La surveillance des données par les gouvernements canadiens en réponse à la COVID : la prescription de protection de la vie privée de la CCLA

20 avril 2020

Très honorable Premier ministre du Canada

Premiers ministres honorables du Nunavut, Territoires du Nord-Ouest, Yukon, C.-B., Alberta, Saskatchewan, Manitoba, Ontario, Québec, Nouvelle-Écosse, Nouvelle-Écosse, Nouvelle-Brunswick, Terre-Neuve-et-Labrador

PAR COURRIEL

À propos de la technologie de surveillance des données et de la réponse à la COVID-19 au Canada

Chers Premiers ministres,

Nous vous écrivons au sujet de l’utilisation de la surveillance médiatisée par la technologie comme réponse de santé publique à la pandémie de COVID. Nous ne traitons pas volontairement de l’utilisation générale de la technologie par les Canadiens, ni de la nécessité urgente de moderniser nos lois sur la vie privée en pleine pandémie.

L’objectif actuel de l’Association canadienne des libertés civiles (CCLA), énoncé dans cette lettre, est restreint aux ordres gouvernementaux futurs (par décret en conseil ou instrument exécutif) exigeant ou autorisant l’utilisation de la surveillance par des fonctionnaires publics dans le cadre de sa réponse COVID19, ou aux ordonnances gouvernementales obligeant les résidents d’une juridiction canadienne à utiliser une technologie afin de bénéficier d’une liberté pré-COVID19.

Les gouvernements canadiens ont l’opportunité et la responsabilité d’apprendre des approches d’autres pays. Il est certain qu’il n’y a pas de solution miracle — ni dans le big data, ni dans la prise de décision automatisée sur les risques individuels, ni dans la recherche automatisée des contacts. [1] Cela ne veut pas dire que la technologie ne pourra jamais soutenir les efforts menés par la santé publique. Cependant, la collecte involontaire d’informations par les gouvernements demeure injustifiée aujourd’hui et toute demande de participation volontaire doit être examinée avec soin. Les lois existantes sur la vie privée ne devraient pas non plus être suspendues pour une surveillance publique proposée.

Ce qui préoccupe particulièrement la CCLA, c’est le manque de compétence législative et exécutive du Canada en matière de protection des données. Depuis un certain temps, le Canada est en retard sur d’autres juridictions comme l’Union européenne ou des États américains comme la Californie, en ce qui concerne les lois, la réglementation et la sécurité de la protection des données. Légaliser la surveillance des données en pleine pandémie est donc un pari risqué avec les droits à la vie privée au Canada. Nous exhortons à un examen rigoureux de l’efficacité de toute nouvelle solution technologique pour COVID19. Si elles sont poursuivies, elles doivent respecter les principes constitutionnels de procédure régulière, de liberté, d’égalité et de vie privée.

En conséquence, la CCLA propose que les recommandations suivantes s’appliquent à tout décret exécutif ou loi adopté en réponse à COVID19 :

1. La surveillance des données ne doit être effectuée qu’en dernier recours et uniquement lorsque
   1. il existe un consentement significatif de la part des personnes concernées, même lorsqu’une exception légale au consentement s’applique (comme l’autorité légale et l’avis public);
   2. l’objectif de la mesure entreprise est légitime (comme « aplatir la courbe » ou minimiser autrement la propagation du virus);
   3. La mesure est manifestement nécessaire, fondée sur des preuves de santé publique autorisées, et non sur des conjectures;
   4. la mesure est susceptible d’être efficace (c’est-à-dire dans quelle mesure elle atteindra, ou atteindra probablement, son objectif);
   5. D’autres solutions moins intrusives pour la vie privée que la mesure n’existent pas, et l’intrusion de la mesure dans la vie privée personnelle est proportionnelle au bénéfice pour la santé publique fondée sur des preuves.

Nous allons développer et ajouter à (b)-(e) ci-dessous.

