Centre des médias

Les défis entourant la protection des données dans un état fédéral bijuridique

Conférence sur la protection des données dans les États plurinationaux et fédéraux

Le 4 octobre 2006
Barcelone, Espagne

Allocution prononcée par Jennifer Stoddart
Commissaire à la protection de la vie privée du Canada

(LE TEXTE PRONONCÉ FAIT FOI)

Introduction

Nous savons tous à quel point il est difficile de se mettre au même diapason dans un monde défini par différentes idéologies et identités politiques, sociales, culturelles et religieuses. Ceux d’entre nous qui vivent dans un État fédéral savent également qu’il n’est pas chose aisée de tenter, au sein même d’un pays, d’assurer une administration cohérente alors qu’il faut composer avec les différents intérêts et sensibilités politiques, mais aussi avec les lois de diverses juridictions. J’ignore si les citoyens des systèmes fédéraux, mis à part les avocats qui interprètent la loi constitutionnelle, sont privilégiés ou non. En ce qui concerne le Canada, le système fédéral a ajouté à la complexité de la protection des données, rendant notamment la disposition sur la protection « homogène » difficile à appliquer d’un bout à l’autre du pays. Cela dit, notre système fédéral a permis à une juridiction progressiste de faire profiter tout le pays de ses innovations, ce qui n’aurait peut-être pas été le cas dans un État unitaire.

J’aimerais vous expliquer comment notre fédération canadienne a favorisé la protection des données dans le secteur privé ainsi que le droit fondamental à la protection de la vie privée. En tant que fédération, nous sommes loin d’avoir atteint l’harmonie parfaite, mais nous avons réussi, dans l’ensemble, à combiner deux langues et deux concepts juridiques du droit à la protection de la vie privée – notre tradition bijuridique – de façon à former un tout cohérent. Je suis sûre que l’expérience canadienne trouvera un écho parmi bon nombre d’entre vous. Pour ma part, il me tarde de connaître l’expérience d’autres États fédéraux, et je ne doute pas que celle-ci saura inspirer le Canada.

Le Canada compte quatorze juridictions distinctes. Nous avons un gouvernement fédéral, dix gouvernements provinciaux et trois gouvernements territoriaux. C’est peut-être peu en comparaison du nombre de juridictions aux États-Unis, mais cela pose néanmoins d’importantes difficultés en matière de gouvernance. Non seulement comptons-nous plusieurs juridictions, mais nous avons également deux traditions juridiques distinctes. La loi civile de la province de Québec trouve ses origines dans la tradition de la loi civile française. Les autres provinces et territoires s’inspirent de la tradition de la common law, et le Parlement fédéral applique les deux modèles.

La tradition canadienne bijuridique

Comme je l’ai mentionné un peu plus tôt, le Canada est doté d'une tradition bijuridique, c'est-à-dire d’un régime de common law dans les provinces et territoires autres que le Québec, et d’un régime de droit civil au Québec. Ces deux régimes ne font pas qu'enrichir le cadre juridique général du Canada; ils offrent la possibilité réelle de renforcer le droit à la vie privée, et ce, par leur manière respective, donc différente, de l’aborder. Les lois fédérales s'inspirent des deux sources juridiques, et j'aimerais expliquer brièvement la contribution de ces deux régimes au cadre canadien en matière de protection des renseignements personnels.

L’article 8 de la Charte canadienne, qui offre une protection contre les fouilles et saisies abusives, reflète la tendance traditionnelle du droit anglo-saxon à définir la sauvegarde de la vie privée en termes de protection contre l’intrusion de l’État. Il existe en effet d’importantes différences culturelles entre les diverses conceptions de la vie privée propres aux différentes cultures juridiques. Les systèmes romano-germaniques et le droit civil adoptent à cet égard une approche fondée sur les droits fondamentaux, faisant en sorte que le droit à la vie privée fasse partie intégrante du droit au respect de la dignité et de l’intégrité. Ce droit inclut, dès lors, le droit au contrôle de l’image et à la protection des renseignements qui peuvent être communiqués sur un individu.

Dans le Code civil du Québec, par exemple, l’article 3 stipule que toute personne est titulaire des droits de la personne, tels le droit à l'intégrité de sa personne et au respect de son nom, de sa réputation et de sa vie privée. L'article 35 donne le détail du droit au respect de la réputation et de la vie privée d’une personne en précisant que nulle atteinte peut être portée à la vie privée d’une personne sans que celle-ci y consente ou sans que la loi ne l'autorise. L'article 36 dresse la liste des actes qui peuvent constituer des atteintes à la vie privée, ce qui comprend la surveillance de la vie privée d'une personne par quelque moyen que ce soit. L'article 37 exige que toute personne qui constitue un dossier sur une autre personne doit avoir un intérêt sérieux et légitime à le faire. La Charte des droits et libertés de la personne du Québec, proclamée en 1976, précise que toute personne a droit au respect de sa vie privée et qu'une atteinte illicite confère à la victime le droit d'obtenir la cessation de cette atteinte et la réparation du préjudice moral ou matériel qui en résulte.

