Rapports et publications

Autres publications

Version PDF

Les pouvoirs et fonctions de l'ombudsman dans la Loi sur la protection des renseignements personnels et les documents électroniques : Une étude d'effectivité

Rapport de recherche
France Houle et Lorne Sossin

Août 2010

Recherche commanditée par le
Commissariat à la protection de la vie privée du Canada

Les opinions exprimées dans cette étude sont celles des auteurs de ce rapport et ne reflètent pas nécessairement celles du Commissariat à la protection de la vie privée.

© Copyright 2010 France Houle et Lorne Sossin

PRÉFACE

C’est en vertu du par. 58(2) de la Loi sur la protection des renseignements personnels que la Commissaire à la protection à la vie privée nous a mandatés pour faire une analyse du droit et des politiques sous-jacentes à la protection des renseignements personnels par le secteur privé.

L’objectif général de ce contrat de recherche est de faire un examen de la structure, du mandat et des pouvoirs qui ont été attribués au Commissariat, tel qu’institué par la Loi sur la protection des renseignements personnels et la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE).

Selon les termes de notre contrat, notre perspective analytique consiste à effectuer une étude d’effectivité de la Partie I Loi sur la protection des renseignements personnels et les documents électroniques. En effet, le Commissariat souhaite connaître nos vues sur la question générale suivante : est-ce que le modèle de l’ombudsman est un modèle effectif pour réglementer les pratiques relatives à la protection des renseignements personnels par le secteur privé. Plus précisément, il nous a d’abord été demandé d’examiner les politiques publiques sous-jacentes à la genèse de la loi et l’historique du cadre juridique jusqu’à ce jour, d’analyser les fonctions et les pouvoirs attribués au Commissariat à la vie privée ainsi que leur utilisation par les commissaires nommés pour occuper cette charge publique depuis l’adoption de la LPRPDE. L’objectif de ces analyses étant d’évaluer l’impact de cet usage sur l’observance de la loi par les organismes qui y sont assujettis. Ensuite, partant des constats sur les problèmes qui ont été identifiés, il s’agit d’examiner d’autres modèles institutionnels canadiens et étrangers (également créés pour réglementer l’usage des renseignements personnels par des organismes du secteur privé) dans une perspective comparative, et ce, dans le but de faire des propositions de réforme.

Les idées et les analyses contenues dans ce rapport sont présentées dans le but d’alimenter la réflexion sur des voies possibles pour améliorer la protection des renseignements personnels des citoyens, résidents permanents et étrangers vivant et travaillant au Canada ou encore qui font affaires ou consomment les biens et services produits par les grandes, moyennes et petites entreprises canadiennes. Nous espérons que notre réflexion engendrera des débats et interactions entre les gouvernements, les industries, les experts et les consommateurs. Étant donné la complexité de la réglementation fédérale, provinciale et supranationale dans ce secteur d’activités, nos analyses ne peuvent ni constituer, ni prétendre constituer le fin mot de l’histoire sur cette question.

Pour plus d’information sur ce rapport, veuillez contacter :

France Houle
Professeure titulaire
Faculté de droit
Université de Montréal
C.P. 6128, Succ. Centre-ville
Montréal (Québec) H3C 3J7
(514) 343-6870
Courriel : france.houle@umontreal.ca

Lorne Sossin
Professeur titulaire
Faculté de droit
Université de Toronto
39 Queen’s Park
Toronto (Ontario) M5S 2C3
(416) 946-8229
Courriel : lorne.sossin@utoronto.ca

REMERCIEMENTS

Les auteurs remercient tout spécialement leurs assistants de recherche : Jeffrey Baggs, Mélissa Blaise, Anne-Catherine Boucher, François Goyer, Kristen Rohr et Nicolas Vermeys ainsi que toutes les personnes qui ont accepté de participer à notre enquête empirique et dont les noms ne peuvent pas être dévoilés, ni leur affiliation institutionnelle puisque nous nous sommes engagés à maintenir leur complet anonymat.

Finalement, nous dédions tout spécialement nos plus sincères remerciements aux membres du personnel du Commissariat à la protection de la vie privée qui nous ont assistés dans la préparation de ce rapport en nous fournissant une grande quantité d’informations et en nous accordant le temps nécessaire pour répondre à nos multiples questions.

TABLE DES MATIÈRES

SOMMAIRE

RAPPORT DE RECHERCHE

CONCLUSIONS GÉNÉRALES ET RECOMMANDATIONS

TABLES BIBLIOGRAPHIQUES

ANNEXE A

ANNEXE B

Top of PageTable of ContentsSOMMAIRE

Top of PageTable of ContentsObjectifs de l'étude

C'est en avril 2009 que le Commissariat à la protection de la vie privée nous confiait le mandat d'analyser l'effectivité de la Partie I la Loi sur la protection des renseignements personnels et les documents électroniques (la 'LPRPDE'). Plus spécifiquement, il nous fut demandé d'examiner l'effectivité de la structure, du mandat et des pouvoirs qui ont été attribués au Commissaire à la protection de la vie privée, dans le but de répondre à la question générale suivante : est-ce que le modèle de l'ombudsman est un modèle effectif pour réglementer les pratiques relatives à la protection des renseignements personnels par le secteur privé?

Top of PageTable of ContentsMéthodes de recherche

Pour effectuer cette analyse de l'effectivité de la LPRPDE, nous avons fait une revue de la littérature mettant l'accent sur une analyse du discours macro-économique, politique et juridique des acteurs ayant participé à l'élaboration de la loi. Il s'agissait surtout d'examiner les politiques publiques sous-jacentes à la genèse de la loi et à l'historique du cadre juridique jusqu'à ce jour, d'analyser les fonctions et les pouvoirs attribués au Commissariat à la protection de la vie privée ainsi que l'utilisation de ces pouvoirs par les commissaires nommés pour occuper cette charge publique. À cet égard, nous avons été appelé à examiner d'autres modèles institutionnels canadiens et étrangers (également créés pour réglementer l'usage des renseignements personnels par des organismes du secteur privé) dans une perspective comparative.  En ce qui a trait à l'examen de l'utilisation des pouvoirs législatifs, nous avons notamment procédé par le moyen d'entretiens conduits auprès d'acteurs privés afin de connaître leur point de vue sur l'effectivité de la LPRPDE.

