Les consommateurs et la COVID-19

Allocution prononcée à la journée de conférences virtuelles d’Option consommateurs

Le 25 mars 2021

Allocution de Daniel Therrien
Commissaire à la protection de la vie privée du Canada

(Le texte prononcé fait foi)

---

Introduction

Bonjour. D’abord, je remercie Option consommateurs de m’avoir invité à venir vous parler de la vie privée en temps de pandémie.

Depuis plus de dix ans, le Commissariat à la protection de la vie privée du Canada entretient une relation privilégiée avec Option consommateurs. Vous avez toujours été à l’avant-garde des nouveaux enjeux liés à la protection de la vie privée. Votre association a grandement contribué à la recherche et à la sensibilisation en ces matières au Québec et au Canada.

En accordant une attention particulière aux groupes vulnérables, le travail d’Option consommateurs a sans aucun doute contribué à mieux protéger la vie privée de nombreuses personnes.

Risques et avantages des technologies en temps de pandémie

La pandémie a soulevé de nombreux enjeux sur le plan de la protection des renseignements personnels.

Les technologies ont été très utiles pour freiner la propagation de la COVID-19. Elles nous ont permis de poursuivre nos activités essentielles de façon sécuritaire. La pandémie a grandement accéléré la révolution numérique qui déjà se produisait à un rythme effréné.

Cependant, les technologies numériques présentent aussi de nouveaux risques pour la vie privée. Par exemple, si la plateforme virtuelle utilisée en télémédecine fait intervenir une entreprise commerciale, il y a un risque de violation du secret professionnel entre le médecin et le patient.

De même, des plateformes d’éducation en ligne peuvent recueillir des renseignements sensibles sur les difficultés d’apprentissage des élèves ou leur comportement.

La numérisation est également considérée comme un moyen privilégié pour relancer l’économie. Cela n’est pas une mauvaise chose, en autant que nous nous dotions de lois adaptées à cet environnement et capables de bien protéger nos droits.

Mesures exceptionnelles en temps de pandémie

La pandémie n’a pas seulement accéléré le recours aux technologies, elle nous a emmené comme sociétés à envisager des mesures qui normalement auraient été jugées inacceptables parce que contraires aux droits.

Je pense entre autres aux applications de traçage et aux conversations plus récentes sur les passeports vaccinaux.

Notre approche à ce sujet a été qu’en temps de crise, il faut appliquer les lois de façon souple et contextuelle, mais qu’il faut continuer à les appliquer. La protection de la vie privée ne doit pas être un obstacle à la santé publique, mais la crise sanitaire ne doit pas non plus être utilisée pour écarter les droits.

Nous avons traduit cette approche dans un cadre d’évaluation des initiatives en réponse à la pandémie ayant une incidence importante sur la vie privée, puis dans une déclaration commune avec mes collègues des provinces et territoires.

Conformément à ce cadre, nous avons donné un avis favorable au déploiement de l’application Alerte Covid à des fins de protection de la santé publique. Nous notions cependant le risque que les entreprises exigent d’être informées des données se trouvant dans l’appli, comme condition préalable à l’accès à certains services. Il y avait donc un risque que la finalité de l’application soit détournée; risque éliminé au Québec, mais pas dans d’autres provinces, suite à un décret adopté par le gouvernement.

Des considérations semblables s’appliquent aux passeports vaccinaux. Il existe au Québec un registre de vaccination, créé à des fins de santé publique. Est-ce que la preuve de vaccination devrait être utilisée à d’autres fins, dont l’accès aux services? En fonction de notre cadre et donc des principes reconnus en matière de vie privée, cela ne devrait être possible que si cette mesure satisfait aux critères de la nécessité et de la proportionnalité, lesquels exigent que la mesure soit fondée sur la science.

Or, il semble que la science n’ait pas de réponse claire, du moins en ce moment, à savoir si les vaccins contre la COVID sont efficaces pour réduire la transmission de la maladie aux personnes autres que la personne vaccinée. Au niveau fédéral, la Scientifique en chef du Canada doit publier un rapport prochainement sur le mérite scientifique des passeports vaccinaux, et à quelles fins. J’attendrai de lire ce rapport avant de me prononcer.

Contexte

La technologie et les données ont donc été très utiles dans la gestion de la pandémie et elles seront sans doute des éléments importants de la reprise.

Je suis convaincu qu’il est possible de réaliser à la fois la protection de la vie privée et l’innovation technologique. Ce ne sont pas des valeurs contradictoires et elles peuvent coexister. C’est une question de conception, des produits comme des lois.

Mais, une reprise fondée sur l’innovation ne sera durable que si l’on protège bien les intérêts et les droits de tous les citoyens. Nos lois peuvent et doivent assurer cette protection.

