Article
Le 24 octobre 2023
L’Association des banquiers canadiens (ABC) appuie bon nombre des principaux fondements du projet de loi C-27, Loi sur la protection de la vie privée des consommateurs (LPVPC). La LPVPC exige des organisations qu’elles se conforment à un ensemble de dispositions interconnectées qui constituent une base solide en matière de protection des renseignements personnels, fondée sur la responsabilisation, le caractère raisonnable et la proportionnalité. Par conséquent, aucune disposition de la LPVPC ne peut être considérée seule, mais doit plutôt être examinée en combinaison avec les autres exigences de la Loi.
Une approche fondée sur des principes est tout à fait adaptée au modèle de responsabilisation de la LPVPC, car les organisations peuvent adapter leurs programmes et processus de protection des renseignements personnels pour répondre aux besoins liés à la sensibilité et au volume des données, et tirer parti des pratiques optimales et des directives du commissaire à la protection de la vie privée. La LPVPC introduit également des pouvoirs en matière d’application de la loi qui encourageront et renforceront son respect.
Il est important que les principales préoccupations liées aux propositions de la LPVPC, lesquelles seraient nouvelles dans le contexte canadien, soient abordées avant que les dispositions législatives ne soient adoptées et que la Loi ne soit promulguée. En particulier, les dispositions de la LPVPC devraient :
- éviter les situations où les nouvelles exigences en matière de transparence pourraient avoir un effet équivalent à la « lassitude du consentement » ou à la « lassitude des bandeaux de consentement aux témoins », sans apporter d’avantage réel pour les consommateurs;
- veiller à ce que des limites appropriées soient fixées pour que les criminels ne puissent pas abuser de leurs droits en matière de protection des renseignements personnels ou s’en servir pour contourner les processus de protection contre la fraude, le blanchiment d’argent ou les cybermenaces;
- veiller à ce que toute exigence très complexe ou onéreuse sur le plan opérationnel permette réellement de remédier aux risques sous‑jacents pertinents en matière de protection des renseignements personnels et de répondre à l’intention stratégique, sans avoir d’incidence négative sur les opérations légitimes, la fourniture de produits et de services aux consommateurs ou la protection de leurs renseignements personnels;
- procéder à une harmonisation avec les dispositions existantes d’autres administrations lorsque cela s’avère judicieux;
- soutenir d’autres domaines d’action le cas échéant (par exemple, l’échange de renseignements pour soutenir la lutte contre le recyclage des produits de la criminalité).
Ainsi, après avoir mûrement réfléchi à l’intention stratégique et à son incidence sur les clients, ainsi que sur les banques et les organisations de toutes tailles, nous formulons des recommandations pour des amendements essentiels et ciblés touchant des dispositions clés de la LPVPC. Nos principales recommandations portent sur les sujets suivants :
- Systèmes décisionnels automatisés : veiller à ce que la portée des systèmes recensés soit logique.
- Retrait et conservation des renseignements personnels : veiller à ce que les produits et services légitimes des consommateurs ne soient pas affectés; réduire la pression sur les consommateurs; veiller à ce que les risques appropriés soient couverts; assurer une harmonisation avec la législation d’autres administrations lorsque cela s’avère judicieux.
- Dépersonnalisation et anonymisation : réduire au minimum les conséquences involontaires qui pourraient en fin de compte affaiblir la protection des renseignements personnels des individus.
- Lutte contre les activités et les intentions criminelles : permettre un échange limité de renseignements afin de lutter contre le recyclage des produits de la criminalité et le financement des activités terroristes, et empêcher les criminels d’abuser de leurs droits.
- Consentement : apporter un amendement technique au projet de loi pour l’harmoniser avec la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) et le libellé de lois provinciales, dans le but d’éviter des conséquences involontaires dans les scénarios impliquant le consentement d’un tiers.
- Mise en oeuvre et application de la loi : permettre l’élaboration appropriée de règlements et de directives et fournir une période de mise en oeuvre suffisante.
ANNEXE : Recommandations de l’ABC en détail – La LPVPC du projet de loi C‑27
1. Systèmes décisionnels automatisés : Établir un champ d’application approprié pour la définition de « système décisionnel automatisé » de manière que des explications sur les systèmes ne soient requises que pour les systèmes qui contribuent de manière substantielle à une décision humaine :
2 (1) système décisionnel automatisé Technologie utilisant des systèmes basés sur des règles, l’analyse de régression, l’analytique prédictive, l’apprentissage automatique, l’apprentissage profond, des réseaux neuronaux ou d’autres techniques afin d’appuyer ou de remplacer ou d’appuyer de manière substantielle le jugement de décideurs humains.
