Les États-Unis et l’Union européenne ont récemment conclu une nouvelle entente de principe pour permettre aux entreprises américaines de continuer à recueillir, utiliser et communiquer des renseignements personnels de citoyens européens dans le respect de leurs droits fondamentaux. Pour bien comprendre l’importance de cette nouvelle entente, il faut savoir que dans un arrêt du 6 octobre 2015, la Cour de justice de l’Union européenne avait déclaré invalide l’ancien régime de partage des données – surnommé « Safe Harbor » – qui encadrait notamment la conservation par de nombreuses entreprises américaines, dont les géants du Web comme Facebook et Google, de renseignements personnels concernant des européens. Cet accord transnational prévoyait un mécanisme d’auto-certification des entreprises américaines par lequel ces dernières s’engageaient à respecter un certain nombre de principes directeurs applicables dans l’Espace économique européen (EEE), moyennant quoi elles pouvaient obtenir l’autorisation de recueillir et conserver des renseignements personnels en provenance de l’Union européenne. Rappelons qu’un accord de cette nature est nécessaire pour permettre aux entreprises américaines de détenir des renseignements personnels de citoyens européens puisque le cadre législatif applicable aux États-Unis n’offre pas « le niveau de protection adéquat » des renseignements personnels exigé par les autorités européennes. Or, dans la foulée des révélations d’Edward Snowden relatives à la surveillance de masse exercée par les autorités américaines à partir des données informatiques de plusieurs grandes entreprises, Maximillian Schrems, un citoyen autrichien, a obtenu l’invalidation par la Cour de justice de l’Union européenne de l’accord Safe Harbor1. La Cour y concluait qu’« une réglementation permettant aux autorités publiques d’accéder de manière généralisée au contenu de communications électroniques doit être considérée comme portant atteinte au contenu essentiel du droit fondamental à la vie privée ». Bien que cette décision était en principe d’application immédiate, le Groupe de travail sur la protection des données (surnommé le « G29 ») — un organe consultatif européen indépendant sur la protection des données et de la vie privée — a sommé les institutions européennes et le gouvernement américain d’agir avant le 31 janvier 2016 pour mettre en place une solution de remplacement. C’est dans ce contexte que le 2 février 2016, la Commission européenne a fait l’annonce très attendue d’un nouvel accord de principe avec les États-Unis, baptisé « Privacy Shield ». Les détails de cet accord n’ont pas encore été dévoilés, mais nous savons d’ores et déjà que le nouveau dispositif imposera des obligations plus strictes et un contrôle plus rigoureux aux entreprises américaines qui traitent des renseignements à caractère personnel en provenance de l’Union européenne. Il est en outre à prévoir que l’accès à ces renseignements par les autorités américaines sera plus étroitement encadré et transparent. Bien qu’en principe cette entente n’affecte pas directement les entreprises canadiennes qui recueillent, utilisent ou communiquent des renseignements personnels de citoyens européens, les entreprises d’ici qui détiennent une filiale américaine ou ont une place d’affaires aux États-Unis et recueillent des renseignements personnels en provenance d’Europe, de même que les entreprises qui confient à un tiers situé aux États-Unis des tâches qui nécessitent la transmission de renseignements personnels sur les ressortissants européens, par exemple à des fins d’hébergement, seraient bien avisées de s’assurer de respecter les conditions de cette nouvelle entente lorsqu’elle entrera en vigueur. Plus de nouvelles à suivre.   Schrems c. Data Protection Commissioner, 2000/520/CE, Cour de justice de l’Union européenne, 6 octobre 2015.

