L'application de Tim Hortons a enfreint les lois sur la protection des renseignements personnels en recueillant de « grandes quantités » de données de géolocalisation de nature sensible
GATINEAU, QC, le 1er juin 2022 /CNW Telbec/ - Les personnes qui avaient téléchargé l'application de Tim Hortons ont vu leurs déplacements suivis et enregistrés à quelques minutes d'intervalle chaque jour, même lorsque leur application n'était pas ouverte, ce qui contrevient aux lois québécoise et canadiennes sur la protection des renseignements personnels. Telles sont les conclusions d'une enquête menée conjointement par l'autorité fédérale de protection de la vie privée et ses homologues provinciaux.
L'enquête a révélé que cette vaste et continuelle collecte de données de géolocalisation par Tim Hortons n'était pas proportionnelle aux avantages que Tim Hortons aurait pu espérer tirer d'une publicité ciblée améliorée faisant la promotion de son café et de ses autres produits.
Le Commissariat à la protection de la vie privée du Canada, la Commission d'accès à l'information du Québec, le Commissariat à l'information et à la protection de la vie privée de la Colombie-Britannique et le Commissariat à l'information et à la protection de la vie privée de l'Alberta ont publié aujourd'hui leur rapport de conclusions.
Si l'application de Tim Hortons demandait la permission d'accéder aux services de géolocalisation de l'appareil mobile, elle a néanmoins trompé de nombreux utilisateurs en les amenant à croire que l'accès aux données ne s'effectuerait que lorsque l'application était ouverte. En réalité, l'application faisait le suivi des utilisateurs dès que leur appareil était allumé, recueillant ainsi continuellement leurs données de géolocalisation.
L'application se servait aussi des données de géolocalisation pour déduire où habitaient et travaillaient les utilisateurs, en plus d'établir s'ils étaient en déplacement. Elle générait un « événement » chaque fois que les utilisateurs entraient dans les lieux suivants ou en sortaient : concurrents de Tim Hortons, principaux sites où se tiennent des événements sportifs, lieu de résidence et lieu de travail.
L'enquête a permis de découvrir que Tim Hortons a continué à recueillir de grandes quantités de données de géolocalisation pendant une année après qu'elle eut délaissé ses plans relatifs à leur utilisation à des fins de publicité ciblée, et ce, même si elle n'avait aucun besoin légitime d'agir en ce sens.
L'entreprise a fait valoir qu'elle ne se servait des données de géolocalisation agrégées que de manière limitée, pour analyser les tendances des utilisateurs - en vue de déterminer, par exemple, si un utilisateur avait changé de chaîne de cafés-restaurants et en quoi les déplacements des utilisateurs s'étaient modifiés à mesure que la pandémie s'installait.
Tim Hortons a cessé d'effectuer le suivi continuel des données de géolocalisation des utilisateurs en 2020, après le début de l'enquête. Cependant, cette décision n'a pas éliminé le risque de surveillance. L'enquête a révélé que le contrat qu'avait conclu Tim Hortons avec un tiers américain fournisseur de services de géolocalisation contenait un libellé à ce point large et peu encadré que ce tiers aurait pu vendre les données de géolocalisation « dépersonnalisées » à ses propres fins.
Il existe un risque réel que les données de géolocalisation dépersonnalisées puissent être réidentifiées. Un rapport de recherche réalisé par le Commissariat à la protection de la vie privée du Canada a souligné à quel point il est facile d'identifier des individus grâce à leurs déplacements.
Les données de géolocalisation sont extrêmement sensibles puisqu'elles peuvent servir à déduire le lieu de résidence ou le lieu de travail des gens et à révéler des déplacements à destination d'une clinique médicale. Ces données peuvent être utilisées pour faire des déductions à propos de croyances religieuses, de préférences sexuelles, d'affiliations sociopolitiques et plus encore.
Les organisations doivent établir de solides mécanismes de protection contractuels pour limiter l'utilisation et la communication, par les fournisseurs de services, des données des utilisateurs obtenues au moyen de leur application, y compris sous forme dépersonnalisée. Ne pas agir en ce sens pourrait exposer les utilisateurs au risque que leurs données soient utilisées par des agrégateurs de données de manières qu'ils n'auraient jamais envisagées, notamment aux fins de profilage.
