La vie privée et les passeports vaccinaux relatifs à la COVID-19

Déclaration commune des commissaires fédéral, provinciaux et territoriaux à la protection de la vie privée

Le 19 mai 2021

Contexte

Certains gouvernements et certaines entreprises envisagent de se tourner vers le passeport vaccinal^{Note de bas de page 1} comme moyen permettant de revenir à ce qui ressemblerait un peu plus à une vie normale. Les commissaires à la protection de la vie privée du Canada ont décidé d’émettre, dès maintenant, une déclaration à cet égard dans le but de veiller à ce que les considérations relatives à la protection de la vie privée soient traitées en amont de toute démarche pour élaborer un tel passeport.

Si le passeport vaccinal peut se présenter sous différentes formes, comme un certificat numérique sur un téléphone intelligent accessible à partir d’une application ou encore un certificat papier, son objectif principal consiste à fournir à une personne donnée un moyen officiel de prouver qu’elle est vaccinée afin de voyager, d’obtenir des services ou d’avoir accès à certains lieux. Les partisans d’une telle approche justifient cette mesure en s’appuyant sur l’idée selon laquelle les personnes vaccinées ont un risque d’infection significativement réduit et ont moins de risque de transmettre la maladie aux autres^{Note de bas de page 2}. Pour autant que des éléments probants attestent de leur efficacité, les passeports vaccinaux pourraient apporter des bienfaits importants ayant une incidence considérable, dont une augmentation des libertés de la personne, une réduction des restrictions imposées par rapport aux rassemblements et l’accélération de la reprise économique, résultant d’une plus grande participation à la vie en société.

Par essence, un passeport vaccinal suppose que l’on demandera ou exigera des individus qu’ils communiquent des renseignements personnels sur leur santé – c’est-à-dire leur statut vaccinal ou immunitaire – en échange de biens, de services ou d’un accès à certains lieux. Bien que cela puisse en soi présenter de grands avantages sur le plan de la vie publique, il n’en demeure pas moins qu’il s’agit d’un empiétement sur les libertés civiles qui ne devrait être envisagé qu’après un examen attentif. La présente déclaration met l’accent sur les considérations relatives à la protection de la vie privée.

Les passeports vaccinaux doivent être élaborés et mis en œuvre dans le respect des lois applicables sur la protection des renseignements personnels. Ces passeports doivent également intégrer les pratiques exemplaires en la matière pour assurer le niveau le plus élevé de protection en fonction de la sensibilité des renseignements personnels sur la santé qui seront recueillis, utilisés ou communiqués.

Avant toute chose, et en raison de risques importants pour la vie privée, il convient d’établir la nécessité, l’efficacité et la proportionnalité des passeports vaccinaux pour chacun des contextes dans lesquels ils seront utilisés.

• Nécessité : Les passeports vaccinaux doivent être nécessaires pour atteindre chacun des objectifs prévus en matière de santé publique. Leur nécessité doit être fondée sur des éléments probants et il ne doit exister aucune autre mesure moins intrusive qui serait tout aussi efficace pour atteindre les fins visées.
• Efficacité : Les passeports vaccinaux doivent être susceptibles d’être efficaces dès le départ pour atteindre chacun de leurs objectifs et doivent demeurer efficaces tout au long de leur cycle de vie.
• Proportionnalité : Les risques d’atteinte à la vie privée associés aux passeports vaccinaux doivent être proportionnels à chacun des objectifs de santé publique qu’ils visent à atteindre. Il convient d’appliquer le principe de minimisation des données de telle sorte que seuls les renseignements personnels sur la santé qui sont strictement nécessaires soient recueillis, utilisés ou communiqués.

La nécessité, l’efficacité et la proportionnalité des passeports vaccinaux doivent faire l’objet de mesures de surveillance en continu afin de veiller à ce que leur utilité demeure justifiée. Il faudra également mettre ces passeports hors service si, à tout moment, il est établi qu’ils ne représentent plus une mesure nécessaire, efficace ou proportionnelle pour atteindre les objectifs de santé publique visés.

Nous sommes conscients que les connaissances scientifiques sur la COVID‑19 et les vaccins progressent rapidement et que des discussions sur les passeports vaccinaux sont en cours dans certaines juridictions. Dans ce contexte, nous recommandons que les gouvernements et les entreprises, au moment d’envisager la mise en place des passeports vaccinaux, adhèrent aux principes de protection de la vie privée suivants :

• Conformité à la loi : Il doit exister une assise juridique claire pour recourir aux passeports vaccinaux pour chacun des objectifs visés. Les entités des secteurs public et privé qui demandent ou exigent un passeport vaccinal pour des services ou l’accès à certains lieux doivent s’assurer que la loi leur permet de le faire. Une assise juridique claire pourrait découler d’une nouvelle loi, d’une loi existante ou d’une modification législative; une ordonnance de santé publique pourrait aussi établir précisément l’assise juridique permettant de demander ou d’exiger un passeport vaccinal, et définir qui est autorisé à le faire et dans quelles circonstances précises.
• Consentement et confiance : Dans le cas des passeports vaccinaux mis en place par les organismes publics et utilisés par ceux-ci, le consentement n’est pas suffisant en soi selon les lois actuelles sur la protection des renseignements personnels s’appliquant au secteur public. De plus, le consentement à lui seul pourrait ne pas être pertinent pour toute personne appelée à traiter avec un gouvernement ou un organisme public qui jouit d’un monopole sur les services fournis. L’assise juridique de tels passeports ne devrait donc pas reposer uniquement sur le consentement.

