Cadre pour l’évaluation par le gouvernement du Canada des initiatives en réponse à la COVID-19 ayant une incidence importante sur la vie privée

Avril 2020

Contexte

En cette période de crise sanitaire liée à la COVID-19, la sécurité du public suscite énormément d’inquiétudes. Naturellement, l’urgence de limiter la propagation du virus représente un défi de taille pour le gouvernement et les autorités de la santé publique, qui cherchent des moyens d’utiliser des renseignements personnels et des mégadonnées pour obtenir de l’information sur ce nouveau virus et la menace mondiale qu’il représente, et les circonscrire. Dans ce contexte, ils pourraient envisager des mesures plus exceptionnelles et moins volontaires, dont certaines porteront grandement atteinte à la vie privée et aux libertés civiles.

En situation de crise sanitaire, les lois sur la protection des renseignements personnels et autres mesures de protection sont toujours en vigueur sans faire obstacle à une collecte, une utilisation et une communication de renseignements appropriée. Les lois sur la protection des renseignements personnels, les normes et les pratiques exemplaires actuelles en matière de collecte, d’utilisation et de communication de données, lorsqu’on les interprète de façon raisonnable et en tenant compte du contexte, assurent une utilisation et une communication responsables à l’appui de la santé publique. En outre, elles favorisent le maintien de la confiance dans notre système de santé et envers le gouvernement de façon générale.

Toutes les organisations doivent continuer de se conformer à la loi et agir de façon responsable, en particulier pour ce qui est du traitement des renseignements personnels sur la santé et les déplacements des individus ou sur les liens qu’ils entretiennent – tous des renseignements généralement considérés comme sensibles. Dans les initiatives qui font appel à des partenariats public-privé, où l’autorisation légale de recueillir des données repose sur le consentement accordé par les inidividus à un partenaire du secteur privé, les organisations du secteur public devraient aborder leur propre collecte des renseignements en s’assurant que les règles régissant le secteur privé sont respectées, dont l’obtention d’un consentement valable.

La protection de la vie privée ne se limite pas à une série de règles techniques et de règlements. Elle représente plutôt un impératif constant de préserver les droits fondamentaux de la personne et les valeurs démocratiques, même dans les situations exceptionnelles. Qu’elles appliquent des mesures existantes ou en adoptent de nouvelles pour faire face à la crise actuelle, les institutions fédérales devraient continuer d’appliquer les principes de nécessité et de proportionnalité. Le principe de finalité, qui prévoit que les renseignements personnels recueillis, utilisés ou communiqués pour des raisons de santé publique ne devraient pas servir à d’autres fins, revêt une importance particulière dans le contexte actuel. La façon dont les renseignements personnels sont protégés, et leur durée de conservation après la crise, sont également cruciales.

La crise de santé publique liée à la COVID-19 soulève des défis extrêmement difficiles tant en matière de protection de la vie privée que de santé publique. Le présent document énonce les principes clés de protection de la vie privée qui devraient être pris en compte dans l’évaluation de toute mesure de lutte contre la COVID-19 susceptible d’avoir une incidence sur la vie privée des Canadiens. Ce document s’ajoute au document d’orientation que nous avons déjà publié pour aider les ministères et les organisations assujettis aux lois fédérales sur la protection des renseignements personnels à comprendre leurs obligations en matière de protection de la vie privée pendant la pandémie de COVID-19. Pour en savoir plus sur d’autres principes de protection de la vie privée qui continuent de s’appliquer, veuillez consulter le document intitulé Nos attentes : Guide du Commissariat au sujet du processus d’évaluation des facteurs relatifs à la vie privée.

Cadre

1) Conformité à la loi :

Déterminez les pouvoirs conférés par la loi en ce qui a trait à la collecte, à l’utilisation et à la communication de renseignements personnels.

