Établissement des priorités pour le Commissariat à la protection de la vie privée du Canada : Un dialogue avec les intervenants

Cette page Web a été archivée dans le Web

L’information dont il est indiqué qu’elle est archivée est fournie à des fins de référence, de recherche ou de tenue de documents. Elle n’est pas assujettie aux normes Web du gouvernement du Canada et elle n’a pas été modifiée ou mise à jour depuis son archivage. Pour obtenir cette information dans un autre format, veuillez communiquer avec nous.

Archivée

Cette page Web a été archivée dans le Web.

Sommaires des questions de protection de la vie privée à l'étude

Halifax / Toronto / Edmonton / Ottawa / Montréal

(Janvier - février 2015)

---

L'économie des renseignements personnels

Aperçu

Les données générées numériquement ont créé de nouvelles possibilités économiques et sociales pour les organismes et les personnes, et il est important que les entreprises canadiennes demeurent compétitives dans un marché technologique qui nourrit et récompense l'innovation. Le gouvernement du Canada a récemment publié sa stratégie de développement de l'économie numérique, qui privilégie des programmes de financement qui, par exemple, étendront l'accès à haute vitesse aux zones rurales. L'expansion de la connectivité Internet au pays peut aider à renforcer l'économie, et elle a aussi le potentiel d'améliorer la vie des gens.

Beaucoup de services en ligne sont offerts gratuitement aux usagers, et il s'agit de la norme dans le modèle d'affaires sur l'Internet. Des usagers s'inscrivent pour avoir accès à des applications ainsi qu'aux offres gratuites des entreprises. Ce qui est moins apparent pour les gens, c'est la nature sous-jacente de la transaction — c'est-à-dire que les usagers donnent en échange les renseignements à propos de leur utilisation, leurs contacts et leurs intérêts sur une large gamme d'activités en ligne. Cet historique d'interactions et de profils personnels peut être colligé, analysé, tracé et échangé. Les informations commerciales récoltées — des profils sociaux, données démographiques, journaux de recherches en ligne et historiques d'achats, aux communications vocales, textuelles et photographiques — sont le prix payé pour des services, des offres et des applications en ligne.

Il en est de même dans le cas du marché en plein essor du Web mobile et de la téléphonie intelligente. Une écologie corporative complexe s'est développée mondialement — des annonceurs et concepteurs d'applications et de plateformes aux fabricants et firmes d'infrastructures — laquelle s'appuie sur la collecte et l'exploitation des données de géolocalisation des appareils et des métadonnées de communications générées par les réseaux numériques. Nous sommes dans une ère où les données personnelles sont le nouveau pétrole — une ressource facile à extraire, à peu de frais, pouvant être raffinée à des fins commerciales^{Note de bas de page 1}. Cela a entraîné un déséquilibre en termes de qui contrôle ultimement de telles informations. Les modèles d'affaires en ligne qui exploitent les renseignements personnels comme une simple marchandise sont pour la plupart loin des yeux du public. En même temps, l'engagement individuel en ligne ou avec d'autres technologies numériques est de moins en moins une question de choix pour la plupart des gens. En effet, on dépend de plus en plus des technologies numériques pour le travail, les achats et les communications, alors que les options non numériques diminuent en nombre.

Même après deux décennies d'interaction en ligne courante, les gens trouvent que la protection des renseignements personnels dont on profite hors ligne semble absente en ligne. Par exemple, les moteurs de recherches en ligne remplissent aujourd'hui de nombreuses fonctions pour lesquelles on se référait auparavant aux bibliothèques publiques, aux bottins d'entreprises et téléphoniques, à des livres de références ou des cartes. Par contre, contrairement aux bibliothèques hors ligne, les firmes de recherches ne sont pas tenues par la loi, une règlementation ou un code d'éthique professionnel d'assurer la plus stricte confidentialité de l'utilisateur^{Note de bas de page 2}. Pour donner un autre exemple, la clientèle et les responsables de la réglementation seraient très inquiets si les compagnies de crédit ou d'assurances modifiaient régulièrement leurs modalités; c'est pourtant monnaie courante dans le cas des applications en ligne. Enfin, avant la venue d'Internet haute vitesse par fibre optique et du stockage de données fiable et à faible coût, les archives publiques et privées contenant des renseignements sensibles étaient relativement protégées (obscurité pratique) par l'entremise de barrières physiques et de limites computationnelles qui rendaient l'analyse agrégée difficile. L'émergence de courtiers d'informations, d'analystes et des mégadonnées a éliminé cette protection naturelle, et nous assistons désormais à une numérisation de masse des archives papier ainsi qu'à la collecte de données numériques afin de vendre et de regrouper des renseignements à des fins particulières.

Le modèle économique actuel du monde en ligne est obscur et fondé sur les renseignements personnels, et il fonctionne d'une manière qui défie les protections et les traditions légales éprouvées dans le monde hors ligne. Par conséquent, il est difficile pour l'utilisateur moyen des technologies de l'information de comprendre ces accords ou pratiques commerciales et de donner un consentement valable.

