La modernisation du cadre juridique qui protège les droits à la vie privée des Canadiens et des Canadiennes peut parfois sembler un processus sans fin, et l’évolution constante de la technologie n’en est pas la seule raison. Nous nous attendons à ce que les institutions gouvernementales utilisent des données pertinentes dans leurs programmes et politiques, mais nous insistons également sur la protection de la vie privée des personnes dont les données sont nécessaires pour élaborer ces programmes et politiques. Il faut donc s’attendre à ce que le pendule continue à osciller.
Depuis 2004, la Section du droit de la vie privée et de l’accès à l’information de l’ABC a produit plusieurs mémoires et parrainé maintes résolutions portant sur des enjeux connexes à la protection des données personnelles. Lorsque Justice Canada a publié des documents de discussion sur la modernisation de la Loi sur la protection des renseignements personnels en novembre 2020, la section était de nouveau prête à formuler des commentaires (disponibles uniquement en anglais, les citations qui en sont tirées sont des traductions).
Dans son plus récent mémoire, elle convient que le titre de la Loi devrait être actualisé pour « refléter correctement le contexte particulier dans lequel elle réglemente la collecte, l’utilisation, la rétention et la divulgation des renseignements personnels dans le plus vaste ensemble de lois qui incarne la valeur fondamentale de la vie privée ». Elle souhaite en outre qu’y soit ajoutée une disposition sur l’objet qui reflète « l’équilibre entre les intérêts liés à la protection des renseignements personnels et les besoins légitimes du gouvernement » de recueillir, utiliser et parfois divulguer les renseignements. Elle ajouterait en outre un principe fondamental selon lequel « dans la mesure du possible, il faudrait utiliser des données pseudonymisées ou anonymisées ».
Justice Canada propose d’actualiser la définition de « renseignements personnels » pour y inclure les renseignements personnels non consignés. En 2019, la section était d’accord. Elle ajoute désormais que la Loi « pourrait aussi inclure une obligation expresse de confidentialité à l’égard des renseignements personnels non consignés ».
La section ne recommande pas de définir ce qui constitue des renseignements concernant une personne « identifiables ». Toutefois, elle appuie l’idée de remplacer l’expression « institutions fédérales » par « organismes publics fédéraux » ce qui inclurait notamment les bureaux des parlementaires.
Pour en revenir à l’image de l’oscillation du pendule… Le document de discussion suggère que Justice Canada souhaite modifier l’exigence selon laquelle ces renseignements « ont un lien direct avec un programme ou une activité », abaissant le seuil aux renseignements qui sont « raisonnablement requis ». La section reconnaît que le fait d’exiger que les renseignements soient « directement pertinents » pose problème, mais elle n’est pas d’accord sur le caractère approprié du concept de renseignements « raisonnablement requis » étant donné qu’il est moins contraignant que celui qui s’applique au secteur privé.
« La section de l’ABC affirme en outre sa position de longue date selon laquelle les institutions gouvernementales devraient identifier l’objet précis pour lequel elles recueillent les renseignements personnels et veiller à ce qu’ils soient raisonnablement nécessaires pour atteindre l’objectif formulé ou que la collecte soit autorisée par la loi. »
La Loi sur la protection des renseignements personnels ne définit pas actuellement l’expression « renseignements auxquels le public a accès »; une lacune selon la section, qui ajoute que des règles spéciales sur l’utilisation desdits renseignements auxquels le public a accès devraient correspondre aux attentes raisonnables des Canadiens et Canadiennes quant à la protection de leurs renseignements personnels.
Justice Canada souhaite définir ce qui constitue des renseignements personnels « anonymisés » et réglementer leur utilisation. La section de l’ABC recommande d’approfondir les études portant sur l’utilisation des données issues de ce qu’elle appelle la « pseudonymisation », soit des données qui ne peuvent être attribuées à une personne en particulier sans avoir recours à des informations supplémentaires conservées séparément et soumises à des « mesures […] afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable », selon la définition prévue dans le Règlement général sur la protection des données en vigueur dans l’Union européenne.
Le mémoire de la section traite des moyens devant être mis en œuvre pour garantir que les renseignements personnels recueillis par les institutions gouvernementales sont conservés selon des protocoles de sécurité comportant des avis en cas d’atteintes et des obligations de signalement aussi rigoureuses que celles qui s’appliquent au secteur privé.
Le mémoire discute également de la prise de décision automatisée, des droits d’accès aux ressortissants étrangers hors du Canada, du partage et de la divulgation des renseignements personnels lorsque plus d’un organisme public ont accès aux mêmes ensembles de données, et de la modernisation des dispositions sur l’application afin d’accorder au commissaire à la protection de la vie privée des pouvoirs supplémentaires, y compris la compétence nécessaire pour rendre des ordonnances exécutoires.