Allocution prononcée par le Commissaire à la protection de la vie privée à l’occasion d’un événement rassemblant des chefs de la protection des renseignements personnels et des dirigeants principaux de l’information

Le 13 novembre 2024
Ottawa (Ontario)

Allocution prononcée par Philippe Dufresne
Commissaire à la protection de la vie privée du Canada
à l’occasion d’un événement organisé par le Commissariat à la protection de la vie privée du Canada rassemblant des chefs de la protection des renseignements personnels et des dirigeants principaux de l’information

(La version prononcée fait foi)

---

Je vous remercie tous et toutes d’être ici, et je remercie tout particulièrement notre invité spécial, Dominic Rochon, dirigeant principal de l’information du Canada et sous-ministre au Secrétariat du Conseil du Trésor du Canada (SCT).

Je crois comprendre que nous accueillons des participants d’environ 35 ministères et organismes fédéraux, et je suis ravi de constater que nous comptons parmi nous à la fois des représentants de la communauté des dirigeants principaux de l’information et des chefs de la protection des renseignements personnels.

À une époque où l’on recueille, partage, utilise et stocke plus de données en ligne que jamais auparavant, il est essentiel que les communautés de la gestion de l’information (GI), de la technologie de l’information (TI) et de la protection de la vie privée travaillent ensemble.

Cette collaboration s’explique par le fait que, dans le cadre de vos fonctions, vous êtes aux premières loges pour diriger, concevoir et protéger les systèmes gouvernementaux qui contiennent les renseignements personnels sensibles des Canadiennes et des Canadiens et qui servent la population canadienne au moyen des services publics et des travaux d’intérêt public essentiels du gouvernement.

Dans notre monde de plus en plus numérique, votre expertise collective et vos valeurs partagées en tant que fonctionnaires seront essentielles pour protéger et préserver la confiance que les Canadiennes et les Canadiens accordent aux institutions, aux programmes et aux services du gouvernement, en sachant que leurs renseignements sont protégés – aujourd’hui et à l’avenir.

Nous savons que les institutions fédérales sont des cibles attrayantes pour les personnes malveillantes. Au cours des dix dernières années, les atteintes à la sécurité des données et les cyberattaques se sont multipliées, et ce, tant au niveau de l’ampleur que de la complexité et de la gravité.

Que ce soit pour concevoir des services numériques, moderniser des systèmes de gestion de dossiers, déployer un réseau infonuagique ou pour gérer des infrastructures essentielles, les systèmes d’information et de technologie de l’avenir seront toujours meilleurs et plus sûrs, et certainement plus fiables et plus conformes aux valeurs fondamentales s’ils sont conçus en tenant compte de la protection de la vie privée.

En janvier, j’ai présenté mes priorités stratégiques pour le Commissariat, et le lien entre la technologie et la protection de la vie privée est reflété dans chacune de nos trois priorités stratégiques :

• protéger et promouvoir le droit à la vie privée de manière à optimiser les efforts déployés;
• faire valoir la protection de la vie privée à l’heure où se succèdent les changements technologiques et agir en ce sens, en particulier dans le contexte de l’intelligence artificielle (IA) générative;
• défendre le droit à la vie privée des enfants.

La technologie offre de nombreux avantages au gouvernement. Ces avantages comprennent la prestation et l’accessibilité des services, la création de gains d’efficacité opérationnelle et l’amélioration de l’analyse et de l’utilisation des données pour soutenir la prise de décision et ultimement l’intérêt public et les institutions du Canada.

En définissant ces priorités stratégiques, mon objectif était d’orienter le travail du Commissariat où il peut avoir le plus d’incidence pour les Canadiennes et les Canadiens, ainsi que les institutions. Il s’agit aussi de domaines où résident les plus grands risques pour la vie privée si l’on ne s’y attaque pas.

Il s’agit de donner la priorité aux activités qui peuvent stimuler et orienter l’innovation de manière sécuritaire et responsable, ainsi que de tirer parti de l’innovation en vue de promouvoir et de protéger le droit fondamental à la vie privée des individus. Tout comme les données servent à stimuler l’innovation, l’innovation doit servir à protéger les données.

