Rapport annuel du commissaire à la vie privée : il est temps de moderniser les outils destinés à protéger les renseignements personnels

Le rapport au Parlement fait ressortir le besoin d'apporter des changements en vue de faire face aux risques nouveaux en matière de vie privée et met en relief les principales enquêtes des secteurs public et privé, les évaluations et les examens ainsi que d'autres activités.

GATINEAU, QC, le 27 sept. 2016 /CNW/ - Les nouveaux modèles opérationnels et les nouvelles technologies exercent des pressions toujours plus fortes sur la vie privée et exigent une approche plus moderne de la protection des renseignements personnels, a fait savoir le commissaire à la vie privée du Canada.

« Nous essayons de nous servir d'outils du 20^e siècle pour résoudre des problèmes du 21^e siècle et il est évident que ces outils sont de plus en plus insuffisants », a indiqué le commissaire Therrien.

Entre temps, 90 % des Canadiens sont très préoccupés par leur incapacité à protéger leurs renseignements personnels.

« Le gouvernement devrait accorder davantage de priorité à la modernisation des lois et des politiques et investir plus de ressources dans la création de cadres robustes de protection de la vie privée. Cela est essentiel pour conserver la confiance du public dans le gouvernement et dans l'économie numérique », a ajouté le commissaire Therrien.

Le besoin de modernisation devant les changements technologiques rapides est le thème principal du plus récent Rapport annuel du commissaire, lequel a été déposé aujourd'hui au Parlement. Le rapport de 2015-2016 décrit le travail du Commissariat à la protection de la vie privée du Canada (le Commissariat) en ce qui a trait à la Loi sur la protection des renseignements personnels, qui s'applique au secteur public fédéral, et à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), qui régit le secteur privé.

Les deux lois sont antérieures aux nombreuses innovations technologiques lesquelles sont la source de nouveaux défis en matière de protection de la vie privée puisqu'elles permettent aux entreprises et aux gouvernements de recueillir et d'analyser des quantités d'information de plus en plus grandes. En fait, comme l'indique le rapport, Internet n'existait pas lors de l'adoption de la Loi sur la protection des renseignements personnels en 1983, et Facebook n'avait pas encore germé dans l'esprit de ses concepteurs lorsque la LPRPDE est entrée en vigueur en 2001.

En mars, le Commissariat a remis au comité parlementaire responsable de l'étude de la Loi sur la protection des renseignements personnels une proposition concernant la modernisation de la loi qui comprenait 16 recommandations portant sur trois grands thèmes : faire face à l'évolution technologique, moderniser les normes juridiques et accroître la transparence.

En plus des changements nécessaires en ce qui a trait au secteur public, le commissaire Therrien a indiqué clairement que les nouvelles lacunes touchant le secteur privé doivent également être abordées.

Cela comprend la notion de consentement à la collecte, à l'utilisation et à la communication de renseignements personnels, qui sont les pierres angulaires de la LPRPDE. Nombreux sont ceux qui se questionnent quant à la façon dont les Canadiens peuvent exercer de façon éclairée leur droit de consentir à la collecte, à l'utilisation et à la divulgation de leurs renseignements personnels dans un environnement de plus en plus complexe mettant en jeu de nouvelles technologies et de nouveaux modèles opérationnels dans lesquels les renseignements personnels constituent un élément central. Le Commissariat a lancé des consultations publiques en vue de trouver des solutions possibles pour faire face aux défis croissants liés au consentement.

Un second processus de consultation est en cours sur les questions liées à la vie privée sous l'angle de la réputation en ligne. Ces consultations visent ultimement à aider à créer un environnement dans lequel les gens peuvent utiliser Internet afin d'explorer leurs intérêts et de se développer sans craindre que leur trace numérique n'entraîne un traitement injuste.

Activités liées aux pouvoirs en matière de communication d'information créés en vertu du projet de loi C-51

Le rapport annuel contient également des détails de l'examen du Commissariat sur la façon dont la Loi sur la communication d'information ayant trait à la sécurité du Canada (LCISC) a été mise en œuvre et appliquée au cours des six premiers mois ayant suivi l'adoption du projet de loi C-51. L'objectif de la Loi consistait à faciliter l'échange d'information entre les institutions gouvernementales fédérales en vue de les protéger contre les « activités qui portent atteinte à la sécurité du Canada ». Le Commissariat a également entamé des discussions avec Sécurité publique concernant la mise en œuvre de la LCISC.

Le Commissariat a déterminé que les répercussions des nouveaux pouvoirs conférés par la LCISC sur la vie privée n'avaient pas été évaluées adéquatement pendant la mise en œuvre, et il a recommandé que des évaluations des facteurs relatifs à la vie privée (EFVP) soient effectuées.

Les évaluations des facteurs relatifs à la vie privée (EFVP) constituent un outil clé destiné à atténuer les risques en matière de vie privée et, selon la politique du gouvernement, celles-ci doivent être effectuées chaque fois qu'un ministère met en place un nouveau programme ou activité ou modifie considérablement un programme ou une activité existants qui touchent aux renseignements personnels. 

