Des entreprises en faillite cèdent les données de leurs clients

Selon des experts en protection de la vie privée et en insolvabilité, les Canadiens devraient redoubler de vigilance quant à leurs données lorsque des entreprises font faillite.

En effet, de nombreuses entreprises en situation d'insolvabilité finissent par rembourser leurs dettes en vendant des actifs, tels que les données des consommateurs.

Lorsque Toys "R" Us Canada s'est placée sous la protection de la loi sur la faillite et l'insolvabilité, elle a transféré les noms de ses clients, leurs coordonnées, les informations relatives à leurs comptes ainsi que l'historique de leurs transactions à une entreprise qui avait acquis les droits sur les marques commerciales de l'enseigne.

Cet acquéreur, Ad Populum, n’a pas précisé aux clients de Toys "R" Us Canada ce qu’il comptait faire de ces données lorsqu’il les a informés de ce transfert dans des courriels envoyés cet été et cet automne.

L’entreprise n’a pas non plus répondu aux demandes d'entrevue de La Presse canadienne, qui souhaitait obtenir des précisions sur la manière dont elle utiliserait ces données.

Sa filiale Next Century a annoncé la semaine dernière qu’elle ouvrirait des rayons Toys "R" Us Canada au sein des magasins Bureau en gros à partir du 14 novembre. La cession qui a entraîné le transfert des données des consommateurs de Toys "R" Us s’inscrit dans un aspect des procédures d’insolvabilité auquel la plupart des gens ne pensent que rarement.

Des experts estiment toutefois qu’il convient d’y prêter attention, car ce phénomène devient de plus en plus courant à mesure que les entreprises prennent conscience de l’immense pouvoir – et des ressources financières – qu’elles peuvent tirer des informations sur leurs clients.

Selon moi, il s’agit d’un problème croissant, qui prendra de plus en plus d’importance à mesure que différents types d’informations seront vendus, estime Dina Kovacevic, rédactrice en chef d’Insolvency Insider, une infolettre canadienne consacrée à l’actualité de la faillite et de la protection contre les créanciers.

Les données sont la monnaie. Ça va faire des ravages.

Alors que les clients s’inquiètent de l’avenir de leurs marques préférées ou se ruent sur les bonnes affaires lors des soldes de liquidation, les entreprises en difficulté sont souvent criblées de dettes et partent fréquemment à la recherche d’acheteurs pour leurs actifs.

Si l'on peut penser en premier lieu aux baux, à l'inventaire, aux équipements et à la propriété intellectuelle, on ne doit pas oublier que les données sur les consommateurs peuvent constituer l’un des actifs les plus lucratifs d’une entreprise.

En achetant des adresses de courriel, des adresses postales et des numéros de téléphone, les entreprises n’ont pas besoin de constituer une base de clients à partir de zéro. Si elles ont racheté le reste d’une entreprise en difficulté dans l’espoir de la redresser, ces données peuvent faciliter la transition.

Des clients peu informés

Mais les clients ne se rendent pas toujours compte que leurs données sont à la portée de tous, à moins qu’ils ne passent au crible les dossiers judiciaires ou ne prêtent attention à l’un ou l’autre article de presse qui en fait mention.

La plupart l’apprennent lorsqu’ils reçoivent une lettre leur indiquant que leurs données ont changé de mains et leur proposant de demander leur suppression, s’ils ont des réticences quant à ce transfert.

Notre système n’est pas aussi transparent qu’aux États-Unis, constate Constantine Karbaliotis, avocat au cabinet nNovation LLP.

Ce que nous avons, c’est la possibilité de retirer mon consentement après coup.

Même si certains peuvent retirer leur consentement, cela fait rarement l’objet d’un vif débat au pays.

Chantal Bernier, une avocate qui a occupé le poste de commissaire à la protection de la vie privée par intérim de 2013 à 2014 après avoir passé cinq ans en tant que commissaire adjointe, ne se souvient que d’une seule acquisition sur laquelle elle a travaillé et qui a suscité un tollé public concernant le transfert de données des consommateurs.

Dans cette affaire, une entreprise du secteur du luxe avait racheté une entreprise concurrente vendant des produits plus abordables, et les clients craignaient que le transfert de données dans le cadre de cette vente ne fasse d’eux des cibles pour des ventes incitatives.

L'entreprise représentée par Mme Bernier a respecté la volonté des clients en supprimant les données de ceux qui en faisaient la demande formelle, et celle-ci a trouvé encourageant que tant de personnes se soucient de la protection de la vie privée.

Vente de données génétiques

Au sud de la frontière, la sensibilisation des consommateurs pourrait s'accroître à la suite de deux transactions récentes.

Google a proposé 10 millions de dollars américains pour acquérir les données de Spirit Airlines, qui comprendraient 100 millions de courriels, 500 millions de messages Microsoft Teams et d’autres dossiers d’employés.

Le géant des technologies souhaite utiliser les données de la défunte compagnie aérienne pour former des systèmes d'IA, mais les syndicats et certains décideurs politiques tirent la sonnette d'alarme.

Il y a ensuite 23andMe, une entreprise américaine qui utilisait des échantillons de salive pour fournir à ses clients du monde entier des renseignements sur leurs origines, leur génétique et leurs risques pour la santé.

Lorsqu'elle a déposé son bilan et mis en vente les données de ses consommateurs l'an dernier, 27 États ainsi que le district de Columbia ont tenté de bloquer la démarche, soutenant que les données génétiques sont trop sensibles pour être transférées à un nouveau propriétaire sans le consentement éclairé des clients.

Un tribunal américain a finalement donné son feu vert à l’opération, mais certains estiment que cette affaire a tout de même constitué une prise de conscience pour de nombreux consommateurs.

Souvent, lorsqu’il y a une fusion ou une acquisition, on se dit que la vente de son adresse de courriel à une grande entreprise ne nous affecte pas vraiment, mais quand ce sont vos données génétiques qui sont vendues, c’est assez effrayant, souligne M^e Kovacevic.

On craint que l’acheteur ne les utilise d’une manière que l’on n’approuve pas. Je pense donc que cette affaire a vraiment fait prendre conscience aux gens de la réalité de la situation.

Pour M^e Karbaliotis, de tels incidents rappellent une fois de plus qu’avant de communiquer des informations à qui que ce soit, il faut réfléchir à ces questions.

Tout le monde devrait se demander ce qui se passerait si cette entreprise était vendue ou faisait faillite? Pourrait-elle être rachetée par quelqu’un de, disons, moins digne de confiance? s'interroge-t-il.

Et comment garder le contrôle de ses données personnelles? Eh bien, il ne faut pas les divulguer.