Eric Lavallée Associé, Agent de marques de commerce et Avocat

Alors que le gouvernement canadien manifeste son intention de légiférer en matière de cybersécurité (voir le projet de loi C-26 visant à mettre en place une Loi sur la protection des cybersystèmes essentiels), plusieurs entreprises ont déjà entrepris des démarches sérieuses pour sécuriser leurs infrastructures informatiques. Toutefois, l’Internet des objets et trop souvent négligé lors de ces démarches. Pourtant, plusieurs appareils sont directement connectés aux infrastructures informatiques les plus importantes pour les entreprises. Les robots industriels, les dispositifs qui contrôlent l’équipement de production en usine ou ceux qui aident les employés sur la route à effectuer leurs livraisons en sont des exemples. Des systèmes d’exploitation ainsi que diverses applications sont installés sur ces appareils. Le fonctionnement même de nombreuses entreprises et la sécurité de certains renseignements personnels dépendent de la sécurité de ces appareils et de leurs logiciels. Par exemple : Une attaque pourrait viser les systèmes de contrôle d’équipement de fabrication en usine et entraîner une interruption de la production de l’entreprise ainsi que des coûts importants de remise en fonction et des délais de production; En visant les équipements de production et les robots industriels, un attaquant pourrait subtiliser les plans et les paramètres de fabrication de différents procédés, ce qui pourrait mettre en péril les secrets industriels d’une entreprise; Des lecteurs de codes à barres utilisés pour la livraison de colis pourraient être infectés et transmettre des renseignements, notamment des renseignements personnels, à des pirates informatiques L’Open Web Application Security Project (OWASP), un organisme sans but lucratif, a publié une liste des dix plus grands risques de sécurité pour l’Internet des objets1. Les gestionnaires d’entreprises qui utilisent de tels équipements doivent être conscients de ces enjeux et prendre des mesures pour mitiger ces risques. Nous nous permettons de commenter certains de ces risques dont la mitigation requiert des politiques adaptées et une saine gouvernance au sein de l’entreprise : Mots de passe faibles ou immuables : certains dispositifs sont vendus avec des mots de passe initiaux connus ou faibles. Il est important de s’assurer que, dès leur installation, ces mots de passe sont changés, puis d’en garder un contrôle serré. Seul le personnel informatique désigné devrait connaître les mots de passe permettant de configurer ces appareils. De plus, il faut éviter d’acquérir des équipements ne permettant pas une gestion de mots de passe (par exemple, dont le mot de passe est immuable). Absence de mises à jour : l’Internet des objets repose souvent sur des ordinateurs dont les systèmes d’exploitation ne sont pas mis à jour pendant leur durée de vie. Il en résulte que certains appareils sont vulnérables parce qu’ils utilisent des systèmes d’exploitation et des logiciels ayant des vulnérabilités connues. À cet égard, une saine gouvernance permet d’une part de s’assurer que de tels appareils sont mis à jour, et d’autre part, de n’acquérir que des appareils permettant de procéder aisément à de telles mises à jour régulières. Gestion déficiente du parc d’appareils connectés : Certaines entreprises n’ont pas un portrait clair de l’Internet des objets déployés au sein de leur entreprise. Il est impératif d’avoir un inventaire de ces appareils, de leur rôle au sein de l’entreprise, du type de renseignements qui s’y trouvent et des paramètres essentiels à leur sécurité. Manque de sécurité physique : Dans la mesure du possible, l’accès à ces appareils devrait être sécurisé. Trop souvent, des appareils sont laissés sans surveillance dans des lieux où ils sont accessibles au public. Des directives claires doivent être données aux employés pour que ceux-ci adoptent des pratiques sécuritaires, notamment en ce qui concerne l’équipement destiné à être déployé sur la route. Le conseil d’administration d’une entreprise joue un rôle clé en matière de cybersécurité. En effet, le défaut des administrateurs de s’assurer qu’un système de contrôle adéquat est mis en place et d’assurer une surveillance des risques peut engager leur responsabilité. Dans ce contexte, voici quelques éléments que les entreprises devraient considérer pour assurer une saine gouvernance : Revoir la composition du conseil d’administration et réviser la matrice des compétences afin de s’assurer que l’équipe possède les compétences requises; Offrir de la formation à tous les membres du conseil d’administration