L’ère des mégadonnées : Un nouveau défi de taille pour la protection de la vie privée et notre société

Commentaires dans le cadre du Conseil des chefs de la protection des renseignements personnels sous l’égide du Conference Board du Canada

Le 17 octobre 2013
Montréal (Québec)

Allocution prononcée par Jennifer Stoddart
Commissaire à la protection de la vie privée du Canada

(La version prononcée fait foi)

---

Introduction

Je vous remercie de m’avoir invitée ici aujourd’hui pour vous parler des défis que représentent les mégadonnées pour les organisations commerciales, comme celles que vous représentez à titre de chefs de la protection des renseignements personnels.

Pendant mon allocution, j’examinerai les défis que doivent surmonter vos organisations pour protéger la vie privée. Il s’agit de défis de base sur le plan éthique, à la fois pour vous et pour la société dans son ensemble.

Je parlerai aussi des défis que représentent les mégadonnées pour le cadre de protection de la vie privée en place au Canada et j’expliquerai pourquoi ce phénomène constitue à mon avis une autre raison de renforcer la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE).

L’émergence de l’analyse prévisionnelle et les défis qui y sont liés

Voyons d’abord ce que l’on entend par « mégadonnées ». Certaines définitions mettent l’accent sur les données elles-mêmes. Par exemple, selon le McKinsey Global Institute, les mégadonnées sont des ensembles de données trop volumineux pour être saisis, stockés, gérés et analysés au moyen des logiciels de base de données habituels.

D’autres définitions mettent l’accent sur le caractère volumineux des données. Par exemple, selon le magazine New Scientist, le terme « mégadonnées » renvoie à l’idée que l’on peut numériser n’importe quelle information et la « transformer en données » grâce à un stockage moins coûteux, à un traitement plus rapide et à des algorithmes plus efficaces.

Ce changement quantitatif en ce qui a trait aux renseignements disponibles a entraîné un changement qualitatif quant à la façon dont ces renseignements sont utilisés. Ce changement est attribuable au désir des décideurs des milieux d’affaires, du secteur public et des gouvernements de savoir à l’avance ce qui va se produire pour pouvoir deviner le comportement des individus.

On présume qu’en recueillant le maximum d’information sur les gens, y compris sur leurs actions passées et leurs caractéristiques, on pourra connaître leurs prédispositions et prédire leurs actions. Cette information pourrait à son tour se révéler extrêmement précieuse pour les détaillants, qui seraient alors en mesure d’adapter leurs produits et leurs services à la demande, ainsi que pour les organismes de renseignement et d’application de la loi, qui pourraient possiblement s’en servir pour écarter les menaces qui pèsent sur la sécurité.

Cette utilisation plus pointue des mégadonnées est appelée « analyse prévisionnelle ». Les défenseurs de la vie privée, comme moi-même, sont très attentifs à l’utilisation croissante de l’analyse prévisionnelle. Ils réfléchissent aux répercussions qu’elle pourrait avoir sur la protection de la vie privée. L’utilisation accrue de l’analyse prévisionnelle se situe également au cœur des nouveaux défis auxquels vous devez faire face en tant que chefs de la protection des renseignements personnels.

Certes, l’analyse prévisionnelle peut être utile aux organisations commerciales. Elle peut favoriser la mise en marché de produits plus novateurs, améliorer l’efficacité des stratégies de marketing et aider à mieux cibler la recherche. Mais elle pourrait également entraîner la mise en place de pratiques discriminatoires et envahissantes pour la population. Afin d’atténuer ces risques, nous devons nous pencher non seulement sur la protection de la vie privée mais aussi sur la question des normes éthiques au sein de notre société.

S’attaquer à la problématique des mégadonnées en qualité de chef de la protection des renseignements personnels

Bon nombre d’entre vous savent probablement que les mégadonnées peuvent améliorer le bénéfice net de leur organisation. En qualité de chef de la protection des renseignements personnels, vous vous demandez peut-être par ailleurs quel serait le prix à payer au chapitre de la protection de la vie privée pour mettre en œuvre des initiatives fondées sur l’analyse prévisionnelle.

Sans compter qu’à titre de chef de la protection des renseignements personnels, vous vous demandez peut-être comment vous devriez réagir dans le cas où votre organisation déciderait d’avoir recours à l’analyse prévisionnelle.

Il est possible que de nombreux membres de la haute direction de votre organisation préconisent l’utilisation de l’analyse prévisionnelle parce qu’ils ont lu des articles vantant les possibilités qui en découlent.

L’une des choses les plus importantes que vous pouvez faire, à titre de chef de la protection des renseignements personnels, consiste simplement à rappeler à vos collègues que la plupart de ces articles présentent des résultats obtenus aux États-Unis, où aucune loi ne régit la protection de la vie privée dans le secteur privé.

