Pour une législation efficace sur la protection des renseignements personnels et l’accès à l’information dans une société guidée par les données

Résolution des commissaires fédéral, provinciaux et territoriaux à l’information et à la protection de la vie privée

Charlottetown (Île-du-Prince-Édouard), du 1^er au 2 octobre 2019

CONTEXTE

Le respect de la vie privée et l’accès à l’information sont des droits quasi constitutionnels qui sont fondamentaux pour l’autodétermination des individus, la démocratie et le bon gouvernement. Les nouvelles technologies présentent de nombreux bienfaits potentiels pour la société, mais elles ont une incidence sur les principes démocratiques fondamentaux et les droits de la personne, notamment sur le droit au respect de la vie privée, sur l’accès à l’information, sur la liberté d’expression et sur les processus électoraux.

Le public est de plus en plus préoccupé par l’utilisation et l’exploitation des renseignements personnels par les gouvernements et les entreprises privées, et en particulier par l’opacité des pratiques de traitement de l’information. Les incidents de sécurité sont sans cesse plus fréquents et touchent des millions de citoyens.

Bien qu’il soit important de reconnaître que des améliorations législatives ont été apportées par certaines administrations canadiennes, des travaux sont encore nécessaires pour parvenir à une modernisation cohérente des lois en cette matière. La plupart des lois canadiennes sur l’accès à l’information et la protection de la vie privée n’ont pas été fondamentalement modifiées depuis leur adoption, certaines il y a plus de 35 ans. Elles sont malheureusement en retard sur les lois de nombreux autres pays en ce qui concerne le niveau de protection de la vie privée accordé aux citoyens.

EN CONSÉQUENCE

Les commissaires à l’information et à la protection de la vie privée au Canada demandent à leurs gouvernements respectifs de moderniser la législation afin de respecter les principes suivants :

Pour la protection des renseignements personnels

• Toutes les organisations des secteurs public et privé, incluant les partis politiques, impliquées dans la collecte, la détention, l’utilisation et la divulgation de renseignements personnels sont soumises aux lois sur la protection de la vie privée;
• Toutes les organisations des secteurs public et privé doivent établir et implanter des cadres de gestion de la protection des renseignements personnels qui incluent au minimum des politiques et des pratiques conçues pour se conformer aux lois applicables en vigueur et se tenir prêtes à démontrer qu’elles assument leurs responsabilités;
• Les exigences de transparence relatives aux pratiques de protection de la vie privée des organisations des secteurs public et privé sont renforcées, incluant les initiatives de communication et d’échange de renseignements personnels;
• Les organisations des secteurs public et privé sont tenues de recueillir et d’utiliser le minimum de renseignements personnels possibles et de recourir, chaque fois que possible, à des techniques avancées de protection des renseignements personnels, comme l’anonymisation;
• Les évaluations des facteurs relatifs à la vie privée sont obligatoires pour toute initiative impliquant des renseignements personnels. Elles constituent un critère pour le financement public de telles initiatives;
• Les individus sont protégés contre l’usage intrusif de la technologie et la surveillance omniprésente;
• Les organisations des secteurs public et privé doivent prendre les mesures de sécurité propres à assurer la protection des renseignements personnels qu’elles détiennent;
• Les organisations des secteurs public et privé doivent déclarer aux organismes de surveillance les incidents de sécurité impliquant des renseignements personnels et en aviser les personnes concernées;
• Les individus contrôlent leurs renseignements personnels, notamment grâce à un libellé de consentement significatif qui leur offre un choix réel, sauf dans des situations particulières définies dans la législation. Toute nouvelle exception est limitée aux situations pour lesquelles les avantages sociétaux l’emportent clairement sur les atteintes à la vie privée. Elle est accompagnée de conditions, incluses dans la loi, pouvant être utilisées pour en démontrer la conformité;
• Les individus peuvent accéder à l’ensemble de leurs renseignements personnels et peuvent les faire rectifier, y compris les renseignements inférés ou créés par une organisation publique ou privée;
• Les organisations sont obligées d’utiliser des données vérifiées, à jour et exactes;
• La littératie numérique fait partie du cadre de formation et de sensibilisation, en particulier auprès des enfants;
• Les technologies d’intelligence artificielle et d’apprentissage automatique sont conçues, développées et utilisées dans le respect des droits fondamentaux de la personne et des principes relatifs à la protection des renseignements personnels comme la transparence, la responsabilité et l’équité.

Pour l’accès à l’information

• Les lois sur l’accès aux documents s’appliquent au plus grand nombre d’organismes possibles, dont les organisations exerçant des fonctions de nature publique ou qui sont substantiellement financées par l’État;
• Il est obligatoire de documenter les actions et les décisions prises par les organismes publics;
• L’accès est gratuit ou à un coût minimal;
• Les réponses aux demandes d’accès sont fournies dans les meilleurs délais et les motifs de refus sont clairement expliqués;
• Les exceptions au droit d’accès sont limitées et sont soumises à la primauté de l’intérêt public;
• Les informations d’intérêt public sont divulguées de manière proactive;
• Le droit d’accès s’applique aux informations détenues par les organismes publics quelle qu’en soit la forme, y compris les courriers électroniques, les messages texte, etc.

En ce qui concerne l’application des lois

• Les individus disposent de moyens efficaces pour faire valoir leurs droits d’accès et ceux relatifs au respect de leur vie privée et à la protection de leurs renseignements personnels. Ils peuvent se plaindre qu’une organisation ne respecte pas ses obligations légales;
• Des organismes de surveillance indépendants, efficaces et suffisamment financés disposent de pouvoirs de contrôle étendus et adaptés à l’environnement numérique, tels que des pouvoirs d’enquête et d’audit à leur propre initiative, des pouvoirs de contraindre à témoigner et d’exiger la production de documents dans le cadre de révisions et d’enquêtes, le cas échéant, des pouvoirs d’ordonnance et des pouvoirs d’imposer des pénalités, des amendes et des sanctions.
• Les commissaires sont consultés sur les modifications apportées à la législation ayant une incidence sur l’accès aux documents, le droit au respect de la vie privée ou la protection des renseignements personnels.

Les commissaires à l’information et à la protection de la vie privée au Canada s’engagent à

• S’impliquer, collaborer et faire des recommandations au gouvernement, à la législature et au Parlement en fonction de leurs domaines d’expertise;
• Continuer d’analyser comment les lois sur l’accès à l’information et sur la protection des renseignements personnels affectent tous les Canadiens et rendre cette information publique;
• Poursuivre l’évaluation de lois novatrices sur la protection des renseignements personnels et l’accès à l’information afin de recommander des modifications pertinentes .