Selon le commissaire Therrien, « il est donc étonnant de constater que la plupart des ministères n'ont pas effectué d'évaluation des facteurs relatifs à la vie privée en vue de la mise en œuvre des nouveaux pouvoirs conférés par la LCISC, surtout devant le fait que le gouvernement a indiqué que cette loi était essentielle pour combler les lacunes relatives à sa capacité de protéger le public ».

Le Commissariat a aussi relevé plusieurs lacunes dans le document d'orientation de Sécurité publique Canada destiné à aider les ministères avec la mise en œuvre de la LCISC. Bien que Sécurité publique Canada ait accepté, lors de consultations avec le Commissariat, d'améliorer le document, aucun changement n'a été apporté un an après que le Commissariat ait formulé ses recommandations visant à minimiser les risques pour la vie privée.

La première phase de l'examen visait à sonder des ministères, qui avaient déclaré avoir exercé les nouveaux pouvoirs d'échange de renseignements personnels que leur confère la Loi. Ils ont indiqué avoir communiqué des renseignements personnels à 58 reprises et en avoir reçu à 52 reprises. Selon ces derniers, tous ces renseignements se rapportaient à des personnes soupçonnées de présenter une menace à la sécurité.

L'objectif de la prochaine phase consistera à valider cette information et également à examiner les échanges de renseignements personnels -- aux fins de la sécurité nationale  -- qui se font en vertu de pouvoirs conférés par d'autres lois que la LCISC. 

Cet exercice vise à dresser un portrait aussi clair que possible du recours aux pouvoirs conférés par la LCISC et à d'autres lois afin d'informer le public et d'éclairer le débat qui se déroulera au Parlement au cours de l'examen prévu du projet de loi C-51 qui sera effectué par le gouvernement.

« Nous espérons que nos travaux à cet égard aboutiront à l'adoption de mesures qui protégeront efficacement la vie privée dans le contexte de la collecte et de l'échange d'information touchant la sécurité nationale », a précisé le commissaire Therrien.

Le commissaire signale également que le Commissariat contribuera aux consultations récemment annoncées par le gouvernement sur la sécurité nationale. Même si les consultations publiques constituent un développement positif, le commissaire soulèvera des questions sur l'approche envisagée.

« La portée de ces consultations est trop restreinte. Elles ne semblent pas prendre en compte les préoccupations clés en matière de protection de la vie privée liées au projet de loi C-51, notamment des normes juridiques inadéquates qui élargissent beaucoup trop la portée de la communication d'information.», affirme le commissaire Therrien.

« Je m'inquiète également du ton employé dans le document de consultation du gouvernement - on y insiste beaucoup sur les défis posés aux organismes d'application de la loi et de sécurité nationale, ce qui ne donne pas un tableau complet de la situation. Les Canadiens devraient également entendre parler des répercussions de certaines mesures de surveillance sur les droits démocratiques et la vie privée. Un débat national plus équilibré et plus complet devrait être lancé. »

La communication de métadonnées du CST soulève des préoccupations liées à la vie privée

L'organisme de surveillance du Centre de la sécurité des télécommunications (CST) - le Bureau du Commissaire du Centre de la sécurité des télécommunications - a révélé dans son rapport annuel de 2014‑2015 que des métadonnées avaient été transmises à des partenaires internationaux du domaine de la sécurité sans avoir été minimisées adéquatement. Le ministre de la Défense nationale a annoncé subséquemment que, jusqu'à nouvel ordre, le CST ne devait plus communiquer certaines métadonnées avec ses partenaires.

Compte tenu des répercussions possibles sur la vie privée des Canadiens, le Commissariat a examiné les circonstances à l'origine de cette situation.

Comme il est mentionné dans un sommaire de l'examen intégré au rapport annuel, le Commissariat remet en doute l'affirmation du CST selon laquelle le risque quant à la vie privée est minime. Les métadonnées peuvent révéler des renseignements de nature très délicate concernant les activités, les associations, les intérêts et la vie des individus. Par ailleurs, le CST a reconnu qu'une grande quantité de métadonnées avait été communiquée.

Afin de minimiser le risque, le Commissariat a recommandé que la Loi sur la défense nationale soit modifiée afin de clarifier les pouvoirs du CST et d'ajouter des garanties suffisantes pour protéger la vie privée des Canadiens lors de la collecte des métadonnées.

Au sujet du Commissariat à la protection de la vie privée

Le Parlement a confié au commissaire à la protection de la vie privée le mandat d'agir à titre d'ombudsman et de gardien du droit à la vie privée au Canada. Le commissaire est responsable de l'application de deux lois fédérales relatives à la protection des renseignements personnels : la Loi sur la protection des renseignements personnels, qui s'applique au secteur public fédéral, et la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), qui s'applique aux organisations du secteur privé.

Le plus récent rapport annuel est le premier à porter sur les questions liées à la fois à la Loi sur la protection des renseignements personnels et à la LPRPDE. Une modification apportée à la LPRPDE en 2015 a permis d'harmoniser sa période de rapport avec celle de la Loi sur la protection des renseignements personnels de sorte que le Commissariat peut maintenant préparer un seul rapport annuel au lieu de devoir déposer deux rapports à différents moments de l'année.

SOURCE Commissariat à la protection de la vie privée du Canada

Tobi Cohen, Commissariat à la protection de la vie privée, Courriel : [email protected]