Le droit à la vie privée : un droit fondamental à l’ère numérique

Allocution principale à l’occasion du 25e sommet international annuel sur la protection de la vie privée et la sécurité à Vancouver

Le 24 février 2023
Vancouver (Colombie-Britannique)

Allocution prononcée par Philippe Dufresne
Commissaire à la protection de la vie privée du Canada

(Le texte prononcé fait foi)

---

Bonjour à tous.

Je vous remercie, Michael, pour cette aimable présentation. Je suis très heureux d’être ici avec vous tous dans la belle ville de Vancouver.

C’est la première fois que je participe au sommet international sur la protection de la vie privée et la sécurité de Reboot Communications, et je suis très impressionné par les discussions intéressantes et captivantes à l’ordre du jour. Au nombre des sujets qui seront abordés : la cybersécurité, la circulation des données à l’échelle internationale, l’importance de protéger les renseignements sur la santé, la façon dont la géopolitique façonne la sécurité mondiale, les répercussions de l’intelligence artificielle sur la vie privée, la cryptomonnaie et les plateformes d’identification numérique, pour ne nommer que ceux-là.

Cet ensemble riche et diversifié d’enjeux met en évidence les possibilités et les défis qui se présentent à nous tous en raison de l’évolution rapide de notre environnement sur les plans social, technologique et juridique.

La possibilité qui nous est offerte de nous entretenir sur ces questions contribuera à alimenter les débats et nous permettra de mieux comprendre le rôle que nous devons jouer dans ce contexte.

La technologie joue un rôle croissant dans notre monde, dans nos vies et dans notre économie. Elle présente un énorme potentiel pour stimuler l’innovation dans les secteurs public et privé ainsi que pour améliorer la qualité de vie des Canadiennes et des Canadiens. Il est essentiel de s’assurer que nous sommes en mesure d’utiliser ces avancées, ces innovations et ces avantages tout en protégeant la vie privée pour réussir en tant que société libre et démocratique. Ce sera un défi de taille pour les institutions du Canada dans les années à venir.

Pour y arriver, il faudra moderniser les lois fédérales sur la protection des renseignements personnels dans les secteurs public et privé, tant pour réagir et s’adapter à cet environnement en évolution que pour suivre le rythme des autres juridictions au Canada comme à l’étranger.

En cette ère numérique, le monde est au bout de nos doigts, et le prix de cette commodité est souvent la communication de renseignements personnels. Mais quels sont les risques à cet égard? Les gens sont-ils conscients de ces risques avant de choisir de communiquer leurs renseignements?

Voilà pourquoi la protection de la vie privée est l’un des principaux défis de notre époque. Je compte bien relever ce défi. Pour ce faire, j’appliquerai les trois éléments de ma vision de la protection de la vie privée, que voici :

1. Le droit à la vie privée est un droit fondamental;
2. La protection de la vie privée est un moyen de favoriser l’intérêt public et d’appuyer l’innovation et la compétitivité du Canada;
3. La protection de la vie privée est un moyen d’accentuer la confiance des Canadiennes et des Canadiens envers leurs institutions et en tant que citoyens numériques.

Cette vision repose sur le fait que les Canadiennes et les Canadiens veulent pouvoir participer activement et en toute connaissance de cause à la société et à l’économie, sans être obligés de choisir entre cette participation et leur droit fondamental à la vie privée.

Aujourd’hui, je tiens à vous parler de ce que ces trois piliers signifient pour moi, en tant que Commissaire à la protection de la vie privée, et de ce qu’ils signifient pour la population canadienne. Je traiterai aussi de nos pratiques actuelles sous cet éclairage et de la modernisation du régime fédéral de protection des renseignements personnels. Je vais commencer par le premier pilier : la protection de la vie privée est un droit fondamental.

Le droit à la vie privée est un droit fondamental

Dans leur article historique de 1890 publié dans la Harvard Law Review, Samuel D. Warren et Louis D. Brandeis ont parlé du droit à la vie privée. Ils se sont penchés sur la façon de définir le droit d’une personne de protéger sa vie privée, le qualifiant finalement de « droit d’être laissé tranquille ».

