Trois décennies de protection des renseignements personnels au Canada

Commentaire à l'occasion du 3^e Congrès annuel sur la vie privée et la sécurité de l'information

Le 5 octobre 2012
Ottawa (Ontario)

Allocution prononcée par Jennifer Stoddart
Commissaire à la protection de la vie privée du Canada

(La version prononcée fait foi)

---

Introduction

Le plus récent rapport annuel du Commissariat à la protection de la vie privée du Canada concernant la Loi sur la protection des renseignements personnels a été déposé au Parlement pas plus tard qu'hier. Notre thème principal était Trois décennies de protection des renseignements personnels au Canada.

Comme nous le mentionnons dans notre rapport, il y a eu une évolution remarquable des questions relatives à la protection de la vie privée au cours des 30 années qui ont suivi l'adoption de la Loi sur la protection des renseignements personnels.

Cet après-midi, j'aimerais me concentrer sur les questions relatives au secteur public et revenir sur ces trois décennies d'expériences, tantôt heureuses, tantôt malheureuses, parfois même troublantes. Je formulerai quelques observations sur ce qui nous attend à l'aube d'une quatrième décennie d'application de la Loi sur la protection des renseignements personnels.

Mais faisons d'abord un tour d'horizon rapide des grandes questions qui se sont présentées à nous au fil des années…

Première décennie

Nous sommes entrés en scène en 1982 – une année marquée par un grand pas en avant pour le droit à la vie privée au Canada grâce à l'adoption par le Parlement de la Loi sur la protection des renseignements personnels.

Compte tenu des jeunes visages dans la salle, j'ai l'impression qu'il pourrait être utile de faire un petit rappel de ce qui se passait en 1982.

1982 – Pensez aux cheveux longs, aux vêtements à épaulettes et aux jambières.

1982 – C'est l'année où Madonna faisait ses débuts sur scène et où Dustin Hoffman tenait l'affiche dans Tootsie.

C'est aussi l'année de la guerre des Malouines et celle où la reine Elizabeth a proclamé le rapatriement de la Constitution canadienne, en compagnie du premier ministre Pierre Trudeau, au cours d'une cérémonie qui se tenait sur la Colline du Parlement.

À cette époque, la plupart des fonctionnaires fédéraux utilisaient encore des machines à écrire électriques. En fait, le Commodore 64 – premier modèle d'ordinateur personnel – venait tout juste d'être lancé sur le marché.

Il a fallu encore un an ou deux pour voir apparaître les téléphones mobiles au Canada. (Et aucun BlackBerry ne sonnait les soirs et les fins de semaine!)

Les visionnaires parlaient de quelque chose appelé « Internet ».

Et savez-vous quelle était la principale cause de perte de temps dans les bureaux? Non, ce n'était pas Facebook… Mark Zuckerberg n'était même pas encore né!)… Non, les gens étaient fascinés par un bidule en plastique à trois dimensions composé de petits cubes colorés appelé « le cube Rubik ».

À de nombreux égards, les années 1980 étaient une époque moins complexe pour la protection de la vie privée.

Les demandes d'obtention d'un numéro d'assurance sociale sont un motif que l'on retrouvait souvent dans les plaintes adressées au Commissariat à cette époque. (La plupart des gens conservaient alors leur carte d'assurance sociale dans leur portefeuille.)

Lorsque les renseignements personnels de quelque 16 millions de contribuables ont été dérobés d'un bureau du ministère du Revenu national en 1986, les données miniaturisées étaient consignées sur de minces feuilles de plastique appelées « microfiches ». On a alors parlé d'un « véritable Tchernobyl pour la protection de la vie privée ».

Au milieu des années 1980, on commençait à peine à voir émerger certaines préoccupations concernant des enjeux plus complexes relatifs à la vie privée – le couplage de données, la circulation transfrontière de renseignements, les cartes à puces et la génétique.

Deuxième décennie

Au cours de la deuxième décennie d'application de la Loi sur la protection des renseignements personnels, qui va de 1992 à 2002, les risques d'atteinte à la vie privée se sont multipliés avec l'évolution rapide de la société. Mentionnons l'apparition d'ordinateurs plus puissants, le perfectionnement croissant des logiciels et la transformation des renseignements personnels en un bien de consommation.

