Protection de la vie privée : un nouveau projet de loi « bien équilibré »

La deuxième fois sera-t-elle la bonne? Le gouvernement fédéral est revenu à la charge, plus tôt la semaine dernière, en présentant le projet de loi C-27, qui vise à protéger les données personnelles en ligne. Pour l'ancienne commissaire intérimaire à la protection de la vie privée du Canada, ledit projet de loi est mieux ficelé que son ancienne mouture, C-11, morte au feuilleton avant les dernières élections.

Ce qui m'a frappée, c'est à quel point le gouvernement a été à l'écoute de la rétroaction par rapport à l'ancien [projet de loi] C-11, a mentionné Me Chantal Bernier lors d'un entretien téléphonique en évoquant le projet de loi déposé jeudi par le ministre de l'Innovation, des Sciences et de la Technologie, François-Philippe Champagne.

Le projet de loi en question vise à offrir davantage de contrôle aux Canadiens en ce qui a trait à leurs données personnelles. On y prévoit notamment des amendes pour les plateformes numériques qui ne respecteraient pas les nouvelles normes en matière de collecte et d'utilisation des données ainsi que des règles qui encadreront l'utilisation de l'intelligence artificielle.

Ouvrir en mode plein écran

Me Bernier estime que le projet de loi C-27 est vraiment [...] une mouture améliorée du projet de loi C-11, en particulier, dit-elle, en ce qui concerne la clarification de la définition des renseignements dépersonnalisés par rapport aux renseignements anonymisés.

C-11, par inadvertance, avec sa définition de ce qu'était un renseignement dépersonnalisé, avait essentiellement adopté une définition des renseignements anonymisés. [...] Pourquoi est-ce important? Les renseignements dépersonnalisés sont ceux dont les identifiants ont été dissociés des renseignements de fond, mais de façon réversible, par exemple à l'aide d'un code. [...] Il y a une liste maîtresse où on peut réconcilier le tout, explique l'avocate.

Les renseignements anonymisés, de leur côté, ne sont pas des renseignements personnels, et les compagnies sont donc libres de les utiliser pour faire de la recherche, de l'innovation, des analyses de tendances... Alors, comme C-11 avait adopté une définition du renseignement dépersonnalisé qui était en fait anonymisé, [on] avait créé une situation selon laquelle les compagnies n'auraient pas pu utiliser les données anonymisées à cause de cette confusion, ajoute Me Bernier en qualifiant cette clarification de grande amélioration.

La mise au point du fédéral permet aussi, juge l'avocate, d'harmoniser la réglementation en la matière avec la loi québécoise.

Protéger les plus jeunes

Autre avantage du nouveau projet de loi, selon Me Bernier : le gouvernement fédéral a tenu compte de la forte demande pour inclure des dispositions destinées à protéger la vie privée des mineurs.

Le projet de loi indique expressément que les renseignements des mineurs, quels qu'ils soient, constituent des renseignements sensibles, explique-t-elle en évoquant la nécessité d'un consentement exprès, d'une période de conservation des données encore plus limitée, de mesures de sécurité encore plus rigoureuses, etc.

Ouvrir en mode plein écran

De plus, Chantal Bernier souligne la capacité, en vertu du nouveau projet de loi, d'appliquer les dispositions législatives à mesure que la technologie évolue.

Pendant cinq ans, au Commissariat, j'ai dû appliquer [la loi] en vertu de faits qui se présentaient toujours de façon différente, où la technologie évoluait toujours dans un autre sens. Le fait que la loi s'appuyait sur des principes faisait en sorte qu'elle était toujours pertinente, a-t-elle indiqué avant de souligner que cet aspect a été préservé dans le projet de loi C-27.

Équilibre entre les citoyens et les entreprises

Par ailleurs, le gouvernement fédéral a tendu un rameau d'olivier aux entreprises en leur permettant, dans certaines circonstances, de recueillir des renseignements personnels sans avoir besoin du consentement de l'internaute.

Pour ce faire, l'entreprise doit démontrer qu'elle a un intérêt légitime de le faire, explique Me Bernier.

Cependant, cette souplesse est encadrée : l'organisation doit procéder à une évaluation, à savoir si cette collecte sans consentement aurait de graves répercussions sur la vie privée. S'il y a un impact, il faut adopter des mesures pour l'atténuer, et cette évaluation doit être documentée et accessible pour le Commissariat.

Le tout, mentionne l'avocate, doit s'effectuer dans un contexte de transparence de la part de l'entreprise.

D'un côté, on donne cette souplesse aux organisations, mais de l'autre, si elles abusent de cette souplesse, il y a évidemment des conséquences.

Sécurité renforcée

Dans la foulée d'inquiétudes exprimées, du temps de l'ancien projet de loi C-11, à propos de l'absence de dispositions concernant spécifiquement les vols de données, Me Bernier estime que le projet de loi C-27 prévoit bel et bien un encadrement juridique pour barrer le chemin aux flibustiers numériques.

Maintenant, les pertes de données sont assujetties à des peines, mais des peines vraiment significatives, dans les millions de dollars ou le pourcentage des revenus mondiaux annuels, indique l'avocate.

Ottawa prévoit en effet une amende qui pourrait atteindre un maximum de 25 millions de dollars ou 5 % des revenus mondiaux, selon le montant le plus élevé.

La loi ne peut pas tout prévoir. Ce que la loi doit imposer, c'est le devoir de diligence raisonnable dans la protection des données. Et ça, non seulement le projet de loi le fait, mais en plus, en assortissant la contravention à cette règle à des peines significatives, on vient de renforcer, à mon avis, le cadre de protection de la sécurité des données, mentionne encore Me Bernier.

Projet de loi bien accueilli

Le projet de loi C-27 est-il condamné à mourir au feuilleton lui aussi? Pour Me Bernier, l'accord signé entre le Parti libéral du Canada et le Nouveau Parti démocratique pour assurer la survie du gouvernement Trudeau devrait assurer l'adoption du projet de loi.

Ouvrir en mode plein écran

Autre avantage, dit-elle, ce projet de loi semble recueillir l'aval de tous les partis représentés aux Communes.

Et les géants du numérique, eux? Pour Google, Facebook et les autres, après tout, la collecte de données personnelles est un modèle d'affaires qui alimente la planche à billets. En 2009, déjà, se rappelle Me Bernier, une enquête du Commissariat avait établi que les usagers doivent s'attendre à une certaine utilisation de leurs données puisqu'il s'agit de services gratuits.

Ce projet de loi me paraît avoir été passablement à l'écoute des compagnies, par exemple avec l'assouplissement entourant l'intérêt légitime [...] ou encore la question des processus décisionnels automatisés, dont la portée a été restreinte. L'industrie a reçu des accommodements. Je m'attends à ce qu'elle reçoive ce projet de loi de façon positive, ajoute-t-elle.

Serait-il possible d'en arriver à un projet de loi « parfait »? D'abord, on parle d'intérêts concurrentiels : si vous demandez à l'industrie ce qu'est un projet de loi sans failles, eh bien, il ne contient à peu près pas de limites... Si vous demandez aux avocats de la défense de la vie privée et de la protection des droits de la personne, au contraire, nous, nous voulons absolument un encadrement : c'est un droit fondamental, lance Me Bernier.

Ce projet de loi me frappe comme étant soucieux de l'équilibre entre les besoins des compagnies et les droits des individus. Je sens dans ce projet de loi – et surtout par rapport au projet de loi C-11 – un véritable équilibre entre le droit à la vie privée des individus et les besoins des compagnies, conclut-elle.