Des cadeaux peut-être trop branchés

Le père Noël distribue de plus en plus de produits courants qui communiquent des renseignements par l'internet - ce qu'on appelle « l'internet des objets ». Quelles précautions doivent prendre les consommateurs qui les utilisent... et les entreprises qui les conçoivent ?

LES PRÉCAUTIONS DU CONSOMMATEUR

QU'EST-CE QUE L'INTERNET DES OBJETS ?

« L'internet des objets se définit comme la catégorie des objets connectés, par l'entremise de l'internet, aux autres sites de logiciels, aux autres systèmes, répond Adam Allouba, avocat au cabinet BCF. Le vendeur va ramasser de l'information sur vous, va la traiter pour la communiquer aux autres et l'utiliser à toutes sortes de fins. »

Des exemples ? Bracelets connectés qui surveillent les paramètres vitaux. Électroménagers communicants.

Stockés, organisés, ces renseignements s'ajouteront à ces galaxies d'information qu'on appelle « métadonnées ».

QU'EST-CE QU'UN RENSEIGNEMENT PERSONNEL ?

« La loi dit qu'un renseignement personnel est tout renseignement qui concerne une personne physique - donc pas une compagnie - et permet de l'identifier », informe Pascal Lauzon, lui aussi avocat chez BCF.

Ce pourront être l'adresse, la date de naissance, une photo, un enregistrement de la voix, une géolocalisation : tout renseignement ou faisceau de renseignements qui indique qu'il s'agit de cette personne et pas d'une autre.

Pour le consommateur, le risque réside dans la récolte et la communication de renseignements personnels à son insu. Il y a danger également que des pirates forcent les portes virtuelles de l'entreprise pour subtiliser cette information.

MAIS CES RENSEIGNEMENTS PEUVENT-ILS ÊTRE NÉCESSAIRES ?

L'information que ces produits recueillent est généralement nécessaire aux fonctions qu'ils assurent. Mais le consommateur doit en être informé et y consentir, au travers des conditions ou de la politique de confidentialité.

« Si mon bracelet dit à la planète où je me trouve, il faudrait que je le sache dans les modalités d'utilisation, donne en exemple Adam Allouba. Sinon, je n'ai pas consenti à ça. »

Ce consentement n'a pas toujours besoin d'être explicite. « Tu ne peux pas acheter un objet pour une utilisation X puis être choqué s'il ramasse l'information nécessaire à cette utilisation. »

« Dès qu'une donnée existe, elle peut circuler. » - Adam Allouba

VOUS POUVEZ DONNER UN EXEMPLE D'EXCÈS ?

Oui. « Samsung a fait une télé qui est activée par la voix, décrit Adam Allouba. Évidemment, il faut qu'elle t'écoute et qu'il y ait une certaine communication avec un serveur, pour qu'elle puisse traiter les instructions. »

Jusque-là, ça va. L'ennui, c'est que l'indiscret appareil transmettait également les conversations de salon. « Ils ont mis dans leur politique : "Faites attention, ne parlez pas de choses confidentielles devant votre télé, parce que c'est enregistré et c'est envoyé chez Samsung". »

« Ça sort littéralement du livre d'Orwell : des télés qui vous écoutent et vous surveillent. »

QUELLES PRÉCAUTIONS LE CONSOMMATEUR DOIT-IL PRENDRE ?

« Il est important de faire des vérifications quand on veut acheter un objet intelligent, de se renseigner sur l'objet, sur la compagnie qui le fabrique, répond Adam Allouba. A-t-elle bonne réputation ? Est-ce qu'il y a eu des plaintes ? Avec Google, il n'est pas difficile de faire une vérification diligente de base. Et tapez-vous la lecture de la politique de confidentialité. C'est pénible, mais c'est important. »

Il résume : « Si ce n'est pas compréhensible, n'achetez pas. »

AVEC QUELS RENSEIGNEMENTS FAUT-IL ÊTRE ATTENTIFS ?

