Centre des médias

L'iceberg de l'AIPRP ou comment éviter ce qu'on ne voit pas

Séminaire de la section du droit à l'information et à la protection des renseignements personnels (SDIPRP), ministère de la Justice

Le 9 juin 2005
Ottawa (Ontario)

Allocution prononcée par Patricia Kosseim
Avocate générale, Commissariat à la protection de la vie privée du Canada

(LE TEXTE PRONONCÉ FAIT FOI)

Bonjour, j’aimerais d’abord remercier la SDIPRP du ministère de la Justice, et plus particulièrement M^e Denis Kratchenov, de m’avoir invitée ici aujourd’hui. J’espère que mes propos sauront alimenter la discussion, laquelle devra porter sur d’importantes questions.

Le thème de la conférence – l’iceberg de l’AIPRP – est particulièrement à  propos compte tenu des observations que j’aimerais présenter aujourd’hui. L’iceberg que je vois se dresser devant nous est nul autre que la Loi sur la protection des renseignements personnels, une loi périmée qui est restée figée dans le temps, coupée des besoins d’un monde en constante évolution.

La Loi sur la protection des renseignements personnels a 22 ans. Elle est issue d’un contexte social différent et d’un lointain passé. Elle est obsolète en raison de son ignorance de la technologie. En effet, la Loia été conçue à une époque où les dossiers étaient encore sur papier, c’est‑à‑dire bien avant l’arrivée des dossiers électroniques et de l’Internet public. Les dispositifs d’identification par radiofréquence et la biométrie appartenaient à la science-fiction, et notre monde n’était pas encore surveillé par des millions de caméras dans les lieux publics. La mobilité internationale et le commerce mondial étaient loin d’être aussi populaires qu’aujourd’hui, et les pays ne partageaient pas autant d’informations au nom de la sécurité nationale et du maintien de l’ordre.

La commissaire à la protection de la vie privée du Canada demande depuis longtemps l’examen et le renforcement de la Loi sur la protection des renseignements personnels, laquelle n’a subi aucun changement important depuis vingt ans. Pourtant, certaines tendances sociales importantes nous rappellent l’urgenced’une réforme de la Loi – 1) la popularité du cybergouvernement; 2) l’augmentation de la circulation transfrontalière des données; 3) le virage abrupt vers un nouveau paradigme de la sécurité nationale. J’aimerais aborder chacun de ces phénomènes et proposer des moyens d’amender la Loi pour mieux protéger la vie privée.

La popularité du cybergouvernement

Le Canada est un chef de file du cybergouvernement – la prestation de services gouvernementaux en ligne. Selon le sondage annuel 2005 d’Accenture, le Canada se classe premier, pour la cinquième année consécutive, parmi 22 pays pour la « maturité du service à la clientèle » dans le domaine du cybergouvernement. Dans le gouvernement en direct, le système de données articulé autour de silos isolés, séparés les uns des autres tant dans l’espace que dans la structure, n’existe plus. Les données circulent donc plus librement entre les nombreux intervenants gouvernementaux. L’objectif visé est noble, bien entendu, soit limiter les répétitions et offrir des services plus efficaces, mieux intégrés et de meilleure qualité aux citoyens.

Le cybergouvernement représente toutefois un risque pour la protection des renseignements personnels. Les bases de données électroniques interopérables facilitent la liaison et le regroupement de données et constituent en bout de ligne un répertoire plus vaste de renseignements personnels que peuvent consulter un plus grand nombre d’utilisateurs pour un plus grand nombre de raisons. Nous sommes donc plus vulnérables aux atteintes à la vie privée et à la sécurité et plus susceptibles de faire l’objet d’une surveillance envahissante de l’État, au‑delà de ce que nous estimons raisonnable dans une société libre et démocratique.

Pour atténuer ce risque, nous devons nous doter d’un solide cadre de gestion de la protection de la vie privée. Parmi les principes relatifs à l’équité dans le traitement des renseignements, certains principes clés sont dignes de mention dans le contexte du cybergouvernement.

