Fiches des enjeux, situation d’urgence à laquelle les Canadiens font face avec la pandémie de COVID-19
Mesures frontalières de l’ASPC / ArriveCAN
Principaux messages
- Nous avons examiné plusieurs évaluations de conformité en matière de protection des renseignements personnels de l’ASPC, y compris celles de l’application ArriveCAN et du portail Web, par rapport au cadre du CPVP.
- Nous sommes convaincus qu’ils s’harmonisent avec les pouvoirs de l’ASPC en vertu de la Loi sur la mise en quarantaine, et qu’ils se limitent à réduire la propagation de la COVID-19 et à prévenir l’importation du virus au Canada.
- L’ASPC a été réceptive à nos conseils sur la transparence et la surveillance; nous lui avons également conseillé de veiller à ce que les évaluations de sécurité soient effectuées sans tarder pour les systèmes de TI utilisés pour recueillir, transmettre et conserver des renseignements personnels.
- Nous nous attendons à recevoir d’autres évaluations sur la protection des renseignements personnels de la part de l’ASPC, si elle apporte des changements à l’application ArriveCan pour permettre aux voyageurs de présenter une preuve de vaccination.
Contexte
- Compte tenu de la nécessité d’exécuter rapidement les programmes pendant la pandémie, il est impossible de réaliser des EFVP complètes avant leur lancement. Le SCT a donc accordé à l’ASPC une exception concernant la réalisation des EFVP complètes pendant la pandémie. Elle continue d’utiliser une approche simplifiée et de nous consulter régulièrement pour régler les problèmes liés à la protection de la vie privée dans le cadre de l’élaboration de ses programmes.
- L’application ArriveCAN permet aux voyageurs de fournir des renseignements par voie numérique, ce qui accélère la recherche des contacts. L’ASPC affirme que l’application réduit de neuf à deux jours le délai moyen entre la date d’entrée et la date de divulgation pour la recherche des contacts.
- L’ASPC nous consulte au sujet des mises à jour possibles de l’application ArriveCAN pour permettre aux voyageurs entièrement vaccinés de téléverser volontairement des preuves de vaccination afin qu’ils puissent être exemptés de certaines mesures de quarantaine. L’ASPC partage l’information avec les autorités de santé publique de la province ou du territoire où la personne se met en quarantaine. Les renseignements peuvent être communiqués à la GRC et à d’autres organismes d’application de la loi au Canada à des fins de mise en quarantaine.
Préparé par : DSCG
Application Alerte COVID
Principaux messages
- Notre bureau collabore avec Santé Canada sur l’application Alerte COVID depuis juin 2020 pour veiller à ce que sa conception respecte les principes de protection des renseignements personnels énoncés dans la déclaration commune FPT sur les applications de recherche de contacts. Nous avons eu des discussions productives, et l’application est en fin de compte conforme à ces principes.
- Toutefois, la nécessité d’une réforme législative sur la protection de la vie privée a été soulignée par l’affirmation du gouvernement selon laquelle la Loi sur la protection des renseignements personnels ne s’applique pas aux applications, malgré les répercussions possibles des applications de recherche de contact sur la protection des renseignements personnels et les valeurs démocratiques.
- Nous avons recommandé que l’application soit surveillée de près après sa mise en œuvre et le gouvernement a accepté. Nous travaillons avec Santé Canada sur une évaluation conjointe de l’application, en examinant l’efficacité, la gouvernance et le respect continu des principes de la Déclaration commune.
Contexte
- L’application peut être utilisée pour signaler un diagnostic dans huit provinces [et un territoire] : l’Ontario, le Manitoba, Terre-Neuve-et-Labrador, le Nouveau-Brunswick, la Nouvelle-Écosse, l’Île-du-Prince-Édouard, la Saskatchewan, le Québec et les Territoires du Nord-Ouest.
