La transformation du système de paiements canadiens : pourquoi la protection de la vie privée est essentielle à la confiance à l’égard du système de paiements et son innovation

Présentation du Commissariat à la protection de la vie privée du Canada au Groupe de travail sur l’examen du système de paiements

Septembre 2011

---

Le Commissariat à la protection de la vie privée du Canada (CPVP) surveille la conformité à la Loi sur la protection des renseignements personnels, laquelle porte sur les pratiques de gestion de l’information des ministères et organismes fédéraux, de même qu’à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), la loi fédérale applicable au secteur privé qui régit la collecte, l’utilisation ou la communication de renseignements personnels dans le cadre d’activités commerciales. La LPRPDE s’appuie sur des principes qui sont suffisamment souples pour le commerce électronique, et elle est neutre sur le plan de la technologie. En vertu de la loi, le CPVP a le mandat de protéger le droit à la vie privée des individus, à sensibiliser le public à cet égard, à faire enquête sur les plaintes, à mener des vérifications en vertu des deux lois, et à promouvoir les mesures de protection de la vie privée au Canada.

Nous sommes heureux de participer au processus de consultation du Groupe de travail sur l’examen du système de paiements (ci‑après appelé le « Groupe de travail »). Nous nous réjouissons du fait que le Groupe de travail reconnaisse la protection de la vie privée comme étant un principe directeur associé à la transformation du système de paiements lié à leur cadre de gouvernance. Nous recommandons que les renvois à la protection de la vie privée relatifs au système de paiements ne se limitent pas uniquement à reconnaître ce principe, mais que le système soit conçu de manière à respecter les obligations en matière de protection de la vie privée aux termes de la loi.

Le CPVP reconnaît que l’innovation au sein du système de paiements est un facteur qui favorise la croissance économique. Ainsi, des pratiques commerciales et des technologies, nouvelles et dynamiques, sont employées pour rehausser l’expérience des entreprises et des consommateurs. Ces innovations commerciales et technologiques recueillent, utilisent et communiquent de plus en plus de renseignements personnels relatifs aux consommateurs lors d’un paiement. Même si l’innovation souhaitée au sein du système de paiements est censée contribuer à l’efficience commerciale et économique, il importe de :

• reconnaître que la conformité à la LPRPDE est une exigence prévue par la loi et qu’elle est non négociable;
• tenir compte des lois applicables essentiellement similaires de la Colombie‑Britannique, de l’Alberta, du Québec et de l’Ontario, visant les dépositaires de renseignements personnels sur la santé;
• mettre en œuvre de solides mesures de protection de la vie privée pour l’ensemble du système de paiements;
• s’engager fermement à respecter et à protéger le droit à la vie privée des individus pour tout changement des pratiques commerciales ou des cadres de gouvernance.

Avantager l’économie numérique, et l’économie dans son ensemble, exige non seulement de respecter la relation entre l’entreprise et le consommateur et les lois relatives à la protection des données, mais aussi de reconnaître l’importance de gagner la confiance des intervenants. Le respect des obligations liées aux droits à l’information et à la vie privée sert de catalyseur pour établir la confiance et, en conséquence, favoriser la participation à la vie économique.

La participation des consommateurs suppose que les personnes aient confiance que les renseignements personnels sont recueillis, utilisés, communiqués et protégés par les organisations avec lesquelles elles transigent conformément aux loix relatives à la protection de la vie privée, et que ces données sont traitées avec le plus grand soin. Les atteintes à la protection des données, la communication inappropriée de renseignements personnels, les mesures de sécurité inadéquates ou la non-conformité aux lois relatives à la protection de la vie privée peuvent entraîner une perte de confiance du consommateur envers une organisation.

II est manifeste que le système de paiements influe sur la vie quotidienne au Canada, et que les décisions qui sont prises aujourd’hui auront un effet sur le fonctionnement du système et de notre société pendant bien des années. Le CPVP a fait part de sa vision d’une économie numérique respectueuse de la vie privée dans le cadre de la consultation menée par Industrie Canada : Vie privée, confiance et innovation — Étayer l’avantage numérique du Canada.^{Note de bas de page 1}

Le présent document souligne à quel point la façon de traiter les préoccupations en matière de protection de la vie privée dans l’ensemble du système de paiements, y compris le respect des obligations prescrites par la loi en cette matière, sert à établir la confiance et à favoriser l’innovation. Nos observations se limitent aux questions liées à la gestion de l’identité et à la protection de la vie privée touchant de nombreux aspects du système de paiements, et que le Groupe de travail devrait garder à l’esprit lors de son examen.

