À retenir
- Publiée aujourd’hui dans le CMAJ, l’analyse « The Safe Social Media Act: lessons from international online safety policies for protecting child health in Canada » de Christo Hall, Reshma Patel et Charlotte Moore Hepburn, du Child Health Policy Accelerator de SickKids, appuie l’adoption du projet de loi C-34 et propose une approche de sécurité des produits : réglementer les systèmes de recommandation et les paramètres par défaut, pas seulement les publications individuelles.
- Les auteurs veulent que la Commission canadienne de la sécurité numérique et de la protection des données proposée ait de réels moyens d’action : le pouvoir d’exiger des données des plateformes, de mener des audits et d’imposer la conformité. Ils citent les normes australiennes non exécutoires et un contrôle de l’âge aux défauts de conception comme exemples de ce qui arrive sans ces pouvoirs.
- Ils insistent : la protection de la vie privée doit accompagner la sécurité, et l’évaluation des résultats doit être financée. L’interdiction des médias sociaux pour les moins de 16 ans exigera une vérification de l’âge qui touchera chaque utilisateur adulte, et c’est là que les équipes de protection des renseignements personnels entrent en scène.
Ce que trois chercheurs de SickKids ont prescrit aujourd’hui
L’analyse du CMAJ (CMAJ 198(35) E1373-E1376, publiée le 13 octobre 2026) indique ce que le Canada devrait emprunter aux régimes de sécurité en ligne d’autres pays. Six recommandations, dans l’ordre des auteurs :
- Une approche pansociétale. La Commission canadienne de la sécurité numérique et de la protection des données proposée devrait avoir un mandat d’éducation du public, de littératie numérique pour les parents et les enfants, et de communication claire sur les risques.
- Réglementer la conception, pas seulement le contenu. Des règles proactives devraient viser les systèmes de recommandation et les paramètres par défaut, en phase avec la loi britannique sur la sécurité en ligne et la loi européenne sur les services numériques. Modérer les publications une à une, après coup, ne suffit pas.
- Protéger la vie privée en même temps que la sécurité. Le double mandat de sécurité et de protection des données de la Commission est, selon les auteurs, une étape importante. La vie privée des enfants obtient son propre volet, pas une note de bas de page.
- Rendre le régulateur exécutoire. Il lui faut le pouvoir d’exiger des données des plateformes, de mener des audits et d’imposer la conformité. Les exemples à éviter : les normes australiennes de sécurité en ligne non exécutoires, et un contrôle de l’âge australien dont les défauts de conception ont empêché toute évaluation sérieuse de son efficacité.
- Financer l’évaluation des résultats. Le Canada devrait mesurer si les règles rendent réellement les enfants plus en sécurité, et obliger les plateformes à fournir les données nécessaires.
- Garder la loi alignée sur les technologies émergentes. Financer la littératie numérique et médiatique, les programmes scolaires, la formation des parents et la participation des jeunes, et tenir le cadre à jour avec la recherche, y compris sur l’IA.
Pourquoi cet appui change le cadre du débat
La majeure partie du débat public sur le projet de loi C-34 a porté sur la liberté d’expression : l’interdiction pour les moins de 16 ans, les arguments fondés sur la Charte, la définition du contenu préjudiciable. (J’ai écrit hier sur l’absence de l’énoncé relatif à la Charte, soit la moitié constitutionnelle de ce débat.) Les médecins déplacent l’argument vers la sécurité des produits. Les systèmes de recommandation et les paramètres par défaut sont des choix d’ingénierie, et les choix d’ingénierie se réglementent comme les ceintures de sécurité ou l’étiquetage des aliments. C’est le cadre qui a fait adopter les régimes britannique et européen, et c’est un cadre que les plateformes ont plus de mal à rejeter.
Il répond aussi à l’objection la plus fréquente chez les praticiens : la réglementation fondée sur le retrait de contenu court toujours après le préjudice. La prescription du CMAJ est d’accord. Elle dit que l’obligation devrait s’appliquer avant la publication, au moment où le fil décide ce qu’un enfant verra ensuite.