- L’Alberta, la Colombie-Britannique, le Yukon et le Nunavut ont décidé de ne pas utiliser l’application fédérale.
- Santé Canada continue de consulter notre bureau au sujet des changements apportés à l’application, comme la collecte de données sur le nombre d’utilisateurs actifs et de téléchargements par province ou territoire.
- La DSCG travaille avec SC à une évaluation conjointe de l’application qui devrait être achevée d’ici la fin de 2021.
Préparé par : DSCG
Interaction avec Santé Canada et l’ASFC
Principaux messages
- La DSCG rencontre régulièrement des représentants de Santé Canada et de l’ASPC depuis les premiers jours de la pandémie pour veiller à ce que la protection des renseignements personnels soit intégrée pendant la conception des programmes en vertu de la Loi sur la mise en quarantaine et du décret sur l’isolement obligatoire.
- Nous rencontrons les responsables de l’ASPC et de la Division de la gestion de la protection des renseignements personnels de Santé Canada au moins toutes les deux semaines, et parfois plus souvent, pour offrir des conseils et une orientation de la façon la plus agile possible compte tenu des délais serrés et de l’urgence de la mise en œuvre des activités liées à la pandémie.
- Depuis avril 2020, nous avons reçu neuf évaluations sur la protection des renseignements personnels, nous en attendons plusieurs autres et nous avons ouvert une dizaine de dossiers de consultation.
- Le CPVP participe également avec Santé Canada à une évaluation conjointe sur l’efficacité et la gouvernance de l’application Alerte COVID.
Contexte
- Nous prévoyons d’autres évaluations des installations de mise en quarantaine, des systèmes de distribution et de gestion des vaccins (ConnexionVaccin) et peut-être des changements à l’application ArriveCAN pour permettre le téléversement de preuves de vaccination.
- Le SCT a accordé à Santé Canada et à l’ASPC des exceptions sur l’exécution d’EFVP complètes pour une période de 18 mois ou 6 mois après la fin de la pandémie, selon la période la plus courte. L’exception concernant cette politique expire le 30 septembre 2022.
- L’ASPC indique qu’il faut exécuter rapidement les programmes de lutte contre la pandémie, ce qui rend impossible la réalisation d’EFVP complètes avant leur lancement. Les EFVP demeurent des mécanismes majeurs de protection des renseignements personnels; toutefois, nous reconnaissons et appuyons la nécessité de faire preuve de souplesse en cas d’urgence en matière de santé publique.
Préparé par : DSCG
Utilisation des données biométriques de l’ASFC
Principaux messages
- L’ASFC joue un rôle dans le cadre du Programme de biométrie pour les résidents temporaires en inscrivant des empreintes digitales et des photos numériques pour les demandeurs de visa et en vérifiant l’identité grâce à la correspondance aux empreintes digitales réelles aux points d’entrée.
- Nous savons également que l’Agence est en train de mettre au point une application mobile pour un justificatif de voyage numérique « sans contact » (chaîne de confiance) en partie à cause de la pandémie. L’application utilise la reconnaissance faciale pour identifier les voyageurs à l’arrivée et permet aux personnes à faible risque de franchir les douanes plus rapidement.
- Nous examinons une évaluation sur la protection des renseignements personnels pour un projet pilote visant à mettre à l’essai un prototype de chaîne de confiance; l’ASFC s’est engagée à entreprendre une EFVP complète si ce projet doit être élargi.
- Nous avons été mis au courant des plans de l’ASFC visant à mettre sur pied un Bureau de la biométrie et de la gestion de l’identité grâce à des reportages journalistiques et nous avons communiqué avec l’Agence pour obtenir de plus amples renseignements.
Contexte
- Nous avons organisé une réunion de consultation pour le 22 juin afin de discuter du Bureau de la biométrie et de la gestion de l’identité et de la façon dont l’ASFC tient compte de la protection des renseignements personnels dans sa mise sur pied.