1 — Les paiements s’appuient sur des renseignements personnels

En 1995, un rapport de la Banque mondiale définissait les systèmes de paiements de la façon suivante :

« Les systèmes de paiements comprennent tous les systèmes imprimés et électroniques utilisés pour l’échange de valeur financière afin d’acquitter des obligations. Ils peuvent être simples (paiements comptants pour les petits achats en personne) ou complexes (paiements électroniques importants, envoyés ou reçus par les institutions financières).^{Note de bas de page 2} » [traduction]

Les renseignements personnels liés aux cartes de débit et de crédit, aux numéros de compte bancaire, aux cartes de fidélité, à l’historique des achats et aux numéros d’identification personnels (NIP) sont traités par le système de paiements. De même, les paiements effectués dans un environnement mobile ou numérique peuvent aussi comprendre des données géographiques, le moment des transactions, les adresses électroniques, l’historique de la navigation et les adresses IP.

Comme les nouvelles technologies visent à créer des gains d’efficacité et des avantages pour les intervenants dans l’écosystème des paiements, il importe de conjuguer les efforts pour veiller à ce que ces pratiques respectent les exigences prescrites par la loi sur la protection des renseignements personnels liées à la collecte, à l’utilisation et à la communication des renseignements personnels, et qu’elles utilisent des mesures de sécurité appropriées.

Au Canada, l’environnement de la carte de paiement est très robuste. Interac souligne que 9 adultes canadiens sur 10 ont une carte de débit^{Note de bas de page 3} et, qu’en 2010, les transactions par Interac approchaient les 4 billions de dollars (sauf avis contraire, tous les montants sont en dollars canadiens) et ont été en constante augmentation au cours des cinq dernières années^{Note de bas de page 4}. De plus, le Canada est l’un des cinq pays du monde qui utilisent le plus la carte de débit (en fonction des transactions par habitant)^{Note de bas de page 5}. En juillet 2011, l’Association des banquiers canadiens indiquait qu’il y avait plus de 71 millions de cartes de crédit MasterCard et Visa en circulation au Canada.^{Note de bas de page 6}

Comme l’indique le Groupe de travail dans son document de consultation « Nos modes de paiement : vers un système de paiement moderne », chaque année, au Canada, l’écosystème des paiements représente 24 milliards de paiements évalués à plus de 44 billions de dollars.^{Note de bas de page 7}

Des rapports indiquent aussi que, en 2010, les Canadiennes et Canadiens ont dépensé plus de 16,5 milliards de dollars dans les activités de commerce électronique et que ces dépenses doubleront d’ici 2015^{Note de bas de page 8}. En 2009, Statistique Canada a évalué que le commerce électronique s’élevait à 15,1 milliards de dollars^{Note de bas de page 9}.

L’engouement suscité par les appareils mobiles (les téléphones intelligents, par exemple)^{Note de bas de page 10}, la grande capacité de stockage de données des cartes de paiement^{Note de bas de page 11}, la croissance de la communication en champ proche (NFC) pour les paiements mobiles effectués dans les terminaux aux points de vente^{Note de bas de page 12}, et le développement de capacités novatrices comme les portefeuilles numériques et les paiements mobiles ne cessent de croître.

À l’échelle internationale, on prévoit que les paiements mobiles tripleront : actuellement évalués à 240 milliards de dollars, ils atteindront 670 milliards de dollars (US) d’ici 2015. On prévoit que ce type de paiement sera aussi largement utilisé au Canada^{Note de bas de page 13}. En effet, des rapports indiquent que, d’ici peu, les banques canadiennes feront l’essai de nouvelles technologies pour le système de paiements^{Note de bas de page 14}.

Le succès du système de paiements dépend grandement de la gestion responsable des renseignements personnels associés à toute transaction financière. Ainsi, pour que le système de paiements soit en mesure d’utiliser, de façon responsable, les technologies nouvelles et novatrices — l’essence même du système de paiements —, nous devons porter une attention particulière à la façon dont les renseignements personnels liés aux transactions financières sont traités tout au long du cycle de vie du processus de paiement, et veiller à ce que ces pratiques respectent les normes minimales de la LPRPDE.

