Centre des médias

Le morse, le charpentier, la vie privée, et les porcs avec des ailes

Privacy and Data Security Summit
International Association of Privacy Professionals

Le 19 février 2004
Washington, D.C.

Jennifer Stoddart
Commissaire à la protection de la vie privée du Canada

Plusieurs d'entre vous se souviennent sans doute du poème de Lewis Carroll au sujet d'un morse et d'un charpentier, celui qui commence ainsi : « Le moment, articula le Morse, est venu de parler de nombre de choses ». Le Morse voulait entre autres « dire pourquoi les vagues sont bouillantes... et s'il est bien exact que les porcs aient des ailes ». Je pense souvent à ce poème quand j'entends parler du réchauffement de la planète ou des techniques génétiques. Aujourd'hui, ce n'est pas des porcs ailés que je veux vous entretenir, mais plutôt de l'information transfrontalière. Si vous tenez à entendre parler de porcs, je ne vous serai d'aucune utilité. Cependant, je peux parler de vaches et, pour rester dans l'esprit de M. Carroll, qui nous a donné le chapelier fou, il s'agit de vaches folles.

On a découvert récemment aux États-Unis un cas de vache infectée par l'encéphalopathie bovine spongiforme, ou en jargon pupulaire « maladie de la vache folle ». Une enquête urgente a été menée, et elle a révélé que la vache provenait du Canada. Cela nous a fait prendre conscience, de manière très frappante, à quel point les chaînes alimentaires canadienne et américaine sont interdépendantes. Cela a aussi mis en lumière à quel point est intégré le marché des renseignements personnels liés aux approvisionnements alimentaires.

Au Canada, nous avons l'Agence canadienne d'identification du bétail, un organisme établi par l'industrie, nous aide à faire face aux flambées de maladies bovines. Les producteurs de boeuf achètent des dispositifs d'identification pour leurs bêtes, et l'information qui y est inscrite est enregistrée dans la base de données de l'Agence en même temps que le nom, l'adresse et le numéro de téléphone du producteur. L'étiquette suit la bête lorsqu'elle quitte définitivement le ranch ou la ferme. Si une épidémie se déclare, l'Agence est en mesure de retracer l'origine de toutes les bêtes munies d'une étiquette qui sont touchées.

C'est un programme important, bien sûr. Mais il a des incidences sur la protection des renseignements personnels. L'appariement, dans cette base de données, des renseignements personnels et des étiquettes d'identification du bétail peut fournir beaucoup d'informations sur la personne concernée. Comme le faisait remarquer un représentant des exploitants de ranch des États-Unis, les renseignements sur le nombre de bêtes qu'une personne possède, élève ou vend sont « personnels, tout comme le montant d'argent dans votre compte bancaire est un renseignement personnel ».

Vous avez peut-être entendu parler d'un projet pilote à l'Île-du-Prince-Édouard qui concerne la traçabilité du porc au moyen de l'ADN, de la ferme à l'abattoir, et de la boucherie au supermarché. Encore une fois, quand on est aux prises avec des problèmes de contamination dans les approvisionnements alimentaires, l'utilité de ce processus est manifeste. Mais, même s'il s'agit de l'ADN des animaux et non du nôtre, il y a tout de même une incidence sur la protection des renseignements personnels. Le processus d'appariement de ces produits aux fermiers et aux producteurs concernés implique qu'on recueille, qu'on utilise et qu'on communique des renseignements personnels. La saisie de ces renseignements dans une base de données nous amène à nous demander comment ces données seront conservées, combien de temps elles le seront et qui y aura accès.

Nous pouvons réglementer les aspects de ce processus qui touchent à la protection des renseignements personnels au Canada, et je parlerai dans un moment des lois canadiennes dans ce domaine. Mais que se passe-t-il quand ces renseignements traversent la frontière des États-Unis ? Les producteurs de viande canadiens veulent coopérer et s'assurer que les approvisionnements alimentaires sont sécuritaires. Mais cela ne veut pas dire qu'ils sont nécessairement d'accord pour que leur nom et d'autres renseignements personnels soient vendus sans leur consentement aux commerçants américains.

