Renseignements sur les dossiers

Protection des renseignements personnels — Plateforme de réseau social en ligne — Obligation de protéger les données des utilisateurs — Obligation d’obtenir un consentement valable des utilisateurs avant de pouvoir divulguer leurs données personnelles — Le juge saisi de la demande a-t-il commis une erreur en concluant que le commissaire à la protection de la vie privée du Canada n’a pas démontré que Facebook a omis d’obtenir un consentement valable pour divulguer des informations personnelles à des applications de tierces parties? — Le juge saisi de la demande a-t-il commis une erreur en concluant que le commissaire à la protection de la vie privée n’a pas démontré que Facebook a omis d’instaurer des mesures de sécurité adéquates pour protéger les informations personnelles en sa possession ou sous sa garde? — Loi sur la protection des renseignements personnels et les documents électroniques, L.C. 2000, ch. 5, art. 3, par. 5(1) et art. 6.1, et art. 4.3 (troisième principe) et 4.7 (septième principe) de l’annexe 1.

Les sommaires de dossiers sont préparés par le Bureau du registraire de la Cour suprême du Canada (Direction générale du droit). Veuillez noter qu’ils ne sont pas transmis aux juges de la Cour; ils sont plutôt versés au dossier de la Cour et affichés sur son site Web uniquement à titre d’information.

Le 19 mars 2019, l’intimé, le commissaire à la protection de la vie privée du Canada a reçu une plainte présentée en vertu du par. 11(1) de la Loi sur la protection des renseignements personnels et les documents électroniques, L.C. 2000, ch. 5 (« LPRPDE »), qui soulevait des préoccupations au sujet du respect de la LPRPDE par l’appelante Facebook. Ces préoccupations portaient sur la pratique de Facebook consistant à partager les renseignements personnels de ses utilisateurs avec des applications tierces hébergées sur sa plateforme. La plainte a été déposée en lien avec des rapports concernant un professeur de l’Université de Cambridge, au Royaume-Uni, Aleksandr Kogan, Ph. D., qui avait lancé en novembre 2013 une application intitulée « thisisyourdigitallife » (« TYDL ») sur la plateforme Facebook. Présentée aux utilisateurs comme un test de personnalité, cette application permettait à M. Kogan d’accéder aux renseignements personnels des utilisateurs de Facebook qui avaient installé cette application, ainsi qu’aux renseignements de leurs amis Facebook. En décembre 2015, des reportages médiatiques ont révélé que les données des utilisateurs obtenues par l’intermédiaire de l’application TYDL avaient été vendues à une société appelée Cambridge Analytica et à une entité liée, Strategic Communication Laboratories Elections Ltd. ( « SCL »), qui, à leur tour, avaient utilisé les données achetées à M. Kogan pour aider leurs clients à cibler leurs messages politiques vers des électeurs potentiels en vue de l’élection présidentielle américaine qui allait alors avoir lieu.

Lors de son lancement en 2013, TYDL avait accepté la Politique de la plateforme et les Conditions de service de Facebook. En 2014, Facebook a publié une version 2 (v.2) de son protocole de communication, Graph API, en vertu de laquelle les développeurs tiers ne pouvaient plus demander l’autorisation d’accéder aux données concernant les amis Facebook des utilisateurs-installateurs à moins que le développeur de l’application, par le biais d’une demande d’accès à d’autres renseignements personnels, puisse démontrer que les données seraient utilisées pour « améliorer l’expérience des utilisateurs dans l’application ». Le processus d’examen des demandes d’accès à d’autres renseignements personnels a été introduit conjointement avec Graph API v.2 sous le nom d’« App Review ». Bien que Graph API v.2 soit entré en vigueur en 2014, les applications existantes ont bénéficié d’une période de grâce d’un an avant d’être tenues de se conformer à la nouvelle version. À la suite de l’annonce concernant Graph v2, M. Kogan a demandé d’avoir accès à d’autres renseignements personnels, mais Facebook a rejeté sa demande au motif que l’utilisation qu’il comptait en faire (à des fins de recherche) n’améliorerait pas l’expérience des utilisateurs. Néanmoins, M. Kogan a continué à collecter des données dans le cadre de Graph API v.1, sans vigilance accrue de la part de Facebook. En conséquence, bien que seulement 272 utilisateurs canadiens aient installé l’application TYDL, Facebook estime que les données de plus de 600?000 Canadiens ont ainsi vraisemblablement été communiquées.

En 2015, lorsque ces faits ont été révélés au grand public, Facebook a retiré l’application TYDL de sa plateforme et a demandé à Cambridge Analytica de supprimer les données qu’elle avait obtenues. Facebook n’a pas informé les utilisateurs concernés que leurs données Facebook avaient été collectées et vendues. Ce n’est qu’en 2018 que Facebook a suspendu M. Kogan et Cambridge Analytica de sa plateforme. Après avoir reçu la plainte, le commissaire à la protection de la vie privée a mené une enquête et a conclu que Facebook n’avait pas obtenu le consentement valable et éclairé des utilisateurs quant à la communication de leurs renseignements aux applications, et que Facebook n’avait pas protégé les données de ses utilisateurs. En conséquence, en février 2020, le commissaire à la protection de la vie privée a déposé devant la Cour fédérale un avis de demande alléguant que Facebook avait manqué aux obligations énoncées à l’annexe 1 de la LPRPDE qui lui incombaient en vertu de l’al. 5(1)a) de cette loi en partageant les renseignements personnels des utilisateurs de Facebook avec des applications tierces hébergées sur sa plateforme.

La Cour fédérale a rejeté la demande. La Cour d’appel fédérale a accueilli l’appel et a fait droit, en partie, à la demande du commissaire à la protection de la vie privée.