2 — Les consommateurs se préoccupent de la protection de leur vie privée

Puisque les nouvelles technologies et l’innovation font partie de l’écosystème des paiements canadien, il est fondamental que tous aient confiance que ces technologies et outils sont utilisés dans le respect de la protection de la vie privée.

Dans un récent sondage effectué à la demande du CPVP^{Note de bas de page 15}, environ 9 personnes sur 10 s’inquiètent du fait que les entreprises demandent trop de renseignements personnels, n’assurent pas la sécurité des renseignements, les vendent à d’autres organisations, ou encore que leurs renseignements personnels servent à l’envoi de pourriels ou de documents de promotion non sollicités. De même, plus de 65 % des personnes sondées jugent que la protection des renseignements personnels sera l’un des enjeux les plus importants au Canada au cours des prochains dix ans^{Note de bas de page 16}.

Un rapport d’Industrie Canada sur le commerce mobile mentionne qu’une étude de KPMG révèle que 55 % des Canadiennes et Canadiens n’utilisent pas les opérations bancaires mobiles en raison des risques potentiels pour la sécurité et la protection de la vie privée^{Note de bas de page 17}. Un autre sondage, réalisé pour l’Association canadienne des télécommunications sans fil, révèle que les risques potentiels pour la sécurité sont l’une des principales raisons pour lesquelles les gens n’utilisent pas les téléphones cellulaires pour effectuer des opérations bancaires ou faire des achats^{Note de bas de page 18}.

Ces constatations démontrent clairement que les Canadiennes et Canadiens se préoccupent de la protection de la vie privée. Les organisations qui font partie du système de paiements au Canada, ou qui y participent, doivent donc respecter les obligations prescrites par la loi en cette matière. En outre, puisque la protection de la vie privée est un principe que le Groupe de travail a inscrit dans son cadre de gouvernance, le non‑respect des obligations en la matière signifie aussi le non‑respect des objectifs et des principes au cœur d’une intendance avisée de l’écosystème des paiements.

3 — Qu’est‑ce qu’un renseignement personnel?

En vertu de la LPRPDE, les renseignements personnels sont des renseignements concernant un individu identifiable. Le CPVP et les tribunaux ont adopté une approche contextuelle pour déterminer ce qui constitue un renseignement personnel dans des situations particulières^{Note de bas de page 19}. Il est facile de déterminer que certains éléments comme le nom, l’adresse ou le numéro de téléphone sont des renseignements personnels. Cependant, à l’ère du numérique, il est parfois difficile d’établir s’il s’agit de renseignements personnels en vertu de la LPRPDE^{Note de bas de page 20}. Par exemple, le CPVP a établi qu’une adresse de protocole Internet (IP) est un renseignement personnel si elle peut être associée à une personne identifiable^{Note de bas de page 21}.

En ce qui a trait plus précisément aux renseignements personnels liés aux paiements, le CPVP, dans des conclusions découlant d’enquêtes liées à différentes plaintes, a déterminé que les numéros de compte bancaire^{Note de bas de page 22}, les historiques de transactions^{Note de bas de page 23}, les numéros de carte de crédit^{Note de bas de page 24}, les adresses électroniques^{Note de bas de page 25}, les achats des consommateurs^{Note de bas de page 26}, les transactions^{Note de bas de page 27}, les renseignements sur l’adhésion et les comptes des clients dans le contexte de programmes pour grands voyageurs ou de fidélisation^{Note de bas de page 28}, ainsi que les renseignements sur les plaintes des clients^{Note de bas de page 29} sont des renseignements personnels.

Le Groupe de travail signale que les paiements électroniques contiennent des renseignements personnels, et que les transactions électroniques effectuées à l’aide d’une carte de débit ou de crédit aux terminaux des points de vente, les paiements mobiles et le commerce électronique en ligne utilisent tous des renseignements personnels^{Note de bas de page 30}.

Il faut se rappeler que le recours aux nouvelles technologies et la mise en œuvre de nouvelles solutions commerciales peuvent entraîner la collecte de renseignements personnels auxiliaires à des fins autres que le paiement.

Il importe aussi de signaler que ce qui peut sembler à l’origine comme des renseignements, anonymes ou anonymisés « inoffensifs », peuvent engendrer des données pouvant être reliées à une personne lorsqu’ils sont combinés à des renseignements émanant d’autres sources et bases de données.

