Systèmes de sécurité publique intégrés mondialement : Un regard sur les répercussions pour la souveraineté en matière de protection de la vie privée du point de vue du Canada

Commentaires dans le cadre de la 5^e Conférence internationale annuelle sur l’informatique et la protection de la vie privée et des données

Le 26 janvier 2012
Bruxelles (Belgique)

Allocution prononcée par Chantal Bernier
Commissaire adjointe à la protection de la vie privée du Canada

(La version prononcée fait foi)

---

Introduction

Je tiens à remercier les organisateurs de donner au Commissariat l’occasion d’aborder une question de plus en plus préoccupante, à savoir les répercussions des systèmes de sécurité publique intégrés mondialement sur l’exercice de la souveraineté nationale pour protéger la vie privée.

Je parle ici — et mes collègues du panel les décriront plus en détail — des systèmes de sécurité publique de plus en plus intégrés mondialement — la sécurité aérienne intégrée, l’échange de renseignements et d’information, par exemple — qui sont à l’origine de mesures nationales en matière de sécurité publique, mais qui contournent les régimes nationaux de protection de la vie privée.

Cette question de préservation de la souveraineté de l’État dans le contexte des systèmes de sécurité publique intégrés mondialement a réellement attiré l’attention des Canadiennes et des Canadiens en avril 2010, lorsque le Canada a dû modifier la Loi sur l’aéronautique afin de se conformer au programme Secure Flight des États-Unis.

En vertu de ce programme, les transporteurs aériens qui survolent les États-Unis — et pas seulement ceux qui atterrissent aux États-Unis —, doivent fournir aux autorités américaines des renseignements personnels complets sur les passagers. Le débat a été intense à la Chambre des communes, qui s’est cependant finalement résignée à cet impératif externe : les États-Unis l’exigeaient. Comme les transporteurs aériens canadiens ne pouvaient pas, de façon pratique, contourner les États-Unis pour atteindre l’Amérique latine et d’autres destinations, le Canada a dû se conformer.

Puisque l’idée de la mesure est venue d’une autre nation, qu’elle était basée sur les politiques d’un autre pays et qu’elle exigeait le transfert d’une quantité importante de renseignements à cet autre pays, elle était clairement associée à un sentiment de perte de souveraineté en matière de protection de la vie privée des Canadiennes et Canadiens.

L’annonce d’un plan d’action visant à établir un périmètre de sécurité entre le Canada et les États-Unis met maintenant clairement la question à l’avant-scène.

À travers ces exemples et d’autres, j’aimerais prôner aujourd’hui une plus grande coopération internationale en matière de protection de la vie privée, pour refléter, d’une manière, l’intégration internationale des mesures de sécurité publique. C’est la seule façon de préserver des normes sur le plan de la protection de la vie privée.

Je vais décrire brièvement :

• le phénomène de l’intégration de la sécurité mondiale que nous observons;
• les risques pour la vie privée que nous avons identifiés;
• les stratégies pour la coopération internationale en matière de protection de la vie privée;
• le cas particulier du plan d’action Par-delà la frontière entre le Canada et les États-Unis.

Le Commissariat à la protection de la vie privée du Canada

Mais pour commencer, quelques mots sur le Commissariat à la protection de la vie privée du Canada.

Nous sommes un agent du Parlement, ce qui signifie que nous sommes indépendants, que nous rendons des comptes à l’ensemble du Parlement et que, de ce fait, nous sommes à l’abri de toute orientation politique.

Nos fonctions sont notamment les suivantes :

• répondre aux demandes de renseignements des Canadiennes et Canadiens;
• enquêter sur les plaintes, qui peuvent provenir de particuliers ou émaner du Commissariat;
• examiner les évaluations des facteurs relatifs à la vie privée;
• mener des vérifications;
• commander des recherches;
• sensibiliser le grand public;
• guider le Parlement dans l’examen de lois pertinentes.

Il s’agit donc du contexte institutionnel.

Passons maintenant à une brève description du contexte plus large associé aux systèmes de sécurité publique intégrés.

1^re partie — L’intégration de la sécurité publique

Au cours des deux dernières décennies, les gouvernements du monde entier ont réagi à la migration croissante de la population, à l’instabilité politique et à des menaces mondiales inhabituelles d’une myriade de façons.

Aux fins de la discussion, elles peuvent être divisées en trois types :

• la consolidation nationale, à savoir le rapprochement d’organismes similaires au sein d’une même nation;
• l’augmentation de la capacité, à savoir l’augmentation de la surveillance et de la collecte de renseignements, que cela soit par le biais de systèmes de télévision en circuit fermé, de surveillance en ligne ou de sécurité dans les aéroports;
• la coopération internationale accrue, à savoir l’échange de renseignements entre pays.

