Au cours de l’étude, plusieurs témoins ont fait valoir que la LCISC ne comporte aucune disposition exécutoire visant la protection de la vie privée des Canadiens[306]. Plusieurs témoins sont d’avis que plusieurs mesures de protection de la vie privée devraient être inclues dans la Loi, notamment en ce qui a trait à la fiabilité des renseignements, aux ententes relativement à la communication d’information, aux évaluations des facteurs relatifs à la vie privée (EFVP) ainsi qu’à la conservation des renseignements personnels et à leur suppression[307]. Effectivement, plusieurs témoins ont souligné qu’une communication d’information erronée peut causer de graves injustices et préjudices pour les Canadiens[308].

La LCISC comporte toutefois des principes directeurs qui sont énoncés à son article 4 :

• 4. Les principes ci-après doivent guider la communication d’information au titre de la présente loi :
• a) la communication d’information responsable et efficace protège le Canada et les Canadiens;
• b) le respect des mises en garde et du droit de regard de la source relativement à l’information ainsi communiquée est compatible avec une communication d’information responsable et efficace;
• c) la conclusion d’ententes de communication d’information convient aux institutions fédérales qui communiquent régulièrement entre elles de l’information;
• d) la fourniture de rétroaction sur la façon dont l’information qui est communiquée est utilisée et sur son utilité en matière de protection contre des activités portant atteinte à la sécurité du Canada facilite une communication d’information responsable et efficace;
• e) seuls ceux qui, au sein d’une institution, exercent la compétence ou les attributions de celle-ci à l’égard d’activités portant atteinte à la sécurité du Canada devraient recevoir l’information communiquée en vertu de la présente loi.

Le commissaire Therrien a néanmoins fait valoir que ces principes n’ont rien d’exécutoire :

Il y a un passage dans le préambule de la LCISC où l’on précise, entre autres choses, que la communication d’information devrait se faire de façon responsable. Il s’agit d’un conseil du Parlement aux institutions, et je suis certain que ce conseil formulé dans le préambule mènera à la prise de certaines mesures dans la fonction publique. Cependant, il revient entièrement à la fonction publique de déterminer le type de mesures de contrôle ou de structures de gouvernance qu’elle va mettre en place pour assurer le respect de ce principe de la communication d’information responsable. Nous n'avons pas besoin d'être excessivement prescriptifs, mais je pense qu'il faut des mécanismes de contrôle, de protection et de gouvernance très rigoureux pour veiller à ce que ce pouvoir étendu accordé par le Parlement soit exercé de façon responsable[309].

En ce sens, « l’ABC recommande que la LCISC prescrive des processus efficaces qui garantissent l’application des principes énoncés à l’article 4[310] ».

Lors de sa comparution, M. Davies du ministère de la Sécurité publique et de la Protection civile a effectivement indiqué que chaque institution est « responsable de la manière dont elle met en œuvre la LCISC[311] ». Cependant, celui-ci a ajouté que

Sécurité publique Canada doit les aider à comprendre la Loi. À cette fin, nous avons rédigé des lignes directrices sur la LCISC, mené des séances d'information à l'intention de représentants gouvernementaux et rendu public un cadre d'orientation relatif à la mise en œuvre de la LCISC. Nous continuons d'appuyer les ministères et les organismes, au besoin, et nous cherchons à fournir de meilleures orientations en ce qui concerne notamment les questions soulevées par le commissaire à la protection de la vie privée dans son rapport annuel[312].

D’ailleurs, plusieurs représentants d’institutions fédérales ont expliqué au Comité les diverses mesures de protection de la vie privée mises en place dans leur organisation, telles que des politiques et directives, ainsi que de la formation[313].

À la lumière des témoignages, le Comité recommande :

Recommandation 9

Que le gouvernement du Canada modifie la Loi sur la communication d’information ayant trait à la sécurité du Canada de façon à ce que les principes directeurs énoncés à l’article 4 deviennent des obligations légales.

7.1 La fiabilité de l’information communiquée

Tel que mentionné plus haut, la fiabilité de l’information peut avoir des répercussions graves chez les individus. Selon M. Roach, la LCISC devrait mettre plus d’accent sur la fiabilité de l’information :

Le juge O'Connor dans le rapport de la Commission Arar a souligné qu'il devait y avoir des garanties que la fiabilité de l'information allait être abordée en plus du respect des mises en garde, ce qui est mentionné à l'article 4.