- L’ASFC est responsable d’inscrire les demandeurs de visa de visiteur, de permis d’études ou de travail ou de statut de résident permanent aux points d’entrée, ainsi que d’authentifier l’identité des voyageurs dont les données biométriques sont inscrites et qui arrivent aux points d’entrée en balayant leurs empreintes digitales et en les envoyant à la GRC pour vérification.
- L’ASFC utilise des lecteurs d’empreintes digitales électroniques LiveScan pour recueillir et vérifier les empreintes digitales aux points d’entrée. Les voyageurs inscrits au programme de biométrie peuvent également utiliser la borne d’inspection primaire (BIP) pour vérifier leurs empreintes digitales dans les aéroports canadiens.
Préparé par : DSCG
Position du CPVP sur les passeports vaccinaux
Principaux messages
- L’utilisation des passeports vaccinaux doit être nécessaire et proportionnelle, c’est-à-dire fondée sur des données probantes et nécessaire à des fins particulières et déterminées.
- Au cœur de la discussion sur le passeport vaccinal se trouve la nécessité de démontrer l’efficacité, c.‑à‑d. que les personnes vaccinées contre la COVID-19 sont effectivement moins susceptibles de transmettre le virus.
- Pour que les entreprises puissent collecter le statut de vaccination d’une personne comme condition d’entrée, il faudrait que cette collecte satisfasse à l’exigence « appropriée » du paragraphe 5(3) de la LPRPDE.
- Il y a de nombreuses preuves qu’un système de certification des vaccins peut avoir des répercussions disproportionnées les populations vulnérables et certains groupes d’individus.
- Par exemple, l’accès à la technologie numérique, aux formes d’identification, aux tests et aux vaccins est déjà inégal et les passeports vaccinaux pourraient renforcer les inégalités existantes sans mesures plus vastes pour remédier à ces inégalités.
Contexte
- Le 16 avril 2021, la conseillère scientifique en chef du premier ministre a fait remarquer que les passeports vaccinaux pourraient faciliter un retour à la normale, mais elle a également souligné que l’efficacité des vaccins pour prévenir davantage la transmission n’avait pas été démontrée.
- Le 19 mai, les commissaires à la protection de la vie privée FPT ont publié une déclaration commune soulignant que la nécessité et l’efficacité sont des considérations clés pour les passeports vaccinaux au Canada et ont noté qu’il doit y avoir un fondement juridique clair pour introduire l’utilisation des passeports vaccinaux pour chaque fin prévue.
- On a également souligné que tout renseignement personnel recueilli au moyen de passeports vaccinaux devrait être détruit et que les passeports devraient être mis hors service lorsque les responsables de la santé publique déclareront la pandémie terminée ou lorsque l’on déterminera que les passeports vaccinaux ne constituent plus une intervention nécessaire, efficace ou proportionnelle pour répondre à leurs besoins en matière de santé publique.
- La déclaration dit aussi ceci : « Bien que cela puisse présenter un avantage considérable pour le public, il s’agit d’un empiétement sur les libertés civiles qui ne devrait être pris qu’après mûre réflexion. »
Préparé par : DSCG
Communications des renseignements 8(2)m)
Principaux messages
- L’alinéa 8(2)(m) de la Loi sur la protection des renseignements personnels permet aux responsables d’institutions de faire des communications des renseignements qui sont dans l’intérêt public (8(2)(m)(i)) ou qui seraient à l’avantage de l’individu concerné (8(2)(m)(ii)).
- Ces communications sont à la discrétion du responsable de l’institution. Le CPVP doit être avisé par écrit, soit avant la communication, soit dès que c’est raisonnablement possible par la suite.
- Le sous-alinéa 8(2)(m)(i) pourrait en particulier s’appliquer à la communication de renseignements personnels à des comités parlementaires par les institutions gouvernementales, surtout lorsque le Parlement n’a pas exercé son pouvoir à contraindre à la divulgation.