Dans un premier temps, le cadre de gestion de la protection de la vie privée doit restreindre la collecte de renseignements personnels au minimum. Dans un contexte de cybergouvernement, les renseignements personnels recueillis ne se retrouvent plus dans des silos bien définis et isolés, mais plutôt dans un système d’interopérabilité beaucoup plus vaste. À cette jonction critique, les renseignements personnels risquent d’être combinés à d’autres renseignements et de former un tout beaucoup plus grand que ses composantes. Il faudrait donc imposer, dès le départ, des conditions plus strictes pour la collecte des renseignements personnels. De la même manière, l’accès subséquent aux renseignements personnels par divers intervenants gouvernementaux devrait être rigoureusement contrôlé afin que seuls les utilisateurs qui ont besoin d’informations en raison de leur statut ou de leur rôle aient uniquement accès à la portion d’information autorisée et ce, uniquement pour des raisons précises.

Par ailleurs, le cadre de gestion de la protection de la vie privée doit nécessairement contenir l’obligation de rendre des comptes. Même si en vertu de l’article 72 de la Loi sur la protection des renseignements personnels, les institutions fédérales doivent présenter chaque année au Parlement un rapport sur l’application de la Loi sur la protection des renseignements personnels au sein de leurs institutions, il s’agit bien souvent de rapports pro forma qui donnent peu de données statistiques. Dans la plupart des cas, ces rapports sont hors contexte et dépourvus de renseignements utiles qui permettraient aux Canadiennes et aux Canadiens ainsi qu’aux parlementaires de comprendre comment les institutions fédérales traitent les enjeux liés à la protection des renseignements personnels. Le Conseil du Trésor a récemment appuyé le resserrement de l’exigence visée par l’article 72 dans sa lettre d’appel aux institutions fédérales et ses communications avec les coordonnateurs à la protection des renseignements personnels. Le Conseil du Trésor a proposé de concevoir, en collaboration avec le Commissariat, des modèles de rapport types qui exigeraient des renseignements plus complets à propos.

Voici un autre exemple. En 1989, le Conseil du Trésor a adopté une politique sur le couplage des données. En vertu de cette politique, les institutions fédérales doivent procéder à une évaluation exhaustive de toutes les propositions de couplage de données et aviser le Commissariat au moins soixante jours avant la mise en place du couplage. Le Commissariat aurait donc le temps d’étudier la proposition et de formuler des recommandations le cas échéant. La politique est conçue pour aider les institutions du gouvernement fédéral à appliquer de saines pratiques de protection des renseignements personnels dans le cadre de leurs programmes de couplage des données. Bien qu’elle poursuive un objectif fort louable, la politique ne semble pas fonctionner. Il est très révélateur de constater que nous avons reçu très peu d'avis de couplages de données. Nous savons pourtant qu’il existe plus de dix programmes de couplage de données. Malheureusement, cela vient confirmer les doutes que nous avons depuis longtemps, à savoir que la vaste majorité du couplage de données n’est pas signalée et se fait à l’insu du Commissariat, du Parlement et, en bout de ligne, de la population canadienne.

Troisièmement, dans un cadre de gestion de la protection de la vie privée pour le cybergouvernement, la sécurité des renseignements doit être protégée rigoureusement. Sur ce plan, il est paradoxal de constater que, bien que nous soyons un chef de file mondial en matière de cybergouvernement, nos mesures de protection informatiques sont totalement inadéquates.

En février, la vérificatrice générale du Canada a publié un rapport sur la sécurité des technologies de l’information. Sa conclusion était la suivante : « Malgré d’encourageants signes d’amélioration, le gouvernement n’a pas fait de progrès satisfaisants dans le renforcement de la sécurité des technologies de l’information (TI) depuis notre [dernière] vérification en 2002. »

La vérificatrice générale constate que le gouvernement a encore beaucoup à faire pour concrétiser ses politiques et ses normes en pratiques cohérentes et rentables, propres à assurer aux ministères et aux organismes un environnement informatique plus sécuritaire. Les évaluations de la vulnérabilité effectuées dans les ministères et les organismes ont révélé de graves lacunes qui pourraient causer de sérieux dommages aux systèmes d’information du gouvernement. La haute direction de plusieurs ministères et organismes n’est pas au fait des risques liés à la sécurité de la TI et ne sait pas comment les atteintes à la sécurité informatique risquent de nuire aux activités et de miner la crédibilité du gouvernement.

