Surveillance des données par les gouvernements canadiens en réponse à la COVID : la prescription de protection de la vie privée de l'ACLC

20 avril 2020

Rt. Hon. Premier ministre du Canada

Hon. Premiers ministres du Nunavut, des Territoires du Nord-Ouest, du Yukon, de la Colombie-Britannique, de l'Alberta, de la Saskatchewan, du Manitoba, de l'Ontario, du Québec, de la Nouvelle-Écosse, de l'Î.-P.-É., du Nouveau-Brunswick, de Terre-Neuve-et-Labrador

PAR EMAIL

Objet : Technologie de surveillance des données et réponse à la COVID-19 au Canada

Chers premiers ministres,

Nous vous écrivons au sujet de l'utilisation de la surveillance à médiation technologique comme réponse de santé publique à la pandémie de COVID. Nous n'abordons pas l'utilisation de la technologie par les Canadiens en général, volontairement, ni le besoin urgent de moderniser nos lois sur la protection de la vie privée pendant et hors d'une pandémie.

L'objectif actuel de l'Association canadienne des libertés civiles (ACLC), énoncé dans cette lettre, est limité aux futurs décrets gouvernementaux (par décret en conseil ou autre instrument exécutif) exigeant ou autorisant le recours à la surveillance par des agents publics dans le cadre de sa réponse COVID19, ou des ordonnances gouvernementales obligeant les résidents d'une juridiction canadienne à utiliser une technologie afin de profiter d'une liberté pré-COVID19.

Les gouvernements canadiens ont la possibilité et la responsabilité d'apprendre des approches d'autres pays. Bien sûr, il n'y a pas de solution miracle, ni dans les mégadonnées, ni dans la prise de décision automatisée concernant les risques individuels, ni dans la recherche automatisée des contacts.[1] Cela ne veut pas dire que la technologie ne pourra jamais soutenir les efforts menés par la santé publique. Cependant, la collecte involontaire d'informations par les gouvernements reste injustifiée aujourd'hui et toute demande de participation volontaire doit être examinée avec soin. Les lois existantes sur la protection de la vie privée ne devraient pas non plus être suspendues pour la surveillance publique proposée.

Le manque de compétence législative et exécutive du Canada en matière de confidentialité des données est particulièrement préoccupant pour l'ACLC. Pendant un certain temps, le Canada a pris du retard par rapport à d'autres juridictions comme l'Union européenne ou des États américains comme la Californie, en ce qui concerne les lois, la réglementation et la sécurité sur la confidentialité des données. Légaliser la surveillance des données en cas de pandémie est donc un pari à haut risque pour le droit canadien à la vie privée. Nous demandons un examen minutieux de l'efficacité de toute nouvelle solution technologique au COVID19. Si elles sont poursuivies, elles doivent être conformes aux principes constitutionnels de procédure régulière, de liberté, d'égalité et de respect de la vie privée.

En conséquence, l'ACLC propose que les recommandations suivantes s'appliquent à tout décret ou loi promulguée en réponse à COVID19 :

1. La surveillance des données ne doit être entreprise qu'en tant que dernier recours et seulement où
   1. il y a du sens consentement par les personnes concernées, même lorsqu'une exception légale au consentement s'applique (telle que l'autorité légale et l'avis public) ;
   2. les objectif si la mesure prise est légitime (telle que « aplatir la courbe » ou minimiser d'une autre manière la propagation du virus );
   3. la mesure est manifestement nécessaire, basé sur des preuves de santé publique autorisées, et non sur des conjectures ;
   4. la mesure est susceptible d'être efficace (c'est-à-dire la mesure dans laquelle la mesure atteindra ou atteindra vraisemblablement son objectif);
   5. d'autres solutions moins invasives que la mesure n'existent et l'intrusion de la mesure dans la vie privée est proportionné à l'avantage de santé publique fondé sur des preuves de la mesure.

Nous développerons et ajouterons aux points (b)-(e) ci-dessous.

