:
Monsieur le Président, il y a 34 ans, la Cour suprême affirmait que « la notion de vie privée est au cœur de celle de la liberté dans un État moderne ». Pour reprendre les mots du juge Gérard La Forest, de la Cour suprême du Canada, en 1988, la notion de vie privée est essentielle au bien-être de la personne et « elle mériterait une protection constitutionnelle ». Tous les Canadiens ont le droit à la protection de leur vie privée.
En tant que parlementaires, nous avons le devoir de protéger de notre mieux le droit à la vie privée des Canadiens, surtout face aux menaces qui pèsent sur lui de nos jours.
Le projet de loi , la nouvelle mouture du projet de loi , a pour objectif de mettre à jour la législation fédérale sur la protection des renseignements personnels dans le secteur privé et la Loi sur la protection des renseignements personnels et les documents électroniques, et de créer un nouveau tribunal, ainsi que de nouveaux règlements en matière de systèmes d'intelligence artificielle. Il s'agit d'une refonte du projet de loi C‑11 qui compte trois composantes: la Loi sur la protection de la vie privée des consommateurs, la Loi sur le Tribunal de la protection des renseignements personnels et des données, et la Loi sur l’intelligence artificielle et les données.
Le projet de loi s'applique aux droits privés des Canadiens. Il ne s'applique pas au SCRS, à la GRC ou au CST. Les données détenues par ces organismes et par d'autres entités gouvernementales sont régies par la Loi sur la protection des renseignements personnels. La législation sur la protection des renseignements personnels des Canadiens n'a pas été revue depuis 22 ans, alors que l'Europe a mis à jour son Règlement général sur la protection des données en 2016.
La dernière fois que cette loi a été mise à jour, il y a 22 ans, le député de n'avait que 21 ans et la société était en pleine transformation. Le monde venait tout juste de laisser derrière lui la peur du bogue de l'an 2000. On se demandait ce qui allait arriver aux ordinateurs au moment de passer de 1999 à 2000. Dans certaines régions, on se demandait si le courant allait être coupé ou ce qui allait se passer.
Les gens écoutaient de la musique sur des baladeurs lecteurs de CD. Un peu plus d'un an plus tard, Apple allait lancer sur le marché le fruit d'une technologie révolutionnaire, le iPod. Moins de 30 % de la population canadienne possédait un téléphone cellulaire. Les téléphones cellulaires les plus répandus étaient le Motorola Razr, téléphone à clapet, et le téléphone Nokia brick, qui permettait d'envoyer des messages texte à l'aide de leur pavé numérique et ne permettait pratiquement pas d'aller sur le Web. L'application la plus sophistiquée portait le nom de Snake. Une jeune entreprise canadienne de télécommunications du nom de BlackBerry venait de voir le jour.
Cela fait donc bien longtemps que nous n'avons pas mis nos lois à jour. Aujourd'hui, 22 ans plus tard, les méthodes de collecte de données sont de plus en plus sophistiquées et la surveillance est devenue la norme plutôt que l'exception.
On a annoncé il y a quelques semaines que la montre Apple pouvait indiquer la date d'ovulation d'une femme. Ce qui est inquiétant — et nous allons beaucoup parler des données au service du bien et des données au service du mal —, c'est que cette technologie peut dire si une femme saute un cycle, et peut ensuite déterminer si elle a fait une fausse couche ou si elle s'est fait avorter. C'est très préoccupant.
Nos appareils Fitbits, l'historique de notre navigation sur le Web et les téléphones Apple peuvent nous dire combien de pas nous avons faits en une journée. Parfois, lorsque nous sommes au Parlement, le nombre est d'environ 10 et si nous faisons du porte-à-porte, il s'élève à environ 25 000. Cela peu sembler anodin, mais ces informations indiquent aux autorités réglementaires où nous avons été, où nous nous rendons et où nous vivons.
La technologie de la reconnaissance faciale permet d'identifier une personne, tout comme les empreintes digitales. C'est parfois une bonne chose. Les organismes d'application de la loi nous disent que cette technologie peut servir dans les cas de traite des personnes. C'est parfois une mauvaise chose, comme lorsque l'on identifie des gens sur la rue, et que l'on connaît ainsi leur nom, leurs données et leurs allées et venues. Pensons au film Rapport minoritaire, où on est identifié partout où l'on va, peu importe où l'on se dirige ou d'où l'on arrive. Une telle chose pourrait se produire avec la technologie de reconnaissance faciale.
Google et Amazon nous écoutent et collectent nos données dans nos salles de bain, nos salons, nos cuisines et nos voitures. Combien de fois avons-nous été interrompus en pleine conversation par Siri qui nous demande: « Pardon? Je n'ai pas compris. » Siri est toujours à l'écoute. Amazon est toujours à l'écoute. En parlant de voitures, ce sont de véritables téléphones cellulaires sur roues. Je sais que nous sommes nombreux à louer des voitures. Lorsque nous connectons notre téléphone à une voiture de location, nous voyons souvent cinq ou six autres téléphones dans l'historique. Cette voiture a téléchargé toutes les données des téléphones. Bien souvent, cela signifie que cette voiture de location détient nos informations. C'est très inquiétant.
Il existe de nombreux exemples de problèmes que cette situation a causés aux Canadiens ces dernières années. Il y a deux étés, Tim Hortons a commis une atteinte à la protection des données. Chaque fois que quelqu'un déroulait le rebord, l'entreprise était informée de l'endroit où cette personne allait, si elle rentrait chez elle ou où elle logeait. Tim Hortons a recueilli toutes ces données. C'était un grave problème.