Le Groupe de travail souligne qu’un des enjeux relatifs à l’environnement de paiement consiste à s’assurer que les nouvelles technologies ne portent pas atteinte au droit à la vie privée des personnes^{Note de bas de page 31}. C’est un réel problème puisqu’il est arrivé que des inscriptions électroniques, réputées anonymisées, ont été reliées à une personne identifiable lorsqu’elles étaient combinées à d’autres renseignements accessibles^{Note de bas de page 32}.

En raison de la portée, de la précision et de la quantité de renseignements personnels recueillis, utilisés et communiqués pour les paiements, il est impératif que les intervenants du système de paiements comprennent et respectent leurs obligations en vertu de la LPRPDE et des lois provinciales applicables. En outre, les options offertes par le système de paiements doivent respecter le droit des personnes à la vie privée et à la protection de leurs renseignements personnels.

4 — Mise en place d’importants mécanismes de protection de la vie privée conformément à la LPRPDE et aux lois provinciales applicables

L’élaboration et la mise en place d’un cadre de gouvernance qui soutient les politiques et procédures en vigueur pour protéger la vie privée au sein du système de paiements constitue un élément essentiel de la transition vers l’économie numérique.

Le Groupe de travail a établi 12 principes — y compris la protection des renseignements personnels — qui sont « au cœur d’une intendance avisée de l’écosystème des paiements^{Note de bas de page 33} ».

En matière de protection de la vie privée, la LPRPDE définit les pratiques de traitement des renseignements prescrites par la loi que doivent suivre les organisations qui recueillent, utilisent et communiquent des renseignements personnels dans le cadre d’activités commerciales. L’annexe 1 de la Loi fait état des 10 principes relatifs à l’équité dans le traitement de l’information suivants : (i) responsabilité; (ii) détermination des fins de la collecte des renseignements; (iii) consentement; (iv) limitation de la collecte; (v) limitation de l’utilisation, de la communication et de la conservation; (vi) exactitude; (vii) mesures de sécurité; (viii) transparence; (ix) accès aux renseignements personnels; (x) possibilité de porter plainte à l’égard du non‑respect des principes^{Note de bas de page 34}.

L’intendance avisée de l’écosystème des paiements exige l’entière satisfaction des principes de la LPRPDE et des lois provinciales essentiellement similaires. La conformité aux lois relatives à la protection de la vie privée n’est pas seulement une obligation légale à laquelle doit se plier l’industrie, mais une nécessité pour que les intervenants au sein du système de paiements, tant les personnes que les organisations, puissent continuer à faire confiance à la gouvernance du système de paiements et aux cadres d’exploitation. Sans cette confiance, les personnes peuvent être réticentes à utiliser les nouvelles technologies, et l’industrie peut se méfier de l’infrastructure des paiements, ce qui peut nuire aux occasions d’innovation et de croissance.

La section suivante donne un aperçu de certains des principes dont il faut particulièrement tenir compte dans le cadre du document de consultation du Groupe de travail sur l’innovation et la transition du système de paiements au Canada.

Responsabilité

En vertu de la LPRPDE, « une organisation est responsable des renseignements personnels dont elle a la gestion et doit désigner une ou des personnes qui devront s’assurer du respect des principes énoncés ci-dessous^{Note de bas de page 35} ».

Les organisations doivent démontrer qu’elles rendent des comptes à leurs clients et qu’elles ont instauré des politiques, procédures et cadres de gestion de la protection de la vie privée appropriés qui atténuent les risques, protègent leurs clients et montrent qu’elles respectent les exigences prescrites par la loi.

Par exemple, les organisations doivent élaborer des politiques relatives à la formation pour que tous leurs employés comprennent leurs obligations en matière de protection de la vie privée. De plus, les politiques, les procédures et les programmes en matière de formation doivent être mis à jour afin de répondre aux exigences et aux obligations actuelles de l’organisation. Comme l’indiquait le rapport annuel au Parlement de 2010 concernant la LPRPDE, un récent sondage effectué pour le CPVP a révélé que seulement 37 % des entreprises offrait une formation en matière de protection de la vie privée aux employés — un résultat qui doit être amélioré pour renforcer le respect des obligations prévues par la LPRPDE et protéger la vie privée de façon efficace^{Note de bas de page 36}.

