Allocution prononcée par le Commissaire à la protection de la vie privée au Réseau des ambassadeurs de la lutte contre le racisme et le Réseau interministériel sur la diversité et l’équité en matière d’emploi

Le 28 janvier 2025
Gatineau (Québec) / Virtuel

Allocution prononcée par Philippe Dufresne
Commissaire à la protection de la vie privée du Canada

(Le version prononcée fait foi)

---

Merci de m’avoir invité aujourd’hui. Je suis ravi de pouvoir m’adresser à vous, qui travaillez au quotidien pour protéger les droits des Canadiens et Canadiennes méritant l’équité, une priorité pour moi et pour le Commissariat à la protection de la vie privée du Canada.

Je salue le dévouement et l’engagement dont vous faites preuve en luttant contre le racisme et en faisant la promotion de l’équité, de la diversité, de l’inclusion et de l’accessibilité.

Je me réjouis de voir que vous vous intéressez aussi aux recoupements qui existent entre votre travail et la protection de la vie privée. Celle-ci ne se limite pas à une série de règles techniques et de règlements; elle consiste plutôt à préserver les valeurs démocratiques et les droits fondamentaux de la personne.

C’est la Semaine de la protection des données. Voilà une occasion de faire valoir l’influence de la technologie sur notre vie privée ainsi que de faire ressortir l’importance de protéger le droit fondamental à la vie privée des individus et d’en reconnaître la valeur.

Nous vivons dans une ère axée sur les données. Nos renseignements personnels circulent et sont utilisés un peu partout et de toutes sortes de façons. Nos vies personnelles et professionnelles en sont transformées.

Les gens adoptent les nouvelles technologies et profitent des avantages de celles-ci. Il est donc essentiel pour nous de veiller à ce qu’ils comprennent bien comment leurs renseignements personnels sont utilisés afin qu’ils puissent faire des choix éclairés.

Il est tout aussi important de s’assurer que les institutions fédérales et les entreprises aient les connaissances nécessaires et soient adéquatement conseillées pour garantir une gestion rigoureuse des données et la protection de la vie privée quand elles intègrent de nouvelles technologies.

Cette démarche est particulièrement importante pour les milieux où les gens sont depuis longtemps victimes de préjugés, de discrimination et d’autres préjudices.

Aujourd’hui, j’aimerais vous parler de mon approche à l’égard de la protection de la vie privée, des conséquences que la technologie en évolution constante a sur les groupes traditionnellement sous‑représentés, du rôle essentiel de la confiance et de ce que les organisations peuvent faire pour instaurer cette confiance afin de favoriser la protection de la vie privée, l’équité, la diversité et l’inclusion.

Protéger et promouvoir les droits

Je vais commencer par me présenter brièvement.

Dans le cadre de mon travail en tant qu’avocat, je me suis consacré à renforcer les institutions publiques du Canada ainsi qu’à protéger et à promouvoir les droits fondamentaux des Canadiennes et des Canadiens.

Que ce soit comme avocat général principal de la Commission canadienne des droits de la personne, comme légiste et conseiller parlementaire de la Chambre des communes ou comme conseiller juridique à Affaires mondiales Canada, j’ai toujours été appelé à promouvoir et protéger des normes juridiques et constitutionnelles fondamentales, tout en travaillant à la réalisation d’objectifs et d’intérêts concrets.

Il fallait rejeter le faux choix qui consiste à dire que l’on peut avoir soit les droits de la personne, soit la sécurité nationale; ou que l’on peut avoir soit le privilège parlementaire, soit la santé et la sécurité; ou encore soit le principe de la souveraineté nationale, soit un système de droit pénal international.

Il en va de même concernant mon rôle actuel de Commissaire à la protection de la vie privée du Canada. Mon mandat consiste à veiller au respect de nos lois fédérales en matière de protection des renseignements personnels ainsi qu’à promouvoir et à protéger le droit à la vie privée des individus.

Dans le contexte numérique actuel, cela est d’autant plus important. Les progrès rapides que nous observons dans le secteur des technologies sont emballants. Ces avancées présentent un énorme potentiel pour stimuler l’innovation et améliorer la qualité de vie des Canadiennes et des Canadiens.