Cet article, qui a maintenant plus de 130 ans, est encore remarquablement pertinent. Il décrit le désir et la nécessité de protéger la vie privée, de vivre librement, de contrôler son identité et sa vie, ainsi que de déterminer si l’on souhaite partager des renseignements à son sujet avec les autres, à quel moment et comment le faire. Le droit à la vie privée est encore plus important aujourd’hui dans ce monde qui devient de plus en plus numérique.

La vie privée est un droit fondamental, parce que les renseignements personnels sont intimement liés à notre identité, et parce que le respect du droit à la vie privée est essentiel à notre dignité ainsi qu'à la jouissance des libertés fondamentales.

En 2019, le Commissariat et ses homologues internationaux à l’Assemblée mondiale pour la protection de la vie privée ont déclaré, dans une résolution, que « la protection de la vie privée est une condition préalable aux autres libertés des citoyens ainsi qu’un droit fondamental à la démocratie […] ». Cette description est conforme à l’interprétation de longue date de la Cour suprême du Canada, selon laquelle les lois sur la vie privée ont un statut quasi constitutionnel. Elle est également conforme aux instruments juridiques internationaux, comme la Déclaration universelle des droits de l’homme de 1948, qui ont reconnu le droit à la protection de la vie privée.

Traiter la vie privée comme un droit fondamental et quasi constitutionnel, c’est la traiter comme les autres droits de la personne. Comme une priorité. Cela signifie que la vie privée doit être protégée légalement, et que sa protection doit être encadrée par un régime juridique solide, équitable et applicable.

Nous avons besoin d’un régime qui offre des recours significatifs pour prévenir et traiter les violations et qui incite les institutions à créer une culture de protection de la vie privée. Une telle culture, c’est protéger la vie privée par défaut, la valoriser et la privilégier. C’est intégrer la vie privée dès le départ dans les activités d’innovation, et non y réfléchir après coup ou encore la considérer comme un fardeau du cadre réglementaire ou une simple « case à cocher ».

La création d’une culture de protection de la vie privée signifie que la collecte, l’utilisation, la conservation et la communication de renseignements personnels doivent être limitées à ce qui est strictement nécessaire et proportionnel pour atteindre les objectifs de l’organisation qui en fait la demande, laquelle doit faire preuve de transparence à cet égard. Il faut donc former adéquatement les personnes qui traitent ces renseignements sur l’importance de protéger la vie privée, et mettre en place des mécanismes de contrôle pour assurer la responsabilité.

Les clients ne peuvent pas être les seuls responsables de la protection de leurs renseignements personnels. Les organisations doivent également rendre compte de la façon dont elles recueillent, utilisent et communiquent des renseignements, surtout lorsqu’elles traitent avec des personnes plus vulnérables.

C’est particulièrement vrai dans le cas des enfants, qui sont moins en mesure de comprendre et d’évaluer les répercussions à long terme du consentement à la collecte de données et qui ont donc besoin de mesures de protection de la vie privée encore plus importantes. Ceux d’entre nous qui sont parents ont certainement pu constater que les enfants ont utilisé davantage la technologie et les médias sociaux au cours des dernières années.

Le mois dernier, le président des États-Unis, Joe Biden, a écrit un article d’opinion dans le Wall Street Journal dans lequel il exprimait son inquiétude au sujet de l’absence de « mesures fédérales sérieuses » de protection de la vie privée. Selon lui, les mesures de protection « devraient être encore plus rigoureuses pour les jeunes, qui sont particulièrement vulnérables en ligne ».

Nous avons le pouvoir et le devoir d’en faire davantage pour protéger les enfants. Ce sera d’ailleurs l’une de mes principales priorités. Hier, le Commissariat a annoncé qu’en collaboration avec ses collègues responsables de la protection de la vie privée en Colombie-Britannique, en Alberta et au Québec, il mènera une enquête conjointe sur TikTok, une application de courtes vidéos en diffusion continue. Nous chercherons à établir si les pratiques de l’organisation sont conformes aux lois canadiennes sur la protection des renseignements personnels. L’enquête portera particulièrement sur ses pratiques de protection des renseignements personnels en ce qui concerne les jeunes utilisateurs, notamment pour établir si l’entreprise a obtenu un consentement valable de la part de ceux-ci pour la collecte, l’utilisation et la communication de leurs renseignements personnels.

