Protection de la vie privée dans le contexte des plateformes en ligne : les limites des fiducies de données et du devoir fiduciaire de loyauté

Résumé

Les lois de protection des renseignements personnels se sont traditionnellement ancrées dans une perspective individualiste de la vie privée dont la pierre angulaire est le mécanisme du consentement individuel. Face aux géants du web, dont le modèle d’affaires repose sur l’analyse de données personnelles, cette perspective paraît inadaptée : elle tient insuffisamment compte des asymétries de pouvoir et d’information en présence et suppose à tort la vie privée comme une question de nature individuelle en omettant ses implications collectives. Elle peine ainsi à protéger adéquatement les personnes et facilite de ce fait la survenance d’effets individuels et sociétaux préjudiciables. Cet article rappelle d’abord les principales limites de la conception individualiste de protection de la vie privée – le modèle du notice and choice, ou notice and consent – au regard des pratiques des plateformes en ligne. Sont ensuite envisagées, dans une perspective critique, deux pistes de solution juridiques issues d’une conception collective de la vie privée : les fiducies de données et leur appréhension par le droit commun québécois, suivies des obligations fiduciaires de common law, et plus particulièrement le devoir fiduciaire de loyauté. Si ces pistes de solution semblent prometteuses à plusieurs égards, elles présentent toutes deux des limites importantes qui rendent difficilement concevable leur implémentation. D’une part, les fiducies de données, reposant sur le choix individuel de confier ses renseignements personnels à un acteur externe, reproduisent les difficultés liées au mécanisme de consentement individuel du modèle classique de notice and choice. Leur mise en oeuvre effective requiert également l’intérêt, la compréhension et la confiance des personnes dans le mécanisme, des garanties loin d’être acquises. D’autre part, l’imposition d’un devoir de loyauté obligerait les plateformes à modifier en profondeur leurs pratiques commerciales actuelles, des changements qui ne s’imposeraient pas sans résistance. Le droit à la vie privée, tant dans sa conception individuelle que collective, ne suffit pas à protéger adéquatement les personnes dans l’environnement numérique. D’autres domaines de régulation doivent être appelés à intervenir.

Mots-clés :

• vie privée,
• données personnelles,
• fiducies (trusts),
• plateformes,
• devoir de loyauté

Abstract

Privacy laws have traditionally been rooted in an individualistic perspective of privacy based on the mechanism of individual consent. When considering the practices of the web giants, whose business model is based on the exploitation of personal data, this perspective seems inadequate: it takes insufficient account of the asymmetries of power and information involved and wrongly assumes that privacy is an individual matter. It therefore fails to adequately protect individuals and thus facilitates the occurence of harmful effects. We first recall the limits of the individualistic conception of privacy protection – the notice and choice or notice and consent model – in relation to the online platforms practices. We then critically consider two solutions based on a collective conception of privacy: data trusts and their apprehension by Quebec civil law, followed by canadian common law fiduciary duties, and more particularly the fiduciary duty of loyalty. While these approaches seem promising, they both have significant limitations that make their implementation difficult to conceive. Firstly, data trusts, based on individual choice to entrust one's data to an external actor, replicate the difficulties associated with the notice and choice model. Their effective implementation also presupposes the interest, understanding and trust of individuals in the mechanism, which are far from being acquired. Secondly, the imposition of a duty of loyalty would require platforms to dramatically change their current business practices, changes that would not come without resistance. Privacy law, both in its individual and collective conception, is insufficient to adequately protect individuals in the digital environment. Other areas of regulation must be brought into play.

Keywords:

• privacy law (online privacy),
• personal data,
• trusts,
• platforms,
• duty of loyalty