Certains de ces concepts sont du domaine de la common law, tandis que d'autres, comme le respect de la réputation et les droits de la personnalité, ne s'y retrouvent pas. Le concept de la vie privée, du moins entre les personnes, est très bien développé au Québec, seule juridiction au Canada qui applique le droit civil. Or, la common law gagnerait à prendre en compte ce concept en prévoyant des droits semblables, bien que les juridictions qui l’appliquent aient mis du temps à adopter les concepts de vie privée qui font désormais partie intégrante du paysage juridique québécois.

Certains des principes de droit civil énoncés dans le Code civil et dans la Charte des droits et libertés de la personne du Québec sont appliqués dans la décision rendue en 1998 par la Cour suprême du Canada dans l'affaire Aubry c. Éditions Vice-Versa inc. Une jeune femme a intenté une action en responsabilité civile contre un photographe et l'éditeur d'une revue pour avoir pris et publié une photographie la représentant assise sur les marches d'un édifice de Montréal. Cette photographie, prise dans un lieu public, avait été publiée sans le consentement de la jeune femme.

Dans une décision majoritaire, la Cour a statué que le droit à l'image est une composante du droit à la vie privée inscrit à l'article 5 de la Charte des droits et libertés de la personne du Québec. Dans la mesure où le droit à la vie privée vise à protéger une sphère d'autonomie individuelle, il doit inclure la possibilité pour toute personne de contrôler l'usage qui est fait de son image. La Cour a indiqué que le droit à l'image était principalement un droit de la personnalité. Il y donc violation du droit à l'image et, par conséquent, faute, dès que l'image est publiée sans consentement et qu'elle permet d'identifier la personne en cause. Ce jugement a servi de fondement, entre autres considérations, à la décision majoritaire rendue en mai 2004 par la Chambre des Lords dans l’affaire Campbell. Une décision semblable a été prise quelques semaines plus tard par la Cour européenne des droits de l’homme.

En revanche, en ce qui concerne la common law, particulièrement aux États-Unis, le droit à la protection de la vie privée est traditionnellement associé au droit à la liberté.

Comparons ce qui précède aux propos tenus dans une autre décision rendue en 2004 par la Cour suprême du Canada dans l'affaire R. c. Tessling, qui porte sur l'utilisation d'une technologie de surveillance — l'imagerie thermique — dans le cadre d'enquêtes relatives à la possession de drogues.

Le juge Binnie avait affirmé ceci : « Nul ne saurait avoir d'attente raisonnable en matière de vie privée relativement à ce qu'il expose sciemment au public, ou à une partie du public, ou à ce qu'il abandonne dans un endroit public».

Les affaires Vice-Versa et Tessling ne sont pas comparables au sens strict du terme. La première implique une interaction entre deux personnes, tandis que la seconde traite du droit à la vie privée face à l’État dans le cadre d'une enquête criminelle. Quoi qu'il en soit, on peut constater la différence entre l'attitude relevant davantage du droit civil du Québec en matière de droit à la vie privée adoptée dans l'affaire Vice-Versa, qui se fonde sur les droits de la personnalité, et la démarche type de la common law en matière de vie privée retenue dans l'affaire Tessling, qui se fonde dans une plus grande mesure sur la loi en vigueur sur le territoire.

L'affaire Tessling permet également d'illustrer un autre volet de l'approche de la common law en matière de vie privée. La jurisprudence à ce chapitre découle principalement du droit criminel. Le monde de la common law doit réfléchir davantage au droit à la vie privée dans des situations du domaine civil.

Les deux lois fédérales sur la protection des renseignements personnels s’inscrivent dans cette double tradition. D’une part, elles limitent la cueillette des renseignements par l’État, ce qui répond aux préoccupations relatives aux intrusions abusives. D’autres part, elles encadrent la cueillette des informations dans le secteur privé, de même que l’utilisation et la communication des informations par les organismes publics et privés, ce qui répond aux exigences en matière de contrôle de l’image, de respect de la dignité et de l’intégrité de la personne.