afin de développer la cybervigilance et leur donner des outils pour remplir leur devoir d’administrateur; et Évaluer les risques associés à la cybersécurité, notamment ceux découlant des appareils connectés, et établir les moyens de mitiger ces risques. La Loi 25, soit la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, prévoit plusieurs obligations destinées au conseil d’administration, notamment celle de nommer un responsable de la protection des renseignements personnels et celle d’avoir un plan de gestion et un registre des incidents de confidentialité. À cet effet, nous vous invitons à consulter le bulletin suivant : Modifications aux lois sur la protection des renseignements personnels : ce que les entreprises doivent savoir (lavery.ca) Finalement, une entreprise doit en tout temps s’assurer que les identifiants, mots de passe et autorisations auprès des fournisseurs permettant au personnel informatique d’intervenir  ne sont pas entre les mains d’une seule personne ou d’un seul fournisseur. Ceci placerait l’entreprise en position de vulnérabilité si la relation avec cette personne ou ce fournisseur venait à se dégrader. Voir notamment OWASP top 10

Les rançongiciels ont fait tellement de ravages dans les dernières années que plusieurs en oublient les autres risques liés à la cybersécurité. Pour certains, le fait de ne pas détenir de renseignements personnels les immunise contre les pirates informatiques et les cyberincidents. Pour d'autres, tant que leurs ordinateurs continuent de fonctionner, c’est qu’il n’y a aucun logiciel malveillant qui y réside. Malheureusement, la réalité est toute autre. Une nouvelle tendance se dessine à l’horizon, où l’on voit des logiciels malveillants déployés pour détourner de l’information confidentielle, notamment des secrets commerciaux, pour les vendre par la suite à des tiers ou les divulguer au public1. Les médias ont abondamment discuté du logiciel Pegasus utilisé pour épier des journalistes et des opposants politiques à travers le monde, au point où les autorités des États-Unis ont décidé de l’inclure dans leur liste d’interdictions2. Mais l’utilisation de logiciels espions n’est pas limitée à la sphère politique. Récemment, un tribunal californien a condamné une société américaine, 24[7].ai, à payer 30 millions de dollars à une de ses concurrentes, Liveperson3. C'est qu’un logiciel de 24[7].ai était installé côte à côte avec le logiciel de Liveperson sur des systèmes de clients mutuels. Liveperson alléguait dans sa poursuite que 24[7].ai installait des logiciels espions capturant de l’information confidentielle de l’application Liveperson. De plus, les logiciels que 24[7].ai auraient installés faisaient disparaître certaines fonctionnalités de l’application de Liveperson, notamment le bouton activant la fonction de clavardage.  Ce faisant, 24[7].ai aurait interféré dans la relation entre Liveperson et ses clients. Cette saga judiciaire se poursuit d’ailleurs, puisqu’un autre procès devra avoir lieu relativement aux secrets commerciaux d’une cliente de Liveperson4. Ce litige illustre bien que la cybersécurité concerne non seulement les renseignements personnels, mais aussi les secrets commerciaux et même le bon fonctionnement des logiciels d’entreprise. Plusieurs précautions peuvent être prises pour diminuer les risques d’incidents de cybersécurité. Des politiques internes robustes à tous les niveaux dans l’entreprise aident à maintenir un cadre sécuritaire pour les opérations des entreprises. Combinées à une sensibilisation des employés aux enjeux juridiques et commerciaux de la cybersécurité, ces politiques peuvent être des ajouts importants aux meilleures pratiques en informatique. Par ailleurs, la sensibilisation des employés facilite l’adoption de meilleures pratiques, notamment des investigations systématiques des anomalies de fonctionnement et l'utilisation de méthodes de programmation protégeant les secrets commerciaux de l’entreprise. Qui plus est, il peut être opportun de s’assurer que les contrats avec des clients accordent aux fournisseurs informatiques des accès permettant les suivis nécessaires pour assurer la sécurité des deux parties. Finalement, il faut se rappeler que le conseil d’administration doit faire preuve de soin, de diligence et de compétence tout en veillant à l’intérêt supérieur de l’entreprise.  Les administrateurs pourraient être tenus personnellement responsables s’ils manquent à leurs obligations de veiller à ce que des mesures adéquates soient mises en place pour prévenir des cyberincidents, ou s’ils font fi des risques et font preuve d’aveuglement volontaire.  