Remarque : Cette modification concerne les scénarios dans lesquels un système décisionnel automatisé ne contribuerait que dans une faible mesure à une décision, à une prédiction ou à une recommandation. Nous soutenons également le libellé actuel du paragraphe 63(3) de la LPVPC, qui exige une explication concernant les systèmes décisionnels automatisés uniquement si la prédiction, la recommandation ou la décision concernant l’individu est susceptible d’avoir une « incidence importante » pour lui. En l’absence de qualificatifs dans la définition des systèmes automatisés décrite ci‑dessus et dans le paragraphe 63(3), les organisations pourraient être contraintes de mettre en place des processus pour fournir des explications sur demande pour la quasi‑totalité de leurs systèmes, sans que la protection des renseignements personnels des consommateurs ait une valeur significative (p. ex. si une organisation dispose d’un sondage automatisé en ligne qui recommande un parfum de crème glacée, ou si la contribution d’un système à une prédiction, à une recommandation ou à une décision globale n’est qu’un facteur parmi dix autres). Nous soulignons également que les droits de protection des renseignements personnels dans d’autres administrations (p. ex. au Québec ou dans l’UE) sont exclusivement axés sur les systèmes automatisés, et que la transparence relative aux systèmes d’intelligence artificielle est abordée dans la Loi sur l’intelligence artificielle et les données du projet de loi C‑27.
2. Demandes de retrait et conservation des renseignements personnels
2.a. Restructurer les exceptions concernant les demandes de retrait des renseignements personnels relatives aux mineurs afin qu’elles ne s’appliquent qu’aux situations où l’on peut raisonnablement s’attendre à un risque résiduel pour la réputation, de sorte que les produits et services légitimes (p. ex. les renseignements sur les bénéficiaires, les cartes de débit/crédit secondaires aux cartes des parents, les données relatives à la planification financière de la famille) ne soient pas affectés de manière défavorable :
55(2) L’organisation peut refuser de procéder au retrait dans les cas visés aux alinéas (1)b) ou c) qui remplissent l’une ou l’autre des conditions suivantes :
[…]
(d) ils ne concernent pas un mineur et eur retrait aurait un effet négatif excessif sur l’intégrité ou l’exactitude des renseignements nécessaires à la fourniture continue d’un produit ou à la prestation continue d’un service à l’individu concerné;
[…]
(f) le retrait des renseignements dans la mesure où ils ne concernent pas un mineur est déjà prévu, conformément aux politiques de conservation des renseignements personnels de l’organisation, et celle‑ci informe l’individu de la période de conservation restante qui leur est applicable.
Et ajouter :
Les exceptions visées aux alinéas d) et f) ne s’appliquent pas si les renseignements concernent un mineur et s’il existe une possibilité raisonnable de risque pour la réputation du mineur si les renseignements ne sont pas retirés.
Remarque : Nous soutenons le maintien de l’inclusion de l’alinéa 55(2)f) (tel que modifié ci‑dessus) en tant que disposition essentielle pour les entreprises qui élaborent des politiques de conservation raisonnables, efficaces et efficientes. Les politiques et processus de conservation sont déjà soumis à l’exigence de la LPRPDE et de la LPVPC selon laquelle les renseignements ne doivent être conservés que le temps nécessaire aux fins pour lesquelles ils ont été recueillis et, en vertu de la LPVPC, cette exigence est assujettie à des sanctions administratives pécuniaires (alinéa 94(1)i)). Sans cette disposition, d’autres exceptions seraient nécessaires pour tenir compte de divers autres motifs professionnels valables et raisonnables de conservation des renseignements personnels (p. ex. pour détecter des fraudes ou afin d’établir, d’exercer ou de défendre un droit dans le cadre d’un litige, d’une action en justice ou d’une autre procédure en cours, sous forme de menace ou raisonnablement anticipé(e), des objectifs raisonnables d’archivage ou de sauvegarde lorsque la suppression de documents individuels peut compromettre l’intégrité du système, lorsque les systèmes de données sont complexes et qu’une suppression peut avoir des conséquences négatives en aval) et/ou les ententes avec les clients (c’est‑à‑dire les « restrictions contractuelles » au sens de l’alinéa 55(2)b)) pourraient durer très longtemps, avec un risque de saturation des clients similaire à la lassitude du consentement.
*****
2.b. Remplacer « période de conservation restante qui leur est applicable » par « durée de la période pendant laquelle les renseignements seront conservés » par souci de cohérence avec les exigences du Québec et favoriser une expérience cohérente pour les clients :
55(2) L’organisation peut refuser de procéder au retrait dans les cas visés aux alinéas (1)b) ou c) qui remplissent l’une ou l’autre des conditions suivantes :
[…]
(f) le retrait des renseignements, dans la mesure où ils ne concernent pas un mineur, est déjà prévu, conformément aux politiques de conservation des renseignements personnels de l’organisation, et celle‑ci informe l’individu de la période de conservation restante qui leur est applicable de la durée de la période pendant laquelle les renseignements seront conservés.
