Comparution devant le Comité sénatorial permanent des affaires juridiques et constitutionnelles concernant le projet de loi S-203, Loi limitant l’accès en ligne des jeunes au matériel sexuellement explicite

Le 2 juin 2021
Ottawa (Ontario)

Déclaration de Daniel Therrien
Commissaire à la protection de la vie privée du Canada

(Le texte prononcé fait foi)

---

Je vous remercie de m’avoir invité à prendre la parole aujourd’hui. Je suis accompagné par Martyn Turcotte, directeur de l’analyse de la technologie au Commissariat.

La protection des enfants dans un environnement numérique est une question cruciale. Comme vous le savez, le Comité des droits de l’enfant des Nations Unies a récemment fait valoir l’importance de respecter et de protéger les droits de tous les enfants dans l’environnement numérique, ce qui comprend le droit à la vie privée. Nous soutenons les efforts visant à accorder une attention particulière à ces droits dans l’environnement numérique, entre autres par la mise en œuvre de mesures de protection de la vie privée qui répondent expressément aux intérêts des enfants.

Le projet de loi S‑203, Loi limitant l’accès en ligne des jeunes au matériel sexuellement explicite, soulève certains enjeux sur le plan de la protection de la vie privée. Je pense notamment aux mécanismes de vérification de l’âge et à la protection des renseignements personnels qui doivent être recueillis pour faciliter le processus. C’est sur ces enjeux que je mettrai l’accent aujourd’hui.  

Mécanismes de vérification de l’âge

D’après le libellé actuel du projet de loi, le gouverneur en conseil peut, par règlement, prévoir les mécanismes de vérification de l’âge visés au paragraphe 7(1). Comme le choix de ces mécanismes n’a pas encore été arrêté, je vous ferai part d’un certain nombre de considérations générales.

Mesures de protection techniques

Ce Comité a proposé d’utiliser le chiffrement et de faire appel à des tiers spécialisés dans les services de vérification de l’âge pour diminuer les risques de violation de la vie privée. Vous avez aussi abordé certains des enjeux relatifs à l’utilisation des données biométriques et en particulier de la reconnaissance faciale. 

La Loi sur la protection des renseignements personnels et les documents électroniques – la LPRPDE – est la loi canadienne qui protège les renseignements personnels dans le secteur privé. Elle s’applique notamment aux entreprises qui mettent en œuvre des technologies de vérification de l’âge dans un contexte commercial.

Diverses technologies et méthodes d’analyse sont utilisées actuellement dans les systèmes numériques de vérification de l’âge, ainsi que diverses mesures de protection. Aucun système n’est identique : la conception et la mise en œuvre, tout comme le potentiel de vulnérabilité, peuvent différer d’un système à l’autre. De plus, les risques évoluent constamment. Selon nous, la clé, c’est de s’assurer qu’il existe plusieurs moyens de défense.

Peu importe le mécanisme choisi, l’utilisateur devra au bout du compte fournir une certaine quantité de renseignements personnels. Par contre, dans tout système numérique de vérification de l’âge, il faudrait appliquer le principe de minimisation des données personnelles, de façon à réduire le couplage des données et la surveillance des personnes. Il faudrait aussi instaurer un contrôle rigoureux de l’accès  aux données des utilisateurs.

Il est également possible d’utiliser un système de jetons pour remplacer des renseignements sensibles par une chaîne de caractères aléatoire sans valeur.

Le chiffrement est un procédé utilisé pour garantir la confidentialité et assurer la sécurité des données. Lorsque les données sont chiffrées, elles peuvent être envoyées sur Internet et stockées généralement sans crainte de voir leur confidentialité compromise. Cependant, une technologie de chiffrement inappropriée ou désuète, ou encore des défauts dans sa mise en œuvre, peuvent rendre cette dernière moins efficace voire inutile. Dans ce contexte, le chiffrement n’est pas une méthode infaillible pour éliminer les risques de réidentification des utilisateurs.

Par ailleurs, l’usage de la biométrie ou de la reconnaissance faciale pour vérifier ou estimer l’âge d’un utilisateur soulève des préoccupations bien particulièressur le plan de la protection de la vie privée. Les technologies biométriques sont généralement très intrusives. De plus, leur efficacité pour ce qui est de vérifier l’âge avec exactitude reste à démontrer.

D’autres méthodes de vérification de l’âge qui ne nécessitent pas le stockage numérique de renseignements personnels pourraient également être envisagées. Par exemple, une personne pourrait faire vérifier visuellement, sur les lieux d’un point de service, sa carte d’identité délivrée par le gouvernement pour faire confirmer son âge, puis recevoir une clé ou un code vérifié qui peut être utilisé en ligne d’une manière qui ne permet pas de remonter à elle. 

Atteinte à la réputation

La vérification de l’âge s’appliquera aussi aux adultes. En l’absence de mesures de protection de la vie privée, le risque de révéler les habitudes de navigation privées d’adultes pourrait augmenter.

L’adoption de pratiques claires concernant la façon de vérifier l’âge des utilisateurs contribuera à réduire les risques de fuite, d’utilisation non autorisée ou d’atteinte à la réputation.

Conclusion

En raison de la nature des risques liés à la collecte et à l’utilisation des données nécessaires pour vérifier l’âge, il devra y avoir des exigences claires sur la protection de la vie privée, qui préciseront entre autres les mesures techniques à prendre. Il sera important que les mécanismes de vérification choisis soient conçus et mis en œuvre avec des mesures de protection de la vie privée adéquates, afin que les Canadiens aient l’assurance de pouvoir fournir leurs renseignements personnels en toute sécurité.

M. Turcotte et moi-même répondrons volontiers à vos questions.