Au sein du comité de l'éthique, nous avons étudié la technologie de reconnaissance faciale. Il y a une société appelée Clearview AI qui a pris deux milliards d'images sur Internet, dont beaucoup des nôtres, et les a simplement données à la police. Il n'y a pas eu de consentement. Les informations se sont simplement retrouvées entre les mains des forces de l'ordre.
Il y a aussi « Les données au service du bien commun » de Telus. Pendant la pandémie, Telus a recueilli nos données. Elle savait où nous allions, si nous allions à l'épicerie ou à la pharmacie, ou si nous restions à la maison. Elle a remis ces données au gouvernement. Cela s'appelait « Les données au service du bien commun ». Il était question de « dépersonnalisation ». J'expliquerai plus tard pourquoi cela a nui à tout le monde.
Enfin, il y a la divulgation de données personnelles pour dénoncer des gens. GiveSendGo est un site Web important à ce chapitre. Il a transmis à une entreprise étatsunienne les renseignements des gens qui avaient contribué à différentes causes ou activités. À un moment donné, Google a répertorié tous ces donateurs sur un site Web en indiquant exactement où ils habitaient. Les renseignements de toutes les personnes, notamment le moment où elles avaient fait un don à une entreprise, étaient divulgués. C'était terrible.
En plus de faire totalement disparaître la protection des renseignements personnels, la surveillance a aussi provoqué une crise de santé mentale chez les enfants et les jeunes. Je suis heureux d'entendre le ministre parler des enfants et des jeunes parce que les données ont certainement eu une incidence sur eux, et elles continuent d'en avoir une.
Le gouvernement fédéral n'a jamais pris au sérieux la protection des renseignements personnels ni élaboré de cadre juridique pour protéger les droits des Canadiens à l'ère numérique. Le projet de loi normalise la surveillance et il ne traite pas la protection des renseignements personnels comme un droit fondamental de la personne ni même comme un droit à la protection des consommateurs. Soyons parfaitement clairs, dans le projet de loi , il n'est indiqué nulle part que la protection des renseignements personnels est un droit fondamental de la personne. Or, ce principe devrait être au cœur de la nouvelle mesure législative visant à mettre à jour les lois sur la protection des renseignements personnels, voire être la prémisse du projet de loi, et ce message devrait être martelé de la préface à la fin du projet de loi . Malheureusement, ce principe n'est pas mentionné. Comme il n'est pas inscrit dans la mesure, il n'a aucune valeur.
Le projet de loi ne s'appuie pas d'emblée sur cette notion. Or, elle devrait être le pilier sur lequel repose la conception et l'élaboration du projet de loi. Seul un projet de loi solide assurera la protection du droit à la vie privée des Canadiens. À cause de l'omission de cette notion, le projet de loi est très faible, ce qui permet plus facilement aux acteurs de l'industrie d'utiliser les données personnelles des gens de manière irresponsable. C'est paradoxal, car le Canada est signataire de la Déclaration universelle des droits de l'homme des Nations unies et du Pacte international relatif aux droits civils et politiques. Voilà où commence et où se termine le projet de loi: par son échec à traiter correctement de la vie privée des Canadiens.
Les conservateurs croient qu'il faut protéger adéquatement les renseignements personnels et les données numériques des Canadiens. Cette protection doit présenter un équilibre qui garantit la sûreté des données numériques des Canadiens, ainsi que la protection adéquate de leurs renseignements afin que ceux-ci ne soient pas utilisés sans leur consentement, mais sans être trop lourde pour ne pas nuire aux entreprises du secteur privé. Il faut trouver l'équilibre.
Soyons clairs, il faut une nouvelle législation en matière de protection des renseignements personnels au Canada. En fait, cela est essentiel pour les Canadiens dans la nouvelle ère où le numérique prendra de plus en plus de place, mais le projet de loi doit être revu et amendé de fond en comble si nous voulons qu'il protège adéquatement les renseignements personnels, car cette protection devrait être un droit fondamental des Canadiens. Le projet de loi doit arriver à établir un équilibre entre le droit fondamental à la vie privée et à la protection des renseignements personnels et la capacité des entreprises à recueillir et utiliser des données de façon responsable.
Le projet de loi a également besoin d'être plus nuancé et certaines parties sont beaucoup trop vagues. La définition de la tyrannie est l'élimination délibérée des nuances alors, si nous voulons créer plus d'égalité et d'équité quant aux droits en matière de vie privée et nous assurer que les entreprises et l'intelligence artificielle utilisent les données à bon escient, il faut plus de nuance, plus de précision et plus d'explications, pas moins. Mon grand-père avait un dicton que j'aimais beaucoup; il disait: « Si tu fais quelque chose, assure-toi de bien le faire, sinon ne le fais pas. »
Parce qu'il ne reconnaît pas que la protection de la vie privée est un droit fondamental, et pour d'autres raisons, le projet de loi a besoin d'être entièrement revu. D'abord, il reprend l'approche défaillante du modèle d'avis et de consentement comme cadre juridique pour la protection de la vie privée. Le cadre juridique du projet de loi demeure axé sur la nécessité d'obtenir le consentement de la personne avant de recueillir, d'utiliser ou de divulguer ses renseignements personnels, sauf dans le cas des exceptions au consentement prévues. Ces exceptions sont regroupées sous ce qu'on appelle l'« intérêt légitime ».
Ce qui fait peur concernant l'intérêt légitime, c'est que les entreprises elles-mêmes vont déterminer de quoi il s'agit et ce qui fera l'objet d'une exception. À ce sujet, l'éminente experte canadienne en matière de protection de la vie privée et de gouvernance des données, Teresa Scassa, estime que, à elle seule, cette disposition du projet de loi « banalise la valeur humaine et sociale du droit à la vie privée ». La disposition concernant l'intérêt légitime permettrait à Facebook, par exemple, de créer un profil fantôme pour n'importe qui à partir de renseignements recueillis au moyen de la liste de contacts de ses abonnés, même pour des personnes qui n'ont pas accès à Facebook et qui n'ont pas de compte Facebook, et ce, sans leur demander leur consentement.