Détermination des fins de la collecte des renseignements et consentement

Selon le principe de la détermination des fins de la collecte des renseignements, « les fins auxquelles des renseignements personnels sont recueillis doivent être déterminées par l’organisation avant la collecte ou au moment de celle-ci^{Note de bas de page 37} ». Le principe relatif au consentement est le suivant : « Toute personne doit être informée de toute collecte, utilisation ou communication de renseignements personnels qui la concernent et y consentir, à moins qu’il ne soit pas approprié de le faire^{Note de bas de page 38}. »

Ces deux principes sont étroitement liés. Sans une détermination appropriée des fins auxquelles serviront les renseignements personnels, il y a lieu de se demander si la personne a bel et bien été informée et si elle a donné son consentement.

En raison de l’omniprésence du système de paiements et du volume de renseignements personnels associés aux paiements, il faut, en vertu de la LPRPDE, déterminer les fins de la collecte de ces renseignements, établir la façon dont ils seront utilisés et communiqués, et informer les personnes concernées de ces fins pour obtenir un consentement valable. Pour ce faire, on peut avoir recours à des moyens flexibles et novateurs, pourvu qu’ils soient utiles aux consommateurs et qu’ils leur offrent un choix et un contrôle véritables. Le non‑respect de ces exigences ne constitue pas seulement une infraction à la Loi, il peut miner la confiance du consommateur et compromettre sa participation au système de paiements.

Même si la nature évolutive du système de paiements entraîne certains défis à cet égard, en particulier pour l’environnement mobile, la connaissance et le consentement sont exigés en vertu de la loi. Les nouvelles fins associées à la collecte, à l’utilisation et à la communication des renseignements doivent être déterminées, et le consentement de la personne doit être obtenu au préalable.

L’obtention d’un consentement valable est une condition inhérente au respect des attentes des personnes à l’égard de la protection de la vie privée. La connaissance et le consentement relativement à la collecte, à l’utilisation ou à la communication des renseignements personnels constituent la pierre angulaire de la LPRPDE et l’un des moyens par lesquels les personnes peuvent exercer un certain contrôle sur leurs renseignements personnels.

Sans le respect de ces obligations en matière de protection de la vie privée, il pourrait être plus difficile de gagner pleinement la confiance du consommateur.

L’importance de la connaissance et du consentement dans une société numérique a été soulignée par le CPVP dans son rapport annuel de 2010 concernant la LPRPDE. Le rapport indique que, de 2009 à 2010, le pourcentage de plaintes liées au consentement a augmenté de 10 % à 20 %, ce qui est attribuable en partie au nombre croissant de plaintes en ligne.

Transparence

En vertu de la LPRPDE, la transparence signifie qu’« une organisation doit faire en sorte que des renseignements précis sur ses politiques et ses pratiques concernant la gestion des renseignements personnels soient facilement accessibles à toute personne^{Note de bas de page 39} ».

Le Groupe de travail rappelle que le système de paiements est complexe, que les nouvelles technologies créent à la fois des possibilités et des défis^{Note de bas de page 40}, et qu’un certain nombre d’intervenants sont impliqués^{Note de bas de page 41}. Dans ce contexte, il est très important que les organisations établissent clairement des pratiques de gestion de l’information et des politiques transparentes de protection de la vie privée afin que les consommateurs puissent comprendre la façon dont leurs renseignements personnels sont traités au cours du processus de paiements.

La compréhension d’un système aussi complexe que celui des paiements n’est pas à la portée de tous. Il peut s’avérer difficile pour les consommateurs de bien saisir la façon dont leurs renseignements personnels sont traités au cours du processus de paiement. Par conséquent, il est essentiel que les politiques de protection de la vie privée des organisations qui font partie ou qui participent au système de paiements du Canada soient accessibles, transparentes et faciles à comprendre. Ces politiques servent à renseigner les gens sur la façon dont l’industrie des paiements fonctionne, et sur les recours qui s’offrent à eux s’ils jugent que leur droit à la vie privée a été brimé ou s’ils veulent demander des corrections à leur dossier de renseignements personnels.

Un rapport entreprise‑consommateur responsable et efficace s’appuie sur des pratiques de protection de la vie privée qui émanent de politiques facilement accessibles, et des pratiques de gestion de l’information faciles à comprendre.

