Archives de l’étiquette : renseignementspersonnels

Des stats inquiétantes quant aux attitudes en matière de données et de cybersécurité

Publié le par

Malgré un nombre incessant d’intrusions informatiques et d’incidents de confidentialité (pour utiliser le vocable de la loi québécoise), l’employé canadien moyen demeure malheureusement peu enclin à trop s’en préoccuper. C’est du moins ce que je constate en pratique et en lisant des articles tels que celui-ci, paru plus tôt cette semaine.

L’étude récente dont parle l’article en question, mené auprès de Canadiens, révèle que plus du tiers des employés interrogés se disent peu ou pas inquiétés par les vols de données que pourrait subir l’organisation pour laquelle chacun d’eux travaille.  Pire encore, un employé sur cinq serait convaincu ne pas être susceptible d’être même la cible à de cybercriminels pendant qu’il vaque à ses occupations professionnelles. Oh boy.

Au Québec (non ce n’est guère mieux!), plus du ¾ des employés interrogés ne comprennent pas trop pourquoi ils devraient se préoccuper de protection des données chez leur employeur, la plupart présumant qu’il s’agit là d’une affaire dont s’occupe le service des TI ou les affaires juridiques, sans que cela s’avère pertinent pour l’employé moyen. En fait, la même proportion de répondants québécois affirment même qu’ils n’ont reçu AUCUNE formation en matière de cybersécurité de la part de leur employeur : aucune, zip, zippo, nada. Et après cela, on se demande pourquoi la question de l’importance à accorder à la protection des données pose problème!

Avec l’arrivée de la nouvelle version de la loi québécoise en matière de protection des renseignements personnels, un changement de culture s’impose, incluant chez nos PME. Comme c’est souvent le cas, notre petite juridiction demeure perpétuellement à la remorque de juridictions comme l’Europe ou les États-Unis, la protection des données n’y faisant pas exception -semble-t-il. Remarquez bien, dans la mesure où même les dirigeants de la PME moyenne québécoise ne voient pas la pertinence de se compliquer la vie en se préoccupant de questions liées aux renseignements personnels, il s’avère peu surprenant que les employés s’avèrent aussi si peu enclins à vouloir y réfléchir ou s’en préoccuper. Les Vietnamiens ont une bonne expression qui s’applique ici (je paraphrase): une maison, ça coule (fuit) en commençant par le toit. Pensez-y!

Entreprises au Québec: vous avez des employés, donc des données et des devoirs à faire!

Publié le par

Comme vous le savez probablement, jusqu’à maintenant, le droit québécois ignorait largement le fait que toutes les organisations et entreprises détiennent, invariablement, des données sur leur personnel. En effet, la loi québécoise touchant la protection des renseignements personnels a longtemps fait fit de ce fait, préférant se concentrer sur tous les autres cas où des entreprises détenait et utilisait des données de ce genre. Avec la nouvelle mouture de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels («Loi»), de 2022 (une loi résultant du Projet de loi no 64), tout cela vient de changer.

La Loi de 2022 vient imposer toute une série de nouvelles obligations aux organisations détenant des données personnelles sur autrui. Dès maintenant, toutes les organisations, incluant même les PME, doivent donc commencer à porter attention à la question de la protection des renseignements personnels, en commençant, eh oui, par tous les renseignements que détiennent les organisations de tout acabit sur leurs employés. Ce serai d’autant plus important que la Loi prévoit dorénavant qu’on pourra imposer des amendes aux organisation contrevenante de l’ordre de 25 MILLIONS (oui, 25 000 000$) de dollars ou, même, à l’équivalent de 4% de son chiffre d’affaires annuel. Ai-je votre attention?