Répercussions potentielles sur la vie privée

Bien qu'elles fassent l'objet de discussions dans le milieu universitaire, les répercussions durables sur la vie privée d'une conversion générale des renseignements personnels en marchandise n'ont pas encore été l'objet d'un vaste débat. Ces répercussions émergent lentement, pendant que les entreprises continuent de croître et d'innover au niveau mondial. Un résultat probable (et déjà visible) est une mentalité de ruée vers l'or dans l'industrie de l'information. Une telle mentalité incite des organisations à recueillir le plus de données personnelles possible, avant qu'on tienne un débat public adéquat, et de s'assurer de détenir le contrôle commercial de ces renseignements et de ce capital aux dépens du contrôle par l'utilisateur. Elle mène aussi vers un débat insuffisant sur les droits des consommateurs en lien avec les lois et les normes de protection des renseignements.

Autre effet secondaire évident, le fait de laisser aux entreprises un contrôle de plus en plus disproportionné sur les renseignements personnels réduit les choix du consommateur et rend les individus de plus en plus visibles et susceptibles d'être influencés. Le modèle d'affaires qui s'est développé en ligne a tendance à négliger la confidentialité en faveur de l'accumulation d'un nombre croissant de détails sur la vie quotidienne des gens. La collecte de renseignements personnels à des fins commerciales mène souvent à la création de profils qui sont utilisés pour catégoriser les consommateurs potentiels en fonction des caractéristiques présumées des groupes auxquels ils sont associés. Les profils d'utilisateur servent aussi à cibler les consommateurs en fonction d'inférences sur leurs intérêts ainsi qu'à déterminer quels groupes ont et n'ont pas les moyens de se procurer des produits. En bref, les outils prévus pour la protection de la vie privée dans l'espace virtuel nécessitent un « savoir-faire » technique, une bonne connaissance des affaires et, dans plusieurs cas, un revenu disponible. Par conséquent, l'économie actuelle de l'information et de la vie privée peut être une source d'injustice envers ceux qui ne possèdent ni la culture numérique, ni les ressources financières requises afin de protéger un droit humain fondamental.

Informations supplémentaires

• La protection de la vie privée pour tous : combler le fossé entre ceux qui en bénéficient et ceux qui en sont exclus
• Lignes directrices en matière de consentement en ligne
• Position de principe sur la publicité comportementale en ligne
• La protection de la vie privée et la publicité comportementale en ligne
• Rapport sur les consultations de 2010 du Commissariat à la protection de la vie privée du Canada sur le suivi, le profilage et le ciblage en ligne et sur l'infonuagique
• Arguments en faveur de la réforme de la Loi sur la protection des renseignements personnels et les documents électroniques
• L'ère de l'analyse prédictive : des tendances aux prédictions
• Les courtiers en données : regard sur les paysages canadien et américain

Services gouvernementaux et surveillance

Aperçu

La collecte d'information est un des principaux modes de fonctionnement et une des grandes fonctions primaires des institutions gouvernementales. Peu de gens sont d'avis qu'on devrait adopter une politique publique rationnelle et prendre des décisions factuelles — qu'il soit question de programmes sociaux, de politiques fiscales ou même du recours aux forces armées — sans s'appuyer sur des informations à jour, exactes et représentatives. Cet impératif est encore plus crucial là où intervient l'État dans la vie des gens, car l'information qui est recueillie et mesurée peut s'avérer confidentielle et même hautement sensible. Dans le monde moderne, faute de renseignements adéquats et exacts sur les citoyens, certains services publics peuvent s'avérer très difficiles à concevoir et à déployer.

En même temps, le gouvernement du Canada continue de chercher des moyens plus efficaces d'améliorer les programmes et d'offrir les services en adoptant de nouvelles technologies et en augmentant le niveau de communication de l'information entre les ministères, les gouvernements et les compétences. Cela peut être très avantageux pour les Canadiens. Toutefois, en modernisant les services gouvernementaux, on crée de nouveaux risques : celui que surviennent des failles de sécurité, et celui que soient constitués des profils qui seraient utilisés et transmis à toutes sortes de fins, y compris pour l'application de la loi. En plus de l'utilisation accrue par les gouvernements des technologies de communication modernes (par ex. : médias sociaux, analytique Web et services en ligne)^{Note de bas de page 3}, on observe une tendance vers une ouverture des bases de données, ce qui augmente les risques pour la protection de la vie privée^{Note de bas de page 4}.

De même, des gouvernements de partout dans le monde ont passé la dernière décennie à amasser des renseignements personnels et des données transactionnelles afin de répondre à des menaces pour la sécurité, y compris la cybersécurité. Les nouvelles formes de menaces auxquelles sont confrontés les états démocratiques — des cyberattaques aux réseaux criminels présents sur tous les continents — créent un environnement difficile à confronter pour les gouvernements. Pendant la dernière année, l'attention médiatique a été tournée vers les pratiques de la National Security Agency (NSA) américaine et le réseau mondial de programmes de surveillance de masse suscite beaucoup d'attention partout dans le monde^{Note de bas de page 5}. Les révélations et les débats publics ont mené plusieurs universitaires et défenseurs de la vie privée renommés à insister sur la nécessité d'une plus grande transparence et d'une responsabilisation accrue de la part des agences de renseignements canadiennes et des entreprises du secteur privé. Ces inquiétudes ont été reprises dans des éditoriaux, des sondages d'opinion et des pétitions publiques, soulignant l'importance cruciale d'une surveillance judiciaire indépendante, l'écart démocratique représenté par le manque de surveillance parlementaire, et la nécessité de mener des réformes légales cruciales afin de bien limiter la divulgation, la collecte et l'utilisation de renseignements personnels. Même les renseignements en apparence anodins, comme les métadonnées, peuvent révéler des renseignements personnels sensibles^{Note de bas de page 6}.

