Créer une culture de protection de la vie privée

Allocution prononcée lors du dîner annuel du Centre pour la défense de l’intérêt public

Le 25 novembre 2022
Ottawa (Ontario)

Allocution prononcée par Philippe Dufresne
Commissaire à la protection de la vie privée du Canada

(Le texte prononcé fait foi)

---

Introduction

Je vous remercie pour cette aimable présentation. Je suis honoré d’être ici ce soir, parmi vous, dans ce magnifique endroit.

En tant que l’un des principaux groupes de réflexion du Canada, le Centre pour la défense de l’intérêt public a contribué de façon importante à de nombreux dossiers, notamment : les droits des consommateurs, la diversité et l’égalité des chances, la protection de la vie privée, les transports, les finances et les télécommunications. Vos recherches et vos interventions dans ces domaines ont permis d’alimenter le débat et, en fin de compte, de façonner les politiques et les services publics du Canada. Je vous remercie de vos importantes contributions au service de l’intérêt public, et je suis ravi de m’adresser à vous ce soir pour ma première allocution liminaire en personne à titre de commissaire à la protection de la vie privée du Canada.

Comme je l’ai indiqué dans mon rapport annuel de cette année, il s’agit d’une période charnière pour la protection de la vie privée et pour le Commissariat, avec des défis et des possibilités sur les plans juridique, technologique et social.

Dans ce contexte, ma nomination au poste de commissaire à la protection de la vie privée du Canada, en juin dernier, a été pour moi une progression logique dans ma carrière d’avocat et de cadre supérieur engagé à promouvoir et à protéger les droits fondamentaux des Canadiennes et des Canadiens, tout en veillant à ce que des objectifs pragmatiques et importants soient également atteints.

Cette approche s’applique également au domaine de la vie privée, et sera d’autant plus pertinente alors que nous traitons d’enjeux liés au rôle croissant que joue la technologie dans nos vies et dans l’économie.

La technologie présente un énorme potentiel pour stimuler l’innovation dans les secteurs public et privé ainsi que pour améliorer la qualité de vie des Canadiennes et des Canadiens. Il est essentiel de s’assurer que nous sommes en mesure d’utiliser ces innovations tout en protégeant la vie privée pour réussir en tant que société libre et démocratique, ce qui constituera un défi de taille pour les institutions du Canada dans les années à venir.

Pour y arriver, il faudra moderniser les lois fédérales sur la protection des renseignements personnels dans les secteurs public et privé, tant pour réagir et s’adapter à ces changements sociétaux et technologiques que pour suivre le rythme des autres juridictions au Canada comme à l’étranger.

Les pistes de réflexion et les conseils fournis par des parties prenantes comme le Centre pour la défense de l’intérêt public sont également essentiels pour relever ce défi. À titre d’exemple, citons le récent article d’opinion de l’avocate du Centre, Yuka Sai, sur la mise à jour proposée de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) et sur ce que le projet de loi doit permettre d’accomplir. 

C’est la raison pour laquelle, tôt dans mon mandat comme commissaire, j’ai priorisé les rencontres avec les parties prenantes dans les milieux de l’industrie, du gouvernement, des universités et de la société civile, afin de pouvoir bien comprendre leurs réalités et enjeux et les intégrer dans le travail du Commissariat.

Je continuerai de consulter les parties prenantes alors que nous cherchons à faire progresser la réforme législative et à mettre en œuvre des régimes de protection et de promotion de la vie privée de calibre mondial, dans l’intérêt du Canada et de la population canadienne. Comme me l’ont dit de nombreuses parties prenantes importantes, la protection de la vie privée est l’un des principaux défis de notre époque.

Je compte bien relever ce défi. Ce faisant, j’appliquerai les trois éléments de ma vision de la protection de la vie privée, que j’ai présentés à la Chambre des communes et au Sénat pendant mes audiences de confirmation plus tôt cette année. Les voici :

1) la protection de la vie privée est un droit fondamental;

2) la protection de la vie privée est un moyen pour favoriser l’intérêt public et appuyer l’innovation et la compétitivité du Canada;

3) la protection de la vie privée est un moyen d’accentuer la confiance des Canadiennes et des Canadiens envers leurs institutions et en tant que citoyens numériques.