- Le sous-alinéa 8(2)(m)(i) comporte un seuil très élevé : l’intérêt public doit clairement l’emporter sur toute atteinte à la vie privée.
Contexte
- Au cours des derniers mois, le HESA a demandé à divers ministères gouvernementaux de produire divers documents liés à la pandémie de COVID-19. Un exemple notable est celui des contrats du gouvernement du Canada avec les fournisseurs de vaccins contre la COVID-19. Certaines réponses du gouvernement contenaient des parties caviardées importantes.
- Le CPVP reçoit périodiquement des avis en vertu de l’alinéa 8(2)m) de la part d’institutions gouvernementales concernant les divulgations aux comités parlementaires.
- S’appuyant sur les remarques faites par la commissaire adjointe à la protection de la vie privée de l’époque, Chantal Bernier, lors d’une comparution devant le Comité permanent des comptes publics en 2011, le CPVP a fait part de sa position à l’ASPC, à savoir que les comités parlementaires ont le pouvoir de contraindre des institutions gouvernementales à livrer des renseignements, et nous convenons que la Loi sur la protection des renseignements personnels permet la communication de renseignements personnels à un comité.
Préparé par : Juridique
Le droit du Parlement à contraindre à la production d’éléments de preuve qui comportent des renseignements personnels
Principaux messages
- Le CPVP reconnaît le pouvoir du Parlement à contraindre à la production de documents contenant des renseignements personnels. Ce pouvoir est prévu à l’alinéa 8(2)c) de la Loi sur la protection des renseignements personnels.
- Dans l’exercice de ce pouvoir, nous recommandons que le Parlement examine des façons de veiller à ce que les demandes sous-jacentes des comités soient satisfaites tout en réduisant les risques pour les individus.
- Voici quelques mécanismes :
- limiter les renseignements personnels sollicités à ce qui est clairement nécessaire pour régler la question d’intérêt public en cause;
- tenir des réunions à huis clos;
- avoir des restrictions et des lignes directrices sur la livraison des documents;
- s’assurer qu’il y a des procédures appropriées pour protéger les renseignements.
Contexte
- Au cours des derniers mois, le HESA a demandé aux ministères gouvernementaux de produire divers documents liés à la pandémie de COVID-19. Certaines réponses du gouvernement contenaient des partie caviardées importantes.
- Selon les médias, certains membres du HESA ont laissé entendre que la réponse du gouvernement était inadéquate et frôlait l’outrage au Parlement. Le président a aussi récemment statué que l’ASPC ne s’est pas conformée à une motion du Comité sur les relations sino-canadiennes portant sur la production de documents.
- En 2011, la commissaire adjointe à la protection de la vie privée de l’époque, Chantal Bernier, a comparu devant le Comité permanent des comptes publics et a reconnu que le Parlement avait le pouvoir de contraindre à la production de documents contenant des renseignements personnels. S’appuyant sur le rapport de 2009 du Comité intitulé « Le pouvoir des comités d’ordonner la production de documents et de dossiers », la commissaire adjointe Bernier a exprimé son appui à l’idée que ce pouvoir sera rarement « exercé sans prendre en considération l’intérêt public ».
Préparé par : Juridique
Confidentialité en vertu de la Loi sur la protection des renseignements personnels
Principaux messages
- Les responsables du CPVP ont une obligation générale de confidentialité en vertu de l’article 63 de la Loi sur la protection des renseignements personnels à l’égard de tout renseignement dont ils ont connaissance dans l’exercice de leurs fonctions en vertu de la Loi. D’autres agents du Parlement ou d’organismes de réglementation ont une obligation semblable.
- Le commissaire a une capacité très limitée à communiquer des renseignements sur les enquêtes, les vérifications, les conseils ou les évaluations concernant les ministères, en dehors d’un rapport annuel ou d’un rapport spécial au Parlement en vertu des par. 37(2), 38 et 39.
