Il arrive parfois qu\u2019un cadeau tant attendu, emball\u00e9 dans du papier brillant, d\u00e9\u00e7oive une fois ouvert. C\u2019est le cas du projet de loi C-11, pr\u00e9sent\u00e9 en novembre 2020, qui comprenait la Loi sur la protection de la vie priv\u00e9e des consommateurs (CPPA). <\/p>\n
Pr\u00e9sent\u00e9 comme la concr\u00e9tisation des engagements en mati\u00e8re de protection de la vie priv\u00e9e pris dans la Charte num\u00e9rique, et comme une r\u00e9ponse \u00e0 une d\u00e9cennie d\u2019appels en faveur d\u2019une r\u00e9forme significative de la l\u00e9gislation sur la protection de la vie priv\u00e9e dans le secteur priv\u00e9, ce projet de loi comporte, \u00e0 premi\u00e8re vue, un certain nombre d\u2019\u00e9l\u00e9ments souhait\u00e9s par les d\u00e9fenseurs de la vie priv\u00e9e : l’int\u00e9gration des donn\u00e9es anonymis\u00e9es dans le champ d’application de la loi, la prise en compte de la transparence pour les d\u00e9cisions automatis\u00e9es, l’ajout de dispositions relatives \u00e0 la portabilit\u00e9 des donn\u00e9es et le renforcement consid\u00e9rable des pouvoirs d’application de la loi du Commissariat \u00e0 la protection de la vie priv\u00e9e du Canada (CPVP).<\/p>\n
Mais ce vieux clich\u00e9 selon lequel \u00ab le diable se cache dans les d\u00e9tails \u00bb n\u2019a jamais \u00e9t\u00e9 aussi vrai que lorsqu\u2019il s\u2019agit d\u2019un texte l\u00e9gislatif de 122 pages. Une analyse approfondie des particularit\u00e9s de ces dispositions met en \u00e9vidence leurs lacunes. Prenons l\u2019exemple du traitement des donn\u00e9es anonymis\u00e9es pr\u00e9vu par le projet de loi C-11 : s\u2019il est correctement mis en \u0153uvre et bien r\u00e9glement\u00e9, il peut contribuer \u00e0 la protection de la vie priv\u00e9e et au renforcement de la s\u00e9curit\u00e9. Les donn\u00e9es anonymis\u00e9es sont trait\u00e9es de mani\u00e8re \u00e0 ne pas pouvoir \u00eatre utilis\u00e9es pour identifier un individu. Il s\u2019agit ind\u00e9niablement d\u2019un processus qui porte sur des informations personnelles, g\u00e9n\u00e9r\u00e9es par des transactions et des comportements individuels \u2014 mais si elles sont trait\u00e9es correctement, elles ne devraient pas pouvoir \u00eatre reli\u00e9es \u00e0 un individu identifiable. Cependant, de nombreuses recherches confirment que l\u2019anonymisation ne sera jamais infaillible \u00e0 l\u2019\u00e8re du big data. Et ces donn\u00e9es sont de plus en plus utilis\u00e9es pour prendre des d\u00e9cisions lourdes de cons\u00e9quences concernant des individus et des groupes. Ainsi, compte tenu des risques et des r\u00e9percussions, le fait d\u2019int\u00e9grer sans ambigu\u00eft\u00e9 les donn\u00e9es anonymis\u00e9es dans le champ d\u2019application de la loi constituerait une avanc\u00e9e pour la protection de la vie priv\u00e9e. Non pas pour en interdire l\u2019utilisation, mais pour garantir que le traitement et l\u2019utilisation de ces donn\u00e9es s\u2019inscrivent dans un cadre de responsabilit\u00e9 et de transparence, avec des cons\u00e9quences en cas de pr\u00e9judice et des interdictions strictes en mati\u00e8re de r\u00e9identification. <\/p>\n