Alors que les entreprises canadiennes se remettent à peine de la première phase de la Loi canadienne anti-pourriel (LCAP), qui vise principalement à encadrer l’envoi de messages électroniques commerciaux non sollicités, une nouvelle série d’exigences applicables à l’installation non autorisée de programmes d’ordinateur est entrée en vigueur le 15 janvier 2015. Tout comme le régime applicable aux messages électroniques commerciaux, le deuxième volet de la Loi canadienne anti-pourriel repose sur un mécanisme d’adhésion plutôt que sur un mécanisme d’autoexclusion. En d’autres mots, lorsque quelqu’un désire installer un logiciel ou un programme informatique sur l’appareil de quelqu’un d’autre, il doit désormais obtenir le consentement du propriétaire ou de l’utilisateur autorisé de l’appareil. Le législateur n’a pas restreint le champ d’application de la loi à des appareils en particulier. Ainsi, l’installation d’un logiciel ou d’un programme informatique sur un ordinateur, un téléphone intelligent, une tablette ou une console de jeu est susceptible d’être visée par le nouveau régime. Il en va de même de l’installation d’un logiciel ou d’un programme informatique sur tout autre dispositif qui a une composante informatique, incluant les voitures, les articles de maison connectés, les montres intelligentes, etc. Puisque l’installation personnelle d’un logiciel ou d’un programme informatique n’est pas visée par la loi, il faut garder à l’esprit que le nouveau régime s’applique uniquement lorsqu’une entreprise installe ou est la source de l’installation d’un logiciel sur l’appareil d’une autre personne dans le cadre d’activités commerciales. À titre d’exemple, le nouveau régime ne s’applique pas lorsque la personne télécharge une application sur son propre appareil. La loi ne s’applique pas non plus à l’employeur qui installe un logiciel ou un programme informatique sur les appareils de l’entreprise. À l’inverse, si l’employeur veut installer un logiciel ou un programme informatique sur un appareil appartenant à l’employé, il doit d’abord obtenir son consentement. En outre, plusieurs cas sont prévus par la loi où la personne est réputée consentir à l’installation du logiciel ou du programme informatique. Notons, par exemple, l’installation de témoins de connexion, de code HTML, de JavaScript ou d’un système d’exploitation tel que Windows, OS/IOS, Linux, Android, Unix et BlackBerry OS. Pour l’instant, si un logiciel ou un programme informatique a été installé sur l’ordinateur d’une autre personne avant le 15 janvier 2015, la personne est également réputée avoir consenti tacitement à l’installation des mises à jour jusqu’au 15 janvier 2018. LE CONSENTEMENT DU PROPRIÉTAIRE OU DE L’UTILISATEUR AUTORISÉ Le consentement exprès doit être recueilli auprès du propriétaire de l’appareil ou d’un utilisateur autorisé. La loi ne définit pas la notion d’ « utilisateur autorisé ». Selon le CRTC, l’utilisateur autorisé s’entend de quiconque a la permission d’utiliser l’appareil. Par exemple, l’employé qui utilise l’appareil fourni par l’entreprise, le conjoint ou les enfants qui utilisent l’appareil familial, le locataire d’un appareil et la personne qui effectue une réparation sur l’appareil, mais uniquement dans la mesure où cette personne effectue les réparations convenues sont des autorisations conformes. Lorsqu’une personne doit obtenir un consentement, elle doit préalablement communiquer au propriétaire ou à l’utilisateur autorisé en termes simples et clairs les renseignements suivants : le motif pour lequel le consentement est sollicité l’identité de la personne qui sollicite le consentement si le consentement est sollicité au nom de quelqu’un d’autre, une déclaration indiquant le nom de la personne qui demande le consentement et le nom de la personne pour qui le consentement est sollicité l’adresse postale et un autre type de coordonnées de cette personne une déclaration indiquant que la personne dont le consentement est demandé peut retirer son consentement une description en termes généraux des fonctions et du but du programme d’ordinateur à être installé En outre, si le logiciel ou le programme informatique recueille des renseignements personnels, interfère avec le contrôle de l’appareil, modifie les réglages de l’appareil ou les données sauvegardées, provoque la communication avec