Nous voulons que les enfants puissent profiter de la technologie et être actifs en ligne, mais qu’ils le fassent en toute sécurité et sans craindre d’être ciblés ou manipulés ou de subir un préjudice. La protection de la vie privée n’est pas un droit auquel nous devrions renoncer – quel que soit notre âge – au nom de l’innovation, du profit ou de l'intérêt public.

Traiter le droit à la vie privée comme un droit fondamental signifie que dans les cas de conflit – et ceux-ci seront rares – entre le droit à la vie privée et les intérêts privés ou publics, la protection de la vie privée doit l’emporter. Je dis que ces conflits seront rares parce qu’en créant une culture de protection de la vie privée, où la vie privée est valorisée, privilégiée et protégée dès le départ, nous serons en mesure d’éviter la plupart des conflits et d’atteindre à la fois le respect de la vie privée et les intérêts publics ou privés souhaités.

Cela m’amène au deuxième pilier de ma vision : la protection de la vie privée est un moyen de favoriser l’intérêt public et d’appuyer l’innovation et la compétitivité du Canada.

La protection de la vie privée est un moyen de favoriser l’intérêt public et d’appuyer l’innovation et la compétitivité du Canada

Je crois que le Canada peut être un centre de l’innovation et un modèle de bon gouvernement tout en protégeant les renseignements personnels de la population canadienne. Je crois que nous pouvons et devons protéger la vie privée tout en favorisant l’intérêt public. Il ne s’agit pas d’un jeu à somme nulle et, comme dans tant de domaines, nous devons rejeter cette notion de faux choix et les extrêmes dans l’une ou l’autre direction.

Nous devons tous, quel que soit notre rôle dans les secteurs privé et public, ou en tant que citoyens actifs de notre démocratie, unir nos efforts pour faire en sorte que le droit fondamental à la vie privée soit protégé tout en atteignant les autres objectifs importants d’intérêt personnel et public. Il ne s’agit pas ici de choisir une option et d’exclure l’autre.

Parvenir à un plus juste équilibre entre ces deux éléments ne sera pas toujours facile, mais c’est tout à fait possible et absolument nécessaire.

C’est aussi bon pour les affaires et un gage de bonnes politiques publiques.

Les ressources consacrées à la protection et à la promotion de la vie privée – pour créer une « culture de protection de la vie privée » – sont des investissements judicieux dans la sécurité des Canadiennes et des Canadiens et dans leur confiance envers les organisations. En tenant compte de la protection de la vie privée dès le départ et en l’intégrant dans vos innovations, vos politiques et vos pratiques, et en démontrant un engagement envers la transparence, la responsabilité, la sécurité et la protection de la vie privée, vous générez des gains d’efficience. Au bout du compte, ces coûts deviennent des investissements qui sont bons pour les entreprises et les gouvernements.

Atteindre à la fois le respect de la vie privée et d’autres intérêts concurrents d’une grande importance n’est pas un défi propre au secteur privé. De plus, la protection de la vie privée ne doit pas être négligée au nom de l'intérêt public.

Récemment, la Cour fédérale du Canada a rendu une décision sur la question de savoir si Santé Canada a eu raison de refuser de communiquer des renseignements dans le cadre du régime d’accès à l’information, ce qui aurait pu permettre d’identifier les personnes autorisées à cultiver de la marijuana à des fins médicales avant sa légalisation. La Cour a conclu que, bien que l’accès à l’information soit un droit fondamental qui est essentiel à la santé de notre démocratie, la protection de la vie privée est aussi une valeur sacrée et que le droit à la vie privée doit être reconnu comme ayant préséance sur l’accès à l’information, dans la mesure où les renseignements demandés sont des renseignements personnels.

La technologie de reconnaissance faciale constitue un autre exemple. Même si cet outil peut porter atteinte à la vie privée, des autorités responsables de la protection de la vie privée du Canada n’ont pas demandé une interdiction pure et simple de la technologie, mais plutôt un cadre juridique clair et solide pour réglementer son utilisation. Le Comité de l’accès à l’information, de la protection des renseignements personnels et de l’éthique de la Chambre des communes est du même avis et a réitéré dans son rapport de septembre 2022 l’importance de moderniser les lois sur la protection des renseignements personnels dans les secteurs public et privé afin d’assurer une réglementation adéquate des technologies qui ont une incidence sur la vie privée.