L’une des première chose à faire est de réaliser, au niveau de l’organisation, qu’on doit désormais commencer à se préoccuper de protection des renseignements personnels. Il faut y dédier des ressources, s’organiser et, eh oui, commencer à s’informer adéquatement quant à ce que la loi exige en matière de protection des données à caractère personnel. Pour les PME, ce sera malheureusement parfois la première fois où on fait cet exercice, la loi étant souvent vue à ce sujet comme une affaire de multinationale sans importance pour les plus petites entités.

Ensuite, si on commence à regarder ce que prévoit la Loi spécifiquement, on réalisera rapidement qu’il faut obligatoirement désormais mettre en place des protocoles, des politiques et des pratiques dictées par chaque organisation dans le but de bien gérer et encadrer sa gouvernance en matière de protection des renseignements personnels en sa possession. Oui, les jours du laisser-aller généralisé à ce sujet sont, en principe, maintenant chose du passé. Temps pour toutes les organisation de s’y mettre!

Fait intéressant, pour ceux et celles qui pourraient penser s’en tirer en ne faisant rien à ce sujet, en catimini: la Loi prévoit que chaque organisation devra (c’est une obligation non-optionnelle) rendre publiquement accessible tous ses protocoles, ses politiques et ses pratiques en la matière. Oui, vous lisez bien et, ceci à compter de dès maintenant.

Premier exemple spécifique au personnel, la Loi prévoit des règles contraignant la mesure dans laquelle les employeurs peuvent faire effectuer un traitement automatisé de renseignements personnels sur des employés potentiels ou présents, afin de prendre une décision sur leur embauche, leur promotion, etc. Généralement, bien que ce soit permis, les employeurs devraient s’informer des règles s’appliquant à ce type de traitement de données par des technologies telles l’intelligence artificielle.

La Loi confirme aussi (comme c’est le cas presque partout ailleurs) que toutes les organisations québécoises devraient se munir d’une politique de gestion des renseignements personnels, qu’on doit rendre accessible au personnel et au public. Cela comprend adopter une telle politique touchant les données des employés et prenant en compte les outils qu’on utilise dans l’organisation pour surveiller ou gérer le travail des salariés, comme par exemple les outils de surveillance, les outils de gestion de performance des employés, etc.

Règle générale, les entreprises québécoises devraient amorcer un réexamen de leurs pratiques de ce genre quant à leur personnel, en comprenant qu’on doit dorénavant porter généralement attention à la notion de consentement du personnel. Notons à ce sujet que le nouveau critère d’un consentement valable implique qu’il soit donné à des fins spécifiques, de surcroit «manifeste, libre et éclairé». En pratique, quand c’est nécessaire, chaque employé devra donc réellement consentir, après lui avoir demandé dans des documents distincts du reste des documents d’emploi. Attention, cela place la barre relativement haute!

À ce sujet, il faudra d’ailleurs dorénavant aussi faire bien attention à l’usage de systèmes divers permettant de surveiller, d’identifier ou de localiser nos employés et d’amasser des données quant à eux. Il faudra notamment informer le personnel visé des raisons sérieuses le justifiant et obtenir leur consentement à cet usage de renseignements les concernant, etc.. En un mot comme en mille, la période où on faisant ce qu’on voulait à ce sujet est bien révolue au Québec.

Autre obligation déjà en vigueur, depuis la semaine dernière: on doit désigner un responsable de la protection des renseignements personnels dans chaque organisation, incluant en diffusant cette information, dont auprès du public et des employés. Cette obligation s’avère conforme dans ce qui se faire dans bon nombre d’autres juridictions et n’a donc rien de bien surprenant. Chaque entreprise et organisation devrait donc en principe avoir quelqu’un (qu’il soit à l’interne ou à l’externe) qui soit chargé de ce genre de questions. Dans le cours normal des choses, on devrait choisir pour ce faire un membre de la haute direction détenant l’expertise nécessaire à gérer le genre de données qu’on possède, un individu qu’on devrait munir de l’autorité nécessaire afin de combler ce rôle.

