Centre des médias

La protection à la vie privée et la USA PATRIOT Act : les répercussions de la loi américaine sur les entreprises de TI canadiennes

Cinquième programme annuel printanier de formation sur les lois régissant les technologies de l'information

Le 11 mai 2005
Toronto (Ontario)

Allocution prononcée par Ann Goldsmith
Conseillère juridique

Lorsque les commissaires canadiens à la protection de la vie privée se sont réunis en mai 2004 à Victoria (C.-B.), ils ont convenu que la question de la circulation transfrontalière des renseignements personnels prenait de plus en plus d'importance. La circulation transfrontalière des renseignements personnels est un fait de la société contemporaine — c'est le produit d'une économie « mondialisée », de secteurs privé et public interdépendants et d'une coopération internationale accrue en matière de justice criminelle et de sécurité publique. Les membres de votre association, qui s'intéressent à des sujets comme le commerce électronique, jouent un très grand rôle dans ce phénomène.

De même, les Canadiennes et les Canadiens s'interrogent sur la manière dont les renseignements personnels les concernant sont communiqués à des gouvernements et organismes étrangers, notamment à des corps policiers et des agences de sécurité, ainsi que sur le moment auquel tels renseignements sont communiqués. Leurs doutes portent sur l'équilibre entre, d'une part, l'application de la loi et le maintien de la sécurité publique, et d'autre part, sur le respect des droits humains fondamentaux, telle la vie privée.

En tant que société, nous devons montrer davantage d'originalité en ce qui a trait aux moyens d'action et aux instruments technologiques susceptibles d'offrir un niveau adéquat de protection des renseignements personnels. Il ne s'agit pas seulement d'un rêve en couleurs d'une commissaire à la protection de la vie privée. Il s'agit plutôt d'une exigence imposée aux gouvernements par la Chartre des droits et libertés et les lois et règlements fédéraux et provinciaux sur la protection des renseignements personnels du secteur public, de même qu'au secteur privé par la LPRPDÉ et ses équivalents dans les provinces. Nous pouvons également y ajouter la longue liste d'autres lois qui imposent des obligations pour respecter la confidentialité des renseignements personnels — comme, par exemple, la Loi sur la protection des renseignements personnels sur la santé de l'Ontario.

Toutefois, en plus de faire de plus en plus d'efforts afin de protéger les renseignements personnels dans les secteurs commercial et public, nous prenons également davantage conscience de la fragilité des mécanismes de protection des renseignements personnels lorsqu'ils quittent le Canada. La discussion sur la USA PATRIOT Act a mis la question de la circulation transfrontalière des renseignements personnels à l'avant-scène.

La USA PATRIOT Act est devenue l'image même d'un enjeu plus vaste et de longue date — la mesure dans laquelle le Canada et d'autres pays s'échangent des renseignements personnels relatifs à leurs citoyennes et citoyens, et la mesure dans laquelle les renseignements qui ont été transmis à l'étranger à des fins commerciales peuvent être obtenus par des gouvernements étrangers.

En 1987, le Comité permanent de la justice et le solliciteur général ont présenté un rapport sur l'examen triennal de la Loi sur la protection des renseignements personnels. Dans son rapport, Une question à deux volets : Comment améliorer le droit d'accès à l'information tout en renforçant les mesures de protection des renseignements personnels, le Comité parlait de la nécessité d'en savoir davantage sur les transferts de renseignements personnels se rapportant à des Canadiennes et des Canadiens par-delà les frontières. Il recommandait que le gouvernement effectue une étude des répercussions de la circulation transfrontalière des données par les secteurs public et privé.

Le gouvernement du Canada était d'accord avec le Comité de la nécessité d'effectuer une telle étude. En 1989, le gouvernement a demandé au Groupe de recherches en droit et en informatique (GRDI) de l'Université du Québec à Montréal d'effectuer une recherche sur les transferts transfrontaliers de données personnelles sur les Canadiennes et les Canadiens, que ce soit par transmission informatique ou d'autres moyens. En mars 1990, le GRDI a présenté un rapport intitulé Vie privée sans frontières : les flux transfrontaliers de renseignements personnels en provenance du Canada . Le rapport faisait état de nombreux transferts de renseignements personnels à l'extérieur du Canada, dont le nombre ne peut que s'être grandement accru depuis. La USA PATRIOT Act a simplement mis l'enjeu de longue date des transferts transfrontaliers de données personnelles à l'avant-scène du débat.