2. Commissaires à la protection de la vie privée pour la juridiction doit être engagée avant la promulgation et pendant la mise en œuvre de toute mesure de surveillance de la santé publique.
3. La collecte de données doit être fondée sur des preuves de santé publique nécessité, en vertu d'un « Mandat » des données du médecin en chef ou demande d'informations : par exemple, une condition préalable à la création ou à l'adoption de solutions technologiques pour combler les lacunes en matière d'informations doit être une demande écrite formelle du médecin-chef de la juridiction, énonçant précisément pourquoi il est nécessaire d'obtenir ces données, que ces données sont autrement indisponibles, et que le fonctionnaire pense que les données sont en fait disponibles, ainsi que l'utilisation prévue de ces données par les responsables de la santé publique.
4. Proportionnalité doit être certifiée par le biais d'un équilibre juridique des moyens et des fins, par le directeur juridique d'une juridiction, qui devrait indiquer par écrit comment le test de proportionnalité est satisfait pour toute utilisation particulière de la surveillance des données d'individus, y compris : l'objectif énoncé par le mandat de données du médecin-chef, le lien rationnel entre un objectif impératif et une réponse proportionnée ; et l'affirmation supplémentaire que les moyens enfreignent le moins possible les droits à la vie privée, en faisant référence aux raisons pour lesquelles les mesures alternatives sont inadéquates (c'est-à-dire, si l'information peut être obtenue par la présence d'un arrêté ou d'agents de police, alors il n'y a pas besoin de données surveillance).
5. Un Analyse d'impact et de préjudice pour les personnes vulnérables doit accompagner tout décret exécutif, mais en particulier celui impliquant la surveillance, en tant qu'aspect de la réalisation de la proportionnalité, avec l'apport des commissions des droits de la personne. Pour s'assurer que les plus vulnérables ne sont pas une réflexion après coup, comme condition préalable à tout ordre gouvernemental, le gouvernement doit divulguer son impact négatif sur les populations vulnérables et marginalisées, y compris en identifiant et en faisant connaître les mesures qui seront prises pour atténuer cet impact.
6. Pare-feu des données de santé publique à des fins de santé publique, et loin de la police et des agents de l'ordre public. Aucune donnée résultant des réponses COVID19 ne devrait être accessible à la police, aux agents de la paix, aux responsables des règlements, à la sécurité frontalière canadienne ou aux agents correctionnels, et aucune d'entre elles ne peut être utilisée comme preuve dans une procédure judiciaire sans rapport avec une violation de la santé publique. Le stockage des données collectées via une surveillance spécifique aux situations d'urgence doit être conforme aux lois sur la confidentialité applicables aux dossiers de santé, avec des contrôles d'accès stricts et la destruction obligatoire de ces données une fois l'urgence passée.
7. Limite de temps toute collecte de données à la durée des ordonnances d'urgence COVID19 d'une juridiction donnée.
8. Améliorer transparence et responsabilité par une exigence selon laquelle les administrateurs en chef de la santé publique et les avocats militaires en chef comparaissent devant un comité législatif (en ligne ou autrement) en tant que témoins pour être interrogés par les députés avant la mise en œuvre des mesures de surveillance.
9. Installer contrôle indépendant du processus et de sa mise en œuvre. Par exemple, une juridiction pourrait habiliter ses commissaires à la protection de la vie privée ou nommer un ombudsman de surveillance indépendant, responsable devant l'assemblée législative de la juridiction, pour superviser le processus susmentionné, recevoir les plaintes du public et fournir des recours en cas de violation des droits, faire régulièrement rapport au public sur les leurs observations ainsi que la nature et le nombre de plaintes reçues, et en font éventuellement rapport à l'assemblée élue dans un délai d'un trimestre après la promulgation de l'autorisation ou de l'arrêté exécutif.

Dans cette crise, notre utilisation de la technologie pour améliorer la santé publique doit être fondée sur des preuves d'efficacité et sur une compréhension de ce que la technologie peut faire et ce qu'elle ne peut pas faire. Nous insistons sur le fait qu'aucune initiative fondée sur des données au Canada ne sert à discriminer, stigmatiser ou nier les droits fondamentaux des personnes au Canada.

L'ACLC est une organisation à but non lucratif non partisane et indépendante fondée en 1964. Nous nous sommes opposés au pouvoir dans des centaines de tribunaux et assemblées législatives canadiens. Notre objectif pendant cette pandémie est de prévenir les atteintes aux libertés civiles dans la mesure du possible, de demander des comptes aux autorités publiques et de se concentrer sur les personnes les plus vulnérables aux abus de pouvoir.

[1] Comme le dit un directeur du ministère singapourien des Communications et de l'Information : « Vous ne pouvez pas faire de « mégadonnées » pour sortir d'une situation de « non-données ». Période." Jason Bay était le chef de produit pour l'application de recherche de contacts TraceTogether de Singapour. Aucun système de recherche des contacts Bluetooth n'est prêt à remplacer la recherche manuelle des contacts, a-t-il précisé, ajoutant que les notifications automatisées sont déconseillées, même lors du développement d'une application en étroite coordination avec les autorités locales de santé publique, comme ce fut le cas à Singapour. https://blog.gds-gov.tech/automated-contact-tracing-is-not-a-coronavirus-panacea-57fb3ce61d98

Michael Bryant
Directeur exécutif et avocat général

Brenda McPhail, PhD.
Directeur du projet de confidentialité, de technologie et de surveillance