Mes collègues ont-ils déjà vu la section « Vous connaissez peut-être » sur Facebook? Parfois, on y suggère des personnes dont on n'a aucune idée de l'endroit où l'on pourrait bien les avoir rencontrées ou qui n'ont même pas de compte Facebook. La raison, c'est que Facebook crée des profils et des profils fantômes à partir de la liste de contacts d'autres abonnés. Une certaine fonction de Facebook suggère à la personne qui se crée un compte de donner accès à sa liste de contacts, présentant cela comme une fonction formidable. Les gens donnent alors à Facebook accès aux coordonnées de toutes leurs connaissances: leur adresse courriel, leur adresse résidentielle et parfois même leur numéro de téléphone privé. Les États‑Unis ont découvert que des renseignements se retrouvaient mystérieusement sur Facebook. Voici quelques exemples. Un avocat s'est vu recommander à titre de personne qu'il connaissait peut-être un homme qui était avocat de la défense dans une affaire à laquelle il travaillait également. Or, la seule communication qu'il avait eue avec cet homme était par la voie de son compte courriel professionnel. Dans un autre cas, un homme qui avait secrètement fait un don de sperme à un couple s'est vu recommander leur enfant à titre de personne qu'il connaissait peut-être par Facebook, et ce, même s'il n'était pas ami avec les parents, qui étaient d'anciennes connaissances.
La notion d'intérêt légitime doit être plus nuancée. Elle doit être mieux définie, sinon elle est inutile. Elle laisse trop de place à l'interprétation. En d'autres mots, elle permet à une chose d'être quelque chose à moins qu'elle ne le soit pas. C'est beaucoup trop large.
De plus, il est prévu que la demande de consentement soit rédigée « dans un langage clair et raisonnablement compréhensible pour un individu visé par les activités de l’organisation ». Il est difficile de déterminer ce qu'est l'intérêt légitime au sens du projet de loi , ce qui me ramène aux questions de vie privée pouvant faire l'objet d'une plainte à la Commission canadienne des droits de la personne.
Comparons cette partie à la loi sur la protection de la vie privée de l'Union européenne, le Règlement général sur la protection des données, qui est, comme le ministre l'a dit, la référence en la matière. Dans le projet de loi, l'exemption au titre de l'intérêt légitime est applicable dans les cas où l'organisation a un intérêt légitime qui l'emporte sur tout effet négatif pour une personne. Selon le règlement de l'Union européenne, l'accent est mis sur l'intérêt ou la liberté fondamentale de la personne. Si les effets négatifs sur la personne peuvent inclure l'atteinte à la sécurité des données, qui est bouleversante pour les personnes touchées, et si des tribunaux ont jugé que le stress et les difficultés habituellement causés par ce type d'atteinte ne représentent pas des préjudices indemnisables parce qu'ils font partie de la vie courante, ce qui est probablement le cas, du moins pour les deux dernières années, l'exemption au titre de l'intérêt légitime sera beaucoup trop large.
Toutefois, le projet de loi élargirait considérablement la portée d'une exception au consentement censée être très limitée, selon les lois sur la protection de la vie privée de l'Union européenne, afin d'autoriser l'utilisation de données sans tenir compte du consentement. Pourquoi? C'est parce que, en ce qui a trait à l'utilisation de données personnelles, le projet de loi C‑27 met la protection de la vie privée sur un pied d'égalité avec les intérêts commerciaux, ce qui ne serait pas possible si le projet de loi reconnaissait expressément la protection de la vie privée en tant que droit fondamental des Canadiens.
Par ailleurs, il faut se méfier du consentement. Vu le caractère obligatoire du consentement, il faudrait faciliter le processus qui l'entoure. Lorsqu'on demande aux utilisateurs d'approuver la formule de consentement pour un iPhone, la lisent‑ils au complet? Qui l'a déjà fait? Est-ce que quelqu'un a déjà lu les 38 pages de la formule de consentement au moment de s'inscrire à Google ou chaque fois qu'il ouvre une session?
Le consentement n'est pas un concept facile à définir. Ce n'est pas quelque chose de simple, et le projet de loi ne simplifierait certes pas les choses. Nous devons nous méfier du consentement et nous assurer qu'il est donné de façon consensuelle, tant dans son libellé que dans l'esprit où il est offert, et que nous savons tous exactement ce que nous nous engageons à faire, à fournir et à recevoir.
Il y a un autre concept que j'aimerais expliquer, celui qui se cache derrière le terme « dépersonnaliser ». Le projet de loi parle beaucoup de la dépersonnalisation, dont la définition est: « modifier des renseignements personnels afin de réduire le risque, sans pour autant l’éliminer, qu’un individu puisse être identifié directement ». L'expression « sans pour autant l'éliminer » signifie qu'une personne pourrait perdre toutes ses informations, mais que le risque qu'elle soit identifiée subsisterait.
Les députés se souviendront de l'exemple du programme Les données au service du bien commun de TELUS. TELUS a fourni des données au gouvernement pendant la pandémie, même si le risque que des personnes soient identifiées subsistait. Ce terme devrait être supprimé et nous devrions plutôt utiliser le mot « anonymiser », qui figure également dans le projet de loi, et qui correspond à ce que fait le RGPD, le Règlement général sur la protection des données. La définition de ce mot dans la loi est la suivante: « modifier définitivement et irréversiblement, conformément aux meilleures pratiques généralement reconnues, des renseignements personnels afin qu’ils ne permettent pas d’identifier un individu, directement ou indirectement, par quelque moyen que ce soit ».