Répercussions potentielles sur la vie privée

Les démocraties comme le Canada reposent sur des citoyens bien informés, un gouvernement transparent et responsable ainsi que des droits et libertés inscrits et respectés. Cela comprend clairement le droit au respect de la vie privée. Juristes, spécialistes du droit et défenseurs travaillant sur le terrain soutiennent depuis longtemps que la surveillance électronique non contrôlée (par des autorités responsables de la sécurité, des agences de renseignements ou des entrepreneurs privés) entraîne l'érosion des règles, inverse les pratiques traditionnelles et équitables en matière d'information et contourne d'autres droits. Il suffit de se reporter à la décision rendue cette année par la Cour suprême dans l'affaire Spencer pour voir ces avertissements exprimés^{Note de bas de page 7}.

La surveillance gouvernementale envahit la vie privée des individus, tout comme la tendance vers des accords plus larges de communication de l'information à l'intérieur et au-delà des frontières, ainsi qu'au sein des organismes privés et publics et entre eux. Les données numériques sont communiquées de plus en plus fréquemment et à des fins de plus en plus larges : contrôle de l'immigration, sécurité frontalière, application de la loi, détection de la fraude, surveillance des voyageurs, surveillance médicale et autres. Pour déterminer quels sont les risques d'atteinte à la vie privée, il faut établir si les renseignements ont été transmis au bon organisme, de la bonne manière et à des fins acceptables.

Informations supplémentaires

• Mesures de vérification et de contrôle : Renforcer la protection de la vie privée et la supervision des activités du secteur canadien du renseignement à l'ère de la cybersurveillance (Rapport spécial au Parlement)
• Faire face aux atteintes à la vie privée : la protection de la vie privée et la sécurité en tant qu'écosystème
• Ce qu'une adresse IP peut révéler à votre sujet
• Pour une société sécuritaire : comment réconcilier protection de la vie privée et sécurité nationale - Commentaires présentés dans le cadre d'une séance de formation sur la sécurité nationale tenue à la Cour fédérale du Canada
• L'utilisation croissante de véhicules aériens sans pilote dans l'espace aérien canadien suscitera-t-elle de nouvelles inquiétudes pour la protection de la vie privée?
• Lignes directrices du CPVP concernant le recours, par les forces policières et les autorités chargées de l'application de la loi, à la surveillance vidé dans les lieux publics
• Responsabilité du gouvernement en matière de renseignements personnels: Réforme de la Loi sur la protection des renseignements personnels
• Une question de confiance : intégrer le droit à la vie privée aux mesures de sécurité publique au 21e siècle »

Protéger les Canadiens dans un monde sans frontières

Aperçu

Dans une économie mondiale intégrée, l'époque où les renseignements personnels des Canadiens étaient conservés uniquement au Canada est depuis longtemps révolue. Les secteurs des services financiers, de l'assurance, du crédit, du voyage et du transport génèrent tous une quantité énorme de renseignements personnels sur les clients — et les dossiers d'entreprise se retrouvent rapidement à l'étranger lorsque les entreprises cherchent à diminuer les coûts de saisie, de stockage et de conservation des données. Il est donc impératif de travailler avec les autorités en dehors de nos frontières afin de protéger ces informations dès qu'elles quittent le Canada. Or, un défi supplémentaire se pose lorsqu'on doit traiter avec des instances étrangères où aucune autorité n'est responsable de la protection des données, ou dont les lois sur la protection des renseignements personnels sont considérablement moins exigeantes, ce qui rend les renseignements personnels des Canadiens à l'étranger encore plus vulnérables.

En même temps, il arrive souvent que des gens de partout dans le monde doivent faire face à des menaces à la vie privée similaires lorsqu'il s'agit des systèmes technologiques, des plateformes, et des services sur le Web des organisations transigeant à l'échelle mondiale. En outre, les gouvernements s'accordent pour échanger des renseignements sur des voyageurs internationaux et les risques potentiels, ce qui a une incidence sur la vie privée de tous. Alors que l'information circule à travers le monde par l'entremise de l'infrastructure numérique — des réseaux sociaux aux services d'infonuagique des entreprises — les limites juridictionnelles des lois sur la protection des renseignements personnels au Canada, et ailleurs, ne sont pas facilement distinguables.

Protéger les renseignements personnels des Canadiens dans un monde sans frontière signifie qu'il faut aussi s'allier avec les organismes internationaux qui œuvrent dans l'élaboration de politiques et de normes internationales, tels que l'Organisation de coopération et de développement économiques (OCDE), la Coopération économique Asie-Pacifique (APEC) et l'Organisation internationale de normalisation (ISO). Négliger de prendre en compte la nature mondiale des menaces à la vie privée pourrait nuire à la mise en œuvre de solutions efficaces visant la protection des renseignements personnels des Canadiens tant au Canada qu'à l'étranger.

Par exemple, si une seule entreprise subit une atteinte généralisée à la sécurité des données ou effectue des changements majeurs aux modalités de ses services, cela peut avoir des conséquences sur des gens partout dans le monde. Il n'est plus pratique pour les autorités de protection des données et des renseignements privés d'enquêter séparément sur ces affaires. Ce n'est pas un usage efficace de ressources limitées, et les résultats ne sont pas toujours optimaux.

