Information, vie privée et diffamation

L’Agence mondiale antidopage en sait quelque chose. Victime d’une fuite de données en 2016, elle a illustré de manière éclatante que même les institutions sportives les plus en vue ne sont pas à l’abri des cyber incidents. Ce constat est désormais repris noir sur blanc par les autorités : dans un bulletin publié en 2024, le Centre canadien pour la cybersécurité prévient que l’ensemble de l’écosystème sportif, (spectateurs, athlètes, organisations et représentants gouvernementaux liés aux événements sportifs) fait l’objet de campagnes de cyberattaques ciblées.  Au programme, notamment : extorsion par compromission de courriels professionnels; rançongiciels; hameçonnage; sites malveillants; empoisonnement des moteurs de recherche. Or, lorsque survient un incident et qu’une déclaration aux autorités s’impose, il est bien souvent trop tard pour instaurer une gouvernance solide et faire preuve dediligence raisonnable. À l’heure actuelle, les compétitions sportives produisent un torrent de données. La quantité est effarante, leur nature quasi orwellienne. Les partisans et athlètes peuvent le constater dans les tableaux qui suivent Collecte sur les athlètes Collecte de renseignements sur les clients (en ligne) Structure des ligues Pour comprendre qui fait quoi en matière de protection des renseignements personnels, il faut d’abord regarder comment les ligues sportives sont organisées. Dans la plupart des cas, elles prennent la forme d’organismes sans but lucratif ou de sociétés par actions. Autour de cette structure se construit tout un cadre de règles qui définit à la fois la gouvernance et le modèle d’affaires. On y retrouve : D’abord les statuts et règlements généraux, qui encadrent la gouvernance, l’admission des clubs, le droit de vote, les pouvoirs du commissaire ou du conseil; S’ajoutent les règlements sportifs et de compétition, qui traitent notamment de l’éligibilité, du calendrier, des transferts, du repêchage, des plafonds salariaux ou des mécanismes de contrôle des coûts; Les ligues adoptent également des politiques d’intégrité et de sécurité contre le dopage, les paris et la manipulation, le harcèlement et les abus, ainsi que des conventions commerciales portant, entre autres, sur la diffusion, les commandites, la billetterie et l’exploitation des données. Dans certains cas, ce cadre est complété par des conventions collectives avec les associations de joueurs et des mécanismes formels de règlement des différends. Dans cet environnement, la ligue joue un rôle central. Elle dispose généralement du pouvoir : d’adopter, d’interpréter et de modifier ses règles; d’admettre de nouveaux clubs; de gérer les projets d’expansion et de relocalisation et les changements de contrôle; et d’imposer des sanctions comme des amendes, des retraits de points, des suspensions ou des exclusions. Elle centralise aussi les droits commerciaux stratégiques, les droits médias, les marques de commerce et les données et met en place des politiques de partage des revenus destinées à maintenir un certain équilibre concurrentiel entre les équipes. Rôles en matière de renseignements personnels Le club Dans la relation quotidienne avec l’athlète ou le client, le club est généralement le point de contact principal. C’est lui qui signe les contrats avec les joueurs, vend les billets, gère les abonnements, exploite la boutique en ligne et les programmes de fidélité. Concrètement, c’est souvent le club qui recueille les renseignements personnels, qui explique à quoi ils servent, qui décide des renseignements qu’il est nécessaire de recueillir et qui met en place les mesures de sécurité et de gestion des incidents. Le club doit donc être en mesure d’informer clairement l’athlète ou le client au moment de la collecte sur les finalités de la collecte, les moyens par lesquels s’effectue la collecte, les catégories de renseignements recueillis, les destinataires de ces renseignements et les droits dont ils bénéficient. Il