Commercial

Introduction Le 1er juin 2023, le Ministre de la Justice, Simon Jolin-Barrette, a présenté et déposé devant l’Assemblée nationale le projet de loi 29 intitulé Loi protégeant les consommateurs contre l’obsolescence programmée et favorisant la durabilité, la réparation et l’entretien des biens1 (ci-après le « Projet de loi »). Le Projet de loi prévoit principalement des modifications à la Loi sur la protection du consommateur 2 (« L.p.c. ») et réaffirme la volonté du législateur de protéger les consommateurs, notamment en bonifiant les garanties légales leur étant offertes et en introduisant la notion d’obsolescence programmée en droit québécois. La date d’entrée en vigueur des nouvelles dispositions n’est pas encore prévue, mais nous sommes d’avis que le Projet de loi mérite déjà notre attention. Modifications proposées à la Loi sur la protection du consommateur Objectif des modifications à la L.p.c. L’objectif premier du Projet de loi est de mettre fin au commerce des biens faisant l’objet d’obsolescence programmée, cette notion étant définie comme étant une « technique visant à réduire la durée normale de fonctionnement » d’un bien3. Garanties La L.p.c. encadre déjà la garantie légale de qualité pouvant s’appliquer à un bien faisant l’objet d’un contrat entre un consommateur et un commerçant. Cette garantie s’ajoute à celle prescrite par le Code civil du Québec aux articles 1726 et suivants. En vertu de l’article 38 L.p.c., un bien doit pouvoir « servir à un usage normal pendant une durée raisonnable, eu égard à son prix, aux dispositions du contrat et aux conditions d’utilisation du bien »4. Ceci étant dit, le Projet de loi bonifierait la protection offerte aux consommateurs en introduisant une garantie de « bon fonctionnement » pour certains biens neufs faisant l’objet d’un contrat de vente ou de louage à long terme5. La durée de cette garantie demeurerait à déterminer par règlement6. Pour le moment, cette nouvelle garantie viserait les biens suivants : Réfrigérateur; Lave-vaisselle; Machine à laver; Sèche-linge; Téléviseur; Ordinateur de bureau ou portable; Tablette électronique; Téléphone cellulaire; Console de jeu vidéo; Climatiseur; et Thermopompe. En ce qui a trait à la garantie supplémentaire, communément appelée « garantie prolongée », en outre de son obligation d’informer le consommateur de la garantie légale avant d’offrir une garantie supplémentaire7, le commerçant devrait dorénavant informer le consommateur des modalités de son droit de résolution du contrat concernant la garantie supplémentaire8. Obligations du commerçant Le Projet de loi imposerait plusieurs nouvelles obligations aux commerçants et aux fabricants, notamment en matière d’affichage. Les commerçants devraient par exemple indiquer la durée de la garantie de bon fonctionnement à proximité des biens visés de manière aussi évidente que leur prix9. En ce qui a trait aux biens qui sont de nature à nécessiter un travail d’entretien, le projet de loi introduit une garantie dite de « disponibilité ». Les commerçants et fabricants devraient s’assurer que les pièces de rechange, les services de réparation et les renseignements nécessaires à l’entretien et la réparation soient disponibles pendant une durée raisonnable après la conclusion du contrat et à un prix raisonnable10. Véhicules gravement défectueux Selon le Projet de loi, les véhicules seraient dits « gravement défectueux » notamment en fonction des conditions suivantes11 : Une ou des tentatives infructueuses de réparation pour des défectuosités effectuées suivant la garantie conventionnelle du fabricant, notamment trois tentatives de réparation infructueuse sur une même défectuosité; les défectuosités du véhicule sont apparues dans les trois (3) ans de la première vente ou de la location à long terme, alors que le véhicule n’a pas encore parcouru 60 000 km; les défectuosités rendent