Concentration de données personnelles au gouvernement : le gestionnaire de renseignements personnels

Contexte

La quantité de données et de renseignements personnels qui sont recueillis par les gouvernements à l'échelle mondiale et la numérisation de tels renseignements ont mené à une réflexion quant à la manière dont ces renseignements doivent être utilisés et partagés non seulement entre les gouvernements, mais aussi avec les citoyens et le secteur privé. Les gouvernements réalisent qu'ils doivent aborder des concepts jusque-là inexplorés : définir des normes technologiques dans le secteur public et fournir des conseils et de la formation à leur importante main-d'œuvre qui doit composer avec ces nouvelles technologies, tout en tirant le maximum de la montagne de données qu'ils contrôlent.

Que font les gouvernements ailleurs dans le monde?

Dans la dernière décennie, le besoin de redéfinir le rôle crucial que les gouvernements doivent jouer dans l'économie numérique a été une priorité pour l'Organisation de coopération et de développement économiques (OCDE).^[1]

De nombreux pays adaptent actuellement la machine gouvernementale pour faire face au monde numérique et aux menaces qui s'y trouvent, mais aussi pour tirer profit des nouvelles méthodes de recherche de connaissances grâce à l'intelligence artificielle et aux mégadonnées, qui utilisent toutes deux des quantités énormes de données pour étayer leurs analyses. Par ailleurs, les données recueillies et conservées par les gouvernements eux-mêmes sont une source potentielle de savoir, lequel permet d'améliorer la situation des citoyens et favorise la création de richesse.

France

La France a créé dès 2014 le poste d'administrateur général des données^[2], dont le rôle est de coordonner l'exploitation, la production et la circulation des données par l'administration publique dans le but de contribuer à l'évaluation de la politique publique, d'encourager la transparence et de stimuler la recherche et l'innovation.

Royaume-Uni

Le Royaume-Uni a accompli d'énormes efforts de numérisation et a pu annoncer fièrement sa deuxième place dans le Digital Government Index de l'OCDE^[3].

[traduction] L'Index évalue les pays selon six critères que l'OCDE considère comme des caractéristiques d'un « gouvernement entièrement numérique » : celui-ci doit être numérique par nature, ouvert par défaut, axé sur l'utilisateur, être proactif, suivre un modèle de « gouvernement comme une plateforme », et son secteur public doit être axé sur les données.

Canada

Avec la publication de la Charte canadienne du numérique en 2019, le ministère de l'Innovation, des Sciences et de l'Industrie reconnaissait une interconnexion  de plus en plus étroite entre les lois sur la protection des renseignements personnels et la gouvernance des données de façon générale, y compris les exigences liées à l'utilisation et à l'analyse des données, ainsi qu'aux normes et aux mesures de sécurité à respecter^[4].

Les éléments de la Charte canadienne du numérique incluent d'élaborer des ensembles de données de qualité aux fins d'expérimentation et d'innovation et de devenir un chef de file sur la scène internationale en faisant la promotion de l'interopérabilité du modèle canadien et des cadres de référence existants comme le Règlement Général sur la Protection des Données de l'Union européenne. Un partenariat avec le secteur privé pour mettre en application ces initiatives serait bénéfique à la fois pour les citoyens et les entreprises^[5].

En décembre 2019, le premier ministre Trudeau donnait ces directives au ministre de l'ISI :

Avec l'appui du ministre du Patrimoine canadien, créer de nouveaux règlements visant les grandes entreprises numériques afin de mieux protéger les données personnelles et d'encourager une concurrence accrue dans le marché numérique. Le Commissaire aux données nouvellement établi supervisera ces règlements.^[6]

Le poste de Commissaire aux données n'a toujours pas été créé.

Québec

De façon générale, les territoires qui visent à tirer profit des changements technologiques font des efforts pour adapter les règles relatives à la gestion des données à leur situation. Il semblerait que le Québec suive prudemment cette tendance, puisque la province a présenté un nouveau joueur sur la scène gouvernementale : le gestionnaire de renseignements personnels^[7]. En bref, cette nouvelle entité serait un coordonnateur de renseignements personnels qui s'occuperait de la gestion des renseignements personnels détenus par le gouvernement du Québec.