Ce trio particulier de contre-mesures forme le nouveau contexte de la protection de la vie privée — et il représente de nouveaux risques.

2^e partie — Au cœur du problème : Les risques de l’échange de renseignements à l’échelle mondiale sur la protection de la vie privée

Le risque principal concerne la souveraineté par rapport à la protection de la vie privée.

Ce risque est particulièrement évident pour le Canada dont le voisin direct est celui qui se sent le plus visé par les menaces à la sécurité publique :

• nous partageons une frontière de près de 9 000 km avec les États-Unis;
• nous sommes des partenaires commerciaux importants, ce qui signifie que la mobilité transfrontalière est à la fois grande et essentielle;
• les politiques de sécurité publique constituent un point central de la politique des États-Unis;
• enfin, si vous permettez un langage quelque peu excessif pour insister, nous sommes traumatisés. Traumatisés par plusieurs incidents de divers degré de gravité aux frontières, et surtout, par le cas de Maher Arar.

Maher Arar, un Canadien originaire de Syrie, revenait au Canada par les États-Unis après des vacances en famille. Il a été détenu aux États-Unis puis déporté vers la Syrie pour y être torturé pendant plus d’un an sur la base de renseignements peu solides que les autorités policières canadiennes ont communiqués aux autorités américaines.

Une enquête publique au Canada a montré qu’il n’était pas plus qu’une personne d’intérêt périphérique dans la collecte de renseignements sur un autre individu.

Le Canada a passé des mois à essayer de rapatrier Maher Arar de Syrie — mais en raison de l’échange international de renseignements, nous avions perdu le contrôle sur la protection de ses renseignements personnels et sur son destin.

À nouveau, nous faisions face aux répercussions des mesures de sécurité publique intégrées à l’échelle internationale sur notre droit souverain de protéger les renseignements personnels et donc la vie privée.

Bien sûr — et en tant qu’avocate en droit international, je devrais le savoir —, chaque instrument de coopération internationale suppose une certaine limitation des droits souverains en raison des engagements qu’il contient. Mais cette limitation est délibérée. La limitation de souveraineté résultant des systèmes de sécurité publique intégrés mondialement n’est pas délibérée. Elle est indirecte et elle contourne les lois sur la protection de la vie privée.

Nous devons donc repenser la façon de protéger la vie privée dans un contexte mondialisé de sécurité publique.

Les défis sont nombreux et je vais en parler.

3^e partie — Le défi de la coopération internationale en matière de protection de la vie privée

Le premier défi est qu’il n’y a pas de liens entre les autorités de protection des données similaires aux liens internationaux entre les responsables de la sécurité publique.

Les responsables de la sécurité publique travaillent réellement ensemble — pas les autorités de protection des données.

Par exemple, même si je constate que les autorités de protection des données réalisent de plus en plus la nécessité de collaborer sur les enjeux de la protection de la vie privée touchant le secteur privé — Google, Facebook ou d’autres applications —, je ne vois pas le même élan pour les enjeux du secteur public.

À la Conférence internationale des commissaires à la protection des données et de la vie privée, il est rarement question des enjeux associés au secteur public.

Nous ne disposons pas de mécanismes permettant de réellement exercer nos fonctions conjointement.

Nous ne faisons que commencer à réfléchir à la possibilité de travailler conjointement.

Par conséquent, alors que les responsables de la sécurité publique intensifient leur coopération au point d’intégrer leur travail, nous, les autorités de protection des données, continuons à réagir aux enjeux de la protection de la vie privée dans le contexte de la sécurité publique sur le plan national.

Le second défi est structurel et touche particulièrement le Canada : nous n’avons pas d’homologue chez notre partenaire principal, les États-Unis.

Même si la Maison‑Blanche a récemment annoncé qu’elle va finalement nommer des personnes au Privacy and Civil Liberties Oversight Board, afin de conseiller le président et les chefs de département, le conseil n’est pas encore fonctionnel et il ne reflètera pas nos pouvoirs et nos mandats en tant qu’autorité de protection des données (APD).

Le département de la Sécurité intérieure des États-Unis a bien un responsable de la protection de la vie privée, mais il s’agit d’un poste interne et non d’un « chien de garde » indépendant. En revanche, nos responsables de la sécurité publique ont des homologues directs aux États-Unis.

Un troisième défi pour la coopération entre les APD en général est que nos régimes légaux diffèrent en ce qui concerne la portée de leur application aux mesures de sécurité publique. Certains régimes nationaux de protection des données excluent précisément les questions de sécurité publique et de sécurité intérieure. Même lorsque les APD sont indépendantes, il pourrait être difficile d’harmoniser les mandats différents.