Je demande aux députés ce qu'ils préfèrent. Aimeraient-ils être identifiés à nouveau à partir de leurs données dépersonnalisées, puisque cela est possible, ou préfèrent-ils qu'on ne puisse pas du tout les identifier par quelque moyen que ce soit?
Comme autre défaut majeur du projet de loi , on retrouve la création d'un tribunal administratif au lieu de mieux outiller le commissaire à la protection de la vie privée. La création d'un tribunal constitue une perte de temps, et le commissaire à la protection de la vie privée devrait être autorisé à imposer des amendes. Il faudrait accorder plus de pouvoirs au commissaire à la protection de la vie privée et mieux l'outiller pour faire respecter la loi. La manière de s'y prendre toutefois n'est pas claire puisque l'Union européenne, le Royaume-Uni, la Nouvelle-Zélande et l'Australie n'ont pas de tribunal chargé d'imposer les amendes qu'ils infligent en cas d'atteintes à la vie privée. En outre, cela obligerait sans doute les personnes qui ont subi une atteinte à leur vie privée à attendre des années pour que leur recours aboutisse.
Soyons clairs: d'abord, le Commissariat à la protection de la vie privée rendrait une décision. Puis, le gouvernement a indiqué qu'il y aurait un tribunal, qui pourrait alors infirmer la décision du commissaire à la protection de la vie privée. Ensuite, il y aurait la Cour suprême, qui serait autorisée à se prononcer sur la décision du tribunal. Nous aurions donc une décision, puis une autre décision et une troisième décision, avec des répliques possibles chaque fois.
Voyons voir combien de temps tout cela prendrait. Combien de temps les députés croient-ils que cela prendrait? Est-ce que cela prendrait 48 heures ou six mois? À l'heure actuelle, le délai moyen est d'un an dans le cas du Commissariat à la protection de la vie privée, et nous pourrions ajouter une autre année pour le tribunal, et encore une autre pour les appels.
Je me demande: est-il juste qu'un Canadien ordinaire dont les données ont été violées doive affronter Facebook et Amazon avec ses ressources limitées et qu'il passe trois ans devant les tribunaux? Est-ce que cela protège le droit fondamental à la vie privée? Ne s'agit-il pas simplement d'ajouter une autre couche de bureaucratie gouvernementale dont nous n'avons certainement pas besoin?
Le texte du projet de loi étant muet sur la question des droits, il risque de désavantager les simples citoyens au Canada. Le Commissariat à la protection de la vie privée et le tribunal mettent dans la balance l'intérêt des particuliers en matière de vie privée et les intérêts commerciaux des entreprises. Encore une fois, à quoi cela nous ramène-t-il? La protection vie privée ne figure pas parmi les droits fondamentaux des Canadiens.
Enfin, la partie du projet de loi qui porte sur l'intelligence artificielle est une refonte complète. Elle doit faire l'objet d'un projet de loi distinct.
Je tiens à féliciter le d'avoir présenté ce projet de loi. Il tient à être le premier au pays à proposer des dispositions législatives sur l'intelligence artificielle, mais en toute honnêteté, les consultations n'ont commencé qu'en juin. Nous avons rencontré de nombreuses personnes qui n'ont certainement pas eu leur mot à dire dans l'élaboration de ce projet de loi, et bien que celui-ci cherche à encadrer l'intelligence artificielle, un grand nombre d'aspects font défaut.
Tout d'abord, le projet de loi ne prévoit aucun organisme de réglementation expert indépendant pour encadrer les systèmes décisionnels automatisés et ne prévoit même pas l'ébauche d'un cadre pour s'assurer que l'intelligence artificielle soit encadrée et contrôlée de manière à répondre aux besoins changeants. Au lieu de cela, le projet de loi prévoit que les règlements seront définis à une date ultérieure et que les décisions seront prises par le ou par un fonctionnaire désigné.
Encore une fois, le projet de loi prévoit la création d'un nouveau tribunal et confie la prise de décision au gouvernement, alors que cela ne devrait pas être le cas. Ainsi, le ou le responsable désigné d'Innovation, Sciences et Développement économique Canada seraient chargés de la mise en œuvre et de la prise de décision. Cela reviendrait à permettre la prise de décisions politiques en matière de vie privée. Sommes-nous tous parfaitement disposés à donner ce pouvoir décisionnel au gouvernement plutôt qu'à un tribunal?
Cette partie du projet de loi confiera tout cela au gouvernement, au ou à une personne désignée. Cela me fait penser à une fameuse phrase: « Je suis du gouvernement et je suis là pour vous aider. »
Par ailleurs, cette partie du projet de loi ne fait aucune mention de la technologie de reconnaissance faciale, malgré les rapports du comité de l'éthique. Je vous ramène aux exemples de reconnaissance faciale mentionnés précédemment. De toute évidence, cela nécessite une étude plus approfondie.
Certaines dispositions du projet de loi sont bonnes et méritent assurément notre appui, notamment la protection de la vie privée de nos enfants. En tant que père, je sais que c'est absolument primordial dans le monde actuel, où nos enfants ont accès à toutes sortes d'applications sur leur téléphone cellulaire, leur iPad ou leur appareil Amazon Fire.
Nos enfants sont sous écoute et sous surveillance. Il ne fait aucun doute que les entreprises exploitent nos enfants. C'est un enjeu que nous devons absolument examiner.
