe quelle réclamation devant nos tribunaux. Peu de preuve c’est une chose -pas de preuve une toute autre, de dire essentiellement le tribunal.

À première vue, cette décision à de quoi surprendre quand on lit l’article 575 du Code de procédure civile, lequel dicte que le tribunal chargé de valider une action collective (quand elle est déposée au début), doit se limiter à vérifier des choses de base, dont que «les faits allégués paraissent justifier les conclusions recherchées». En lisant cela, on pourrait penser qu’on a rien à prouver à ce stade-ci, seulement à faire de pures allégations. Eh bien non de dire la Cour supérieure, détrompez-vous!

Pour parvenir à cette conclusion, le tribunal nous explique que, compte tenu de la jurisprudence, il faut lire les prérequis de l’art. 575 avec ce qui suit en tête :

Toutes les allégations de fait ne peuvent être tenues pour avérées. Les hypothèses, opinions, spéculations et inférences non supportées ne sont pas tenues pour avérées. De plus, les allégations factuelles générales qui visent le comportement d’une partie défenderesse ne peuvent être tenues pour avérées sans la présentation d’un élément de preuve. En effet, comme l’a établi la Cour suprême du Canada, lorsque des allégations de la demande sont générales et imprécises, elles sont insuffisantes pour satisfaire à la condition préliminaire d’établir une cause défendable; elles doivent être accompagnées d’une certaine preuve afin d’établir une cause défendable.

Puisqu’ici les procédures ne présentaient à peu près rien d’autre que des hypothèses, des opinions, des spéculations et des inférences, on ne rencontrait pas le seuil nous permettant d’autoriser le recours, lequel doit donc être purement et simplement rejeté.

Nouvel espace évolutif visant à permettre à tous de mieux comprendre la nouvelle loi québécoise en matière de renseignements personnels

Le chien de garde du Québec en matière de protection des renseignements personnels, la Commission d’accès à l’information du Québec (la «CAI») lançait il y a quelques jours un portail visant à disséminer plus d’information quant aux suites du Projet de loi 64.

Comme on s’en souviendra, le Québec adoptait sa Loi modernisant des dispositions législatives en matière de protection des renseignements personnels plus tôt cet automne, laquelle représente une brisure substantielle avec la loi désuète de 1994, avec laquelle nous nous débrouillons de façon de moins en moins élégante depuis lors.

L’outil nommé «Espace évolutif – Projet de loi 64» vise en effet à démystifier la nouvelle mouture de la loi québécoise en matière de renseignements personnels. Pour ce faire, l’espace se décline en deux sections, à savoir une première section d’aperçu général de la nouvelle loi et une seconde visant à expliquer individuellement ses dispositions spécifiques, telles que regroupées par une trentaine de thèmes tels la biométrie, l’anonymisation des données, le droit à la désindexation, etc. La CAI affirme d’ailleurs qu’elle supplémentera graduellement le contenu de son espace en y ajoutant divers outils d’accompagnement et de sensibilisation.

Rappelons que la nouvelle mouture de la loi entrera progressivement en vigueur au cours des prochaines années, débutant le 22 septembre 2022 et s’échelonnant ensuite sur 2023 et 2024, avant d’être pleinement en vigueur. En attendant, il s’agit ici d’une bonne initiative afin de faciliter la compréhension du nouvel encadrement de la question au Québec, particulièrement pour les entreprises elles-mêmes, dont plusieurs peine à réaliser l’ampleur de ce qui est à se passer, au Québec, côté renseignements personnels. Cela ne peut pas faire de tord!

Le Québec adopte sa nouvelle loi quant à la protection des données personnelles

Eh bien, notre législateur provincial n’a effectivement pas tardé à adopté sa version révisée du Projet de loi 64, alors que la nouvelle loi en résultant était finalement adoptée la semaine dernière. La loi refondue visant à protéger les renseignements personnels au Québec est ainsi publiée en version finale. C’est donc maintenant fait, le Québec s’est mis à la page pour ce qui est de ses propres règles (dont sa Loi sur la protection des renseignements personnels dans le secteur privé) visant à renforcer la protection des données que manipulent les entreprises à l’intérieur de la province.

Comme le mentionnaient récemment les médias, le Législateur espère ainsi débarrasser le Québec de sa «culture de négligence» désinvolte par rapport aux pratiques d’entreprise en matière de renseignements personnels. Avec une loi datant de la préhistoire des données, le Québec faisait jusqu’ici figure de parent pauvre de la protection des données, la plupart des entreprises préférant ne pas entendre parler de ce sujet, fort de l’impression (réelle!) que la loi québécoise n’avait que très peu de chances de mener à de véritables sanctions, même si on finissait par se faire prendre les doigts dans le piège à souris.

La nouvelle loi comporte des dispositions modernisées inspirées du règlement européen (le fameux  Règlement général sur la protection des données, ou «RGPD»), assorties de réelles sanctions pour les entreprises jugées délinquantes. Avec des amendes éventuelles pouvait s’élevées à des millions de dollars, on croit que la loi québécoise a ce dont elle a besoin pour FINALEMENT attirer l’attention des dirigeants d’entreprises, incluant ceux de simples PME, jugeant souvent jusqu’ici ne pas réellement avoir à se préoccuper de ce genre de choses.

Eh oui, bien qu’on le sache depuis longtemps (en principe), toute organisation qui collecte, utilise, partage ou communique des données à caractère personnel de tiers DOIT se conformer aux règles en matière de protection des renseignements visés. La négligence (ou l’aveuglement volontaire) quant à ces règles pourra désormais coûter cher aux organisations délinquantes, bien que la Commission d’accès à l’information (la «CAI»), affirme qu’elle « prendra en compte la capacité de payer des entreprises » en faisant appliquer cette loi.

La loi vient notamment aussi réaffirmer clairement qu’un consentement explicite, libre et éclairé s’avère nécessaire AVANT toute utilisation de données personnelles, à l’instar de ce qui se fait par exemple en Europe.

Malgré son adoption formelle par le Québec, la majorité des dispositions de la nouvelle loi n’entreront réellement en vigueur (dont ses amendes éventuelles) que dans deux (2) ans, le 22 septembre 2023.

Par contre, un petit nombre de dispositions entreront, elles, en vigueur dès septembre 2022, dont les celles qui prévoient l’obligation pour les entreprises d’aviser les victimes (et la CAI) des incidents tels de piratage informatique et qui auraient exposés leurs données à des fuites. En vertu de la nouvelle loi, en effet, toutes les organisations ont l’obligation de déployer des mesures de sécurité appropriés afin de protéger le genre de renseignements personnels qu’elles détiennent quant à autrui.

D’ici là, la CAI et nos entreprises ont pas mal de devoirs à faire pour se préparer à cette nouvelle réalité.