2. Les commissaires à la protection de la vie privée de la juridiction doivent être engagés avant la promulgation et pendant la mise en œuvre de toute mesure de surveillance de la santé publique.
3. La collecte de données doit être fondée sur des preuves de nécessité de santé publique, conformément à un « mandat » de données du médecin-chef ou à une demande d’information : par exemple, une condition préalable à la création ou à l’adoption de solutions technologiques pour les lacunes d’information devrait être une demande écrite formelle du médecin-chef de la juridiction, expliquant précisément pourquoi il est nécessaire d’obtenir ces données, que ces données sont autrement indisponibles, et que le responsable croit que ces données sont effectivement accessibles, ainsi que l’utilisation prévue de ces données par les responsables de la santé publique.
4. La proportionnalité doit être certifiée par un équilibre juridique des moyens et des fins, par le directeur juridique d’une juridiction, qui devrait exposer par écrit comment le test de proportionnalité est rempli pour toute utilisation particulière de la surveillance des données des individus, y compris : l’objectif impérieux énoncé par le mandat de données du médecin-chef, le lien rationnel entre une réponse objective et proportionnée convaincante; et une affirmation supplémentaire que les moyens portent le moins possible atteinte aux droits à la vie privée, en tenant compte des raisons pour lesquelles les mesures alternatives sont inadéquates (c’est-à-dire que si l’information peut être obtenue par la présence d’un règlement ou de policiers, alors il n’y a pas besoin de surveillance des données).
5. Une analyse des préjudices d’impact pour les personnes vulnérables doit accompagner tout décret exécutif, mais particulièrement un qui concerne la surveillance, comme aspect de la proportionnalité, avec la contribution des commissions des droits humains. Pour s’assurer que les plus vulnérables ne soient pas une pensée secondaire, comme condition préalable à tout ordre gouvernemental, le gouvernement devrait divulguer son impact néfaste sur les populations vulnérables et marginalisées, y compris identifier et rendre publiques les mesures qui seront prises pour atténuer cet impact.
6. Protégez les données de santé publique à des fins de santé publique, et à l’écart de la police et des responsables de l’ordre public. Aucune donnée découlant de COVID19 réponses ne devrait être accessible à la police, aux agents de la paix, aux agents du règlement, à la Sécurité frontalière canadienne ou aux agents correctionnels, ni à servir de preuve dans une procédure judiciaire non liée à une infraction à la santé publique. Le stockage des données recueillies par surveillance spécifique aux urgences doit respecter les lois sur la vie privée applicables aux dossiers médicaux, avec des contrôles d’accès stricts et la destruction obligatoire de ces données une fois l’urgence passée.
7. Limitez toute collecte de données à la durée des COVID19 ordonnances d’urgence d’une juridiction donnée.
8. Améliorer la transparence et la reddition de comptes en exigeant que les principaux responsables de la santé publique et les principaux responsables juridiques comparuent devant un comité législatif (en ligne ou autrement) comme témoins pour interrogatoire par les membres législatifs avant la mise en œuvre des mesures de surveillance.
9. Installer une supervision indépendante du processus et de sa mise en œuvre. Par exemple, une juridiction pourrait habiliter ses commissaires à la protection de la vie privée, ou nommer un médiateur indépendant pour la surveillance, responsable devant l’assemblée législative de la juridiction, pour superviser le processus mentionné ci-dessus, recevoir les plaintes publiques et fournir des recours en cas de violation des droits, rendre régulièrement compte au public de leurs observations ainsi que de la nature et du nombre de plaintes reçues, et éventuellement en faire rapport à l’assemblée élue dans un trimestre annuel suivant l’autorisation exécutive ou l’ordre est promulgué.

Dans cette crise, notre utilisation de la technologie pour améliorer la santé publique doit reposer sur des preuves d’efficacité et une compréhension de ce que la technologie peut faire, et de ce qu’elle ne peut pas. Nous insistons pour qu’aucune initiative fondée sur les données au Canada ne vise à discriminer, stigmatiser ou nier des droits fondamentaux aux populations canadiennes.

CCLA est un organisme indépendant et non partisan, fondé en 1964. Nous avons tenu tête au pouvoir dans des centaines de tribunaux et législatures canadiennes. Notre objectif durant cette pandémie est de prévenir les atteintes aux libertés civiles lorsque cela est possible, de tenir les autorités publiques responsables et de cibler les personnes les plus vulnérables à l’abus de pouvoir.

[1] Comme le dit un directeur au ministère des Communications et de l’Information de Singapour : « On ne peut pas se sortir d’une situation sans données par le « big data ». Point. » Jason Bay était le chef de produit de l’application de traçage des contacts TraceTogether de Singapour. Aucun système de traçage des contacts Bluetooth n’est prêt à remplacer la recherche manuelle, a-t-il précisé, ajoutant que les notifications automatisées sont déconseillées, même lors du développement d’une application en étroite coordination avec les autorités locales de santé publique, comme ce fut le cas à Singapour. https://blog.gds-gov.tech/automated-contact-tracing-is-not-a-coronavirus-panacea-57fb3ce61d98

Michael Bryant
, directeur exécutif et conseiller juridique général

Brenda McPhail, PhD.
Directeur du projet sur la vie privée, la technologie et la surveillance