Top of PageTable of ContentsConclusions générales

Le modèle d'ombudsman et les activités de conformité en place ont permis d'atteindre d'importants objectifs. Toutefois, à la lumière de ces réalisations, devrions‑nous en accomplir davantage et, dans l'affirmative, comment devons‑nous procéder? Notre recherche nous permet de croire qu'un changement s'effectue vers l'assurance d'une protection accrue pour les consommateurs et que, pour s'y conformer, il faudra octroyer d'autres pouvoirs précis au CPVP. Toutefois, avant de modifier la LPRPDE, nous pressons le CPVP d'envisager de mener des recherches supplémentaires sur plusieurs sujets. En effet, plusieurs pièces du casse tête manquent pour donner une meilleure idée de l'environnement actuel dans lequel s'applique et devra s'appliquer la LPRPDE. Pour cette raison, nous recommandons de procéder à des recherches approfondies :

Recommandation 1 :
Nouvelles questions de recherche

1. Les défis et enjeux soulevés par le Web 2.0 et harmonisation des systèmes réglementaires nationaux et supranationaux

2. La capacité d'adaptation du modèle de l'ombudsman sous la LPRPDE pour réglementer efficacement ce nouvel environnement technologique.

3. La capacité d'adaptation du modèle fédératif contemporain (partage des compétences, droits des personnes, coopération fédérale-provinciale) pour répondre à ces nouveaux défis et enjeux. En particulier, examiner les théories relatives à l'interprétation fonctionnelle de la constitution et les possibilités qu'offre le concept de fédéralisme en réseau.

Ceci étant dit, et partant de l'hypothèse selon laquelle un changement s'effectue vers l'assurance d'une protection accrue pour les consommateurs, il faudra répondre à la question de savoir si le CPVP devrait se voir accorder davantage de pouvoirs afin de s'acquitter de plus grandes responsabilités relativement à la protection des consommateurs. Advenant que le CPVP envisage cette possibilité, nous formulons les recommandations qui suivent.

Recommandation 2 :
Étendre les limites du modèle d'ombudsman aux petites et moyennes entreprises

Le modèle d'ombudsman convenait particulièrement bien à la première étape de réglementation de l'industrie, qui suscitait de considérables préoccupations à propos des répercussions de la réglementation sur l'entreprise commerciale. Or, le modèle actuel ne semble pas convenir aussi bien au secteur des petites et moyennes entreprises, où les taux de conformité sont plus faibles et le risque à l'égard des renseignements personnels, plus important. Le CPVP devrait continuer à user de son influence aux termes du modèle d'ombudsman pour parvenir au respect de la LPRPDE, surtout de la part des grandes entreprises (p. ex. les banques, les compagnies d'assurance, les services publics, la technologie de l'information et les médias) et continuer à cibler les petites et moyennes entreprises à des fins de sensibilisation, d'éducation et de mesures incitatives liées à la conformité.

Recommandation 3 :
Accorder des pouvoirs limités pour ce qui est de rendre des ordonnances

En définitive, nonobstant les importantes réussites du CPVP, les taux de conformité à la LPRPDE demeurent probablement trop faibles, et le risque encouru par les consommateurs eu égard à leurs renseignements personnels détenus par les petites et moyennes entreprises au Canada, probablement trop élevé. Malgré leur importance, les efforts de sensibilisation et d'éducation de même que les mesures incitatives liés à la conformité destinés aux petites et moyennes entreprises peuvent ne pas suffire à atteindre les buts visés. En se fiant à l'expérience des organismes de réglementation provinciaux du Canada ainsi qu'à l'expérience américaine et européenne, la capacité d'imposer une amende et autres possibilités de rendre des ordonnances peuvent entraîner une conformité supplémentaire et constituer un important élément dissuasif malgré un emploi peu fréquent. Les avantages de cette approche paraissent tangibles et les risques, moins inévitables. Le risque, par exemple, a tendance à porter sur la réaction négative attendue de la part des entreprises, des tensions contradictoires accrues, la judiciarisation ainsi qu'à des coûts additionnels et une plus grande complexité tant pour le CPVP que pour les entreprises. L'expérience provinciale avec les organismes de réglementation investis du pouvoir de rendre des ordonnances suggère toutefois une surestimation possible de ces risques.

Bien que nous ne soyons assurément pas les premiers à préconiser de plus grands pouvoirs en matière d'ordonnances, nous ne pensons pas qu'en ce moment, le CPVP a besoin de pouvoirs élargis et envahissants, comme des ordonnances de cessation. À notre avis, le renforcement du pouvoir du CPVP en matière d'ordonnances ne devrait cibler que le genre d'activités d'exécution de la loi appropriées pour les petites et moyennes entreprises (par exemple, les amendes et les sanctions). Ce sont ces secteurs où les taux de conformité semblent les plus faibles et où toutes les données disponibles des organismes provinciaux chargés de surveiller le respect de la loi suggèrent que seule la menace de sanctions qui influent sur la rentabilité peut mener à un changement dans le comportement des entreprises et, en définitive, dans la culture entrepreneuriale. Même si le pouvoir de rendre des ordonnances peut ne pas s'avérer aussi nécessaire dans le secteur des grandes entreprises, où le CPVP a déjà réalisé des progrès en ce qui a trait à l'amélioration de la conformité, il pourrait avoir des effets bénéfiques dans ce contexte également. Le pouvoir de rendre des ordonnances peut renforcer l'importance des politiques en matière de protection de la vie privée par l'entremise de ces secteurs ainsi qu'améliorer l'image des agents de vérification de la conformité. De plus, l'expérience positive issue de la collaboration, de la consultation et de l'engagement de ce secteur avec le CPVP a permis de jeter les importantes bases d'un savoir, d'une confiance et d'une crédibilité institutionnels sur lesquelles miser si le CPVP recevait d'autres outils de réglementation.

Les pouvoirs supplémentaires décrits feront probablement en sorte que le CPVP devienne un organisme de réglementation plus efficient et efficace en vertu de la portée de la LPRPDE. Le fait d'énoncer à nouveau les quatre critères établis par Bennett et Raab et dont il a été question à la partie 2 permet de constater les améliorations éventuelles suivantes.