Cette vision repose sur le fait que les Canadiennes et les Canadiens veulent pouvoir participer activement et en toute connaissance de cause à la société et à l’économie, sans être obligés de choisir entre cette participation et leur droit fondamental à la vie privée.

Bref, la protection de la vie privée est fondamentale. Elle sert d’importants intérêts publics et privés et permet de susciter la confiance nécessaire. 

Ce soir, je tiens à vous parler de ce que ces trois piliers signifient pour moi, en tant que commissaire à la protection de la vie privée, et de ce qu’ils signifient pour la population canadienne. Je vais commencer par le premier pilier : la protection de la vie privée est un droit fondamental.

La protection de la vie privée est un droit fondamental

En 2019, le Commissariat et ses homologues internationaux à l’Assemblée mondiale pour la protection de la vie privée ont déclaré, dans une résolution, que « la protection de la vie privée est une condition préalable aux autres libertés des citoyens ainsi qu’un droit fondamental à la démocratie… »

Cette description du droit à la vie privée comme une condition nécessaire à l’existence d’autres droits fondamentaux est conforme à l’interprétation de longue date de la Cour suprême du Canada, selon laquelle les lois sur la vie privée ont un statut quasi constitutionnel. Elle est également conforme aux instruments juridiques internationaux, comme la Déclaration universelle des droits de l’homme de 1948, qui ont reconnu le droit à la protection de la vie privée.

Traiter la vie privée comme un droit fondamental et quasi constitutionnel, c’est la traiter comme les autres droits de la personne, c’est-à-dire comme une priorité.

Cela signifie que la vie privée doit être protégée, et que sa protection doit être encadrée par un régime juridique solide, équitable et applicable, fondé sur les droits. Un régime qui offre de véritables recours pour prévenir et traiter les infractions et qui incite les institutions à créer une culture de protection de la vie privée.

Permettez-moi de le répéter. Une culture de protection de la vie privée. La vie privée dès la conception, c’est prendre en compte la vie privée dès le départ, la valoriser et la privilégier. C’est intégrer la vie privée au début des activités d’innovation, et non y réfléchir après coup ou la considérer comme un irritant du cadre réglementaire.

Cela signifie que la collecte, l’utilisation, la conservation et la communication de renseignements personnels doivent être limitées à ce qui est strictement nécessaire et proportionnel pour atteindre les objectifs d’une organisation qui en fait la demande. Il faut donc former adéquatement les personnes qui traitent ces renseignements sur l’importance de la protection de la vie privée, et mettre en place des mécanismes de contrôle pour s’assurer que les politiques sont respectées en permanence.

Même si le consentement est un élément important des lois sur la protection des renseignements personnels, les consommateurs ne peuvent pas être les seuls responsables de la protection de leurs renseignements personnels; ceux qui travaillent dans l’économie du savoir et qui en tirent profit doivent également rendre compte de la manière dont ils utilisent les renseignements.

En effet, en tant qu’avocat plaidant, j’ai souvent été saisi d’affaires pour lesquelles les tribunaux devaient décider quelle partie avait la responsabilité de faire quelque chose ou de présenter des éléments de preuve. L’une des façons pour les tribunaux de prendre cette décision était d’établir quelle partie était la mieux outillée pour accomplir la tâche ou fournir les renseignements nécessaires, et quelle partie était la plus vulnérable ou avait besoin de protection.

Cela est particulièrement vrai pour les enfants, qui ont besoin de garanties encore plus strictes en matière de protection de la vie privée. Ceux d’entre nous qui sont parents ont pu constater que les enfants ont utilisé davantage la technologie et les médias sociaux au cours des dernières années.

L’enjeu est de plus en plus important à l’échelle mondiale. Au début du mois, la lanceuse d’alerte de Facebook Frances Haugen a participé à l’émission Décrypteurs de Radio-Canada. Elle a déclaré que lorsqu’elle interroge des enfants, ceux-ci « utilisent systématiquement le récit d’un toxicomane pour décrire leur utilisation des médias sociaux », c’est‑à‑dire qu’ils ne parviennent pas à arrêter de les utiliser, même si cela les rend malheureux. Elle ajoute que Facebook ne donne pas aux enfants les « outils qui leur permettraient d’échapper à l’algorithme ou de modérer leur propre utilisation », car ces outils compromettraient le modèle d’affaires de la société. Cette situation démontre bien pourquoi il est si important que nos lois sur la protection des renseignements personnels protègent mieux les enfants.