le véhicule impropre à l’usage auquel il est normalement destiné. Lorsque ces conditions sont réunies, le véhicule concerné serait alors réputé être atteint d’un vice caché. Sanctions En ce qui a trait aux sanctions de nature pénale, le Projet de loi prévoit une nette augmentation des montants afférents à celles-ci et ajoute de nouvelles infractions, dont les suivantes : Une contravention à l’obligation de divulgation de la garantie légale de bon fonctionnement pourrait donner lieu à une amende de 3 000$ à 75 000$ dans le cas d’une personne morale et de 1 500$ à 37 500$12 pour une personne physique; L’entreprise qui ferait le commerce d’un bien dont l’obsolescence est programmée pourrait se voir imposer une amende minimale de 5 000$ ou un montant équivalent au double du bénéfice tiré de la perpétration de l’infraction, selon le montant le plus élevé. L’amende maximale quant à elle s’élève à 125 000$ ou un montant équivalent au quadruple du bénéfice tiré de la perpétration de l’infraction, selon le montant le plus élevé13. Le Projet de loi propose aussi des sanctions administratives pécuniaires pour un manquement « objectivement observable » à la L.p.c.14. La sanction maximale prévue serait de 3 500$ pour une entreprise, pour chaque jour où le manquement se poursuit15. Également, le Projet de loi stipule que les dirigeants et administrateurs d’une entreprise qui aurait commis une infraction à la L.p.c. seraient présumés avoir commis eux-mêmes l’infraction. Cette présomption pourrait être repoussée dans la mesure où la personne visée établirait soit qu’elle a fait preuve de diligence raisonnable, soit qu’elle a pris « toutes les précautions nécessaires » pour prévenir la perpétration de l’infraction16. Conclusion Le Projet de loi vise à mettre un frein à l’obsolescence programmée, un concept qui consiste à employer une « technique visant à réduire la durée normale de fonctionnement » d’un bien17. Les modifications proposées à la L.p.c. établissent une nouvelle garantie dite de « bon fonctionnement » du bien. Il sera intéressant de voir si celle-ci s’arrimera avec les enseignements en matière de garantie légale de qualité de la Cour Suprême du Canada dans l’arrêt clé Domtar18. L’application de la notion d’obsolescence programmée dans les faits sera également à surveiller de près, étant donné que les tribunaux y seront confrontés pour la première fois. Certaines difficultés pourraient se manifester, notamment en matière de preuve. Les modifications à la L.p.c. engendreraient aussi de nouvelles obligations pour les fabricants et les commerçants, notamment en matière de divulgation et d’information concernant la garantie de bon fonctionnement et la garantie supplémentaire. Une garantie de disponibilité des pièces et services liées aux biens qui sont de nature à nécessiter un travail d’entretien est aussi encadrée dans les modifications proposées par le Projet de loi. De plus, la sévérité des sanctions prévues concernant les biens dont l’obsolescence serait programmée sera à considérer. Bref, un Projet de loi à surveiller!   Loi protégeant les consommateurs contre l’obsolescence programmée et favorisant la durabilité, la réparation et l’entretien des biens, projet de loi no 29 (présentation – 1er juin 2023), 1re sess., 43e légis. (Qc) (« PL »). Loi sur la protection du consommateur, RLRQ c. P-40.1. PL, art. 14; L.p.c., art. 227.0.4, al. 2. L.p.c., art. 38. PL, art. 3; L.p.c., art 38.1. PL, art. 3; L.p.c., art. 38. 1 al. 2. Obligation actuelle suivant L.p.c. art. 228.1. al. 1. PL, art. 15; L.p.c., art. 228.3. PL., art. 3; L.p.c., art. 38.8. PL., art. 3; L.p.c., art., 39 al. 1.; 39.3. al. 1. PL, art 5; L.c.p. 53.1. PL, art. 19; L.p.c., art. 277. Id. PL, art. 18; L.p.c., art. 276.1. PL, art. 18; L.p.c., art. 276.1 al. 2.; 276.2. PL., art. 19; L.p.c., art. 282.1. PL, art. 14; L.p.c., art. 227.0.4, al. 2. ABB c. Domtar, 2007 CSC 50.