Un autre défi est la nature politique du rapport entre la protection de la vie privée et la sécurité publique. La coopération internationale entre les APD dans ce domaine est marquée par des sensibilités que la coopération concernant le secteur privé ne soulève pas nécessairement.

Tout cela est bien compréhensible, mais il faut reconnaître qu’une approche en matière de protection de la vie privée axée sur les lois et les structures de gouvernance nationales ne peut plus nous offrir de base solide dans un contexte où l’intégration des systèmes de sécurité publique à l’échelle mondiale a une incidence sur la vie privée.

Cependant, nous faisons des progrès.

À la dernière Conférence internationale des commissaires à la protection des données et de la vie privée, on a plaidé en faveur d’une véritable collaboration entre les APD et des mesures concrètes ont été prises pour créer un processus à cette fin.

La résolution de 2011 sur la coordination de l’application des dispositions en matière de protection de la vie privée à l’échelle internationale adoptée à Mexico lors de la dernière Conférence internationale peut offrir un forum pour faire des progrès, si elle est à l’origine des travaux sur des enjeux de sécurité publique et non uniquement sur des enjeux technologiques associés au secteur privé.

Un groupe d’APD se réunira à Montréal en mai afin de jeter les bases d’une coopération internationale entre les APD. Cela pourrait être le prélude à une meilleure collaboration sur les enjeux de sécurité publique.

Au Canada, le Commissariat à la protection de la vie privée dispose maintenant du pouvoir, en vertu d’une loi adoptée au printemps dernier, de conclure des protocoles d’entente avec d’autres APD pour échanger des renseignements en vue de travailler conjointement. Cela pourrait nous permettre de répondre au besoin de coopération internationale en matière de protection de la vie privée que nous observons.

Mais il y a loin de la coupe aux lèvres. Alors, passons aux stratégies pour y arriver.

4^e partie — Les stratégies

Un panel comme celui-ci où des professionnels de la protection de la vie privée se réunissent pour discuter de l’enjeu et apprendre les uns des autres est une bonne stratégie.

À tout le moins, il nous permet de bâtir un cadre conceptuel conjoint pour développer un front commun. Mais, de toute évidence, il faut faire plus.

Pour moi, l’occasion manquée dans le dossier des scanneurs corporels est un exemple concret de ce que nous devons faire de plus. De nombreuses autorités de protection des données ont été confrontées à cette mesure. Cependant, même celles qui disposent d’un statut similaire, c’est-à-dire de « chien de garde » indépendant, ont partagé peu de renseignements ou de conseils.

Et pourtant, nous aurions pu apprendre les uns des autres qu’il existe des façons de traiter efficacement l’incidence des scanneurs corporels sur la vie privée. Si nous avions travaillé ensemble, nous aurions su que les scanneurs corporels ne sont pas tous invasifs de la même façon. Tous les scanneurs ne produisent pas des images avec le même niveau de détails, et tous n’ont pas la capacité de conserver des images.

Une APD aurait pu exercer des pressions sur son gouvernement afin qu’il adopte le type de scanneur le moins invasif en donnant des exemples de nations qui l’ont fait, s’il y avait eu une analyse conjointe de la question. Mais aucune analyse conjointe n’a eu lieu, même si nous avons tous eu à faire face aux mêmes dilemmes éthiques entourant la protection de la vie privée et la sécurité, et même si nous aurions pu tirer profit du partage de cadres analytiques.

Le Commissariat a produit un cadre analytique afin d’aborder précisément le défi de l’intégration des mesures de sécurité publique et de protection de la vie privée. D’alleurs Karim Benyekhlef nous a aidés à le faire.

Ce cadre analytique vise une application universelle. Nous l’avons publié en trois langues et il est disponible sur notre site Web. Si des APD venaient à s’en servir, nous aurions une approche commune pour traiter les enjeux qui nous menacent tous.

Par exemple, ne pourrions-nous pas nous réunir, au moins conceptuellement si ce n’est fonctionnellement, pour travailler sur la surveillance des frontières par des drones? Ou sur l’utilisation de la biométrie par l’État? Ne pourrions-nous pas rassembler nos connaissances en matière de stratégie pour de meilleurs mécanismes de surveillance?

Ce nouveau régime de sécurité mondiale nous force, nous — les APD et les défenseurs de la protection de la vie privée à l’échelle mondiale — à réviser la façon dont nous revendiquons le droit à la vie privée dans ce contexte. Compte tenu de l’intégration internationale des mesures de sécurité publique, nous devons accroître notre travail conjoint à cet égard.