En novembre 2022, ce comité a publié un autre rapport, cette fois-ci sur l'utilisation d’outils d’enquête sur appareil par la Gendarmerie royale du Canada (GRC). Dans ce rapport, il réclame un cadre législatif qui reconnaît le droit à la vie privée comme un droit fondamental et qui exige que les institutions fédérales examinent et abordent les répercussions sur la vie privée dès le départ au moment de concevoir et d’utiliser de nouvelles technologies.

Mes collègues provinciaux et territoriaux et moi-même avons aussi publié une résolution sur l’identité numérique. Au moment d’annoncer cette résolution, j’ai déclaré que la conception et l’exploitation d’un écosystème d’identité numérique constituent une occasion en or de démontrer comment l’innovation et la protection de la vie privée peuvent coexister.

Nous sommes tous conscients des avantages d’un système qui permettra aux entreprises et aux gouvernements de confirmer l’identité des individus et d’effectuer des transactions en ligne avec un haut degré d’efficacité et de confiance, et qui permettra aux individus de profiter de la commodité et de la rapidité qui sont offertes. Mais nous devons également reconnaître que si les projets d’identité numérique et les cadres qui les soutiennent ne répondent pas à des normes élevées en matière de protection de la vie privée, de sécurité, de transparence et de responsabilité, ils ne seront pas considérés comme étant suffisamment fiables pour être largement adoptés, et les avantages ne se concrétiseront pas.

Rester au fait des progrès technologiques rapides – et même conserver une longueur d’avance – est un autre domaine d’intérêt important. Nous avons besoin de lois modernisées sur la protection des renseignements personnels qui sont neutres sur le plan technologique afin qu’elles puissent résister à l’épreuve du temps face à des développements technologiques sans précédent.

Traiter la vie privée comme un droit fondamental et simultanément trouver des moyens de défendre l’intérêt public et l’innovation, ce n’est pas seulement possible, c’est aussi un cercle vertueux qui suscitera la confiance et servira ces intérêts.

Cela m’amène à mon troisième pilier : la protection de la vie privée est un moyen d’accentuer la confiance dans l’économie numérique.

La protection de la vie privée est un moyen d’accentuer la confiance dans l’économie numérique

Plus de la moitié des personnes qui ont répondu à notre plus récent sondage auprès de la population canadienne ont affirmé avoir des craintes quant au respect de leur vie privée. Les Canadiennes et les Canadiens se soucient de la protection de leur vie privée. Plus les gens ont la certitude que leurs droits à la vie privée seront protégés, plus ils se sentiront en confiance pour participer librement à l’économie numérique. C’est avantageux à la fois pour eux, pour les affaires et pour l’innovation.

Alors, comment pouvons-nous rétablir cette confiance et quel est notre rôle pour accélérer le processus?

Permettez-moi de souligner trois choses.

Premièrement, nous avons besoin d’un ensemble solide de lois sur la protection des renseignements personnels dans les secteurs public et privé. Des lois qui réglementent équitablement et efficacement la collecte, l’utilisation, la conservation et la communication des renseignements personnels des Canadiennes et des Canadiens, afin que ces derniers sachent qu’ils ne sont pas laissés à eux-mêmes pour protéger leur droit fondamental à la vie privée, et afin que les organisations puissent avoir des règles claires.

En juin 2022, le gouvernement fédéral a franchi une étape importante de la modernisation de la loi fédérale sur la protection des renseignements personnels dans le secteur privé en déposant le projet de loi C-27, la Loi sur la mise en œuvre de la Charte du numérique. La deuxième lecture du projet de loi est prévue pour la reprise des travaux de la Chambre des communes le 6 mars 2023, et j’ai très hâte de donner mon avis au Parlement sur la façon dont ce projet peut et doit être amélioré.

J’ai aussi trouvé encourageants les propos du ministre de la Justice et procureur général du Canada, l’honorable David Lametti, qui a précisé après le dépôt du projet de loi C-27 que la modernisation de la Loi sur la protection des renseignements personnels, applicable au secteur public, était à l’étude et ne saurait tarder. Il sera important d’assurer une harmonisation, pour faire en sorte que les lois sur la protection des renseignements personnels des secteurs public et privé soient fondées sur les mêmes principes de protection de la vie privée – surtout en tenant compte de la présence accrue des partenariats public-privé.