Or, comme votre organisation fait des affaires au Canada, elle est assujettie à la LPRPDE — la Loi sur la protection des renseignements personnels et les documents électroniques — ou à une loi provinciale essentiellement similaire en Alberta, en Colombie-Britannique et au Québec.

Les mégadonnées et le cadre de protection de la vie privée de la LPRPDE

Voyons maintenant de quelle façon on peut surmonter les défis inhérents aux initiatives portant sur les mégadonnées dans un cadre de protection de la vie privée traditionnel comme la LPRPDE.

À première vue, cela peut sembler impossible. La protection des renseignements personnels repose depuis longtemps sur trois principes fondamentaux régissant les pratiques équitables en matière de gestion des renseignements personnels qui ont été approuvés par l’Organisation de coopération et de développement économiques. Dans la plupart des pays, ces principes constituent l’assise des cadres de protection de la vie privée :

• Transparence — afin d’obtenir leur consentement éclairé, fournir aux gens de l’information de base sur la façon dont on utilisera leurs renseignements personnels;
• Utilisation à des fins limitées et consentement — utiliser les renseignements personnels uniquement aux fins déclarées pour lesquelles ils ont été recueillis à l’origine ou à des fins compatibles avec ces fins;
• Collecte du minimum de renseignements personnels – limiter la collecte des renseignements personnels à ceux qui sont directement utiles et nécessaires pour les fins déclarées et les éliminer une fois que l’objectif initial a été atteint.

Maintenant que ces principes sont consacrés dans les lois nationales sur la protection de la vie privée et dans les ententes internationales, de nombreux défenseurs de la vie privée craignent peut-être que l’analyse prévisionnelle et les mégadonnées ne viennent tout remettre en question

En effet, les mégadonnées n’ont pas simplement accru le risque d’atteinte à la vie privée. Elles ont aussi modifié la nature du risque. Et, même si elles soulèvent de nouveaux défis et de nouvelles questions en ce qui a trait au cadre canadien actuel, ce n’est certainement pas une raison suffisante pour faire abstraction de ce dernier. En effet, le cadre actuel peut encore très bien orienter le processus décisionnel au sein d’une organisation lorsqu’il s’agit de cette nouvelle frontière.

L’analyse prévisionnelle à l’œuvre

Le journaliste Charles Duhibb, du New York Times, a été le premier à faire état de l’utilisation maintenant emblématique de l’analyse prévisionnelle par Target. Vous êtes sans doute nombreux à avoir déjà entendu cette histoire sur ce géant du commerce de détail, mais je pense qu’il est utile de revenir sur le sujet.

Cet incident découle d’un « algorithme de prédiction de grossesse » élaboré par Target pour son immense base de données sur les achats effectués par les femmes dans ses magasins aux États-Unis.

En analysant les achats d’une vingtaine d’articles choisis avec soin, les spécialistes des données de l’entreprise ont pu attribuer un taux de « prédiction de grossesse » à chaque cliente. Mais ce n’est pas tout : ils sont aussi parvenus à estimer avec une très grande précision la date de l’accouchement de chacune des clientes présumées enceintes.

Target a pu ainsi envoyer aux femmes concernées des coupons-rabais correspondant aux différents stades de leur grossesse.

L’entreprise y voyait un véritable exploit en matière de marketing. Mais cet exploit s’est retourné contre elle — au vrai sens du terme — lorsque le père d’une adolescente a été outré en découvrant — de façon détournée — que sa fille était enceinte à la vue des coupons-rabais pour des articles de maternité et des vêtements ou des meubles de bébé envoyés par Target au domicile familial.

Je doute fort que la politique de confidentialité du détaillant ait averti la jeune fille que les données recueillies sur ses habitudes d’achat serviraient à prédire sa grossesse. Je doute également qu’un conseil d’éthique pour la recherche aurait approuvé ce type de travaux si des chercheurs universitaires les avaient proposés.

Et n’oubliez pas une autre leçon importante à retenir au sujet de l’incident de Target. Si la situation s’était produite au Canada, la plainte ne serait peut être pas restée au niveau du directeur du magasin. En vertu de la LPRPDE, elle aurait pu se retrouver sur mon bureau également.

L’importance de ne pas seulement demander « pouvons-nous le faire? », mais aussi « devrions-nous le faire? »

Cela dit, ce n’est pas la crainte de conséquences réglementaires « après coup » qui devrait inciter les organisations à mettre la pédale douce avant de plonger tête première dans l’analyse prévisionnelle.

Voici ce qu’en dit le Canadien Bryan Pearson, président et chef de la direction de l’entreprise qui a créé et qui exploite le programme Air Miles et d’autres programmes de fidélisation.