La semaine prochaine, je serai à Singapour pour assister au 58e forum des autorités de protection de la vie privée de la zone Asie‑Pacifique afin de souligner l’importance de la région du point de vue de la protection des données. L’un des événements auxquels je participerai est une table ronde sur la protection des enfants sur Internet. J’ai hâte de discuter du rôle important que joue le Commissariat pour protéger et promouvoir le droit fondamental à la vie privée de toute la population canadienne, y compris celui des consommateurs.

La protection de la vie privée n’est pas un droit auquel nous devrions renoncer – quel que soit notre âge – au nom de l’innovation ou du profit.

Traiter le droit à la vie privée comme un droit fondamental, c’est aussi donner à celui‑ci une interprétation conforme à la finalité et aux objectifs de la législation. Dans le cas de la loi sur la protection des renseignements personnels applicable au secteur privé, il peut s’agir de la promotion du commerce en tant que question de compétence fédérale.

Dans les cas de conflit – et ceux-ci seront rares – entre le droit à la vie privée et les intérêts privés ou publics, la protection de la vie privée l’emportera. Je dis que ces conflits seront rares parce qu’en créant une culture de protection de la vie privée et en protégeant les renseignements personnels dès le départ, nous serons en mesure d’éviter la plupart des conflits et d’atteindre à la fois le respect de la vie privée et les intérêts publics ou privés souhaités.

La protection de la vie privée est un moyen pour favoriser l’intérêt public et appuyer l’innovation et la compétitivité du Canada

Cela m’amène au deuxième élément de ma vision : la protection de la vie privée est un moyen pour favoriser l’intérêt public et appuyer l’innovation et la compétitivité du Canada, qui reconnaît l’incidence positive de la protection de la vie privée et rejette le faux choix entre vie privée et innovation. Je crois que le Canada peut être un centre de l’innovation et un modèle de bon gouvernement tout en protégeant les renseignements personnels de la population canadienne.

Nous pouvons et devons protéger la vie privée tout en favorisant l’intérêt public. Il ne s’agit pas d’un jeu à somme nulle et, comme dans tant de domaines, nous devons rejeter les extrêmes dans l’une ou l’autre direction.

La façon d’éviter cette fausse dichotomie et d’atteindre à la fois le respect de la vie privée et les intérêts publics souhaités est de tenir compte de la protection de la vie privée dès le départ, et non après coup. Cette approche sera plus rentable et plus efficace, et les coûts deviendront des investissements profitables autant pour les entreprises que pour les gouvernements.

Nous devons tous, quel que soit notre rôle dans les secteurs privé et public, ou en tant que citoyens actifs de notre démocratie, unir nos efforts pour faire en sorte que le droit fondamental à la vie privée soit protégé tout en atteignant les autres objectifs importants d’intérêt public. Je ne dis pas que ce sera facile, mais je dis que c’est nécessaire.

C’est aussi une bonne pratique pour les affaires et pour le gouvernement.

L’argent et les ressources consacrées à la protection et la promotion de la vie privée – pour créer une « culture de protection de la vie privée » – sont des investissements judicieux dans la confiance et la sécurité des Canadiennes et des Canadiens, tant dans le secteur privé que dans le secteur public.

Il ne s’agit pas ici de choisir une option et d’exclure l’autre.

Même dans le contexte d’outils portant atteinte à la vie privée tels que la technologie de reconnaissance faciale, les commissaires à la protection de la vie privée fédéral, provinciaux et territoriaux au Canada n’ont pas demandé une interdiction pure et simple, mais plutôt un cadre juridique clair et solide pour réglementer son utilisation.

C’est d’ailleurs le sujet d’un récent rapport du Comité permanent de l’accès à l’information, de la protection des renseignements personnels et de l’éthique (ETHI) de la Chambre des communes, qui a réaffirmé la nécessité de réglementer adéquatement les technologies ayant une incidence sur la vie privée. Le rapport recommandait un moratoire sur l’utilisation de la technologie de reconnaissance faciale jusqu’à ce qu’elle puisse être examinée par les tribunaux ou par le Commissariat. Il confirmait aussi la nécessité de mesures essentielles, comme rendre obligatoires les évaluations des facteurs relatifs à la vie privée et la consultation du Commissariat avant l’adoption, la création et l’utilisation de la technologie de reconnaissance faciale; accroître la transparence et renforcer la surveillance; et moderniser les lois pour les secteurs public et privé.

