Sélection de la langue

Recherche

Protection uniforme des renseignements personnels

Cette page Web a été archivée dans le Web

L’information dont il est indiqué qu’elle est archivée est fournie à des fins de référence, de recherche ou de tenue de documents. Elle n’est pas assujettie aux normes Web du gouvernement du Canada et elle n’a pas été modifiée ou mise à jour depuis son archivage. Pour obtenir cette information dans un autre format, veuillez communiquer avec nous.

Conférence visant à répondre à vos obligations en vue de l'observance de la loi sur la protection des renseignements personnels
Institut canadien

Le 16 juin 2003
Toronto, Ontario

George Radwanski
Commissaire à la protection de la vie privée du Canada

(La version prononcée fait foi)


J'aimerais vous entretenir aujourd'hui de la Loi sur la protection des renseignements personnels et les documents électroniques, la LPRPDE comme nous l'appelons. Cette loi assure aux Canadiens une protection de leurs renseignements personnels dans leurs transactions avec les organisations qui se livrent à des activités commerciales.

À compter de janvier prochain, toute organisation qui exerce des activités commerciales au Canada sera assujettie soit à la LPRPDE, soit à une loi provinciale essentiellement similaire. À cette échéance, nous aurons au Canada une protection uniforme des renseignements personnels. Évidemment, il importe dès lors que les Canadiens comprennent à présent leurs droits et leurs obligations en vertu de la Loi.

Toutefois, avant d'aborder la Loi, je souhaiterais dire quelques mots à propos du droit à la vie privée, ainsi que de son importance dans une société libre et démocratique.

Le droit à la vie privée, que je définis comme le droit de contrôler l'accès à sa personne et aux renseignements qui la concernent, est un droit humain fondamental, reconnu comme tel par les Nations Unies. On le décrit parfois comme le « droit dont découlent toutes nos libertés » : la liberté de parole, la liberté d'association, la liberté de pensée et virtuellement toutes les libertés que nous pouvons nommer. Toutes sont fondées sur le droit à la vie privée et sont impensables en dehors de ce droit.

Pour ma part, cela va presque de soi : comment pourrions-nous être vraiment libres, si chacun de nos gestes est épié, chacune de nos activités connue, chacune de nos préférences notée – Il est aisé de comprendre pourquoi le juge La Forest, ancien juge de la Cour suprême du Canada, a pu dire que le droit à la vie privée est « au cour de la liberté dans un État moderne ».

Or, presque tous les jours, de manière inédite et ingénieuse, ce droit humain fondamental subit des érosions.

Notre droit à la vie privée est en péril lorsque des renseignements nous concernant sont hors de notre contrôle, et ce dans un monde où, de plus en plus, tout le monde veut obtenir des renseignements à notre sujet: l'État providence, les organismes chargés de l'application de la loi, les employeurs, les commerçants, les organisations caritatives de levée de fonds ─ il existe une liste interminable d'organisations qui veulent connaître qui nous sommes, où nous sommes, ce que nous gagnons et ce que nous faisons.

Ceci n'est pas réellement nouveau, mais nous assistons là à une puissante nouvelle dynamique.

Jusqu'ici, la vie privée était protégée un comme par défaut. Les renseignements nous concernant étaient conservés sur papier et les documents étaient dispersés à travers différents endroits. C'était beaucoup de travail que de monter un dossier sur une personne et de mettre ensemble, dans le but d'établir un profil, tous ces documents disparates. Personne ne s'en préoccupait, à moins qu'il ne s'agît d'une personne célèbre ou d'une personne qui eût commis quelque mauvais acte.

Tout cela a changé grâce à l'informatique, aux bases données massives et à la technologie plus en plus envahissante. Désormais, un étranger assis devant son ordinateur peut établir votre profil en l'espace de quelques minutes. À présent, nous devons, individuellement et collectivement, nous donner beaucoup de mal pour nous assurer que notre droit à la vie privée est respecté.