Toutefois, aucun organisme public ne sera créé. Le modèle du gouvernement sera plutôt de désigner un ou plusieurs organismes publics existants comme gestionnaire de renseignements personnels lorsque cela est dans l'intérêt du public ou à l'avantage des personnes concernées. La Commission d'accès à l'information sera consultée, après quoi des pouvoirs très vastes pourront être dévolus au gestionnaire de renseignements personnels :

Un gestionnaire de renseignements personnels recueille, utilise ou communique des renseignements personnels lorsque cela est nécessaire à l'une ou l'autre des fins suivantes :

1. la prestation par plus d'un organisme public de services communs ou la réalisation de missions communes à plus d'un organisme public;
2. l'accomplissement d'un mandat ou d'une initiative à portée gouvernementale;
3. la vérification de l'admissibilité d'une personne à un programme ou à une mesure;
4. la planification, la gestion, l'évaluation ou le contrôle de ressources, de programmes ou de services gouvernementaux.

Un décret pris en application du présent article prévoit les fins auxquelles ces renseignements sont ainsi nécessaires. Le gouvernement peut aussi y déterminer les organismes publics qui doivent recueillir des renseignements personnels auprès du gestionnaire ou qui doivent communiquer de tels renseignements à ce dernier.^[8]

Les exigences habituelles y sont mentionnées : une évaluation des facteurs relatifs à la vie privée^[9], le cadre réglementaire doit être publié sur le site Web du gestionnaire et un rapport relativement aux renseignements personnels recueillis, utilisés ou communiqués doit être soumis au Commissaire^[10]. Les renseignements personnels recueillis par le gestionnaire de renseignements personnels pourront être communiqués pour des raisons prévues à un décret^[11] et préférablement sous une forme ne permettant pas d'identifier directement la personne concernée^[12].

Que signifie ce projet?

Il y a eu très peu de commentaires au sujet de cette section du Projet de loi n^o 64, qui s'applique en apparence uniquement au secteur public. Elle ne fait pas partie de la portion du projet de loi qui a été envoyé au comité^[13].

Toutefois, ces modifications à la loi pourraient changer dramatiquement la gestion des renseignements personnels dans le vaste réseau d'organismes publics du Québec. Elles pourraient potentiellement simplifier le transfert des renseignements personnels entre les gouvernements, qui ne seraient plus tenus d'obtenir l'approbation de la Commission d'accès à l'information, ce qui faciliterait l'utilisation des analyses de données pour le gouvernement lors de l'élaboration des politiques et de l'étude d'admissibilité aux prestations. Ces modifications permettraient également de centraliser les données à des fins de recherche.  

Le secteur privé peut également prévoir que ces modifications pourraient entraîner une meilleure efficacité interne au gouvernement, ce qui faciliterait les opérations lors desquelles celui-ci est un partenaire et/ou un client. Elles pourraient rendre les études de marché sur le marché québécois plus précises. Les données pourraient être utilisées, une fois qu'elles sont anonymisées, comme source de données pour les projets en intelligence artificielle.

Sans égard à son utilisation future, ce qui est prévu dans le projet de loi est un signe positif indiquant que le gouvernement du Québec reconnaît qu'il est temps d'adopter, avec les mesures de protection appropriées, des techniques de gestion des données actuelles afin de s'intégrer dans la nouvelle économie de la technologie et de l'innovation axée sur les données.

[1]      OCDE (2020), OECD Digital Economy Outlook 2020, Éditions de l'OCDE, Paris,
https://doi.org/10.1787/bb167041-en

[2]      https://www.vie-publique.fr/rapport/37260-administrateur-general-des-donnees-2016-2017

[3]      https://gds.blog.gov.uk/2020/10/16/uk-claims-number-2-spot-in-oecd-digital-government-rankings/

[4]      https://www.scc.ca/fr/programmes-phares/gouvernance-des-donnees/histoire

[5]      https://www.ic.gc.ca/eic/site/062.nsf/fra/h_00108.html

[6]      https://pm.gc.ca/fr/lettres-de-mandat/2019/12/13/lettre-de-mandat-du-ministre-de-linnovation-des-sciences-et-de

[7]      Projet de loi n° 64, article 27, création des articles 70.3 à 70.7 dans la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels.

[8]      Projet de loi n° 64, article 70.3

[9]      Article 70.4

[10]     Article 70.7

[11]     Article 70.5

[12]     Article 70.6

[13]     Les articles 92 et suivants portent majoritairement sur le secteur privé.