J'ai eu la surprise de constater, en voulant me procurer des billets sur le Réseau Admission (admission.com), que pour compléter ma transaction, je devais accepter obligatoirement que mes renseignements personnels soient partagés par les fournisseurs de services d'Admission et que ceux-ci pouvaient m'envoyaient des courriels de promotion, sans mon accord. Je cite un extrait trouvé sur le site:
J'ai eu la surprise de constater, en voulant me procurer des billets sur le Réseau Admission (admission.com), que pour compléter ma transaction, je devais accepter obligatoirement que mes renseignements personnels soient partagés par les fournisseurs de services d'Admission et que ceux-ci pouvaient m'envoyaient des courriels de promotion, sans mon accord. Je cite un extrait trouvé sur le site:
«Toutefois, les fournisseurs d'événements (voir définition ci-dessous) peuvent continuer à communiquer avec vous, peu importe votre choix de recevoir ou non des courriels de promotion de nous. Il est également possible que, dans la plupart des cas, nous ne les avisions pas d'un tel choix.»
En bref, à la lecture complète de la politique de confidentialité d'Admission, il me semble que cette approche quant à la protection des renseignements personnels est contraire aux lois et pratiques en vigueur.
Qu'en pensez-vous? Chose certaine, cette façon de faire m'a dissuadée complètement d'acheter par l'entremise de ce site.
Tout d'abord, je voudrais surtout au début de la réponse, conserver notre échange sur le respect de la vie privée à un niveau général et non spécifique à ce site Internet. En conclusion, je reviendrai sur mon interprétation de ce que l'on retrouve sur le site.
La Chaire de commerce électronique RBC Groupe Financier de HEC Montréal se penche de façon régulière sur les politiques de vie privée et la perception que les utilisateurs d'un site Internet en ont et l'impact que ces politiques peuvent avoir sur la fréquentation et l'utilisation des sites Internet. Si des publications scientifiques vous intéressent, je vous invite à visiter notre site (www.chairerbc.com) et plus spécifiquement :
Arcand, Manon; Nantel, Jacques; Arles-Dufour, Mathieu; Vincent, Anne (12/1/2006) "The Impact of Reading a Website's Privacy Statement on Perceived Control over Privacy and Perceived Trust" Référence CAH-REC: 06-12-01
Arcand, Manon; Nantel, Jacques (10/15/2005) "A website's privacy policy: a double-edged sword. Risks and benefits when consumers read your privacy statement" Référence CONF-SCI: 05-10-02.
Pour revenir à votre question, après cette brève pause publicitaire!, nous pouvons tenter tout d'abord de démêler les éléments juridiques du sujet. Il existe au niveau fédéral, la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDÉ). Les institutions publiques fédérales sont quant à elles assujetties à la Loi sur la protection des renseignements personnels. Finalement, il existe Le Commissariat à la protection de la vie privée du Canada. Son rôle est d'agir en ombudsman pour régler les différends entre une organisation sujette à la loi et un individu. Il peut enquêter suite à une plainte ou initier une enquête (ou un examen). Finalement, il peut recommander qu'une organisation donne à un individu l'accès à ses données personnelles et il peut faire des recommandations à une organisation pour corriger certaines pratiques en matière de renseignements personnels. Le Commissariat a un site Internet (www.privcom.gc.ca) par l'entremise duquel vous pouvez avoir accès au texte de la loi et à une brochure «Vos droits en matière de vie privée». Pour les organisations, le Commissariat a produit un guide pour les aider à se conformer aux obligations en vertu de la loi. Ce guide émet entre autres dix principes que les entreprises devraient respecter :
1- La responsabilité
2- La détermination des fins de la collecte des renseignements
3- Le consentement
4- La limitation de la collecte
5- La limitation de l'utilisation, de la communication et de la conservation des renseignements
6- L'exactitude
7- Les mesures de sécurité
8- La transparence
9- L'accès aux renseignements personnels
10- La possibilité de porter plaintes.
Au niveau du Québec, il existe une loi, la Loi sur la protection des renseignements personnels dans le secteur privé (L.R.Q., c.P-39.1) que vous pouvez obtenir sur le site. Cette loi provinciale (par décret) s'applique à toute organisation (autres qu'une entreprise fédérale) qui exploite une entreprise au sens du Code civil du Québec à l'égard de la collecte, de l'utilisation et de la communication de renseignements personnels qui s'effectuent à l'intérieur de la province de Québec.
Les lois provinciale et fédérale sont essentiellement similaires.
Il existe également la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels (L.R.Q., c.A-2.1) qui couvre les mêmes droits mais auprès des organisations du secteur public québécois. Finalement, il existe la Commission d'accès à l'information du Gouvernement du Québec.
En termes plus pratiques, on définit des renseignements confidentiels d'un individu (renseignements personnels) comme étant simplement les renseignements qui permettent de l'identifier. Il pourrait s'agir par exemple (cela peut varier selon le type d'organisation avec lequel un individu entre en contact) de :
Votre nom, âge, poids, grandeur, état matrimonial, race, origine, la couleur de la peau, religion;
Votre adresse, numéro de téléphone;
Vos dossiers médicaux, votre groupe sanguin, vos empreintes digitales ou génétiques;
Vos revenus / achats;
Vos habitudes de transaction ou de consommation;
Votre niveau d'instruction.