C'est la raison pour laquelle je pense que le droit à la vie privée constitue l'enjeu déterminant de cette décennie. Nous sommes à la croisée des chemins. La manière dont nous relèverons ce défi déterminera non seulement le genre de société dans laquelle nous vivons, mais aussi le genre de société que nous laisserons à nos enfants et petits-enfants.

L'une des manières dont les Canadiens ont réagi à ce défi été d'adopter des lois. Depuis vingt ans, nous avons, en vertu de la Loi sur la protection des renseignements personnels, des droits à la vie privée exécutoires dans nos relations avec les institutions du gouvernement fédéral. Et à présent la LPRPDE, qui nous confère des droits similaires dans le secteur privés

Permettez-moi de vous donner un aperçu de l'objet, des dispositions et de l'application de la Loi.

La Loi vise à établir un équilibre entre les droits individuels à la vie privée et la nécessité pour les entreprises de recueillir, d'utiliser et de communiquer des renseignements personnels.

Au cour de la Loi se trouve le Code type sur la protection des renseignements personnels de l'Association canadienne de normalisation. Ceci était au départ un code volontaire mis au point par les entreprises, le gouvernement et les consommateurs et qui a été intégré à la Loi.

Les principaux points de la Loi sont les suivants :

Si un organisme assujetti à la Loi désire recueillir, utiliser ou communiquer les renseignements personnels d'une personne, il doit obtenir son consentement, sauf dans quelques cas définis et limités.

L'organisme peut utiliser ou communiquer des renseignements personnels seulement pour la fin pour laquelle la personne a donné son consentement au moment où l'organisme les a recueillis.

Même avec un consentement, l'organisme doit limiter la collecte, l'utilisation et la communication de renseignements personnels aux fins qu'une personne raisonnable jugerait appropriées dans les circonstances.

Chacun a le droit de voir les renseignements personnels qu'un organisme conserve à son sujet et de faire corriger les inexactitudes.

Le Commissariat et moi-même exerçons une surveillance pour veiller à ce que la Loi soit respectée et à ce que les citoyens aient des réparations si leurs droits sont violés.

À l'heure actuelle, la Loi s'applique à tous les renseignements personnels, y compris les renseignements personnels sur la santé, qui sont recueillis, utilisés ou communiqués dans le cadre d'activités commerciales par des installations, ouvrages, entreprises et secteurs d'activité fédéraux, c'est-à-dire principalement les banques, les transporteurs aériens, les sociétés de télécommunications, les radiodiffuseurs et les entreprises de transport. Elle s'applique également aux renseignements personnels relatifs aux employés dans ces organisations. Elle s'applique aussi aux renseignements personnels détenus par des organisations relevant de la compétence provinciale, lorsqu'ils sont vendus, loués ou échangés au-delà des frontières provinciales ou nationales.

À partir de janvier 2004, l'application de la Loi sera plus étendue : elle s'appliquera à tous les renseignements personnels recueillis, utilisés ou communiqués dans le cadre d'activités commerciales par toutes les organisations du secteur privé, sauf dans un cas précis.

J'ai mentionné ce cas précis au départ. Dans les provinces qui auront adopté une loi qui sera « essentiellement similaire » à la LPRPDE, le gouvernement fédéral pourra exclure la totalité ou une partie du secteur privé relevant de la compétence provinciale de l'application de la Loi pour les activités commerciales à l'intérieur de la province. La Loi continuera de s'appliquer aux entreprises relevant de la compétence fédérale dans toutes les provinces. Et elle continuera également de s'appliquer aux renseignements personnels qui sont recueillis, utilisés ou communiqués au-delà des frontières provinciales ou nationales.