doit limiter la collecte à ce qui est nécessaire et s’assurer de l’exactitude des renseignements, obtenir un consentement valide, manifeste, libre, éclairé et explicite pour les renseignements sensibles comme les données de santé ou biométriques, mettre en place des mesures de sécurité adaptées aux risques, gérer et déclarer les incidents de confidentialité susceptibles de causer un préjudice sérieux, répondre aux demandes d’accès et de rectification et encadrer rigoureusement la communication de renseignements à ses prestataires de services ou ses mandataires. Aux yeux des athlètes et des clients, le club est souvent perçu comme le véritable « détenteur » de leurs données. La Ligue Le rôle de la ligue en matière de renseignements personnels est plus difficile à saisir parce qu’il varie selon les activités. Lorsque la ligue collecte directement des renseignements auprès des personnes, par exemple via une application officielle, une plateforme de diffusion ou un site transactionnel pour ses propres fins, elle doit assumer des responsabilités comparables à celles d’un club. C’est ce que fait, par exemple, MLB Advanced Media, qui se définit comme « responsable de traitement » à l’égard des données de ses clients. Mais dans bien des cas, la ligue agit plutôt en coulisse. À certains égards, elle joue un rôle de mandataire des clubs, en négociant et en signant des contrats technologiques, des conventions de télédiffusion ou d’autres ententes commerciales qui seront déployés au niveau des clubs. À d’autres égards, elle agit comme prestataire de services, en offrant des plateformes technologiques centralisées, des systèmes de billetterie, des infrastructures de données ou des services administratifs partagés. En droit québécois, ces deux rôles – mandataire et prestataire de services – sont traités sous la même logique : le club peut transmettre à la ligue les renseignements nécessaires à l’exécution du mandat ou du contrat de service, sans avoir à redemander le consentement de chaque personne, à condition qu’une entente écrite impose des mesures claires de protection de la confidentialité, limite l’utilisation aux seules fins du mandat ou du service et encadre la conservation des données. La ligue doit aussi aviser rapidement le responsable de la protection des renseignements personnels du club de toute violation ou tentative de violation de la confidentialité et lui permettre d’effectuer des vérifications. Par ailleurs, les clubs et la ligue peuvent toujours choisir de fonder certains échanges d’information sur le consentement explicite des athlètes ou des clients. Encore faut-il que ce consentement soit réellement manifeste, libre, éclairé, donné pour des fins spécifiques et présenté de manière distincte lorsqu’il est demandé par écrit. Conclusion Même si l’analyse porte souvent sur les ligues professionnelles, la même logique s’applique aux organisations sportives amateurs ou non professionnelles. Dans tous les cas, la relation entre la ligue, le club et l’athlète ou le client doit être clairement encadrée sous l’angle de la vie privée. Les organisations sportives ont intérêt à cartographier les flux de renseignements personnels, à harmoniser les messages d’information donnés aux personnes concernées, à se doter d’une entente type encadrant la communication de renseignements entre les clubs et la ligue, à prévoir des mécanismes simples d’accès et de rectification, et à former les intervenants clés. Intégrer ces éléments dans les statuts, règlements et ententes des clubs et de la ligue permet à la fois de réduire les risques et de renforcer la confiance des athlètes, des parents, des partisans et des partenaires commerciaux. Reste une question de fond, toutefois : compte tenu du critère légal de nécessité pour des fins sérieuses et légitimes, la masse de renseignements aujourd’hui collectés dans l’écosystème sportif est-elle vraiment justifiée ? C’est là un débat stratégique que les organisations sportives ne pourront pas éviter.  