C'est dans ce contexte que le Commissariat s'est joint à des protecteurs des renseignements personnels à l'échelle mondiale afin de mener une action commune pour améliorer les pratiques en matière de protection des renseignements personnels en ligne. Ce fut le cas en 2010, alors que le Commissariat et d'autres organismes sont devenus membres du Global Privacy Enforcement Network (GPEN), conçu pour faciliter la coopération transfrontalière dans l'application des lois sur la protection des renseignements personnels. Peu de temps après, la Loi sur la protection des renseignements personnels et les documents électroniques a été modifiée afin de permettre au Commissariat de partager de l'information avec d'autres autorités de protection des données aux responsabilités semblables. Au total, le Commissariat a signé six ententes bilatérales de coopération avec l'Allemagne, l'Irlande, les Pays-Bas, la Roumanie, le Royaume-Uni et l'Uruguay, ainsi qu'un accord multilatéral d'application des lois sur la protection des renseignements personnels, l'Accord de coopération sur la protection transfrontière des données de l'APEC ().

Bien que notre bureau, en partenariat avec d'autres autorités de protection des renseignements personnels partout dans le monde, ait fait des pas de géants vers l'amélioration de la coopération internationale, beaucoup de travail reste à faire dans ce domaine. Naturellement, nous devons faire face à certains défis lorsque nous travaillons ensemble, par exemple les différences dans les lois sur la protection des renseignements personnels à travers le monde. Parmi les autres difficultés, on peut songer aux mécanismes à établir pour permettre la communication multilatérale d'information entre les autorités de protection de données à l'échelle mondiale, ce qui nécessite la création de liens de confiance afin que nous puissions être à l'aise de travailler ensemble.

Répercussions potentielles sur la vie privée

La coopération internationale peut mener à des pratiques améliorées en matière de protection des renseignements personnels qui auront une incidence réelle pour les Canadiens. Par exemple, le Commissariat a récemment collaboré avec l'autorité néerlandaise de protection des données dans l'enquête sur les pratiques de traitement des renseignements personnels du concepteur américain d'applications mobiles, WhatsApp. Nous avons découvert des failles au niveau de la sécurité sur la plateforme de messagerie mobile populaire. Au moment de notre enquête, l'application transmettait les messages de ses utilisateurs sans encodage, rendant des messages potentiellement susceptibles à l'écoute ou à l'interception électronique, particulièrement ceux passant par des réseaux Wi-Fi non protégés. À la suite de notre enquête conjointe, en septembre 2012, l'entreprise a commencé à encoder les messages.

Dans un monde où les frontières ne cessent de disparaître, une autre dimension de la protection des renseignements personnels des Canadiens consiste à collaborer avec les instances qui ne disposent pas de pouvoirs bien établis de protection des données ou de lois sévères de protections des renseignements personnels afin de partager notre savoir-faire et contribuer au renforcement des capacités. Notre bureau, par exemple, a accueilli des employés d'autorités chargées de l'application de la loi, nouvellement établies, pour qu'ils puissent observer comment fonctionne un commissariat à la protection de la vie privée. En outre, nous avons transmis à ces petites autorités les connaissances techniques que nous avons acquises du monde en ligne. À cet égard, nous les avons aidées à mettre sur pied leurs propres laboratoires d'analyse technique en leur montrant le fonctionnement de nos propres laboratoires, l'équipement que nous utilisons et l'expertise dont nous avons besoin. En travaillant et en nous impliquant internationalement avec d'autres autorités dans leur processus de renforcement de leurs régimes de protection des données, nous avons l'occasion de communiquer notre expertise et nos traditions législatives afin d'influencer le processus et ultimement mieux protéger les renseignements personnels des Canadiens à l'étranger.

Élaborer une politique coordonnée au niveau international peut aider à façonner et à améliorer les normes en matière de respect de la vie privée dans le monde entier et, par conséquent, favoriser la protection des renseignements personnels des Canadiens. Puisque les menaces à la vie privée sont de plus en plus présentes à l'échelle de la planète, nous joindre à des organisations internationales qui offrent une plateforme pour l'élaboration de politiques peut nous aider à trouver des solutions à des problèmes communs.

Informations supplémentaires

• Ratissage d'Internet pour la protection de la vie privée du Global Privacy Enforcement Network Questions et réponses
• Résolution sur la transparence des pratiques en matière de renseignements personnels
• Initiatives internationales et Protocole d'entente
• Les normes internationales de protection des données personnelles : Développement, actualités et limites
• IXmaps : cartographie des risques liés au respect de la vie privée au Canada dans le nuage Internet
• Communiqué : À la suite d'une enquête d'autorités de protection des données, la question de la transgression par WhatsApp de lois sur la protection des renseignements personnels est en partie réglée

Réputation et respect de la vie privée

Aperçu

Comme nous utilisons de plus en plus Internet pour réaliser nos activités professionnelles et personnelles, une quantité accrue de renseignements à notre sujet sont publiés, par nous et d'autres personnes. Nos traces numériques racontent aussi notre histoire. Bien que nous nous présentions en ligne comme nous souhaitons être vus à un moment précis, l'information publiée peut demeurer indifféremment sur Internet, ou sur un serveur d'une entreprise, et reste figée même si nous-mêmes changeons au fil du temps. Après tout, la capacité d'évoluer et de changer nos idées, nos croyances ou nos opinions est un élément essentiel du développement humain. La myriade de renseignements sur nos vies qui est générée en ligne est pratiquement impossible à limiter, à mettre en contexte ou à supprimer, ce qui donne lieu à des préoccupations en ce qui a trait à l'incidence potentielle de ces activités sur notre réputation.