Le 23 juin 2023, d’importantes modifications à l’article 45 de la Loi sur la concurrence1 (la « Loi ») entreront en vigueur. Adoptées en 2022 par le Parlement fédéral, ces modifications ont notamment pour but d’harmoniser le droit canadien de la non-concurrence avec celui de certains autres pays, en particulier, celui des États-Unis, qui restreint certaines pratiques commerciales jugées nuisibles aux travailleurs. Les modifications apportées à la Loi auront une incidence sur les employeurs partout au Canada, qu’ils soient de compétence fédérale ou provinciale. À compter du 23 juin 2023, la Loi interdira à des employeurs « non affiliés » de conclure des accords visant à i) fixer les salaires ou les conditions d’emploi; ou ii) restreindre la mobilité des employés au moyen d’engagements de non-sollicitation et de non-embauche mutuels. À ce titre, il est à noter que les accords entre des entreprises affiliées (par exemple, des entreprises qui sont contrôlées par la même société mère) ne constituent pas une infraction à la Loi. Le présent bulletin vise à présenter un sommaire des modifications d’intérêt pour les employeurs à la lumière de la version officielle des lignes directrices sur l’application de la Loi publiées par le Bureau de la concurrence (le « Bureau ») en date du 30 mai 20232 (les « Lignes directrices »). Bien que les Lignes directrices n’aient pas force de loi, elles décrivent l’approche que suivra le Bureau dans son interprétation des interdictions et défenses applicables. LES ACCORDS DE FIXATION DES SALAIRES ET DES CONDITIONS D’EMPLOI L’alinéa 45 (1.1) a) de la Loi interdit les ententes entre employeurs non affiliés portant sur la fixation, le maintien, la réduction ou le contrôle des salaires, des traitements et des conditions d’emploi. À cet égard, le Bureau de la concurrence énonce aux Lignes directrices que le terme « conditions d’emploi » renvoie généralement à toute condition pouvant influer sur la décision d’une personne d’accepter un contrat d’emploi ou de le conserver, ce qui comprend, notamment, « les descriptions de poste, les indemnités quotidiennes, le remboursement de déplacements, la rémunération non monétaire, les heures de travail, le lieu de travail et les dispositions de non-concurrence ou autres directives susceptibles de restreindre les perspectives d’emploi d’une personne ». Le Bureau donne comme exemple de situations problématiques eu égard à la nouvelle disposition de la Loi une situation où deux dirigeants propriétaires d’entreprises non affiliées conviendraient, lors d’un dîner d’affaires, de limiter les primes annuelles de leurs employés respectifs à 5% de leur salaire brut. Ce type d’entente serait vraisemblablement prohibé par la Loi. LES ENGAGEMENTS DE NON-DÉBAUCHAGE OU DE NON-SOLLICITATION En vertu de l’alinéa 45 (1.1) b) de la Loi, sont également prohibés les accords entre employeurs non affiliés qui pourraient limiter les possibilités pour leurs employés d’être embauchés par l’autre employeur. Cette nouvelle disposition concerne les engagements mutuels de non-sollicitation et de non-embauche entre employeurs que l’on retrouve assez souvent dans les contrats commerciaux (tels les contrats de fusion-acquisition, de coentreprise (joint-venture), de partenariat, de vente, d’approvisionnement ou de fourniture de biens et services, de franchise, de recrutement et placement de personnel, etc.). Toutefois, tel que nous le mentionnons ci-dessus, il est important de noter que ce type d’entente ne contrevient à la Loi que dans les cas où les parties ont des obligations mutuelles de non-débauchage. Autrement dit, si l’obligation est « unidirectionnelle », c’est-à-dire qu’une seule des parties est assujettie à une telle obligation de ne pas solliciter ou débaucher les employés de l’autre employeur, il n’y a pas de ce fait d’infraction à la Loi. LES EXEMPTIONS ET DÉFENSES POSSIBLES La principale défense qui pourrait être opposée à des procédures intentées en vertu du paragraphe 45 (1.1) est celle fondée sur les restrictions accessoires (la « DRA »). Pour se prévaloir de cette défense, les employeurs devront démontrer que : la restriction est accessoire à un accord plus large entre les parties (ou à un accord distinct entre les mêmes parties); la restriction est directement liée à l’objectif de cet accord plus large (ou distinct) et est nécessaire à sa réalisation; et l’accord plus large (ou distinct) ne contrevient pas autrement au paragraphe 