Les innovations législatives du Québec

Le Québec est depuis longtemps le moteur de l’innovation au Canada dans le domaine de la protection de la vie privée. Comme je l’ai mentionné précédemment, la Charte des droits et libertés de la personne du Québec, qui comprend des dispositions en matière de protection de la vie privée, a été proclamée en 1976. En 1982, le Québec est devenu la première juridiction canadienne à adopter une loi exhaustive sur la protection des données dans le secteur public. Le Québec a mis en œuvre la Loi sur la protection des renseignements personnels dans le secteur privé en 1994, devenant ainsi la première juridiction en Amérique du Nord à adopter une loi exhaustive en matière de protection des données dans le secteur privé. Dans un État unitaire, de telles initiatives ne seraient pas possibles; les changements à la loi s’appliqueraient à l’ensemble du pays ou ne s’appliqueraient pas du tout. Cela favoriserait sans doute une plus grande uniformité, mais cela mettrait également une entrave au type d’innovations que nous observons au Québec. Or, ces innovations ont incité, je crois, bien d’autres juridictions canadiennes, fédérale et provinciales, à adopter des lois semblables qui ont innové à leur tour.

Et peut-être, je dis bien peut-être, que l’expérience de ceux et de celles qui s’intéressent à des questions d’ordre juridique dans les États fédéraux les prépare-t-elle à traiter plus efficacement les questions de juridiction plus vastes découlant de la mondialisation et de l’impartition. Le succès d’un État fédéral, tout comme le succès d’un dispositif mondial de protection des données, repose sur le dialogue et la flexibilité.

L’origine de la LPRPDÉ

Comme je l’ai dit plus tôt, le Québec a fait figure de précurseur au Canada à maints égards dans le domaine de la protection de la vie privée. Le Parlement du Canada a adopté la Loi sur la protection des renseignements personnels et les documents électroniques, connue sous le nom de LPRPDÉ, quelques années seulement après que le Québec se soit doté d’une loi sur la protection des données dans le secteur privé. La tradition du droit civil a influencé l’élaboration de la loi fédérale sur le plan à la fois du contenu et du style. La décision du Parlement de promulguer la LPRPDÉ était également motivée par les exigences de protection « adéquate » énoncées dans la Directive de l’Union européenne sur la protection des données. Le Canada ne voulait pas que ses perspectives de commerce international ou ses relations avec les États de l’Union européenne soient compromises en raison d’un vide juridique dans le domaine de la protection des données.

La LPRPDÉ est entrée en vigueur en trois étapes. Depuis 2004, elle s’applique à tous les renseignements personnels recueillis, utilisés ou communiqués par toutes les organisations du secteur privé dans le cadre de leurs activités commerciales, sauf dans les provinces qui ont adopté une loi considérée comme essentiellement similaire à la loi fédérale. Bref, la LPRPDÉ a progressivement établi un ensemble de principes et de règles d'ordre général pour la protection des renseignements personnels.

« Essentiellement similaire »

La disposition de la LPRPDÉ relative au caractère « essentiellement similaire » permet au gouverneur en conseil – le Cabinet fédéral dans les faits – d’exempter une organisation ou une activité de l’application de la Loi si une province a adopté ce qu’on appelle une loi « essentiellement similaire » régissant cette organisation ou activité. Une fois l’exemption accordée, la loi provinciale, et non la LPRPDÉ, régit certaines des activités de collecte, d’utilisation ou de communication de renseignements personnels qui s’effectuent à l’intérieur de la province en question.

La disposition relative au caractère « essentiellement similaire » avait pour but d’assurer une protection des données uniforme d’un bout à l’autre du pays si les provinces n’élaboraient pas leur propre loi en matière de protection des données. Du même coup, la disposition a encouragé les provinces à élaborer leur propre loi relative à la protection de la vie privée en tenant compte de leurs réalités et de leurs besoins particuliers. Par ailleurs, les entités telles que les organismes de bienfaisance et beaucoup d’employés n’étaient pas assujettis à la LPRPDÉ en vertu de la répartition constitutionnelle des pouvoirs au Canada. Je reviendrai sur la question des employés dans un moment. En résumé, seule la loi sur la protection des données adoptée par une province pouvait s’étendre à ces activités.

