Fiches des enjeux, collecte et utilisation de données sur la mobilité
Cadre du Commissariat pour la COVID-19
Messages clés
- Au début de la pandémie, nous avons élaboré un cadre pour aider les institutions fédérales à évaluer les initiatives relatives à la COVID-19 afin d’assurer le respect de la vie privée en tant que droit fondamental.
- Ce cadre fournit des orientations sur les principes clés de la protection de la vie privée, par exemple :
- S’assurer que les mesures reposent sur la science, sont nécessaires à une fin particulière, ont un lien logique avec cette fin et sont efficaces.
- Fixer des limites dans le temps stricts pour les mesures mises en œuvre pour faire face à la crise qui portent atteinte à la vie privée, et pour la durée de conservation des renseignements personnels après la crise.
- Adopter des mesures rigoureuses de protection des données et utiliser des données dépersonnalisées ou agrégées dans la mesure du possible.
- Tenir compte des répercussions uniques des mesures sur les populations vulnérables.
- S’assurer de la surveillance, de la responsabilité et de la transparence afin d’accroître la confiance.
Contexte
- Le Commissariat a publié le cadre en avril 2020 en réponse à des initiatives axées sur les données qui étaient en train d’émerger rapidement à l’échelle mondiale pour empêcher la propagation de la COVID-19 et obtenir des renseignements sur celle-ci, dont certains avaient des répercussions importantes sur la vie privée et les libertés civiles.
- Le cadre précise que la protection de la vie privée n’est pas seulement un ensemble de règles et de règlements techniques, mais que celle-ci représente plutôt un impératif permanent de préserver les droits fondamentaux de la personne et les valeurs démocratiques, même dans des circonstances exceptionnelles.
- Il souligne également que les lois sur la protection des renseignements personnels peuvent être appliquées de façon souple et contextuelle, mais qu’elles doivent tout de même s’appliquer.
Préparé par : la direction des politiques, de la recherche et des affaires parlementaires (PRAP)
Mobilisation du Commissariat auprès du Centre de recherches sur les communications et de l’Agence de santé publique du Canada
Messages clés
- Le 21 avril 2020, le Centre de recherches sur les communications (CRC) d’Innovation, Sciences et Développement économique Canada (ISDE), nous a informés qu’il avait l’intention d’accéder à des données de mobilité dépersonnalisées de Telus afin de répondre aux questions de l’Agence de santé publique du Canada (ASPC) sur les tendances en matière de mobilité, dont le respect des règles de distanciation physique. Le Centre a refusé de participer à une consultation officielle avec la Direction des services-conseils au gouvernement (SCG).
- Le 22 avril 2020, l’ASPC nous a informés de son intention d’utiliser les données de localisation mobile en réponse à la COVID-19. Étant donné que les renseignements avaient été dépersonnalisés et regroupés, l’Agence estimait qu’elle ne recueillait pas et n’utilisait pas de « renseignements personnels », et que cette activité ne relevait pas de la Loi sur la protection des renseignements personnels et ne donnait pas lieu à une évaluation des facteurs relatifs à la vie privée (EFVP) comme l’exige le Secrétariat du Conseil du Trésor du Canada (SCT). Par conséquent, l’ASPC ne nous a pas demandé conseil.
- Le 21 décembre 2021, la DSCG a demandé à l’ASPC de lui fournir des renseignements sur une demande de propositions visant à obtenir des données de localisation mobile pour une période de cinq ans. L’ASPC a donné une séance d’information le 6 janvier 2022 sur ses activités passées et prévues, en précisant entre autres les sources de données, les parties concernées et la façon dont l’ASPC a utilisé ou utilisera les données.
- Nous n’avons pas formulé de conseils ou de recommandations au cours de cette séance d’information, car cela aurait été inapproprié compte tenu du fait que nous nous attendions à une enquête.
Contexte
- La DSCG a tenu des réunions régulières (toutes les semaines ou toutes les deux semaines) avec la Division de la gestion de la protection des renseignements personnels de Santé Canada (SC) et de l’ASPC tout au long de la pandémie. Les discussions ont porté sur l’application ArriveCAN, les mesures frontalières, la preuve de vaccination et d’autres mesures.
