Mémoire devant le Comité sénatorial permanent des transports et des communications concernant l’étude sur les questions techniques et réglementaires liées à l’arrivée des véhicules intelligents

Le commissaire à la protection de la vie privée du Canada, Daniel Therrien, a soumis le présent mémoire aux membres du Comité sénatorial permanent des transports et des communications concernant l’étude sur les questions techniques et réglementaires liées à l’arrivée des véhicules intelligents. Dans son mémoire, le commissaire fait part de nouvelles observations qui font suite à sa comparution devant le comité sur le même sujet, le 28 mars 2017.

Le 22 novembre 2017

L’honorable Dennis Dawson, président
Comité sénatorial permanent des transports et des communications
Sénat du Canada
Ottawa (Ontario)  K1A 0A4

Monsieur le Président,

Je tiens à vous remercier, vous-même et les membres de votre comité, de nous avoir offert la possibilité de formuler de nouvelles observations concernant votre étude sur les questions techniques et réglementaires liées à l’arrivée des véhicules intelligents.

Nous avons constaté avec plaisir que la protection et la sécurité des données sont restées au cœur des discussions de votre comité depuis ma comparution du 28 mars dernier. Le comité consacre beaucoup d’énergie à l’examen et à la protection des flux de données associés aux véhicules connectés et à l’infrastructure nécessaire à leur développement. À juste titre.  

Mise à jour sur les travaux du Commissariat en matière de consentement

Depuis ma comparution devant le Comité, le Commissariat à la protection de la vie privée du Canada a publié un rapport sur le consentement. Ce rapport faisait suite à une consultation échelonnée sur un an qui avait pour but de déterminer les améliorations à apporter au modèle de consentement actuel en vertu de la loi fédérale sur la protection des renseignements personnels dans le secteur privé et de définir plus clairement le rôle et les responsabilités des divers acteurs susceptibles de les mettre en œuvre.

Au cours de la consultation, il est devenu évident à nos yeux que le consentement demeure au centre de l’autonomie personnelle. Les individus veulent conserver la capacité de prendre des décisions au sujet de leurs données. Cela dit, dans le cas de certaines collectes, utilisations ou communications, il pourrait être inapproprié que le conducteur contrôle la façon dont l’information est utilisée — par exemple lorsqu’il faut utiliser ou communiquer des données pour assurer la sécurité routière.

Toutefois, dans de nombreuses autres situations, le choix individuel devrait prévaloir — par exemple lorsque les renseignements personnels servent à des fins de marketing, d’établissement d’un contrat d’assurance fondé sur l’usage ou de navigation. Il est possible que les individus ne soient guère au courant de ces utilisations, et encore moins des détails et de leur incidence. Ils ne connaissent peut-être pas non plus les options à leur disposition pour limiter, désactiver ou contrôler d’une façon quelconque ces mécanismes. Les gens sont habitués de simplement s’installer derrière le volant et conduire. Nombre d’entre eux ne penseraient même pas à la protection de leur vie privée, n’étant pas au courant de toutes les autres façons dont leurs renseignements personnels sont recueillis, utilisés ou communiqués en arrière-plan.

D’après nous, les organisations qui demandent le consentement des individus devraient mieux expliquer comment elles prévoient utiliser les renseignements — dans le cas présent, les renseignements personnels des conducteurs. Depuis toujours, on a principalement recours à de longues politiques de confidentialité formulées dans un jargon juridique pour faire connaître les pratiques de protection des renseignements personnels. Peu de consommateurs lisent ces politiques. Comme on pouvait s’y attendre, cette façon de faire est inefficace. Il est donc important de trouver des moyens d’améliorer les communications. À cette fin, nous avons publié un projet de mise à jour de nos Lignes directrices en matière de consentement en ligne qui énonce sept principes directeurs pour le consentement en ligne. Quatre éléments clés dans ce contexte devraient être mis en évidence pour les individus : les renseignements personnels qui sont recueillis, les fins auxquelles ils sont recueillis, utilisés ou communiqués, les tiers auxquels ils sont communiqués et tout risque de préjudice connu ou prévisible découlant de la collecte, de l’utilisation ou de la communication.  

Les processus en place pour obtenir un consentement doivent prendre en compte le point de vue du consommateur. On s’assure ainsi qu’ils sont conviviaux et que l’information fournie est généralement facile à comprendre pour l’auditoire cible. On invite les organisations à utiliser toute une gamme de stratégies de communication — y compris les avis « juste-à-temps », les outils interactifs et les interfaces mobiles personnalisées — pour expliquer leurs pratiques de protection de la vie privée. Avant d’acheter ou de louer un véhicule automobile, il faudrait avoir accès à un document approprié résumant les renseignements personnels recueillis par le véhicule — et précisant les tiers fournisseurs de services éventuels qui peuvent y avoir accès. Des renseignements plus précis devraient être communiqués au moment où les individus doivent faire un choix particulier. Par exemple, on pourrait leur indiquer les types de données utilisées pour calculer les primes (et tout risque financier connexe) au moment de la souscription à une assurance où la prime est établie en fonction de l’usage. Un document expliquant quelles données sont recueillies lorsque le téléphone intelligent est connecté à un véhicule de location via Bluetooth — et de la marche à suivre pour supprimer ces données à la fin de la période de location — pourrait être conservé dans la console du véhicule de location. Il y a une multitude de possibilités de communications avec les individus sans qu’il soit nécessaire d’attirer leur attention lorsqu’ils conduisent. Nous demandons aux intervenants de trouver ces possibilités et d’en tirer parti.

