Projet de loi fédéral sur la protection de la vie privée à l’ère numérique : éclairé ou douteux?

Connectez-vous pour écouter l'article

À première vue, Chantal Bernier était surprise par certains des changements proposés à la législation fédérale visant à protéger la vie privée. Mais après mûre réflexion, elle en est venue à les considérer comme « éclairés ».

« C’est à la fois audacieux et pertinent », avance l’ancienne Commissaire intérimaire à la protection de la vie privée du Canada et actuelle dirigeante du Groupe mondial sur la vie privée et la cybersécurité de Dentons, M^e Bernier, à propos du projet de loi C-36.

L’élaboration du projet de loi a pris beaucoup de temps. Plusieurs tentatives antérieures du gouvernement fédéral visant à moderniser la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) sont mortes au Feuilleton lors de sessions parlementaires successives.

La version actuelle propose une mesure radicale : supprimer la plupart des fonctions du commissaire fédéral à la protection de la vie privée et les transférer à un membre de la Commission de la sécurité numérique, qui sera créée par la Loi sur la sécurité numérique proposée dans le projet de loi C-34. Le commissaire à la protection de la vie privée ne serait alors responsable que du secteur public fédéral.

M^e Bernier signale que, si le projet de loi C-36 est adopté, le Canada sera le seul pays à disposer d’un cadre juridique traitant de la protection de la vie privée, de la sécurité numérique et des défis interdépendants qui se posent lorsqu’on tente de faire respecter la primauté du droit en ligne. À la base, il s’agit de déterminer comment garantir le respect de la loi sans tomber dans un régime de surveillance, et à qui incombe la responsabilité.

« Il existe des risques communs à la sécurité numérique et à la protection de la vie privée, ainsi que des défis communs en matière d’application de la loi pour y faire face », explique M^e Bernier. Elle cite comme exemple le cas où les renseignements personnels d’une personne sont utilisés pour créer un hypertrucage, ce qui constitue à la fois un enjeu de protection de la vie privée et de sécurité numérique.

Le fait que la nouvelle Commission de la sécurité numérique ne relève pas du Parlement ne la préoccupe pas, car elle estime que, par exemple, le CRTC et le Bureau de la concurrence fonctionnent efficacement, même s’ils ne relèvent pas non plus du Parlement.

« Une volte-face »

Cette nouvelle structure suscite toutefois des inquiétudes chez certaines personnes.

Selon Teresa Scassa, titulaire de la Chaire de recherche du Canada en politiques et droit de l’information de l’Université d’Ottawa, ce changement entraînera une perte d’indépendance, de crédibilité, d’expérience et de réseaux.

« On confie cette responsabilité à une structure étrange composée d’une commission [de la sécurité numérique] de cinq personnes pour laquelle la loi n’exige aucune expérience particulière en matière de protection de la vie privée », indique-t-elle.

La Commission supervisera les lignes directrices, les politiques et les études en matière de protection de la vie privée. Un commissaire sera désigné pour superviser le volet enquête, tandis que la division se chargera du volet décisionnel.

Aux yeux de M^e Scassa, la création de cette structure découle de l’idée selon laquelle l’élaboration des politiques doit être dissociée de la prise de décision judiciaire, en particulier lorsque des pouvoirs d’ordonnance sont en jeu.

Toutefois, cette structure comporte des dispositions qui portent grandement atteinte à ce principe d’indépendance, notamment le renouvellement des mandats des commissaires tous les cinq ans, qui entraîne de la précarité. M^e Scassa craint aussi que l’absence d’un commissaire à la protection de la vie privée expérimenté nuise à la vision et à l’approche stratégique en la matière.

David Fraser, associé au cabinet McInness Cooper à Halifax, ne voit pas de principe de modération dans cette loi, étant donné que le membre de la Commission chargé de la protection de la vie privée disposera de pouvoirs d’ordonnance, mais sera moins indépendant du gouvernement que l’actuel commissaire à la protection de la vie privée. Ce membre pourrait donc finir par recevoir des directives du ministre dont il relève.