- À l’heure actuelle, le CPVP n’a pas le pouvoir discrétionnaire, en vertu de la LPRP, de faire des communications de renseignements dans l’intérêt public, comme c’est le cas en vertu du paragraphe 20(2) de la LPRPDE.
Contexte
- Le CPVP offre des services de consultation aux institutions fédérales qui élaborent des programmes et des activités ayant une incidence sur la protection des renseignements personnels. Les institutions communiquent régulièrement avec nous.
- Les dispositions relatives à la confidentialité visaient à encourager les institutions à se montrer coopératives et à avoir des discussions ouvertes avec notre Bureau au sujet de la conformité à la protection des renseignements personnels en protégeant largement les renseignements que nous découvrons dans le cadre d’une enquête ou d’un examen de la conformité à la suite d’une divulgation.
- Depuis mars 2020, nous conseillons les institutions sur les questions concernant la COVID-19 et la pandémie. Dans l’ensemble, il s’agissait d’interventions constructives.
- En règle générale, les institutions gouvernementales sont libres de parler publiquement des répercussions de leurs activités sur la protection des renseignements personnels et de toute consultation avec le Commissariat (la disposition sur la confidentialité de la Loi sur la protection des renseignements personnels nous impose des limites).
- L’art. 64 autorise la communication de renseignements, mais dans des circonstances très limitées et précises : s’il est d’avis que la communication est nécessaire pour mener une enquête en vertu de la Loi, OU pour établir les motifs des constats et des recommandations dans un rapport de constatation. OU dans le cadre d’une poursuite pour une infraction au Code criminel (parjure), à la LPRP ou à la LAI (entrave).
Préparé par : Juridique
Déclaration FPT sur les passeports vaccinaux
Principaux messages
- En mai 2021, le Commissariat a publié une déclaration commune sur les passeports vaccinaux avec nos homologues provinciaux et territoriaux.
- La déclaration décrivait les principes fondamentaux de protection des renseignements personnels dont il faut tenir compte dans l’élaboration de passeports vaccinaux ou de toute initiative visant à confirmer le statut de vaccination ou d’immunité d’une personne.
- Compte tenu des risques importants pour la vie privée associés aux passeports vaccinaux, la déclaration a souligné que ces justificatifs doivent s’avérer manifestement nécessaires, efficaces et proportionnels avant d’être utilisés.
Contexte
- Le statut de vaccination, l’accès aux services et l’autorité juridique soulèvent de graves préoccupations, tant du point de vue de la protection des renseignements personnels que du point de vue des droits en général. Par conséquent, avant que cela ne se produise, si les restaurants, les commerces de détail ou les salles de musique exigeaient une preuve de vaccination comme condition de service, nous voudrions voir une ordonnance de santé publique particulière ou une autre autorisation législative pour nous assurer que les droits ne sont pas violés.
- L’importance de la consultation : les connaissances scientifiques sur la COVID-19 et les vaccins évoluent, tout comme les discussions sur les passeports vaccinaux dans de nombreuses administrations. Le but de notre déclaration était de veiller à ce que la protection de la vie privée soit prise en considération le plus tôt possible dans l’élaboration d’un passeport vaccinal.
- L’importance de la compétence : dans le cadre du processus d’élaboration, les organismes qui envisagent d’obtenir un passeport vaccinal devraient consulter les commissaires à la protection de la vie privée de leur administration.
- Plusieurs provinces (dont l’Ontario, l’Alberta et Terre-Neuve-et-Labrador) ont des lois qui protègent précisément les données sur la santé des personnes.
- De plus, la Colombie-Britannique, l’Alberta et le Québec ont des lois sur la protection des renseignements personnels dans le secteur privé qui sont essentiellement semblables à la LPRPDE.