Pour la plupart d'entre nous, notre réputation constitue notre image publique, la façon dont nous voulons être représentés. Elle fait donc partie de la manière dont les autres nous définissent. Dans une société de plus en plus numérisée, une personne est définie par l'historique de ses achats, ses profils dans les médias sociaux, ses commentaires en ligne, son historique de navigation Web, etc. Certaines personnes pourraient supposer à tort que les renseignements personnels qu'elles échangent avec des amis proches ne seront pas divulgués sans leur permission. Elles pourraient aussi s'attendre à ce qu'elles puissent s'exprimer en ligne ou consulter certains sites Web dans l'anonymat, alors qu'en réalité on peut établir un lien entre leur identité et leurs activités.

Les risques d'atteinte à la réputation sont accrus lorsque des individus publient de l'information concernant d'autres personnes, nuisant ainsi au contrôle de ces personnes sur la façon dont elles sont représentées. Prenons par exemple le phénomène de la pornographie de vengeance : des personnes partagent publiquement, sans consentement, des photographies sexuelles pour couvrir de honte un ancien partenaire ou le mettre dans l'embarras. Pensez également à la cyberintimidation, cette pratique extrême qui consiste à blesser et à harceler en ligne des personnes de façon délibérée, ou à nuire à leur réputation. Ces exemples soulèvent des questions sur la façon de supprimer ou de prouver la fausseté de l'information négative nous concernant (p. ex., les discussions sur le « droit à l'oubli »), ainsi que sur les limites de la liberté d'expression. Ces campagnes de dénigrement peuvent causer des détresses émotionnelles importantes. Dès qu'une réputation est noircie en ligne, il devient extrêmement difficile de la redorer. Les conséquences potentielles sur la réputation peuvent être plus graves au sein des populations vulnérables, comme les enfants, les adolescents et d'autres qui ont un contrôle limité sur leurs renseignements personnels numériques.

Les organisations, les employeurs et les petites entreprises commerciales se fient de plus en plus aux renseignements personnels numériques à notre sujet, y compris ceux que nous leur avons fournis, qu'ils recueillent, stockent et échangent. En conséquence, les organisations contribuent aussi à façonner une réputation. Les organisations affirment devoir interpréter et catégoriser de manière légitime et significative de grandes quantités de données personnelles numériques afin d'offrir un service. Ainsi, la création de profils permet généralement d'établir un ensemble de critères précis liés aux besoins de l'organisation. Dans le secteur commercial, les personnes peuvent, par exemple, être catégorisées selon leur valeur socioéconomique, leur potentiel d'emploi ou leur orientation sexuelle. Le manque de transparence et de responsabilisation en ce qui a trait à cette catégorisation peut s'avérer une source d'anxiété pour les personnes qui ne sont pas convaincues de l'exactitude du contenu ni de l'incidence qu'il peut avoir sur leur vie.

En outre, les entreprises conçoivent leur site Web pour qu'il ait un aspect plus personnel : plus le site est personnel, plus l'entreprise en tire une grande valeur monétaire. Les individus personnalisent ensuite leurs intérêts sur Internet, ce qui finit par constituer une sorte de sondage démographique que peuvent consulter leurs amis, mais également des tiers à l'affût. Dans un tel contexte, comment une personne peut-elle contrôler les hypothèses à son égard et comment peut-elle contrôler l'utilisation que font les autres de son information? Souvent, les intentions malveillantes et les erreurs organisationnelles ne sont même pas en cause dans les risques d'atteinte à la réputation d'une personne. Les plus récents canaux en ligne et les nouvelles technologies mobiles et interfaces graphiques peuvent aussi contribuer au risque de non-respect de la vie privée, compte tenu de la facilité avec laquelle on peut copier, modifier et communiquer des renseignements personnels.

Répercussions potentielles sur la vie privée

L'incidence des organisations et des individus sur les réputations des personnes est de plus en plus grande et découle de renseignements à leur sujet qui pourraient s'avérer inexacts. Les organisations, par exemple, peuvent viser ou catégoriser des personnes en se fondant sur des mots clés ou des photos provenant de leurs profils dans les médias sociaux et tirer des conclusions qui se révèlent, dans certains cas, très éloignées de la réalité. Les personnes ainsi catégorisées ou visées peuvent être traitées, à leur insu, comme des personnes plus à risque qu'elles ne le sont en réalité. Une étude récente de la Harvard University, dirigée par Latanya Sweeney, a découvert un préjugé racial pour les publicités lorsqu'on utilise certains termes pour faire des recherches dans Google et Reuters. Lorsqu'on entre des prénoms associés à des personnes d'origine afro-américaine (tels que DeShawn, Darnell et Jermaine), les résultats donnent plus de publicités dans lesquelles on offre des services relatifs aux vérifications du casier judiciaire que si on entre des noms associés à des personnes d'origine caucasienne (comme Brad, Jill et Emma). Établir un lien entre le nom d'une personne et des infractions qu'elle n'a pas commises pourrait salir son nom ou influencer les opinions d'autres personnes.