Le problème au sujet de l'article 4 actuel, c'est simplement que les principes sont là, mais ils n'ont pas de mordant, sauf si on exige le respect de protocoles grâce à la réglementation ou par l'intermédiaire de modifications apportées aux lois[314].

De la même manière, M. Elder de l’ABC a soutenu que

la commission Arar a insisté sur l’importance des mesures de précaution visant à contrôler la véracité et la fiabilité de l’information communiquée. L’omission de telles mesures dans la Loi sur la communication d’information ayant trait à la sécurité du Canada montre que l'on a ignoré les leçons tirées de la saga Arar et les recommandations de la commission Arar, ce qui ouvre la porte à la répétition des mêmes erreurs[315].

Effectivement, celui-ci a spécifié que l’inquiétude de l’ABC « émane du cas tragique de Maher Arar. En fonction de renseignements qui se sont avérés inexacts et qui n'ont pas été vérifiés de façon adéquate avant d'être transmis aux gouvernements étrangers, un citoyen canadien a été détenu et torturé de façon horrible. C'est le pire scénario possible, et c'est une très bonne raison de faire très attention aux renseignements que nous communiquons[316] ». Ainsi, « l’ABC recommande l’ajout de mesures de précaution pour assurer la fiabilité de l’information communiquée à la LCISC[317] ».

Pour M. Mia et M. Kapoor, l’adoption du seuil de communication de la nécessité permettrait d’obtenir de l’information plus fiable[318]. M. Kapoor a indiqué que « le critère “ nécessaire ” imposerait une certaine rigueur qui pourrait au moins accroître l'efficacité plus que ne le ferait un critère de pertinence[319] ». M. Mia a ajouté que cela réduirait le risque de commettre des erreurs[320]. De plus, pour M. Mia, les mécanismes de surveillance ont aussi un rôle à jouer pour assurer la fiabilité de l’information communiquée[321].

Considérant les témoignages entendus, le Comité recommande que :

Recommandation 10

Que le gouvernement du Canada modifie la Loi sur la communication d’information ayant trait à la sécurité du Canada afin de créer l’obligation légale d’assurer la fiabilité de l’information communiquée en vertu de la LCISC.

7.2 La conservation, la suppression et la correction de l’information

Tel que mentionné ci-haut, le commissaire Therrien est d’avis que la LCISC devrait comporter des « mécanismes de contrôle, de protection et de gouvernance très rigoureux[322] » pour veiller à ce que le nouveau pouvoir de communication soit effectué de façon responsable. Plus précisément, en ce qui concerne la conservation de l’information, le commissaire est d’avis qu’il « ne devrait pas revenir à l'administration de décider pendant combien de temps elle va conserver l'information[323] » et qu’ « il devrait y avoir des règles ayant force exécutoire à ce sujet[324] ». Le commissaire a expliqué que cela implique que les institutions destinataires figurant à l’annexe 3 de la LCISC devraient être tenues d’éliminer des renseignements :

Si le gouvernement soutient que la communication d’information concernant des citoyens ordinaires (par exemple les voyageurs ou les contribuables) à une ou plusieurs des 17 institutions destinataires en vertu de la LCISC est nécessaire pour entreprendre des analyses permettant de détecter de nouvelles menaces, les organismes chargés de la sécurité nationale devraient être tenus d’éliminer ces renseignements immédiatement après que ces analyses sont terminées et que la grande majorité des personnes ont été disculpées de tout soupçon de participation à des activités terroristes. Cette pratique serait conforme au récent jugement de la Cour fédérale selon lequel la conservation de « données connexes » est illégale dans le cas de personnes qui ne constituent pas une menace pour la sécurité nationale[325].

M. Therrien a également précisé qu’une institution destinataire « doit déterminer si elle a le pouvoir de recueillir et de recevoir les renseignements » et que si elle reçoit de l’information qu’elle n’a pas le pouvoir de recueillir, elle devrait être tenue de supprimer l’information excédentaire[326].

