Entreprises de technologie financière et nouvelles responsabilités en matière de protection des données personnelles Entre la

Loi Et La Pratique

Dans le contexte pandémique actuel, les institutions financières et d’autres entreprises offrant des services et des produits financiers ont dû se réinventer en ligne.

Par Maya Cachecho, professeure adjointe, et chercheuse au Centre de droit des affaires et du commerce international et Sandrine Prom Tep, professeure, Département de marketing, ESG UQAM

Dans le contexte pandémique actuel, les institutions financières et d’autres entreprises offrant des services et des produits financiers (entreprises de technologie financière [TF] ou fintechs1) ont dû se réinventer en ligne. La protection des données personnelles est alors devenue un enjeu autant qu’une priorité sociale et gouvernementale partout dans le monde. Elle a été au cœur de l’adoption de multiples législations visant l’encadrement et la gestion des données personnelles recueillies par les entreprises. Au Québec, ce phénomène est à l’origine de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels2 , qui impose de nouvelles responsabilités aux entreprises du secteur privé (auquel les entreprises de TF appartiennent) en visant la protection du consommateur financier en ligne.

Ce thème est au cœur de nos recherches qui analysent les lois à la lueur des pratiques existantes qui lient les entreprises de TF aux investisseurs et consommateurs de produits et services financiers. L’approche retenue s’inspire des théories sociales qui fondent la compréhension du droit sur l’étude des pratiques des acteurs. On pense ici aux entreprises de TF et aux consommateurs de produits et services financiers. La recherche prend ainsi une certaine distance vis-à-vis des exigences théoriques prévues par les dispositions législatives pour se pencher sur les conditions réelles de leur effectivité. Du moins, cette perspective doit être retenue si l’objectif poursuivi est d’établir si la loi atteint ses objectifs et, plus largement, ce que sont ses effets empiriques observables.

1 Fintech est un néologisme anglophone fusionnant « financial technology » qui signifie technologie financière. Il est également utilisé pour désigner des sociétés qui œuvrent dans ce domaine.

2 L.Q. 2021, c. 25.

3 Voir notamment le rapport de recherche accessible en ligne : https:// chairefintech.uqam.ca/wp-content/uploads/2022/04/Cahierderecherche_ MayaSandrineetcollaborateurs.pdf

Dans ce texte, nous présentons brièvement des aspects clés de la nouvelle Loi 25 ainsi qu’une série de constats tirés des recherches que nous avons menées jusqu’ici. Nos recherches visent directement les entreprises de TF3, alors que l’on se penche plus particulièrement sur les services et produits fournis par les entreprises recourant à la ludification ( gamification) dans le cadre de leurs activités commerciales. On entend par là le recours à une forme ou à une procédure ludique visant à faciliter la compréhension ou l’apprentissage d’une connaissance particulière, sinon à guider les choix du consommateur : jeu-questionnaire, trajectoire décisionnelle limitant graduellement la sphère des choix, recours à des formes ou à des mécanismes inspirés des jeux vidéo, etc. Dans ce cadre, les utilisateurs peuvent ne pas être conscients de la nature sensible des données qu’ils partagent ou des

Survol de la nouvelle Loi 25

Adoptée en septembre 2021, la Loi 25 entrera en vigueur en trois étapes (de septembre 2022 à septembre 2024). Elle apporte des changements importants aux lois québécoises sur la protection des renseignements personnels dans le secteur privé : risques financiers associés à un choix ou à un autre, car l’environnement de jeu et le processus de ludification peuvent cacher la dimension déterminante d’une décision financière.

◆ L’obligation de désigner une personne responsable de la conformité et de la gouvernance avec la charge de gérer les incidents impliquant la confidentialité des données personnelles.

◆ L’obligation d’adopter et de publier, en langage clair, les politiques et les pratiques encadrant la gouvernance des renseignements personnels, ainsi que les politiques de confidentialité garantissant la protection de la vie privée.

◆ L’obligation d’obtenir un consentement manifeste, libre et éclairé des consommateurs financiers en tout ce qui a trait à la cueillette, à la détention, à l’utilisation et à la communication de leurs renseignements personnels, et ce, pour chacune des finalités reliées à leur utilisation.

◆ L’obligation d’implanter des mesures facilitant le droit à la portabilité des données.

Nous avons constaté jusqu’ici que le recours récent à la ludification est susceptible de soulever de nombreuses inquiétudes sur le consentement des consommateurs de produits et services financiers en ligne. En effet, les éléments clés d’un système fondé sur les principes de la sécurité et de l’éthique sont la transparence, l’honnêteté et la protection de la vie privée. La ludification est susceptible de contrevenir aux exigences du droit et de l’éthique lorsque le concepteur a recours à des méthodes persuasives qui manipulent les utilisateurs et les amènent à prendre des décisions ou à faire des choix qui ne sont pas dans leur intérêt premier. La ludification s’oppose alors aux exigences du consentement éclairé. De ce fait, le rôle du concepteur devient clé dans la protection des utilisateurs, et ce, non seulement au regard du respect de la législation, mais également des exigences associées à l’exemplarité que suggèrent les bonnes pratiques en matière de conception éthique et responsable.

On ignore encore comment les entreprises de technologie financière répondront concrètement aux nouvelles responsabilités prévues par la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels. Elles auront certainement besoin d’indications claires pour assurer le respect de la vie privée à leur clientèle. Reste à recenser et à analyser les actions qu’elles prendront lors de l’entrée en vigueur des différentes dispositions de la Loi afin de soutenir l’orientation et de favoriser l’encadrement adéquat de leurs nouvelles pratiques. ◆