Les risques d'atteinte à la réputation des personnes augmentent au fur et à mesure qu'on utilise leurs données, souvent sans leur consentement, sans en vérifier la validité ou sans tenir compte du contexte dans lequel elles ont été diffusées. Par exemple, notre bureau a enquêté sur le site Web de rencontre Positive Singles à l'intention des personnes atteintes de maladies transmises sexuellement. Les plaignants affirmaient que leur profil de membre comprenant des renseignements sensibles sur la santé était diffusé, à leur insu, sur d'autres sites de rencontre exploités par la société mère. Bon nombre des autres sites Web ciblaient des personnes ayant des intérêts variés et provenant de divers milieux socioéconomiques, et dont l'état de santé était souvent très différent. En raison de cette pratique, la réputation d'une personne pourrait prendre des connotations erronées et des renseignements très sensibles pourraient être divulgués. Notre bureau a conclu que le site de rencontre, ainsi que sa société mère, n'a pas expliqué ouvertement et clairement comment les renseignements personnels des membres potentiels seraient communiqués et pourraient être vus ailleurs. À la suite de notre enquête, la société mère a apporté des changements au site Web pour rendre plus transparentes ses pratiques de traitement de l'information. Entre autres, elle a indiqué sur la page d'accueil que tous les profils créés sur le site Web seront accessibles aux utilisateurs des sites Web affiliés.

Informations supplémentaires

• Gouvernement ouvert et nécessité de concilier transparence institutionnelle et protection de la vie privée
• Élaborer une approche canadienne en matière de protection de la vie privée
• Une déclaration des droits numérique - Commentaires à la conférence juridique de l'Association du Barreau canadien
• Rapport de conclusions - À la suite d'un cas où une adolescente a été victime d'usurpation d'identité en ligne, le site de réseautage social Facebook accepte d'aider, au cas par cas, les non-utilisateurs à rétablir leur réputation en ligne
• Mémoire de l'intervenante, la commissaire à la protection de la vie privée du Canada : Bragg Communications Incorporated, Halifax Herald Limited, et Global Television
• Vie privée et réputation - Qui façonne votre identité en ligne?
• 12 conseils pratiques en matière de protection de la vie privée à l'usage des parents
• Quel type d'information recueille-t-on mon sujet quand je suis en ligne?
• Branchés et futés : Internet et vie privée : Une bande dessinée romanesque aide les jeunes à naviguer en ligne en protégeant leur vie privée
• Trousses de présentations pour parents et enseignants

Le corps comme source d'information

Aperçu

Depuis toujours, les gens se soumettent à diverses mesures à des fins médicales, criminelles, esthétiques et autres, que ce soit sur une base volontaire ou non^{Note de bas de page 8}. D'une façon générale, on s'attend à ce que de l'information sur le corps soit recueillie dans le domaine de la médecine familiale, lorsque les personnes consultent leur médecin pour des problèmes de santé. En raison du caractère délicat des renseignements personnels échangés entre un praticien et le patient, bon nombre de pays ont mis en place des lois pour protéger la confidentialité des données concernant le patient.

L'automatisation croissante des dossiers médicaux, l'utilisation de la bioélectronique médicale, ou la compilation de données biométriques à des fins commerciales, récréatives et judiciaires, illustrent la transformation en cours dans un milieu qu'on considérait autrefois comme hautement privé et protégé. Une industrie mondiale a émergé et mise sur l'information découlant du corps — de la mesure des empreintes digitales jusqu'au poids, la taille et le rythme cardiaque d'une personne en passant par les analyses sanguines et les tests génétiques, qui sont le plus souvent effectués dans le secteur privé. Alors que les liens se resserrent entre notre corps et les technologies de l'information, la protection des renseignements personnels devient d'autant plus importante.

On n'a qu'à penser à quelques exemples de hautes technologies disponibles sur le marché ou dans les laboratoires de recherche qui démontrent l'intégration croissante de la technologie sans fil à la médecine, ou la transmission et la communication sans fil de renseignements de l'intérieur de votre corps jusqu'au monde extérieur. Il existe des capteurs implantés qui peuvent contrôler la pression sanguine des personnes ayant récemment eu un arrêt cardiaque, ou des lentilles cornéennes qui peuvent détecter la glycémie d'un diabétique. La médecine numérique « à avaler », des capsules-caméras jusqu'aux pilules-thermomètres, peut enregistrer l'information à l'intérieur du corps d'une personne pendant qu'elle traverse le tube digestif. Des dispositifs peuvent par ailleurs être placés sur la tête ou implantés dans le cerveau pour lire l'activité cérébrale. Cette technique appelée « interface cerveau-machine » peut venir en aide aux personnes qui ont des handicaps physiques ou des lésions ayant mené à la paralysie. Ces nouvelles méthodes de diagnostic promettent clairement de véritables avantages pour les patients comme pour le système de la santé dans son ensemble en tant qu'investissement social global.

On mesure le corps à d'autres fins que pour la santé, notamment par le port de dispositifs intelligents pour les activités récréatives et sportives. Les dispositifs électroniques épidermiques sont de plus en plus utilisés dans le sport de compétition, où les capteurs sont en contact avec la peau des athlètes pour mesurer le niveau d'acidité de leur transpiration. On trouve des dispositifs intelligents, comme une nouvelle génération d'écouteurs-boutons utilisés pour écouter de la musique, mais également pour mesurer en temps réel des données physiologiques et biométriques, qui retournent l'information au téléphone intelligent de l'utilisateur. Ces pratiques technologiques modernisées présentent « le corps humain comme source d'information » — une expression créée par l'. Les risques rattachés à la protection des renseignements personnels augmentent de plus en plus à mesure que les anciens et les nouveaux types de renseignements au sujet du corps sont compilés par voie numérique.