Je dois vous prévenir à ce stade-ci d'un malentendu fréquent. Même si l'application de la Loi sera élargie en 2004 aux activités commerciales qui relèvent normalement de la juridiction provinciale, elle ne s'applique pas dans les cas des droits à la protection de la vie privée dans le contexte de l'emploi. Dans le contexte de l'emploi, la Loi s'appliquera uniquement dans les installations, ouvrages, entreprises et secteurs d'activité fédéraux dans toutes les provinces. Cependant, il est peu probable que les lois provinciales en matière des droits à la protection de la vie privée s'appliqueront au contexte de l'emploi. À mon avis, elles seront obligées de le faire, sinon, elles ne seront pas considérées comme étant essentiellement similaires à la LPRPDE.

Ce sont là les grandes lignes de la Loi. Je reviendrai dans un instant à la question de la loi provinciale essentiellement similaire, mais permettez-moi d'abord de décrire brièvement ce que je fais.

Je suis un haut fonctionnaire indépendant nommé par le Parlement et mon mandat est double.

Le premier volet est la surveillance, ce qui comprend les enquêtes et les décisions sur les plaintes en vertu de la LPRPDE et de la Loi sur la protection des renseignements personnels, la loi qui s'applique au secteur public fédéral.

Dans mon rôle de surveillance, je suis un ombudsman, c'est-à-dire que je dois plutôt trouver des solutions, et non des gens à blâmer ou à punir.

J'ai les pleins pouvoirs d'enquête, bien sûr. Je peux ordonner la production de documents, pénétrer dans des lieux et contraindre des témoins à comparaître. Toutefois, en 20 ans de surveillance de l'application de la Loi sur la protection des renseignements personnels dans le secteur public fédéral, mes prédécesseurs et moi-même n'avons jamais eu à recourir à ces pouvoirs. Nous avons toujours pu obtenir une collaboration volontaire. Il en a été de même jusqu'à maintenant pour la nouvelle loi visant le secteur privé et j'espère beaucoup que cette situation durera.

Si je constate qu'une organisation enfreint au droit à la vie privée, je recommande une solution au problème.

Je n'ai pas le pouvoir de rendre des ordonnances, mais j'ai à ma disposition des moyens pour faire respecter le droit à la vie privée et mes recommandations sont prises en compte.

Si une organisation refuse de s'y conformer, je peux rendre la cause publique et compter ensuite sur l'opinion publique pour faire bouger les choses.

Je peux aussi demander à la Cour fédérale de lui ordonner de s'y conformer, voire d'accorder des dommages-intérêts aux victimes d'une violation de leur droit à la vie privée.

Le deuxième grand volet de mon mandat en vertu de la LPRPDE consiste à sensibiliser les Canadiens au sujet de leur droit à vie privée et de promouvoir le respect de ce droit. Un exemple serait dans ce cas-ci l'affichage des sommaires de cas de mes conclusions. Nous élaborons un guide à l'intention des entreprises et organismes et des fiches d'information. J'ai traversé d'un bout à l'autre du Canada pour rencontrer et pour prononcer aux conférences comme celle-ci.

J'ai mentionné que la LPRPDE s'appliquera à toutes les activités commerciales à partir de 2004, sauf si une province adopte une loi essentiellement similaire. Ce qui m'amène à parler de ce qui constitue, en réalité, le troisième volet de mon mandat.

Le gouverneur en conseil, sur la recommandation du ministre de l'Industrie, décidera finalement s'il y a lieu de considérer une loi provinciale comme étant essentiellement similaire. Mais j'ai l'obligation en vertu de la Loi d'examiner les lois provinciales sur la protection des renseignements personnels, de faire des observations à ce sujet et de faire rapport annuellement au Parlement pour indiquer dans quelle mesure les provinces ont adopté des lois essentiellement similaires. Je m'attends à ce que mes recommandations soient un facteur important dans la décision du ministre de l'Industrie.

Qu'entend-on donc par « essentiellement similaire » – Je l'interprète comme égal ou supérieur à la LPRPDE. Lorsque j'examinerai une loi provinciale, je m'attendrai à y trouver au moins les dix principes du Code type de l'ACN. J'analyserai en particulier les points suivants : le consentement, le critère de la personne raisonnable, les droits d'accès et de correction, le mécanisme de surveillance et le droit de recours. La loi provinciale devra être aussi rigoureuse ou plus que la LPRPDE dans les domaines qui seront considérés comme étant essentiellement similaires.