Plusieurs témoins ont également souligné l’importance de règles claires sur la conservation de l’information, notamment en ce qui a trait à la période pendant laquelle l’information doit être conservée jusqu’à ce que l’information doive être éliminée[327]. Afin d’appuyer leurs propos, certains ont également fait référence au récent jugement[328] de la Cour fédérale qui a statué que le SCRS a conservé illégalement des données[329].

M. Israel de la CIPPIC a affirmé que son organisation est « d'avis que la meilleure façon de régler ces lacunes serait d'apporter des modifications de portée globale à la Loi sur la protection des renseignements personnels qui s'appliqueraient à l'échelle du gouvernement et qui imposeraient des exigences générales en matière de conservation des renseignements[330] ». M. Israel a souligné que plusieurs institutions fixent leur propre limite de conservation de l’information ou certaines ont des limites relatives à la conservation dans la loi, « mais une limite de conservation générale intégrée dans la Loi sur la protection des renseignements personnels prévoirait un processus davantage fondé sur des principes et universel[331] ».

M. Mia de l’ACAM a aussi soutenu que lorsque le gouvernement recueille de l’information au cours d’une enquête en lien avec la sécurité nationale, cette information doit être supprimée au moment où le gouvernement établit que la personne enquêtée n’est pas un suspect[332]. Celui-ci a soutenu que cela contribuerait à réduire la taille des bases de données et à éviter les erreurs[333]. Néanmoins, M. Kapoor s’est dit en désaccord avec les propos de M. Mia pour la raison suivante :

Dans la mesure où le service [SCRS] reçoit adéquatement — et je souligne « adéquatement » — l'information concernant une menace pour la sécurité nationale, je ne crois pas que l'organisme ait intérêt à la détruire. Je ne crois pas que ce soit prudent. Il se peut qu'aujourd'hui cette information n'ait pas beaucoup d'importance, mais d'ici cinq ou dix ans, lorsque la situation aura changé et vous faites un suivi constant des données de l'analytique, il vous faudra un environnement bien garni pour vous tenir au courant du contexte dans lequel évoluent les menaces[334].

Or, au moment actuel, au CST, l’information qui est recueillie et qui n’est pas conforme aux critères énoncés dans la Loi sur la défense nationale est détruite[335]. M. Blais, président du CSARS, a indiqué que la récente décision de la cour fédérale a mis en lumière que « l'organisme doit examiner tous les documents régulièrement pour veiller à ne pas conserver les données trop longtemps ou pendant une période qui n'est pas considérée comme strictement nécessaire[336] ». M. Roussel du ministère des Transports a indiqué que son organisation ne recueille pas de renseignements personnels en tant que tels, mais qu’elle utilise l’information d’autres institutions et qu’une politique régit la conservation de l’information[337]. M. Linder a spécifié que « du côté d'IRCC, si nous recevons des renseignements par erreur ou que les renseignements ne sont pas pertinents, selon les lignes directrices en place au sein du ministère, ces renseignements doivent être détruits immédiatement[338] ».

M. Picard d’Affaires mondiales Canada a indiqué qu’à sa connaissance, la norme minimale de conservation est de deux ans pour l'information qui a été recueillie de façon légitime[339] . M. Burt du ministère de la Défense nationale a précisé que les renseignements recueillis par son institution ne portent pas nécessairement sur des particuliers et sont parfois conservés pendant une longue période afin de faire des vérifications[340]. Celui-ci a indiqué qu’« il n'y a pas de processus officiel sur la durée de conservation. Le but est de consigner efficacement les renseignements dans des bases de données pour pouvoir les consulter ultérieurement[341] ». M. Rochon du CST a spécifié que son organisation a « des périodes de conservation pour la majorité des renseignements que nous recueillons. Nous avons des directives ministérielles qui imposent ces périodes de conservation. Nous les suivons et notre commissaire effectue une vérification pour s'assurer que nous les respectons[342] ».

M. Wark a fait valoir que des mécanismes de conservation existent au moment actuel et qu’ils prennent parfois la forme de directives ministérielles[343]. Selon M. Wark, « certaines de ces directives ministérielles visant la conservation de renseignements pourraient être rendues publiques sans pour autant mettre en danger la sécurité nationale; on pourrait ainsi rassurer les Canadiens sur le fait que les renseignements ne sont pas conservés pendant une période abusive et trop longue[344] ».