Par contre, comme je l'ai souligné, les dispositions pour réglementer l'intelligence artificielle doivent être revues en profondeur. Le texte du projet de loi n'indique pas clairement que la Loi sur la protection de la vie privée des consommateurs vise à régir la protection des renseignements personnels de manière à trouver le juste équilibre entre le droit à la vie privée et le besoin des organisations de collecter, d'utiliser ou de divulguer ces renseignements.
Nous devrions aller au-delà de la loi de l'Union européenne en matière de protection de la vie privée, et nous efforcer de faire du Canada un chef de file mondial lorsqu'il s'agit d'assurer un équilibre pour qu'on protège la vie privée et que les entreprises et les industries fassent bon usage des données. Ce faisant, on attirerait les investisseurs et on encouragerait le secteur technologique tout en protégeant le droit fondamental des Canadiens à la vie privée.
Le Canada doit mettre en place des mesures de protection de la vie privée qui renforce la confiance à l'égard de l'économie numérique afin que les Canadiens puissent faire bon usage des nouvelles technologies tout en étant protégés contre les mauvais usages comme l'utilisation à des fins de profilage, de surveillance et de discrimination. Le a dit qu'il veut saisir cette occasion et qu'il faut exercer un leadership dans un monde en constante évolution, mais surtout, il a dit que favoriser la confiance est plus important que jamais.
Si nous ne faisons pas les choses comme il faut, si nous ne faisons pas du droit à la vie privée un droit fondamental de la personne, si ce droit n'est pas expressément établi dans le document, et si on n'en fait pas un élément central du document, on constatera deux choses: la vie privée des Canadiens ne sera pas considérée comme prioritaire — on peut voir que cet élément n'est pas mis en évidence dans le projet de loi — et nous serons loin de faire preuve de leadership dans un monde en constante évolution.
Comme je l'ai dit au début de mon discours, les technologies ont beaucoup évolué en 22 ans. De nos jours, elles évoluent encore davantage. Dans les 22 prochaines années, les technologies seront non pas moins présentes dans nos vies, mais encore plus. On pourra faire bon usage de l'intelligence artificielle.
L'un des intervenants que nous avons rencontrés a parlé de l'utilisation de l'intelligence artificielle au service du bien commun. Il a parlé de l'intégration de l'intelligence artificielle dans le système de passeports du gouvernement. Cela pourrait vouloir dire qu'il serait possible d'obtenir des passeports dans un délai de 48 heures. Les députés peuvent-ils l'imaginer? Peuvent-ils imaginer intégrer de la technologie au service du bien commun dans un système qui permettrait aux Canadiens d'obtenir les choses dont ils ont besoin plus souvent?
Nous aimons la technologie. Nous voulons l'adopter. Nous tenons simplement à nous assurer d'abord que la vie privée est protégée. C'est pourquoi nous nous efforçons d'élaborer des cadres de travail qui établissent un juste équilibre entre la protection du droit fondamental à la vie privée et l'économie, la démocratie et la primauté du droit. Le projet de loi n'atteint pas encore cet objectif.
Employons-nous à revenir avec un projet de loi qui va dans ce sens.
:
Monsieur le Président, j'aimerais commencer par saluer mes concitoyens de Trois‑Rivières, que je retrouverai la semaine prochaine dans ma circonscription, et ce, pour une semaine complète.
Quand je discute sur la rue avec les citoyens, la vie privée est un sujet dont on me parle beaucoup. Ils savent que je siège au Comité permanent de l'accès à l'information, de la protection des renseignements personnels et de l'éthique, et on m'en parle beaucoup. On dit que c'est important, qu'on doit faire le mieux possible pour être à la hauteur. Aujourd'hui, nous avons justement l'occasion de débattre de ce sujet.
Une société, c'est une construction humaine. C'est le reflet de la manière que nous avons d'organiser notre vie en commun. C'est le reflet de notre vision du monde, du rôle de citoyen, du rôle de l'État. Dans une société démocratique où les élus émanent du peuple pour le représenter, nos lois doivent être le reflet de nos désirs et des désirs de nos concitoyens, et de la manière qu'ils ont de concrétiser leurs intérêts. En d'autres mots, une société et ses lois, ce sont des constructions éminemment culturelles.
Quand on compare les lois adoptées à la Chambre des communes avec celles qui sont adoptées à l'Assemblée nationale du Québec, la différence est frappante. À Ottawa, on met l'accent sur le mécanisme d'application, alors que, à Québec, on met l'accent sur l'intention du législateur. Ottawa veut arbitrer, alors que Québec veut prescrire et orienter.
En matière de protection des renseignements personnels, c'est encore plus vrai, à l'heure du numérique, là où la différence est frappante.
À un bout du spectre de l'arc-en-ciel, si on veut le dire ainsi, il y a les États‑Unis. Aux États‑Unis, les lois visent essentiellement à arbitrer les conflits plutôt qu'à façonner le fonctionnement de l'économie numérique. Les lois reposent sur la bonne foi des acteurs, sur des codes volontaires. On peut savoir que cela a ses limites. Ultimement, si quelqu'un est lésé, il peut obtenir une réparation en invoquant la common law.
À l'autre bout, il y a l'Union européenne. La législation y prescrit des obligations claires. Plus connu sous l'acronyme RGPD, il s'agit du Règlement général sur la protection des données.
Entre les deux, il y a le Canada, créature hybride dont les intentions en matière de protection des renseignements personnels oscillent entre les pôles européen et américain. Le débat peut sembler théorique, mais il y a des implications pratiques qui nous amènent au projet de loi .
En matière de protection des renseignements personnels, le droit européen est actuellement le plus prescriptif au monde. Il s'appuie sur un principe clair: nos renseignements personnels nous appartiennent en propre. Nul ne peut en jouir ou en disposer sans notre consentement libre, éclairé et explicite.