- En ce qui concerne les initiatives qui nécessitent l’utilisation de renseignements personnels dépersonnalisés, la DSCG recommande aux institutions de s’assurer que ces renseignements sont dépersonnalisés de manière adéquate et d’expliquer les normes auxquelles le processus de dépersonnalisation est soumis.
- En ce qui concerne les initiatives auxquelles participent des tiers, la DSCG recommande aux institutions de s’assurer que les contrats contiennent des mesures de protection de la vie privée appropriées afin de protéger suffisamment les renseignements personnels lorsqu’ils ne sont pas sous la garde de l’institution et de respecter leurs obligations au titre de la Loi sur la protection des renseignements personnels.
Préparé par : DSCG et PRAP
Mobilisation du Commissariat auprès de Telus relativement au programme « Les données au service du bien commun »
Messages clés
- Telus a contacté le Commissariat le 8 avril 2020 pour l’aviser qu’elle avait l’intention de communiquer des données dépersonnalisées et agrégées aux gouvernements, aux autorités sanitaires et à des chercheurs universitaires en vue d’appuyer les travaux de gestion de la crise liée à la COVID-19.
- Telus nous a fait part d’une déclaration publique expliquant les principes de son programme « Les données au service du bien commun » et a sollicité nos commentaires à ce sujet.
- Nous avons formulé divers commentaires, avons suggéré à Telus de consulter les directives relatives à la pandémie que nous avions publiées récemment. De plus, nous avons fait savoir que, si Telus avait des propositions ou des initiatives concrètes avec des tiers, il pourrait lui être utile de consulter notre Direction des services-conseils à l’entreprise (DSCE) afin d’obtenir des conseils. Nous avons également indiqué que nous serions intéressés d’assister à une séance d’information technique sur la méthode d’agrégation et de dépersonnalisation employée par Telus.
- Telus n’a pas livré une telle séance d’information au Commissariat et n’a pas contacté notre Direction des services-conseils à l’entreprise.
Contexte
- Aucune autre entreprise de télécommunications n’a communiqué avec le Commissariat pour discuter de questions liées à la protection de la vie privée concernant les données qu’elle détient.
- Si l’offre visant à discuter avec Telus avait été acceptée, nous aurions examiné les principes clés de protection de la vie privée qui devraient être pris en compte dans l’évaluation de toute mesure de lutte contre la COVID-19 susceptible d’avoir une incidence sur la vie privée des Canadiens, notamment :
- que les pouvoirs conférés par la loi en ce qui a trait à la collecte, à l’utilisation et à la communication de renseignements personnels soient clairement définis;
- que toute nouvelle mesure soit nécessaire et proportionnelle;
- que les renseignements personnels recueillis, utilisés ou communiqués en réponse à la pandémie COVID-19 ne soient pas utilisés à d’autres fins; et
- que des renseignements dépersonnalisés ou agrégés soient utilisés dans la mesure du possible.
- Le Commissariat n’a pas reçu de propositions semblables de la part d’autres entreprises de télécommunications. Cependant, la Direction des services-conseils à l’entreprise est disposée à discuter avec d’autres entreprises de télécommunications si elles envisagent de telles activités.
Préparé par : DSCE
Rôle de la Direction des services-conseils au gouvernement (DSCG)
Messages clés
- La DSCG donne des conseils aux institutions concernant des programmes et des activités particulières à la suite d’un examen des évaluations des facteurs relatifs à la vie privée (EFVP) et de consultations sur des initiatives.
- Au début de la pandémie de COVID-19, le SCT a adopté des mesures stratégiques provisoires visant à assouplir les exigences relatives à l’analyse des risques d’atteinte à la vie privée pour les initiatives conçues en vue de répondre de façon urgente à la crise. Ces mesures sont restées en place jusqu’en mars 2021.
- Lorsque le SCT a consulté le Commissariat au sujet de ces mesures provisoires, nous avons constaté que le SCT avait assoupli les exigences existantes en matière de protection de la vie privée sans offrir de solutions de rechange adéquates.