Il s'agit d'une norme élevée, mais il est possible de la respecter. En mai 2002, j'ai informé le Parlement que la Loi sur la protection des renseignements personnels dans le secteur privé du Québec est essentiellement similaire à la LPRPDE.

Présentement, seules la Colombie-Britannique et l'Alberta ont présenté une loi visant se rapprocher à la LPRPDE. Cela vaut la peine d'y jeter un coup d'oil pour voir ce qui est ou n'est pas considéré comme étant essentiellement similaire. Les deux projets présentent de nombreux aspects positifs, mais ils comportent aussi des lacunes sérieuses et, à moins que ces lacunes ne soient corrigées, je ne pourrai pas recommander qu'ils soient considérés comme étant essentiellement similaires.

Les deux projets ne reconnaissent pas l'importance des droits à la vie privée dans l'emploi. Ils autorisent expressément la collecte, l'utilisation et la communication des renseignements personnels des employés sans leur consentement. Ceci prive complètement l'employé ou l'employé éventuel de tout contrôle sur ses renseignements personnels.

La collecte, l'utilisation ou la communication doivent être raisonnables aux fins de l'établissement, de la gestion ou de la cessation d'une relation d'emploi. Mais il s'agit d'une norme faible, qui pourrait vouloir dire n'importe quoi et, pire encore, elle ne peut être appliquée qu'après le fait, ce qui n'est pas très utile.

Voici ce que je veux dire. Un employeur peut penser qu'il est raisonnable de recueillir et de communiquer des renseignements au sujet de la santé d'un employé, par exemple, ou de sa religion, ou de son orientation sexuelle. Ces projets de loi autoriseraient l'employeur à le faire, sans le consentement de l'intéressé.

L'employé pourrait déposer une plainte alléguant que cela n'était pas raisonnable, il pourrait peut-être présenter un grief ou encore déposer une plainte auprès du commissaire provincial à la protection de la vie privée. Mais même s'il devait avoir gain de cause, cela ne servirait pas à grand-chose, parce que les renseignements auraient déjà été recueillis, utilisés et communiqués contre la volonté de l'employé. Le droit à vie privée de l'employé aurait été déjà violée. Le mal aurait été fait. Il est impossible de redonner à quelqu'un sa vie privée si elle a été violée, pas plus qu'on ne peut remettre du dentifrice dans le tube.

Ces projets de loi ne prévoient pas non plus que les mesures de protection les plus importantes qu'ils contiennent s'appliquent aux renseignements personnels qui ont été recueillis avant leur entrée en vigueur. Autrement dit, il n'est pas nécessaire de consentir à l'utilisation ou à la communication des renseignements qui ont déjà été recueillis.

Voilà une lacune grave. La LPRPDE en revanche n'établit pas de distinction entre les renseignements personnels recueillis avant et après son entrée en vigueur. Pour utiliser ou communiquer des renseignements recueillis avant l'entrée en vigueur de la Loi, les organisations doivent obtenir le consentement - c'est aussi simple que cela.

Ensuite, toute bonne loi sur la protection des renseignements personnels doit accorder aux personnes le droit de savoir quels renseignements personnels les organisations ont à leur sujet et de corriger les renseignements qui sont incomplets ou faux. Les deux projets de loi sont loin d'atteindre la norme établie par la LPRPDE.

Une personne ne pourrait pas avoir accès aux renseignements à son sujet s'il apprend ainsi l'identité de celle qui a communiqué les renseignements. Faute d'avoir accès à ces renseignements, cette personne ne saurait même pas qu'ils existent et serait encore moins en mesure d'en contester l'exactitude.