Par la suite, une fois que le gouvernement a énoncé le principe ou l'objectif, il prévoit une mécanique permettant de l'atteindre. Cette mécanique, c'est le RGPD. Le RGPD est en voie de devenir la norme à suivre en matière de protection des renseignements personnels, parce qu'il est la norme juridique dont les objectifs sont les plus clairs et dont l'application est la plus contraignante. Dit simplement, le RGPD protège bien les renseignements personnels. C'est pour cette raison que c'est la norme dont on doit s'inspirer, mais aussi parce que l'Union européenne projette son pouvoir normatif au-delà de ses frontières.
Afin de protéger les renseignements personnels des citoyens européens, l'Union européenne interdira sous peu aux entreprises européennes de communiquer ces renseignements à des entreprises à l'étranger qui n'offrent pas une protection comparable. Pour le moment, cela ne nous affecte pas encore, mais l'Union européenne procédera l'an prochain à une revue des lois canadiennes pour voir si elles offrent une protection suffisante.
La loi actuelle sur la protection des renseignements personnels électroniques date de l'an 2000. C'était il y a 22 ans. Nous étions alors à l'ère des brontosaures, à l'ère prénumérique, à l'ère dont on ne se souvient à peu près plus maintenant. Aussi, il est loin d'être clair que le Canada passe le test de protection comparable qu'exige le RGPD.
Les échanges de renseignements entre les entreprises canadiennes et leurs partenaires européens pourraient ainsi devenir plus compliqués. Cela est particulièrement vrai dans les domaines qui traitent des renseignements plus sensibles, comme le secteur financier. Il est ainsi absolument nécessaire de réécrire la Loi sur la protection des renseignements personnels et les documents électroniques, qui est complètement dépassée. Elle est dépassée par l'évolution technologique, où, dans l'économie des données, nous sommes à la fois le consommateur et le produit. Elle est dépassée par l'environnement juridique, où le Canada fait figure de dinosaure comparativement à l'Europe, comme je le disais plus tôt.
Cependant, mes collègues auront compris que le Bloc québécois est en faveur du principe du projet de loi C‑27. Malgré tout, j'aimerais faire une observation générale sur le projet de loi C‑27. Pour une raison qui m'échappe, le gouvernement a regroupé dans un même projet de loi deux lois qui ont des objets complètement différents. Le projet de loi édicte la loi sur la protection de la vie privée des consommateurs et il édicte aussi la loi sur l'intelligence artificielle et les données. Même s'il y a un lien logique entre ces deux lois, elles pourraient se suffire à elles-mêmes. Leur objet est différent, leur logique est différente et elles devraient être étudiées séparément.
J'ai une suggestion à faire au gouvernement, soit de scinder le projet de loi C‑27 en deux projets de loi. On pourrait d'abord créer ce que j'appellerais le projet de loi C‑27 traditionnel, qui regrouperait les renseignements personnels et le tribunal. Ensuite, ce que j'appellerais le projet de loi C‑27 B concernerait l'intelligence artificielle. Comme je le disais, il y a des raisons logiques à cela, mais il y a aussi des raisons pratiques. Disons-le franchement, la loi sur l'intelligence artificielle qu'on nous propose est davantage une ébauche qu'une loi. Le gouvernement avait une idée claire sur la mécanique d'application, mais, visiblement, il ne s'était pas encore fait une tête sur les objectifs à atteindre et les obligations à codifier.
La mécanique est là, l'encadrement bureaucratique est là, mais les obligations à suivre n'y sont pas. Mis à part quelques généralités, la loi s'appuie essentiellement sur l'autoréglementation et la bonne foi de l'industrie. J'ai souvent été placé devant ces situations et je puis dire que la bonne foi de l'industrie n'est pas la première chose sur laquelle je miserais.
Mis à part quelques généralités, on s'appuie sur la bonne foi. Or, c'est une approche qui protège mal les droits. Je suis loin d'être persuadé que cette loi mérite d'être adoptée dans sa forme actuelle; je pense qu'il faut la revoir. Le projet de loi C‑27 mérite probablement le sort que le projet de loi , son ancêtre, a connu lors de la dernière législature. Le gouvernement l'a déposé, la discussion a commencé, les critiques ont été vives et le gouvernement l'a laissé mourir au Feuilleton afin de pouvoir continuer son travail et revenir avec une loi améliorée. Je crois que c'est le sort que mérite la loi sur l'intelligence artificielle.
Le gouvernement lance une discussion salutaire, mais ce n'est pas un projet achevé. Si nous jugeons que le gouvernement doit poursuivre son travail et nous revenir avec une nouvelle mouture, nous retarderons aussi la modernisation des lois sur les renseignements personnels. Dans le contexte de la législation européenne, dont je parlais un peu plus tôt, ce n'est pas ce que le gouvernement désire faire. Aussi, c'est en toute amitié que je donne au gouvernement le conseil de scinder le projet de loi C‑27.
Maintenant, mon propos traitera surtout de la protection des renseignements personnels puisqu'il s'agit de la partie achevée du projet de loi C‑27. C'est celle qui a les applications les plus concrètes. Comme je le disais un peu plus tôt, le projet de loi C‑27 est une version améliorée du projet de loi C‑11, qui avait été déposé à l'automne 2020.
Cependant, le projet de loi C‑27 n'établit toujours pas la vie privée comme un droit fondamental. Le projet de loi C‑11 était fort en mécanique, mais faible en protection. Les principes étaient mous, le consentement peu clair. Il était exigeant pour les grandes entreprises et beaucoup moins pour les petites alors que, en matière de protection des renseignements personnels, c'est la sensibilité des données qui doit dicter le niveau de protection et non pas la taille de l'entreprise.