Cette semaine, le Comité ETHI a publié un autre rapport, cette fois sur l’utilisation par la Gendarmerie royale du Canada (GRC) d’outils d’enquête sur appareil. Dans une déclaration publiée aujourd’hui, j’ai accueilli favorablement ce rapport, qui réclame un cadre législatif qui reconnaît le droit à la vie privée comme un droit fondamental et qui exige que les institutions fédérales examinent et abordent les répercussions sur la vie privée dès le départ au moment de concevoir et d’utiliser de nouvelles technologies.

Le mois dernier, mes collègues provinciaux et territoriaux et moi-même avons publié une résolution sur l’identité numérique. Au moment d’annoncer cette résolution, j’ai déclaré que la conception et l’exploitation d’un écosystème d’identité numérique constituent une occasion de démontrer comment l’innovation et la protection de la vie privée peuvent coexister.

Nous sommes tous conscients des avantages d’un système qui permettra aux particuliers, aux entreprises et aux gouvernements de confirmer l’identité des individus et d’effectuer des transactions en ligne avec un haut degré d’efficacité et de confiance.

Mais nous devons également reconnaître que si les projets d’identité numérique et les cadres qui les soutiennent ne répondent pas à des normes élevées en matière de protection de la vie privée, de sécurité, de transparence et de responsabilité, ils ne seront pas considérés comme étant suffisamment fiables pour être largement adoptés, et les avantages ne se concrétiseront pas.

Cette idée que la protection de la vie privée et le commerce peuvent et doivent coexister a aussi été au cœur de mes discussions des derniers mois avec des groupes internationaux comme l’Assemblée mondiale pour la protection de la vie privée et les autorités de protection des données du G7, ainsi qu’avec les Nations agiles, un groupe de sept pays, dont le Canada, qui a été formé en 2020 pour collaborer à la création d’un environnement réglementaire mondial qui favorise l’innovation.

Plus tôt ce mois-ci, dans le cadre du groupe de travail des Nations agiles, le Canada, Singapour et le Royaume-Uni ont signé une déclaration d’intention conjointe visant à promouvoir et à soutenir les mesures de cybersécurité applicables à l’Internet des objets. Nous affirmons dans cette déclaration que nous entrevoyons « d’énormes avantages économiques et sociaux » dans les produits connectés, mais que « des exigences appropriées en matière de cybersécurité doivent être intégrées à ces produits dès le stade de la conception, plutôt que d’imposer ce fardeau aux consommateurs ».

Traiter la vie privée comme un droit fondamental et simultanément trouver des moyens de défendre l’intérêt public et l’innovation, ce n’est pas seulement possible, c’est aussi un cercle vertueux qui suscitera la confiance et servira ces intérêts.

Cela m’amène à mon troisième pilier : la protection de la vie privée est un moyen d’accentuer la confiance dans l’économie numérique.

La protection de la vie privée est un moyen d’accentuer la confiance dans l’économie numérique

Lorsque les gens ont la certitude que leurs droits seront protégés, ils se sentent en confiance pour participer librement à l’économie numérique. C’est avantageux à la fois pour la population canadienne, pour les affaires et pour l’innovation.

Pourtant, dans notre plus récent sondage auprès de la population canadienne, plus de la moitié des répondants ont affirmé avoir l’impression que les entreprises ne respectent pas leur vie privée.

Comment pouvons-nous rétablir cette confiance? Permettez-moi de souligner trois choses.

Premièrement, nous avons besoin d’un ensemble solide de lois sur la protection des renseignements personnels dans les secteurs public et privé. Des lois qui réglementent équitablement et efficacement la collecte, l’utilisation, la conservation et la communication des renseignements personnels. Nos lois doivent être fondées sur les droits et prévoir des recours efficaces en cas d’atteinte à la vie privée, afin que les Canadiennes et les Canadiens sachent qu’ils ne sont pas laissés à eux-mêmes pour protéger leur droit fondamental à la vie privée.