La vérificatrice générale affirme que « si, en raison d'une faiblesse du côté de la sécurité, une personne arrivait à accéder à une base de données ou à des renseignements confidentiels, la confiance des Canadiens à l'endroit du gouvernement serait sérieusement ébranlée. De plus, s'il y avait atteinte à la vie privée à cause d'une protection déficiente des renseignements personnels, la personne concernée pourrait subir de graves préjudices. Qui plus est, les efforts déployés par le gouvernement pour fournir des services électroniques aux Canadiens s'en trouveraient sérieusement minés ».

Augmentation de la circulation transfrontalière des données

Une autre tendance sociale qui nous rappelle l’urgenced’une réforme de la Loi sur la protection des renseignements personnels est l’augmentation de la circulation transfrontalière des données. Les enjeux en matière de protection de la vie privée associés à la mondialisation, y compris le recours de plus en plus fréquent à l’impartition, nous frappent maintenant de plein fouet, et nous nous efforçons tous tant bien que mal de réagir.

Les renseignements assujettis à la Loi sur la protection des renseignements personnels circulent de plus en plus au sein d’autres juridictions, que ce soit par des transferts directs entre gouvernements ou des transferts entre le gouvernement et des organisations du secteur privé pour le traitement des données. Invoquant des raisons liées au maintien de l’ordre, les gouvernements étrangers pourraient avoir accès aux renseignements personnels traités par des organisations du secteur privé qui exercent leurs activités à l’extérieur du Canada.

La Loi sur la protection des renseignements personnels ne prévoit aucune mesure exécutoire de contrôle sur l’exportation de renseignements personnels à des sociétés ou gouvernements de l’étranger. Plutôt que de restreindre la communication, elle décrit un processus pour le vaste échange transfrontalier des renseignements personnels. Dans ce sens, elle est davantage une loi habilitante concernant l’échange de renseignements personnels qu’une loi visant à protéger les données. On retrouve des centaines d’accords et d’ententes entre les institutions fédérales et les gouvernements étrangers, la plupart étant probablement plus que conformes aux généreuses dispositions de la Loi sur la protection des renseignements personnels en matière de communication.

Cependant, la correspondance échangée récemment entre le Commissariat et le Conseil du Trésor s’avère plutôt encourageante. Le Conseil du Trésor a entrepris d’examiner et d’évaluer à l’échelle gouvernementale les ententes contractuelles en vigueur entre les institutions fédérales et les États‑Unis, lesquelles ententes concernent le traitement des renseignements personnels des Canadiennes et des Canadiens. Il met actuellement en œuvre une stratégie globale visant à réduire les risques d’ingérence dans la vie privée, notamment en élaborant des modèles de demande de propositions et de clauses contractuelles qui aideraient à protéger les renseignements personnels des Canadiennes et des Canadiens dans le cadre du processus d’adjudication des marchés. Le Commissariat est très heureux d’être consulté dans ce dossier important.

Le virage abrupt vers un nouveau paradigme de la sécurité nationale

Une troisième tendance sociale qui nous rappelle l’urgence d’une réforme de la Loi sur la protection des renseignements personnels est le virage abrupt vers un nouveau paradigme de la sécurité nationale. Nous savons tous que notre coin de planète a changé à tout jamais en septembre 2001, touchant du même coup la protection de la vie privée, qui s’est retrouvée dans l’ombre d’une préoccupation de plus en plus envahissante dans le monde entier, soit la sécurité. Alors que la logique de la lutte contre le terrorisme s’imprègne dans le gouvernement, il y a risque que la grande expansion des systèmes de surveillance gruge de plus en plus notre droit à la vie privée et réduise nos attentes raisonnables en matière de protection de la vie privée, reléguant aux oubliettes la question cruciale de savoir où tracer la limite.