1) Économie (p. ex. le coût correspondant à l'instauration d'un régime réglementaire). Le passage à un modèle hybride peut réduire le besoin de la séparation existante des activités du CPVP en deux sphères distinctes, l'une se rapportant à la LPRPDE et l'autre à la Loi sur la protection des renseignements personnels. Des dépenses supplémentaires associées au modèle hybride pourraient s'ajouter, mais en tant qu'approche générale, rien ne justifie un changement important dans le budget ou la dotation du CPVP advenant l'adoption d'un modèle hybride.

2) Efficience (p. ex. le coût du régime mesuré par rapport à ses résultats). Le passage à un modèle hybride mènerait sans doute à une efficience accrue, surtout dans les secteurs des petites et moyennes entreprises. Une plus vaste incursion dans ces secteurs, typiquement plus sensibles au risque et aux sanctions d'ordre financier, associée à l'effet dissuasif de l'évitement d'une intervention réglementaire a bien des chances d'entraîner des résultats plus importants pour un investissement égal sur le plan des efforts et des ressources. En outre, ce modèle règlerait la situation actuelle où le fait d'entamer des poursuites à la Cour fédérale constitue le seul, et malheureusement inefficace, moyen par lequel le CPVP peut voir une de ses ordonnances exécutée.

3) Efficacité (p. ex. la mesure dans laquelle les résultats pratiques du régime lui permettent d'atteindre ses objectifs ultimes). Les études du CPVP et de la CIPPIC abordées dans la partie 2 montrent que le taux de non‑conformité demeure élevé. Le passage à un modèle hybride est susceptible d'accroître la conformité, particulièrement dans les secteurs des petites et moyennes entreprises (il est impossible de mesurer l'efficacité sans repères et objectifs précis).

4) Équité (p. ex. la mesure dans laquelle le régime étend la protection de manière équitable dans l'ensemble des groupes sociaux). Bien que les consommateurs semblent apprécier une protection accrue découlant des activités du CPVP s'il s'agit de clients de banques ou de compagnies d'assurance, de médias sociaux ou grand public, ceux des petites et moyennes entreprises bénéficient d'une protection bien moindre. L'adoption d'un modèle hybride améliorerait l'équité et assurerait que la protection des consommateurs ne dépende pas autant de la taille et de la complexité de l'entreprise comme c'est le cas maintenant.

Il serait justifié de renforcer de façon restreinte les pouvoirs réglementaires du CPVP, au moins afin de comprendre ceux d'imposer des amendes pour non-conformité.

Recommandation 4 :
Accorder un pouvoir explicite d'émettre des directives

Des directives claires quant à l'utilisation de ce pouvoir de rendre des ordonnances, et des mesures de protection afin de garantir l'équité aux personnes qui en font l'objet, représenteront des outils essentiels de responsabilisation et, selon nous, elles devraient accompagner le pouvoir de réglementation supplémentaire. L'élaboration de directives fournit aussi l'occasion de consulter les intervenants, d'analyser les pratiques exemplaires d'organismes de réglementation pairs en plus de constituer un contexte au sein duquel les valeurs du CPVP peuvent être clairement communiquées aux personnes assujetties à la portée de la LPRPDE pour le CPVP.

Recommandation 5 :
Envisager d'autres pouvoirs réglementaires créatifs – Programme d'accréditation

Le CPVP pourrait offrir un programme d'accréditation à la suite duquel les entreprises adoptant les « pratiques exemplaires » pourraient recevoir son imprimatur, un peu comme la certification LEED que peuvent obtenir les immeubles appliquant les meilleurs pratiques environnementales. De tels systèmes d'accréditation — ou de notation — pourraient alors servir aux gouvernements municipaux et provinciaux à d'autres fins réglementaires ou aux entreprises à des fins commerciales (p. ex. dans le cadre d'une stratégie publicitaire). Une initiative connexe pourrait impliquer la rédaction d'avis destinés au public afin de lui faire savoir si une entreprise respecte un ensemble de normes, ce qui s'apparente à des avis d'inspection de salubrité affichés dans les restaurants et informant le public si l'établissement a passé une inspection avec succès ou non. Ces initiatives d'accréditation ou d'établissement de normes sont rarement fructueuses en soi. Leur succès dépend plutôt d'autres organismes de réglementation et industries qui devraient trouver des mesures incitatives à l'endroit des entreprises afin qu'elles consentent plus d'argent à la conformité. Par exemple, le fait qu'un gouvernement, un organisme ou une grande société accepte de limiter son appel d'offres aux entreprises ayant obtenu une note particulière relativement à la protection de la vie privée, ou qu'un permis ou une subvention donnés d'un gouvernement étaient liés à une note particulière relativement à la protection de la vie privée, pourrait constituer des mesures incitatives efficaces.

Nous ne suggérons pas que le CPVP accrédite, inspecte ou impose des étiquettes sur l'ensemble du secteur privé; toutefois, une initiative pilote au sein d'une industrie précise affichant un faible taux de conformité ou lorsque des membres vulnérables du public sont particulièrement à risque (p. ex. les jeunes qui partagent leurs renseignements personnels en ligne) pourrait fort bien prouver si cette stratégie réglementaire est efficiente et efficace. La création de mesures incitatives et de marchés internes en vue du respect accru de la LPRPDE représente un exemple d'une initiative conforme au modèle d'ombudsman, avec la possibilité d'accroître la conformité en vertu de la LPRPDE, mais exigeant une approche proactive envers le mandat du CPVP.

Recommandation 6 :
Améliorer les mécanismes de reddition de comptes afin d'assurer une planification stratégique à long terme et des repères significatifs

Le CPVP utilise déjà un certain nombre de mécanismes de reddition de comptes efficaces, mais leur incidence est limitée. Il manque à l'actuelle structure de reddition de comptes un sens de la planification stratégique à long terme et de repères significatifs. Bien que le CPVP ne soit pas sous‑examiné, il s'avère souvent difficile de relever les critères utilisés par les divers examens en vue de son évaluation. Fait encore plus troublant, les normes par rapport auxquelles le CPVP évalue son propre rendement ne sont pas clairement connues. Même s'il recueille des données et note les tendances dans ses activités, ou le degré de plaintes ou de règlements, le CPVP n'a désigné aucun repère ou cible pouvant servir à évaluer ses activités. La FTC fournit un modèle utile à cet égard. Comme il en a été question dans la partie 2, la FTC publie un plan stratégique quinquennal qui met en lumière un nombre de buts généraux (p. ex. protéger les consommateurs) qui comprennent individuellement un ensemble d'objectifs liés aux mesures de rendement, aux stratégies en vue d'atteindre le but en question ainsi qu'à la méthode d'évaluation.