Ainsi, les membres du conseil d’administration doivent faire preuve de vigilance et être formés et sensibilisés en matière de cybersécurité afin de pouvoir intégrer celle-ci dans leur gestion des risques.    Dans une ère où la propriété intellectuelle est devenue l’actif le plus important d’une société, il va de soi qu’il est primordial de mettre en place les outils technologiques, mais aussi les procédures et les politiques requises pour bien la protéger! N’hésitez pas à faire appel aux services de Lavery pour vous conseiller sur les aspects juridiques de la cybersécurité. voir notamment  Carly Page, This new Android spyware mascarades as legitimate apps, Techcrunch, 10 novembre 2021, en ligne : https://techcrunch.com/2021/11/10/android-spyware-legitimate-apps; Carly Page, FBI says ransomware groups are using private financial information to further extort victims, Techcrunch, 2 novembre 2021, en ligne : https://techcrunch.com/2021/11/02/fbi-ransomware-private-financial-extort. Frank Gardener, NSO Group: Israeli spyware company added to US trade blacklist, BBC News, 3 novembre 2021, en ligne: https://www.bbc.com/news/technology-59149651. Thomas Claburn, Spyware, trade-secret theft, and $30m in damages: How two online support partners spectacularly fell out, The Register, 18 juin 2021, en ligne:  https://www.theregister.com/2021/06/18/liveperson_wins_30m_trade_secret. Blake Brittain, LivePerson wins $30 million from [24]7.ai in trade-secret verdict,Reuters, 17 juin 2021, en ligne: https://www.reuters.com/legal/transactional/liveperson-wins-30-million-247ai-trade-secret-verdict-2021-06-17.

A-t-on le droit de copier le code source écrit et développé par quelqu’un d’autre? La réponse à cette question dépend du contexte, mais même en contexte d’innovation ouverte, les droits de propriété intellectuelle sont le point de départ de l’analyse requise pour y répondre. Dans le domaine du logiciel, les licences open source (parfois désignées « licences de logiciels ouverts ou libres » ou « licences à source ouverte » (Open Source) permettent de donner à tous accès au code source du logiciel, gratuitement et avec peu de restrictions. Le but est généralement de favoriser l’évolution de ce code en incitant le plus grand nombre de gens à l’utiliser. Linus Torval, le programmeur du noyau Linux (certainement l’un des plus importants projets open source) a récemment déclaré que sans l’approche open source, son projet n’aurait probablement pas survécu1. Cette approche a des conséquences juridiques : la société Vizio est depuis peu visée par une poursuite alléguant le non-respect d’une licence open source de type GPL lors de la conception du logiciel SmartCast OS intégré aux téléviseurs qu’elle fabrique. Elle est poursuivie par Software Freedom Conservacy (« SFC »), un organisme américain sans but lucratif faisant la promotion et la défense de licences open source. Dans le cadre de sa poursuite, SFC allègue notamment que Vizio devait distribuer le code source de SmartCast OS sous la même licence open source, ce que Vizio n’a pas fait, privant les consommateurs de leurs droits2. En droit canadien, l’article 3 de la Loi sur le droit d’auteur3 confère à l’auteur le droit exclusif de produire ou de reproduire la totalité ou une partie importante d’une œuvre originale. Ce principe est repris par tous les pays signataires de la Convention de Berne de 1886, soit la quasi-totalité des pays du monde. Le contrat de licence, qui permet de conférer à une autre personne le droit de reproduire l’œuvre, peut prendre différentes formes. Il permet aussi d’établir l’étendue des droits conférés et les modalités de l’utilisation permise. Mais toutes les licences de type open source ne sont pas équivalentes. Plusieurs permettent aux créateurs d’assortir le droit d’utiliser le code rendu ainsi disponible à diverses conditions. En vertu de ces licences, l’utilisation de l’œuvre ou du logiciel peut être faite par tous, mais est susceptible d’être assujettie aux contraintes suivantes, selon le type de licence en vigueur : Obligation d’affichage : Une licence open sourcepeut exiger la divulgation de certaines informations dans le logiciel ou dans le code source lui-même : Le nom de l’auteur, son pseudonyme ou même son anonymisation, selon le souhait de cet auteur et/ou citation du titre de l’œuvre ou logiciel; La licence d’utilisation de l’œuvre ou du logiciel Open source redistribué; La mention de modification pour chaque fichier modifié; La mention d’exclusion de garantie. Devoir contributif : Certaines licences exigent le partage de toute modification du code open source,à des conditions