« S'il y a une information particulière qu'on ne veut pas que quelqu'un connaisse, mieux vaut ne pas la divulguer, indique Pascal Lauzon. C'est la condition de base. »

De son côté, Adam Allouba nomme trois grands domaines où il faut se montrer particulièrement prudent. « Ce sont la santé, les finances et la géolocalisation. Ce qui se passe dans ton corps, ce qui se passe dans ton compte de banque et l'endroit où tu te trouves, il n'y a pas grand-chose de plus important que ça. »

LES PRÉCAUTIONS DE L'ENTREPRISE

QUELS RENSEIGNEMENTS L'ENTREPRISE PEUT-ELLE RECUEILLIR ?

Les renseignements qui ne sont pas personnels peuvent être recueillis sans contrainte particulière. « Là-dessus, il n'y a aucune restriction juridique, souligne Pascal Lauzon, avocat au cabinet BCF. Mais dès qu'on a ce que la loi appelle "un dossier", dès qu'on détient des renseignements sur quelqu'un qui permet de l'identifier, on ne peut pas s'en servir pour autre chose que les fins auxquelles ils sont nécessaires pour réaliser l'offre de service. »

LE CLIENT DOIT-IL EN ÊTRE INFORMÉ ?

La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) encadre le traitement des renseignements personnels par les entreprises. « Le fondement de la loi est le concept du consentement, précise l'avocat Adam Allouba, de BCF. Tu as le droit de ramasser des renseignements personnels, tu as le droit de les utiliser, de les communiquer à des tiers, mais à la base, il faut que l'individu y ait consenti. »

COMMENT L'ENTREPRISE OBTIENT-ELLE LE CONSENTEMENT DU CLIENT ?

Les clients donnent généralement leur accord lorsqu'ils enregistrent leur produit sur l'internet, qu'ils s'inscrivent au service ou qu'ils activent l'application. C'est la fameuse tartine que tout le monde approuve sans l'avoir lue.

« Toute utilisation au-delà du strict nécessaire doit faire l'objet d'un consentement. » - Pascal Lauzon

« Si l'entreprise fait autre chose que quelque chose de vraiment limité avec l'information personnelle, elle doit s'assurer d'avoir des politiques de confidentialité ou des conditions bien détaillées et claires, avise Pascal Lauzon. La clarté est importante. Ce sont des contrats d'adhésion. Si c'est ambigu et confus, ça pourrait ne pas avoir d'effet. »

À QUOI RESSEMBLE UNE POLITIQUE BIEN FONDÉE ?

Il est essentiel d'établir une politique de protection des renseignements explicite et complète.

« Quand elles sont bien bâties, elles disent : voici les informations qu'on va ramasser, voici ce qu'on va faire avec, voici les circonstances dans lesquelles on pourrait les communiquer aux autres, qui sont ces tierces parties, et en utilisant ce produit, vous consentez à tout ça », énumère Adam Allouba.

Mais ce pourrait ne pas être suffisant. « Puisque les gens ne lisent rien, si c'est quelque chose de vraiment sensible, qui sort complètement de ce à quoi on pourrait s'attendre, il faut faire un effort pour sensibiliser l'acheteur. »

LES RENSEIGNEMENTS RECUEILLIS DOIVENT-ILS ÊTRE PROTÉGÉS ?

L'entreprise a la responsabilité d'assurer la protection des renseignements personnels recueillis. « Plus les données sont sensibles, plus je veux que le consentement soit clair et plus je dois prendre les mesures de protection nécessaires, avise Adam Allouba. Si le système de mon entreprise se fait pirater et que tout le monde apprend comment tout le monde prend son café, c'est une chose. Si tout le monde a accès au dossier médical de tout le monde, c'est complètement autre chose. »

UNE GAFFE À ÉVITER ?

Ces énoncés doivent être taillés sur mesure. « On voit ça souvent comme avocat : les entreprises qui font essentiellement un copier-coller des conditions et des politiques de confidentialité des autres entreprises, décrit Pascal Lauzon. Ça ne s'applique pas ou c'est incompréhensible parce que c'est hors contexte. »

« Ou, encore pire, c'est hors juridiction, ajoute Adam Allouba. Ils prennent quelque chose en Californie et ça n'a rien à voir avec la loi ici. »