Les angles morts à vérifier lors de l’anonymisation des données L’anonymisation est devenue une étape essentielle pour valoriser des jeux de données à des fins d’innovation, notamment en intelligence artificielle. À défaut d’un processus d’anonymisation mené selon les règles de l’art, les entreprises peuvent s’exposer à des sanctions financières, à des recours judiciaires et à un risque réputationnel accru et, par le fait même, à des répercussions potentiellement majeures sur leurs activités. Processus d’anonymisation Ce qu’en dit la loi La Loi sur la protection des renseignements personnels dans le secteur privé (la « Loi sur le privé ») et laLoi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (« Loi sur l’accès ») prévoient qu’un renseignement concernant une personne physique est anonymisé lorsqu’il ne permet plus, de façon irréversible, d’identifier directement ou indirectement cette personne. Puisqu’un renseignement anonymisé ne constitue plus alors un renseignement personnel, cette distinction revêt une importance capitale. Or, mis à part ces critères, les deux lois ne détaillent pas le processus d’anonymisation. Pour pallier cette lacune, le gouvernement a adopté le Règlement sur l’anonymisation des renseignements personnels (le « Règlement »), dont l’objet est de définir les critères du processus d’anonymisation et de fixer un cadre qui s’appuie sur des normes élevées de protection de la vie privée. Ce que les entreprises doivent savoir avant d’amorcer un processus d’anonymisation Suivant le Règlement, avant d’amorcer un processus d’anonymisation, l’entreprise ou l’organisme désirant anonymiser des renseignements doit définir les fins « sérieuses et légitimes » auxquelles ceux-ci sont destinés. Ces fins doivent demeurer conformes, selon le cas, à la Loi sur le privé ou à la Loi sur l’accès, et toute nouvelle finalité doit être soumise à la même exigence. Par ailleurs, le processus doit se dérouler sous la supervision d’une personne compétente en la matière, apte à sélectionner et à appliquer les techniques appropriées. Cette supervision vise à garantir non seulement la mise en œuvre adéquate des méthodes retenues, mais aussi à assurer la validation continue des choix technologiques et des mesures de sécurité. 4 étapes clés du processus d’anonymisation des renseignements   DépersonnalisationDans un premier temps, il est nécessaire d’entreprendre une dépersonnalisation. Cette opération consiste à retirer ou à remplacer tout renseignement personnel permettant l’identification directe (tels le nom, l’adresse ou le numéro de téléphone) par des pseudonymes. Il importe toutefois de bien prévoir les interactions entre les différents ensembles de données, afin de réduire au maximum les risques de retrouver des renseignements qui permettraient de reconnaître une personne. Analyse préliminaire des risques de réidentificationUne analyse préliminaire des risques de réidentification doit ensuite être menée. Cette deuxième étape repose notamment sur le critère d’individualisation (impossibilité d’isoler une personne), le critère de corrélation (impossibilité de faire le lien entre plusieurs ensembles de données relatifs à une même personne) et le critère d’inférence (impossibilité de déduire des renseignements personnels à partir d’autres informations disponibles). Les outils d’anonymisation les plus couramment utilisés sont l’agrégation, la suppression, la généralisation et la perturbation. Par ailleurs, des mesures de protection adéquates, comme un chiffrement de haut niveau et des contrôles d’accès restrictifs, doivent être prévues afin minimiser la probabilité de réidentification. Approfondissement de l’analyse préliminaire des risques de réidentificationUne fois les deux premières étapes franchies, une analyse approfondie des risques de réidentification doit être effectuée. Force est de reconnaître qu’aucun risque ne peut être nul. Toutefois, ce risque doit être maintenu aussi faible que possible, en prenant en considération la sensibilité des renseignements, la disponibilité d’autres données publiques et la complexité nécessaire pour tenter une réidentification. Afin de maintenir ce très faible niveau de risque, une évaluation périodique doit être effectuée en tenant compte des progrès technologiques susceptibles de faciliter la réidentification. Consignation d’une description des renseignements anonymisésEnfin, il est essentiel de consigner dans un registre une description des renseignements anonymisés, les fins pour lesquelles ils sont utilisés, les techniques employées et les mesures de sécurité prises, ainsi que les dates des analyses ou des mises à jour effectuées. Cette consignation renforce la transparence et sert à démontrer que l’entreprise ou l’organisme désirant anonymiser des renseignements s’acquitte de ses obligations légales.