Communication transfrontalière de l'information

Il existe de nombreux moyens grâce auxquels les renseignements personnels intéressant les Canadiennes et les Canadiens peuvent être transférés en dehors des frontières du Canada. Des organisations situées au Canada peuvent communiquer des renseignements personnels à des organisations situées à l'étranger dans le cadre de leurs opérations commerciales — un aspect de plus en plus commun de la mondialisation. Compte tenu de l'importance de nos relations commerciales avec les États-Unis, il n'est donc guère surprenant qu'une foule de renseignements personnels intéressant les Canadiennes et les Canadiens aboutissent dans les banques de données d'entreprises situées aux États-Unis.

Il arrive que des entreprises du secteur privé au Canada communiquent des renseignements personnels à l'étranger en vertu de pouvoirs législatifs précis. Parfois, une loi particulière a préséance sur la LPRPDÉ et autorise les organisations commerciales à communiquer à des gouvernements étrangers les renseignements personnels se rapportant à des Canadiennes et des Canadiens. Ainsi, les modifications apportées en 2001 à la Loi sur l'aéronautique autorisent les transporteurs aériens du Canada à communiquer à un État étranger certains renseignements qu'ils détiennent sur des personnes se trouvant à bord ou devant se trouver à bord de l'aéronef.

Les organismes du gouvernement canadien communiquent aussi des renseignements personnels à des gouvernements étrangers. La Loi sur la protection des renseignements personnels le permet dans diverses circonstances, tandis que des protocoles d'entente et des ententes d'assistance juridique mutuelle prévoient le cadre formel dans lequel ces transferts peuvent être faits. De même, d'autres lois fédérales autorisent parfois tel ou tel transfert de renseignements à des gouvernements étrangers — la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes , la Loi sur le Service canadien du renseignement de sécurité et la Loi sur le ministère de l'Immigration et de la Citoyenneté, par exemple. Les organismes gouvernementaux communiquent aussi parfois des renseignements personnels en vue de leur traitement par des entreprises situées à l'étranger.

Finalement, les Canadiennes et les Canadiens donnent eux-mêmes une somme considérable de renseignements personnels à des gouvernements étrangers et des entreprises situées à l'étranger. Les voyageurs canadiens sont tenus de fournir des renseignements aux agents de l'immigration lorsqu'ils entrent dans un pays étranger, et cela en produisant leurs passeports, leurs visas ou d'autres documents que le pays en question jugera opportun de leur demander. Les Canadiennes et les Canadiens peuvent aussi devoir fournir des renseignements personnels à des entreprises lorsqu'ils traitent avec elles. Ainsi, le fait de solliciter des services d'assistance-logiciel peut obliger le client à fournir des renseignements à une entreprise à l'étranger qui fournit les services en question.

Le problème

Nous avons un problème. Nous savons qu'une somme considérable de renseignements personnels se rapportant à des Canadiennes et des Canadiens est transférée à l'étranger, mais nous ne savons toutefois pas la quantité. Souvent, nous ne connaissons pas les mesures de sécurité mises en place pour empêcher que les entreprises ou les gouvernements étrangers n'utilisent à mauvais escient les renseignements personnels. Dans le cas de la USA PATRIOT Act , nous savons que les mesures de sécurité existantes sont relativement rares une fois que les renseignements personnels ont quitté le Canada.

En revanche, nous avons une bonne idée de ce que les Canadiennes et les Canadiens pensent des transferts de renseignements personnels par-delà les frontières. En mars dernier, le Commissariat a confié à EKOS Research Associates le mandat d'effectuer une étude nationale sur les nouveaux enjeux liés à la protection de la vie privée auprès de 1 000 Canadiennes et Canadiens.

