Protection des renseignements personnels, consentement et démocratie : la LPRPDE répond mal aux besoins de la population canadienne

La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), la loi qui protège les données du secteur privé au Canada, a été élaborée dans les années 1990, bien avant l’entrée en scène des médias sociaux, des mégadonnées et de l’Internet des choses. Fondée sur l’hypothèse que les personnes peuvent contrôler leurs propres renseignements personnels, elle s’appuie sur le consentement comme principale forme de protection. L’efficacité du consentement a fait couler beaucoup d’encre, mais ce n’est qu’aujourd’hui que nous percevons les liens entre le consentement et la démocratie.

Pour qu’il y ait démocratie, les citoyens doivent être véritablement autonomes, libres de remettre les choses en question, d’exprimer leur désaccord et de changer d’avis. Toutefois, pour tout un chacun, le genre d’autonomie individuelle nécessaire à l’existence d’une vraie démocratie ne se limite pas au choix et à l’expression des préférences, il s’agit aussi de la liberté de recevoir l’information provenant de sources diverses, d’entendre divers points de vue et d’être confronté à la contestation de ses propres idées préconçues et préjugés.

Si l’autonomie se limite à la liberté de choisir et d’exprimer des préférences, autant être des robots; c’est juste une question de programmation : on saisit l’information et cela produit des choix. Cependant, les humains ne sont pas des robots. Ils ont une capacité unique en son genre à l’autodétermination fondée sur la réflexion et à la prise de décision fondée sur la délibération collective concernant les règles de la coopération sociale.

Cette capacité est cependant facilement sapée par les forces qui contrôlent l’information et les images que nous communiquent les divers médias et cercles sociaux qui nous entourent. C’est sur la foi de ces renseignements et bien sûr de notre éducation, de notre formation et de notre vécu que nous développons les croyances et les opinions qui vont former les assises de nos choix et façonner nos préférences. Ce que nous ne savons pas importe tout autant que ce que nous pensons savoir.

Il s’avère, d’ailleurs, que nous pouvons très facilement être programmés. L’histoire regorge d’exemples de désinformation intentionnelle utilisée pour instiller la peur, façonner des opinions et des croyances et conduire la population à prendre librement des décisions fondées sur cette désinformation. L’Allemagne nazie, la Chine maoïste, le Rwanda en sont des exemples flagrants. Qu’il porte le chapeau de consommateur ou de citoyen, le genre humain est psychologiquement remarquablement malléable, plus particulièrement lorsque la manipulation est le fait d’entités pour lesquelles ses vulnérabilités et processus de prise de décision insoupçonnés n’ont plus aucun secret.   

Alors, un concept d’autonomie axé uniquement sur la liberté de choix serait-il incomplet? Lui manquerait-il la composante essentielle qu’est la totale absence de manipulation par les systèmes qui contrôlent l’information à laquelle nous avons accès et les images que nous voyons.

C’est le moment où le consentement entre en scène : c’est l’assise même de la justification de la surveillance et du profilage utilisés de nos jours pour décider ce que nous voyons en ligne et ce qui nous est dissimulé; pour nous manipuler afin que nous achetions un produit plutôt qu’un autre ou votions pour un candidat particulier.

Pourtant, nous savons bien tous que le consentement en pleine connaissance de cause est en grande partie, un simple leurre. Que ce soit en raison d’avis insuffisants, de limitations cognitives ou d’obstacles structurels tels qu’un simple manque de temps, les consommateurs ne donnent que rarement un consentement valable et en toute connaissance de cause à des utilisations non évidentes des données. La réalité du comportement du consommateur ne correspond tout simplement pas à la théorie du consentement donné en toute connaissance de cause.

Il existe désormais de vastes résultats de recherches scientifiques qui réfutent nos hypothèses sur la façon dont les gens prennent des décisions concernant la protection de leur vie privée. Nous savons aujourd’hui que ces décisions ne sont pas ancrées dans la rationalité, que les gens agissent souvent à l’encontre de leurs propres valeurs et au détriment de leurs intérêts les plus fondamentaux. Nous savons que le profit immédiat est surévalué alors que le risque éloigné est, lui, sous-évalué. Nous savons aussi que les décisions prises sont très largement le produit de la façon dont les choix sont présentés. Ces limitations cognitives sont des caractéristiques inhérentes à la condition humaine et, à ce titre, ne changeront pas.