À l'époque, le commissaire à la protection de la vie privée, Bruce Phillips, a prononcé un éloquent plaidoyer qui est encore d'actualité concernant la nécessité de donner un fondement éthique à la nouvelle cybertechnologie.

Dans sa mise en garde, il affirmait que « si nous ne [voulions] pas voir notre existence obéir à la technologie, cette dernière [devait] aussi contribuer à affirmer notre dignité et à réaliser notre potentiel humain. »

La capacité des nouvelles technologies à recueillir, analyser et stocker les renseignements personnels par des moyens inimaginables à l'époque de la machine à écrire – et les risques en résultant pour la vie privée – étaient au cœur de l'actualité à la fin des années 1990.

Le Commissariat a alors révélé à la population canadienne l'existence d'un « fichier longitudinal sur la main d'œuvre » créé par le gouvernement fédéral.

Derrière cette appellation administrative se cachait une base de données renfermant des dossiers sur 33,7 millions de personnes – chiffre qui dépassait le nombre d'habitants du Canada à l'époque puisque les dossiers n'avaient jamais été épurés. Ces dossiers provenaient notamment des déclarations de revenus, des listes provinciales ou municipales de bénéficiaires de l'aide sociale, des services de placement nationaux, des registres des crédits d'impôt pour enfant et du fichier maître de l'assurance sociale. C'était la version des données volumineuses des années 1990.

La population canadienne scandalisée parlait alors « d'une base de données à la Big Brother ».

Heureusement, le gouvernement n'a pas tardé à annoncer que la base de données serait détruite.

Troisième décennie

Deux événements survenus à la fin de la deuxième décennie d'existence du Commissariat ont eu des répercussions considérables sur la troisième décennie.

D'abord, à la suite de l'adoption d'une nouvelle loi – la Loi sur la protection des renseignements personnels et les documents électroniques, notre mandat englobait désormais le secteur privé. Cette législation continue de gagner en importance à mesure qu'Internet occupe une place de plus en plus centrale dans notre vie quotidienne.

Les attentats terroristes du 11 septembre 2001 constituent le deuxième événement qui a changé la donne pour le Commissariat.

Les gouvernements occidentaux ont réagi à ce terrible événement en adoptant toute une batterie d'initiatives de sécurité nationale – dont plusieurs reposaient sur la collecte, l'analyse et le recoupement d'un volume croissant de renseignements personnels.

Notre rôle a consisté à veiller à ce que ces nouvelles mesures ne briment pas indûment le droit à la vie privée.

Au nombre de ces mesures, mentionnons :

• La Loi antiterrorisme, qui a donné le ton pour la création d'un plus vaste filet aux fins de la surveillance des organisations et des particuliers et qui a eu d'importantes répercussions sur la protection des renseignements personnels.
• De même, nous avons abordé les préoccupations relatives à la vie privée suscitées par de nombreuses initiatives concernant les voyages par avion, telles que le Programme de protection des passagers ou la liste des personnes interdites de vol et les scanneurs corporels.
• Et nous avons dressé une liste de nos préoccupations concernant une longue série de propositions visant à créer une législation sur « l'accès légal » au Canada.

Espoir et inquiétudes

Somme toute, les défis pour la protection de la vie privée ont pris une ampleur considérable depuis l'adoption de la Loi sur la protection des renseignements personnels – et la tendance continue de s'accélérer.

Comment la population canadienne s'en est-elle tirée face à ces risques croissants d'atteinte à la vie privée? Et dans quelle mesure le gouvernement fédéra a t il réussi à apaiser les inquiétudes à cet égard?

Mon message dans le rapport annuel de cette année commence par la célèbre phrase de Dickens – « C'était le meilleur et le pire de tous les temps… »

Je me réjouis de certains faits positifs.

D'abord et avant tout, je suis rassurée de voir que la protection de la vie privée demeure une valeur chère pour la majorité de la population canadienne. C'est ce que l'on me répète constamment au cours de mes voyages – même lorsque je rencontre des jeunes, parfois accusés de trop dévoiler leur vie privée – et les sondages commandés par le Commissariat me confortent dans cette opinion.