Or, nous avons présentement deux projets de loi, au Québec et au Canada, qui visent à moderniser des lois qui en ont bien besoin.

Réforme législative

Au niveau fédéral, le projet de loi C-11 introduit la Loi sur la protection de la vie privée des consommateurs, pour remplacer la loi existante qui régit le secteur privé.

Le gouvernement a énoncé des objectifs importants pour le projet de loi : augmenter le contrôle qu’ont les consommateurs sur leurs données; permettre une innovation responsable; et créer des voies de recours rapides et efficaces, notamment en permettant l’imposition de sanctions financières importantes. Des objectifs que je soutiens mais qui malheureusement, selon mon analyse des dispositions du projet de loi, ne seraient pas atteints.

Le contrôle

Prenons le cas du contrôle. Le projet de loi veut l’augmenter, entre autres en reprenant certains éléments de nos lignes directrices sur le consentement, mais il omet un aspect important de la loi actuelle, soit l’idée qu’un consentement valable exige que la personne qui le donne soit à même de comprendre les conséquences de son geste.

De plus, les avis de confidentialité qui servent d’assises au consentement pourraient toujours décrire les fins pour lesquelles les entreprises veulent utiliser les données de façon vague, sinon obscure.

L’obligation faite dans d’autres lois de préciser des fins « déterminées, explicites et légitimes » n’apparait pas au projet de loi C-11.

À mon avis, le contrôle des consommateurs serait moindre qu’en vertu de la loi actuelle.

L’accès à des recours rapides et efficaces

Le projet de loi vise à faire appliquer ses dispositions par le biais de recours rapides et efficaces.

Dans plusieurs pays, cela passe par l’octroi à l’autorité administrative compétente de pouvoirs d’ordonnance de conformité et d’imposition de sanctions pécuniaires importantes.

Les dispositions prévues à cet effet dans le projet de loi 64 du Québec sont excellentes. On ne peut pas en dire autant de celles énoncées dans le projet de loi fédéral.

Premièrement, seules quelques infractions à la loi seraient passibles de pénalités administratives. Ni les obligations se rapportant à la forme ou à la validité du consentement, ni les nombreuses exceptions à l’obligation d’obtenir le consentement, pourtant au cœur de la protection des renseignements personnels, ne sont du nombre.

La violation du principe de la responsabilité, censé être un contrepoids important à la souplesse accrue accordée aux organisations dans le traitement des données, ne sont pas mentionnées non plus.

Le projet de loi C-11 crée également un palier décisionnel supplémentaire sous la forme d’un Tribunal de protection des renseignements personnels et des données. Ce dernier serait chargé d’imposer les sanctions pécuniaires et d’instruire les appels interjetés contre les décisions du Commissariat.

Nous estimons que la création de ce tribunal, qui n’existe sous cette forme nulle part ailleurs, créerait pour les consommateurs des délais inutiles, les tribunaux judiciaires étant parfaitement capables de contrôler la légalité des décisions du CPVP.

Pire, cela inciterait les entreprises à choisir des voies d’appel plutôt que de trouver un terrain d’entente avec le Commissariat lorsque ce dernier s’apprête à rendre une décision défavorable.

Par conséquent, nous sommes d’avis que l’ajout de ce tribunal ne ferait que retarder l’accès à la justice pour les consommateurs.

Au Québec, en vertu du projet de loi 64, il n’y aurait ni retard causé par un nouveau palier décisionnel ni limite indue quant aux infractions passibles de pénalités administratives.

L’innovation responsable

Nous sommes d’accord avec le gouvernement que la loi devrait rehausser la confiance des consommateurs et optimiser le potentiel de la révolution numérique pour le développement socio-économique. Nous avons constaté les avantages de la technologie lors de la pandémie.

Une loi moderne devrait favoriser l’innovation responsable en permettant aux entreprises d’utiliser les données pour le bien commun. Ainsi, le projet de loi prévoit de nouvelles exceptions au consentement, donnant ainsi une plus grande souplesse aux entreprises.

Nous croyons que l’adoption de nouvelles exceptions au consentement est une voie raisonnable. Dans l’économie numérique complexe qui est la nôtre, il n’est souvent ni réaliste ni raisonnable de demander aux individus de consentir à toutes les utilisations possibles de leurs données. Le rapport de force est trop inégal.