Alors que le monde discute des guerres tarifaires touchant divers produits, on néglige parfois les risques pour les technologies de l’information. Pourtant, plusieurs entreprises s’appuient sur l’intelligence artificielle pour la prestation de leurs services. Plus particulièrement, l’usage des grands modèles de langage est intégré dans une foule de technologies, dont ChatGPT a été le porte-étendard. Mais les entreprises doivent-elles se placer en situation de dépendance face à des fournisseurs de services technologiques s’ils sont basés uniquement aux États-Unis? Des solutions de rechange chinoises telles Deepseek font parler d’elles, mais soulèvent des questions sur la sécurité des données et le contrôle de l’information qui y est associé. La professeure Teresa Scassa écrivait déjà, en 2023, que la souveraineté en matière d’intelligence artificielle prend différentes formes, incluant la souveraineté étatique, mais aussi la souveraineté des communautés sur les données et la souveraineté individuelle1. D’autres invoquent déjà l’intelligence artificielle comme un vecteur du recalibrage des intérêts internationaux2. Dans ce contexte, comment les entreprises peuvent-elles se prémunir contre les fluctuations qui pourraient être décidées par des autorités gouvernementales d’un pays ou d’un autre? À notre avis, c’est justement en exerçant une certaine souveraineté à leur échelle que les entreprises peuvent se préparer à de tels changements. Quelques conseils : Comprendre les enjeux de propriété intellectuelle : Les grands modèles de langage sous-jacents à la majorité des technologies d’intelligence artificielle sont parfois offerts sous des licences ouvertes (open source), mais certaines technologies sont diffusées sous des licences commerciales restrictives. Il est important de comprendre les contraintes des licences sous lesquelles ces technologies sont offertes. Dans certains cas, le propriétaire du modèle de langage se réserve le droit de modifier ou restreindre les fonctionnalités de la technologie sans préavis. À l’inverse, des licences ouvertes permissives permettent d’utiliser un modèle de langage sans limite de temps. Par ailleurs, il est stratégique pour une entreprise de garder la propriété intellectuelle sur ses compilations de données qui peuvent être intégrées dans des solutions d’intelligence artificielle. Considérer d’autres options : Dès lors que la technologie est appelée à manipuler des renseignements personnels, une évaluation des facteurs relatifs à la vie privée est requise par la loi avant l’acquisition, le développement ou la refonte technologique[3]. Même dans les cas où cette évaluation n’est pas requise par la loi, il est prudent d’évaluer les risques liés aux choix technologiques. S’il s’agit d’une solution intégrée par un fournisseur, existe-t-il d’autres options? Serait-on en mesure de migrer rapidement vers une de ces options en cas de difficulté? S’il s’agit d’une solution développée sur mesure, est-elle limitée à un seul grand modèle de langage sous-jacent? Favoriser une approche modulaire : Lorsqu’un fournisseur externe est choisi pour fournir le service d’un grand modèle de langage, c’est souvent parce qu’il offre une solution intégrée dans d’autres applications que l’entreprise utilise déjà ou par l’intermédiaire d’une interface de programmation applicative développée sur mesure pour l’entreprise. Il faut se poser la question : en cas de difficulté, comment pourrait-on remplacer ce modèle de langage ou l’application? S’il s’agit d’une solution complètement intégrée par un fournisseur, celui-ci offre-t-il des garanties suffisantes quant à sa capacité de remplacer un modèle de langage qui ne serait plus disponible? S’il s’agit d’une solution sur mesure, est-il possible, dès sa conception, de prévoir la possibilité de remplacer un modèle de langage par un autre? Faire un choix proportionné : Ce ne sont pas toutes les applications qui nécessitent les modèles de langage les plus puissants. Lorsque l’objectif technologique est modéré, plus de possibilités peuvent être considérées, dont des solutions basées sur des serveurs locaux qui utilisent des modèles de langage sous licences ouvertes. En prime, le choix d’un modèle de langage proportionné aux besoins diminue l’empreinte environnementale négative de ces technologies en termes de consommation d’énergie.  Ces différentes approches s’articulent par différentes interventions où les enjeux juridiques doivent être pris en considération de concert avec les contraintes technologiques. La compréhension des licences et des enjeux de propriété intellectuelle, l’évaluation des facteurs relatifs à la vie privée, les clauses de limitation de responsabilité imposées par certains fournisseurs, autant d'aspects qui doivent être considérés en amont. Il s’agit là non seulement de faire preuve de prudence, mais aussi de profiter des occasions qui s’offrent à nos entreprises de se démarquer dans l’innovation technologique et d’exercer un meilleur contrôle sur leur avenir. Scassa, T. (2023). Sovereignty and the governance of artificial intelligence. UCLA L. Rev. Discourse, 71, 214. Xu, W., Wang, S., & Zuo, X. (2025). Whose victory? A perspective on shifts in US-China cross-border data flow rules in the AI era. The Pacific Review, 1-27. Voir notamment la Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c P-39.1, art. 3.3.