Enfin, nous recommandons que le CPVP adopte une approche de planification stratégique plus claire en ce qui concerne ses activités en vertu de la LPRPDE, y compris ce qui suit :

  • L'établissement de points de référence à des fins de conformité à la LPRPDE;
  • La surveillance et le suivi de la conformité sur une base continue, au moins dans les secteurs cibles ou prioritaires comme les petites et moyennes entreprises;
  • Des mesures d'évaluation du rendement pour les activités du CPVP à cet égard;
  • Une planification stratégique à court, moyen et long terme avec des objectifs établis associés à des échéances précises.

Top of PageTable of ContentsContexte

Notre mandat de recherche a porté, rappelons-le, sur les fonctions et pouvoirs de l'ombudsman tels qu'ils sont édictés dans la LPRPDE. Il ne s'étend pas à une critique de la portée et des limites des principes contenus dans le Code type sur la protection des renseignements personnels (annexe 1 de la LPRPDE). Le caractère limité de notre étude exclut donc des questions fondamentales et, en particulier, celle relative au passage du Web 1.0 au Web 2.0 qui remettrait en cause, selon des spécialistes, certaines des hypothèses qui sous-tendent les principes qui ont été élaborés dans le cours des années 1990, approuvés par le législateur au début des années 2000 et adoptés dans la LPRPDE.

Tout près de 10 ans se sont écoulées depuis la mise en vigueur de la LPRPDE. Dans ce court laps de temps, des bouleversements majeurs se sont produits avec l'avènement du Web 2.0. Ces changements ont et continueront d'emporter des conséquences importantes, voire même radicales, sur la manière d'accéder, de traiter et d'utiliser les renseignements personnels. Aussi, toute réflexion future en vue d'assurer la protection des renseignements personnels utilisés par les industries du secteur privé et plus particulièrement dans le cadre des échanges et du commerce électroniques devront inclure ces nouvelles dimensions. Il faut donc lire les conclusions et les recommandations de notre étude en tenant compte des limites importantes que comporte notre mandat de recherche. En effet, en 2010, il apparait assez évident que les autorités publiques devront tenir compte de ce nouvel environnement technologique lorsque, dans le cadre du processus de révision à venir de la LPRPDE, elles seront appelées à évaluer l'adéquation entre les pouvoirs et fonctions du Commissaire à la protection de la vie privée et la réglementation de l'usage, de la collecte et de la conservation des renseignements personnels par le secteur privé dans le Web 2.0.

Cela dit, il semble bien que l'impact de la LPRPDE ait été positif au cours des dix années d'existence. En ce sens, le recours aux offices d'un ombudsman –plutôt qu'un tribunal administratif, par exemple– ont permis des avancées éducatives non négligeables chez les acteurs privés assujettis à la loi. En effet, malgré les nombreuses embûches sur le plan des idées économiques et politiques en vogue durant les années 1990, privilégiant une approche nettement plus minimaliste en matière d'interventions gouvernementales dans le marché et imposant de ce fait des contraintes juridiques importantes, le recours à l'institution de l'ombudsman a, somme toute, mené à des résultats positifs. En effet, il semblerait qu'il en ait résulté une meilleure prise de conscience chez les acteurs privés (personnes physiques et morales) de l'importance de protéger les renseignements personnels des individus et que ces protections soient appliquées d'une manière plus cohérente et uniforme tant sur le plan interne.

Cependant, est-ce que cette institution possède les instruments nécessaires pour intervenir efficacement dans le contexte contemporain? Évidemment, la réponse à cette question varie selon la perspective normative des uns et des autres. Toutefois, s'il était envisagé de modifier les pouvoirs et fonctions du Commissariat, il faudrait de toute évidence qu'il y ait une bonne compréhension préalable du contexte factuel, mais aussi des discours économique, politique et juridique contemporains. À cet égard, bien que certains obstacles se soient aplanis, ce qui permettrait d'envisager l'attribution de pouvoirs additionnels au Commissariat, l'institution de l'ombudsman n'est pas un vase creux : on ne peut tout y mettre sans profondément dénaturer l'institution. En conséquence, au-delà de l'attribution de certains pouvoirs et fonctions propres à l'institution de l'ombudsman, il serait peut-être préférable d'instituer un autre type d'organisme public, surtout si l'attribution d'autres pouvoirs a pour objectif de permettre l'exercice de contraintes à l'égard des acteurs privés. Sur ce point, on peut observer que lorsqu'il s'agit de réglementer les activités de la société civile (d'une catégorie d'individus ou d'industries), les législateurs canadiens préfèrent normalement créer un organisme décentralisé, qui peut être un tribunal administratif (exerçant seulement une fonction de nature décisionnelle), ou un organisme de régulation économique (exerçant des fonctions réglementaires de nature économique ou sociale, des fonctions administratives et des fonctions de nature décisionnelle). Dans le passé, c'est à cette dernière option que le législateur a recouru pour réglementer des activités commerciales.

Toutefois, il faut préciser que les organismes décentralisés ont traditionnellement eu pour vocation d'exercer une surveillance limitée à certaines activités très spécifiques et de nature particulière plutôt que générale (d'où le caractère spécialisé de ces organismes). Dans le contexte de l'application d'une réglementation à portée générale, telle celle relative à la protection des renseignements personnels, on peut s'interroger sur la faisabilité d'attribuer des pouvoirs généraux de contraintes à un organisme décentralisé fédéral. À tout le moins, il faudrait qu'une analyse des coûts, des avantages et inconvénients, ainsi que des limites juridiques d'une telle approche soit faite.