- Le SCT n’a pas accepté nos recommandations visant à considérer la protection de la vie privée comme un droit de la personne fondamental dans ses politiques, ou à exiger que les institutions consultent le Commissariat – plutôt que de l’aviser – au sujet des initiatives liées à la COVID-19 qui ont une incidence sur la vie privée.
- Le SCT a expliqué qu’il ne pouvait pas apporter ces changements en réponse à la pandémie dans le cadre législatif actuel, ce qui démontre le besoin urgent de procéder à une réforme législative.
Contexte
- La Directive sur l’évaluation des facteurs relatifs à la vie privée exige que les institutions mènent des EFVP lorsque des renseignements personnels sont utilisés à des fins administratives. Elle exige également que les institutions établissent si les initiatives qui ne nécessitent pas l’utilisation de renseignements personnels à des fins administratives, mais qui ont une incidence sur la vie privée, doivent faire l’objet d’une EFVP. Cette exigence a été conservée dans la version provisoire de la Directive.
- D’après la Politique sur la protection de la vie privée, les institutions doivent aviser le Commissariat de toute initiative prévue pouvant avoir rapport avec la Loi ou avoir une incidence sur la vie privée, et ce, suffisamment tôt pour que nous puissions discuter des enjeux. La version provisoire de la Politique prévoit que cet avis doit être donné « le plus tôt possible » pour les activités urgentes liées à une pandémie.
Préparé par : DSCG
Partenariats public-privé et réforme législative
Messages clés
- L’initiative de l’ASPC sur les données relatives à la mobilité n’est qu’un exemple d’une tendance croissante que nous observons : le secteur public tire parti des technologies et des données du secteur privé pour élaborer des politiques ou fournir des services gouvernementaux numériques.
- Le recours à l’expertise des entreprises pour aider au fonctionnement de l’État fait ressortir la nécessité d’établir une plus grande cohérence entre nos lois des secteurs public et privé.
- Les deux secteurs devraient être tenus à des normes similaires.
- Nos deux lois fédérales sur la protection des renseignements personnels devraient donc être mises à jour simultanément.
Contexte
- Dans son plus récent document de consultation sur la modernisation de la Loi sur la protection des renseignements personnels, Justice Canada propose de mieux harmoniser cette loi avec la Loi sur la protection des renseignements personnels et des documents électroniques (LPRPDE). La cohérence entre ces lois fédérales pourrait simplifier le régime de protection des renseignements personnels pour tous, améliorer l’interopérabilité nationale, prévenir les lacunes en matière de responsabilité lorsqu’il y a interaction entre les secteurs public et privé, et confirmer encore davantage la conformité de la Loi sur la protection des renseignements personnels avec les normes mondiales établies.
- Selon le rapport de Justice Canada résumant la teneur des consultations, les intervenants conviennent de la nécessité d’harmoniser les cadres des secteurs public et privé pour la protection des renseignements personnels.
- Plusieurs initiatives liées à la pandémie ainsi que l’utilisation par la Gendarmerie royale du Canada (GRC) de la technologie de reconnaissance faciale de Clearview sont des exemples récents du recours croissant à des partenariats public-privé, ce qui fait ressortir la nécessité d’établir des exigences communes dans nos deux lois fédérales sur la protection des renseignements personnels.
- Dans sa lettre de mandat de décembre 2021, le ministre de l’Innovation, des Sciences et de l’Industrie a reçu pour instruction de « présenter un projet de loi pour promouvoir la Charte du numérique », tandis que le ministre de la Justice a reçu pour instruction de « poursuivre l’examen approfondi de la Loi sur la protection des renseignements personnels ».
Préparé par : PRAP
Dépersonnalisation et réforme législative
Messages clés
- Certaines personnes ont fait valoir que les renseignements dépersonnalisés ne sont pas des renseignements personnels et sont donc exclus du champ d’application des lois actuelles.
- La dépersonnalisation peut être une technique permettant de renforcer la protection des renseignements personnels. Toutefois, la dépersonnalisation de ces renseignements n’élimine pas complètement le risque de repersonnalisation. C’est pourquoi il est essentiel de continuer à les traiter comme des renseignements personnels afin de garantir le maintien de certains contrôles, de certaines mesures de sécurité et d’une surveillance de leur utilisation.