« L’explosion de la quantité de données disponibles et l’énorme capacité de traitement mettent à la disposition des spécialistes du marketing une sorte de jarre à biscuits virtuelle — et créent la tentation de piger de plus en plus dans celle ci. Et c’est là que réside le risque : Combien de fois pouvons-nous puiser dans la jarre avant de porter atteinte à la vie privée des clients? Qui décide de la limite à ne pas dépasser? Existe-t-il un mécanisme simple pour mettre fin à cette course à l’information? » [traduction]

C’est ce qu’affirme Pearson dans The Loyalty Leap: Turning Customer Information into Customer Intimacy, ouvrage publié l’an dernier dans lequel il s’exprime avec une franchise qui est tout à son honneur.

D’après lui, le simple fait que les organisations commerciales peuvent recueillir des renseignements personnels et les entrer dans des algorithmes d’analyse prévisionnelle ne signifie pas qu’elles devraient le faire. Je suis ravie que ce point de vue soit exprimé par une personne aussi éminente issue du milieu du « marketing mesuré », c’est-à-dire un marketing fondé sur la mesure réelle du comportement des consommateurs.

Pour répondre à la question « devrions-nous le faire? », on peut s’en remettre à l’article 5.3 de la LPRPDE, selon lequel « l’organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu’à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances ».

La norme de « personne raisonnable » est bien établie en droit canadien. Mais l’expression « acceptables dans les circonstances » renvoie directement au cœur de nos valeurs nationales. À certains égards, elle fait pendant à une autre expression qui véhicule des valeurs, à savoir « dont la justification puisse se démontrer dans le cadre d’une société libre et démocratique »,qui figure dans l’article 1 de la Charte canadienne des droits et libertés.

Ces expressions constituent le critère appliqué par les tribunaux pour déterminer si une loi peut limiter de façon raisonnable l’un des droits fondamentaux garantis aux individus en vertu de la Charte.

Pour simplifier à l’extrême, disons que ces deux expressions nous amènent à débattre de ce qui est acceptable dans notre société et de ce qui dépasse les bornes.

Examinons un autre exemple dans le domaine du marketing mobile. Nous voyons de plus en plus de nouveaux services où les annonceurs paient pour savoir à quel moment une personne munie d’un téléphone intelligent se trouve à proximité de leur commerce. Cela leur permet d’envoyer des messages textes promotionnels à cette personne pour l’inciter à faire des achats chez eux.

Certains grands détaillants nationaux ont déjà adhéré à ce type de programmes pour vendre des produits comme des repas-minute, des boissons et des appareils électroniques, pour ne nommer que ceux là.

Mais que se passera-t-il si des commerces de vente au détail qui sont équipés de machines à sous électroniques veulent utiliser ce service pour inciter davantage de personnes à s’adonner aux jeux de hasard sous l’impulsion du moment — et ciblent les utilisateurs enclins à visiter les sites de jeux de hasard sur leurs appareils mobiles? Ou si des commerces se servent de tels services pour proposer des produits amaigrissants à des consommateurs qui, d’après leur historique de recherche, éprouvent un sentiment d’insécurité à l’égard de leur image corporelle?

Donner suite aux préoccupations des Canadiens en ce qui a trait à la protection de leur vie privée

Ces avancées technologiques font ressortir les préoccupations exprimées de plus en plus souvent par les Canadiens en ce qui a trait à la protection de leurs renseignements personnels et aux mégadonnées. Vous-mêmes et vos organisations devez prendre ces préoccupations au sérieux. Dans un sondage d’opinion mené il y a un an auprès de plus de 1 500 Canadiens pour le compte du Commissariat, sept répondants sur dix ont affirmé que leurs renseignements personnels sont moins bien protégés dans la vie quotidienne qu’il y a dix ans.

Par ailleurs, la majorité (56 %) d’entre eux ont indiqué ne pas avoir suffisamment d’information pour évaluer les répercussions des nouvelles technologies sur la confidentialité de leurs renseignements personnels. Il s’agit du vote de méfiance le plus élevé à ce sujet depuis que l’on a commencé à suivre cette question en 2000.

Mais un constat découlant de notre sondage d’opinion de 2010 est peut-être encore plus pertinent pour le débat. Plus de huit répondants sur dix ont dit souhaiter que l’on impose des sanctions sévères aux organisations qui ne protègent pas adéquatement les renseignements personnels des individus. Par exemple, les autorités pourraient communiquer le nom des organisations en cause, leur imposer des amendes ou les poursuivre en justice.