45 (1.1) de la Loi (lorsqu’il est considéré indépendamment de la restriction). À titre d’exemple, il est raisonnable de s’attendre à ce qu’une agence se spécialisant dans le placement de personnel chez ses clients veuille éviter que ceux-ci puissent embaucher ce personnel au cours de la durée de l’entente. Il serait possible dans ce cas pour l’agence d’invoquer la DRA. L’entente devra toutefois être soigneusement rédigée afin que l’employeur puisse être en mesure de démontrer que l’accord était raisonnablement nécessaire à la réalisation de l’objectif recherché. À ce titre, le Bureau indique que la durée, l’objet et la portée géographique de la restriction, parmi d’autres éléments, seront notamment examinés pour déterminer si l’entente est bel et bien « raisonnablement nécessaire ». Les Lignes directrices prévoient par ailleurs que le Bureau « n’évaluera généralement pas les clauses de fixation des salaires ou de non-débauchage qui sont accessoires aux transactions de fusion, aux coentreprises ou aux alliances stratégiques en vertu des dispositions criminelles », mais qu’il « peut cependant commencer une enquête aux fins du paragraphe 45(1.1) lorsque ces clauses sont clairement plus larges qu’il est nécessaire en ce qui concerne la durée, les employés couverts, ou lorsque l’accord ou l’arrangement commercial est un subterfuge. » D’autres exemptions et défenses pourront également être invoquées, telles que la défense fondée sur des actes réglementés3 ou l’exemption en matière de négociation collective4. LES SANCTIONS APPLICABLES Une contravention au nouveau paragraphe 45 (1.1) de la Loi pourra entraîner des poursuites criminelles. La sanction qui pourra être imposée à la suite d’un verdict de culpabilité est soit une amende dont le montant est fixé par le tribunal, à sa discrétion, soit une peine d’emprisonnement maximale de 14 ans, soit les deux. Par ailleurs, l’article 36 de la Loipermet aussi à une personne (vraisemblablement un travailleur) qui a subi une perte ou des dommages à la suite d’un manquement à diverses dispositions de la Loi, dont l’article 45 (ce qui comprendra donc le nouveau paragraphe 45 (1.1)) de réclamer de la personne qui a eu un tel comportement (ici l’employeur), une somme correspondant au montant de la perte ou des dommages subis. Ainsi, une contravention aux dispositions en question de la Loi serait susceptible d’entraîner des poursuites civiles et possiblement, dans certains cas, un recours collectif. PRÉCISIONS SUR LES ENTENTES EXISTANTES ET MESURES À PRENDRE Les Lignes directrices précisent que les interdictions du paragraphe 45(1.1) de la Loi s’appliquent non seulement aux accords conclus à compter du 23 juin 2023, mais aussi aux comportements qui réaffirment ou mettent en œuvre des accords conclus antérieurement à cette date. À cet égard, au moins deux des parties à ces accords antérieurs devront réaffirmer ou mettre en œuvre la restriction. On peut penser, par exemple, au renouvellement par deux parties ou plus d’une entente qui contiendrait un engagement prohibé. Le Bureau précise également qu’il mettra l’accent sur l’intention des parties à compter du 23 juin 2023 et, dans ce contexte, il suggère aux entreprises de revoir leurs modèles de contrat et de mettre à jour leurs accords préexistants dans le cours normal des affaires. Nous recommandons donc à toute entreprise, qu’elle soit de compétence provinciale ou fédérale, d’examiner les contrats actuellement en vigueur auxquels elle est partie et d’y relever toutes les clauses qui pourraient possiblement constituer une infraction en vertu de ces nouvelles dispositions de la Loi. Suivant cet exercice, différentes stratégies ou correctifs pour limiter les risques de l’entreprise pourront être évalués et mis en œuvre selon la nécessité et le caractère raisonnable des engagements (par exemple, renégociation d’un engagement ou adoption d’une directive visant à confirmer que l’employeur n’appliquera pas un engagement à compter du 23 juin 2023, etc.). N’hésitez pas à communiquer avec les membres de nos équipes pour plus de détails et pour des conseils en lien avec ces modifications. L.R.C. 1985 c. C-34, tel que modifiée par la loi C-19, Loi no 1 d’exécution du budget de 2022, L.C. 2022, c.10. Bureau de la concurrence. Lignes directrices sur l’application de la loi concernant les accords de fixation des salaires et de non-débauchage en ligne, 2023-05-30. Paragraphe 45(7) de la Loi. Article 4 de la Loi.