Limitation de la collecte

Ce principe de la LPRPDE est le suivant : « L’organisation ne peut recueillir que les renseignements personnels nécessaires aux fins déterminées et doit procéder de façon honnête et licite^{Note de bas de page 42}. »

Grâce aux avancées technologiques, il est plus facile et moins coûteux de recueillir et de stocker les données. La collecte et le stockage d’un grand volume de renseignements personnels peuvent porter inutilement atteinte à la vie privée, et entraîner d’importantes conséquences pour l’industrie et les consommateurs.

Le système de paiements repose sur des renseignements personnels de nature délicate. Les risques liés aux atteintes à la protection des données ont des conséquences sur la vie des consommateurs, pour ce qui est du temps, des efforts et des répercussions possibles sur la réputation. Le fait d’adopter des pratiques de gestion de l’information bien définies, limitant la collecte de renseignements personnels à ce qui est nécessaire à l’exécution d’une opération financière, peut atténuer ces risques et démontrer un engagement à l’égard du droit à la vie privée du consommateur.

Limitation de l’utilisation, de la communication et de la conservation

Ce principe de la LPRPDE se libelle ainsi : « Les renseignements personnels ne doivent pas être utilisés ou communiqués à des fins autres que celles auxquelles ils ont été recueillis à moins que la personne concernée n’y consente ou que la loi ne l’exige. On ne doit conserver les renseignements personnels qu’aussi longtemps que nécessaire pour la réalisation des fins déterminées^{Note de bas de page 43}. »

Les nouvelles technologies peuvent offrir de nouveaux moyens d’utiliser les renseignements personnels après leur collecte. Il est important que les renseignements personnels ne soient pas utilisés ni communiqués à des fins autres que celles auxquelles ils ont été recueillis pour éviter toute possibilité de détournement d’usage. Les consommateurs doivent être assurés que leurs renseignements ne sont utilisés que pour les fins auxquelles ils ont donné leur consentement.

Dans un environnement où les capacités et les options de stockage augmentent et où les coûts diminuent, il peut être tentant de faire abstraction de l’exigence de mettre en place des politiques de conservation et de retrait en vertu des lois applicables en matière de protection de la vie privée. La conservation des renseignements personnels des utilisateurs doit être rigoureusement limitée à la période nécessaire à la réalisation des fins déterminées de manière à atténuer les risques pour la vie privée associés aux atteintes à la protection des données.

Mesures de sécurité

En vertu de ce principe, les organisations assujetties à la Loi ont la responsabilité suivante : « Les renseignements personnels doivent être protégés au moyen de mesures de sécurité correspondant à leur degré de sensibilité^{Note de bas de page 44}. »

De nouvelles menaces à la sécurité des renseignements personnels résultent de l’introduction et de l’adoption de nouvelles technologies, comme les téléphones intelligents. Des rapports récents ont souligné l’augmentation des maliciels ciblant les appareils mobiles, des menaces aux systèmes de paiements en ligne, des risques potentiels pour la sécurité liés aux applications financières, et des risques potentiels liés aux nouveaux lecteurs de carte de crédit sur téléphone mobile^{Note de bas de page 45}. Les acteurs malveillants emploient diverses méthodes pour obtenir, de façon illicite, des renseignements. Outre les intrusions techniques, ils peuvent aussi lancer des attaques d’ingénierie sociale comme l’hameçonnage^{Note de bas de page 46}.

Compte tenu des renseignements personnels que les nouvelles technologies de paiements sont en mesure de traiter, elles doivent être déployées de manière à protéger les renseignements personnels et l’intégrité du système de paiements en général. Il faut que les organisations se préoccupent des multiples aspects de la sécurité, y compris les mesures de sécurité techniques, les mesures physiques et les mesures relatives aux procédures. Ces mesures de sécurité doivent être constamment mises à l’essai, examinées et modifiées pour s’assurer de leur efficacité et de leur adaptation aux nouvelles menaces.

L’évaluation des facteurs relatifs à la vie privée est une mesure proactive qui peut aider à traiter les risques éventuels liés à la protection des renseignements personnels et à la sécurité puisqu’elle permet^{Note de bas de page 47} :

• de repérer tous les renseignements personnels liés à un programme ou à un service, et d’examiner la façon dont ils seront utilisés;
• de déterminer l’endroit où les renseignements personnels sont acheminés après leur collecte;
• de cerner les risques d’entrave à la vie privée et d’en déterminer le degré;
• de trouver des façons d’éliminer ou d’atténuer les risques relatifs à la vie privée.