un autre appareil ou permet à un tiers de se connecter à distance à l’insu du propriétaire ou de l’utilisateur autorisé, le consentement doit également prévoir les renseignements suivants : une description de ces fonctions et leur raison d’être une description des effets que ces fonctions auront sur le fonctionnement de l’appareil Toutes les exigences relatives au consentement doivent être remplies avant que le logiciel ou le programme d’ordinateur soit installé. Quant au consentement lui-même, il ne se présume pas et le fardeau de la preuve repose toujours sur la personne qui installe ou cause l’installation d’un logiciel ou d’un programme d’ordinateur. UNE SANCTION DE 1,1 MILLION DE DOLLARS POUR AVOIR ENFREINT LA LOI CANADIENNE ANTI-POURRIEL Le CRTC a récemment réprimandé une entreprise québécoise pour avoir envoyé des messages électroniques commerciaux sans le consentement des destinataires et pour avoir transmis des messages contenant des mécanismes de désabonnement qui ne fonctionnaient pas correctement. La sanction pécuniaire s’élève à 1 100 000 $ pour quatre violations à la loi. L’entreprise dispose d’un délai de 30 jours pour présenter par écrit des observations au CRTC ou payer la sanction. Elle peut également se prévaloir de l’option de demander un engagement auprès du CRTC pour traiter cette question. Rappelons que la Loi canadienne anti-pourriel prévoit des pénalités sévères pour les personnes qui ne se conformeront pas à ses dispositions, incluant celles relatives à l’installation non autorisée de programmes d’ordinateur. En effet, une personne qui y contrevient s’expose à des sanctions administratives pécuniaires qui peuvent atteindre 1 000 000 $ dans le cas d’une personne physique et 10 000 000 $ dans le cas de toute autre personne. À compter du 1er juillet 2017, la loi permettra également à toute personne qui subit une perte ou un dommage en raison du non-respect des dispositions de la loi de demander au tribunal compétent de rendre une ordonnance condamnant la personne responsable à lui payer le montant de ces dommages, majoré de dommages liquidés qui peuvent atteindre 1 000 000 $. CONCLUSION Bien que cette deuxième phase de la Loi canadienne anti-pourriel vise principalement à protéger les consommateurs et les entreprises canadiennes contre l’installation de logiciels malveillants ou espions qui sont souvent particulièrement dommageables pour l’usager, il ne faut pas perdre de vue que les nouvelles exigences sont susceptibles de s’appliquer à plusieurs autres situations. Il est donc important que les entreprises revoient leurs pratiques à cet égard pour s’assurer qu’elles sont conformes aux dispositions de la loi.

En décembre 2010, le Parlement fédéral adoptait la Loi visant à promouvoir l’efficacité et la capacité d’adaptation de l’économie canadienne par la réglementation de certaines pratiques qui découragent l’exercice des activités commerciales par voie électronique1, mieux connue sous le nom de « Loi canadienne anti-pourriels » (LCAP). La loi vise essentiellement à protéger les consommateurs et les entreprises canadiennes contre les pourriels non sollicités, les représentations commerciales fausses ou trompeuses, les logiciels malveillants et autres menaces électroniques. Son entrée en vigueur est prévue pour le 1er juillet 2014.Le nouveau régime repose sur un mécanisme d’adhésion plutôt que sur un mécanisme d’exclusion. Ainsi, à compter de l’entrée en vigueur de cette loi, il sera interdit de transmettre un message électronique commercial sans avoir le consentement de son destinataire. Les entreprises canadiennes qui utilisent la messagerie électronique ou les réseaux sociaux pour informer et solliciter leur clientèle devront donc revoir leurs pratiques pour se conformer à la loi, sans quoi elles s’exposeront à des sanctions administratives et à des poursuites civiles. Des mesures transitoires sont toutefois prévues pour donner le temps aux entreprises d’ajuster leurs pratiques.La définition de « message électronique commercial » au sens de la loi est large et couvre l’ensemble des messages électroniques, y compris les messages textuels (communément appelés textos ou SMS), sonores, vocaux ou visuels, pour lesquels il est raisonnable de conclure qu’ils ont pour but d’encourager la participation à une activité commerciale. Un message électronique