Le projet de loi de l'Alberta comporte d'autres lacunes relativement à l'accès. L'accès peut être refusé à une personne au motif que, si ces renseignements sont communiqués, l'organisation ne pourrait plus en obtenir de semblables. Il s'agit là d'une raison ambiguë pour refuser l'accès et il serait presque impossible de la contester. Il n'y a rien de semblable dans la LPRPDE.

Le projet de loi diffère également de la LPRPDE en ce sens qu'il autorise une organisation à exiger d'une personne des frais « raisonnables » pour avoir accès à ses renseignements. La LPRPDE exige que l'accès soit offert moyennant « des droits minimes ».

Le projet de loi de la C.-B. pose des problèmes particuliers au sujet du consentement.

La notion de consentement est au cour de la législation sur la protection de la vie privée. C'est par le consentement que les personnes contrôlent les renseignements personnels à leur sujet.

Le projet de loi de la C.-B. mentionne expressément le consentement implicite, soit un mode de consentement faible qui n'est acceptable que dans certains cas limités, mais il ne dit rien au sujet du consentement explicite ou écrit.

C'est ainsi qu'une organisation pourrait prétendre s'en remettre entièrement au consentement implicite. Il n'y a rien qui empêche une organisation d'agir ainsi, ni rien que le commissaire de la C.-B., qui aurait pour mandat de surveiller l'application de la loi, pourrait utiliser pour exiger un consentement explicite.

La LPRPDE recommande fortement l'utilisation du consentement explicite pour la collecte, l'utilisation ou la communication de renseignements délicats. Une loi sur la protection de la vie privée qui permet aux organisations de s'en remettre entièrement au consentement implicite accorderait un niveau de protection beaucoup plus faible que la LPRPDE.

Le projet de loi de l'Alberta ne comporte pas cette lacune, mais il en a une autre qui pourrait se révéler encore pire. Il accorde au Cabinet le soin de décider de prendre des règlements portant sur le consentement, de même que d'adopter des procédures pour les demandes d'accès, la collecte, l'utilisation ou la communication des renseignements sans consentement, et les renseignements personnels auxquels la loi ne s'applique pas.

Le Cabinet a donc ainsi le pouvoir d'abaisser beaucoup le niveau de protection prévu dans le projet de loi, sans un débat public véritable et authentique. Le pouvoir de prendre des règlements doit être limité à des questions imprévues de nature administrative. Aucune discrétion aussi large en matière de réglementation n'existe dans la LPRPDE.

Le projet de loi de l'Alberta autoriserait également le Cabinet à reporter l'application de la loi aux organismes de réglementation professionnels et aux organismes à but non lucratif, ou même à les exempter entièrement.À première vue, cela ne semble pas poser de problème.Mais certains organismes à but non lucratif recueillent des renseignements très délicats, notamment sur l'état de santé. La solution consiste manifestement à ce que le projet de loi s'applique à ces organisations dans la mesure où elles s'engagent dans des activités commerciales, ce qui serait conforme à la LPRPDE. Mais leur exemption totale est une toute autre question.

Enfin, les deux projets de loi autoriseraient la collecte, l'utilisation ou la communication de renseignements sans consentement dans le cadre d'une enquête ou d'une poursuite. Il s'agit d'une caractéristique essentielle de toute loi sur la protection de la vie privée, mais la formulation est beaucoup trop imprécise. Les termes « enquête » et « poursuite » sont définis très largement de sorte que la discrétion accordée est beaucoup plus large que ce qui se trouve dans la LPRPDE. C'est ainsi qu'il y a beaucoup trop de situations où les renseignements personnels peuvent être recueillis, utilisés ou communiqués sans consentement.

Bref, ces deux projets de loi n'accordent tout simplement pas aux Canadiens la protection de leur vie privée au niveau auquel ils sont en droit de s'attendre. Si les assemblées législatives de l'Alberta et de la C.-B. adoptent ces projets de loi sans corriger ces lacunes, je ne pourrai recommander qu'ils soient jugés essentiellement similaires à la LPRPDE.