Désormais, il est aussi important de noter que la Loi exigera qu’on rapporte à la Commission d’accès à l’information (la «CAI»), le chien garde québécois quant à ce genre de question), les incidents éventuels de sécurité ayant potentiellement résulté dans la perte ou la fuite de données personnelles. Cela comprendra les cas où on réalise avoir été la cible de pirates informatiques, les pertes d’ordinateurs portables contenant des données sensibles, etc. Côté salariés, à compter de maintenant, les employés désirant se plaindre des pratiques de leur employeur quant à leurs données pourront d’ailleurs porter plainte auprès de la CAI.

Bien que ce ne soit pas toutes les dispositions de la Loi qui soit déjà en vigueur (l’entrée en vigueur s’avère graduelle d’ici à 2024), une partie de celles-ci le sont déjà -attention et faites vos devoirs!

Tentative avortée d’action collective quant à Google Photos au Québec, faute de cause défendable

Publié le par

La Cour supérieure refusait récemment d’autoriser une action collective, dans Homsy c. Google (2022 QCCS 722). Le tribunal y retourne essentiellement le demandeur faire ses devoirs, en nous fournissant un rappel utile du fait que, bien que nos règles de procédures visent à faciliter l’introduction de tels recours devant nos tribunaux, il ne faut pas assumer que tout ce qu’on peut imaginer amener devant nos tribunaux passe le test et sera nécessairement traité par le système judiciaire.

La décision en question découle d’allégations d’un Québécois à l’effet que la société Google utiliserait l’information biométrique des usagers du service Google Photos sans consentement adéquat de la part des usagers. Selon M. Homsy, des pratiques douteuses d’extraction, de collecte, de conservation et d’utilisation de ses données biométriques faciales seraient en cause, tout comme un préavis insuffisant aux usagers et des consentements inadéquats.

Malheureusement pour le demandeur, bien que les problèmes rapportés existent peut-être, le hic ici c’est que cette tentative de recours collectif contre Google ne repose sur aucune preuve adéquate. Devant ce constat, le tribunal nous sert un rappel utile en refusant d’autoriser ce recours: une action collective c’est bien, pour peu qu’on puisse démontrer avoir une «cause défendable». À défaut, même le régime spécial qui vise à favoriser l’introduction de ce genre de recours ne devrait pas laisser passer n’importe quelle réclamation devant nos tribunaux. Peu de preuve c’est une chose -pas de preuve une toute autre, de dire essentiellement le tribunal.

À première vue, cette décision à de quoi surprendre quand on lit l’article 575 du Code de procédure civile, lequel dicte que le tribunal chargé de valider une action collective (quand elle est déposée au début), doit se limiter à vérifier des choses de base, dont que «les faits allégués paraissent justifier les conclusions recherchées». En lisant cela, on pourrait penser qu’on a rien à prouver à ce stade-ci, seulement à faire de pures allégations. Eh bien non de dire la Cour supérieure, détrompez-vous!

Pour parvenir à cette conclusion, le tribunal nous explique que, compte tenu de la jurisprudence, il faut lire les prérequis de l’art. 575 avec ce qui suit en tête :

Toutes les allégations de fait ne peuvent être tenues pour avérées. Les hypothèses, opinions, spéculations et inférences non supportées ne sont pas tenues pour avérées. De plus, les allégations factuelles générales qui visent le comportement d’une partie défenderesse ne peuvent être tenues pour avérées sans la présentation d’un élément de preuve. En effet, comme l’a établi la Cour suprême du Canada, lorsque des allégations de la demande sont générales et imprécises, elles sont insuffisantes pour satisfaire à la condition préliminaire d’établir une cause défendable; elles doivent être accompagnées d’une certaine preuve afin d’établir une cause défendable.

Puisqu’ici les procédures ne présentaient à peu près rien d’autre que des hypothèses, des opinions, des spéculations et des inférences, on ne rencontrait pas le seuil nous permettant d’autoriser le recours, lequel doit donc être purement et simplement rejeté.