*****
2.c. Modifier la nouvelle exigence en matière de transparence relative aux périodes de conservation des renseignements personnels de nature sensible afin de n’exiger qu’une « explication générale », comme pour les autres exigences en matière de transparence, pour éviter de submerger les consommateurs d’information et empêcher les criminels d’obtenir et d’utiliser des renseignements détaillés pour cibler les organisations qui possèdent des renseignements de nature sensible :
62 (2) À cet égard, l’organisation rend accessibles les renseignements suivants :
[…]
(b) une explication générale de l’usage qui est fait des renseignements personnels […];
(c) une explication générale de l’usage qu’elle fait des systèmes décisionnels automatisés […];
[…]
(e) une explication générale des périodes de conservation établies pour les renseignements personnels de nature sensible;
3. Dépersonnalisation/anonymisation : L’ABC soutient les recommandations du CANON (Canadian Anonymization Network), notamment les suivantes :
3.a. Modifier la définition du terme « anonymiser » pour qu’elle soit cohérente avec celle employée par les autres administrations canadiennes et la jurisprudence, en incluant un facteur de raisonnabilité :
2(1) anonymiser Modifier définitivement et irréversiblement, conformément aux meilleures pratiques généralement reconnues, des renseignements personnels pour qu’il n’existe aucun risque raisonnablement prévisible dans les circonstances qu’un individu puisse être identifié, directement ou indirectement, par quelque moyen que ce soit.
*****
3.b. Ajouter une exception à l’interdiction de la repersonnalisation afin de supprimer les obstacles inutiles à des scénarios légitimes, par exemple lorsque la dépersonnalisation n’est utilisée qu’à des fins de protection, qu’un client a donné son consentement ou qu’il existe un fondement pour la collecte ou l’utilisation des renseignements personnels de l’individu, à son insu ou sans son consentement (p. ex. repersonnalisation lorsque l’analyse de renseignements dépersonnalisés indique qu’il y a eu fraude) :
75 Il est interdit à toute organisation d’utiliser des renseignements personnels qui ont été dépersonnalisés, seuls ou en combinaison avec d’autres renseignements, afin d’identifier un individu, sauf dans les cas suivants :
(a) lorsque l’organisation peut s’appuyer sur le consentement ou sur une autre autorisation prévue par la présente loi pour utiliser les renseignements personnels;
…
Remarque : Les alinéas existants a) à f) de l’article 75 seraient renumérotés en b) à g).
4. Échange de renseignements dans le cadre de la lutte contre le recyclage des produits de la criminalité et le financement des activités terroristes : Aider les organisations à lutter contre le recyclage des produits de la criminalité (LRPC) et le financement des activités terroristes (FAT) en fournissant un fondement juridique à l’échange volontaire et discrétionnaire raisonnable de renseignements entre les organisations qui participent au régime canadien de la LRPC‑FAT, dans le cadre de la disposition existante de la LPVPC relative aux communications en matière de LRPC :
46 (1) L’organisation peut communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, lorsque la communication est faite au titre de l’article 7 de la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes à l’institution gouvernementale mentionnée à cet article.
(2) Une organisation peut recueillir, utiliser ou communiquer les renseignements personnels d’un individu, à son insu ou sans son consentement, comme l’autorise le cadre établi par la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes.
Remarque : Nous pensons que cet échange de renseignements de privé à privé, s’il est effectué de manière appropriée, renforcera la protection des renseignements personnels des Canadiens en réduisant les déclarations inutiles au gouvernement pour les transactions à faible risque, tout en augmentant l’efficacité de l’ensemble des déclarations faites dans le cadre du régime canadien de LRPC-FAT. Une modification de la LPVPC est nécessaire pour fournir un fondement juridique à un tel échange, car les organisations ne peuvent pas s’appuyer sur les dispositions relatives aux « intérêts légitimes » de la LPVPC (parce que l’article 18 n’autorise pas une telle communication). Une modification ultérieure de la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes (dinctincte du projet de loi C‑27) établirait des mesures de protection appropriées, des paramètres de gouvernance et de surveillance pour les « cadres » d’échange de renseignements; une consultation du ministère des Finances sur l’échange de renseignementss’est achevée en août 2023.