La loi C-11 n’est toutefois pas sans ambigu\u00eft\u00e9. Elle autorise l’anonymisation des donn\u00e9es sans consentement \u00e0 trois fins : pour la recherche interne, dans le cadre d’une transaction commerciale envisag\u00e9e, ou lorsque la divulgation est effectu\u00e9e \u00e0 des fins d’int\u00e9r\u00eat g\u00e9n\u00e9ral prescrites. Cela signifie-t-il que les donn\u00e9es anonymis\u00e9es ne peuvent \u00eatre utilis\u00e9es sans consentement qu\u2019\u00e0 ces fins ? Un consentement serait-il requis pour d\u2019autres fins ? Ou bien d\u2019autres fins sont-elles interdites ? <\/p>\n
Si nous disposions de suffisamment d’espace et de temps, nous pourrions passer en revue chacune des autres avanc\u00e9es que l’on peut percevoir \u00e0 premi\u00e8re vue dans ce projet de loi. Nous pourrions ensuite nous pencher sur toutes les d\u00e9faites cuisantes \u2014 notamment la tentative avort\u00e9e de rem\u00e9dier \u00e0 l\u2019insuffisance croissante d\u2019un r\u00e9gime fond\u00e9 uniquement sur le consentement, par l\u2019ajout d\u2019une s\u00e9rie d\u2019exceptions pour les \u00ab op\u00e9rations commerciales \u00bb qui, contrairement aux dispositions similaires du R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es europ\u00e9en, ne sont pas limit\u00e9es par la reconnaissance de la vie priv\u00e9e en tant que droit humain. Les exceptions pr\u00e9vues dans les cas o\u00f9 \u00ab l\u2019obtention du consentement de la personne serait impossible car l\u2019organisation n\u2019entretient pas de relation directe avec celle-ci \u00bb rappellent le fournisseur de reconnaissance faciale Clearview AI, la soci\u00e9t\u00e9 qui a collect\u00e9 sans consentement des milliards d\u2019images sur Internet et qui a fait l\u2019objet de conclusions cinglantes de la part du Commissariat \u00e0 la protection de la vie priv\u00e9e, qui l\u2019a qualifi\u00e9e de facilitatrice de la surveillance de masse. <\/p>\n
En fin de compte, le v\u00e9ritable crit\u00e8re est le suivant : si le projet de loi C-11 avait \u00e9t\u00e9 adopt\u00e9, la protection de la vie priv\u00e9e des citoyens canadiens aurait-elle \u00e9t\u00e9 renforc\u00e9e ? Le d\u00e9s\u00e9quilibre des pouvoirs entre les entreprises collectrices de donn\u00e9es et les particuliers aurait-il \u00e9t\u00e9 att\u00e9nu\u00e9 ? Plus concr\u00e8tement, les r\u00e9cents scandales li\u00e9s aux donn\u00e9es personnelles \u2014 l\u2019affaire Facebook\/Cambridge Analytica visant \u00e0 compromettre des \u00e9lections d\u00e9mocratiques, la fourniture d\u2019outils de reconnaissance faciale de Clearview AI aux forces de police \u00e0 travers le pays, l\u2019utilisation non consentie de l\u2019analyse faciale par Cadillac Fairview \u2014 auraient-ils \u00e9t\u00e9 \u00e9vit\u00e9s ou, \u00e0 tout le moins, les responsables auraient-ils \u00e9t\u00e9 tenus de faire face plus efficacement aux cons\u00e9quences de leurs actes ? La triste r\u00e9ponse est non. Non seulement il aurait \u00e9t\u00e9 plus facile d\u2019invoquer des exceptions au consentement, mais le Commissaire \u00e0 la protection de la vie priv\u00e9e note que les violations du consentement ne seraient pas vis\u00e9es par les sanctions administratives. <\/p>\n