À l’heure même où certains exigent une suspension temporaire de la recherche en intelligence artificielle et du développement de systèmes avancés et que d’autres souhaitent remettre le génie dans la bouteille, on peut se demander quel sera l’effet des technologies conversationnelles (ChatGPT, Bard et autres) au sein des entreprises et en milieu de travail. Certaines entreprises en encouragent l’usage, d’autres les interdisent, mais beaucoup n’ont toujours pas pris position. Nous croyons qu’il est impératif que toute entreprise adopte une position claire et guide ses employés en ce qui a trait à l’usage de ces technologies. Avant de décider quelle position adopter, une entreprise doit être consciente des différents enjeux juridiques liés à l’usage de ces formes d’intelligence artificielle. Si l’entreprise décide d’en permettre l’usage, elle doit alors être en mesure de bien encadrer cet usage et surtout les résultats et les applications qui en découleront. Force est de constater que de tels outils technologiques présentent à la fois des avantages non négligeables susceptibles de soulever les passions, pensons notamment à la rapidité avec laquelle ces technologies conversationnelles réussissent à fournir une information à la fois surprenante et intéressante, et des risques indéniables quant aux avancées qui peuvent en résulter. Nous résumons dans le présent texte quelques risques qui, à très court terme, guettent les entreprises, ainsi que leurs clients, employés et partenaires, dans le cadre de leur utilisation de ces outils. Risques d’erreurs et responsabilité Les médias ont abondamment relaté les errances et les inexactitudes des robots conversationnels qui génèrent du texte. Dans certains cas, on parle même « d’hallucinations », où le robot conversationnel invente une réalité qui n’existe pas. Cela n’est pas surprenant. D’une part, ces technologies s’abreuvent à l’Internet, qui est truffé de désinformation et d’inexactitudes, et d’autre part, on s’attend à ce que ces robots conversationnels « créent » de nouveaux textes. Ils n’ont pas, pour le moment du moins, de balises suffisantes pour utiliser cette « créativité » uniquement à bon escient. On peut facilement imaginer des situations où un employé utiliserait une telle technologie pour produire du contenu destiné à être utilisé par son employeur à des fins commerciales. Surgit alors un danger évident pour l’entreprise si des mesures de contrôle appropriées ne sont pas mises en place. Le contenu ainsi généré pourrait s’avérer erroné, et ce d’une manière à tromper les clients de l’entreprise. Ce risque serait particulièrement important si le contenu ainsi généré fait l’objet d’une diffusion, par exemple en étant affiché sur le site web de l’entreprise ou utilisé dans une campagne de publicité. Dans un tel cas, l’entreprise pourrait vraisemblablement être responsable du préjudice ainsi causé par son employé, celui-ci s’étant fié à une technologie qu’on sait défaillante. Cet enjeu de fiabilité de ces outils, surtout lorsqu’ils sont utilisés de façon peu encadrée, demeure à ce jour l’un de plus préoccupant. Diffamation Imaginons qu’une telle information erronée concerne de surcroît une personne connue ou une entreprise concurrente. D’un point de vue juridique, une entreprise qui diffuse un tel contenu sans mettre en place des balises pour s’assurer que des vérifications adéquates ont été faites pourrait s’exposer à des poursuites en diffamation ou pour publicité trompeuse. Il semble donc impératif d’adopter des mesures faisant en sorte que tout contenu tiré de ces technologies soit minutieusement validé avant tout usage commercial. Plusieurs auteurs suggèrent que les résultats générés par un tel outil d’intelligence artificielle devraient davantage servir d’aide pour l’analyse et la prise de décision, que de produits ou résultats finaux. Cependant, la vitesse à laquelle les entreprises adopteront ces outils et en bénéficieront, notamment sur le plan concurrentiel, pourrait devancer la vitesse à laquelle les bonnes pratiques et la réglementation viendront les gouverner. Enjeux de propriété intellectuelle Les robots conversationnels qui émergent ont été développés en vue de constituer des extensions aux moteurs de recherche du web, tels Google et Bing. Il est possible que le contenu généré par les robots conversationnels s’inspire de contenus web déjà existants et assujettis à des droits d’auteur, et qu’il en reprenne même parfois des portions substantielles.  