5. Prévenir l’abus de droits : Empêcher les criminels d’abuser de leurs droits afférents à la protection des renseignements personnels pour contourner les processus conçus pour détecter, prévenir ou réprimer la criminalité (p. ex. la fraude, le blanchiment d’argent, le financement des activités terroristes, les cyberattaques) lorsqu’une organisation est tenue de répondre aux demandes des consommateurs (p. ex. les demandes de retrait, les explications sur les systèmes décisionnels automatisés ou les demandes d’accès) en veillant à ce que les organisations ne soient pas tenues de fournir des renseignements susceptibles d’enfreindre une loi (p. ex. l’interdiction de révéler des renseignements prévue à l’article 8 de la LRPCFAT), de révéler des renseignements commerciaux confidentiels, ou de compromettre une enquête en cours :
Exceptions à la réponse aux demandes
XX Lorsqu’elles répondent aux demandes visées aux articles 55, 63 ou 73, les organisations ne sont pas tenues de fournir des réponses, des types de renseignements personnels, des motifs ou les principaux facteurs susceptibles d’enfreindre une loi, de révéler des renseignements commerciaux confidentiels ou de compromettre une enquête en cours.
Remarque : Il s’agit d’une disposition unique visant à couvrir tous les types de demandes; une autre approche consisterait à inclure un libellé similaire dans chacun des articles 55, 63 et 73. Le libellé actuel du paragraphe 70(7) est insuffisant en soi, car il ne concerne que les renseignements commerciaux confidentiels et les demandes d’accès à des renseignements personnels au titre de l’article 63.
6. Consentement : Éviter d’introduire des conséquences involontaires pour les consommateurs et des obligations de consentement qui prêtent à confusion lorsque les organisations doivent s’appuyer sur le consentement obtenu par une autre organisation (p. ex. vérification des antécédents, demandes en matière de mobilité des données), grâce à un amendement technique visant à se rapprocher du libellé actuel de la LPRPDE et des approches provinciales :
15 (1) Sauf disposition contraire de la présente loi, l’organisation qui recueille, utilise ou communique des renseignements personnels doit d’abord obtenir est tenue d’obtenir le consentement valide de l’individu concerné.
7. Mise en oeuvre/application de la loi
7.a. Prévoir une période de mise en oeuvre d’au moins deux ans pour la plupart des dispositions, ainsi qu’une période progressive ou un délai de grâce pour l’application de la loi, qui correspond au temps nécessaire pour élaborer les règlements et les directives nécessaires avec une consultation appropriée des parties prenantes, en particulier compte tenu de la rareté des ressources technologiques pour effectuer les changements nécessaires dans les systèmes.
7.b. Prévoir une mise en oeuvre rapide de l’échange de renseignements afin de permettre à certaines organisations d’échanger des renseignements pour lutter contre le recyclage des produits de la criminalité et le financement des activités terroristes (comme dans la recommandation no 4).
8. Commentaires supplémentaires à l’appui de l’approche actuelle dans le cadre de la LPVPC :
- Représentants autorisés : Nous appuyons le libellé actuel de l’article 4 de la LPVPC. Toute inclusion de la possibilité d’étendre le droit à la protection des renseignements personnels d’un individu à toute personne autorisée par écrit présente un potentiel important de fraude, de coercition, d’exploitation financière et de contournement d’autres dispositions qui peuvent traiter de considérations particulières liées à la protection des renseignements personnels (p. ex. les cadres relatifs à la mobilité des données), ce qui augmenterait considérablement les risques pour les consommateurs.
- Déclaration des atteintes : Nous appuyons le libellé actuel du paragraphe 58(2) de la LPVPC. L’obligation de déclarer une atteinte à un organisme de réglementation de la protection des renseignements personnels, dès que possible après que l’organisation a déterminé qu’une atteinte s’est produite, est raisonnable, car il faut parfois du temps pour confirmer qu’une atteinte s’est produite, en particulier s’il s’agit d’une grande organisation ou si l’étendue de l’atteinte n’est pas claire (p. ex. pour informer le bon groupe interne, pour déterminer si des renseignements personnels sont touchés, pour effectuer une évaluation des risques, même pour recueillir des informations de base pour la déclaration d’atteinte, etc.) En outre, le fait d’informer l’organisme de réglementation ne doit pas faire oublier pour autant que l’organisation doit prendre des mesures pour limiter l’ampleur de l’atteinte et y remédier.
- Pratiques exemplaires en matière de législation : L’utilisation prescriptive de pratiques exemplaires ne devrait pas faire l’objet d’une loi, mais être laissée à l’appréciation d’experts. La LPRPDE et la LPVPC sont toutes deux essentiellement fondées sur des principes et requièrent une approche proportionnée. De nombreuses organisations, comme les banques, adaptent déjà leur approche de la protection des renseignements personnels à la sensibilité et à la nature des données, ainsi qu’aux circonstances particulières, et les mesures d’application introduites dans la LPVPC ne feront qu’encourager et renforcer le respect de la loi. Il n’est pas nécessaire d’imposer dans la loi proprement dite des approches formelles telles que la prise en compte de la protection des renseignements personnels dès la conception, l’évaluation des facteurs relatifs à la vie privée ou l’utilisation de techniques ou de technologies particulières.