Les projets de loi ne sont pas pour autant invalidés, bien sûr.Si le gouverneur en conseil ne trouve pas qu'ils sont essentiellement similaires, ils resteront en vigueur.Mais, à partir du 1er janvier 2004, ils seront appliqués concurremment avec la loi fédérale.La LPRPDE aurapréséance jusqu'à concurrence de toute incohérence, et toutes les organisations qui exercent des activités commerciales devront se conformer à ses dispositions.

Que ce soit la LPRPDE comme telle qui s'applique ou des lois provinciales essentiellement similaires, les principes de la LPRPDE feront partie de l'environnement commercial dans tout le Canada à partir de janvier.À ce stade-là, peu importe la voie que choisiront les provinces, la protection en matière de la vie privée sera uniforme au Canada.

Les entreprises ont besoin de renseignements personnels pour connaître leurs clients et rester en contact avec eux. Elles les utilisent pour trouver de nouveaux clients qui pourraient être intéressés dans leurs produits. Elles veulent savoir ce que cherche le marché et ce qu'il peut accepter. Elles veulent des renseignements au sujet de leurs employés, de sorte qu'elles puissent administrer les avantages sociaux et garantir un lieu de travail sûr et productif.

Obtenir et utiliser les renseignements personnels par des moyens qui ne portent pas atteinte au droit humain fondamental à la vie privée, voilà le défi que doivent relever les entreprises modernes. Elles doivent être en mesure de le faire, sans quoi elles s'aliéneront leurs employés et éloigneront leurs clients.

La situation est d'autant plus compliquée que les gens exigent plus que jamais de contrôler leurs renseignements personnels.

Dans un univers où nous pouvons contrôler de moins en moins de choses, il en reste au moins une que les gens pensent pouvoir contrôler, et ce sont leurs renseignements personnels. C'est pourquoi ils réagissent tant quand des entreprises se mêlent de les recueillir. Ils veulent savoir ce qui en fait et comment ils sont utilisés.

Lorsque des entreprises ne respectent pas les droits des gens, ceux-ci ont le sentiment de ne pas avoir la maîtrise de leur existence.

Pensez à ce que cela signifie pour une entreprise qui cherche à l'emporter sur ses concurrents.

Si les gens ne font pas confiance aux entreprises, s'ils pensent que les entreprises veulent leur arracher leur consentement ou le prendre pour acquis sans justification, le système sera sapé. Ils refuseront de donner des renseignements, ou ils donneront de faux renseignements. Ils inonderont de plaintes les entreprises. Ils refuseront des choses qui pourraient leur être avantageuses, sur le coup de la colère, de la frustration et du ressentiment. Et ils s'adresseront à des concurrents qui respectent leur droit à la vie privée.

Voilà à mon avis la meilleure raison pour laquelle le respect de la vie privée est une bonne pratique en affaires. Il s'agit d'un élément clé des bonnes relations avec la clientèle, et donc d'un élément clé de l'avantage concurrentiel. En revanche, il y a un risque concurrentiel manifeste si l'on est reconnu comme une entreprise qui viole le droit à la vie privée.

Ce ne sera pas une sinécure de s'adapter à cette nouvelle situation, et une partie de mon travail consiste à aider les entreprises à le faire. J'encourage donc la consultation entre mon Commissariat et le monde des affaires, dont j'ai déjà rencontré de nombreuses organisations. Nous avons produit un guide à l'intention des entreprises, une fiche d'information sur la Loi et un certain nombre de fiches de renseignements. Un résumé de mes constatations à propos de la Loi est publié sur notre site Web pour faciliter l'interprétation.

Laissez-moi conclure en disant que j'ai hâte de travailler avec vous tous dans les mois et les années à venir. Le Commissariat et moi-même sommes toujours là pour aider.

Signaler un problème ou une erreur sur cette page
Erreur 1: Aucune sélection n’a été faite. Vous devez choisir au moins une réponse.
Veuillez cocher toutes les réponses pertinentes (obligatoire) :

Remarque

Date de modification :