EKOS a conclu que, dans les années 1990, les grandes préoccupations des Canadiennes et des Canadiens à l'égard de la protection des renseignements personnels ont diminué à de nombreux égards, mais non pas complètement disparu. Depuis le début des années 2000, les préoccupations ont recommencé à s'accroître et atteignent maintenant le niveau du début des années 1990. Les préoccupations actuelles sont toutefois de nature différente. Dans le passé, elles portaient plus sur les intrusions physiques et personnelles, alors qu'aujourd'hui, elles visent plus spécifiquement la protection des renseignements personnels se rapportant à des Canadiennes et des Canadiens.

L'étude a également demandé aux Canadiennes et aux Canadiens ce qu'ils pensaient des transferts de renseignements personnels par-delà les frontières. Elle a révélé l'existence d'une croyance répandue parmi les répondants selon laquelle les renseignements personnels sont communiqués à d'autres pays — surtout aux États-Unis. Cette croyance est particulièrement vraie dans le cas des entreprises qui communiquent des renseignements personnels sur leurs clients à des entreprises situées à l'étranger. La majorité, bien que légèrement moins élevée, des Canadiennes et des Canadiens croit toujours que les renseignements personnels qui sont détenus par les gouvernements sont également communiqués par-delà les frontières.

Le niveau de préoccupation à l'égard du transfert transfrontalier de renseignements personnels est très élevé. Seulement 1 Canadien sur 10, environ, a indiqué qu'il serait peu préoccupé si les renseignements personnels de Canadiennes et de Canadiens étaient communiqués par-delà les frontières. Même si la préoccupation est légèrement moins grande lorsque les renseignements personnels communiqués portent sur la sécurité nationale, les préoccupations sont élevées pour toutes ces activités — sans égard à l'objectif ou au principe.

L'étude a également permis de déterminer que la presque totalité des Canadiennes et des Canadiens voudrait non seulement être informée de la communication de renseignements personnels à l'extérieur du pays, mais également qu'on leur demande au préalable la permission d'agir ainsi.

Il s'agit là du contexte social dans lequel s'insèrent nos discussions sur la circulation transfrontalière de données. Le Commissariat essaie d'approfondir sa connaissance de ces transferts. L'automne dernier, le Secrétariat du Conseil du Trésor a lancé un examen des activités d'impartition dans les institutions du gouvernement fédéral. Nous attendons toujours l'inventaire des échanges transfrontaliers des renseignements personnels détenus par les institutions du gouvernement fédéral. Nous sommes également très préoccupés par le fait que plus d'un an après que la question a été soulevée en Colombie-Britannique, il n'existe aucun tableau clair de la situation. Dans l'intervalle, le Commissariat vérifie, de sa propre initiative, les échanges transfrontaliers de données de l'Agence des services frontaliers du Canada.

Nous aimerions faire preuve d'une patience infinie dans ce dossier de l'impartition, mais ce n'est pas le cas. Nous avons soumis cette question au gouvernement pour la première fois il y a seize mois. Nous en avons discuté avec le ministre de la Justice, l'honorable Irwin Cotler, et avec le président du Conseil du Trésor, l'honorable Reg Alcock. Il y a plusieurs années, le Conseil du Trésor a élaboré un projet de lignes directrices sur l'impartition par le gouvernement, mais celles-ci n'ont jamais été mises en œuvre.

La Loi sur la protection des renseignements personnels du gouvernement fédéral est tout à fait désuète. Adoptée en 1982, elle est entrée en vigueur en 1983 et n'a pratiquement pas été révisée depuis. Plus particulièrement, la Loi ne contient pas de mesures de contrôle efficaces sur la circulation transfrontalière de données entre les gouvernements. Un des énormes échappatoires de la protection des renseignements personnels à l'échelon fédéral est la disposition touchant la communication comprise dans la Loi sur la protection des renseignements personnels . C'est ainsi que, par exemple, le paragraphe 8(2) autorise le responsable d'une institution gouvernementale à communiquer les renseignements personnels sans le consentement de la personne concernée dans le cadre d'un accord ou d'arrangements conclus avec le gouvernement d'un État étranger pour la tenue d'une enquête licite. La Loi sur la protection des renseignements personnels ne renferme aucune disposition obligeant les tiers qui détiennent et traitent des renseignements personnels concernant des Canadiennes et des Canadiens à prendre des mesures de protection . De plus, il semble qu' aucune politique du Conseil du Trésor du Canada n'est exécutoire dans ce domaine . Plutôt que de fixer des limites sur la communication, la Loi sur la protection des renseignements personnels décrit plutôt un processus pour la communication élargie de renseignements personnels par-delà les frontières. Dans ce sens, il s'agit plutôt d'une loi habilitante que d'une loi sur la protection des données. Il existe des centaines d'accords et d'arrangements entre les institutions fédérales et des gouvernements étrangers.