Il est essentiel de s’assurer que nous sommes en mesure d’utiliser ces innovations tout en protégeant la vie privée pour réussir en tant que société libre et démocratique, fondée sur la protection et la reconnaissance des droits individuels et collectifs.

Lorsque j’ai comparu devant la Chambre des Communes et le Sénat durant le processus de confirmation de ma nomination comme Commissaire en 2022, j’ai présenté les trois éléments de ma vision de la protection de la vie privée :

la protection de la vie privée est un droit fondamental; c’est un moyen de favoriser l’intérêt public et d’appuyer l’innovation et la compétitivité du Canada; et c’est un moyen d’accentuer la confiance des Canadiennes et des Canadiens envers leurs institutions et en tant que citoyens numériques.

Cette vision repose sur le fait que les Canadiennes et les Canadiens veulent pouvoir participer activement et en toute connaissance de cause au monde numérique, sans être obligés de choisir entre cette participation et leur droit fondamental à la vie privée.

La protection de la vie privée est un droit fondamental

En 2019, le Commissariat et ses homologues internationaux à l’Assemblée mondiale pour la protection de la vie privée ont déclaré, dans une résolution, qu’il existe « un lien indispensable entre la protection du droit à la vie privée et l’engagement de la société à promouvoir et à respecter les droits de la personne et le développement ».

Cette description du droit à la vie privée comme une condition nécessaire à l’existence d’autres droits fondamentaux est conforme à l’interprétation de longue date de la Cour suprême du Canada, selon laquelle les lois sur la vie privée ont un statut quasi constitutionnel.

Traiter la vie privée comme un droit fondamental, c’est la traiter comme les autres droits de la personne; c’est-à-dire comme une priorité. Dans la Déclaration commune sur le droit à la vie privée et les droits démocratiques, que j’ai signée avec la rapporteuse spéciale sur le droit à la vie privée des Nations Unies, une protection efficace des données et un droit à la vie privée qui est significatif appuient particulièrement les idéaux, les processus, la participation et le débat démocratiques.

Cela signifie que la vie privée doit être protégée, et que sa protection doit être encadrée par un régime juridique solide, équitable et applicable, fondé sur les droits. Ce régime doit offrir de véritables recours pour prévenir et traiter les infractions et inciter les institutions à créer une culture de protection de la vie privée. Une telle culture, c’est prendre la vie privée en considération, la valoriser et la privilégier. 

C’est intégrer la vie privée au début des activités d’innovation, et non y réfléchir après coup ou la considérer comme un fardeau du cadre réglementaire.

Le deuxième élément de ma vision est la reconnaissance des effets positifs de la protection de la vie privée et le rejet du faux choix entre la protection de la vie privée et l’intérêt public ou l’innovation.

Le troisième élément de ma vision, soit que la protection de la vie privée est un moyen d’accentuer la confiance des Canadiennes et des Canadiens envers leurs institutions, doit être pris en compte dans les activités liées à l’équité, à la diversité et à l’inclusion. Fournir des renseignements personnels aux institutions gouvernementales demande de faire confiance, particulièrement pour les groupes marginalisés depuis longtemps. Lorsque les gens ont la certitude que leurs renseignements personnels seront protégés, ils seront plus enclins à participer plus librement à la vie numérique.

Priorités stratégiques

Mon engagement envers un avenir propice à l’innovation, où le droit fondamental à la vie privée est protégé, est décrit dans le plan stratégique que j’ai lancé il y a un an afin d’orienter les activités du Commissariat. S’appuyant sur ma vision, ce plan établit trois priorités stratégiques qui devraient guider notre travail jusqu’en 2027. Les voici :

• Protéger et promouvoir le droit à la vie privée de manière à optimiser les efforts déployés en utilisant les renseignements opérationnels pour dégager les tendances qui doivent retenir l’attention, produire des documents d’orientation et des outils de sensibilisation ciblés, tirer parti de partenariats stratégiques et rationaliser nos ressources et nos processus pour optimiser la prestation de nos services;
• Faire valoir la protection de la vie privée à l’heure où se succèdent les changements technologiques et agir en ce sens, en particulier en ce qui a trait à l’IA et l’IA générative, dont la prolifération présente à la fois des avantages et des risques accrus pour la protection de la vie privée;
• Défendre le droit à la vie privée des enfants afin de s’assurer que les besoins qui leur sont propres en la matière sont satisfaits et qu’ils peuvent exercer leurs droits.