L'enquête a également révélé que Tim Hortons n'avait pas établi, pour l'application, un programme rigoureux de gestion de la protection de la vie privée, ce qui aurait permis à l'entreprise de cerner et de prévenir plusieurs des atteintes révélées par l'enquête.
Les quatre autorités de protection de la vie privée ont formulé les recommandations suivantes à l'intention de Tim Hortons :
- Supprimer toutes les données de géolocalisation restantes et exiger des fournisseurs de services tiers qu'ils fassent de même;
- Instaurer et maintenir un programme de gestion de la protection des renseignements personnels qui comprend ce qui suit : des évaluations des facteurs relatifs à la vie privée pour l'application en question et toute autre application qui pourrait être lancée, un processus permettant de s'assurer que les renseignements recueillis sont nécessaires et proportionnels aux répercussions sur la vie privée qui ont été relevées et des mécanismes pour veiller à ce que les communications relatives à la protection de la vie privée cadrent avec les pratiques liées à l'application et les expliquent de manière adéquate;
- Faire rapport de manière détaillée des mesures prises par l'entreprise pour se conformer aux recommandations.
Tim Hortons a accepté de mettre en œuvre ces recommandations.
CITATIONS
« Tim Hortons est allée beaucoup trop loin en amassant une très grande quantité de renseignements de nature très sensible au sujet de ses clients. Le fait de suivre les déplacements des personnes à quelques minutes d'intervalle, chaque jour, représentait manifestement une forme de surveillance inappropriée. Cette affaire révèle une fois de plus les torts que peuvent causer des technologies qui sont mal conçues. Elle fait aussi ressortir la nécessité d'établir des lois rigoureuses pour protéger les renseignements personnels des Canadiens. » - Daniel Therrien, commissaire à la protection de la vie privée du Canada
« Ce rapport illustre de façon éloquente les risques inhérents à l'utilisation de la géolocalisation et l'importance de pratiques de protection des renseignements personnels transparentes et responsables. Sans une évaluation préalable appropriée, Tim Hortons a recueilli des renseignements sensibles sur ses clients par le biais de son application, sans qu'ils en soient adéquatement informés ou y aient consenti. C'est pour mettre fin à ce genre de pratiques que le Québec a revu sa législation protégeant les renseignements personnels de manière à donner plus de pouvoirs à la Commission et à responsabiliser davantage les entreprises. » - Me Diane Poitras, présidente de la Commission d'accès à l'information du Québec
« Cette enquête envoie un message clair aux organisations : vous ne pouvez pas espionner vos clients simplement parce que cela s'inscrit dans votre stratégie de marketing. Non seulement ce genre de collecte de renseignements représente une violation de la loi, c'est aussi un abus de confiance total envers les clients. La bonne nouvelle dans cette affaire, c'est que Tim Hortons a accepté de suivre nos recommandations, et j'espère que d'autres organisations pourront tirer des leçons de cette enquête. » - Michael McEvoy, commissaire à l'information et à la protection de la vie privée de la Colombie-Britannique
« Cette enquête est un autre exemple où une organisation n'a pas informé efficacement ses clients de ses pratiques. Les clients de Tim Hortons ne disposaient pas de l'information nécessaire pour consentir au suivi de la localisation qui avait réellement lieu. Lorsque les gens téléchargent et utilisent ce type d'application, il est important qu'ils sachent à l'avance ce qu'il adviendra de leurs renseignements personnels, et que les organisations respectent leurs engagements. » - Jill Clayton, commissaire à l'information et à la protection de la vie privée de l'Alberta
Pour en savoir davantage
Déclaration de Me Diane Poitras, présidente de la Commission d'accès à l'information du Québec
Sources :
Dominique D'Anjou
Responsable des relations publiques
Commission d'accès à l'information du Québec
Téléphone : (418) 528-7741 poste 51319
[email protected]
@CAI_Quebec
Commissariat à la protection de la vie privée du Canada
[email protected]
Commissariat à l'information et à la protection de la vie privée de la Colombie-Britannique
[email protected]
Commissariat à l'information et à la protection de la vie privée de l'Alberta
[email protected]
SOURCE Commission d'accès à l'information
Partager cet article