Messages clés

• Les organisations ne peuvent exercer que les pouvoirs que leur confère la loi. Les pratiques des institutions fédérales sont régies par la Loi sur la protection des renseignements personnels et les lois particulières qui visent leurs activités. Les organisations du secteur privé sont assujetties à la Loi sur la protection des renseignements personnels et les documents électroniques ou aux lois provinciales essentiellement similaires. Des règles particulières pourraient être adoptées en vertu des lois d’urgence et s’appliquer à tous les secteurs. (Pour en savoir plus, consultez notre document d’orientation intitulé La protection de la vie privée et l’éclosion de la COVID-19.)
• Les lois sur la protection des renseignements personnels s’appliquent à tout renseignement concernant un individu identifiable. C’est le cas même lorsque ces renseignements sont tirés de sources « ouvertes » ou publiques comme les médias sociaux, quoique l’attente raisonnable en matière de vie privée soit moins élevée pour ce type de sources. En outre, certaines lois autorisent l’utilisation de données accessibles au public dans certaines conditions précises. (Voir aussi le principe n^o 4 : « Dépersonnalisation ».)

2) Nécessité et proportionnalité :

Assurez-vous que les mesures envisagées par l’institution fédérale sont nécessaires et proportionnelles.

Le Commissariat reconnaît que la crise liée à la COVID-19 évolue rapidement et qu’elle requiert des interventions rapides et efficaces pour répondre à des besoins en santé publique hors du commun. Le droit à la vie privée n’est pas absolu. Toutefois, même en ces temps difficiles, les institutions fédérales devraient continuer de s’assurer que leurs mesures sont nécessaires et proportionnelles, c’est-à-dire qu’elles sont essentiellement fondées sur des données probantes, qu’elles sont nécessaires pour la fin particulière déterminée et qu’elles n’ont pas une portée excessive.

Messages clés

• La fin visée en matière de santé publique qui sous-tend une mesure susceptible de porter atteinte à la vie privée doit reposer sur des fondements scientifiques et être définie avec un certain degré de précision. Il ne suffit pas de faire valoir des préoccupations de santé publique.
• La mesure doit avoir un lien logique avec la fin particulière déterminée. Si une mesure vise à réduire le nombre de grands rassemblements dans les lieux publics, la collecte massive de renseignements sur tous les déplacements d’une population ne serait pas proportionnelle.
• La mesure doit être nécessaire, et non simplement avoir une utilité éventuelle. Là encore, la mesure doit reposer sur des données probantes et être susceptible d’être efficace. La démonstration de son efficacité doit toutefois être évaluée en fonction du contexte. En outre, la nécessité ne doit pas forcément être « absolue » (par exemple, si l’on ne disposait d’aucun autre moyen imaginable, quel qu’en soit le coût).

Le document intitulé Nos attentes : Guide du Commissariat au sujet du processus d’évaluation des facteurs relatifs à la vie privée fait état de plusieurs questions pour les programmes et activités à risque élevé : nécessité, efficacité, proportionnalité et atteinte à la vie privée minimale. Mises dans leur contexte, ces questions peuvent aider les institutions fédérales à évaluer l’incidence que les mesures de lutte contre la COVID-19 peuvent avoir sur la vie privée.

3) Principe de finalité :

N’utilisez pas à d’autres fins des renseignements personnels recueillis, utilisés ou communiqués dans le but d’atténuer les effets de la COVID-19 sur la santé publique.

Messages clés

• Ce principe est particulièrement important dans la situation actuelle, où des renseignements personnels pourraient être recueillis, utilisés ou communiqués en plus grande quantité qu’en temps normal. L’attente raisonnable en matière de vie privée des individus est peut-être réduite au cours d’une crise de santé publique, mais il ne serait pas raisonnable de s’attendre à ce que des renseignements sensibles (par exemple leur état de santé, les endroits où ils sont allés ou les personnes qu’ils ont rencontrées) puissent être utilisés à d’autres fins gouvernementales ou commerciales.
• Les renseignements personnels recueillis en situation d’urgence devraient être détruits à la fin de la crise, sauf pour servir à des fins limitées, par exemple afin de faire de la recherche ou de rendre compte des décisions prises au cours de la crise, particulièrement en ce qui concerne les décisions prises au sujet d’individus. (Voir aussi le principe n^o 9, « Durée limitée ».)

4) Dépersonnalisation et autres mesures de sécurité des renseignements personnels :

Utilisez des données désidentifiées ou agrégées dans la mesure du possible.