Top of PageTable of ContentsDéfis

Avant d'entreprendre une démarche de réforme législative dans ce vaste champ de la protection des renseignements personnels, plusieurs défis doivent être relevés. Ils ont tous traits à une meilleure connaissance des enjeux contemporains et à l'interaction entre les divers facteurs qui interagissent et qui sont sous-jacents à ces enjeux. Pour nommer les principaux, il faut que les acteurs principaux aient une connaissance et une compréhension partagée des liens entre le développement de l'économie du savoir et la protection des renseignements personnels afin de :

  • Mieux comprendre la portée et les limites des principes du Code directeur dans le nouvel environnement technologique du Web 2.0
    • Est-ce que toutes ou parties des obligations sociales des entreprises en cette matière devraient être renforcées, modifiées ou éliminées?
  • Mieux évaluer les risques de ce nouvel environnement et mieux connaître les besoins des citoyens et consommateurs en matière de protection des renseignements personnels.
    • Peut-on observer des changements générationnels importants relatifs à l'attitude générale quant aux attentes en matière de protection des renseignements personnels? Si oui, de quelle nature et comment affectent-ils les postulats sous-jacents à la LPRPDE?
  • Créer les outils méthodologiques afin de mieux comprendre et évaluer les systèmes normatifs nationaux (fédéral et provinciaux) et supranationaux.
    • Quelles sont les forces et les faiblesses de ces systèmes, non pas chacun en soi, mais les uns par rapport aux autres? Est-il possible ou souhaitable de les rendre plus harmonieux? Si oui, comment?

Nous ne faisons que soulever que quelque unes des questions qui nous apparaissent centrales lors de débats futurs. En effet, les réponses à ces questions auront des répercussions sur l'attribution de pouvoirs et de fonctions à l'institution publique qui sera en charge de la mise en œuvre de la LPRPDE. Ces quelques éléments de réflexions suffisent pour suggérer qu'une étude préalable approfondie, impliquant une vaste consultation auprès de toutes les parties prenantes, devrait être faite. Sur le plan de la gouvernance publique, l'enjeu est de s'assurer que toutes les parties prenantes partagent une plus grande compréhension commune des enjeux actuels. En somme, il s'agit d'établir de plus larges consensus sur la définition de ces enjeux puisque de ceux-ci découleront des voies d'action plus claires afin d'identifier des solutions relatives aux instruments de l'action administrative, ainsi qu'aux fonctions et pouvoirs attribués à l'institution chargée d'appliquer la loi. 

Top of PageTable of ContentsForces et faiblesses

Notre revue de la littérature nous a permis d'identifier les principales forces et faiblesses suivantes dans la LPRPDE.

Les forces identifiées sont celles liées aux attributions de pouvoirs relatives à l'éducation du public, à la recherche, ainsi qu'aux enquêtes et vérifications.          Sur les pouvoirs d'enquête et de vérification, plusieurs intervenants sont d'avis qu'il s'agit de l'une des fonctions les plus importantes que puisse effectuer un commissaire à la protection de la vie privée.  Le principal avantage étant que le commissaire peut ainsi encourager l'autoréglementation par les acteurs assujettis par la loi. Les principales faiblesses identifiées par les critiques ont porté sur des questions de forme, le processus consultatif, et de fond : le choix du modèle de l'ombudsman plutôt que celui du tribunal administratif, l'absence du pouvoir d'émettre des ordonnances, la non-divulgation des résultats des enquêtes portant sur les plaintes et l'accès à la Cour fédérale.

  • Le processus consultatif

Au moment de l'élaboration des politiques et de l'étude du projet de loi, les critiques ont fait valoir que trop peu de discussions publiques avaient été menées afin de dégager de plus larges consensus sur les pouvoirs qui devaient être attribués au Commissaire à la vie privée. Plusieurs sont d'avis que les perspectives des entreprises privées ont largement dominé les débats et, par conséquent, le choix des politiques publiques. De fait, l'examen de la littérature disponible montre que les préoccupations des citoyens, notamment examinées sous l'angle de la protection des consommateurs, sont peu présentes dans les débats de cette époque ce qui est paradoxal compte tenu que l'enjeu de ces débats portait sur la question fondamentale de la protection des renseignements personnels. Ainsi, il en ressort un sentiment général chez les critiques que la protection des renseignements personnels était à l'arrière-plan du projet de loi ; ce dernier se voulait d'abord un instrument servant à promouvoir le commerce électronique. Selon eux, le gouvernement (lors de l'élaboration de la politique) et le Parlement (lors de l'étude du projet de loi) auraient posé des postulats desquels ils n'auraient pas dérogé. Des principaux postulats il faut entre autres retenir celui selon lequel il fallait doter l'autorité publique qui serait chargée d'appliquer la loi d'instruments de politiques qui soient les plus légers, simples, flexibles, efficaces et effectifs possibles.

  • Les questions de fond

En raison d'un processus de consultation insuffisant, les critiques estiment qu'il n'y a pas eu de véritables débats sur des questions de fond, telles celles de savoir si un pouvoir de rendre des jugements exécutoires et sans appel devait être attribué à l'autorité publique et, le cas échéant, si un tribunal spécialisé devrait être créé.  En effet, certains intervenants estimaient que les pouvoirs attribués au commissaire, à titre d'ombudsman, seraient insuffisants pour garantir la mise en œuvre effective de la loi. Une revue des débats parlementaires montre en effet que peu de voix discordantes se sont fait entendre. Le commissaire à protection de la vie privée de l'époque a occupé une large place dans ces débats, alors qu'il était fortement opposé à toute discussion sur l'idée d'attribuer des pouvoirs contraignants au Commissariat. Il préférait fonctionner à la manière d'un médiateur et d'utiliser son pouvoir de persuasion et de négociation afin de régler les plaintes à l'amiable. Il était également d'avis que la bonne approche aux problèmes relatifs à la protection de la vie privée était celle qui passait par un processus d'éducation, de discussion et d'examen du système de gestion de l'information d'une entreprise contre laquelle un individu se plaint, de sorte qu'il soit possible d'en identifier les failles et d'y apporter des correctifs systémiques.

Après l'adoption de la LPRPDE, les critiques relatives aux effets de ces choix législatifs devinrent plus précises. Ce qui suit est un très bref résumé de trois critiques formulées par les auteurs et relatives aux pouvoirs et fonctions de l'ombudsman ainsi que des réponses qui ont été données à ces critiques par la Commissaire à la protection de la vie privée.

1. Le modèle de l'ombudsman comparé à celui du tribunal administratif – critique du système de résolution des plaintes

Critique des auteurs. Ils mettent en doute l'efficacité du mécanisme de résolution des plaintes. En outre, ils estiment que les coûts impliqués, les délais et l'incertitude engendrés par ce mécanisme sont devenus des considérations déterminantes pour les parties qui désirent déposer une plainte. Un des problèmes qu'ils croient être à la source de cette ineffectivité est que le Commissariat rend uniquement publique de courts sommaires de ses enquêtes. En effet, cela a pour effet d'empêcher que les plaintes puissent servir de précédant et, par conséquent, de moyen efficace pour informer et guider les parties à l'avenir.