En ce qui concerne le rôle du gouvernement en matière de protection des renseignements personnels, je crois que l'administration fédérale est devenue de façon générale plus attentive aux inquiétudes relatives à la vie privée au fil du temps.

Trois phases de la politique publique en matière de protection de la vie privée

Au cours de ces années, nous avons assisté à trois phases distinctes de la politique publique en matière de protection de la vie privée – et les tendances donnent à penser que nous sommes dans la bonne voie.

Pendant beaucoup trop longtemps – durant les 20 premières années d'application de la Loi sur la protection des renseignements personnels –, on prenait en compte cette protection dans les initiatives gouvernementales uniquement après leur lancement.

Le fichier longitudinal sur la main d'œuvre constitue l'un des exemples les plus médiatisés d'occultation de la vie privée en début d'initiative.

Une deuxième phase d'intégration de la protection de la vie privée dans l'élaboration des politiques s'est amorcée en 2002 avec l'entrée en vigueur de la Politique d'évaluation des facteurs relatifs à la vie privée du Conseil du Trésor. (Cette politique a été plus tard remplacée par la Directive sur l'évaluation des facteurs relatifs à la vie privée du Secrétariat du Conseil du Trésor.)

L'évaluation des facteurs relatifs à la vie privée a pour objet de prévenir les problèmes – ce qui évite aux ministères d'avoir à prendre des mesures correctives pouvant être coûteuses, lourdes et extrêmement embarrassantes.

En exigeant que les institutions fédérales évaluent les facteurs relatifs à la vie privée, le gouvernement du Canada est devenu un chef de file mondial. Et nombre d'organisations internationales et d'organismes de protection des données ont consulté le Commissariat concernant sa façon de procéder dans ce type d'évaluation.

À ce jour, nous avons reçu près de 600 évaluations des facteurs relatifs à la vie privée.

Récemment, nous avons été enchantés de constater l'émergence d'une troisième tendance dans la prise en compte de la protection de la vie privée dans les politiques. En effet, les ministères et organismes fédéraux communiquent de plus en plus souvent avec nous pour discuter des initiatives avant même de préparer une évaluation des facteurs relatifs à la vie privée.

À notre avis, ces consultations en amont devraient avoir des retombées importantes pour la population. Cela signifie que le droit à la vie privée peut être pris en compte au tout début de l'élaboration d'une politique ou d'un programme.

Il reste des défis

Malheureusement, il reste des défis sur le front de la protection de la vie privée.

Le fait que la Loi sur la protection des renseignements personnels – qui a vu le jour à l'époque des machines à écrire – est terriblement dépassée depuis bien des années ne surprendra personne dans l'auditoire. Mais cela demeure un défi de taille.

Notre dernier rapport annuel explique le travail que nous avons accompli auprès d'Anciens combattants Canada depuis plus de deux ans.

Vous vous rappelez sans doute que nous avons diffusé en 2010 les résultats d'une enquête portant sur Anciens Combattants Canada qui avait mis au jour des problèmes systémiques extrêmement graves.

Nous avions alors constaté que les renseignements médicaux et personnels sensibles d'un ancien combattant avaient été communiqués – apparemment sans aucun mécanisme de contrôle – à des fonctionnaires du ministère qui n'avaient nul besoin de les consulter. Ces renseignements personnels se sont même retrouvés dans des notes d'information ministérielles sur les activités de défense des droits menées par cet ancien combattant.

Nous avons été tellement préoccupés par ce que nous avions trouvé que nous avons entrepris une vérification.

La vérification est maintenant terminée. Certes, il nous a fallu bien du temps pour parvenir au point où nous en sommes, mais je suis heureuse de pouvoir affirmer que les résultats sont encourageants. Nous avons constaté que le ministère s'efforce désormais d'adopter des pratiques conformes à la Loi sur la protection des renseignements personnels.

Anciens Combattants Canada n'a pas ménagé ses efforts pour corriger plusieurs lacunes. Ainsi, après avoir examiné le droit d'accès des employés à ses archives électroniques sur les anciens combattants, le ministère a supprimé les privilèges d'accès d'environ 500 employés et réduit le niveau d'accès pour 95 p. 100 des titulaires des postes conservant un droit d'accès.