qui fait la promotion d’une offre d’achat, de vente ou de louage d’un produit ou d’un service constitue donc un message électronique commercial visé par cette loi. Il en va de même de celui qui fait la promotion d’une personne en sa qualité d’acheteuse, de vendeuse ou de loueuse d’un produit ou d’un service ou impliquée dans le domaine des affaires, de l’investissement ou du jeu.Puisque les activités non commerciales ne sont pas visées par la loi, il faut garder à l’esprit que les partis politiques, les organismes de charité ainsi que les sociétés qui procèdent à des études de marché ou des sondages ne sont généralement pas visés par la loi, à moins que leurs messages électroniques ne visent la vente ou la promotion d’un produit.En outre, plusieurs cas d’exception sont prévus par la loi. Notons, par exemple, que l’interdiction ne vise pas les messages transmis entre des personnes ayant des liens personnels ou familiaux, ni les messages électroniques commerciaux visant à répondre à un destinataire qui a demandé des informations relatives au prix ou une estimation pour la fourniture ou la livraison de biens, produits ou services.Pour l’instant, l’interdiction ne vise pas non plus les communications vocales par téléphone, actuellement réglementées par la Loi sur les télécommunications2 (au moyen, notamment, de la Liste nationale de numéros de télécommunication exclus). Cette exception est cependant sujette à abrogation par voie de décret si le gouvernement l’estime approprié.Le consentement exprès ou implicite du destinataireLe consentement requis pour transmettre un message électronique commercial peut être exprès ou implicite. Les situations où l’expéditeur d’un tel message peut se fonder sur le consentement implicite du destinataire sont déterminées par la loi. Par exemple, la loi prévoit qu’il y a consentement implicite lorsque l’expéditeur et le destinataire ont eu des relations d’affaires au cours des deux ans précédant la date d’envoi du message. Il en va de même lorsque le destinataire s’est enquis auprès de l’expéditeur à l’égard d’un bien, produit ou service au cours des six mois précédant la date du message.Le consentement du destinataire est également implicite si ce dernier a publié bien en vue son adresse électronique sans ajouter de mention à l’effet qu’il ne veut pas recevoir de messages électroniques commerciaux non sollicités, dans la mesure, bien entendu, où le message transmis a un lien avec l’emploi ou l’entreprise du destinataire ou ses fonctions au sein de cette entreprise.Le consentement est aussi implicite lorsque le destinataire a communiqué son adresse électronique à l’expéditeur sans aucune mention précisant qu’il ne veut recevoir aucun message électronique commercial non sollicité et, encore une fois, dans la mesure où ce message a un lien avec l’emploi ou l’entreprise du destinataire ou encore avec ses fonctions au sein de cette entreprise.Enfin, l’existence de relations privées entre l’expéditeur et le destinataire au cours des deux ans précédant l’envoi du message permet également, dans les cas prévus par la loi, de déduire le consentement implicite du destinataire à la transmission d’un message électronique commercial.Dans tous les autres cas où la loi ne permet pas d’inférer un consentement implicite, le consentement exprès du destinataire est requis pour lui transmettre un message électronique commercial. Ce consentement ne se présume pas et le fardeau de la preuve repose sur l’expéditeur.Pour obtenir ce consentement, l’expéditeur doit énoncer en termes simples et clairs les fins pour lesquelles il le sollicite; il doit aussi inclure des renseignements permettant de l’identifier (ou si l’expéditeur sollicite le consentement au nom d’une autre personne, les renseignements qui permettent d’identifier cette autre personne). L’étendue des renseignements qui doivent être donnés pour identifier la personne qui recherche un consentement est précisée dans les règlements.Il est important de noter qu’à compter de l’entrée en vigueur de la loi une demande de consentement constituera elle-même un message électronique commercial; il ne sera donc pas permis de demander ce consentement par voie électronique.Le mécanisme de retrait du consentement et la forme des messages électroniques commerciauxLa loi prévoit que toute personne qui transmet un message