Recours collectif contre TikTok : à la défense des renseignements personnels des mineurs

Or, en parallèle avec cette réussite inégalée en affaires, plusieurs préoccupations ont été soulevées à l’encontre de cette entreprise d’origine chinoise, notamment au niveau de la collecte et protection des renseignements personnels.

Dans les lignes qui suivent, nous allons vous résumer les principales obligations qu’impose la Loi sur la protection des renseignements personnels dans le secteur privé et, par la suite, discuter brièvement des problématiques observées chez Tik Tok en matière de protection des renseignements personnels des mineurs.

D’abord, la Loi sur la protection des renseignements personnels dans le secteur privé¹ (ci-après la « LPRPSP »), impose l’obligation aux entreprises qui recueillent des renseignements personnels auprès de mineurs de moins de 14 ans au Québec d’obtenir préalablement le consentement du titulaire de l’autorité parentale ou du tuteur, sauf si la collecte est au bénéfice de ce mineur².

Dans un mémoire de la Commission des droits de la personne et des droits de la jeunesse, intitulé « Mémoire à la Commission des institutions de l’Assemblée nationale Projet de loi no 64, loi modernisant les dispositions législatives en matière de protection des renseignements personnels³ », une des recommandations proposées par la Commission est justement de prendre en considération l’intérêt de l’enfant ainsi que le droit de l’enfant d’exprimer son opinion et d’être entendu.

Effectivement, la Commission soulève un point important qui est souvent ignoré. Il est dangereux de requérir systématiquement le consentement du titulaire de l’autorité parentale aux dépens des droits des mineurs⁴. Dans certains cas, cela peut « mettre en péril le droit du mineur à la sûreté et à l’intégrité de sa personne ainsi que le droit à la sauvegarde de sa dignité.⁵» Un des exemples mentionnés par la Commission est la situation de violence familiale⁶.

Plus précisément sur la notion de consentement, la LPRPSP prévoit ce qui suit :

• « 14. Un consentement prévu à la présente loi doit être manifeste, libre, éclairé et être donné à des fins spécifiques. Il est demandé à chacune de ces fins, en termes simples et clairs. Lorsque la demande de consentement est faite par écrit, elle doit être présentée distinctement de toute autre information communiquée à la personne concernée. Lorsque celle-ci le requiert, il lui est prêté assistance afin de l’aider à comprendre la portée du consentement demandé.
  
  Le consentement du mineur de moins de 14 ans est donné par le titulaire de l’autorité parentale ou par le tuteur. Le consentement du mineur de 14 ans et plus est donné par le mineur, par le titulaire de l’autorité parentale ou par le tuteur.
  
  Le consentement ne vaut que pour la durée nécessaire à la réalisation des fins auxquelles il a été demandé.
  
  Un consentement qui n’est pas donné conformément à la présente loi est sans effet. »
  

Il est important de noter que la loi exige que le consentement soit manifeste, libre et éclairé, à défaut de quoi, il serait sans effet.

Pour les mineurs de moins de 14 ans, non seulement les entreprises doivent obtenir le consentement du titulaire de l’autorité parentale ou du tuteur, mais elles doivent également l’informer :

1. des fins auxquelles ces renseignements sont recueillis;
2. des moyens par lesquels les renseignements sont recueillis;
3. des droits d’accès et de rectification prévus par la loi;
4. de son droit de retirer son consentement à la communication ou à l’utilisation des renseignements recueillis⁷.
   

Dans sa Demande pour autorisation d’exercer une action collective et pour être désignée représentante, la demanderesse, en sa qualité de tuteur d’enfants mineurs, reproche justement à TikTok d’avoir violé leur droit au respect de leur vie privée et d’avoir contrevenu à la LPRPSP notamment pour ne pas avoir obtenu un consentement valable avant de recueillir des renseignements sensibles. À titre d’illustrations, en reprenant la politique de confidentialité de TikTok, la demanderesse indique que ces renseignements peuvent inclure des renseignements directement recueillis chez l’utilisateur comme des adresses courriel; des renseignements recueillis de manière automatisée comme des données de géolocalisation et l’historique des vidéos visionnées; et des renseignements recueillis d’autres sources. De plus, elle reproche à TikTok d’avoir diffusé des publicités ciblées qui visent directement les enfants.  

Selon la poursuite, TikTok n’a pas pris des mesures efficaces en matière de vérification d’âge. Par exemple, un mineur peut falsifier sa date de naissance afin d’accéder à l’application.

Par ailleurs, plusieurs commissariats d’accès à l’information au Canada ont mené récemment une enquête conjointe sur TikTok qui vise à évaluer la conformité de TikTok à la loi fédérale et aux lois provinciales en matière de protection de renseignements personnels.

Les commissariats ont déterminé que TikTok n’a pas obtenu valablement le consentement de ses utilisateurs, à la fois majeurs et mineurs⁸. En effet, selon les commissariats, même si TikTok exige que les utilisateurs acceptent leurs conditions d’utilisation et leur politique de confidentialité lors de l’ouverture du compte, leur consentement n’est pas valable au sens de la loi, puisque TikTok n’offre pas une explication suffisante de leurs pratiques liées au profilage et à la personnalisation de contenu.  

Vu ce qui précède, il est important de se rappeler qu’il faut être vigilants dans l’utilisation des applications téléphoniques ou des médias sociaux, surtout lorsque ceux-ci sont utilisés par les enfants.

Parallèlement, les entreprises, pour éviter les recours en justice, doivent vérifier soigneusement leurs mécanismes de collecte de renseignements personnels lorsqu’elles déploient des services en ligne afin de s’assurer que celles-ci respectent les obligations imposées par la loi, surtout lorsque des mineurs sont concernés car ceux-ci pourraient être amenés à fournir des renseignements personnels sans bien comprendre les conséquences et les implications. En effet, certains renseignements personnels peuvent être extrêmement sensibles (tels que les noms, les adresses IP, les données biométriques, les mots de passe, etc.), ce qui pourrait les exposer à des risques de préjudice sérieux (extorsion, hypertrucages, pornographie juvénile, etc.).