Les véhicules connectés pourraient être une première application idéale pour cette nouvelle orientation. L’industrie automobile a l’habitude de communiquer aux consommateurs des renseignements complexes sur le rendement et la sécurité. Elle le fait de manière directe, accessible et normalisée. Nous ne voyons aucune raison de ne pas faire de même pour la protection des renseignements personnels.

Renforcement de la protection de la vie privée au-delà du consentement

Dans notre rapport sur le consentement, nous avons affirmé que le consentement demeure au cœur de l’autonomie personnelle. Mais il faut prévoir d’autres mécanismes pour l’appuyer afin de protéger la vie privée plus efficacement — notamment davantage d’orientation et de codes de pratiques à l’intention de l’industrie, une responsabilité accrue des organisations, une application proactive de la loi par les organismes de réglementation et les modifications législatives nécessaires pour gérer efficacement les risques nouveaux. Ces autres mécanismes sont particulièrement utiles dans le milieu des véhicules connectés en raison de la complexité de la technologie et des flux de données inhérents à son fonctionnement. 

Codes de pratiques

Comme je l’ai mentionné au cours de ma comparution devant le Comité, le Programme des contributions du Commissariat a financé un projet visant à élaborer un code de pratiques pour les véhicules connectés. Nous nous attendons à ce que ce projet donne de précieux résultats, comme devraient le faire tous les projets que nous finançons. Toutefois, les principaux intervenants nous ont dit que la protection de la vie privée est un élément parmi les nombreux autres à prendre en compte dans l’écosystème des véhicules connectés. Selon eux, il faudra peut-être élargir la portée des efforts en faisant intervenir entre autres tous les ordres de gouvernement, les principaux intervenants de l’industrie et les groupes de consommateurs, pour tirer parti des nombreuses possibilités et relever les nombreux défis inhérents à cette évolution.

À cette fin, nous encourageons vivement le gouvernement à réunir les intervenants visés — les organismes de réglementation, les législateurs, les constructeurs automobiles et les consommateurs — afin d’élaborer un cadre pour les véhicules connectés, qui traiterait entre autres de la protection de la vie privée.  Le Commissariat a l’intention de jouer un rôle de premier plan dans tout projet de ce genre.

Responsabilité, protection de la vie privée dès la conception et examens proactifs de la conformité

La responsabilité est un principe fondamental énoncé dans la LPRPDE qui oblige les organisations à élaborer et à mettre en œuvre des politiques et des pratiques pour respecter les principes de la Loi. Tout au long de notre consultation sur le consentement, des participants ont souvent indiqué que la responsabilité devait occuper une place plus importante dans la protection de la vie privée à une époque où les flux de données et les modèles d’affaires deviennent plus complexes, ce qui crée des difficultés pour le modèle de consentement.

Pour faire la preuve de leur responsabilité, les organisations devraient intégrer la protection de la vie privée dès la conception d’un produit ou d’un service — depuis la conception initiale jusqu’à la mise en œuvre et au déploiement et par la suite. La protection de la vie privée dans les véhicules connectés ne peut être un élément que l’on prend en compte après coup. Il serait sans doute très difficile (et coûteux) de concevoir à nouveau un système si l’on constatait un problème fondamental peu avant la mise en production, à plus forte raison lorsque les véhicules sont sur la route. Les intervenants étaient généralement favorables à la protection de la vie privée dès la conception. Il y a deux éléments de ce concept nous semblent particulièrement importants, soit les exigences temporelles (évaluation le plus rapidement possible et continue) et le fait que le concept englobe les facteurs technologiques et organisationnels. Ces deux éléments sont énoncés dans notre document d’orientation. Selon nous, ils sont tous les deux essentiels et nous nous attendons à ce qu’ils soient mis en œuvre.

Nous sommes d’avis que le consentement continue de jouer un rôle important dans la protection de la vie privée, mais nous convenons qu’il faudrait donner plus de poids à la responsabilité. Par conséquent, les organisations devraient pouvoir faire la preuve de leur responsabilité pour donner l’assurance que le droit à la vie privée est respecté. Nous estimons aussi que cette obligation devrait être respectée de façon proactive plutôt qu’au moyen du système fondé sur les plaintes prévu dans la LPRPDE. La plupart des flux de données des véhicules connectés sont très complexes et ils ne sont pas transparents. Il n’est par ailleurs pas raisonnable de s’attendre à ce que les consommateurs cernent les problèmes liés à la protection de la vie privée qui y sont associés. Le Commissariat sera généralement mieux placé pour connaître l’existence de ces problèmes et prendre l’initiative d’effectuer des enquêtes.