L’évaluation des facteurs relatifs à la vie privée est un outil essentiel à la protection générale de la vie privée et à l’évaluation des risques. Comme l’innovation est stimulée par les nouvelles solutions technologiques, l’évaluation des facteurs relatifs à la vie privée peut jouer un rôle important au sein du processus global de gestion du risque entourant la mise en œuvre de nouvelles technologies dans le domaine du système de paiements au Canada.

5 — Considérations liées à l’identité au sein du système de paiements

À titre de pratique exemplaire, seuls les renseignements essentiels de base devraient être utilisés au cours du processus d’identification et d’authentification. Les protocoles établis doivent être fonction du besoin de savoir, peu importe la méthode de paiement choisie par la personne.

Les gens doivent avoir accès à divers modes de paiement et pouvoir, dans certains cas, en privilégier un plutôt qu’un autre. Par exemple, une personne qui achète un guide sur la dépression peut souhaiter le payer comptant pour éviter de laisser une trace écrite de cet achat.

Il est entendu que dans certains cas, en réponse à des exigences liées à la lutte contre le recyclage de l’argent ou à la connaissance des clients, certaines obligations relatives à l’authentification sont prescrites par la loi. Cependant, ces obligations ne doivent pas mener à une collecte excessive de renseignements personnels non exigés par la loi.

Les principes indiqués dans les Lignes directrices en matière d’identification et d’authentification du CPVP^{Note de bas de page 48} et dans le document Principes d’authentification électronique — cadre canadien d’Industrie Canada^{Note de bas de page 49} énoncent un certain nombre de questions essentielles à considérer relativement à l’identification et à l’authentification. Même si ces documentssont toujours pertinents, les changements importants survenus au plan technologique et social nous invitent à élargir et à raffiner notre réflexion.

À mesure que des systèmes de gestion de l’identité sont conçus pour le système de paiements, les principes clés de la LPRPDE représentent une norme légale minimale qui contribue à bâtir et à soutenir un système d’identification et d’authentification numérique respectueux de la vie privée. Si cette étape n’est pas faite avec soin, un tel système risque de porter gravement atteinte à la vie privée.

6 — L’infonuagique et le système de paiements

Bon nombre d’organisations ont recours à l’infonuagique dans le cadre de leur stratégie commerciale globale. Même si l’infonuagique peut accroître l’efficacité, des questions se posent concernant la sécurité des renseignements personnels, les instances responsables, la mauvaise utilisation des données, leur permanence et leur propriété, et l’accès aux renseignements par des tiers^{Note de bas de page 50}. La LPRPDE n’interdit pas la circulation transfrontalière des données, mais elle contient des dispositions pour garantir le respect du droit à la vie privée par des moyens appropriés, y compris les obligations contractuelles qui garantissent un degré comparable de protection des renseignements.

Le CPVP a publié un document de consultation sur les questions relatives à la protection de la vie privée en lien avec les nouvelles technologies, notamment l’infonuagique^{Note de bas de page 51}. Comme les systèmes de paiements peuvent inclure des solutions d’infonuagique, la loi fédérale relative à la protection de la vie privée énonce clairement que les organisations demeurent responsables de la protection des renseignements personnels de leurs clients, et que leurs pratiques de gestion de l’information doivent être transparentes.

Pour ce faire, on peut utiliser un certain nombre de solutions. Par exemple, une organisation peut ajouter des dispositions contractuelles pour s’assurer que les tiers ont des politiques et des processus en vigueur pour protéger les renseignements.

Le CPVP a publié de la documentation sur son site Web concernant les répercussions de la circulation transfrontalière des données et de l’infonuagique sur la protection de la vie privée qui pourrait aider les participants au système de paiements à comprendre leurs droits et leurs obligations en vertu de la LPRPDE^{Note de bas de page 52}.

7 — Le cadre de gouvernance proposé par le Groupe de travail

Le Groupe de travail propose un cadre de gouvernance qui prévoit un organisme de surveillance des paiements, composé de représentants de diverses provenances, chargé de la responsabilité et de la surveillance. Un organisme de surveillance vraiment efficace doit compter en son sein des représentants de la communauté de la protection de la vie privée, notamment des praticiens et des défenseurs du droit à la vie privée. Un large éventail d’experts indépendants en matière de protection de la vie privée sera apte à surveiller la protection des données personnelles.

