La surveillance des données par les gouvernements canadiens dans le cadre de la lutte contre la COVID-19 : les recommandations de l’ACLC en matière de protection de la vie privée

20 avril 2020

Son Excellence le Premier ministre du Canada

Mesdames et Messieurs les Premiers ministres du Nunavut, des Territoires du Nord-Ouest, du Yukon, de la Colombie-Britannique, de l’Alberta, de la Saskatchewan, du Manitoba, de l’Ontario, du Québec, de la Nouvelle-Écosse, de l’Île-du-Prince-Édouard, du Nouveau-Brunswick et de Terre-Neuve-et-Labrador

PAR E-MAIL

Objet : Technologies de surveillance des données et lutte contre la COVID-19 au Canada

Messieurs les Premiers ministres,

Nous vous écrivons au sujet du recours à la surveillance assistée par la technologie en tant que mesure de santé publique face à la pandémie de COVID. Nous n’abordons pas ici l’utilisation générale que font les Canadiens de la technologie, sur une base volontaire, ni la nécessité urgente de moderniser notre législation en matière de protection de la vie privée, que ce soit en période de pandémie ou non.

L’objet actuel de la présente lettre de l’Association canadienne des libertés civiles (ACLC), telle qu’elle est exposée dans la présente lettre, se limite aux futurs décrets gouvernementaux (par décret ou tout autre instrument exécutif similaire) exigeant ou autorisant le recours à la surveillance par les agents de l’État dans le cadre de la réponse à la COVID-19, ou aux décrets gouvernementaux imposant aux résidents d’une juridiction canadienne d’utiliser une technologie afin de jouir d’une liberté dont ils disposaient avant la COVID-19.

Les gouvernements canadiens ont la possibilité et la responsabilité de s’inspirer des approches adoptées par d’autres pays. Il est certain qu’il n’existe pas de solution miracle — ni dans le domaine du big data, ni dans la prise de décision automatisée concernant les risques individuels, ni dans la recherche automatisée des contacts.[1] Cela ne signifie pas pour autant que la technologie ne puisse jamais soutenir les efforts menés en matière de santé publique. Cependant, la collecte involontaire d’informations par les gouvernements reste aujourd’hui injustifiée et toute demande de participation volontaire doit être examinée avec soin. Les lois existantes en matière de protection de la vie privée ne devraient pas non plus être suspendues au profit d’une surveillance publique proposée.

L’ACLC s’inquiète tout particulièrement du manque de compétence du Canada, tant sur le plan législatif qu’exécutif, en matière de protection des données. Depuis un certain temps déjà, le Canada accuse un retard par rapport à d’autres juridictions, telles que l’Union européenne ou certains États américains comme la Californie, en ce qui concerne la législation, la réglementation et la sécurité relatives à la protection des données. Légaliser la surveillance des données en période de pandémie revient donc à prendre un risque considérable pour les droits à la vie privée des Canadiens. Nous demandons instamment que l’efficacité de toute nouvelle solution technologique liée à la COVID-19 fasse l’objet d’un examen rigoureux. Si elles sont mises en œuvre, elles doivent respecter les principes constitutionnels de l’application régulière de la loi, de la liberté, de l’égalité et de la vie privée.

En conséquence, l’ACLC propose que les recommandations suivantes s’appliquent à tout décret ou loi adopté en réponse à la COVID-19 :

1. La surveillance des données ne doit être mise en œuvre qu’en dernier recours et uniquement lorsque
   1. il existe un consentement valable de la part des personnes concernées, même lorsqu’une exception légale au consentement s’applique (telle que l’autorité légale et la publication d’un avis public) ;
   2. l’objectif de la mesure mise en œuvre est légitime (tel que « l’aplatissement de la courbe » ou la limitation de la propagation du virus) ;
   3. la mesure est manifestement nécessaire, sur la base de données avérées en matière de santé publique, et non de simples conjectures ;
   4. l’efficacité probable de la mesure (c’est-à-dire la mesure dans laquelle celle-ci permettra d’atteindre, ou est susceptible d’atteindre, son objectif) ;
   5. Il n’existe pas d’autres solutions moins intrusives pour la vie privée que cette mesure, et l’atteinte à la vie privée qu’elle représente est proportionnée aux avantages avérés qu’elle apporte en matière de santé publique.

Nous allons développer et compléter les points (b) à (e) ci-dessous.