Avec la possibilité d’une réforme législative à l’horizon, le Commissariat se prépare à pouvoir remplir son nouveau mandat si le projet de loi C-27 est adopté par le Parlement. Il s'agira d'une autre priorité pendant l'année à venir. Il sera alors essentiel que le Commissariat dispose des ressources nécessaires en temps opportun pour se préparer à la transition, ce qui comprend tout changement opérationnel et structurel qui pourrait être nécessaire, et pour assumer pleinement et efficacement les nouvelles responsabilités importantes prévues dans le projet de loi.

Poursuivons avec une deuxième façon de rétablir la confiance, qui consiste à s’assurer que les autorités de protection des données disposent des pouvoirs et des ressources nécessaires pour non seulement traiter les plaintes, mais aussi pour jouer un rôle important de consultation et de promotion, en donnant des conseils indépendants et spécialisés aux organisations qui prévoient de nouvelles initiatives où il y aura une collecte ou une utilisation de renseignements personnels.

Nous devons impérativement disposer des outils d’application de la loi nécessaires pour offrir des recours efficaces, dont le pouvoir de rendre des ordonnances, afin de prévenir et de contrer les violations du droit à la vie privée.

Il s’agit également d’un incitatif pour les institutions à créer une culture de la vie privée. Il nous faut aussi des mesures de protection proactives et préventives pour éviter les plaintes dès le départ.

S’assurer de cerner et d’évaluer les répercussions sur la vie privée dès le début des activités jusqu’à leur mise en œuvre, et même au-delà, c’est une approche responsable et proactive à adopter. Le Commissariat est là pour vous épauler en vue de maximiser ces efforts, que ce soit par l’intermédiaire de sa direction des services-conseils à l’entreprise ou sa direction des services-conseils au gouvernement. Les évaluations des facteurs relatifs à la vie privée sont un outil essentiel pour intégrer les considérations relatives à cet égard dans les nouveaux programmes, les nouvelles politiques et les nouvelles technologies, afin de protéger les renseignements personnels.

Ce que j’espère, lorsque les organisations consulteront le Commissariat, c’est que nous serons satisfaits des mesures prises pour protéger la vie privée ou que nous serons en mesure de fournir des conseils qui permettront de rectifier le tir dès le départ. Je suis convaincu que la tenue de ces consultations avec le Commissariat rassure la population canadienne sur le fait que leur vie privée est dûment prise en compte et qu’elle est protégée comme il se doit, ce qui renforce la confiance envers nos institutions. Cela est plus important que jamais.

Comme troisième mesure pour rétablir la confiance, nous avons besoin que les organisations des secteurs public et privé créent une culture solide et durable de la protection de la vie privée. Il faut une culture où la vie privée est prise en compte, valorisée et privilégiée dans tout ce que nous faisons.

Nous devons nous assurer que les individus n’ont pas l’impression d’être poussés ou encouragés à fournir plus de renseignements que ce qui est strictement nécessaire et proportionnel pour atteindre les objectifs des organisations qui en font la demande. Nous devons également faire en sorte qu’il soit facile pour eux de choisir les paramètres qui protègent le mieux leur vie privée et que les pratiques en matière de vie privée sont claires et faciles à comprendre, afin qu’ils sachent et comprennent bien quand, comment et pourquoi leurs renseignements personnels sont recueillis, utilisés, communiqués et conservés.

Nos conclusions dans l’enquête sur Tim Hortons – dont l’application suivait l’emplacement des utilisateurs même lorsque celle-ci n’était pas utilisée, et ce, à l’insu des utilisateurs ou sans leur consentement – montrent comment la confiance peut être ébranlée lorsque la vie privée n’est pas suffisamment prise en compte et protégée.

Le rapport que le Commissariat a publié récemment à la suite de son enquête sur la communication par Home Depot de renseignements sur les clients à Meta Platforms en est un autre exemple éloquent.