Préparé par : PRAP
Résolution FPT sur la protection des renseignements personnels et les droits d’accès à l’information pendant et après une pandémie
Principaux messages
- En juin 2021, le Commissariat a publié une résolution commune avec nos homologues provinciaux et territoriaux sur la protection des renseignements personnels et les droits d’accès à l’information pendant et après la pandémie.
- Dans cette déclaration, nous demandons à tous les paliers de gouvernement de respecter les droits quasi constitutionnels des Canadiens à la protection des renseignements personnels et à l’accès à l’information.
- La pandémie a eu de graves répercussions sur le droit d’accès à l’information et le droit à la protection des renseignements personnels au Canada, et les gouvernements peuvent en tirer des leçons pour renforcer ces droits.
Contexte
- Le besoin pressant d’une réforme : la pandémie mondiale a mis en évidence le besoin pressant de lois rigoureuses sur l’accès à l’information et la protection des renseignements personnels. Nous soulignons dans la résolution commune que la pandémie a accéléré les tendances qui existaient avant mars 2020, à savoir les préoccupations au sujet de la surveillance accrue exercée par les organismes publics et les sociétés privées, ainsi que la lenteur et l’inefficacité avec lesquelles les organismes répondent aux demandes d’accès à l’information.
- L’importance continue de la transparence : la pandémie a également fait ressortir la nécessité de moderniser le système d’accès à l’information en tirant parti de la technologie et de l’innovation pour faire progresser la transparence (p. ex., portails de demande en ligne et accès libre-service aux dossiers personnels, comme le recommandait le récent rapport spécial du Commissariat à l’information).
- La protection des renseignements personnels et la transformation numérique : la résolution souligne aussi que, pour aborder la transformation numérique de manière appropriée, l’interprétation des lois sur la protection des renseignements personnels doit reconnaître le droit fondamental à la vie privée. Cela signifie d’une manière qui permet une innovation responsable tout en étant dans l’intérêt public. Il peut aussi s’agir d’interdire l’utilisation de technologies incompatibles avec nos droits et nos valeurs.
Préparé par : PRAP
Cadre du CPVP pour l’évaluation par le gouvernement du Canada des initiatives en réponse à la COVID-19 ayant une incidence importante sur la vie privée
- Nous avons élaboré le cadre pour aider les institutions gouvernementales à évaluer les initiatives liées à la pandémie afin de veiller au respect de la vie privée en tant que droit fondamental.
- Il fournit des conseils sur les principes clés de la protection de la vie privée, par exemple :
- S’assurer que les mesures pour répondre à la pandémie reposent sur des fondements scientifiques, sont nécessaires à une fin particulière, ont un lien logique avec cette fin et sont susceptibles d’être efficaces.
- Fixer des limites dans le temps strictes pour les mesures mises en œuvre pour faire face à la crise qui portent atteinte à la vie privée, et pour la durée de conservation des renseignements personnels après la crise.
- Adopter des mesures rigoureuses de protection des données et utiliser des données désidentifiées ou agrégées dans la mesure du possible;
- Tenir compte des répercussions uniques des mesures sur les populations vulnérables;
- S’assurer de la surveillance, de la responsabilité et de la transparence afin d’accroître la confiance.
Contexte
- Le CPVP a publié le cadre en avril 2020 en réponse à des initiatives axées sur les données qui étaient en train d’émerger rapidement à l’échelle mondiale pour comprendre et obtenir des renseignements sur la COVID-19, dont certains ont des répercussions importantes sur la vie privée et les libertés civiles.
- Le Cadre réaffirme que la protection de la vie privée n’est pas seulement un ensemble de règles et de règlements techniques, mais représente plutôt un impératif permanent de préserver les valeurs démocratiques et les droits fondamentaux de la personne, même dans des circonstances exceptionnelles.
- Il souligne également que les lois sur la protection des renseignements personnels peuvent être appliquées de façon souple et contextuelle, mais qu’elles doivent quand même s’appliquer.
Préparé par : PRAP
- Date de modification :