Ces priorités reposent sur un engagement à collaborer avec les autorités de protection de la vie privée d’ici et d’ailleurs, avec les gouvernements, la société civile, le milieu universitaire et l’industrie ainsi que d’autres organismes de réglementation.

Dans le cadre de votre travail, la priorité qui m’apparaît la plus pertinente et qui pourrait avoir le plus de retombées est de faire valoir la protection de la vie privée à l’heure où se succèdent les changements technologiques et d’agir en ce sens.

La technologie offre de nombreux avantages pour le gouvernement, entre autres en ce qui concerne la prestation et le caractère accessible des services, la création de gains d’efficacité opérationnelle et l’amélioration de l’analyse et de l’utilisation des données pour soutenir la prise de décisions et, ultimement, l’intérêt public et les institutions du Canada.

Alors que les organisations fédérales continuent de tirer parti de la technologie et d’explorer l’utilisation de l’intelligence artificielle – ou l’IA –, il deviendra de plus en plus important de collaborer avec les professionnels de la protection de la vie privée dans le cadre des initiatives qui comprennent la collecte, l’utilisation et la conservation de renseignements personnels.

Les organismes de réglementation, y compris le Commissariat, travaillent de façon soutenue pour suivre le rythme des nouvelles technologies qui évoluent rapidement et établir des pratiques exemplaires pour les réglementer.

La majeure partie des travaux du Commissariat dans ce domaine a mis en avant la nécessité pour les développeurs et les fournisseurs d’IA générative d’intégrer la protection de la vie privée dès la conception, l’exploitation et la gestion de nouveaux produits et services.

En décembre 2023, j’ai lancé un ensemble de principes pour des technologies de l’IA générative responsables et dignes de confiance, que le Commissariat avait élaboré conjointement avec ses homologues provinciaux et territoriaux. Ces principes ont été réitérés à l’occasion de la Table ronde des autorités de protection des données et de la vie privée du G7 en octobre dernier. Nous avons alors publié des déclarations sur le rôle des autorités de protection des données dans la promotion d’une IA digne de confiance ainsi que sur l’IA adaptée aux enfants. Au cours de la dernière année, le Commissariat a collaboré à des initiatives similaires avec l’Assemblée mondiale pour la protection de la vie privée et, à l’échelle nationale, avec ses homologues provinciaux et territoriaux.

Ces principes énoncent clairement que les développeurs et les organisations qui ont recours à l’IA générative doivent protéger les enfants et les groupes qui sont depuis longtemps victimes de discrimination ou de préjugés.

Selon ces principes, les développeurs, les fournisseurs et les organisations qui utilisent des systèmes d’IA générative doivent tous travailler activement à assurer l’équité de ces systèmes, et garantir qu’ils ne reproduisent pas ou n’amplifient pas les biais – ou n’introduisent pas de nouveaux biais. S’ils échouent, l’utilisation de modèles et d’applications d’IA générative peut être plus susceptible d’entraîner des résultats discriminatoires fondés sur la race, le sexe, l’orientation sexuelle, le handicap ou d’autres caractéristiques protégées.

C’est entre autres pour cette raison que j’insiste sur la nécessité pour les organisations qui utilisent l’IA d’être transparentes à ce sujet et d’assumer leurs responsabilités quant à toute décision concernant des personnes qui est prise au moyen de l’IA, qu’il s’agisse d’accorder à quelqu’un un statut d’immigrant ou des prestations d’assurance-emploi. D’ailleurs, on a déjà fait mention de tels préjugés dans le contexte de processus de dotation ou de recrutement au sein du gouvernement.

Ce risque est particulièrement élevé lorsque l’IA est utilisée pour des services de soins de santé, d’emploi, d’éducation, de police, d’immigration, de justice pénale, de logement ou d’accès au financement.