électronique commercial à une autre doit mettre en place un mécanisme d’exclusion permettant au destinataire de pouvoir retirer son consentement à recevoir des messages électroniques commerciaux de cet expéditeur. L’expéditeur doit permettre au destinataire d’exprimer sa volonté par voie électronique, que ce soit par courriel ou par l’intermédiaire d’un site Web, sans frais et en tout temps. L’expéditeur doit donner suite à toute demande de retrait à l’intérieur d’un délai de 10 jours.La description de ce mécanisme d’exclusion doit apparaître dans le message électronique commercial qui doit, en outre, comporter des renseignements sur l’identité de la personne qui envoie le message ou, si le message est envoyé au nom d’une autre personne, une mention indiquant le nom de la personne qui envoie le message et celui au nom de qui il est envoyé. Le message électronique commercial doit également comporter l’adresse postale et soit le numéro de téléphone donnant accès à un agent de service ou à un service de messagerie vocale, soit l’adresse de courriel ou du site Web de la personne qui envoie le message ou, le cas échéant, de celle au nom de qui il est envoyé.Si, dans la pratique, il est impossible d’inclure ces renseignements et le mécanisme d’exclusion dans le message électronique commercial, ils peuvent être affichés sur une page Web facilement accessible sans frais par le destinataire au moyen d’un lien indiqué dans le message en termes clairs et facilement lisibles.Les sanctions administratives et le droit privé d’actionLa Loi canadienne anti-pourriels prévoit des pénalités sévères pour les personnes qui ne se conformeront pas à ses dispositions. En effet, une personne qui y contrevient s’expose à des sanctions administratives pécuniaires qui peuvent atteindre 1 000 000 $ dans le cas d’une personne physique et 10 000 000 $ dans le cas de toute autre personne.De plus, l’existence d’un droit privé d’action contre l’expéditeur d’un message électronique commercial non sollicité constitue un point crucial de ce nouveau régime. En effet, la loi permet à toute personne qui subit une perte ou un dommage en raison du nonrespect des dispositions de la loi par l’expéditeur d’un message électronique commercial de demander au tribunal compétent de rendre une ordonnance condamnant cet expéditeur à lui payer le montant de ces dommages, majoré de dommages liquidés qui peuvent atteindre 1 000 000 $. Ainsi, les destinataires d’un pourriel qui auraient subi des dommages après s’être fiés à une information trompeuse qui y figurait pourraient, par exemple, former un recours collectif pour faire valoir leurs revendications communes sur la base de cette nouvelle loi.ConclusionLes messages électroniques non sollicités sont une nuisance qui mérite qu’on s’y attaque. D’ailleurs, le Canada est la seule juridiction du G8 qui n’avait pas encore de mesures spécifiques pour réglementer ou interdire les pourriels. Cependant, l’obligation d’obtenir le consentement des destinataires de messages électroniques commerciaux, lesquels n’ont le plus souvent rien à voir avec les pourriels, ne manquera pas pour plusieurs entreprises de se révéler ardue et coûteuse.Il est donc important que les entreprises revoient leurs listes d’envois électroniques pour s’assurer qu’elles sont conformes aux dispositions de la loi, c’est-à-dire que les personnes dont le nom s’y trouve ont donné leur consentement exprès à recevoir des messages électroniques commerciaux de l’entreprise ou que l’entreprise peut se fonder sur le consentement implicite de ces personnes. À défaut, les entreprises devront obtenir les consentements adéquats. Rappelons que les entreprises défaillantes s’exposeront à des pénalités substantielles et à des réclamations qui pourraient être décuplées par l’introduction de recours collectifs visant des centaines, voire des milliers de destinataires qui se considèrent lésés._________________________________________1 L.C. 2010, c. 23.2 L.C. 1993, c. 38.

Commanditaire : votre responsabilité sous la loupe Divulgation volontaire : Est-ce toujours une avenue si intéressante pour les contribuables repentants? La Cour d’appel reconnaît le droit de faire payer les honoraires d’avocats par un débiteur en défaut Chambre des notaires du Québec c. Procureur général du Canada et Agence du revenu du Canada et Barreau du Québec