Cela pourrait entraîner une violation de droits d’auteur. Si l’utilisateur limite son usage à des fins de recherche interne, le risque est alors limité puisque la loi prévoit une exception pour un usage équitable dans un tel contexte. Par contre, si son intention est de diffuser le texte à des fins commerciales, il y a un risque de violation de droits d’auteur. Ce risque est particulièrement présent lorsqu’on demande à un robot conversationnel de générer du contenu sur un sujet ciblé pour lequel il existe peu de références sur le web. Une autre question pour laquelle les réponses ne sont pas encore claires est celle de savoir qui détiendra les droits sur les réponses et les résultats découlant d’un tel outil, notamment si ces réponses et ces résultats font l’objet de diverses adaptations ou modifications avant leur ultime utilisation. Enjeux de confidentialité et de protection des renseignements personnels À la lecture de leurs modalités et conditions d’utilisation, la plupart de ces technologies conversationnelles ne semblent pas prévoir un usage qui soit confidentiel. Il est donc impensable de leur révéler des secrets commerciaux ou des renseignements confidentiels. Qui plus est, ces technologies ne sont pas conçues pour recevoir ni pour protéger des renseignements personnels conformément aux lois et règlements applicables dans les juridictions où elles pourraient être utilisées. Leurs propriétaires se dégagent généralement de toute responsabilité à cet égard. Autres enjeux Quelques autres enjeux importants méritent d’être soulignés parmi ceux qu’il est possible d’anticiper à ce jour. Premièrement, les possibles biais discriminatoires que certains attribuent aux outils d’intelligence artificielle, lorsque combinés avec le peu de règlementation de ces outils, peuvent entrainer des conséquences significatives pour divers groupes de la population. Deuxièmement, on ne peut pas passer sous silence les nombreux enjeux éthiques associés aux applications d’intelligence artificielle qui seront développées dans divers secteurs (médecine, justice, politique, etc.).  Les enjeux seront d’autant plus grands lorsque ces mêmes applications seront utilisées dans des juridictions où les lois, les coutumes et la culture (économiques, politiques et sociales) sont différentes. Enfin, les risques de conflit ne peuvent pas être ignorés. Qu’il s’agisse de conflits entre groupes prônant différentes valeurs, entre organisations ayant des objectifs opposés, ou même entre nations, il est difficile de prédire si et comment les avancées en matière d’intelligence artificielle permettront de solutionner ou d’apaiser de tels conflits ou si au contraire elles les envenimeront. Conclusion Ces technologies conversationnelles présentent un grand potentiel, mais soulèvent aussi des enjeux juridiques sérieux. À court terme, il semble peu probable que ces outils puissent légitimement se substituer au jugement humain, lui-même imparfait. Mais tout comme l’a fait la révolution industrielle il y a deux siècles, l’arrivée de ces technologies entraînera des changements importants et rapides au sein des entreprises. Il est important de préparer dès maintenant des politiques visant à encadrer l’usage de ces technologies au sein de votre entreprise. De plus, si votre entreprise doit intégrer une telle technologie dans le cadre de ses activités, nous vous recommandons de procéder à une étude attentive de ses modalités et conditions d’utilisation afin de vous assurer qu’elles sont compatibles avec le projet et les objectifs que votre entreprise souhaite réaliser grâce à elle.