Il s’agit d’une question préoccupante, car nous nous attendons à une explosion de l’utilisation de l’IA dans les années à venir – selon les prévisions, d’ici 2026, 90 % de l’ensemble du contenu en ligne pourrait être au moins partiellement généré par l’IA.

Autrement dit, l’IA pourrait bientôt être partout en ligne.

Je prévois de publier dans les prochains mois les conclusions de l’enquête sur OpenAI, la société à l’origine de ChatGPT, que j’ai menée conjointement avec mes homologues du Québec, de la Colombie-Britannique et de l’Alberta. Les résultats de cette enquête nous aideront à formuler nos recommandations au secteur public et au secteur privé concernant l’utilisation de la technologie.

Lorsque je parle de la gouvernance de l’IA avec mes partenaires nationaux et internationaux, notre objectif est de nous assurer que cette technologie est conçue et bâtie sur des bases solides, et qu’elle peut être adaptée au fil du temps.

C’est l’approche de la protection de la vie privée dès la conception.

Protection de la vie privée dès la conception

La protection de la vie privée dès la conception est étroitement liée à la conception axée sur la personne. La protection de la vie privée dès la conception contribue aux perceptions des utilisateurs à l’égard de la prise en charge, de la compétence et de l’intégrité, qui sont des facteurs clés de la confiance envers les services du gouvernement.

La protection de la vie privée dès la conception signifie que l’on intègre les concepts de protection de la vie privée dès le début d’une initiative, en les intégrant dans les fondements de ce que l’on prévoit de faire.

À titre d’exemple, le fait de décider dès le départ de limiter la collecte de renseignements personnels au strict nécessaire pour un nouveau programme, de définir une période de conservation et de planifier la façon dont les données seront protégées sont tous des moyens d’intégrer les principes de protection de la vie privée dès le départ et de réduire le risque de problèmes ultérieurs dans ce domaine.

Si vous souhaitez adopter une approche favorisant la protection de la vie privée en matière de gestion des données, le responsable de la protection de la vie privée de votre organisation et le Commissariat sont là pour vous y aider.

Les évaluations des facteurs relatifs à la vie privée, ou EFVP, sont un autre outil important d’atténuation des risques. Elles peuvent aider les institutions à démontrer qu’elles sont responsables des renseignements personnels qui relèvent d’elles, qu’elles respectent la loi et qu’elles limitent le risque d’atteinte à la vie privée. Elles doivent être effectuées avant le lancement d’une initiative, et idéalement au tout début de la conception, afin que les mesures de protection de la vie privée soient intégrées dès le départ.

L’automne dernier, le Secrétariat du Conseil du Trésor a mis à jour ses instruments de politique concernant les EFVP.

La nouvelle norme met notamment l’accent sur la notion de protection de la vie privée dès la conception et comprend une liste de vérification qui doit être remplie avant d’entamer une EFVP afin de déterminer si celle-ci est nécessaire.

Protection de la vie privée et équité, diversité et inclusion

J’aimerais maintenant me pencher sur les « données pour l’équité ». C’est une tendance générale qu’on observe au Canada et ailleurs dans le monde, et il y a certaines choses à prendre en compte lorsqu’on recueille des données aux fins d’équité.

Dans le discours du Trône de 2020, le gouvernement du Canada a mentionné la nécessité d’avoir des données désagrégées pour lutter contre le racisme systémique et connaître les expériences concrètes des communautés racisées et des peuples autochtones. Cet objectif faisait aussi partie de l’Appel à l’action en faveur de la lutte contre le racisme, de l’équité et de l’inclusion dans la fonction publique fédérale lancé en 2020 par l’ancien greffier du Conseil privé, qui a exhorté les dirigeants du gouvernement fédéral à jouer un rôle actif pour mettre fin à toute forme de discrimination et d’oppression.

De nombreuses institutions gouvernementales recueillent et utilisent des renseignements personnels afin de remédier aux iniquités sociales dans la prestation de services et de produits. Ces initiatives prennent différentes formes. On peut penser par exemple à l’Analyse comparative entre les sexes plus, à la collecte de données sur la race dans le cadre de l’application de la loi, à la collecte de données sur l’équité en emploi et au questionnaire d’auto-identification volontaire.