En juin dernier, le gouvernement a franchi une étape importante de la modernisation de la loi fédérale sur la protection des renseignements personnels dans le secteur privé en déposant le projet de loi C-27, la Loi sur la mise en œuvre de la Charte du numérique. Ce projet de loi témoigne du fait que le gouvernement reconnaît que les Canadiennes et les Canadiens ont besoin de lois modernisées sur la protection des renseignements personnels et qu’ils s’attendent à de telles lois. Je compte donner mon avis au Parlement sur la façon d’améliorer encore ce projet de loi.

J’ai aussi été encouragé par les commentaires du ministre de la Justice et procureur général du Canada, l’honorable David Lametti, à l’effet qu’une modernisation de la loi sur la protection des renseignements personnels applicable au secteur public était sous étude et ne saurait tarder. Il sera important d’harmoniser les lois pour faire en sorte que les lois sur la protection des renseignements personnels des secteurs public et privé soient fondées sur les mêmes principes de protection de la vie privée – surtout en tenant compte de la présence accrue des partenariats public-privé. 

Une deuxième façon de rétablir la confiance – et cela concerne directement le Commissariat – est de s’assurer que les autorités de protection des données disposent des pouvoirs et des ressources nécessaires pour non seulement traiter les plaintes, mais aussi pour jouer un rôle important de consultation et de promotion en donnant des conseils indépendants et spécialisés aux organisations qui prévoient de lancer de nouvelles initiatives comprenant la collecte ou l’utilisation de renseignements personnels.

J’espère que, lorsque les organisations consulteront le Commissariat, nous serons satisfaits des mesures prises pour protéger la vie privée ou que nous serons en mesure de fournir des conseils qui permettront de rectifier le tir dès le départ. En fin de compte, je suis convaincu que la tenue de ces consultations avec le Commissariat rassurera la population canadienne sur le fait que leur vie privée est dûment prise en compte et qu’elle est protégée comme il se doit.

Une troisième mesure à prendre pour rétablir la confiance consiste à créer une culture solide et durable de protection de la vie privée. Nous devons nous assurer que les Canadiennes et les Canadiens n’ont pas l’impression d’être poussés ou encouragés à fournir plus de renseignements que ce qui est strictement nécessaire et proportionnel pour atteindre les objectifs d’une organisation qui en fait la demande. Nous devons également faire en sorte qu’il soit facile pour eux de choisir les paramètres qui protègent le mieux leur vie privée et qu’ils sachent et comprennent quand, comment et pourquoi leurs renseignements sont recueillis, utilisés, communiqués et conservés.

Nos conclusions dans l’enquête sur Tim Hortons – dont l’application suivait l’emplacement des utilisateurs même lorsque celle-ci n’était pas utilisée, et ce, à l’insu des utilisateurs ou sans leur consentement – montrent comment la confiance peut être ébranlée lorsque la vie privée n’est pas suffisamment prise en compte et protégée.

Cela nous rappelle le travail qu’il reste à faire pour favoriser une culture où la protection de la vie privée est le paramètre par défaut et où les Canadiennes et les Canadiens ont le réflexe de toujours demander pourquoi leurs renseignements personnels sont demandés.

Une culture de protection de la vie privée, c’est avec la protection de la vie privée dès la conception et la protection de la vie privée par défaut.

Conclusion

En conclusion, il ne fait aucun doute que l’économie moderne est de plus en plus dépendante de la valeur des données extraites au moyen des technologies numériques. Nous avons pu observer les avantages considérables que ces technologies peuvent apporter. Toutefois, nous avons aussi constaté les risques inhérents aux technologies qui ne disposent pas de mesures de protection adéquates, et les préjudices qu’elles peuvent causer. Les Canadiennes et les Canadiens ne devraient pas avoir à regarder par-dessus leur épaule lorsqu’ils utilisent la technologie.

L’approche à adopter consiste en une réforme de nos lois sur la protection des renseignements personnels de manière à ce qu’elles soient axées sur la reconnaissance et la protection de la vie privée en tant que droit fondamental, et que du même coup, elles servent l’intérêt public et favorisent l’innovation.

Je crois que cette approche peut et doit être adoptée et, en ma qualité de commissaire à la protection de la vie privée, je m’engage à travailler avec vous tous afin de promouvoir et de protéger ce droit fondamental à la vie privée, qui est si essentiel à l’autonomie et à la dignité des personnes ainsi qu’à la pleine jouissance des autres droits et libertés au Canada.

Je vous remercie encore de m’avoir invité, et je vous souhaite une bonne soirée.