Nous avons formulé plusieurs recommandations à l'issue de notre vérification et le ministère s'est engagé à toutes les mettre en œuvre.

Notre rapport annuel souligne aussi notre inquiétude concernant le nombre systématiquement élevé de plaintes déposées contre certaines institutions.

À cet égard, le Service correctionnel du Canada est depuis longtemps dans une catégorie à part pour ce qui est du nombre de plaintes. Depuis que nous avons ouvert nos portes, nous avons fait enquête sur près de 11 000 plaintes contre cet organisme.

Naturellement, certaines raisons évidentes expliquent ce nombre élevé – il y a environ 13 000 détenus dans les pénitenciers fédéraux du Canada et les renseignements personnels constituent un bien précieux dans un environnement carcéral.

Cela dit, il y a lieu de s'interroger sur les raisons pour lesquelles nous continuons de recevoir des plaintes pour des problèmes qui, à dire vrai, n'ont pas lieu d'être.

Notre dernier rapport annuel fait état d'une enquête sur la plainte d'un détenu concernant l'affichage public de listes donnant des détails sur les rendez-vous médicaux des détenus – y compris l'heure, leur numéro de détenu et les renseignements médicaux. Qui pourrait penser que c'était une bonne idée?

Vérification de l'Agence du revenu du Canada

L'Agence du revenu du Canada est une autre institution qui fait l'objet d'un nombre systématiquement élevé de plaintes.

Ces dernières années, nous avons été préoccupés par plusieurs atteintes à la vie privée mettant en cause des employés de l'Agence qui avaient accès de façon inappropriée à des renseignements sur les contribuables.

Les enjeux sont élevés. En effet, l'Agence du revenu du Canada administre les dossiers qui renferment des renseignements extrêmement sensibles sur plus de 30 millions de contribuables – notamment des renseignements d'ordre financier, mais aussi sur l'emploi, la famille et la santé.

En raison de nos préoccupations concernant le risque auquel sont exposées toutes ces données, nous avons entrepris une vérification auprès de l'Agence du revenu du Canada. Le travail préliminaire est déjà en cours et nous devrions être en mesure d'annoncer les résultats en 2013.

Tendances en matière de protection de la vie privée dans le secteur public

Ce n'est là qu'une question parmi celles qui figureront en tête de notre programme dans les mois à venir.

Les délais constituent un autre sujet de préoccupation soulevé dans notre rapport annuel.

Comme vous le savez, ce problème ne date pas d'hier – certaines demandes d'accès s'éternisent pendant des années. Toutefois, en 2011 2012, le nombre de plaintes pour refus d'accès a fait un bond qui renforce nos préoccupations.

À notre avis, la médiatisation accrue des enjeux relatifs à la vie privée a mis en évidence le droit d'accès auprès de la population canadienne – et incité un plus grand nombre à demander accès à leurs renseignements personnels. Certaines institutions fédérales ont d'ailleurs constaté une augmentation du nombre de demandes, mais les ressources pour les traiter sont demeurées les mêmes ou ont été réduites.

C'est une question que nous surveillons de près.

Nous continuerons aussi à mettre l'accent sur les questions de sécurité nationale et de sécurité publique, entre autres les nombreuses initiatives qui devraient découler du Plan d'action sur la sécurité du périmètre à la frontière canado-américaine. Nous nous attacherons à un certain nombre d'initiatives prévues qui comportent des risques pour la vie privée.

Conclusion

Je tiens à vous remercier de votre attention durant ce survol du chemin parcouru et des étapes à venir.

J'ai parlé plus tôt de certains facteurs qui me réconfortent à titre de commissaire à la protection de la vie privée.

En tête de liste, il y a les gens éclairés et dévoués comme vous, qui travaillent dans le domaine de la protection de la vie privée, que ce soit dans le secteur public ou privé.

Rappelez-vous que vous accomplissez un travail important qui fait une grande différence dans la vie de l'ensemble de la population canadienne.

Merci