Alors que les législateurs, au Canada1 et ailleurs2, tentent de mieux encadrer le développement et l’usage de technologies d’intelligence artificielle, il est important de se rappeler que ces technologies se qualifient aussi dans la famille plus large des technologies de l’information. Depuis 2001, le Québec s’est doté d’une loi visant à encadrer les technologies de l’information. Trop souvent oubliée, cette loi trouve application directement dans l’utilisation de certaines technologies d’intelligence artificielle. La notion très large de documents technologiques D’une part, les documents technologiques visés par cette loi sont définis pour inclure toute forme d’information délimitée, structurée et intelligible3. La loi donne quelques exemples de documents technologiques visés par divers textes législatifs, y incluant des formulaires en ligne, des rapports, des photographies, des diagrammes et même des électrocardiogrammes! On peut donc comprendre que cette notion s’applique sans difficulté à divers formulaires des interfaces d’utilisation de diverses plateformes technologiques4. Qui plus est, ces documents technologiques ne sont pas limités à des renseignements personnels. Cela peut aussi viser des renseignements relatifs à des entreprises ou à divers organismes, qui sont hébergés sur une plateforme technologique. À titre d’exemple, la Cour supérieure a récemment appliqué cette loi pour reconnaître la valeur probante de lignes directrices de pratique et de normes techniques en matière d’imagerie médicale qui étaient accessibles sur un site web5. Une décision plus ancienne a aussi reconnu l’admissibilité en preuve du contenu d’agendas électroniques6. À cause de leur lourdeur algorithmique, plusieurs technologies d’intelligence artificielle sont offertes sous forme de logiciel en tant que service ou de plateforme en tant que service. Dans la plupart des cas, l’information saisie par une entreprise utilisatrice est transmise sur des serveurs contrôlés par le fournisseur, où elle est traitée par des algorithmes d’intelligence artificielle. C’est souvent le cas des systèmes avancés de gestion de la relation client (souvent désignés sous l’acronyme anglais CRM) et d’analyse de dossiers électroniques. C’est aussi le cas également d’une panoplie d’applications visant la reconnaissance vocale, la traduction de documents et l’aide à la décision pour des employés de l’utilisatrice. Dans le contexte de l’intelligence artificielle, les documents technologiques s’étendent donc vraisemblablement à ce qui est ainsi transmis, hébergé et traité sur des serveurs à distance. Des obligations réciproques La loi prévoit des obligations spécifiques lorsque des prestataires de services, notamment des fournisseurs de plateforme informatique, doivent garder de l’information. Citons l’article 26 de la loi : «26. Quiconque confie un document technologique à un prestataire de services pour qu’il en assure la garde est, au préalable, tenu d’informer le prestataire quant à la protection que requiert le document en ce qui a trait à la confidentialité de l’information et quant aux personnes qui sont habilitées à en prendre connaissance. Le prestataire de services est tenu, durant la période où il a la garde du document, de voir à ce que les moyens technologiques convenus soient mis en place pour en assurer la sécurité, en préserver l’intégrité et, le cas échéant, en protéger la confidentialité et en interdire l’accès à toute personne qui n’est pas habilitée à en prendre connaissance. Il doit de même assurer le respect de toute autre obligation prévue par la loi relativement à la conservation du document.» (note :  nos soulignements) Cet article impose