Où s’appliqueraient les obligations de conception
| Régime | Obligations de conception | Moyens d’exécution |
|---|---|---|
| Loi britannique sur la sécurité en ligne (2023) | Obligations proactives sur les systèmes de recommandation et les paramètres par défaut; code de conception adaptée à l’âge décrit comme proactif plutôt que prescriptif | Amendes possibles, même si le code de conception adaptée à l’âge ne prévoit lui-même aucune amende en cas de manquement |
| Loi européenne sur les services numériques (2022) | Transparence des systèmes de recommandation et évaluations des risques pour les grandes plateformes | Amendes importantes via la Commission et les coordonnateurs nationaux |
| Australie | Normes de sécurité en ligne que les auteurs jugent non exécutoires; interdiction pour les moins de 16 ans avec un contrôle de l’âge dont les défauts de conception ont nui à l’évaluation | Faibles par conception, selon l’analyse du CMAJ |
| Projet de loi C-34 (proposé) | Obligations proactives contre l’exploitation sexuelle des enfants en ligne, la cyberintimidation et le harcèlement; s’applique aux plateformes de plus d’un million d’utilisateurs canadiens; vérification de l’âge pour l’accès des moins de 16 ans aux médias sociaux; pouvoirs accrus d’audit et d’ordonnance exécutoire du Commissariat; un code de protection des renseignements personnels des enfants | À déterminer : la Commission canadienne de la sécurité numérique et de la protection des données n’existe pas encore |
Le motif est clair. Chaque régime qui fonctionne sur papier combine des obligations de conception et un régulateur capable d’exiger des données et de sanctionner les manquements. Ceux qui échouent reposent sur des normes que personne n’applique.
Le hic pour la vie privée que les médecins laissent ouvert
Les auteurs affirment que la protection de la vie privée doit accompagner la sécurité. Ils ont raison, et c’est la partie la plus difficile du projet de loi.
Les praticiens sur Reddit sont largement sceptiques face à l’ensemble, et leurs objections méritent d’être prises au sérieux plutôt que balayées. Les principales : la vérification obligatoire de l’âge lie l’identité hors ligne à l’activité en ligne et pousserait la plupart des adultes canadiens à remettre des pièces d’identité aux plateformes ou à leurs fournisseurs, créant de nouvelles cibles de choix pour les atteintes; la crainte du « cheval de Troie », selon laquelle les règles de protection des enfants deviendraient l’ossature d’un système général d’identité numérique; les préoccupations liées à l’alinéa 2b) de la Charte et des définitions vagues du contenu préjudiciable qui pousseraient les entreprises à supprimer trop de discours légitimes; et un point que le cadre de sécurité des produits minimise, soit que les jeunes LGBTQ et neurodivergents isolés dépendent des espaces en ligne pour le soutien de leurs pairs, soutien qu’une interdiction leur couperait.
L’interdiction australienne pour les moins de 16 ans est citée à répétition comme l’expérience en cours, et le verdict précoce dans ces discussions est que les adolescents contournent les contrôles de l’âge plus vite que les régulateurs ne peuvent les corriger.
Le fil constructif des mêmes discussions pointe la véritable solution technique : la vérification de l’âge respectueuse de la vie privée, où un tiers atteste d’un attribut d’âge sans le lier à l’identité. C’est la norme de conception que la Commission devrait fixer pour tout régime de vérification sous C-34, et c’est là que les équipes canadiennes de protection des renseignements personnels ont une contribution concrète à apporter : le Commissariat a publié des lignes directrices sur la vérification de l’âge en mai 2026, et les équipes qui ont déjà cartographié les produits nécessitant des contrôles de l’âge seront en avance.
Lisez la moitié du projet de loi C-34 sur les obligations de conception comme le cœur susceptible de survivre du texte. Faites dès maintenant l’inventaire de vos systèmes de recommandation, de vos paramètres par défaut et de vos mécanismes de contrôle de l’âge, et rédigez la note d’une page expliquant comment votre vérification de l’âge fonctionnerait sans collecte de pièces d’identité. Si le Sénat conserve le double mandat de la Commission et ses moyens d’exécution, cette note deviendra votre plan de conformité. Si les moyens sont retirés, vous aurez quand même bâti le produit le plus sûr.