Réponse de la Commissaire. Le Commissariat n'est pas un tribunal administratif et, par conséquent, il ne devrait pas être évalué selon les mêmes critères. La commissaire à la protection de la vie privée agit comme un tiers neutre qui a le mandat de communiquer ouvertement avec les deux parties aux prises dans une affaire. Le commissaire doit travailler activement avec les parties pour résoudre le conflit afin d'en arriver à une solution juste. Son rôle est aussi pédagogique puisqu'elle doit tenter d'influencer la culture de protection de la vie privée à l'intérieur d'une entreprise n'agissant pas en conformité avec la loi. Le modèle axé sur les plaintes donne la possibilité aux individus d'être actifs à l'égard de la protection de leurs renseignements personnels et aux entreprises d'être conscientes de leurs pratiques de gestion des renseignements personnels qu'elles détiennent. La Commissaire ajoute qu'il ne faut pas faire abstraction du fait qu'elle peut toujours prendre l'initiative d'une plainte en vertu de la loi, lorsqu'il existe des motifs raisonnables de le faire. Enfin, elle estime que ses vastes pouvoirs d'enquête constituent en quelque sorte le contrepoids à l'absence du pouvoir d'émettre des ordonnances. En effet, lors d'une enquête, le rôle de la Commissaire est d'extraire tous les faits et toutes les considérations utiles et nécessaires pour trouver une solution durable. Les solutions qui émergent sont utiles non seulement pour résoudre la plainte immédiate, mais également pour encourager des transformations systémiques vers une culture durable de respect de la vie privée. À son avis, le processus contradictoire qui s'imposerait, si elle était dotée du pouvoir d'émettre des ordonnances, ne lui permettrait pas de résoudre des conflits de d'une manière qui serait a priori et nécessairement plus efficace.

2. Divulgation des résultats d'enquêtes de plaintes et transparence

Critique des auteurs. Il y a manque de transparence quant aux initiatives du commissaire pour assurer la conformité avec la loi, notamment dans le refus de dévoiler les noms des entreprises qui ont fait l'objet de plaintes. Faute de conséquence à tout constat de non-conformité, il n'y a pas d'incitatif suffisant pour encourager les entreprises en défaut à changer leurs comportements. De plus, le manque de transparence priverait le public et les autres entreprises de connaissances très utiles sur les pratiques exemplaires qui auraient été proposées par le Commissariat à l'entreprise visée par la plainte d'un individu. Enfin, le manque de transparence résulte aussi en une difficulté d'évaluer si le système réglementaire fonctionne adéquatement.

Réponse de la Commissaire. La nature et la finalité de l'institution de l'ombudsman n'est pas compatible avec l'idée selon laquelle la Commissaire devrait divulguer plus d'information sur le traitement et le résultat des plaintes dans le but de dégager des précédents. Le modèle de l'ombudsman n'est pas destiné à créer des précédents normatifs qui lieront dans l'avenir les parties qui se trouveront dans des situations similaires. Les parties impliquées dans une plainte doivent pouvoir participer dans le processus en sachant que leurs situations personnelles seront prises en compte, tout en étant confiantes qu'elles peuvent participer dans la négociation de la solution qui sera retenue. Si les parties savaient dès le départ qu'une solution prédéterminée leur serait imposée, le processus de conciliation échouerait. En revanche, la commissaire, en demeurant toujours consciente de son obligation de confidentialité, a le pouvoir de divulguer les détails d'une plainte si ceux-ci sont d'intérêt public, tel qu'édicté au paragraphe 20(2) de la LPRPDE.

3. L'accès à la Cour fédérale

Critique des auteurs. L'accessibilité au recours devant la Cour fédérale doit être mise en doute, compte tenu des coûts que cette procédure engendre (en plus des coûts de la procédure de plainte devant le Commissariat). Le processus en deux étapes est long et coûteux : il est susceptible de décourager les plaintes, de réduire le nombre d'affaire qui pourraient être entendues par la Cour fédérale et qui lui permettraient d'interpréter la loi et d'étoffer la jurisprudence sur les principes sous-jacents à la protection des renseignements personnels. Ces coûts doivent aussi tenir compte de l'incertitude qu'engendre la procédure devant la Cour fédérale. En effet et d'une part, jusqu'à ce que certaines questions d'interprétation soient traitées par la Cour fédérale ou par la Cour d'appel fédérale, les plaignants ne sont pas en mesure d'évaluer les chances de succès d'un leur plainte. D'autre part, le Commissaire ne peut pas être certain qu'il a adopté la bonne approche normative pour régler une affaire et il peut en résulter de la confusion chez les entreprises quant à la nature et à l'étendue de leurs obligations de protection. Par ailleurs, certains soulignent le manque d'expertise de la Cour sur les questions relatives à la protection des renseignements personnels, ce qui n'en fait pas le meilleur forum pour régler ce genre de litige. Enfin, ils estiment que puisque c'est à la Cour fédérale qu'il reviendrait de définir les dispositions de la loi, le rôle du commissaire serait marginal malgré son expertise en protection des renseignements personnels. Qui plus est, les décisions de la Cour pourraient aussi avoir pour effet de miner l'autorité du commissaire auprès des entreprises.

Réponse de la Commissaire. L'intervention de la Cour fédérale ne désavantage pas sérieusement les plaignants. Faire cette affirmation revient à négliger le fait que la commissaire peut, directement et au nom du plaignant, saisir la Cour fédérale d'une affaire. De plus, puisque la commissaire n'a pas de pouvoirs décisionnels exécutoires, elle a beaucoup de latitude pour assister et conseiller un plaignant qui veut directement saisir la Cour de sa plainte. L'ombudsman a été choisi comme modèle de mise en application de la LPRPDE avec l'intention d'éviter, lorsque cela est possible, le besoin de s'adresser à une cour et d'ainsi pouvoir proposer une réparation de manière informelle et peu coûteuse. La commissaire peut arriver à trouver une solution efficace et satisfaisante pour les parties à l'extérieur des tribunaux, ce qui allège le fardeau des plaignants.