En ce qui a trait à la correction de l’information et aux problèmes liés à la communication de renseignements inexacts, M. Plouffe, commissaire du CST, a indiqué qu’une des façons de réduire les risques reliés à l’inexactitude de l’information communiquée « serait d'incorporer dans la Loi une disposition selon laquelle les renseignements qui ne sont pas pertinents, ce qui est le seuil actuellement utilisé dans la Loi, devraient être détruits. Ce n'est pas prévu dans la Loi en ce moment. À mon avis, c'est un problème ». M. Plouffe a ajouté qu’il serait possible d’ajouter à l’article 10 de la LCISC qui prévoit la prise de règlement par gouverneur en conseil une quatrième façon d’adopter un règlement : « J'en ajouterais un quatrième, où l'on devrait lire “la destruction des renseignements qui ne sont pas pertinents”. Si vous avez une disposition dans la Loi qui stipule que si les renseignements ne sont pas pertinents, ils doivent être détruits à l'intérieur d'un certain délai, je pense que vous éviteriez le problème que je viens de soulever[345] ». M. Evans de la CCETP a souligné qu’une façon de réduire les risques liés à la communication d’information inexacte serait l’instauration de pratiques exemplaires et de mécanismes de surveillance à l’interne[346]. Finalement, M. Blais, président du CSARS, a spécifié que le SCRS utilise la corroboration pour vérifier l’exactitude des renseignements[347].

En lien avec la surveillance des nouveaux pouvoirs de communication conférés par la LCISC, M. Plouffe, commissaire du CST, et M. Blais, président du CSARS, étaient d’avis qu’un organisme de surveillance ne devrait pas avoir le pouvoir d’obliger les 17 institutions destinataires inscrites à l’annexe 3 de supprimer de l’information[348].

À la lumière des témoignages, le Comité recommande:

Recommandation 11

Que le gouvernement du Canada modifie l’article 10 de la Loi sur la communication d’information ayant trait à la sécurité du Canada afin de conférer au gouverneur en conseil le pouvoir d’adopter des règlements concernant la correction et la suppression de renseignements et que le gouverneur en conseil établisse des règlements concernant la correction, la suppression et la conservation des renseignements.

7.3 Ententes de communication d’information

L’un des principes directeurs inscrits à l’article 4 de la LCISC est le suivant : « la conclusion d’ententes de communication d’information convient aux institutions fédérales qui communiquent régulièrement entre elles de l’information ».

Néanmoins, le commissaire Therrien indique « qu’il faudrait exiger explicitement des ententes de communication d’information écrites[349] ». Ce dernier a ajouté que la LCISC

devrait exiger que les ententes définissent les éléments particuliers des renseignements personnels qui seront communiqués; les fins particulières visées par la communication; les limites concernant les utilisations secondaires et tout transfert ultérieur, et énoncent d’autres mesures devant être prescrites par la réglementation, comme les mesures de protection, les périodes de conservation et les mesures de reddition de comptes précises[350].

Le commissaire Therrien a également spécifié que « le législateur devrait veiller à ce que le CPVP ait explicitement le pouvoir d’examiner les ententes et de les commenter, et prévoir l’examen des ententes existantes à la demande du CPVP, qui en évaluera la conformité. Enfin, il devrait expliquer que l’existence et la nature des ententes de communication d’information entre les ministères ou avec d’autres gouvernements soient rendues publiques[351] ».

M^me Pillay a expliqué qu’en l’absence d’ententes de communication d’information entre l’institution communiquant l’information et l’institution destinataire de l’information relativement aux limites quant à la façon dont l’information peut être utilisée et à qui elle peut être subséquemment communiquée, l’institution communiquant l’information n’a plus aucun contrôle sur cette information[352]. M^me Tribe d’OpenMedia a également souligné que la communication d’information en vertu de la LCISC devrait se faire dans le cadre d’ententes[353]. M^me Austin a indiqué que la conclusion d’ententes écrites constituait « un aspect réellement clé du rapport de la commission Arar[354] ». M. Forcese a également indiqué que la mise en place d’ententes de communication d’information « pour atténuer la transmission de renseignements d'un organisme gouvernemental à l'autre est probablement la meilleure chose que nous puissions faire, lorsqu'on y ajoute des activités de vérification efficaces par la suite pour garantir la conformité et le respect de ces directives[355] ».