La loi C-11 ne suffit pas \u00e0 r\u00e9pondre \u00e0 la r\u00e9alit\u00e9 selon laquelle les mod\u00e8les \u00e9conomiques du XXIe si\u00e8cle nous consid\u00e8rent non seulement comme des consommateurs, mais aussi comme des objets de consommation. Des protections plus solides sont n\u00e9cessaires pour garantir que l\u2019innovation fond\u00e9e sur les donn\u00e9es respecte le droit \u00e0 la vie priv\u00e9e, notamment en raison des r\u00e9percussions en aval sur les droits connexes, dont celui \u00e0 l\u2019\u00e9galit\u00e9. Le Canada accuse un retard dans l\u2019adoption des technologies, en partie parce que la confiance sociale dans les technologies innovantes fond\u00e9es sur les donn\u00e9es est actuellement au plus bas. De meilleures lois sur la protection de la vie priv\u00e9e, une meilleure protection, une plus grande confiance, de meilleures affaires. La bonne nouvelle, c\u2019est que ce projet de loi, qui n\u2019avait l\u2019air bien que de l\u2019ext\u00e9rieur, a \u00e9t\u00e9 renvoy\u00e9 \u00e0 l\u2019exp\u00e9diteur lorsque le Parlement a \u00e9t\u00e9 dissous. Esp\u00e9rons que ses auteurs tireront les le\u00e7ons de l\u2019accueil qui lui a \u00e9t\u00e9 r\u00e9serv\u00e9 et que son rempla\u00e7ant m\u00e9ritera d\u2019\u00eatre conserv\u00e9. <\/p>\n[Cet article a \u00e9t\u00e9 publi\u00e9 par The Hill Times le 27 octobre 2021 sous forme d’\u00e9ditorial. Il arrive parfois qu’un cadeau tant attendu, emball\u00e9 dans du papier brillant, d\u00e9\u00e7oive une fois ouvert. C’est le cas du projet de loi C-11, pr\u00e9sent\u00e9 en novembre 2020, qui comprenait la Loi sur la protection de la vie priv\u00e9e des consommateurs (LPPC). <\/p>\n
Pr\u00e9sent\u00e9 comme la concr\u00e9tisation des engagements en mati\u00e8re de protection de la vie priv\u00e9e pris dans la Charte num\u00e9rique, et comme une r\u00e9ponse \u00e0 une d\u00e9cennie d\u2019appels en faveur d\u2019une r\u00e9forme significative de la l\u00e9gislation sur la protection de la vie priv\u00e9e dans le secteur priv\u00e9, ce projet de loi comporte, \u00e0 premi\u00e8re vue, un certain nombre d\u2019\u00e9l\u00e9ments souhait\u00e9s par les d\u00e9fenseurs de la vie priv\u00e9e : l’int\u00e9gration des donn\u00e9es anonymis\u00e9es dans le champ d’application de la loi, la prise en compte de la transparence pour les d\u00e9cisions automatis\u00e9es, l’ajout de dispositions relatives \u00e0 la portabilit\u00e9 des donn\u00e9es, ainsi que des am\u00e9liorations importantes des pouvoirs d’application de la loi du Commissariat \u00e0 la protection de la vie priv\u00e9e du Canada (CPVP).<\/p>\n
Mais ce vieux clich\u00e9 selon lequel \u00ab le diable se cache dans les d\u00e9tails \u00bb n\u2019a jamais \u00e9t\u00e9 aussi vrai que lorsqu\u2019il s\u2019agit d\u2019un texte l\u00e9gislatif de 122 pages. Une analyse approfondie des particularit\u00e9s de ces dispositions met en \u00e9vidence leurs lacunes. Prenons l\u2019exemple du traitement des donn\u00e9es anonymis\u00e9es pr\u00e9vu par le projet de loi C-11 : s\u2019il est correctement mis en \u0153uvre et bien r\u00e9glement\u00e9, il peut contribuer \u00e0 prot\u00e9ger la vie priv\u00e9e et \u00e0 renforcer la s\u00e9curit\u00e9. Les donn\u00e9es anonymis\u00e9es sont trait\u00e9es de mani\u00e8re \u00e0 ne pas pouvoir \u00eatre utilis\u00e9es