La Loi antiterroriste a pavé la voie à la création d’un large filet pour la surveillance des personnes et des organisations, et la Loi de 2002 sur la sécurité publique a emprunté passablement le même chemin. Bon nombre des renseignements personnels recueillis sont de nature très délicate et sont emmagasinés dans des systèmes intégrés d’information qui traitent de renseignements couvrant tout un éventail d’aspects de la vie des gens, des familles et des communautés. La mauvaise utilisation, la déformation ou l’interprétation fautive de ces renseignements pourraient avoir de graves répercussions sur la vie des Canadiennes et des Canadiens.

Lorsqu’elle s’est présentée récemment devant les comités parlementaires chargés d’examiner la Loi antiterroriste, la commissaire a exprimé ses vives inquiétudes quant à l’incidence cumulative du grand rayonnement de cette loi et des modifications la touchant sur le droit à la vie privée des Canadiennes et des Canadiens. Sa présentation s’articulait autour de trois axes principaux : premièrement, les pouvoirs de surveillance des organismes chargés de la sécurité, du  renseignement de sécurité et de l’application de la loi ont été exagérément élargis. Deuxièmement, les dispositions limitant l’usage de ces pouvoirs de surveillance, y compris d’ordre judiciaire, ont été indûment réduites. Troisièmement, la reddition de comptes et la transparence gouvernementales ont été considérablement diminuées. « Il importe, a‑t‑elle déclaré, que les moyens et les mesures servant à combattre les menaces à la sécurité ne conduisent pas à la révocation des libertés qui sont l’épine dorsale de la démocratie dont nous réclamons être les défenseurs. »

Réforme de la Loi sur la protection des renseignements personnels

Tandis que ces tendances sociales semblent pointer vers une direction, soit une plus grande mise en commun des données personnelles par le gouvernement, ainsi qu’une circulation transfrontalière accrue des données et une intensification de la surveillance, l’opinion du grand public canadien nous met sur une autre piste : on s’inquiète de plus en plus de la protection de la vie privée. Ainsi, selon l’enquête menée par EKOS en mars 2005, à la demande du Commissariat, 70 % des répondants sont d’avis que la protection de la vie privée des Canadiennes et des Canadiens représente « l’un des principaux enjeux auxquels le pays est confronté ».

En octobre de l’an dernier, la commissaire à la protection de la vie privée a rencontré le ministre Cotler pour le convaincre de plaider en faveur d’un examen exhaustif de la Loi sur la protection des renseignements personnels en lui laissant entendre que le temps était venu de délaisser ce type de protection de « première génération » et de moderniser la Loi pour la mettre au goût du jour.

La commissaire a identifié quelques secteurs clés nécessitant une réforme. Aux fins de la présentation d’aujourd’hui, je vais m’en tenir aux plus urgents.

Premièrement, comme la Loi sur la protection des renseignements personnels énonce des droits fondamentaux, elle devrait avoir préséance sur les autres lois. Tout comme la LPRPDÉ, elle devrait contenir une disposition stipulant que les droits qu’elle protège l’emportent sur toute autre loi fédérale, à moins que celle‑ci ne déclare expressément le contraire.

Deuxièmement, le temps est sans doute venu pour la Parlement de repenser le modèle de l’ombudsman relativement à la protection de la vie privée. Les outils dont dispose l’ombudsman – la persuasion, les appels à l’équité et au bons sens, la menace voilée de récriminations du grand public – peuvent être efficaces. Mais un tel modèle n’est solide que s’il encourage et produit la conformité. Il s’affaiblit chaque fois qu’une institution gouvernementale ignore les recommandations de l’ombudsman ou minimise ses responsabilités en vertu de la Loi et des lignes directrices ou politiques connexes. L’examen imminent de la LPRPDÉ, en 2006, pourrait donner l’occasion de revoir également le rôle de l’ombudsman en vertu de la Loi sur la protection des renseignements personnels.