Alors que les institutions fédérales continuent de tirer parti de la technologie, d’élargir leur gamme de logiciels tiers et d’explorer l’utilisation de l’IA, la collaboration entre les professionnels de la protection de la vie privée et de la technologie de l’information deviendra de plus en plus importante.

Protection de la vie privée pour soutenir les services numériques

Les dirigeants principaux de l’information jouent un rôle central dans la prestation de services numériques, ainsi que dans la mise en œuvre et la gestion de l’infrastructure et des applications organisationnelles qui contiennent les renseignements des Canadiennes et des Canadiens. Les chefs de la protection des renseignements personnels peuvent cerner les éléments à prendre en compte, les risques et les possibilités liés au traitement des renseignements personnels, et fournir l’expertise nécessaire à la conception de programmes respectueux de la protection de la vie privée.

Dans tous les cas, l’intérêt public ainsi que l’intérêt supérieur des individus ou des utilisateurs sont au cœur de ce travail. Nous savons que les Canadiennes et les Canadiens se soucient de la protection de leur vie privée. Nous voulons et devons tous avoir la certitude que notre droit à la vie privée est protégé.

Au plus récent sondage du Commissariat auprès de la population canadienne, 93 % des répondants ont dit être à tout le moins quelque peu préoccupés par la protection de leur vie privée. Un peu plus de la moitié, soit 58 %, sont convaincus que le gouvernement fédéral respecte leur droit à la vie privée. Un total de 30 % des répondants sont en désaccord avec cet énoncé.

La protection de la vie privée est un outil essentiel pour renforcer la confiance du public envers nos institutions et nos services publics. De plus, lorsqu’un individu peut avoir confiance en un service, il est plus enclin à l’utiliser. La protection de la vie privée dès la conception peut permettre d’atteindre cet objectif.

Protection de la vie privée dès la conception

La protection de la vie privée dès la conception est étroitement liée à la conception axée sur la personne. La recherche démontre que la confiance est l’un des principaux facteurs d’une expérience positive pour l’utilisateur. La protection de la vie privée dès la conception favorise une expérience positive pour l’utilisateur, car elle contribue aux perceptions de celui-ci à l’égard de la prise en charge, de la compétence et de l’intégrité, qui sont des facteurs clés de la confiance envers les services du gouvernement.

En créant une culture qui intègre dès le départ les éléments à prendre en compte concernant la protection de la vie privée, vous contribuerez à « pérenniser » votre organisation, vos services et vos systèmes de gestion de l’information et de technologie de l’information.

À titre d’exemple, le fait de limiter la collecte de renseignements personnels au strict nécessaire pour un nouveau programme, de définir une période de conservation et de planifier la façon dont les données seront protégées peut réduire le risque que des problèmes surviennent à la dernière minute ou une fois que le programme a été lancé. Cette approche peut aussi éviter de devoir refaire le travail en vue d’intégrer la protection de la vie privée dans la conception. Bien entendu, moins vous détenez de renseignements personnels, moins les risques et l’impact d’une atteinte ou d’une cyberattaque sont grands.

Les évaluations des facteurs relatifs à la vie privée, les agents de protection de la vie privée et le Commissariat sont tous des ressources qui peuvent être utilisées pour faire progresser les approches des organisations en matière de protection de la vie privée et de sécurité. La Direction des services-conseils au gouvernement du Commissariat est en mesure de discuter des facteurs relatifs à la protection de la vie privée dont il faut tenir compte dès le début de la conception.

Le Commissariat a aussi renforcé ses capacités internes, et il participe à des forums nationaux et internationaux afin de mieux comprendre les répercussions des technologies, comme l’IA générative, sur la protection de la vie privée et d’y remédier. Par exemple, la Direction de l’analyse de la technologie du Commissariat évalue l’utilisation sécuritaire et responsable de l’IA afin de permettre aux employés d’apprendre à tirer parti en toute sécurité des gains d’efficacité qu’elle peut offrir.