Avec le projet de loi C-11, les problèmes sont de divers ordres. Premièrement, certaines des nouvelles exceptions sont trop larges ou mal définies pour réaliser l’innovation responsable. Deuxièmement, la nouvelle souplesse accordée aux entreprises n’est pas accompagnée d’une responsabilité accrue. Enfin, cette souplesse devrait selon nous s’exercer dans le cadre d’une loi qui reconnait la vie privée comme un droit de la personne. Or, tel n’est pas le cas en vertu du projet de loi C-11.

Une fondation axée sur les droits

Commençons par ce dernier élément. Le point de départ de toute réforme devrait être d’enchâsser le droit à la vie privée comme un droit de la personne et en tant qu’élément essentiel à l’exercice d’autres droits fondamentaux. Cela, parce qu’il a été démontré à de nombreuses reprises que les technologies numériques ont servi à violer ces droits.

Une loi fondée sur les droits reconnaîtrait la nature fondamentale du droit à la vie privée et l’établirait d’une manière moderne et durable.

À tout le moins, la loi devrait édicter des normes objectives adoptées démocratiquement dans l’intérêt public, qui garantissent aux consommateurs que leur participation au monde numérique ne dépendrait plus de leur « consentement » à des règles imposées unilatéralement par le secteur privé.

C’est l’approche que j’ai mise de l’avant dans mes rapports des deux dernières années au Parlement fédéral.

Plusieurs des propositions du projet de loi 64 vont dans ce sens. Par exemple, le projet de loi prévoit des dispositions encadrant le profilage et protégeant le droit à la réputation. Il assujettit les partis politiques aux dispositions de la loi sur le secteur privé.

Des exceptions au consentement trop larges ou mal définies

C’est à l’aide de nouvelles exceptions au consentement que le projet de loi vise à conférer une plus grande souplesse aux organisations. Toutefois, certaines de ces exceptions sont trop larges ou mal définies pour favoriser l’innovation responsable.

Par exemple, une nouvelle exception est fondée uniquement sur l’impossibilité pratique d’obtenir le consentement. Une telle démarche viderait de son sens le principe du consentement.

Selon nous, il serait de beaucoup préférable pour l’innovation responsable d’adopter, comme nous l’avons recommandé dans notre récent rapport sur l’intelligence artificielle, une exception au consentement fondée sur les intérêts commerciaux légitimes, dans le cadre d’une loi axée sur les droits de la personne. Étrangement, le projet de loi ne propose pas cette mesure qui serait favorable aux organisations.

Une nouvelle souplesse sans responsabilité accrue

La plus grande souplesse accordée aux organisations dans l’utilisation des données devrait normalement s’accompagner d’une responsabilité accrue. Même l’industrie reconnait ce principe depuis longtemps.

Or, nous sommes d’avis que le principe actuel de responsabilité est affaibli dans le projet de loi fédéral. Celui-ci ne définit pas le concept de responsabilité de façon normative, comme le fait le projet de loi 64 au Québec, en édictant l’obligation d’adopter des politiques et des procédures visant à assurer le respect de la loi. Le projet de loi fédéral définit plutôt la responsabilité de façon descriptive, comme l’ensemble des procédures que les entreprises choisissent de mettre en place. Il s’agit en fait d’une forme d’autoréglementation.

Enfin, dans un monde où les entreprises se verraient accorder une plus grande flexibilité dans l’utilisation des données personnelles, il serait normal selon nous que ces entreprises puissent faire l’objet de vérifications proactives visant à s’assurer qu’elles utilisent cette souplesse de façon responsable, conformément à la loi.

C’est ce que prévoit la loi du Québec, comme celles de plusieurs autres juridictions, qui donne à la Commission d’accès à l’information le pouvoir d’exiger tout renseignement ou document afin de vérifier le respect de la loi. Le projet de loi fédéral ne permettrait pas au Commissariat de procéder à ces vérifications.

Conclusion

Ces dernières années nous ont ouvert les yeux sur les avantages emballants et les risques préoccupants des nouvelles technologies pour nos valeurs et nos droits. Cela est encore plus évident depuis le début de la pandémie.

Les questions auxquelles nous faisons face sont complexes, mais la voie à suivre est claire. Comme société, nous devons projeter nos valeurs dans nos lois sur le numérique. Nos citoyens s’attendent à rien de moins de la part de leurs institutions publiques. C’est à cette condition que la confiance en l’économie numérique, abîmée par de nombreux scandales, reviendra.

Tout n’est pas perdu. S’il fait l’objet d’importants amendements, le projet de loi C-11 pourrait devenir un texte législatif solide qui protègera efficacement la vie privée des Canadiens.

Il est prévu que je rencontre le ministre Champagne à ce sujet, ce qui démontre une ouverture de sa part. J’espère aussi travailler avec le Parlement en ce sens.

Les mois à venir seront déterminants pour la protection de la vie privée au Canada.