donc un dialogue entre l’entreprise qui désire utiliser une plateforme technologique et le fournisseur de cette plateforme. D’une part, l’entreprise utilisatrice de la plateforme doit informer le fournisseur de la protection requise pour les renseignements qu’elle déposera sur la plateforme technologique. D’autre part, ce fournisseur a l’obligation de mettre en place des moyens technologiques de nature à en assurer la sécurité, l’intégrité et la confidentialité, correspondant à la protection requise qui lui est communiquée par l’utilisatrice. La loi ne spécifie pas quels moyens technologiques doivent être mis en place. Ces mesures doivent toutefois être raisonnables eu égard à la sensibilité des documents technologiques impliqués, du point de vue d’une personne possédant une expertise dans le domaine. Ainsi, un fournisseur qui offrirait une plateforme technologique comportant des modules désuets ou comportant des failles de sécurité connues se déchargerait-il de ses obligations en vertu de la loi? Cette question doit s’analyser dans le contexte de l’information que l’utilisatrice de la plateforme lui a transmise quant à la protection requise pour les documents technologiques. Un fournisseur ne doit toutefois pas cacher les risques liés à la sécurité de sa plateforme informatique à l’utilisatrice, ce qui irait à l’encontre des obligations d’information et de bonne foi des parties. Des individus sont impliqués? À ces obligations, il faut ajouter aussi la Charte des droits et libertés de la personne, qui s’applique également aux entreprises privées. Les entreprises qui traitent l’information pour le compte d’autrui doivent le faire dans le respect des principes de la Charte lorsqu’il s’agit de traiter des renseignements concernant divers individus. À titre d’exemple, si un fournisseur d’une plateforme informatique de gestion de la relation client offre des fonctionnalités permettant de classifier les clients ou d’aider les entreprises à répondre à leurs demandes, ce traitement d’information doit demeurer exempt de biais fondés sur la race, la couleur, le sexe, l’identité ou l’expression de genre, la grossesse, l’orientation sexuelle, l’état civil, l’âge (sauf dans la mesure prévue par la loi), la religion, les convictions politiques, la langue, l’origine ethnique ou nationale, la condition sociale, le handicap ou l’utilisation d’un moyen pour pallier ce handicap7. Un algorithme d’intelligence artificielle ne devrait en aucun cas suggérer à un commerçant de refuser de conclure des contrats avec un individu sur une telle base discriminatoire8. De plus, une personne qui recueille des renseignements personnels à l’aide de technologies permettant le profilage d’individus doit en aviser ces personnes au préalable9. Bref, loin du Far West décrié par certains, l’usage de l’intelligence artificielle doit se faire dans le respect des lois déjà en place, auxquelles s’ajouteront vraisemblablement de nouvelles lois plus spécifiques à l’intelligence artificielle. Si vous avez des questions relativement à l’application de ces lois à vos systèmes d’intelligence artificielle, n’hésitez pas à contacter un de nos professionnels. Projet de loi C-27, Loi de 2022 sur la mise en œuvre de la Charte du numérique. Notamment, aux États-Unis, Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence du 30 octobre 2023. Loi concernant le cadre juridique des technologies de l'information, RLRQ c C-1.1, art. 3. Idem, art. 71. Tessier c. Charland, 2023 QCCS 3355. Lefebvre Frères ltée c. Giraldeau, 2009 QCCS 404. Charte des droits et libertés de la personne, art. 10. Idem, art. 12. Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c P-39.1, art. 8.1.