Les données peuvent être utilisées pour réduire le risque de biais ou pour démontrer la responsabilité de manière plus générale. Les données peuvent aussi servir à la prise de décisions opérationnelles éclairées, qu’il s’agisse de l’affectation des ressources ou de la gestion du rendement d’un programme.

Parce que les données relatives à l’équité sont importantes, ceux et celles qui entreprennent de recueillir des données doivent tenir compte au préalable de la protection de la vie privée afin d’éviter de marginaliser encore plus les groupes méritant l’équité et de compromettre la confiance.

Certains types de renseignements personnels sont considérés comme sensibles en raison des risques précis que présentent la collecte, l’utilisation ou la communication de ces catégories de renseignements, comme les renseignements sur la santé, les finances, les origines ethniques et raciales, les opinions politiques, les données génétiques et biométriques, la vie sexuelle ou l’orientation sexuelle d’un individu et les croyances religieuses ou philosophiques.

L’auto-identification est un moyen important de recueillir des données pour les groupes méritant l’équité. Les organisations ne peuvent obtenir ces données que si les groupes en question les fournissent volontairement.

En vue de bien saisir des données sur l’identité qui sont assez complètes pour être efficaces, les organisations doivent susciter et maintenir la confiance. Pour y arriver, elles doivent faire preuve de diligence raisonnable et montrer qu’elles ont à cœur la protection de la vie privée.

À cette fin, lorsqu’une organisation entreprend de recueillir des renseignements personnels, elle doit être capable d’expliquer clairement dans quelle mesure les renseignements qu’elle a l’intention de recueillir sont nécessaires, et que l’organisation est autorisée par la loi à recueillir ces renseignements.

Lorsque cela est fait, il faut cerner tous les risques pour la vie privée et les atténuer.

Par exemple, une EFVP sera nécessaire si une institution offre des subventions à un groupe méritant l’équité.

Dans bien des cas, les entités recueillent des données sur l’identité pour des raisons plus générales et non administratives, notamment pour les utiliser sous forme agrégée aux fins de recherche, de statistique, d’audit ou d’évaluation.

Même dans ces situations, les institutions doivent veiller à cerner et à atténuer les risques d’atteinte à la vie privée.

D’autres principes de protection de la vie privée doivent également être pris en compte, à commencer par l’efficacité et la limitation de la collecte.

Efficacité et limitation de la collecte

Pour assurer l’efficacité des initiatives en matière d’équité, des données pertinentes de grande qualité sont essentielles. Dans le secteur public fédéral, deux points clés de la législation et de la politique soulignent cette importance.

La Loi sur la protection des renseignements personnels prévoit que les institutions fédérales doivent prendre toutes les mesures raisonnables pour veiller, dans la mesure du possible, à ce que les renseignements personnels qu’elles utilisent à des fins administratives – lorsqu’il s’agit d’une décision qui touche directement un individu – soient à jour, exacts et complets.

Par conséquent, si les renseignements personnels doivent être utilisés à des fins administratives, les institutions doivent mettre en place des mesures pour vérifier, valider et mettre à jour les renseignements qu’elles utilisent.

La Directive sur les pratiques relatives à la protection de la vie privée du Secrétariat du Conseil du Trésor indique que les institutions doivent montrer que les renseignements personnels qu’elles recueillent sont directement liés et nécessaires au programme.

Il faut aussi vérifier de façon périodique si ces mesures contribuent à l’élaboration de politiques fondées sur des données probantes. Si les données ne répondent pas aux fins visées, la collecte doit être interrompue.

D’autres principes de protection de la vie privée doivent être pris en compte avant que les institutions ne procèdent à la collecte, à l’utilisation ou à l’analyse de renseignements personnels dans le cadre d’initiatives en matière d’équité. Il s’agit des principes suivants :

1. Nécessité : Les renseignements personnels sont-ils essentiels à la réalisation de l’objectif?
2. Proportionnalité : La quantité de renseignements personnels recueillis est-elle proportionnelle au besoin?
3. Atteinte à la vie privée minimale : La méthode de collecte est-elle celle qui porte le moins atteinte à la vie privée?
4. Efficacité : Les renseignements personnels contribueront-ils de manière efficace à la réalisation des objectifs du programme?

