La colère suscitée par l’utilisation par l’Agence de la santé publique du Canada de données anonymes de téléphones cellulaires sur des millions de Canadiens révèle un besoin urgent de mettre à jour les lois sur la protection de la vie privée dans ce pays, selon des analystes.
Mais les experts disent aussi que les Canadiens n’ont probablement aucune idée de la mesure dans laquelle leurs données sont recueillies, stockées et vendues sur une base régulière.
Tracey Lauriault, professeure agrégée à l’Université Carleton, a déclaré que les «courtiers de données», les compagnies d’assurance et de notation du crédit, les banques et les entreprises impliquées dans l’analyse de données et l’IA «font cela tous les jours et n’ont pas le même type d’examen que nous ont en ce qui concerne la fonction publique fédérale.
« Le gouvernement du Canada doit mettre à jour ses lois sur la protection de la vie privée », a déclaré Christopher Parsons, chercheur principal au Citizen Lab de l’Université de Toronto.
« J’espère que s’il y a quelque chose de bon qui ressort de la lutte actuelle autour de l’accès de l’ASPC à ces informations, ce sera de faire avancer des réformes législatives significatives.
Plus tôt cette semaine, des députés des trois partis d’opposition ont appelé à un examen après que l’ASPC a admis avoir utilisé des données anonymisées et agrégées obtenues de tiers pour suivre les habitudes de voyage des Canadiens pendant la pandémie. Il prévoit de continuer à le faire jusqu’en 2023 au moins.
Les députés de l’opposition ont décrit les actions de l’ASPC comme « extrêmement alarmantes » et « une intrusion dans la vie privée des Canadiens ». Le comité d’éthique de la Chambre des communes se réunira jeudi sur la question.
Cependant, les données « ont presque certainement été recueillies légalement et divulguées légalement au gouvernement du Canada, dans un format anonymisé et agrégé », a déclaré Parsons.
Mais il a ajouté : « Les individus regardent et disent : ‘C’est inapproprié’ ou ‘Je ne pense pas que ce soit juste.’ Donc, même si c’est permis, ils n’ont pas l’impression d’avoir leur mot à dire. Ils ne pensent pas qu’ils auraient dit oui.
Il a dit que le problème est que les lois canadiennes sur la protection de la vie privée, la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) – qui couvre le secteur privé – et la Loi sur la protection des renseignements personnels – qui couvre le gouvernement – traitent des informations personnellement identifiables, non dépersonnalisées ou anonymisées. données utilisées par l’ASPC.
« Il y a un écart croissant entre ce que le gouvernement peut faire légalement en termes de collecte et d’utilisation… de renseignements personnels qui ont été anonymisés et agrégés, et ce que pensent les Canadiens », a déclaré Parsons.
Les lois canadiennes sur la protection de la vie privée ne traitent pas, et de nombreux Canadiens ne le savent peut-être pas, de la mesure dans laquelle les informations sur leur emplacement physique et ce qu’ils font en ligne sont vendues et revendues par un large éventail d’entreprises.
Des données de localisation détaillées sont collectées non seulement par les télécoms, mais par des entreprises comme Google et Fitbit, et « un certain nombre d’applications qui n’ont rien à voir avec la mobilité, mais qui collectent ces données dans tous les cas », a déclaré Teresa Scassa, professeure à l’Université d’Ottawa. .
Cela fait partie d’une vaste quantité de renseignements sur tous les Canadiens qui sont recueillis, rendus anonymes et vendus par le secteur privé. Des entreprises comme Google et Facebook collectent des données qu’elles utilisent pour vendre de la publicité ciblée.
Mais il existe également des courtiers en données – des entreprises qui acquièrent et achètent des données à partir de flux de médias sociaux, des sociétés d’évaluation du crédit, des banques et des cartes de fidélité – et les combinent ensuite avec des informations statistiques pour créer des profils, a déclaré Lauriault. À partir de là, ils peuvent exécuter des analyses sur ces données pour les clients.
« Une question pourrait être, combien de personnes ont fait défaut sur leurs prêts au Canada, où vivaient-elles et quelle est la nature des prêts sur lesquels elles ont fait défaut?
Lauriault a déclaré qu’au Canada, il y a peu d’informations disponibles sur ces entreprises et sur ce qu’elles savent réellement des Canadiens. « Nous ne savons presque rien d’eux », y compris d’où ils achètent des données et qui sont leurs clients.
Elle a déclaré: « Nous devons en fait être en mesure d’examiner ce qui se passe au sein de ces entreprises, ce qu’elles achètent et vendent, puis nous devrions élaborer une législation et une certaine surveillance. »
Un projet de rapport de 2018 de la Clinique d’intérêt public et de politique d’Internet du Canada Samuelson-Glushko (CIPPIC) a souligné que les courtiers en données n’utilisent pas ce terme pour se désigner eux-mêmes, en utilisant des termes tels que l’analyse marketing ou un fournisseur de « données en tant que service ». . Il a cité Acxiom, Oracle, Salesforce et Adobe comme exemples de certaines des entreprises du domaine.
Les données anonymisées sont utilisées pour le profilage et le marketing ciblé, et « peuvent également être utilisées pour l’intelligence artificielle, pour développer des outils, des produits ou des services », a déclaré Scassa.
Les grandes entreprises de télécommunications canadiennes se sont également lancées dans le secteur des données. L’ASPC a obtenu certaines de ses données sur l’emplacement des Canadiens du programme Data for Good de Telus, qui fournit des données anonymisées et agrégées aux gouvernements, aux autorités sanitaires et aux chercheurs. En 2020, Bell a acheté la société de données et d’analyse Environics Analytics.
Parsons a déclaré que si les télécommunications rendent les données de localisation disponibles à des fins non techniques, telles que la planification du réseau, « elles doivent être beaucoup plus transparentes sur ce qu’elles font ».
L’ASPC n’a pas non plus expliqué de manière proactive ce qu’elle faisait, a noté Parsons. Il a ajouté que « nous commençons tout juste à comprendre ce qui a été fait au Canada et dans d’autres juridictions » en ce qui concerne la collecte de données à des fins liées à la COVID-19.
Parsons et Scassa ont déclaré que la Loi sur la protection des renseignements personnels avait désespérément besoin d’être mise à jour. Parsons a noté qu’il a été créé dans les années 80 et n’a pas reçu de mises à jour significatives depuis. Un projet de loi visant à mettre à jour la législation sur le secteur privé, la LPRPDE, est mort au feuilleton lorsque les élections fédérales de l’an dernier ont été déclenchées.
Scassa a déclaré que jusqu’à présent, les lois canadiennes sur la protection de la vie privée se concentraient sur les informations concernant des personnes identifiables. « Je pense que nous devons réfléchir à la mesure dans laquelle nous voulons également une sorte de transparence, de surveillance et de gouvernance lorsque nous parlons d’informations personnelles anonymisées », a-t-elle déclaré.