J’ai également travaillé avec des homologues nationaux et internationaux, tant dans le domaine de la protection de la vie privée que dans d’autres sphères réglementaires, afin d’établir les meilleures pratiques et approches à adopter dans un environnement numérique en constante évolution.

Par exemple, le mois dernier, j’ai publié des déclarations communes avec mes homologues du G7 sur le rôle des autorités de protection des données dans la promotion d’une IA digne de confiance, ainsi que sur l’IA adaptée aux enfants.

En décembre dernier, j’ai organisé un symposium international sur la protection de la vie privée et l’IA, et j’ai publié des principes communs pour des technologies de l’IA générative responsables avec les autorités provinciales et territoriales de protection des données et de la vie privée. J’ai récemment participé à un atelier de l’Organisation de coopération et de développement économiques avec des autorités internationales et des autorités de réglementation dans les domaines de la concurrence, des télécommunications et d’autres domaines numériques.

Atteintes

La collaboration entre les responsables de l’information et de la protection de la vie privée est également essentielle lorsqu’il s’agit de gérer et d’atténuer les répercussions des atteintes. Comme je l’ai mentionné plus tôt, l’infrastructure numérique du gouvernement est une cible attrayante pour les personnes malveillantes.

Les atteintes à la sécurité des données se sont multipliées au cours des dix dernières années, et le Commissariat a remarqué une augmentation de l’ampleur et de la complexité de ces incidents. Par ailleurs, les personnes malveillantes utilisent des moyens de plus en plus sophistiqués.

Dans sa récente évaluation des cybermenaces nationales, le Centre de la sécurité des télécommunications du Canada fait ressortir la complexité croissante des cybermenaces perpétrées par des personnes malveillantes, étatiques ou non, qui deviennent de plus en plus agressives et perfectionnent leur savoir-faire, adoptent de nouvelles technologies et collaborent en vue d’améliorer et de multiplier leurs activités malveillantes.

Selon mon rapport annuel pour 2023-2024, le nombre d’atteintes signalées au Commissariat pour cet exercice n’a pas changé de manière importante par rapport à l’année précédente, mais le nombre de comptes touchés par ces atteintes a doublé, passant de 12 millions à 25 millions.

L’atteinte à la sécurité des données de Ticketmaster sur laquelle le Commissariat enquête en ce moment est un exemple de cette tendance : une seule et unique atteinte a touché des millions de personnes dans le monde entier.

Les atteintes récentes et très médiatisées dans les ministères et organismes du gouvernement ne font que mettre en évidence ce risque et les répercussions potentielles.

Dans un contexte de menaces en constante évolution, il est essentiel d’accorder la priorité à la sécurité de l’information et d’y prêter une attention constante. Les institutions gouvernementales détiennent une grande quantité de renseignements personnels et constituent des cibles attrayantes. Il est essentiel que le public ait la certitude que ses renseignements sont protégés.

Selon la politique du SCT, les institutions fédérales sont tenues de signaler au Commissariat les atteintes à la vie privée qui présentent un risque réel de préjudice grave pour un individu. Ce signalement peut appuyer la réponse d’une organisation et permettre au Commissariat et à l’organisation de tirer des leçons des atteintes afin d’éviter que les mêmes problèmes ne se reproduisent.

Conclusion

La rencontre d’aujourd’hui promet d’être à la fois intéressante et instructive.

J’espère que l’un des principaux points que vous retiendrez de la rencontre est que la collaboration entre nous est essentielle. Les dirigeants qui sont présents ici aujourd’hui détiennent les clés pour maintenir la confiance du public envers les services gouvernementaux dans un environnement de plus en plus numérique et axé sur les données.

Je vous encourage aussi à travailler avec le Commissariat. Ce dernier est là pour aider vos organisations à atteindre leurs objectifs sans porter atteinte à la vie privée.

Nous sommes heureux d’avoir l’occasion de renforcer la collaboration au sein de la communauté des dirigeants principaux de l’information et des chefs de la protection des renseignements personnels. Vous jouez tous un rôle essentiel en veillant à ce que les systèmes du gouvernement et les renseignements personnels que le gouvernement détient soient protégés aujourd’hui et à l’avenir.