- Nous appuyons les propositions avancées par le ministère de la Justice, et dans le cadre de l’ancien projet de loi C-11, qui accorderaient une plus grande souplesse aux organisations quant à l’utilisation des renseignements personnels dépersonnalisés tout en veillant à ce qu’ils demeurent dans la portée de la Loi sur la protection des renseignements personnels. Cette approche établit un juste équilibre.
- Cette approche permettrait également d’éviter que ces renseignements soient utilisés d’une manière qui pourrait avoir de graves répercussions sur les droits des individus.
Contexte
- C-11 : Proposait une marge de manœuvre pour l’utilisation ou la communication de renseignements dépersonnalisés à l’insu d’un individu ou sans son consentement; le projet de loi permettait ce qui suit :
- dépersonnaliser les renseignements (art. 20);
- à des fins de recherche et de développement internes (art. 21);
- entre parties d’une transaction commerciale éventuelle (art. 22);
- à des fins socialement bénéfiques (communication faite aux entités figurant sur la liste établie et à toute entité réglementaire, selon la définition de « fins socialement bénéfiques ») (art. 39).
- C-11 : Lorsque l’organisation dépersonnalise des renseignements personnels, elle veille à ce que les procédés techniques et administratifs utilisés soient proportionnels aux fins auxquelles ces renseignements sont dépersonnalisés et à la nature délicate des renseignements personnels; infraction : utiliser des renseignements dépersonnalisés afin d’identifier un individu.
- Ministère de la Justice Canada: Accorder une marge de manœuvre pour utiliser ou communiquer des renseignements dépersonnalisés sans le consentement des personnes concernées si cela est dans l’intérêt public, si les renseignements ont été dépersonnalisés en suivant un processus établi dans des règlements ou une politique, et si des mesures de protection techniques ou administratives appropriées ont été prises. Propose de créer une infraction pour la repersonnalisation de renseignements.
- Dans notre examen de l’application Alerte COVID, nous avons recommandé que la Loi sur la protection des renseignements personnels devrait reconnaître que la repersonnalisation des renseignements personnels est toujours une possibilité, selon le contexte, et que la Loi devrait définir les renseignements dépersonnalisés afin de permettre une application plus ciblée et nuancée de certaines règles.
Préparé par : PRAP
Dépersonnalisation / agrégation
Messages clés
- La dépersonnalisation est le processus qui consiste à supprimer les renseignements personnels d’un ensemble de données. L’agrégation est le regroupement de données ayant des attributs similaires pour obtenir des propriétés statistiques.
- Il n’est pas nécessairement sûr de communiquer ou de diffuser des données agrégées, car la combinaison des attributs peut produire de petits nombres qui sont révélateurs et qui pourraient être utilisés pour identifier un individu.
- La dépersonnalisation des données avant leur agrégation peut réduire la possibilité de réidentifier des individus dans ces petits nombres.
- L’objectif doit être de produire des données utiles pour les fins visées et qui soient suffisamment protégées, en réduisant le risque de repersonnalisation.
Contexte
- Plusieurs techniques, utilisées par les organismes statistiques nationaux, ont été développées pour protéger les données agrégées. Il existe des normes et des orientations internationales qui portent sur des attaques et des solutions plus complexes.
- Les processus de dépersonnalisation visent à réduire le caractère identifiable des données et à minimiser le risque de repersonnalisation. On peut y parvenir en transformant les données (par exemple, par la généralisation, la suppression, l’ajout de bruit ou l’échantillonnage) ou en restreignant l’accès.
- Les mesures de restriction d’accès consistent à ne communiquer ou à ne diffuser les données qu’à ceux qui en ont besoin à des fins approuvées et dans des environnements de données convenablement protégés par des contrôles techniques et organisationnels appropriés.
- Les « petits nombres » désignent le nombre de personnes qui présentent la même combinaison d’attributs (personnes similaires dans le même groupe). Plus le nombre de personnes dans un même groupe est petit (petits nombres), plus la probabilité qu’une personne soit identifiée est grande. La dépersonnalisation des données minimise le risque que cela se produise.