Répercussions potentielles sur la vie privée

Les capteurs et les technologies de l'information utilisés pour recueillir de l'information du corps transportent des données personnelles de nature délicate, qu'il s'agisse du type de maladie qu'une personne est susceptible d'avoir, des pilules qu'elle prend ou même de son alimentation. L'incidence sur la vie privée devra être surveillée de près et de façon continue à mesure qu'émergent les nouvelles technologies et pratiques concernant le corps. La société tirera assurément de nombreux avantages des percées biomédicales et d'autres avenues du progrès technologique qui concerne le corps.

La question de la robustesse des mécanismes de protection — qui contrôle l'information, comment est-elle utilisée et communiquée, et la sensibilité du contexte — est une question primordiale. Le recours accru aux données biométriques comme moyen d'identifier et d'authentifier des personnes, pour quantité de raisons, par les autorités, le milieu de travail, les écoles et les responsables de la sécurité intérieure soulève de nombreuses préoccupations relatives à la vie privée. Plusieurs cafétérias scolaires du Canada, par exemple, n'acceptent plus l'argent comptant, et permettent aux enfants de payer directement à partir de leur compte en balayant et en enregistrant leurs empreintes digitales dans une base de données. Les compagnies de jouets ont commencé à vendre des bracelets qui suivent la condition physique et le niveau d'activité des enfants. D'ailleurs, des foyers pour personnes âgées utilisent aussi des bracelets semblables. Les répercussions pour la protection des renseignements personnels que peuvent avoir les technologies biométriques ont trait aux erreurs éventuelles et aux vulnérabilités de la sécurité, ainsi qu'à l'exactitude et à la fiabilité de l'information utilisée pour identifier, authentifier des personnes ou prendre des décisions à leur sujet.

Les gens communiquent de plus en plus l'information relative à leur ADN à des fins généalogiques, ancestrales, récréatives, de santé ou de vérification de la paternité. Outre la question de la protection des renseignements personnels d'un individu, il faut également tenir compte de la question des groupes, étant donné que notre composition génétique peut révéler des renseignements de nature délicate au sujet d'autres personnes. Les organismes d'application de la loi accèdent également à l'information génétique, ce qui suscite des préoccupations par rapport à l'usage de plus en plus répandu et aux usages possibles des banques de données génétiques.

Il existe de nombreux autres exemples de la façon dont l'information au sujet du corps peut être utilisée à mauvais escient et des répercussions sur la vie privée. En Colombie-Britannique, des parents ont récemment poursuivi deux hôpitaux alléguant une atteinte à la vie privée, une fouille et une saisie illégales ainsi qu'un manquement à une obligation fiduciale. Les parents se sont opposés lorsqu'ils ont appris, après le fait, que les hôpitaux avaient conservé, sans leur consentement, les échantillons de sang de leur nouveau-né prélevés pour des tests habituels de dépistage de maladies génétiques réalisés à la naissance, et les avaient utilisés à des fins de recherches secondaires. Alors que nous dépendons de plus en plus de la technologie, il faut songer à se pencher sur certains des risques rattachés aux implants corporels. Les chercheurs dénoncent depuis longtemps les importantes vulnérabilités de ces dispositifs sans fil implantés, par exemple, des cyberattaques susceptibles d'altérer, de manipuler ou de contrôler le dispositif implanté, ce qui pourrait causer des ravages sur la santé d'une personne et exposer ses renseignements personnels.

Informations supplémentaires

• Les accessoires intelligents : Défis et possibilités pour la protection de la vie privée
• Déclaration concernant l'utilisation des résultats des tests génétiques par les compagnies d'assurances de personnes
• Les renseignements génétiques et l'avenir de la protection de la vie privée
• Renseignements génétiques, industrie des assurances vie et maladie, et protection des renseignements personnels : encadrer le débat
• La mise en œuvre du consentement dans le cadre des biobanques
• La recherche dans le domaine de la protection des renseignements personnels sur la santé

Renforcer les mesures de protection de la vie privée et la responsabilisation

Aperçu

La protection de la vie privée est importante aux yeux des Canadiens. Ce droit constitue le fondement de la démocratie. Pour beaucoup de gens, le respect de la vie privée constitue une tradition et une vertu sociale. Cependant, ce principe subit une pression. Un récent sondage réalisé par le Commissariat a révélé que les deux tiers des Canadiens se disent préoccupés au sujet de la protection de leur vie privée, le quart des répondants y soulignant leur profonde inquiétude. Il est d'autant plus révélateur que près des trois quarts des Canadiens ressentent une diminution du contrôle qu'ils exercent sur la protection de leurs renseignements personnels.

Les organisations aussi bien que les particuliers peuvent prendre des dispositions en vue d'améliorer leurs pratiques de gestion de la vie privée, mais la majeure partie des mécanismes de contrôle et de protection des renseignements personnels revient aux organisations, grandes ou petites. Le gouvernement et les entités commerciales, au moyen des structures et des programmes mis en place, jouent un rôle crucial quant à la protection adéquate des renseignements personnels. L'information étant de plus en plus numérisée et communiquée à une vitesse croissante à travers les infrastructures de télécommunications mondiales, il est primordial de pouvoir compter sur des protocoles de protection des renseignements à jour de même que sur des mesures de sécurité bien intégrées dans les organisations.