Le champ d’application de la LPRPDÉ s’étend aux activités commerciales à l’intérieur des provinces conformément au « pouvoir relatif au commerce » conféré au Parlement canadien par notre Constitution. Pour des raisons que je n’expliquerai pas en détail, le traitement des renseignements personnels de certains employés n’est pas assujetti à la LPRPDÉ en vertu de ce pouvoir en matière de commerce. Les renseignements personnels des employés d’entreprises fédérales sont protégés en vertu de la LPRPDÉ. Toutefois, les renseignements personnels des employés d’entreprises qui sont à d’autres fins réglementés par les provinces ne sont pas visés par la LPRPDÉ. Il s’ensuit un manque d’uniformité dans la protection des renseignements des employés d’un bout à l’autre du pays, un problème auquel nous avons remédié en partie seulement. Dans les provinces qui ont adopté une loi essentiellement similaire, l’Alberta et la Colombie-Britannique, cette loi protège l’information des employés. Dans les provinces qui n’ont pas adopté une loi essentiellement similaire, les renseignements personnels des employés ne jouissent généralement pas d’une protection exhaustive.

Les choses se compliquent davantage. Même dans les provinces qui ont adopté une loi « essentiellement similaire » en matière de protection des données, cette loi ne s’applique pas aux entreprises fédérales. Par conséquent, ces organisations sont assujetties à la LPRPDÉ, quel que soit leur emplacement au Canada. La LPRPDÉ réglemente également la circulation interprovinciale des renseignements personnels.

À ce jour, le Québec, la Colombie­‑Britannique et l’Alberta sont les trois seules provinces dotées d’une loi exhaustive sur la protection des données considérée comme essentiellement similaire à la LPRPDÉ. La province d’Ontario jouit également d’une exemption limitée de la LPRPDÉ. L’Assemblée législative de l’Ontario, la province du Canada la plus populeuse, a adopté des règles auxquelles les dépositaires de renseignements sur la santé doivent se conformer lorsqu’ils recueillent, utilisent et communiquent des renseignements personnels sur la santé dans le système de santé ontarien.

Comment composons-nous avec cette situation

Fort heureusement, les commissaires à la protection des données du Canada reconnaissent les problèmes en matière de juridiction et travaillent ensemble à les résoudre. Ces questions sont abordées dans un esprit de collégialité et non de confrontation. Nous cherchons tous à optimiser l’utilisation de nos ressources. Nous recherchons tous des mécanismes de protection de la vie privée qui soient efficaces sans être inutilement complexes pour les particuliers qu’ils protègent ou pour les organisations qu’ils régissent.

Nous sommes conscients que cette question nous concerne tous. La circulation des données n’est pas limitée à une seule juridiction. Les données traversent les frontières provinciales et nationales, et nous reconnaissons tous la nécessité d’assurer une protection des renseignements personnels la plus uniforme possible à l’échelle mondiale.

Cette collaboration entre juridictions s’étend également à l’extérieur du Canada. Je participe à des travaux avec l’Organisation de coopération et de développement économique (OCDE) sur la collaboration transfrontalière. Parallèlement, la commissaire adjointe responsable de la LPRPDÉ au CPVP travaille à l’élaboration des lignes directrices sur la protection des renseignements personnels de la Coopération économique de la zone Asie‑Pacifique (APEC).

Si le Canada arrive à traiter les questions de chevauchement et de conflits de juridictions dans une relative harmonie, c’est peut-être, entre autres, parce qu’il n’y a pas d’avantage financier à soumettre une activité particulière à une juridiction. Aucune loi canadienne sur la protection des données applicable au secteur privé n’oblige les organisations qui lui sont assujetties à s’inscrire ou à s’acquitter de frais. Il n’y aucun avantage sur le plan financier à essayer d’étendre une juridiction en matière de protection des données à une activité particulière. Et nous avons toutes les raisons de collaborer au traitement des plaintes, des enquêtes et des questions de politique, compte tenu des ressources limitées dont disposent les commissaires à la protection des données.

Tout n’est cependant pas rose. Le procureur général du Québec allègue que l’extension du champ d’application de la LPRPDÉ à toutes les organisations qui exercent des activités commerciales constitue une ingérence dans la juridiction du Québec et que cela outrepasse donc les pouvoirs du Parlement fédéral. Cette affaire constitutionnelle pourrait aboutir à la Cour suprême du Canada. Mais cette question ne remet pas en cause la légitimité du droit à la vie privée – rappelons‑nous que pendant de nombreuses années, le Québec avait une longueur d’avance sur le reste du Canada pour ce qui est de la réglementation en matière de protection de la vie privée. Il s’agit plutôt de déterminer si le Parlement fédéral a l’autorité voulu pour réglementer certaines activités au Québec. La Commission d’accès à l’information du Québec joue le rôle d’intervenant dans ce dossier, et nous prévoyons que la Cour d’appel du Québec tiendra ses premières auditions au début de 2008.