En bout de ligne, le respect du principe de responsabilité exigerait que le Commissariat puisse vérifier la conformité sur demande, sans avoir de motifs de croire que des infractions à la LPRPDE ont été commises. Il ne s’agit pas de pouvoirs extraordinaires, mais plutôt de pouvoirs qu’exercent depuis longtemps d’autres organismes de réglementation. Il faudrait à cette fin modifier la LPRPDE. Selon nous, ces modifications sont nécessaires pour protéger efficacement la vie privée dans un monde technologique complexe. Pour l’instant, nous continuerons de chercher des moyens de promouvoir de façon plus proactive la conformité à la LPRPDE sous le régime actuel, entre autres en menant des enquêtes à l’initiative du commissaire conformément au paragraphe 11(2) de la Loi.

Nouveautés sur la scène internationale

La communauté internationale de la protection de la vie privée s’intéresse vivement à la question des véhicules connectés et autonomes. La 39e Conférence internationale des commissaires à la protection des données et de la vie privée a adopté récemment une Résolution sur la protection des données dans les véhicules automatisés et connectés. Cette résolution invite toutes les parties concernées « à respecter intégralement les droits fondamentaux que possèdent les utilisateurs pour la protection de leurs données personnelles et de leur vie privée, et à en tenir compte comme il se doit à toutes les étapes de la création et du développement de nouveaux dispositifs ou services ». Elle propose 16 mesures et activités qu’elle exhorte les parties à mettre en œuvre à cette fin.

Aux États-Unis, le Future of Privacy Forum et la National Auto Dealers Association ont publié à l’intention des consommateurs le guide intitulé Personal Data in Your Car. Ce guide a pour but d’aider les consommateurs à comprendre le type de renseignements personnels recueillis par les véhicules de dernière génération, qui utilisent les données pour améliorer la sécurité et l’expérience-client et offrir de l’infodivertissement.

De même, un projet de loi déposé au Sénat des États-Unis, Security and Privacy in Your Car (SPY Car) Act, oblige l’US National Highway Traffic Safety Administration et la Federal Trade Commission à établir d’un système de notation. Ce projet de loi propose un « cyber tableau de bord » pour expliquer comment la protection de la sécurité et des renseignements personnels dépasse les normes minimales. Il exige que la cote attribuée soit indiquée sur un autocollant apposé sur le pare-brise de tous les véhicules neufs. Le projet de loi a été soumis au comité sénatorial du commerce, des sciences et du transport des États-Unis.

En juillet 2017, le Government Accountability Office des États-Unis a aussi publié un rapport sur la protection des renseignements personnels dans les véhicules. Ce rapport analyse entre autres les politiques de confidentialité de plusieurs grands constructeurs automobiles. Les spécialistes interrogés dans le cadre du projet ont convenu, en particulier, que les principes de protection de la vie privée des consommateurs (Consumer Privacy Protection Principles) actuels ne donnaient pas suffisamment d’orientation pour éclairer les actions des constructeurs automobiles ou protéger les renseignements personnels des consommateurs. Selon eux, il fallait les améliorer. Ces constatations sont similaires à celles d’une étude réalisée par la Freedom of Information and Privacy Association de la Colombie-Britannique et financée par le Programme des contributions du Commissariat.

La situation a aussi évolué récemment au sein de l’Union européenne (UE). La Commission des transports et du tourisme de l’UE a publié un projet de rapport sur une stratégie européenne relative aux systèmes de transport intelligents coopératifs. Le document soulignait certaines recommandations clés sur la protection des données personnelles et insistait sur le fait que les véhicules intelligents devaient être conformes au Règlement général sur la protection des données. Il indiquait expressément que les prestataires de services pour les véhicules connectés devaient « offrir des conditions claires aux conducteurs, leur permettant de donner leur consentement libre et éclairé à tout traitement de leurs données à caractère personnel ».

Conclusion

Le Canada peut tirer de précieux enseignements de ces solutions. Un principe général consiste à mobiliser et à éduquer les consommateurs afin qu’ils puissent faire des choix raisonnables et à donner plus de pouvoir aux organismes de réglementation. Ce principe même, ainsi que les efforts déployés pour établir une approche coordonnée à l’égard des véhicules connectés concordent manifestement avec la façon dont le Commissariat envisage de gérer les problèmes liés au consentement et les défis en matière de protection des renseignements personnels associés aux véhicules connectés.

D’après nous, il faudra mobiliser de nombreux intervenants de tous les ordres de gouvernement, du secteur privé, de groupes de consommateurs, de chercheurs et de la population pour relever les nombreux défis associés aux véhicules connectés. Nous sommes impatients de poursuivre le dialogue que le Comité a amorcé avec ces parties intéressées pour s’assurer que l’on prend dûment en compte la protection de la vie privée. Nous attendons avec impatience les recommandations du Comité sur cette question ainsi que la réponse du gouvernement.

J’espère que mes réflexions vous ont été utiles et je vous remercie encore une fois de m’avoir donné l’occasion d’exprimer le point de vue du Commissariat dans le cadre de votre étude.

Veuillez agréer, Monsieur le Président, l’expression de mes sentiments distingués.

Le commissaire,

(Document original signé par)

Daniel Therrien