Une jeune entreprise qui développe une application qui regroupe l'ensemble de nos données bancaires, par exemple, a beau n'avoir que deux employés, elle possède et traite quand même des informations extraordinairement sensibles qui doivent être protégées au maximum. Je ne peux m'empêcher de penser ici à l'application ArriveCAN, qui a été développée par peu d'individus, mais qui a une grande portée sur les données qui sont conservées.
Finalement, le projet de loi C‑11 ne prévoyait aucune harmonisation avec le droit des provinces, en particulier avec la loi québécoise sur la protection des renseignements personnels. C'est là-dessus que le Bloc québécois avait beaucoup insisté. Une entreprise québécoise soumise à la loi québécoise aurait aussi été soumise à la loi fédérale dès que les données sortent du Québec. Elle aurait été soumise à deux lois qui ne disent pas la même chose et qui ont deux logiques différentes. Il s'agit d'un doublement, d'un fouillis et d'une incertitude. L'adoption du projet de loi C‑11 aurait diminué, au Québec du moins, la clarté juridique qui est nécessaire à la protection des renseignements personnels.
Voici d'ailleurs ce que Daniel Therrien, qui était alors commissaire à la protection de la vie privée, avait dit aux membres du Comité permanent de l'accès à l'information, de la protection des renseignements personnels et de l'éthique auquel j'ai l'honneur de siéger. Il disait ceci: « [...] je crois que le projet de loi représente globalement un recul par rapport à notre loi actuelle et qu'il nécessite des changements importants si l'on veut rétablir la confiance dans l'économie numérique. »
Il avait proposé une série d'amendements qui auraient eu pour effet de le modifier en profondeur. Ici, je salue le gouvernement. Il a entendu les critiques. C'est rare qu'il écoute, mais il l'a fait ici. Il a enterré le projet de loi C‑11 bien profondément. On n'en a plus jamais débattu à la Chambre et il est mort au Feuilleton pour ne revenir qu'après avoir été amélioré.
Le projet de loi respecte mieux les compétences des uns et des autres et évite le fouillis juridique dont je parlais plus tôt.
Nos renseignements personnels, c'est quelque chose de privé, quelque chose qui nous appartient. Or, le droit privé et le droit de propriété relèvent exclusivement des provinces, en vertu du paragraphe 92(13) de la Constitution de 1867.
Aussi, la protection des renseignements personnels est essentiellement de compétence provinciale. C'est particulièrement important dans le cas du Québec où notre tradition civiliste nous amène à adopter des lois qui sont beaucoup plus prescriptives.
Au printemps dernier, l'Assemblée nationale du Québec a adopté la loi 25, soit une réforme en profondeur de la loi québécoise sur les renseignements personnels. Notre loi, largement inspirée des lois européennes, avec qui nous partageons une même tradition juridique, est d'ailleurs la plus avancée en Amérique du Nord. Au moment où l'on se parle, il est clair que le Québec passe la rampe des exigences européennes et que nos entreprises sont à l'abri de tout soubresaut dans la circulation des données.
Nos principes sont clairs: nos renseignements personnels nous appartiennent. Ils n'appartiennent pas à celui qui les a recueillis ou à celui qui les stocke. Ce qui en découle est clair: nul ne peut disposer de nos renseignements personnels, les utiliser, les communiquer ou les revendre à moins d'avoir obtenu au préalable notre consentement libre, éclairé et explicite. Le projet de loi C‑11 remettait en cause cette clarté juridique et le projet de loi C‑27 — c'est la moindre des choses — a corrigé cela.
Selon le paragraphe 122(2) du projet de loi C‑27, le gouvernement peut, par décret: « s’il est convaincu qu’une loi provinciale essentiellement semblable à la présente loi s’applique à une organisation — ou catégorie d’organisations — ou à une activité — ou catégorie d’activités —, soustraire l’organisation, l’activité ou la catégorie à l’application de la présente loi à l’égard de la collecte, de l’utilisation ou de la communication de renseignements personnels qui s’effectue à l’intérieur de la province en cause; »
Autrement dit, si la loi du Québec est supérieure, c'est la loi du Québec qui va s'appliquer au Québec.
Lorsque j'ai rencontré le bureau du ministre plus tôt cette semaine, j'ai demandé quelques précisions quand même. Est-ce que l'entreprise québécoise sera complètement exemptée du projet de loi C‑27, et ce, même si les renseignements sortent du Québec? La réponse est oui. Est-ce qu'elle le sera pour l'ensemble de ses activités? La réponse est oui.
Il reste néanmoins des zones de flou. Je pense aux entreprises de l'extérieur du Québec qui recueillent des renseignements personnels au Québec. En Europe, c'est clair. C'est le lieu de résidence du citoyen qui détermine le droit applicable. C'est aussi ce que prévoit la loi québécoise.
Dans le projet de loi C‑27, c'est moins clair. Comme il s'appuie sur des pouvoirs de réglementation générale des échanges et du commerce que lui accorde la Constitution, il est davantage tourné vers l'encadrement de l'industrie que la protection du citoyen. C'est le genre de choses qu'il faudra regarder et régler en comité. J'ai hâte que le projet de loi C‑27 soit étudié en comité afin qu'on puisse en débattre sur le fond.
Je dois dire que j'ai senti de l'ouverture et de la bonne foi chez le gouvernement. À cet égard, je ne peux m'empêcher d'interpeler le député de afin qu'il puisse noter que, pour une fois, je lui accorde la bonne foi.