Permettez-moi maintenant de vous parler de la ligne de conduite du Canada en matière de protection des renseignements personnels et de vous expliquer comment elle concorde avec les méthodes canadiennes dans le domaine des affaires. Cette ligne de conduite concerne aussi bien les entreprises qui font des affaires au Canada que celles qui oeuvrent au Canada et qui transfèrent ou communiquent des renseignements personnels à l'extérieur des frontières canadiennes.

Les sondages et les commentaires recueillis au moment d'enquêtes sur l'opinion publique indiquent invariablement que l'éthique et les droits de la personne sont importants pour les Canadiens et les Canadiennes. Cela influence les attitudes des Canadiens et des Canadiennes à l'égard des affaires.

L'importance que les Canadiens et les Canadiennes accordent aux droits de la personne s'applique également à la protection des renseignements personnels. (Il est intéressant de constater que, dans les sondages, les Américains attribuent toujours une plus grande valeur à la protection des renseignements personnels que ne le font les Canadiens et les Canadiennes. Mais le Canada, contrairement aux États-Unis, a imposé des normes nationales pour la protection des renseignements personnels.)

Le Canada s'est engagé dans cette voie en 1984, lorsqu'il a signé les Lignes directrices régissant la protection de la vie privée et les flux transfrontières de données de caractère personnel de l'OCDE. La première loi en matière de protection des renseignements personnels dans le secteur privé a été adoptée au Québec en 1993. Dans une certaine mesure, cette loi donnait suite aux préoccupations manifestées par l'Union européenne, qui aboutiront finalement à l'adoption, en 1995, de la Directive sur la protection des données.

À la fin de la décennie, on reconnaissait généralement au gouvernement fédéral qu'un modèle législatif s'imposait. Le Code type sur la protection des renseignements personnels est ainsi devenu le fondement de la Loi sur la protection des renseignements personnels et les documents électroniques, ou LPRPDÉ, qui a été adoptée il y a un peu plus de trois ans. Il s'agit de la loi fédérale en matière de protection des renseignements personnels qui s'applique au secteur privé. À partir de l'an 2000, elle a été mise en application progressivement et, depuis le 1^er janvier de cette année, elle régit la collecte, l'utilisation et la communication de renseignements personnels dans le cadre d'activités commerciales, sauf lorsqu'une loi provinciale essentiellement similaire s'applique. Cette loi agit sur la manière dont les entreprises font des affaires au Canada et à l'étranger, et elle exerce une puissante action sur les entreprises étrangères qui font des affaires au Canada ou avec celui-ci.

Les répercussions sont plus importantes pour les pays qui n'ont pas leurs propres lois en matière de protection des données, comme c'est le cas de notre plus important partenaire commercial, les États-Unis.

La protection des renseignements personnels, comme nous le savons tous, s'inscrit dans un contexte mondial. Je ne veux pas exagérer le défi que cela implique : le Canada et les pays membres de l'Union européenne sont des partenaires commerciaux des États-Unis à part entière et ils font des affaires fructueuses. Alors, ce n'est pas un défi impossible à relever. Mais il n'en demeure pas moins qu'il est plus compliqué d'appliquer des normes nationales en matière de protection des renseignements personnels lorsque ces renseignements traversent les frontières du pays.

Les Canadiens et les Canadiennes, dont les préoccupations au sujet de la protection des données ont été prises en considération dans la LPRPDÉ, ont encore lieu de s'inquiéter lorsque les renseignements personnels qui les concernent se retrouvent aux États-Unis. Ils peuvent être réticents à ce que les données personnelles soient communiquées dans des pays qui, à leurs yeux, offrent moins de protection que le Canada. Et ils peuvent affirmer leurs droits avec beaucoup de vigueur. Il faut que les entreprises américaines qui recueillent, utilisent et communiquent des renseignements personnels concernant des Canadiens et Canadiennes le sachent.

Par exemple, si des entreprises régies par la LPRPDÉ veulent communiquer des renseignements personnels — si elles veulent, disons, vendre ou échanger une liste de distribution — elles doivent obtenir le consentement des personnes auxquelles les renseignements se rapportent. Si elles transfèrent des renseignements personnels à l'étranger pour fins de traitement, elles en demeurent responsables, et elles sont obligées de s'assurer par contrat ou par d'autres moyens que ces renseignements sont traités comme l'exige la LPRPDÉ.