En particulier, je crois que nous avons besoin :

• de davantage de coopération technique;
• d’une meilleure harmonisation des normes en matière de protection de la vie privée;
• de partager des mesures de protection de la vie privée qui traitent précisément de l’enjeu des mesures de sécurité publique intégrées mondialement;
• d’échanger des stratégies de sensibilisation du public qui peuvent être adaptées par d’autres instances;
• de mettre en commun des méthodes efficaces pour favoriser la reddition de comptes parmi les responsables de la sécurité publique, que ce soit par des examens d’évaluations des facteurs relatifs à la vie privée, de vérifications ou de cadres analytiques, et à long terme;
• d’exercer nos fonctions conjointement — par exemple, réaliser conjointement une vérification du système de sécurité publique intégré.

Mais, il reste du chemin à faire. Amorcer un dialogue entre APD sur la coopération entourant les enjeux en matière de sécurité publique, ou en faire un point saillant de la Conférence internationale des commissaires à la protection des données et de la vie privée serait déjà un grand pas en avant.

Pour le Canada, l’urgence d’une telle collaboration est exacerbée par une nouvelle réalité, à savoir le plan d’action récemment annoncé entre le Canada et les États-Unis en vue de l’établissement d’un périmètre de sécurité frontalier.

5^e partie — Confrontation avec la réalité : La déclaration et le plan d’action entre le Canada et les États-Unis

Le plan d’action vise la création d’un périmètre de sécurité commun entre le Canada et les États-Unis reposant sur quatre piliers principaux :

• l’évaluation coopérative du risque;
• la facilitation du commerce;
• le maintien de l’ordre intégré aux frontières;
• la protection intégrée des infrastructures critiques.

En général, les mesures incluent :

• une approche commune à l’égard du contrôle des voyageurs;
• la coopération pour les enquêtes liées à la sécurité et au crime;
• des efforts accrus en matière de cybersécurité à l’échelle mondiale.

Dans le but de répondre aux attentes des Canadiennes et Canadiens concernant la protection de leur vie privée :

• le plan d’action prévoit l’élaboration de principes communs en matière de protection de la vie privée d’ici la fin du mois de mai;
• le gouvernement canadien s’est engagé à nous soumettre des EFVP pour toutes les mesures ayant des répercussions sur la vie privée.

Nous avons deux inquiétudes :

• nous souhaitons voir le maintien de la souveraineté du Canada sur la protection de la vie privée, à la fois comme un droit de ses citoyens et comme une obligation de ses institutions;
• nous souhaitons voir la préservation des normes canadiennes en ce qui concerne la protection et les recours.

En ce qui concerne les examens des EFVP, le Commissariat fera face à des défis particuliers directement liés au thème d’aujourd’hui — par exemple :

• Nos examens des évaluations des facteurs relatifs à la vie privée incluent, comme point de départ, le test de légitimité en ce qui concerne la nécessité, la proportionnalité et l’efficacité. Sur la base de notre expérience avec le programme Secure Flight des États-Unis, comment allons-nous déterminer la légitimité lorsqu’une mesure découle de politiques américaines sur lesquelles nous n’avons aucun pouvoir?
• En ce qui concerne les recours, comment allons-nous garantir les droits des Canadiennes et Canadiens devant les institutions américaines?
• En ce qui concerne les mesures de protection et la mise en œuvre interne, je suis assez optimiste, car les deux pays sont suffisamment similaires pour développer des systèmes compatibles, mais en ce qui concerne le contrôle, comment aligner notre cadre de travail, qui inclut, de façon cruciale, un organisme de surveillance indépendant, avec une nation qui n’en a pas?

À tout le moins, nous comptons exercer nos propres pouvoirs pour surveiller le respect de la vie privée dans le cadre de l’entente par le biais de vérifications ou de rapports annuels au Parlement, et nous garderons les citoyens informés. Mais, la dimension internationale de l’initiative pose de nouveaux défis.

Cela me ramène tout droit à l’obstacle principal pour assurer la protection de la vie privée dans un contexte de systèmes de sécurité publique intégrés mondialement : la protection de la vie privée est toujours régie par des normes et des structures de surveillance nationales qui n’ont pas la même portée que les mesures en matière de sécurité publique d’envergure internationale.

6^e partie — Conclusion : La nécessité d’une coopération internationale en matière de protection de la vie privée

En conclusion, j’espère avoir démontré, par le biais de l’exemple du Canada, qu’à la lumière de l’expansion des mesures internationales en matière de sécurité publique, rien de moins que la souveraineté nationale par rapport à la protection de la vie privée n’est en jeu.

Quelle que soit la façon dont nous choisirons d’aborder cet enjeu, nous devons le faire à l’échelle internationale, de façon concrète et efficace, afin que les autorités de protection des données accroissent leurs efforts de coopération internationale pour la protection de la vie privée afin de refléter la coopération internationale en matière de sécurité publique.

Ce panel constitue une occasion extraordinaire d’encourager le dialogue sur ce défi et j’ai hâte de commencer les discussions.