Le projet de loi C‑27 aura une incidence beaucoup plus importante à l'extérieur du Québec qu'au Québec parce qu'il est mieux rédigé que le projet de loi C‑11. Ce n'est pas le seul élément qui a été amélioré. Les principes sur lesquels la loi s'appuie sont plus clairs. Le consentement est mieux affirmé. Les données plus sensibles doivent être traitées d'une manière plus rigoureuse, peu importe la taille de celui qui les détient. Cela aussi, c'est plus clair.
Si les principes sont clairs, la loi va mieux franchir le temps et s'ajuster aux évolutions technologiques, sans être dénaturée.
Nous allons l'appuyer en deuxième lecture après un débat sérieux, mais sans retards inutiles. Par contre, nous croyons et nous insistons sur le fait que c'est en comité que le vrai travail devra se faire. Le projet de loi est complexe. De bons principes ne font pas nécessairement de bonnes lois. Avant de pouvoir juger si le projet de loi C‑27 est effectivement une bonne loi, il nous faudra entendre les témoins de tous les horizons.
En matière de protection des renseignements personnels, il suffit d'une toute petite faille pour que tout l'édifice s'effondre. Il faut avoir le souci du détail, une précision chirurgicale. Les enjeux sont grands et touchent à ce que nous avons de plus intime: notre vie privée.
Pendant longtemps, pour préserver notre vie privée, il suffisait d'acheter des rideaux. C'était ainsi autrefois. Cela nous mettait à l'abri des écornifleurs. Ensuite, des organisations se sont mises à collecter des données pour leurs dossiers. Les banquiers collectaient des renseignements financiers, l'État collectait des renseignements fiscaux et les médecins collectaient des dossiers médicaux. Il fallait protéger ces renseignements sensibles, mais c'était assez simple, puisqu'ils étaient écrits sur du papier.
Aujourd'hui, nous vivons dans un autre univers. Alors que les renseignements personnels venaient permettre une activité autre comme les soins à un malade ou le prêt bancaire, ils sont devenus le cœur de l'activité de plusieurs entreprises. Les renseignements sont devenus le cœur de l'activité de plusieurs entreprises, qui sont par ailleurs de grandes entreprises.
L'informatisation a permis de stocker et de traiter des quantités astronomiques de données, que l'on a appelées les mégadonnées. La mise en réseau de ces données sur Internet a permis de décupler les données accessibles et de les faire circuler partout sur la planète en tout temps et parfois pour toujours, malheureusement.
Les données personnelles sont au cœur du modèle d'affaires de plusieurs entreprises, comme les GAFAM. Le citoyen devenu consommateur est devenu le produit qu'elles commercialisent. Pour reprendre de nouveau les termes de Daniel Therrien, nous sommes passés au « capitalisme de surveillance ». À ce sujet, il faut voir le filmThe Great Hack sur Netflix. C'est inquiétant.
Ajoutons à cela que, chez les plus jeunes d'entre nous, le monde virtuel et le monde réel se confondent. Sur Instagram, Facebook ou TikTok, leur vie est un livre ouvert. Ils pensent communiquer avec leurs proches, mais, en réalité, ils alimentent les bases de données qui les transforment en produit commercialisable et commercialisé. Il faut absolument les protéger. Il faut leur redonner le contrôle sur leurs renseignements personnels, d'où l'importance de modifier et de moderniser nos lois.
J'aimerais terminer mon discours en lançant un appel au gouvernement. Le projet de loi fait bien des choses, mais il y a également bien des choses qu'il ne fait pas ou qu'il ne fait pas correctement. C'est bien beau, le consentement, mais que devons-nous faire quand nos données sont compromises, quand elles ont été volées, quand elles sont dans les mains de bandits? Ces gens sont hors la loi, et, conséquemment, ils ne sont pas régis par la loi. Tous les protocoles qu'on peut mettre en place sur le consentement tombent. Pour éviter la fraude et le vol d'identité, il faudra clarifier les mesures à prendre pour s'assurer que la personne qui demande une transaction est bien celle qu'elle prétend être. On est vraiment dans une nouvelle logique. À cet égard, nous sommes un peu dans le vide, alors que, curieusement, c'est un problème grandissant.
Il y a un autre vide à combler. Le projet de loi encadre le traitement des renseignements personnels dans le secteur privé, mais pas dans le secteur public. Le gouvernement est encore régi par la même vieille loi, qui date de l'époque prénumérique. C'est une loi dépassée, comme on a pu le constater lorsqu'il y a eu de la fraude liée à la Prestation canadienne d'urgence. Les contrôles sont aussi dépassés. J'invite donc le gouvernement à se mettre au travail et à le faire rapidement. Nous collaborerons.
Finalement, il y a un autre chantier sur lequel le gouvernement devra plancher, et vite. Nous avons abordé cette question en comité lorsque nous nous sommes penchés sur la géolocalisation des données. Le projet de loi indique ce qu'on doit faire avec les données personnelles, les données nominatives. Toutefois, avec l'intelligence artificielle et les croisements de données, il est possible de recréer un individu à partir de renseignements anonymes. Comme aucun renseignement nominatif n'a été recueilli au départ, le projet de loi C‑27 est inopérant dans ces cas. Pourtant, à l'arrivée, on a recréé le profil d'une personne avec tous ses renseignements personnels. Ce n'est pas de la science-fiction; cela se produit déjà. C'est néanmoins absent du projet de loi , tant de la partie sur les renseignements que de la partie sur l'intelligence artificielle.
Je ne mentionne pas cela pour tenter de créer une opposition au projet de loi C‑27. Comme je l'ai dit, nous allons l'appuyer. Toutefois, il faut être conscient du fait que c'est une œuvre inachevée. Comme législateurs, nous avons encore du pain sur la planche. Le temps est venu de traiter la vie privée comme un droit fondamental.