« Si on doit conférer à un commissaire le pouvoir de recommander des ordonnances et des sanctions, on devrait plutôt confier ce pouvoir au commissaire à la protection de la vie privée actuel et faire de la Commission le tribunal d’appel. »

Selon M^e Fraser, le fait que le commissaire chargé de la protection de la vie privée numérique partage les mêmes locaux que l’organisme d’application de la loi, avec le même personnel, rend difficile la séparation entre les rôles de juge, jury, procureur et bourreau.

M^e Scassa présume que la Commission relèvera du ministre de l’Industrie, car, à l’instar des entreprises, le gouvernement considère l’accès aux données et leur utilisation comme une question de politique économique. Le projet de loi présente la sécurité numérique comme un enjeu économique comportant certains aspects liés à la vie privée, plutôt que comme un enjeu lié à la vie privée au sein duquel il faut faire de la place à l’activité économique.

« C’est une volte-face. »

Bien que les données personnelles ne puissent être utilisées sans consentement, M^e Scassa redoute que le contexte actuel n’exige davantage, notamment l’intégration de la protection de la vie privée par défaut, dès la conception.

Pour M^e Bernier, il reste à savoir si l’on peut se fier au consentement pour l’utilisation des données personnelles, et si ce recours au consentement reflète la réalité d’Internet. Dans sa version actuelle, le projet de loi permet effectivement certaines utilisations des données personnelles sans consentement, mais il laisse néanmoins le consommateur pleinement maître de ses choix.

« Je préfère respecter l’autonomie des consommateurs, qui s’exprime par le consentement », affirme la juriste.

« L’autre solution serait de mettre en place un cadre réglementaire très contraignant, qui imposerait des règles très strictes aux organisations, exigeant un consentement explicite pour tout, ce qui ne serait peut-être pas réaliste non plus. »

M^e Bernier considère que le public profite gratuitement des recherches sur Internet et des médias sociaux en échange de publicités et d’une utilisation raisonnable des renseignements personnels. Elle cherchera à déterminer si la loi a trouvé le juste équilibre entre le recours au consentement, afin de préserver l’autonomie des consommateurs, et son efficacité dans le contexte numérique.

Utilisation légitime

Bien que, la plupart du temps, l’utilisation des renseignements personnels nécessite un consentement, la loi prévoit des exceptions pour leur utilisation légitime, ce que, selon M^e Scassa, les organisations réclamaient depuis longtemps. Ces exceptions permettent de recueillir ou d’utiliser des renseignements dans le cadre d’une activité pour laquelle il y a un intérêt légitime, pourvu que cet intérêt l’emporte sur tout effet négatif prévisible pour la personne concernée. Dans la LPRPDE, l’intérêt légitime avait été défini selon des conditions précises, mais celles-ci ont depuis été élargies pour inclure la divulgation.

Grâce à l’avènement des technologies d’intelligence artificielle, les organisations ont désormais la possibilité d’exploiter ces données de façons inédites. Alors que la version actuelle de la LPRPDE exige l’obtention d’un nouveau consentement pour une telle utilisation, le nouveau projet de loi permettrait, moyennant une simple divulgation, à une entreprise de communiquer ou de vendre ces renseignements à une autre société avec laquelle la personne n’a aucun lien, ou de les échanger avec une telle société, et ce, à l’insu de la personne et sans son consentement.

« Ça ne semble pas logique du point de vue de la protection de la vie privée ni acceptable pour les gens », soutient M^e Scassa.

« Je ne sais pas exactement pourquoi cette mention de divulgation a été ajoutée, mais ça change complètement la donne en matière d’intérêt légitime. »

M^e Bernier précise que l’utilisation responsable des données personnelles anonymisées sera désormais autorisée à des fins de recherche, d’analyse et de travaux internes, mais uniquement dans le respect de la loi et dans le cadre d’une structure de gouvernance visant à garantir que ces données sont traitées de manière responsable.

« Il existe un cadre qui pourrait favoriser l’innovation tout en protégeant la vie privée, dans l’intérêt de tous », mentionne-t-elle.