Lorsque l’objectif est de réduire les iniquités sociales, les données nécessaires pour mesurer l’efficacité peuvent être très nombreuses. Dans de nombreux cas de collecte de données pour l’équité, les institutions « ne savent pas ce qu’elles ne savent pas », ce qui ouvre la porte à une collecte excessive.

Lorsqu’on limite la collecte de renseignements personnels, on doit faire des choix non seulement quant à l’étendue de celle-ci, mais aussi quant à la précision des renseignements qu’on recueille.

Par exemple, une organisation peut décider qu’elle est autorisée par la loi de recueillir des renseignements sur l’appartenance d’une personne à un peuple autochtone et qu’elle a besoin de cette information, mais elle n’a pas nécessairement l’autorisation légale ni le besoin de demander des renseignements supplémentaires sur l’appartenance à une communauté autochtone en particulier.

Dépersonnalisation

L’un des moyens de renforcer la protection de la vie privée est d’appliquer des mesures efficaces de dépersonnalisation.

La dépersonnalisation est le processus qui consiste à supprimer ou à transformer les renseignements personnels d’un ensemble de données afin que les individus qu’ils concernent soient moins facilement identifiables. Il existe toute une série d’approches, d’algorithmes et d’outils qui peuvent être utilisés pour dépersonnaliser et anonymiser différents types de données, et ce, à des niveaux d’efficacité variables.

En ce qui a trait à la dépersonnalisation, le Commissariat recommande que les mesures suivantes soient envisagées :

• Supprimer, masquer ou caviarder les identifiants directs comme le nom ou le numéro d’assurance sociale lorsqu’ils n’ajoutent aucune valeur aux analyses;
• Établir la taille minimale appropriée d’un groupe lorsque des données sont diffusées; l’utilisation de groupes comptant au moins 10 entrées est souvent citée comme pratique exemplaire pour la diffusion de données publiques moins sensibles, et de groupes comportant au moins 20 entrées pour les données plus sensibles;
• Faire preuve de transparence en matière de dépersonnalisation, prendre en compte les risques de réidentification et atténuer ces risques au moyen d’une EFVP.

Lorsque les gens ont confiance dans les pratiques de traitement des données d’une institution, ils sont plus susceptibles de fournir leurs renseignements personnels. En dépersonnalisant efficacement les données, les organisations peuvent en préserver l’utilité et la pertinence tout en favorisant une plus grande participation, ce qui améliore ainsi l’efficacité des initiatives en matière d’équité.

Conclusion

La protection de la vie privée est un élément primordial de la confiance, qui elle-même est essentielle au succès des initiatives en matière d’équité, de diversité et d’inclusion.

Le travail du Commissariat recoupe le vôtre en ce que nous cherchons tous deux à protéger des droits fondamentaux de la personne.

Lorsque le greffier du Conseil privé a publié son Appel à l’action en faveur de la lutte contre le racisme, de l’équité et de l’inclusion dans la fonction publique fédérale il y a quatre ans, il a déclaré ceci : « Un dirigeant, c’est une personne qui contribue activement à mettre fin à toute forme de discrimination et d’oppression, en s’interrogeant consciemment et constamment sur ses propres préjugés et en créant un milieu où les employés se sentent habilités et ne craignent pas de prendre la parole s’ils sont témoins d’obstacles à l’équité et à l’inclusion. »

Le Commissariat peut donner des conseils et des orientations aux organisations afin de les soutenir dans leurs démarches pour respecter la protection de la vie privée alors qu’elles établissent une culture d’équité, de diversité et d’accessibilité.

Nous pouvons travailler ensemble pour faire en sorte que les individus de tous les groupes de la population, et en particulier ceux des groupes méritant l’équité, se sentent aptes à prendre des décisions éclairées en matière de protection de la vie privée.

En tant que champions de l’équité, vous pouvez défendre la protection de la vie privée en encourageant vos organisations à consulter le Commissariat avant de recueillir ou d’utiliser des renseignements personnels afin de cerner et d’éliminer les obstacles.

Merci encore de m’avoir invité aujourd’hui! Je crois que nous avons maintenant le temps de répondre à quelques questions.