* *
 *

C'est donc dans ce contexte général où des critiques récurrentes étaient formulées à l'égard du modèle de l'ombudsman et des pouvoirs et fonctions que ce modèle inspire que nous avons effectué nos recherches et nos analyses en amont et en aval de l'adoption et la mise en œuvre de la loi.

Top of PageTable of ContentsConclusions et recommandations spécifiques

Dans la partie I, nous avons analysé les idées économique, politique et juridique qui ont dominé le discours sous-jacent à l'élaboration de la LPRPDE ainsi que celles qui émergent dans le contexte contemporain afin de faire ressortir le plus clairement possible les points de convergence et de divergence entre les principaux éléments de ces discours passé et actuel.

Le discours économique

  • Il favorise toujours l'imposition d'un minimum de contraintes aux entreprises dans le but de garantir l'accès aux marchés nationaux et internationaux.
    • Cependant, la réflexion sur le rôle de la réglementation sociale (catégorie à la quelle fait partie la LPRPDE) a progressé vers une plus grande sensibilité à l'égard de la protection des consommateurs.
    • En effet, que l'État ait pour objectif de protéger ses citoyens (consommateurs) contre les abus de pouvoir des entreprises est conçu comme étant un rôle contemporain tout à fait légitime.
  • L'idée de protection du consommateur doit être pensée au niveau intranational, mais aussi au niveau supranational puisque les États doivent, dans la mesure du possible, harmoniser leurs réglementations sociales de manière à garantir une protection efficace contre les échanges d'information entre les États.
  • Ce dernier objectif est d'autant plus important que les développements technologiques du Web 2.0 laissent présager la nécessité d'une telle harmonisation : la loi doit s'insérer dans un réseau de normes pour être effective.  Lorsqu'on tient compte de ces nouveaux développements technologiques, l'idée de consolider le Système d'intégrité sur les plans national et international prend tout son sens. À cet égard, des recherches additionnelles et ciblées sur les répercussions de ces changements technologiques sur la capacité des organismes publics à mettre en œuvre leur mission de protection des renseignements personnels seraient essentielles à la réflexion sur l'effectivité de la LPRPDE.

Le discours politico-administratif

  • Bien que le discours politico-administratif sur l'organisation et les pouvoirs des organismes publics chargés de mettre en œuvre les lois n'ait pas changé de façon radicale, le dogmatisme des idées qui prévalaient durant les années 1980 et qui militaient contre la mise sur pied de nouveaux organismes publics semble s'être estompé. Ceci est particulièrement vrai lorsqu'on recense le nombre d'organismes parlementaires de surveillance des activités de l'administration qui ont été créés pour les fins de consolider notre Système national d'intégrité. En effet, on peut noter un réel engouement des politiciens pour ces organismes de surveillance depuis les quatre dernières années.
    • Il serait utile de mieux comprendre les fondements et les limites des compétences qui peuvent être attribuées à ce type d'organisme, surtout lorsqu'ils sont appelés à agir dans le secteur privé. Cette réflexion sera particulièrement pertinente dans le contexte où le législateur envisagerait d'ajouter des pouvoirs (tels des pouvoirs de nature réglementaire et pénale) au Commissariat, pouvoirs qui ne sont pas normalement associés à ceux d'un ombudsman que celui-ci relève ou non du Parlement.
  • Enfin, il apparaît que le remplacement du Commissariat par un organisme faisant partie de la catégorie des organismes décentralisés et, plus précisément, par un organisme de régulation sociale ('sociale' et non 'économique' puisque la LPRPDE est une réglementation sociale et non économique) et doté de pouvoirs de nature administrative (tels le pouvoir d'enquête), décisionnel (tels le pouvoir d'émettre des ordonnances et d'infliger des peines) et réglementaire pourrait être une option envisageable.

Le contexte juridique

  • Il faut noter l'élévation du droit à la protection des renseignements personnels au statut de norme quasiconstitutionnelle. Ce statut militerait en faveur d'offrir de meilleures protections aux citoyens et consommateurs relativement à l'usage de leurs renseignements personnels.
    • Il faut aussi mentionner l'importance de sauvegarder l'autonomie des individus et des décisions qu'ils prennent relativement à l'usage de leurs renseignements personnels. Veulent-ils plus de protection?  Peut-on observer des tendances distinctes selon les générations en cause? Est-ce que le Commissariat pourrait être conçu non seulement comme un lieu où on éduque le public, mais aussi comme un lieu où on apprend du public? À cet égard, serait-il indiqué pourvoir le Commissariat de fonds (et des pouvoirs) nécessaires pour tenir périodiquement des fora de citoyens, dont le but serait de mieux comprendre leurs attentes en plus de celles exprimées par l'industrie et des groupes d'intérêts?
  • Il faut également prendre note de la construction du droit administratif global relatif à la protection des renseignements personnels depuis plus de 20 ans. Celle-ci se poursuit et se complexifie. À cet égard, on peut mentionner plusieurs initiatives : Initiative espagnole et Projet Gallway ayant des visées harmonisatrice ainsi que le GPEN visant une meilleure exécution des normes, l'initiative de l'Agence mondiale anti-dopage relative à la protection des renseignements personnels des athlètes, et, finalement, le cadre normatif de l'APEC avec ses projets Pathfinders et le Cross-Boarder Privacy Rules System. Toutes ces initiatives sont riches d'enseignements pour réfléchir aux options de réformes.
    • Des recherches additionnelles seraient nécessaire afin de mieux comprendre quelles sont les forces et les faiblesses de notre système canadien de protection des renseignements au regard de ce réseau de normes faisant partie du droit administratif global.
    • Il pourrait aussi être utile d'envisager l'attribution de pouvoirs au Commissariat afin qu'il puisse clairement participer aux débats à l'échelle supranationale et peut-être même constituer un comité de coopération (composé du Commissaire fédéral et des commissaires provinciaux, de fonctionnaires fédéraux et provinciaux, de représentants d'industries (petites, moyennes et grandes), de groupes d'intérêts (notamment de protection des consommateurs) et de citoyens. Il s'agirait en quelque sorte de créer une délégation canadienne (sous forme d'un conseil consultatif) ayant suffisamment d'autorité pour discuter des questions relatives à la protection des renseignements personnels et qui pourrait intervenir sur la création des normes et mécanismes du droit administratif global dans ce domaine.
  • Il faut souligner que les problèmes constitutionnels soulevés par l'adoption de la LPRPDE en 2000 ne sont toujours pas résolus. S'il était envisagé d'attribuer des pouvoirs d'ordonnance au Commissaire et que ceux-ci pouvaient être appliqués à toutes les entreprises canadiennes, cela susciterait des débats fédéraux-provinciaux houleux. À cet égard, il est essentiel d'exercer une vigile juridique à l'égard des débats des cours de justice, notamment sur la validité des processus d'harmonisation. Sur ce point, le Renvoi à la Cour suprême relatif à la création d'un organisme de réglementation fédérale relatif aux valeurs mobilières est à suivre. Les motifs de la Cour pourraient vraisemblablement aller dans la direction d'une interprétation plus fonctionnelle du partage des compétences législatives, ce qui ouvrirait la voie à la mise en œuvre d'une forme de fédéralisme en réseau, incluant toutes les entités de la fédération (fédérale, provinciales et municipales). À titre d'exemple, une interprétation fonctionnelle pourrait mener les entités de la fédération à conclure une ou des ententes fédérale-provinciales (et municipales) afin d'assurer une meilleure exécution de la loi compte-tenu des problèmes contemporains. Par ailleurs, il serait également utile de se pencher sur la possibilité de créer un secrétariat fédéral, au sein du Commissariat, et ayant pour fonction de coordonner la réflexion et la recherche à tous les niveaux de gouvernements (incluant les gouvernements municipaux). Ces travaux auraient des visées réformatrices et auraient pour objectifs de fournir les données et les analyses nécessaires pour trouver les meilleures solutions et pratiques administratives pour régler les problèmes soulevés liés aux nouvelles utilisations des technologies de l'information contemporaines.
  • S'agissant de l'attribution d'éventuels pouvoirs de nature pénale, il faut souligner que, pour l'heure, et au sein du gouvernement fédéral, il semble bien que seul le CRTC (un organisme de régulation économique) en soit pourvu. 
    • Au Québec, le Tribunal des droits de la personne peut octroyer des dommages-intérêts punitifs aux personnes physiques et morales violant sciemment la Charte des droits et libertés de la personne. Il est utile de noter à cet égard que le Tribunal des droits de la personne se penche sur la violation de droits de nature quasi-constitutionnelle. En effet, puisque la protection des renseignements personnels a vraisemblablement acquis ce statut juridique, des analogies pourraient être faites pour justifier l'attribution de tels pouvoirs au Commissariat.