Notre enquête a révélé que Home Depot recueillait les adresses électroniques de clients lors de leur passage à la caisse aux fins convenues de leur envoyer un reçu électronique. Cependant, Home Depot transmettait à Meta ces adresses électroniques sous forme chiffrée. Meta les utilisait ensuite afin d’établir si ces clients disposaient d’un compte Facebook. Si tel était le cas, Meta comparait les achats en magasin des clients avec les publicités que Home Depot avait diffusées sur Facebook afin d’évaluer l’efficacité de celles-ci et de présenter les résultats sous forme de rapport. Meta pouvait également utiliser les renseignements à ses propres fins commerciales, y compris le profilage des utilisateurs et le ciblage publicitaire. Lorsqu’on demandait aux clients de fournir leur adresse électronique, on ne leur disait pas que leurs renseignements seraient communiqués à Meta.

Nous considérons que cette pratique est une infraction à la loi en matière de protection des renseignements personnels. Nous avons conclu qu'il est peu probable que les clients de Home Depot se soient attendus à ce que leurs renseignements personnels soient communiqués à un tiers, comme Facebook, simplement parce qu’ils ont choisi de recevoir un reçu électronique. Au moment d’annoncer la décision, j'ai déclaré que les clients ont besoin de renseignements clairs aux moments clés d’une transaction afin de pouvoir prendre des décisions éclairées sur la façon dont leurs renseignements personnels sont utilisés et ainsi fournir un consentement valable.

Les compagnies doivent comprendre qu'elles ne devraient pas banaliser l’utilisation des renseignements personnels. Même si notre enquête portait sur un dossier en particulier, nos conclusions s’appliquent à toute organisation qui adopte une pratique semblable en ce qui concerne les reçus électroniques. Tenir compte de la protection des renseignements personnels dès le départ, cela veut dire prendre des mesures pour s’assurer qu’en tant qu’organisation, vous faites preuve de clarté et de transparence avec les clients au sujet des fins pour lesquelles leurs renseignements personnels sont recueillis, utilisés et communiqués, et obtenir leur consentement valable au préalable. Non seulement c’est exigé par la loi, mais c’est aussi un investissement important dans la confiance que les Canadiennes et Canadiens accordent aux entreprises et à l’économie numérique.

Ces exemples nous rappellent le travail qu’il reste à faire pour favoriser une culture où la protection de la vie privée est le paramètre par défaut et où les Canadiennes et les Canadiens ont le réflexe de toujours demander pourquoi leurs renseignements personnels sont demandés.

Une culture de protection de la vie privée, c’est avec la protection de la vie privée dès la conception et la protection de la vie privée par défaut.

Conclusion

En conclusion, j’aimerais citer Tim Cook, le président-directeur général d’Apple, qui a fait remarquer, lors de son discours l’an dernier au sommet mondial sur la protection de la vie privée, à Washington, que la lutte pour protéger la vie privée n’est pas facile, mais qu’il s’agit de l’une des batailles les plus essentielles de notre époque. Selon lui, bien qu’il soit profondément inspiré par ce que la technologie peut rendre possible, nous savons aussi que la technologie n’est ni fondamentalement bonne, ni intrinsèquement mauvaise. Elle devient ce que nous en faisons. C’est un miroir qui reflète les ambitions des gens qui l’utilisent, des gens qui la développent et des gens qui la réglementent.

Je vous ai parlé aujourd’hui des possibilités et des défis auxquels nous faisons face. J’espère avoir pu préciser le rôle que nous pouvons tous jouer à cet égard et ce que nous pouvons faire pour trouver des solutions.

Nous devons travailler ensemble en tant que chefs de file, organismes de réglementation, consommateurs et citoyens pour créer un monde où le droit fondamental à la vie privée est respecté et valorisé. Un monde où les Canadiennes et les Canadiens peuvent profiter de la commodité qu’offre la technologie sans avoir à regarder constamment par-dessus leur épaule. Un monde où la protection de la vie privée ne se fait pas au détriment de l’innovation ou du bien public. Au contraire, elle vient appuyer ces objectifs, en renforçant la confiance des gens envers les organisations avec lesquelles ils interagissent parce qu’ils savent que leur vie privée sera protégée. Cela peut être fait, cela doit être fait, et j’ai hâte de travailler avec vous tous à cette fin.

Je vous remercie.