2. Il convient de consulter les commissaires à la protection de la vie privée de la juridiction concernée avant l’adoption et pendant la mise en œuvre de toute mesure de surveillance de la santé publique.
3. La collecte de données doit être fondée sur des preuves de nécessité en matière de santé publique, conformément à un « mandat » de collecte de données délivré par le médecin-chef, ou d’une demande d’informations : en d’autres termes, la création ou l’adoption de solutions technologiques visant à combler des lacunes en matière d’information doit être précédée d’une demande écrite officielle émanant du médecin-chef de la juridiction concernée, exposant précisément les raisons pour lesquelles il est nécessaire d’obtenir ces données, précisant que ces données ne sont pas disponibles par d’autres moyens, et que ce dernier estime que les données sont effectivement accessibles, ainsi que l’usage prévu de ces données par les responsables de la santé publique.
4. La proportionnalité doit être certifiée au terme d’une mise en balance juridique des moyens et des fins, par le responsable juridique d’une juridiction, qui devra exposer par écrit en quoi le critère de proportionnalité est respecté pour toute utilisation particulière de la surveillance des données des personnes, notamment : l’objectif impérieux énoncé dans le mandat de collecte de données du médecin-chef, le lien rationnel entre l’objectif impérieux et la réponse proportionnée ; et la confirmation supplémentaire que les moyens emportent le moins possible atteinte au droit à la vie privée, en précisant pourquoi les mesures alternatives sont inadéquates (c’est-à-dire que si les informations peuvent être obtenues par la présence d’agents chargés de l’application des règlements municipaux ou d’agents de police, la surveillance des données n’est alors pas nécessaire).
5. Toute décision exécutive doit être accompagnée d’ une analyse d’impact sur les personnes vulnérables, en particulier lorsqu’elle concerne la surveillance, afin de garantir le respect du principe de proportionnalité, avec la contribution des commissions des droits de l’homme. Afin de garantir que les plus vulnérables ne soient pas relégués au second plan, le gouvernement devrait, comme condition préalable à tout décret, rendre public son impact négatif sur les populations vulnérables et marginalisées, notamment en identifiant et en diffusant les mesures qui seront prises pour atténuer cet impact.
6. Protégez les données de santé publique à des fins de santé publique, et non pour les forces de l’ordre et les agents chargés du maintien de l’ordre. Aucune donnée issue des mesures prises dans le cadre de la COVID-19 ne doit être accessible à la police, aux agents de la paix, aux agents chargés de l’application des règlements municipaux, aux agents des services frontaliers canadiens ou aux agents pénitentiaires ; de même, aucune de ces données ne doit pouvoir être utilisée comme preuve dans une procédure judiciaire sans rapport avec une infraction aux règles de santé publique. Le stockage des données recueillies dans le cadre d’une surveillance spécifique à la situation d’urgence doit se conformer aux lois sur la protection de la vie privée applicables aux dossiers médicaux, avec des contrôles d’accès stricts et la destruction obligatoire de ces données une fois la situation d’urgence terminée.
7. Limitez toute collecte de données à la durée des mesures d’urgence liées à la COVID-19 en vigueur dans une juridiction donnée.
8. Renforcer la transparence et la responsabilité en imposant aux responsables de la santé publique et aux responsables juridiques de comparaître devant une commission parlementaire (en ligne ou autrement) en tant que témoins afin de répondre aux questions des députés avant la mise en œuvre de mesures de surveillance.
9. Mettre en place un contrôle indépendant du processus et de sa mise en œuvre. Par exemple, une juridiction pourrait habiliter ses commissaires à la protection de la vie privée ou nommer un médiateur indépendant chargé de la surveillance, responsable devant l’assemblée législative de la juridiction, afin de superviser le processus susmentionné, de recevoir les plaintes du public et d’offrir des voies de recours en cas de violation des droits, de rendre compte régulièrement au public de ses observations ainsi que de la nature et du nombre de plaintes reçues, et, enfin, rendre compte à l’assemblée élue dans un délai d’un trimestre suivant la promulgation de l’autorisation ou de l’arrêté exécutif.

Dans le contexte de cette crise, notre recours à la technologie pour améliorer la santé publique doit s’appuyer sur des preuves d’efficacité et sur une compréhension claire de ce que la technologie peut faire et de ce qu’elle ne peut pas faire. Nous insistons pour qu’aucune initiative fondée sur les données au Canada ne serve à discriminer, à stigmatiser ou à priver les personnes vivant au Canada de leurs droits fondamentaux.

L’ACLC est une organisation indépendante et apolitique à but non lucratif fondée en 1964. Nous avons tenu tête aux pouvoirs publics devant des centaines de tribunaux et d’assemblées législatives canadiennes. Notre objectif pendant cette pandémie est de prévenir, dans la mesure du possible, les atteintes aux libertés civiles, de demander des comptes aux autorités publiques et de nous concentrer sur les personnes les plus exposées aux abus de pouvoir.

[1] Comme l’explique un directeur du ministère des Communications et de l’Information de Singapour : « On ne peut pas se sortir d’une situation d’absence totale de données en misant sur le “big data”. Point final. » Jason Bay était le chef de produit de l’application de traçage des contacts TraceTogether à Singapour. Il a clairement indiqué qu’aucun système de traçage des contacts par Bluetooth n’est prêt à remplacer le traçage manuel, ajoutant que les notifications automatisées sont déconseillées, même lors du développement d’une application en étroite collaboration avec les autorités sanitaires locales, comme ce fut le cas à Singapour. https://blog.gds-gov.tech/automated-contact-tracing-is-not-a-coronavirus-panacea-57fb3ce61d98

Michael Bryant, directeur général et directeur juridique d’

Brenda McPhail, PhD.
Directrice du projet « Confidentialité, technologie et surveillance »