Le projet de loi C-36 propose des mesures de protection de la vie privée sans substance, des exceptions très larges permettant l'exploitation des données par les entreprises, et ne prévoit pratiquement rien pour remédier aux préjudices causés par l'IA

Hier, le gouvernement a déposé le projet de loi C-36, le Loi sur la protection de la vie privée et des données des consommateurs, qui vise à réformer le cadre fédéral canadien en matière de protection de la vie privée applicable aux entreprises privées.

La proposition — une “pierre angulaire” de la “ Stratégie nationale sur l’intelligence artificielle : l’IA pour tous ” du Canada — vise à donner aux Canadiens davantage de contrôle sur leurs données personnelles, dans le but déclaré de renforcer la confiance dans les outils d’IA et d’en favoriser une adoption plus large.

Bon nombre des dispositions du projet de loi avantages supposés en matière de protection de la vie privée, y compris le droit à l'oubli, protection renforcéeen ce qui concerne la protection de la vie privée des enfants, et l'interdiction de pratiques de données inappropriées telles que certaines formes de tarification de surveillance, ne font que réaffirmer des mesures qui font déjà partie du cadre fédéral canadien en matière de protection de la vie privée depuis son adoption initiale il y a plus de vingt-cinq ans. D’autres avantages apparents, tels que la reconnaissance supposée par la loi de la vie privée en tant que “ droit fondamental ”, sont de nature purement rhétorique et sont contrecarrés par d’autres dispositions qui créeraient une nouvelle obligation visant à faciliter la marchandisation des données à caractère personnel dans tous les aspects de la loi.

Ce projet de loi apporte certes certaines améliorations à la législation canadienne actuelle en matière de protection de la vie privée, notamment des mécanismes d'application qui se faisaient attendre depuis longtemps et une mesure de transparence concernant la prise de décision algorithmique. Mais ces avancées sont affaiblies par de vastes exceptions concernant les activités commerciales et par un cadre trop permissif en matière de données à caractère personnel, qui est dépersonnalisées mais non anonymisées, ainsi que l'affaiblissement du rôle du Commissaire à la protection de la vie privée du Canada en tant que garant de la protection de la vie privée dans le domaine commercial.

Le nouveau régime perpétue également l'incapacité du gouvernement à faire en sorte que les partis politiques fédéraux soumises à une législation efficace en matière de protection de la vie privée et souffre d'une absence flagrante de protections efficaces contre les systèmes d'IA, malgré le effets néfastes bien documentés que cette nouvelle gamme de technologies est déjà en train de provoquer. Sont également absents toute mesure de transparence ou de contrôle pour remédier au recours de plus en plus fréquent de la police aux immenses bases de données détenues par des entreprises privées.

Tamir Israel, directeur du programme "Vie privée, surveillance et technologie" de l'ACLC, a fait la déclaration suivante :

“ Si le projet de loi C-36 offre certaines nouvelles protections en matière de vie privée, il accorde également aux entreprises la possibilité de contourner les exigences en matière de consentement et de conserver indéfiniment des données à caractère personnel dès lors qu’elles ont fait l’objet d’une anonymisation superficielle. Le projet n’impose que de maigres contraintes à l’intelligence artificielle, malgré les défis croissants que ces technologies posent à la société, et intègre les intérêts commerciaux et les obligations commerciales comme considérations fondamentales dans l’application de la loi proposée. Face à l’exploitation croissante des données, le Canada mérite des garanties significatives, et non illusoires, en matière de protection des données. ”