identiques. Dans certains cas, cette obligation va même jusqu’à inclure tout logiciel qui incorpore le code open source. En d’autres mots, le code dérivé du matériel open source devient aussi open source. Ce devoir contributif peut généralement être catégorisé selon l’un des niveaux suivants : Toute redistribution doit se faire sous la licence initiale, faisant en sorte que le résultat devienne lui aussi open source; Toute redistribution du code, modifié ou non, doit se faire sous la licence initiale, mais un autre code peut être associé ou ajouté sans être assujetti à la licence open source; Toute redistribution se fait sans contrainte de partage. Interdiction de commercialisation : Certaines licences interdisent toute utilisation à des fins commerciales. Apache v2 Niveau de l’obligation du devoir contributif à la redistributionToute redistribution du logiciel, modifié ou non, ou comportant des composantes ajoutées, doit se faire selon les termes de la licence initiale. Éléments d’affichage obligatoires Licence du logiciel Open Source redistribué; Identification de tout changement apporté au code; Mention du droit d’auteur; Exclusion de garantie. Utilisation commerciale permiseOui BSD Niveau de l’obligation du devoir contributif à la redistributionToute redistribution du logiciel peut se faire sans obligation de partage. Éléments d’affichage obligatoires Mention du droit d’auteur; Exclusion de garantie. Utilisation commerciale permiseOui CC BY-NC 4.0 Niveau de l’obligation du devoir contributif à la redistributionToute redistribution du logiciel peut se faire sans obligation de partage. Éléments d’affichage obligatoires Licence du logiciel Open Source redistribué; Identification de tout changement apporté au code; Mention du droit d’auteur; Exclusion de garantie. Utilisation commerciale permiseNon CC0 1.0 Niveau de l’obligation du devoir contributif à la redistributionToute redistribution du logiciel peut se faire sans obligation de partage. Éléments d’affichage obligatoires Licence du logiciel Open Source redistribué. Utilisation commerciale permiseOui GPLv3 Niveau de l’obligation du devoir contributif à la redistributionToute redistribution du logiciel, modifié ou non, ou comportant des composantes ajoutées, doit se faire selon les termes de la licence initiale. Éléments d’affichage obligatoires Licence du logiciel Open Source redistribué; Identification de tout changement apporté au code; Mention du droit d’auteur; Exclusion de garantie. Utilisation commerciale permiseOui, mais les sous-licences sont interdites. LGPLv3 Niveau de l’obligation du devoir contributif à la redistributionLa redistribution du logiciel, modifié ou non, doit se faire selon les termes de la licence initiale. De nouvelles composantes peuvent être ajoutées, mais non intégrées, sous d’autres licences non open Source. Éléments d’affichage obligatoires Licence du logiciel Open Source redistribué; Identification de tout changement apporté au code; Mention du droit d’auteur; Exclusion de garantie. Utilisation commerciale permiseOui MIT Niveau de l’obligation du devoir contributif à la redistributionToute redistribution du logiciel peut se faire sans obligation de partage. Éléments d’affichage obligatoires Licence du logiciel Open Source redistribué; Mention du droit d’auteur; Exclusion de garantie. Utilisation commerciale permiseOui Il est important de sensibiliser les équipes de programmation aux problématiques pouvant survenir en cas d’utilisation de modules régis par des licences « contaminantes » (telle que la licence CC BY-NC 4.0) dans la conception de logiciels à vocation commerciale. Ces logiciels pourraient perdre une valeur importante en cas d’incorporation de tels modules, rendant ainsi difficile, voire impossible, toute commercialisation du logiciel. Dans un contexte d’innovation ouverte où il est souhaité par les développeurs de partager leur code informatique, notamment pour susciter les collaborations, il est important de bien comprendre la portée de ces diverses licences. Le choix de la licence appropriée doit se faire en tenant compte des objectifs du projet. Par ailleurs, il faut garder à l’esprit qu’il n’est pas toujours possible de changer la licence utilisée pour la distribution du code une fois que celui-ci a commencé à être distribué. Le choix de la licence peut donc avoir des conséquences à long terme sur un projet. David Cassel, Linus Torvalds on Community, Rust and Linux’s Longevity, The NewStack, 1 Oct 2021, en ligne : https://thenewstack.io. Voir le communiqué de presse de SFC : https://sfconservancy.org/copyleft-compliance/vizio.html LRC 1985, c. C-42.