Troisièmement, la Loi permet aux plaignants d’obtenir un examen judiciaire et un droit de recours que dans les cas de refus d’accès. Dans une récente décision de la Cour fédérale, Murdoch c. la GRC et le CPVP, il a été reconnu que ni la Cour ni la commissaire à la protection de la vie privée n’avaient de pouvoirs autres que ceux prévus par la Loi sur la protection des renseignements personnels pour remédier à d’autres manquements à la Loi. Les personnes, ou la commissaire agissant en leur nom, devraient pouvoir? demander un examen judiciaire dans les cas de mauvaises collecte, utilisation et communication de renseignements personnels. La Loi devrait également prévoir des recours pour tout préjudice causé par une violation de la Loi.

Quatrièmement, la commissaire a aussi préconisé une réforme au sujet de la circulation transfrontalière des données en vertu de la Loi. Contrairement à la LPRPDÉ, la Loi sur la protection des renseignements personnels n’impose aucune obligation aux contrôleurs de données lorsque ceux‑ci transfèrent des données pour traitement ou communiquent des renseignements personnels à d’autres instances. Il conviendrait d’inclure dans la Loi un libellé précis qui porte sur la circulation transfrontalière des données et sur la question du niveau adéquat de protection assuré par les instances à qui les renseignements personnels sont communiqués ou transférés.

Cinquièmement, nous ne devons pas perdre de vue l’un des éléments de  base de la protection de la vie privée : on ne peut pas mal utiliser des renseignements personnels qui n’ont pas été recueillis. Hélas, la disposition de la Loi en matière de collecte prévoit peu de restrictions. Elle exige seulement que les renseignements personnels que peut recueillir une institution gouvernementale aient un lien direct avec ses programmes ou activités. Elle n’exige pas que la collecte soit nécessaire pour les programmes ou activités en question. Il faudrait renforcer la disposition de la Loi en matière de collecte en y ajoutant une exigence de « nécessité ».

Sixièmement, nous devons explorer des incitatifs législatifs efficaces, lesquels s’ajouteraient aux autres moyens dont nous disposons, pour renforcer les exigences auxquelles doivent satisfaire les institutions fédérales quant à communiquer au Parlement des rapports décrivant expressément leurs activités, entre autres sous forme d’évaluations des facteurs relatifs à la vie privée et d’avis de couplage et de forage de données, qui mesurent clairement le niveau d’engagement à assurer la protection de la vie privée.

Enfin, nous devons voir si la Loi devrait s’étendre à plusieurs institutions fédérales importantes, dont le Parlement, la Cour suprême du Canada, la Commission d’accès à l’information et le Commissariat.

Comme il devient vital d’établir une voie efficace à la lumière de toutes les atteintes à la vie privée auxquelles nous sommes confrontés, il faut réformer la Loi pour autoriser spécialement la commissaire à la protection de la vie privée à entreprendre des recherches et à rédiger des rapports sur les questions de protection de la vie privée, de même que pour sensibiliser le grand public au droit à la vie privée et évaluer les répercussions du texte législatif proposé. Ces outils se sont révélés extrêmement précieux pour l’exécution de notre mandat en vertu de la LPRPDÉ. Cependant, il va presque sans dire que pour nous permettre d’atteindre ces objectifs, il faudra l’injection de ressources suffisantes.

Conclusion

Deux décennies constituent une longue période lorsqu’il s’agit d’attendre des changements, mais ce qui se produit avec la Loi sur la protection des renseignements personnels. Je vous ai donné une petite idée des raisons motivant les changements à y apporter. Bon nombre d’entre vous ont sans doute déjà été confrontés aux lacunes de la Loi dans l’exercice de leurs fonctions.

Le Commissariat à la protection de la vie privée du Canada ne détient pas toutes les réponses. Mais nous espérons mettre en lumière les questions qui doivent être posées alors que nous luttons contre les pressions exercées dans notre société pour amoindrir la protection de la vie privée. Or, si nous voulons vraiment préserver ce droit fondamental que nous appelons la vie privée, nous ne pouvons rester les bras croisés et nous laisser dépasser par les événements. Alors qu’approche l’examen de la LPRPDÉ en 2006, c’est le moment où jamais de nous pencher sur les lois de protection des données des secteurs tant public que privé. Et nous serions certainement très heureux de connaître les points de vue de gens comme vous qui devez, au même titre que nous, chercher à protéger la vie privée. Merci beaucoup.