Le Groupe de travail propose aussi le dépôt d’une loi propre aux paiements qui établirait des normes minimales pour l’industrie.

Le CPVP souhaite insister sur le fait que les normes volontaires de l’industrie relatives aux renseignements personnels doivent respecter les exigences légales minimales prévues par la LPRPDE et les lois provinciales applicables en cette matière.

Si une nouvelle loi est à l’étude, il faut bien considérer les obligations en matière de protection de la vie privée. Avant de présenter toute mesure liée à la protection des renseignements personnels, un examen exhaustif doit être effectué afin d’évaluer et de traiter correctement les rôles, les responsabilités et les instances responsables déjà établis en vertu des cadres législatifs et réglementaires existants.

Enfin, la poursuite des consultations publiques est une étape importante pour favoriser les échanges et comprendre les questions relatives à la protection de la vie privée soulevées par le système de paiements. Un système ouvert et participatif profitera des échanges dans lesquels seront inclus un large éventail d’intervenants du domaine de la protection de la vie privée. Le dialogue peut générer des solutions aux défis que posent les transactions de paiement numérique pour la protection des données.

8 — Connaissances en matière de protection de la vie privée à l’ère numérique

Le rapport annuel 2010 du CPVP concernant la LPRPDE souligne que les connaissances des Canadiennes et Canadiens en matière de protection de la vie privée doivent correspondre à leurs connaissances numériques^{Note de bas de page 53}. Autrement dit, la capacité du consommateur à naviguer dans un environnement en ligne tout en protégeant sa vie privée est un élément essentiel des connaissances numériques. Les consommateurs et les entreprises ont besoin d’améliorer leurs connaissances en matière de protection de la vie privée pour que les renseignements personnels soient protégés efficacement dans l’économie numérique.

Industrie Canada a publié un rapport au cours de l’hiver 2010 intitulé Commerce mobile — nouvelles expériences et questions en matière de consommation. Une partie de ce rapport portait sur l’adoption des appareils mobiles par les jeunes. Il y était question d’une étude qui révélait que, en 2005, 80 % des activités de commerce électronique des jeunes japonais âgés de 15 à 19 ans avaient été faites à partir d’un téléphone cellulaire^{Note de bas de page 54}.

Le besoin d’améliorer les connaissances en matière de protection de la vie privée dans l’univers en ligne est essentiel pour toutes les personnes faisant partie de l’écosystème des paiements. Même si les jeunes sont les plus enclins à adopter les nouvelles technologies, les utilisateurs de tous âges doivent posséder les outils nécessaires pour comprendre et gérer la façon dont leurs renseignements sont recueillis, utilisés et communiqués, notamment en ligne et dans le marketing mobile. Nous savons aussi que les jeunes souhaitent connaître les outils leur permettant d’exercer un contrôle sur leurs renseignements personnels. Par conséquent, les activités et les outils de diffusion destinés aux jeunes, s’ils sont correctement conçus, seront bien accueillis par ceux‑ci^{Note de bas de page 55}.

Étant donné la portée et le caractère sensible des renseignements personnels utilisés par le système de paiements, le Groupe de travail doit explorer la possibilité d’élaborer une stratégie d’information et de sensibilisation destinée aux consommateurs, y compris les jeunes.

9 — Conclusion

Le Groupe de travail présente quatre scénarios qui permettent d’analyser les possibilités et les défis relatifs au système de paiements au Canada.

Le Commissariat recommande vivement que toute démarche visant à transformer le système de paiements tienne compte de l’importance d’intégrer les exigences prévues par la LPRPDE en matière de protection de la vie privée dans tout le système de paiements. Il s’agit d’un pilier nécessaire à la participation des entreprises et des consommateurs qui favorise l’innovation.

Selon Industrie Canada^{Note de bas de page 56} :

« Étant donné la nature vague et impersonnelle du commerce électronique, il apparaît essentiel de pouvoir réduire ou éliminer les risques. Il est indispensable de garantir la sécurité, le respect de la vie privée et la protection du consommateur, si l’on veut instaurer la confiance dans le commerce électronique, tant dans les entreprises que parmi les consommateurs. »

Le Commissariat est heureux de participer à cette consultation et serait ravi de poursuivre les discussions avec le Groupe de travail concernant l’importance des exigences législatives en matière de protection de la vie privée pour le système de paiements.

NOTES EN FIN DE TEXTE