pour identifier un individu. Il s\u2019agit ind\u00e9niablement d\u2019un processus qui porte sur des informations personnelles, g\u00e9n\u00e9r\u00e9es par des transactions et des comportements individuels \u2014 mais si elles sont trait\u00e9es correctement, elles ne devraient pas pouvoir \u00eatre reli\u00e9es \u00e0 un individu identifiable. Cependant, de nombreuses recherches confirment que l\u2019anonymisation ne sera jamais infaillible \u00e0 l\u2019\u00e8re du big data. Et ces donn\u00e9es sont de plus en plus utilis\u00e9es pour prendre des d\u00e9cisions lourdes de cons\u00e9quences concernant des individus et des groupes. Ainsi, compte tenu des risques et des r\u00e9percussions, le fait d\u2019int\u00e9grer sans ambigu\u00eft\u00e9 les donn\u00e9es anonymis\u00e9es dans le champ d\u2019application de la loi constituerait une avanc\u00e9e pour la protection de la vie priv\u00e9e. Non pas pour en interdire l\u2019utilisation, mais pour garantir que le traitement et l\u2019utilisation de ces donn\u00e9es s\u2019inscrivent dans un cadre de responsabilit\u00e9 et de transparence, avec des cons\u00e9quences en cas de pr\u00e9judice et des interdictions strictes en mati\u00e8re de r\u00e9identification. <\/p>\n
La loi C-11 n’est toutefois pas sans ambigu\u00eft\u00e9. Elle autorise l’anonymisation des donn\u00e9es sans consentement \u00e0 trois fins : pour la recherche interne, dans le cadre d’une transaction commerciale envisag\u00e9e, ou lorsque la divulgation est effectu\u00e9e \u00e0 des fins d’int\u00e9r\u00eat g\u00e9n\u00e9ral prescrites. Cela signifie-t-il que les donn\u00e9es anonymis\u00e9es ne peuvent \u00eatre utilis\u00e9es sans consentement qu\u2019\u00e0 ces fins ? Le consentement serait-il requis pour d\u2019autres fins ? Ou bien d\u2019autres fins sont-elles interdites ? <\/p>\n
Si nous disposions de suffisamment d’espace et de temps, nous pourrions passer en revue chacune des autres avanc\u00e9es que l’on peut percevoir \u00e0 premi\u00e8re vue dans ce projet de loi. Nous pourrions ensuite nous pencher sur toutes les d\u00e9faites cuisantes \u2014 notamment la tentative avort\u00e9e de rem\u00e9dier \u00e0 l\u2019insuffisance croissante d\u2019un r\u00e9gime fond\u00e9 uniquement sur le consentement, par l\u2019ajout d\u2019une s\u00e9rie d\u2019exceptions pour les \u00ab op\u00e9rations commerciales \u00bb qui, contrairement aux dispositions similaires du R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es europ\u00e9en, ne sont pas limit\u00e9es par la reconnaissance de la vie priv\u00e9e en tant que droit humain. Les exceptions pr\u00e9vues dans les cas o\u00f9 \u00ab l\u2019obtention du consentement de la personne serait impossible car l\u2019organisation n\u2019entretient pas de relation directe avec celle-ci \u00bb rappellent le fournisseur de reconnaissance faciale Clearview AI, la soci\u00e9t\u00e9 qui a collect\u00e9 sans consentement des milliards d\u2019images sur Internet et qui a fait l\u2019objet de conclusions cinglantes de la part du Commissariat \u00e0 la protection de la vie priv\u00e9e, qui l\u2019a qualifi\u00e9e de facilitatrice de la surveillance de masse. <\/p>\n