Messages clés

• Demandez-vous si des renseignements permettant d’identifier des personnes sont nécessaires dans le contexte ou si des données désidentifiées ou agrégées suffiraient.
• Sachez qu’il existe toujours un risque réel de réidentification, quoiqu’il soit généralement moins élevé en ce qui concerne les données agrégées. Il est important d’être attentif aux risques, qui varient grandement d’un cas à l’autre, selon les données utilisées, leur forme, les autres données avec lesquelles elles sont combinées et à qui elles seront communiquées.
• Soyez particulièrement conscient des enjeux propres aux données de localisation :
  • Les données de localisation en soi peuvent mener à la réidentification, car elles peuvent révéler des détails personnels, par exemple l’emplacement du domicile d’un individu, ses comportements habituels et les liens qu’il entretient.
  • Il est parfois très difficile de pleinement anonymiser ou désidentifier les données de localisation précises, particulièrement celles en temps réel.
• Adoptez des mesures de protection administratives, techniques et matérielles. Renforcez les mesures de sécurité pour protéger les renseignements personnels de nature plus sensible.

5) Populations vulnérables :

Tenez compte des répercussions qui sont propres aux groupes vulnérables.

Messages clés

• Voyez comment certains renseignements, par exemple les renseignements sur la santé et les données de localisation précises, peuvent être particulièrement sensibles ou avoir des répercussions disproportionnées sur les populations vulnérables et certains groupes d’individus, par exemple :
  1. Certains individus sont particulièrement sensibles à la collecte de renseignements sur la santé concernant le genre, l’identité de genre et l’expression de genre.
  2. Les ensembles de données sur les populations ou les sous-ensembles de populations peuvent avoir des conséquences disproportionnées pour certains sous-groupes ou certaines communautés.
  3. La prise de décisions à l’aide d’algorithmes ou de l’intelligence artificielle peut comporter des biais inhérents susceptibles d’entraîner des répercussions disproportionnées.

6) Transparence :

Communiquez aux Canadiens de l’information claire et détaillée concernant les mesures nouvelles ou émergentes, de manière continue.

Messages clés

• La transparence est la pierre angulaire de la gouvernance démocratique et de nos lois sur la protection des renseignements personnels. Elle est d’autant plus essentielle en temps de crise lorsque l’on envisage des mesures exceptionnelles.
• Vous devez informer le public, et dans la mesure du possible les individus concernés, de la fin visée par la collecte de renseignements personnels.

7) Données ouvertes :

Évaluez soigneusement les avantages et les risques découlant de la diffusion d’ensembles de données publiques, en portant une attention particulière aux renseignements sur la santé et aux données de localisation ainsi qu’aux répercussions sur les populations vulnérables.

Messages clés

• Toute évaluation du niveau de détail approprié pour les ensembles de données publiques devrait prendre en compte le contexte.
• Même si les données que vous diffusez sont agrégées, soyez attentif aux répercussions sur les populations vulnérables, les sous-ensembles de populations et les groupes. Soyez particulièrement vigilant dans le cas des données de localisation, car elles peuvent avoir une incidence disproportionnée sur les communautés marginalisées et vulnérables.

8) Surveillance et responsabilité :

Les nouvelles lois et mesures adoptées expressément en lien avec la crise devraient toujours prévoir des dispositions sur la surveillance et la responsabilité.

Messages clés

• En temps de crise, les mesures de protection institutionnelles deviennent plus importantes, pas moins.
• Les nouvelles lois devraient renfermer des dispositions sur la surveillance et la responsabilité.

9) Durée limitée des mesures :

Les mesures portant atteinte à la vie privée devraient être limitées dans le temps et prendre obligatoirement fin lorsqu’elles ne sont plus nécessaires.

Messages clés

• Les mesures mises en œuvre pour faire face à la crise (p. ex. type de collecte, de communication et d’utilisation des renseignements personnels et étendue de ces activités) devraient être d’une durée limitée. Cette période devrait être définie d’une manière conservatrice et pouvoir être prolongée si nécessaire.
• Les renseignements personnels recueillis en situation d’urgence devraient être détruits à la fin de la crise, sauf pour servir à des fins limitées, par exemple afin de faire de la recherche ou de rendre compte des décisions prises au cours de la crise.