Si des renseignements personnels sont recueillis, utilisés ou communiqués au Canada sans leur consentement — et depuis janvier 2004 cela s'applique à toute entreprise ayant des activités commerciales au Canada, sauf au Québec, qui a sa propre loi essentiellement similaire — les personnes concernées peuvent déposer une plainte en vertu de la LPRPDÉ.

La plupart de nos plaintes, si elles sont fondées, sont réglées hors cours, et nous privilégions les arrangements à l'amiable. Mais le fait est qu'une personne a le droit en vertu de la LPRPDÉ, peu importe les mesures que nous prenons relativement à sa plainte, de s'adresser à la Cour fédérale du Canada pour que la plainte soit entendue une fois qu'un rapport a été préparé. La Cour peut accorder des dommages-intérêts et ordonner que les pratiques de traitement de l'information soient conformes aux critères établis.

Alors, vous comprenez pourquoi nous pensons qu'il est très important que les entreprises, pas seulement les entreprises canadiennes mais aussi celles qui font des affaires avec le Canada, aient une compréhension globale de cette loi. En fait, le Commissariat à la protection de la vie privée s'attend à recevoir des plaintes concernant les pratiques de collecte de renseignements des entreprises américaines qui ont des activités commerciales au Canada.

Je voudrais maintenant vous entretenir brièvement d'un autre sujet commun de préoccupation pour le Canada et ses partenaires internationaux, c'est-à-dire l'incidence des questions de sécurité nationale sur Ies renseignements personnels dans le contexte des opérations commerciales internationales.

Tout comme les vaches folles ont favorisé la prise de conscience de l'interdépendance de nos approvisionnements alimentaires, les conditions de sécurité consécutives au 11 septembre ont aiguisé notre compréhension de la sécurité collective. Nos inquiétudes au sujet de la sécurité nous lient les uns aux autres, et les moyens par lesquels nous faisons face à ces inquiétudes ont des répercussions internationales pour la protection de la vie privée.

Dans le livre qu'ils ont publié récemment, The Governance of Privacy, Colin Bennett et Charles Raab font remarquer la contradiction suivante : les gouvernements renforcent les mesures de protection des renseignements personnels dans le secteur privé tout en atténuant ces mesures dans le secteur public en réaction aux craintes suscitées par le terrorisme.

Une telle contradiction peut donner l'impression que les gouvernements sont hypocrites et peut les dissuader de porter à ce point atteinte à la vie privée dans le secteur public. C'est ce que Bennett et Raab laissent entendre. Mais cela pourrait tout aussi bien avoir l'effet opposé. Les gouvernements pourraient en profiter pour enrôler le secteur privé, qui détient des fonds de renseignements personnels, dans la guerre contre le terrorisme.

Ce n'est pas une supposition fantaisiste. Au Canada, les renseignements personnels recueillis par les transporteurs aériens et les agences de voyage — sur nos voyages, nos activités et nos destinations — doivent maintenant être communiqués aux autorités nationales en matière de sécurité pour fins d'examen. Notre institution s'est opposé ouvertement à cette pratique, et il a réussi à limiter l'étendue des renseignements recueillis et la durée de leur conservation, mais la situation demeure troublante. Le Canada, en tant que pays, a imposé aux entreprises du secteur privé des restrictions quant à la manière dont elles recueillent, utilisent et communiquent les renseignements personnels. Nous avons proposé des moyens de contrôler ces renseignements lorsqu'ils traversent nos frontières. Mais nous pourrions être impuissants à empêcher les organismes d'application de la loi et les agences de sécurité nationales de réquisitionner des renseignements commerciaux, et de les utiliser d'une manière qui irait totalement à l'encontre des principes équitables en matière de protection des données.

Je pense que nous partageons tous ces craintes. Dans un monde où les vaches folles et l'information traversent les frontières, assurer la confidentialité des renseignements personnels est une tâche collective. La possibilité de protéger les renseignements personnels tout en prévenant le crime et le terrorisme, la possibilité de faire des affaires à notre manière tout en nous assurant de pouvoir commercer et coopérer avec les autres : ces questions nous préoccupent au Canada, et nous avons réagi, sur le plan commercial, en adoptant la LPRPDÉ, qui établit des normes précises pour la gestion commerciale des renseignements personnels. Nous avons les mêmes préoccupations dans le domaine de la sécurité nationale et internationale, et nous continuerons d'être vigilants pour que la sécurité ne soit pas assurée à un prix trop élevé.