Une transparence accrue pourrait aider, mais sa mise en œuvre est très improbable si l’établissement des modalités de la présentation des choix est confié aux entités mêmes dont les modèles de gestion exigent la collecte, l’utilisation et la communication de renseignements personnels.

Des avis brefs et simples ne suffisent pas si l’explication est complexe, comme c’est souvent le cas. Ils se limitent alors à priver le consommateur de l’intégralité de l’explication dont il a besoin pour accorder un consentement en véritable connaissance de cause. Nous nous retrouvons alors face au « dilemme du consentement » : le consommateur fait fi d’une explication trop détaillée qui lui prendra trop de temps à lire et à comprendre, en revanche, une explication brève et simple ne fournit pas l’information adéquate.

Comme si cela ne suffisait pas, s’ajoutent à ces éléments cognitifs et structurels préexistants le nouveau monde des mégadonnées dans lequel il est impossible d’identifier toutes les utilisations ultérieures de nos propres données, et l’Internet des choses dans lequel le nombre des acteurs et la complexité du réseau de relations de communication des données excèdent tout simplement largement les conditions du fonctionnement de l’ancien modèle de consentement en connaissance de cause.

Nous nous accrochons pourtant à la notion de consentement, parce que nous voulons protéger l’autonomie individuelle et que les autres solutions que sont l’interdiction et les restrictions semblent paternalistes et heurtent notre conception de l’humain comme être autonome.

L’ironie, c’est qu’en nous accrochant à la fiction du consentement en connaissance de cause là où il n’existe pas, nous avons sapé cette fameuse autonomie que nous luttons si fort pour protéger.

Là, se trouve le lien entre le consentement et la démocratie : ce n’est pas la notion simpliste que les citoyens d’une démocratie doivent être libres de faire leurs propres choix, mais bien que des citoyens véritablement autonomes doivent être libres de toute manipulation exercée par le biais de la surveillance et du ciblage rendu possible par le traitement des données dont la justification s’appuie sur le consentement théorique.

Sous le couvert du consentement, nous avons autorisé le développement d’un commerce florissant des données personnelles alors que les personnes n’ont, dans les faits, aucune idée ni de la destination finale ni de l’utilisation de leurs renseignements personnels.

La situation ne serait pas si inquiétante si nous contrôlions les utilisations de nos données personnelles; si nous autorisions des utilisations bénéfiques du point de vue social tout en empêchant qu’elles ne puissent être utilisées à mauvais escient. Cependant, avec notre confiance aveugle dans le consentement et notre engouement envers l’innovation, au détriment des autres valeurs, nous avons autorisé la technologie et le secteur à concevoir des normes de fait fondées largement sur les intérêts commerciaux par opposition aux intérêts de la société. Parallèlement, nous avons négligé la nécessité d’inscrire dans notre régime de protection des données des normes importantes de respect de la vie privée fondées dans l’éthique afin de prévenir les utilisations indésirables du point de vue social.

Les préjudices causés à la démocratie par cette négligence sont désormais manifestes aux États-Unis où la surveillance et le ciblage fondés sur le consentement théorique semblent avoir fait pencher la balance électorale. En réduisant l’éventail des renseignements auxquels les gens accèdent en ligne à ceux qui reflètent leurs propres idées préconçues autoproclamées et en facilitant une campagne de désinformation visant à les confirmer, à les alimenter et à approfondir les clivages sociaux, le traitement des données aux mains des sociétés qui tiennent les rênes des médias sociaux s’est traduit par une atteinte imprévue à l’autonomie individuelle et une grave érosion de la démocratie.

Il est temps que les détenteurs de mandats publics reprennent les commandes, reconnaissent que le consentement est un moyen imparfait de protéger les données, et conçoivent des mécanismes efficaces de protection des données servant à promouvoir une réelle autonomie et une véritable démocratie.

Philippa Lawson est avocate