Par: Maître Claude Chamberland, avocat et médiateur accrédité à la Cour des Petites Créances.
Nous vivons dans un monde toujours plus exposé à la captation et à la diffusion de renseignements personnels grâce à des progrès technologiques constants. En Chine, un système de surveillance permanent a été élaboré pour attribuer aux citoyens des «crédits sociaux» sur une échelle de 1 à 1000. Suivant leurs résultats, les individus seront ensuite récompensés ou punis… Sans aller aussi loin, le nombre d’occasions portant atteinte de façon plus ou moins marquée à notre vie privée se multiplie. Caméras de surveillance, voire caméras corporelles pour les policiers, diffusion de renseignements de profilage de nos goûts et activités numériques par les sites internet que nous fréquentons, captation et diffusion de notre voix et de notre image sans notre autorisation au moyen des réseaux sociaux. Et c’est sans parler d’espionnages industriels, militaires et politiques qui font passer le scandale du Watergate pour un travail d’amateur.
Au Québec, dorénavant, lors de la collecte de renseignements personnels d’un individu, celui-ci devra être informé d’avance non seulement des raisons pour lesquelles ces renseignements personnels seront demandés, mais aussi du nom des tiers avec qui ces informations seront partagées le cas échéant. Par ailleurs, lors-qu’une entreprise recherchera certaines caractéristiques d’un individu afin de permettre à des algorithmes de procéder à une caractérisation de cet individu en fonction de certains intérêts ou préférences personnelles, non seulement l’individu devra-t-il être informé de ce fait, mais on devra également mettre à sa disposition un moyen de désactiver cette fonction de caractérisation que la Loi appelle «profilage». Autant dans les organismes publics que privés, la personne ayant la plus haute autorité sera responsable de l’application des mesures prévues à la nouvelle Loi même si une délégation de cette responsabilité (et imputabilité) pourra être faite dans un département spécialisé à cet effet ou en sous-traitance à une entreprise spécialisée dans les questions de protection des renseignements personnels.
Dorénavant, un organisme public devra publier sur son site Internet des règles encadrant sa gouvernance à l’égard des renseignements personnels. Ceci implique de se doter d’une personne responsable de l’accès aux documents, d’une autre personne responsable de la protection des renseignements personnels, d’une personne responsable de la sécurité de l’information, en plus de celle traditionnellement responsable de la gestion documentaire, même si, en théorie, une seule personne pourra cumuler ces fonctions. Au cœur de la réforme se trouvent également ce qu’il faudra maintenant appeler familièrement « Évaluation des Facteurs relatifs à la Vie Privée ». Un organisme public devra dorénavant procéder à une ÉFVP de tout projet de système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels. L’organisme public devra consulter, dès le début du projet, son « Comité sur l’accès à l’information et à la protection des renseignements personnels » et devra également s’assurer que ce projet permet qu’un renseignement personnel informatisé recueilli auprès d’une personne soit communiqué à cette dernière dans un format technologique structuré et couramment utilisé, par exemple, par courriel.
En conclusion, il aurait été intéressant de voir comment ces nouvelles dispositions auraient pu s’appliquer à l’entrée en vigueur du nouveau passeport sanitaire. Comme le P.L. 64 est encore au stade des études, nous devrons patienter un peu pour en observer les conséquences concrètes sur un enjeu d’actualité.