Dans la Partie II, nous avons exploré en détail le milieu opérationnel du CPVP relatif à la LPRPDE. En vue de souligner les critères d'évaluation appropriés, nous avons exploré les perspectives empiriques, comparatives et normatives du modèle d'ombudsman du CPVP.

D'un point de vue empirique

  • Un examen des extrants du CPVP fondé sur les données uniquement n'est pas satisfaisant. Le fait que le nombre de demandes ou de plaintes ait augmenté ou diminué ne révèle pas si le modèle du CPVP visant à assurer la conformité à la LPRPDE fonctionne bien.
    • Les données à elles seules peuvent appuyer les arguments relatifs à l'efficacité ou à l'inefficacité du CPVP. Les données qualitatives sur les évaluations des intervenants et universitaires quant au CPVP peuvent enrichir les données quantitatives.
    • La perception commune à l'effet que le modèle du CPVP est beaucoup plus efficace au sein des industries établies comme celle des banques ou de l'assurance qu'au sein des petites entreprises, où les renseignements personnels risquent d'être vulnérables, est particulièrement frappante.

D'un point de vue comparatif

  • L'évaluation actuelle de la LPRPDE et du CPVP peut être améliorée par l'intégration des leçons susceptibles d'être tirées d'autres administrations canadiennes (notamment le Québec, l'Alberta et la Colombie-Britannique.) de même que des États-Unis et du Royaume‑Uni.
  • Au sein des autres administrations canadiennes, par exemple, nous avons remarqué que l'expérience du Québec démontrait que l'indépendance et l'impartialité, à titre de normes du droit administratif de base, offraient les fondements sur lesquels reposent la conception institutionnelle et la recherche d'un modèle optimal. Les exemples de l'Alberta et de la Colombie‑Britannique montrent que le modèle d'ombudsman peut coexister avec d'autres mesures d'exécution et de conformité et les compléter, y compris les pouvoirs de rendre des ordonnances.
  • Les exemples des États‑Unis comme la FCC et la FTC sont le reflet de la transition des règlements spéciaux politisés vers des règlements stratégiques fondés sur des données probantes. Cette approche envers la réglementation met l'accent sur la planification, l'établissement de points de référence et l'évaluation du rendement.
  • En Europe, nous avons observé que le juridisme de coopération représentait un cadre pratique afin de comprendre la façon dont un plus grand rôle pour l'État et un plus grand rôle pour le marché pouvaient constituer des objectifs complémentaires pour un organisme de réglementation. L'exemple européen, comme celui d'autres organismes canadiens de réglementation en matière de protection de la vie privée, suggère un mélange complexe et complémentaire des modèles d'ombudsman et du pouvoir de rendre des ordonnances.

D'un point de vue normatif

  • Le choix des critères d'évaluation est une expression de certaines valeurs particulières. Par exemple, le fait que Bennett et Raab donnent priorité à l'économie, à l'efficience, à l'efficacité et à l'équité, qui sont liées à la sphère de la protection de la vie privée, donne à penser que la mesure de la justice distributive dans la réglementation en matière de protection de la vie privée (qui offre la meilleure protection des données?) est tout aussi importante que le fait de veiller à ce que l'industrie respecte la loi.

Qu'il soit analysé du point de vue empirique, comparatif ou normatif, nous sommes d'avis qu'il y a des éléments qui confirment que le modèle d'ombudsman du CPVP est un succès, ce qui a eu une incidence concrète et importante sur les objectifs énoncés dans la LPRPDE, et d'autres qui donnent à penser que le CPVP est restreint dans la réalisation de son mandat en vertu de la LPRPDE. Nombreux sont ceux qui appuient l'argument selon lequel une transition vers une LPRPDE orientée vers la protection des consommateurs ou un effort afin de veiller au respect de la LPRPDE par les petites entreprises nécessitent l'obtention de plus grands pouvoirs de rendre des ordonnances afin de compléter les responsabilités d'ombudsman actuelles.

Table des matières | Page suivante