Dans le cas des entreprises et d’autres entités qui sont assujetties aux lois sur la protection des renseignements personnels dans le secteur privé et qui envisagent une forme quelconque de passeport vaccinal, l’assise juridique la plus claire à cet égard serait celle résultant d’une ordonnance ou d’une loi de santé publique nouvellement adoptée exigeant la présentation d’un passeport vaccinal pour avoir accès à un lieu ou obtenir un service. À défaut d’une telle ordonnance ou d’une telle loi, c’est-à-dire si on ne s’appuie que sur les dispositions législatives existantes en matière de protection des renseignements personnels, le consentement pourrait offrir une assise suffisante s’il satisfait à toutes les conditions suivantes, lesquelles devront être appliquées en tenant compte du contexte et en fonction des caractéristiques du passeport vaccinal et de sa mise en œuvre :

• le consentement doit être valable et donné volontairement après avoir pris connaissance d’énoncés dans un langage clair et simple décrivant la fin particulière déterminée;
• les renseignements doivent être nécessaires pour atteindre la fin visée;
• la fin visée doit être celle qu’une personne raisonnable estimerait acceptable dans les circonstances;
• les personnes doivent avoir un véritable choix, c’est-à-dire que le consentement ne doit pas être requis en guise de condition pour obtenir un service.

Au Québec, le consentement ne peut constituer le fondement juridique des passeports vaccinaux. Dans cette province, pour demander à ce que ces passeports soient présentés, il faudrait que les renseignements qu’ils contiennent soient nécessaires pour une fin précise, qui soit sérieuse et légitime.

• Limitation de la collecte, de l’utilisation, de la communication et de la conservation, et principe de finalité : La collecte, l’utilisation, la communication et la conservation des renseignements personnels sur la santé doivent se limiter à ce qui est nécessaire à l’élaboration et à la mise en œuvre du passeport vaccinal. Il devrait être interdit de faire activement le suivi des activités d’une personne au moyen d’un passeport vaccinal ou de les consigner, que cette opération soit réalisée par des développeurs d’applications, un gouvernement ou une tierce partie. De plus, la création de nouvelles bases de données centrales de renseignements sur les vaccins établies à l’échelle nationale ou qui seraient accessibles d’une juridiction à l’autre ne devrait pas être permise; seules les bases de données locales qui sont nécessaires à l’administration et à la vérification du vaccin devraient être autorisées. Les utilisations secondaires des renseignements personnels sur la santé qui sont recueillis, utilisés ou communiqués au moyen d’un passeport vaccinal doivent se limiter à celles qui sont requises ou autorisées par la loi.
• Transparence : Les Canadiens devraient être informés des fins visées par les passeports vaccinaux et de la portée de ceux-ci, ainsi que de la collecte, de l’utilisation, de la communication, de la conservation et de la destruction des renseignements personnels sur leur santé qui sont utilisés dans ces passeports.
• Responsabilité : Les politiques, les ententes et les lois doivent faire en sorte de minimiser toute incidence sur la vie privée. Les personnes devraient savoir à qui s’adresser pour demander accès aux renseignements personnels qui les concernent et qui sont disponibles au moyen d’un passeport vaccinal, faire rectifier ces renseignements, présenter une demande d’information ou déposer une plainte relative au passeport vaccinal.
• Mesures de protection : Il faut instaurer des mesures de protection à caractère technique, physique et administratif en fonction du niveau de sensibilité des renseignements devant être recueillis, utilisés ou communiqués au moyen d’un passeport vaccinal. Il faut aussi établir des processus permettant d’examiner, de vérifier et d’évaluer régulièrement l’efficacité des mesures de sécurité et de protection des renseignements personnels qui ont été adoptées.
• Surveillance indépendante : Pour assurer la responsabilité à cet égard et renforcer la confiance de la population, les commissaires à la protection de la vie privée devraient être consultés tout au long de l’élaboration et de la mise en œuvre du passeport vaccinal. Des évaluations des facteurs relatifs à la vie privée ou toute autre analyse pertinente à ce chapitre devraient être réalisées et passées en revue par les commissaires. Un résumé en langage clair devrait également être publié de manière proactive.
• Durée et portée limitées des mesures : Tous les renseignements personnels sur la santé recueillis au moyen de passeports vaccinaux doivent être détruits, et les passeports vaccinaux mis hors service, une fois que les responsables de la santé publique auront déclaré la fin de la pandémie ou lorsqu’il aura été établi que les passeports vaccinaux ne constituent plus une mesure nécessaire, efficace ou proportionnelle pour atteindre les objectifs de santé publique. Les passeports vaccinaux ne devraient pas être utilisés à d’autres fins que celle de la lutte contre la COVID-19.