En août 2015, le Département du commerce américain « USDC » qualifiait la connexion à un réseau Internet de besoin essentiel. Cette qualification, comparant l’Internet de haut débit à des matières vitales comme l’eau et l’électricité, illustre l’importance et l’omniprésence de l’Internet en tant qu’infrastructure essentielle pour la communauté. Une telle qualification entraîne néanmoins plusieurs ramifications législatives et règlementaires.
À ce sujet, le bureau du « Wireless Competition » de la Federal Communication Commission « FCC » a adopté, le 27 octobre dernier, de nouvelles règles en matière de vie privée. L’objectif : forcer les fournisseurs de service Internet « FSI » à obtenir le consentement au préalable de leurs utilisateurs pour amasser et distribuer des données sur leur utilisation personnelle d’Internet.
À cet égard, la FCC espère favoriser la venue de multiples résultats telles la transparence et la sécurité des informations personnelles :
En fait, la nouvelle règlementation vient renverser le statu quo selon lequel les fournisseurs américains peuvent collecter et distribuer un amalgame de données personnelles sur leurs utilisateurs, à moins que ceux-ci n’y renoncent explicitement.
En matière de télécommunications, il existe deux procédés opposés pour obtenir le consentement des consommateurs : le consentement exprès, dit le « opt in » et le consentement par défaut, dit le « opt out ». Le premier nécessite l’approbation au préalable du consommateur, par option d’adhésion, à la collecte d’informations personnelles. À l’inverse, le second requiert que le consommateur se retire, voire se désengage, dans l’optique d’être soustrait à la collecte de l’information et donc de manifester son désaccord.
Par l’entremise de cette nouvelle règlementation, la FCC met en place une structure se basant sur la sensibilité des informations personnelles recueillies. Le caractère sensible de l’information dictera par la suite le type de consentement devant être obtenu. À ce sujet, le communiqué de presse de la FCC énonce clairement quelles informations constituent de l’information sensible et devront donc obtenir un « consentement exprès », soit un « opt-in » :
« Opt-in: ISPs are required to obtain affirmative “opt-in” consent from consumers to use and share sensitive information. The rules specify categories of information that are considered sensitive, which include precise geo-location, financial information, health information, children’s information, social security numbers, web browsing history, app usage history and the content of communications. »
De façon résiduelle, les FSI pourront donc utiliser et partager les informations dites non sensibles, à moins que l’utilisateur ne se désengage.
En pratique, la FCC passe d’une structure où les consommateurs de services Internet étaient « par défaut » consentant à ce que leurs informations personnelles sensibles soient colligées à un régime dans lequel le consommateur est désormais non consentant « par défaut ».
Mentionnons également qu’en plus du changement aux deux structures de consentement, les fournisseurs d’Internet américains ne pourront plus refuser de servir un consommateur qui refuse la collecte et le partage de ses informations.
La règlementation vise également à encourager la protection des données recueillies et partagées par les FSI en obligeant ces derniers à divulguer à l’utilisateur toute violation à la protection de ses informations personnelles.
Cette nouvelle règlementation marque d’ailleurs un avancement pour la protection des droits des consommateurs américains face aux innovations technologiques de plus en plus intrusives. Tom Wheeler, président de la FCC, explique :
« The more our economy and our lives move online, the more information about us goes over our Internet Service Provider (ISP) – and the more consumers want to know how to protect their personal information in the digital age. »
Bien qu’innovatrice aux États-Unis, cette nouvelle règlementation est bien moins étonnante pour les acteurs canadiens de l’industrie des télécommunications. En effet, les règles américaines proposées par la FCC s’inscrivent en concordance avec le cadre législatif et règlementaire canadien actuel, tel que le prévoit la Loi sur la protection des renseignements personnels et les documents électroniques. La législation canadienne est limpide au sujet du consentement : « Toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir [explicitement], à moins qu’il ne soit pas approprié de le faire ». Notons que ces principes ont d’ailleurs été confirmés à deux reprises dans la décision de télécom CRTC 2015-462 du Conseil de la radiodiffusion et des télécommunications canadiennes et dans l’enquête du Commissariat à la protection de la vie privée.
Somme toute, la nouvelle règlementation s’inscrit dans un contexte assez précaire pour les principaux fournisseurs de services Internet qui comptaient monnayer leur inventaire publicitaire plus efficacement. Les FSI américains ont récemment procédé à des transactions monstres dans l’optique d’augmenter leurs revenus publicitaire en ciblant davantage les consommateurs. Cette règlementation entrave directement leurs projets. Mentionnons simplement le cas d’AT&T qui vient de lancer une offre publique d’achat de l’ordre de 85.4 milliards $ US pour acquérir Time Warner. Nul besoin de dire qu’une majorité des actionnaires d’AT&T seront sûrement les premiers frondeurs de cette règlementation. Qui sait, ce fiévreux combat opposant la monétisation des données personnelles et la protection de la vie privée se règlera peut-être même finalement devant les tribunaux ?