Comme je l’ai déjà indiqué, certains décideurs au sein de votre organisation feront probablement valoir le prétendu avantage concurrentiel pouvant découler de l’analyse prévisionnelle ou d’autres utilisations des mégadonnées.

Ils devraient plutôt suivre le conseil de Bryan Pearson, le fondateur d’Air Miles. D’après lui, ce qu’il faut indiquer aux consommateurs, c’est à quelles fins les renseignements recueillis par les entreprises sont utilisés et quels avantages ils en retirent. Toujours selon Pearson :

« Nous sommes en ce moment à la croisée des chemins. Si l’industrie n’assume pas ses responsabilités, la loi l’obligera à rendre des comptes. » [traduction]

Après avoir été commissaire à la protection de la vie privée du Canada pendant dix ans, j’ai bien peur de ne pas être tellement optimiste. D’après moi, il serait étonnant que l’autoréglementation de l’industrie se révèle efficace pour éviter les excès liés à l’utilisation des mégadonnées que nous avons déjà observés ailleurs. Dans le marché concurrentiel d’aujourd’hui, la capacité accrue de recueillir et de relier les données entre elles incitera les organisations à innover dans le domaine du cybercommerce pour en tirer un avantage commercial.

Certaines innovations empiéteront forcément sur la vie privée. Elles auront un grand retentissement dans la population comme ce fut le cas pour l’algorithme de prédiction de grossesse de Target. Je ne pourrais vous dire si l’incident a fait chuter le cours des actions du détaillant, mais il est sûr que l’attention publique qui en a découlé n’a pas pu être bonne pour son image publique.

Appel réitéré à la réforme de la LPRPDE

Cela dit, la perspective que l’image de marque d’une organisation puisse en souffrir ne suffit pas pour protéger le droit des Canadiens à la vie privée contre les vicissitudes des mégadonnées. Et cela ne changera pas. Tout bien considéré, les mégadonnées créent d’importantes possibilités pour les organisations, mais elles engendrent des risques encore plus importants pour la vie privée. Et les organisations désireuses d’emprunter cette voie doivent être incitées comme il se doit à accepter la responsabilité accrue qui en découle. Sous sa forme actuelle, la LPRPDE ne prévoit pas de mécanismes assez vigoureux pour garantir que les organisations feront les investissements appropriés dans la protection de la vie privée. C’est pourquoi la confiance des consommateurs dans l’économie numérique risque d’être ébranlée.

À l’ère des mégadonnées, qui se caractérise par des avancées technologiques rapides, une capacité croissante d’analyse des données à des fins prévisionnelles et un mouvement plus important en faveur de la modernisation, il est évident que la LPRPDE sera encore moins en mesure de protéger notre vie privée au cours des années à venir si l’on n’y apporte pas de modifications législatives. Dans un exposé de principes publié en mai dernier, le Commissariat a formulé quatre recommandations clés :

1. Renforcement des pouvoirs en matière d’application de la loi : Entre autres, introduire des dommages-intérêts prévus par la loi qui seraient administrés par la Cour fédérale ou conférer à la commissaire le pouvoir de rendre des ordonnances ou d’imposer des sanctions administratives pécuniaires quand les circonstances le justifient. De nombreux États d’Europe se sont dotés de ce type de pouvoirs.
2. Signalement des atteintes à la vie privée : Obliger les organisations à signaler les atteintes à la sécurité des renseignements personnels à la commissaire et à aviser les personnes touchées, le cas échéant. Des sanctions devraient être appliquées dans certains cas.
3. Renforcement de la transparence : Introduire de nouvelles exigences en matière de communication d’information au public pour faire la lumière sur le recours à une exception extraordinaire en vertu de la LPRPDE. Cette disposition permet aux organismes d’application de la loi et aux institutions gouvernementales d’obtenir des renseignements personnels auprès d’entreprises sans le consentement de l’intéressé ou sans mandat pour un vaste éventail de fins.
4. Promotion de la responsabilité : Modifier la LPRPDE pour inclure expressément le concept d’« ententes exécutoires », qui aidera à garantir que les organisations respectent les engagements visant l’amélioration de leurs pratiques de protection de la vie privée qu’elles ont pris à la suite d’une enquête ou d’une vérification.

Une transparence et une responsabilité accrues, ainsi que le recours à des mesures dissuasives au besoin, pourraient aider à maintenir l’équilibre prévu par la LPRPDE, c’est-à-dire un juste équilibre entre, d’une part, le droit des individus à la vie privée et, d’autre part, le besoin légitime des organisations de recueillir et d’utiliser les renseignements personnels à des fins raisonnables et appropriées.

En résumé, cela inciterait davantage les organisations à se demander non seulement « pouvons-nous le faire? », mais aussi « devrions-nous le faire? ».

Je vous remercie.