Ententes

Une façon simple d’éviter le chevauchement des tâches des commissaires dans des domaines de juridiction concurrents est d’en arriver à des ententes informelles sur les responsabilités de chacun. Nous avons établi des protocoles sur le traitement des enquêtes en présence de juridictions qui se chevauchent. Au tout début de mon mandat, les commissaires à l’information et à la protection de la vie privée de l’Alberta et de la Colombie‑Britannique et moi‑même avons tenu des discussions sur la collaboration dans le traitement des plaintes. J’ai ensuite fait parvenir une lettre à chacun des commissaires pour confirmer nos terrains d’entente. Le Commissariat mène actuellement des discussions semblables avec la commissaire à l'information et à la protection de la vie privée de l'Ontario.

Le commissaire de l'Alberta et la commissaire fédérale ont collaboré à la tenue d’une enquête comportant des éléments fédéraux et provinciaux. Dans un cas, nous avons enquêté conjointement sur des orientations défectueuses de renseignements médicaux. Dans un autre cas, des policiers ont trouvé, dans le cadre d'une enquête, des renseignements servant à déterminer les autorisations de sécurité d’employés gouvernementaux. Ces renseignements incluaient des rapports de solvabilité. Les responsables de la protection des données de la province en question se sont chargés des parties de l'enquête ayant trait à la correction des rapports de solvabilité erronés, tandis que le Commissariat s'est occupé de la question systémique portant sur la conservation des rapports de solvabilité.

Dans d’autres cas, des personnes bien informées portent plainte dans plusieurs juridictions qui ont un lien avec l’activité en question. Par exemple, trois commissaires à la protection des données ont reçu une plainte en rapport avec le même dossier mettant en cause l’utilisation de biométrie. Si le commissaire à la protection des données de chaque juridiction enquêtait sur cette plainte, il pourrait s’ensuivre un énorme gaspillage de ressources. Il est logique de se partager la tâche.

Le Commissariat a également simplifié son approche en matière de juridiction et de questions connexes liées aux enquêtes en établissant un forum régional sur la protection des renseignements personnels en collaboration avec l’Alberta et la Colombie‑Britannique. Ce forum favorise la coordination et l’harmonisation de la supervision fédérale et provinciale du secteur privé au Canada. Des cadres supérieurs de chacun de nos bureaux participent à des téléconférences régulières et se réunissent trois fois par année. Le forum a plusieurs fonctions, y compris le partage des connaissances, mais la plus importante consiste à élaborer des procédures pour la détermination de la juridiction, le transfert des plaintes et la conduite d'enquêtes parallèles.

En plus des activités de ce forum, les commissaires se réunissent deux fois par année pour discuter de questions d’intérêt commun, y compris les questions de juridiction, et les enquêteurs provinciaux et fédéraux tiennent des rencontres annuelles. En novembre dernier, le Commissariat a organisé un atelier sur la vérification, auquel ont assisté des représentants des commissaires à la protection de la vie privée provinciaux et territoriaux.

Conclusion

Nous savons tous à quel point il est difficile, dans un monde rempli de menaces à la vie privée, de défendre ce droit. Les obstacles extérieurs sont suffisamment nombreux; nous devons limiter les obstacles intérieurs. Le droit à la vie privée peut être protégé de façon relativement uniforme dans les États fédéraux dans la mesure où les principes l’emportent sur les considérations politiques. Je crois qu’il en va de même sur la scène internationale. Nous devons nous entendre, apprendre les uns des autres et travailler ensemble à promouvoir des approches uniformes en matière de protection de la vie privée. À défaut de cela, nous devrons peut-être nous résoudre à vivre dans un monde où des individus insensibles et dénués de tout scrupule peuvent accéder à des paradis de données au détriment de la protection de la vie privée des personnes.

Nous n’avons pas résolu tous les problèmes de juridiction en ce qui a trait à la protection des données au Canada, et peut-être ne les résoudrons-nous jamais. Mais j’ai la ferme conviction que la poursuite du dialogue avec les diverses juridictions et le solide engagement des commissaires à la protection de la vie privée du Canada à l’égard de la protection de cet important droit peuvent nous aider à surmonter les obstacles juridictionnels les plus importants.

Et nous apprenons à concilier deux concepts en matière de droit à la vie privée – celui du droit civil et celui de la common law – de façon à renforcer la protection de la vie privée dont jouissent tous les Canadiennes et Canadiens. Le bijuridisme canadien n’est pas qu’un sujet de débat entre juristes. C’est également l’expression de la position d’une nation ouverte à plusieurs réalités normatives et d’un pays qui sait comment incorporer ces traditions à ses lois nationales.