En fin de compte, le v\u00e9ritable crit\u00e8re est le suivant : si le projet de loi C-11 avait \u00e9t\u00e9 adopt\u00e9, la protection de la vie priv\u00e9e des citoyens canadiens serait-elle renforc\u00e9e ? Le d\u00e9s\u00e9quilibre des pouvoirs entre les entreprises collectrices de donn\u00e9es et les particuliers aurait-il \u00e9t\u00e9 att\u00e9nu\u00e9 ? Plus concr\u00e8tement, les r\u00e9cents scandales li\u00e9s aux donn\u00e9es personnelles \u2014 l\u2019affaire Facebook\/Cambridge Analytica visant \u00e0 compromettre des \u00e9lections d\u00e9mocratiques, la fourniture d\u2019outils de reconnaissance faciale de Clearview AI aux forces de police \u00e0 travers le pays, l\u2019utilisation non consentie de l\u2019analyse faciale par Cadillac Fairview \u2014 auraient-ils \u00e9t\u00e9 \u00e9vit\u00e9s ou, \u00e0 tout le moins, les responsables auraient-ils \u00e9t\u00e9 contraints de faire face plus efficacement aux cons\u00e9quences de leurs actes ? La triste r\u00e9ponse est non. Non seulement il aurait \u00e9t\u00e9 plus facile d\u2019invoquer des exceptions au consentement, mais le Commissaire \u00e0 la protection de la vie priv\u00e9e note que les violations du consentement ne seraient pas vis\u00e9es par les sanctions administratives. <\/p>\n
La loi C-11 ne suffit pas \u00e0 r\u00e9pondre \u00e0 la r\u00e9alit\u00e9 selon laquelle les mod\u00e8les \u00e9conomiques du XXIe si\u00e8cle nous consid\u00e8rent non seulement comme des consommateurs, mais aussi comme des objets de consommation. Des protections plus solides sont n\u00e9cessaires pour garantir que l\u2019innovation fond\u00e9e sur les donn\u00e9es respecte le droit \u00e0 la vie priv\u00e9e, notamment en raison des r\u00e9percussions en aval sur les droits connexes, dont celui \u00e0 l\u2019\u00e9galit\u00e9. Le Canada accuse un retard dans l\u2019adoption des technologies, en partie parce que la confiance sociale dans les technologies innovantes fond\u00e9es sur les donn\u00e9es est actuellement au plus bas. De meilleures lois sur la protection de la vie priv\u00e9e, une meilleure protection, une plus grande confiance, de meilleures affaires. La bonne nouvelle, c\u2019est que ce projet de loi, qui n\u2019avait l\u2019air bien que de l\u2019ext\u00e9rieur, a \u00e9t\u00e9 renvoy\u00e9 \u00e0 l\u2019exp\u00e9diteur lorsque le Parlement a \u00e9t\u00e9 dissous. Esp\u00e9rons que ses auteurs tireront les le\u00e7ons de l\u2019accueil qui lui a \u00e9t\u00e9 r\u00e9serv\u00e9 et que son rempla\u00e7ant m\u00e9ritera d\u2019\u00eatre conserv\u00e9. <\/p>\n[Publi\u00e9 \u00e0 l’origine dans The Hill Times, le 27 octobre 2021]\n","protected":false},"excerpt":{"rendered":"
Il arrive parfois qu\u2019un cadeau tant attendu, emball\u00e9 dans du papier brillant, d\u00e9\u00e7oive une fois ouvert. C\u2019est le cas du projet de loi C-11, pr\u00e9sent\u00e9 en novembre 2020, qui comprenait…<\/p>\n","protected":false},"author":11,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[370,284,271],"tags":[],"class_list":["post-15082","post","type-post","status-publish","format-standard","category-loi-sur-la-protection-des-donnees-personnelles-et-les-informations-ccpa-projet-de-loi-c-11","category-reforme-de-la-legislation-sur-la-protection-de-la-vie-privee","category-vie-privee"],"yoast_head":"\n