À long terme, il est raisonnable de traiter de cette question sur le plan législatif. La Loi sur la protection des renseignements personnels devrait définir en des termes précis les responsabilités de ceux qui transfèrent des renseignements personnels hors de la fonction publique fédérale, voire hors du Canada . Entre-temps, toutefois, les directives et les politiques du Conseil du Trésor — par exemple, celles qui portent sur la circulation transfrontalière de renseignements personnels — peuvent être instaurées rapidement s'il existe une volonté politique de le faire. En outre, la technologie elle-même — cette arme à double tranchant — peut offrir des solutions qui protègent la vie privée.

Les organisations du secteur privé doivent se conformer aux obligations prévues dans la LPRPDÉ ou les lois provinciales connexes, afin de protéger les renseignements personnels des clients . Cela peut vouloir dire informer les clients du fait que leurs renseignements personnels pourraient se retrouver dans les bases de données auxquelles les gouvernements étrangers ont accès. Cela peut également viser les organisations qui utilisent la technologie pour empêcher les sociétés mères situées dans d'autres pays d'avoir accès aux bases de données de filiales situées au Canada. Et cela peut même dire, dans certains cas, prendre des mesures pour éviter la communication de renseignements personnels à des administrations qui n'offrent pas une protection suffisante.

Dans un proche avenir, plusieurs occasions se présenteront pour un examen rigoureux et équilibré, ainsi que pour une discussion publique informée, de la circulation transfrontalière des renseignements personnels. Le Commissariat participe à la révision de la législation antiterroriste et contribuera à l'examen des initiatives de prestation de services, tel le Gouvernement en direct. De plus, nous participerons aux projets suivants :

• La vérification des activités de transfert de renseignements personnels entre le Canada et les États-Unis ;
• Des pourparlers avec les représentants du ministère canadien de la Sécurité publique et de la Protection civile et ceux du Department of Homeland Security des États-Unis sur les pratiques des entités fédérales en matière de renseignements personnels;
• La mise en place d'un Comité parlementaire sur la sécurité nationale;
• L'examen de la LPRPDÉ qui doit avoir lieu en 2006 et, je l'espère, l'examen et la réforme de la Loi sur la protection des renseignements personnels . L'examen de ces textes de loi devrait faire avancer la protection de la vie privée au Canada — comportant des mesures législatives plus rigoureuses.

Conclusion

Les Canadiennes et les Canadiens jouissent d'une norme raisonnable de protection de leurs renseignements personnels au Canada. Ils ne veulent pas que cette protection disparaisse lorsque leurs renseignements personnels sont transférés par-delà les frontières, et ils ne souhaitent pas que les gouvernements ou les organisations au Canada transfèrent leurs renseignements personnels par-delà les frontières si tels renseignements risquent d'être communiqués indûment, que ce soit à des fins de sécurité ou à des fins commerciales.

Le Commissariat invite les membres de l'Association canadienne du droit des technologies de l'information à participer à la recherche de solutions réalistes pour les enjeux liés à la protection de la vie privée qui découlent de la circulation transfrontalière des données dans l'optique du commerce électronique. Vous pouvez communiquer votre connaissance approfondie de certaines questions, comme le commerce électronique. Je suis heureuse de constater que l'Association a reconnu l'importance de la protection de la vie privée en formant un comité ad hoc sur la protection de la vie privée. Faites connaître vos préoccupations et vos propositions de solutions — ces dernières sont particulièrement appréciées! La protection de la vie privée des Canadiennes et des Canadiens à notre époque d'extraordinaires changements technologiques et de gouvernements technologiquement sophistiqués constitue un défi de taille, mais un défi que nous pouvons relever en faisant connaître nos perspectives, notre expertise et nos idées.