Ces lois s'appliquent quelles que soient la forme et la nature du support sous lesquelles les renseignements sont accessibles.
Il faut aussi considérer qu'un renseignement personnel ne comprend pas le nom et le titre d'un employé d'une organisation, ni les coordonnées du lieu de travail.
Sauf à de rares exceptions, les renseignements personnels ne peuvent être communiqués sans le consentement de la personne concernée. Chaque personne peut avoir accès aux renseignements qui la concernent ou demander une rectification ou refuser que ces renseignements soient utilisés dans un but de sollicitation ou philanthropique.
Les organisations (organismes, entreprises ou ordres professionnels) doivent informer l'individu que des renseignements personnels sont recueillis et obtenir un consentement (manifeste, libre et éclairé, donné à des fins spécifiques et pour une durée limitée) pour utiliser les renseignements ou pour les communiquer à autrui (parfois des renseignements peuvent être transmis à des tiers sans qu'il y ait consentement pensons par exemple au recouvrement de créances, à des enquêtes de nature légale, etc.). On doit informer l'individu de ce qui sera fait de ses renseignements personnels et de qui en aura l'accès. On doit faire connaître ses droits d'accès et de rectification à la personne dont les renseignements personnels sont recueillis. Finalement l'organisation doit mettre en place les mesures de sécurité qui garantissent la confidentialité.
L'individu peut demander par écrit l'accès à son dossier. La consultation du dossier est sans frais et peut se faire dans un délai maximum de trente jours. Il pourrait selon la complexité du dossier, y avoir certains frais de transcription, transmission ou reproduction. Les organisations doivent fournir une bonne évaluation des coûts avant de procéder.
Finalement, la Commission de l'accès à l'information peut recevoir les plaintes des individus si la demande auprès de l'organisation est sans succès. La Commission a produit un guide sur ses deux lois provinciales- «Être bien informé, Être bien protégé, ça compte».
Dans le cas qui nous concerne, l'intermédiaire (Admission) utilisé pour l'achat d'un bien / service fourni par une tierce partie est assujetti aux lois tout autant qu'un fournisseur du service et ce parce qu'il recueille de l'information personnelle.
Selon la politique «Échange et remboursements» d'Admission (sur la page du site Internet d'Admission, près du «bouton acheter») que vous pouvez lire avant d'acheter les billets, on explique clairement qu'avec l'achat, il y a consentement au niveau de la cueillette et du partage des renseignements personnels (l'achat ici correspondant à un consentement «manifeste»).
Pour ce qui est du transfert d'information à des tierces parties non affiliées (fournisseurs d'événements), la politique de confidentialité (à laquelle on vous réfère dans la politique «Échange et remboursements») définit le consentement que vous accordez, l'utilisation de cette information (à des fins de promotion n'oubliez pas qu'il y a également au Québec la Loi sur le secteur privé qui permet la création de liste nominative à des fins commerciales et philanthropiques, avec des obligations au niveau des renseignements personnels) et les procédures pour faire retirer vos coordonnées de la base de données d'Admission. On vous réfère ensuite à la politique de confidentialité des partenaires / fournisseurs de services pour faire retirer vos coordonnées de leurs bases de données respectives si c'est votre souhait.
En fait ce que l'on vous dit sur le site Internet d'Admission c'est que vous pouvez gérer vos renseignements personnels directement avec Admission pour ce qui est de sa propre activité (vente de billets), mais pour gérer vos renseignements personnels (qu'ils ont transmis avec votre consentement manifeste lorsque vous achetez les billets) avec ses fournisseurs, vous devez consulter leur politiques respectives, sur lesquelles Admission n'a aucun contrôle.
Bien que le tout semble respectueux de la loi, on doit avouer que le partage d'information en général pose des problèmes importants pour ceux qui ne veulent pas se faire solliciter ou se voir offrir des promotions de toute sorte. Le fait que le tout soit enfoui dans une politique de confidentialité sur des pages moins visibles d'un site Internet et que le jargon (tout comme la taille de la police de caractères!) soit difficile à lire rend l'opération plus frustrante encore. Plus de transparence faciliterait l'opération!
Quels sont les recours dans de tels cas. Comme vous le faites, vous pouvez refuser l'achat (tout en laissant connaître vos réserves à l'organisation concernée) et procéder de façon plus anonyme (attention l'achat par téléphone amène également une divulgation d'information personnelle). Pour ceux qui veulent se faire retirer des listes de sollicitation, vous pouvez communiquer avec les organisations concernées. Souvent, vous pouvez également cliquer sur un lien en bas d'un courriel de sollicitation que vous recevez et qui vous permet de vous «désabonner».
Malheureusement, la plus grande facilité que l'achat par Internet procure, amène une divulgation d'information qui ne plaît pas toujours (le parallèle est facile à faire avec l'achat par téléphone). Les points importants de cette mécanique par contre sont les recours que l'on offre aux acheteurs et surtout la disponibilité de canaux d'achat qui correspondent plus à vos attentes et besoins.
Ce texte ne constitue pas un avis juridique, mais plutôt une simple opinion.
Avec la collaboration de Guy Champagne