Alors que le gouvernement canadien manifeste son intention de légiférer en matière de cybersécurité (voir le projet de loi C-26 visant à mettre en place une Loi sur la protection des cybersystèmes essentiels), plusieurs entreprises ont déjà entrepris des démarches sérieuses pour sécuriser leurs infrastructures informatiques. Toutefois, l’Internet des objets et trop souvent négligé lors de ces démarches. Pourtant, plusieurs appareils sont directement connectés aux infrastructures informatiques les plus importantes pour les entreprises. Les robots industriels, les dispositifs qui contrôlent l’équipement de production en usine ou ceux qui aident les employés sur la route à effectuer leurs livraisons en sont des exemples. Des systèmes d’exploitation ainsi que diverses applications sont installés sur ces appareils. Le fonctionnement même de nombreuses entreprises et la sécurité de certains renseignements personnels dépendent de la sécurité de ces appareils et de leurs logiciels. Par exemple : Une attaque pourrait viser les systèmes de contrôle d’équipement de fabrication en usine et entraîner une interruption de la production de l’entreprise ainsi que des coûts importants de remise en fonction et des délais de production; En visant les équipements de production et les robots industriels, un attaquant pourrait subtiliser les plans et les paramètres de fabrication de différents procédés, ce qui pourrait mettre en péril les secrets industriels d’une entreprise; Des lecteurs de codes à barres utilisés pour la livraison de colis pourraient être infectés et transmettre des renseignements, notamment des renseignements personnels, à des pirates informatiques L’Open Web Application Security Project (OWASP), un organisme sans but lucratif, a publié une liste des dix plus grands risques de sécurité pour l’Internet des objets1. Les gestionnaires d’entreprises qui utilisent de tels équipements doivent être conscients de ces enjeux et prendre des mesures pour mitiger ces risques. Nous nous permettons de commenter certains de ces risques dont la mitigation requiert des politiques adaptées et une saine gouvernance au sein de l’entreprise : Mots de passe faibles ou immuables : certains dispositifs sont vendus avec des mots de passe initiaux connus ou faibles. Il est important de s’assurer que, dès leur installation, ces mots de passe sont changés, puis d’en garder un contrôle serré. Seul le personnel informatique désigné devrait connaître les mots de passe permettant de configurer ces appareils. De plus, il faut éviter d’acquérir des équipements ne permettant pas une gestion de mots de passe (par exemple, dont le mot de passe est immuable). Absence de mises à jour : l’Internet des objets repose souvent sur des ordinateurs dont les systèmes d’exploitation ne sont pas mis à jour pendant leur durée de vie. Il en résulte que certains appareils sont vulnérables parce qu’ils utilisent des systèmes d’exploitation et des logiciels ayant des vulnérabilités connues. À cet égard, une saine gouvernance permet d’une part de s’assurer que de tels appareils sont mis à jour, et d’autre part, de n’acquérir que des appareils permettant de procéder aisément à de telles mises à jour régulières. Gestion déficiente du parc d’appareils connectés : Certaines entreprises n’ont pas un portrait clair de l’Internet des objets déployés au sein de leur entreprise. Il est impératif d’avoir un inventaire de ces appareils, de leur rôle au sein de l’entreprise, du type de renseignements qui s’y trouvent et des paramètres essentiels à leur sécurité. Manque de sécurité physique : Dans la mesure du possible, l’accès à ces appareils devrait être sécurisé. Trop souvent, des appareils sont laissés sans surveillance dans des lieux où ils sont accessibles au public. Des directives claires doivent être données aux employés pour que ceux-ci adoptent des pratiques sécuritaires, notamment en ce qui concerne l’équipement destiné à être déployé sur la route. Le conseil d’administration d’une entreprise joue un rôle clé en matière de cybersécurité. En effet, le défaut des administrateurs de s’assurer qu’un système de contrôle adéquat est mis en place et d’assurer une surveillance des risques peut engager leur responsabilité. Dans ce contexte, voici quelques éléments que les entreprises devraient considérer pour assurer une saine gouvernance : Revoir la composition du conseil d’administration et réviser la matrice des compétences afin de s’assurer que l’équipe possède les compétences requises; Offrir de la formation à tous les membres du conseil d’administration afin de développer la cybervigilance et leur donner des outils pour remplir leur devoir d’administrateur; et Évaluer les risques associés à la cybersécurité, notamment ceux découlant des appareils connectés, et établir les moyens de mitiger ces risques. La Loi 25, soit la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, prévoit plusieurs obligations destinées au conseil d’administration, notamment celle de nommer un responsable de la protection des renseignements personnels et celle d’avoir un plan de gestion et un registre des incidents de confidentialité. À cet effet, nous vous invitons à consulter le bulletin suivant : Modifications aux lois sur la protection des renseignements personnels : ce que les entreprises doivent savoir (lavery.ca) Finalement, une entreprise doit en tout temps s’assurer que les identifiants, mots de passe et autorisations auprès des fournisseurs permettant au personnel informatique d’intervenir  ne sont pas entre les mains d’une seule personne ou d’un seul fournisseur. Ceci placerait l’entreprise en position de vulnérabilité si la relation avec cette personne ou ce fournisseur venait à se dégrader. Voir notamment OWASP top 10