Jusqu’à maintenant, aucune réglementation précise n’encadre l’utilisation de l’intelligence artificielle au Canada. Certes, les lois relatives à l’utilisation des renseignements personnels et prohibant la discrimination trouvent toujours application, peu importe qu’il s’agisse de technologies dites d’intelligence artificielle ou de technologies plus conventionnelles. L’application de ces lois à l’intelligence artificielle soulève toutefois plusieurs questions, particulièrement lorsque l’on traite de « réseaux de neurones artificiels » dont l’opacité des algorithmes qui les composent rend difficile la compréhension des mécanismes décisionnels par les personnes concernées. Ces « réseaux de neurones artificiels » ont la particularité de ne permettre que peu d’explications sur leur fonctionnement interne. Le 12 novembre 2020, le Commissariat à la protection de la vie privée du Canada a publié ses recommandations visant la réglementation de l’intelligence artificielle1. Soulignant que les utilisations de l’intelligence artificielle nécessitant des renseignements personnels peuvent avoir de graves conséquences sur la vie privée, le Commissariat y va de plusieurs  recommandations, notamment les suivantes : Obliger ceux qui mettent au point ces systèmes à s’assurer de la protection de la vie privée au moment de la conception des systèmes d’intelligence artificielle ; La création d’un droit des personnes concernées d’obtenir une explication, en termes compréhensibles, leur permettant de comprendre les décisions rendues à leur égard par un système d’intelligence artificielle, de même que s’assurer que ces explications soient fondées sur de l’information exacte et qu’elles ne soient pas discriminatoires ou biaisées ; La création d’un droit de contester les décisions découlant de la prise de décision automatisée ; Le droit de l’autorité de réglementation d’exiger des preuves de ce qui précède. Notons que ces recommandations comprennent la possibilité de l’imposition de sanctions financières aux entreprises qui ne respecteraient pas ce cadre règlementaire. De plus, contrairement à l’approche retenue par le Règlement général sur la protection des données et le projet de loi 64 du gouvernement du Québec, les droits à l’explication et à la contestation ne seraient pas limités aux décisions prises uniquement de manière automatisée, mais viserait aussi les cas où le système d’intelligence artificielle assiste un décideur humain. Il est probable que ces propositions encadrent un jour ou l’autre le fonctionnement de systèmes d’intelligence qui sont déjà en cours de mise au point. Il serait donc prudent pour les concepteurs de tenir compte de ces recommandations et de les intégrer dans leurs paramètres de mise au point des systèmes d’intelligence artificielle dès maintenant Si ces recommandations sont intégrées à la réglementation, il faudra en outre réfléchir aux moyens d’expliquer le fonctionnement des systèmes visés par les décisions prises par l’intelligence artificielle ou s’y appuyant. Comme le mentionnent ces recommandations : « Bien que les secrets commerciaux puissent exiger des organisations qu’elles fassent preuve de prudence dans les explications qu’elles fournissent, une certaine forme d’explication valable serait toujours possible sans compromettre la propriété intellectuelle. »2  C’est pourquoi il pourrait être crucial de faire appel à des avocats spécialisés dans ces questions dès la conception des solutions qui utilisent l’intelligence artificielle et les renseignements personnels. https://www.priv.gc.ca/fr/a-propos-du-commissariat/ce-que-nous-faisons/consultations/consultations-terminees/consultation-ai/reg-fw_202011/ Ibid.