M. Blais, président du CSARS, a souligné l’importance des ententes de communication d’information en indiquant que son organisation étudiera ces ententes dans l’optique où celles-ci « révéleront inévitablement l’équilibre exact établi entre les préoccupations concernant la sécurité nationale et celles touchant à la protection des renseignements personnels[356] ».

M. Burt du ministère de la Défense nationale a indiqué que son organisation n’avait pas conclu d’ententes de communication d’information dans le cadre de la LCISC[357]. Néanmoins, d’autres institutions ont indiqué que de nouvelles ententes avaient été conclues depuis l’adoption de la LCISC. Par exemple, M^me Geddes du SCRS a spécifié qu’une nouvelle entente est intervenue entre son organisation et Affaires mondiales Canada et que cette entente tient compte de la LCISC[358]. M. Drake d’Affaires mondiales Canada a également fait valoir que son organisation a conclu une entente de communication avec le SCRS dans le cadre de la LCISC[359].

À la lumière des témoignages entendus, le Comité recommande :

Recommandation 12

Que le gouvernement du Canada modifie la Loi sur la communication d’information ayant trait à la sécurité du Canada de manière à :

a) imposer aux institutions destinataires l’obligation de conclure des ententes de communication d’information avec les institutions communiquant l’information;

b) conférer au commissaire à la protection de la vie privée du Canada le pouvoir d’examiner et de commenter toutes ententes de communication d’information existantes ou futures.

7.4 Évaluations des facteurs relatifs à la vie privée

Au cours de l’étude, certains témoins ont souligné l’importance des EFVP comme mesure de protection de la vie privée.

Dans son mémoire, le commissaire Therrien souligne l’importance des EFVP :

L’évaluation des facteurs relatifs à la vie privée (EFVP) est un autre outil qui aide à déterminer si les initiatives gouvernementales nécessitant l’utilisation de renseignements personnels présentent des risques d’atteinte à la vie privée. Elle permet de décrire et de quantifier ces risques et de proposer des solutions pour les éliminer ou les ramener à un niveau acceptable. À l’échelon fédéral, l’obligation d’effectuer une EFVP est prévue par une politique selon laquelle une activité ou un programme nouveau ou ayant subi des modifications importantes est l’élément déclencheur. Malgré cette obligation, le CPVP a été préoccupé par le fait que si peu d’EFVP avaient été réalisées en lien avec la LCISC[360].

Effectivement, le sondage du CPVP relativement à la mise en œuvre de la LCISC a permis de révéler que parmi les 17 institutions fédérales autorisées à recueillir de l’information, 12 institutions « ont effectué une analyse quelconque pour déterminer s’il était nécessaire d’effectuer une EFVP relativement à leurs processus d’échange d’information[361] ». Deux de ces institutions ont déterminé qu’une EFVP devait être effectuée et celle-ci est présentement en préparation[362].

M. Davies du ministère de la Sécurité publique et de la Protection civile a indiqué que les institutions devaient continuer de se conformer aux exigences du gouvernement, dont la « Directive sur l'évaluation des facteurs relatifs à la vie privée du Conseil du Trésor[363] ». Celui-ci a d’ailleurs souligné que « le ministre de la Sécurité publique a aussi écrit à ses collègues au sujet de l'importance de mener, au besoin, des évaluations des facteurs relatifs à la vie privée[364] ».

Le commissaire Therrien a indiqué qu’il était préoccupé des résultats de son sondage relativement aux EFVP. Bien que celui-ci se dise encouragé de la mesure prise par le ministre, il précise toutefois que « cela ne s'est pas encore traduit par la présentation d'évaluations [EFVP] au Commissariat [CPVP][365] ».

M. Israel de la CIPPIC a suggéré que « d'autres mesures de protection générales pourraient être ajoutées à la Loi sur la protection des renseignements personnels et pourraient fournir des protections supplémentaires et un meilleur cadre quant à la communication d'information licite, sous le régime d'une LCISC modifiée à portée réduite. Ces mesures de protection pourraient comprendre l'évaluation des incidences sur les renseignements personnels et une application plus robuste de la Loi sur la protection des renseignements personnels[366] ».