Préparé par : Direction de l'analyse de la technologie
Données sur la mobilité
Messages clés
- Les « données sur la mobilité » permettent de décrire les mouvements des populations et sont généralement tirées des données des réseaux cellulaires et/ou des données d’un système de positionnement global (GPS).
- Les opérateurs de téléphonie mobile ont accès à de grandes quantités de données sur leurs clients, notamment à de l’information sur le réseau et à des données sur les appareils en temps réel, qui peuvent être exploitées pour générer des données sur la mobilité.
- Les données sur la mobilité peuvent également être générées par des services de géolocalisation intégrés dans diverses applications tierces (par exemple, des applications de météo, des applications pour trouver des stations-service) sur des appareils personnels.
- Il est possible de partager des données sur la mobilité en toute sécurité. Toutefois, ces données étant considérées comme très sensibles, il faut prendre des précautions en évaluant les risques pour la vie privée et en atténuant ces risques à l’aide de méthodes comme la dépersonnalisation et l’agrégation.
Contexte
- Les données sur la mobilité proviennent généralement de données recueillies et utilisées par les exploitants de réseaux mobiles dans le cours normal de leurs activités.
- Par exemple, les exploitants de réseaux mobiles conservent les enregistrements détaillés des appels pour les appels entrants ou sortants ou les messages texte, qui indiquent la localisation approximative de l’appelant et du destinataire à un moment donné. Ces enregistrements peuvent aussi être utilisés pour générer des données sur la mobilité. Ces données ne comprennent que les métadonnées et non les messages réellement échangés.
- Les préoccupations relatives à la protection de la vie privée soulevées par l’utilisation des données sur la mobilité par l’ASPC comprennent le risque de surveillance, de suivi et le manque de transparence quant à l’utilisation à d’autres fins des données recueillies par les exploitants de réseaux mobiles.
- Au cours des réunions du Comité permanent de l’accès à l’information, de la protection des renseignements personnels et de l’éthique, les termes « données mobiles », « données transmises par téléphone cellulaire » et « données sur la mobilité » ont été utilisés de manière interchangeable. Cependant, il s’agit ici de données sur la mobilité agrégées qui ont été obtenues à partir des données de géolocalisation des réseaux cellulaires.
Préparé par : TA
Le point sur les enquêtes
Messages clés
- Le Commissariat a ouvert une enquête sur la collecte et l’utilisation des données sur la mobilité par l’Agence de la santé publique du Canada et Santé Canada compte tenu des plaintes reçues.
- L’enquête permettra d’établir si des renseignements personnels au sens de la Loi sur la protection des renseignements personnels ont été recueillis et, le cas échéant, si leur collecte et leur utilisation étaient conformes à ladite Loi.
- Le caractère confidentiel des enquêtes en cours m’empêche de communiquer plus de précisions.
Contexte
- Depuis décembre 2021, le Commissariat a reçu cinq plaintes connexes contre l’Agence de la santé publique du Canada (ASPC) et une à l’encontre de Santé Canada. À ce jour, aucune plainte connexe n’a été reçue contre Telus.
- Les plaintes concernent la collecte et l’utilisation par l’ASPC de données sur la mobilité provenant de 33 millions d’appareils, ainsi que la nouvelle demande de propositions de l’ASPC pour trouver un entrepreneur pouvant fournir un accès aux données de localisation provenant des tours de téléphonie cellulaire et des exploitants de réseaux mobiles afin de mieux répondre à la pandémie de COVID-19 et de permettre l’utilisation d’autres applications de santé publique.
- La Loi sur la protection des renseignements personnels définit les renseignements personnels comme étant des « renseignements, quels que soient leur forme et leur support, concernant un individu identifiable ». Nous constatons que dans son document de consultation sur la modernisation de la Loi sur la protection des renseignements personnels, le ministère de la Justice propose que les renseignements dépersonnalisés soient définis et assujettis à la Loi.
Préparé par : Le secteur de la Conformité
- Date de modification :