Même si une grande majorité d'entreprises canadiennes ont indiqué, dans un sondage réalisé en 2014 par le Commissariat, que la protection de la vie privée constitue un objectif important, nos recherches révèlent que plusieurs entreprises sont incapables (ou réticentes à le faire pour des motifs financiers) d'adopter des mesures adéquates et proactives à l'égard de la protection de la vie privée. Par exemple, environ la moitié des entreprises consultées ne disposaient pas de politique concernant la vie privée, ni de procédures pour répondre aux demandes des clients qui désirent accéder à leurs renseignements personnels et pour gérer les plaintes liées à la protection de ces renseignements. De plus, environ les deux tiers de ces entreprises n'appliquent aucune politique ou procédure qui leur permettrait d'évaluer les répercussions que pourraient engendrer de nouveaux produits, services ou technologies sur la vie privée, et se sont dites peu ou pas du tout préoccupées par d'éventuelles violations des données personnelles. Vu la vulnérabilité des réseaux poreux et des serveurs d'entreprises face aux intrusions externes et à la violation des données, ce constat est alarmant. Dans le secteur privé, 60 infractions ont été signalées au Commissariat en 2013 (une augmentation de 50 % par rapport à 2012). Du côté du secteur public, le gouvernement fédéral a recensé plus de 3 000 violations de données au cours des 10 dernières années, qui auraient touché environ 725 000 Canadiens.

En tant que gardiens et principaux utilisateurs des renseignements personnels, les organismes des secteurs public ou privé ont une responsabilité éthique et sont tenus, en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques et de la Politique sur la protection de la vie privée du Conseil du Trésor, d'élaborer et de préserver des pratiques robustes en matière de protection de la vie privée. En adoptant de telles pratiques, les organisations rehaussent leur image, elles suscitent la confiance des clients et favorisent le contrôle par les consommateurs, tout en se démarquant avantageusement dans un marché concurrentiel. Bien entendu, les individus doivent également assumer une part de responsabilité quant à la gestion et l'amélioration de leurs pratiques de protection des renseignements personnels. Ils peuvent apprendre à s'orienter dans l'univers numérique en demeurant à l'affût et en s'informant sur les outils de sécurité, ce qui contribuera à préserver leur vie privée. En outre, il est impératif que les individus soient conscientisés quant à leur devoir de bien réfléchir à l'information qu'ils communiquent ou qu'ils publient au sujet d'autrui.

Répercussions potentielles sur la vie privée

Les Canadiens sont de plus en plus préoccupés par la question de leurs renseignements personnels, dont le contrôle échappe peu à peu aux organisations publiques et privées. Ce sentiment excède les violations de données accidentelles et les politiques de confidentialité défaillantes. Les principaux problèmes se résument en définitive à la confiance des citoyens et des consommateurs. Puisque les systèmes de données modernes et l'infrastructure de l'information globale sont très sophistiqués, les individus ne possèdent pas un réel moyen de savoir ce qu'il adviendra de leurs renseignements personnels ou de leurs communications privées. Si les gouvernements ou les organisations privées n'informent pas la population au sujet de l'usage qui sera fait des renseignements personnels, comment pourront-ils exercer un contrôle significatif sur l'utilisation de ces renseignements?

Enfin, autant les organisations que les individus subissent les contrecoups des pratiques défaillantes de gestion de la confidentialité. Les organisations, par exemple, risquent de ternir leur réputation et leur nom, ce qui peut provoquer une hausse des coûts et compromettre la confiance des Canadiens par rapport aux pratiques de protection de la vie privée. Que l'information soit piratée, divulguée, perdue ou mal employée, les répercussions de telles fuites peuvent être considérables. Le vol d'identité et la fraude financière sont deux conséquences possibles d'une atteinte à la protection des données et figurent, selon un récent sondage, parmi les plus grandes préoccupations des Canadiens en ce qui a trait à la protection de la vie privée. Toutefois, il ne faut pas faire fi des autres importants préjudices à la vie privée découlant de l'humiliation, de l'embarras ou du souci pur et simple de ce qui aurait pu arriver à leurs renseignements personnels.

Informations supplémentaires

• Sondages (p. ex., Les entreprises canadiennes et la protection des renseignements personnels
• Matériel d'orientation (p. ex., Protéger les renseignements personnels : Un outil d'auto-évaluation à l'intention des organisations; Un programme de gestion de la protection de la vie privée : la clé de la responsabilité; Outil d'autoévaluation - LPRPDE - Loi sur la protection des renseignements personnels et les documents électroniques; Principales étapes à suivre par les organisations en cas d'atteintes à la vie privée)
• Documents de travail (p. ex., Arguments en faveur de la réforme de la Loi sur la protection des renseignements personnels et les documents électroniques; Réforme de la Loi sur la protection des renseignements personnels)
• Initiatives de sensibilisation du public (p. ex., Dix conseils pour réduire le risque d'atteinte à la vie privée)
• Coopération internationale (p. ex., Les normes internationales de protection des données personnelles : Développement, actualités et limites)
• Discours (p. ex., La protection des renseignements personnels, la sécurité et la gestion des documents à l'ère du gouvernement 2.0)