« Nous devons être réalistes : nous disposons désormais d’une mine de renseignements qui peut nous être utile à des fins médicales, scientifiques et de gouvernance sociale. Nous ne pouvons pas simplement refuser de manière générale l’accès à ce véritable trésor. Pour le bien de l’humanité, nous devons trouver des moyens d’utiliser les renseignements personnels de manière responsable; il en va de l’intérêt général. »

Cependant, M^e Scassa craint que l’exception relative à l’intérêt légitime ne soit formulée de manière à favoriser les intérêts des entreprises. Bien que les organisations doivent toujours effectuer des évaluations des facteurs relatifs à la vie privée pour cerner les effets préjudiciables raisonnablement prévisibles et les atténuer, et qu’elles seront tenues d’expliquer comment elles invoquent l’exception fondée sur l’intérêt légitime, cette obligation ne s’appliquera pas à la communication ou à l’utilisation particulière de renseignements.

« Ça va faire l’objet de débats et de discussions », prévoit la chercheuse.

La loi exige également la réalisation d’évaluations des facteurs relatifs à la vie privée pour la communication transfrontalière de données, ce dont M^e Bernier se réjouit. Selon elle, lorsque des renseignements personnels sont transmis à l’étranger par l’entremise de fournisseurs de services pouvant les stocker dans le pays qu’ils jugent le plus adapté à leurs intérêts commerciaux, ces renseignements deviennent alors à la portée du gouvernement du pays où ils sont conservés.

« C’est un risque très concret pour la vie privée. Nous devons tenir compte des risques réels que ça implique. »

Un rapport publié en 2009 par le Commissariat à la protection de la vie privée du Canada (CPVP) établissait déjà des lignes directrices encadrant la communication transfrontalière de données. Il était alors clair que les obligations d’une organisation comprenaient le devoir de tenir compte des conditions locales en matière de protection des données dans le pays où celles-ci étaient stockées. Selon M^e Bernier, les dispositions proposées dans le projet de loi C-36 officialisent justement l’orientation du CPVP.

De son côté, M^e Scassa s’inquiète du fait que les petites organisations soient responsables des données qu’elles transmettent au-delà des frontières, car elles pourraient manquer de ressources pour le faire et estimer qu’une évaluation des facteurs relatifs à la vie privée est trop exigeante.

« Ça me semble être une mauvaise idée. »

Parmi les autres changements prévus dans le projet de loi figurent le droit d’obtenir, de la part d’un décideur humain, une explication sur la façon dont une décision automatisée a été prise, la classification des renseignements relatifs aux enfants comme des renseignements sensibles, ainsi que l’inclusion des inférences tirées des données dans la définition des renseignements personnels. Ce qui préoccupe toutefois M^e Fraser, c’est l’instauration d’un droit privé d’action.

Actuellement, en vertu de la LPRPDE, lorsqu’une personne dépose une plainte auprès du commissaire à la protection de la vie privée, et qu’une enquête est menée et fait l’objet d’un rapport, cette personne peut réclamer des dommages-intérêts auprès de la Cour fédérale. M^e Fraser explique qu’en vertu du projet de loi C-36, toute personne visée par une conclusion peut intenter une poursuite devant les tribunaux, et non plus seulement le plaignant. Ce recours s’ajoute à ceux déjà prévus par les lois provinciales en cas d’atteinte à la vie privée.

« Du point de vue des politiques publiques, c’est une très mauvaise idée, parce que ça ouvre la porte à toutes sortes de poursuites. »

Ainsi, n’importe qui pourrait intenter une action en justice pour réclamer des dommages-intérêts, y compris devant les tribunaux provinciaux, qui sont déjà surchargés d’affaires pénales. M^e Fraser estime que la Cour fédérale aurait dû être l’instance compétente pour ces actions, étant donné qu’elle est financée par le gouvernement fédéral et qu’elle pourrait traiter ces dossiers de manière centralisée.

« Il arrive que des affaires de meurtre ou de viol soient suspendues parce qu’on ne trouve pas de place au rôle; va-t-on encombrer davantage ces tribunaux avec une foule d’affaires mineures liées à la vie privée? Ça me semble être une mauvaise idée. »