Le mardi 11 décembre 2018

Le Comité sénatorial permanent des banques et du commerce a l’honneur de déposer son

VINGT-NEUVIÈME RAPPORT

Votre comité, qui a été autorisé par le Sénat le mercredi 27 janvier 2016 à examiner, pour en faire rapport, la situation actuelle du régime financier canadien et international dépose maintenant un rapport provisoire concernant la collecte des informations financières par Statistique Canada.

Le 26 octobre 2018, l’équipe de reportage de Global News, composée de David Akin et Andrew Russell et de Bill Curry, journaliste au Globe and Mail, a diffusé un reportage indiquant que Statistique Canada demanderait à neuf banques canadiennes des renseignements – dont des données sur les opérations et de l’information personnelle – tirés des comptes bancaires de 500 000 ménages canadiens. Après avoir reçu des plaintes à ce sujet, le commissaire à la vie privée a annoncé le 31 octobre 2018 que son organisme ferait enquête sur Statistique Canada et sa collecte de renseignements personnels auprès des entreprises du secteur privé (ces renseignements sont appelés collectivement « données administratives »).

Le 8 novembre 2018, afin d’examiner cette question, le Comité sénatorial permanent des banques et du commerce a tenu une réunion à laquelle ont participé le statisticien en chef et des responsables de Statistique Canada, le commissaire à la vie privée et des responsables du Commissariat à la protection de la vie privée, Ann Cavoukian, ancienne commissaire à l’information et à la protection de la vie privée de l’Ontario, l’Association des banquiers canadiens et l’Association des consommateurs du Canada. Un mémoire écrit a également été reçu du Canadian Research Insights Council.

Le statisticien en chef a qualifié de « projet pilote » cette initiative de collecte de données, et a signalé que Statistique Canada n’avait encore recueilli aucune donnée dans le cadre de ce projet. Il a ajouté que son organisme était en correspondance avec les établissements financiers concernés « afin de renforcer le projet et de mieux comprendre les détails de son exécution », et que le Commissariat à la protection de la vie privée contribuait à la mise au point de l’initiative par ses « conseils et avis ».

Le statisticien en chef a aussi dit que le projet n’ira pas de l’avant tant que le commissaire à la vie privée n’aura pas achevé son enquête et que les inquiétudes des Canadiens n’auront pas été apaisées. Il a reconnu qu’aucun autre pays n’a mis en œuvre ce que propose ce projet pilote.

Le statisticien en chef a expliqué que les données recueillies dans le cadre du projet pilote le seront dans le respect de principes méthodologiques rigoureux, notamment celui du « respect de la vie privée dès la conception », et qu’elles ne serviront qu’à des fins statistiques. Il a aussi dit que l’échantillon sera réduit à 350 000 ménages aux fins des calculs, et qu’il y aura « rotation » d’une année à l’autre, question d’empêcher l’établissement d’un historique des données de tel ou tel particulier.

Selon le statisticien en chef, la collecte des données administratives est nécessaire parce que les méthodes traditionnelles d’obtention de renseignements sont dépassées et peuvent fausser le calcul d’indicateurs économiques importants, comme le produit intérieur brut et l’indice des prix à la consommation. Il estime que les données fournies volontairement sont non représentatives et biaisées.

Le statisticien en chef a décrit le processus général par lequel Statistique Canada reçoit les données administratives. Celles-ci arrivent divisées en deux fichiers : l’un contient les identificateurs personnels, et l’autre les données anonymisées. Les « clés » qui apparient les données aux identificateurs sont gardées dans un coffre sécurisé.

Lorsqu’on lui a demandé pourquoi les identificateurs personnels étaient nécessaires, le statisticien en chef a répondu que, afin de calculer les revenus et les dépenses d’un ménage, il faut combiner tous les comptes et toutes les opérations des membres du ménage, et qu’il serait impossible d’apparier les données aux ménages individuels sans les identificateurs personnels. Le statisticien en chef a affirmé que les établissements financiers n’ont pas l’expertise requise pour fournir à Statistique Canada les renseignements voulus sans les identificateurs personnels, mais que l’organisme ne s’intéresse qu’aux tendances et aux données combinées. Il a ajouté que les données de Statistique Canada n’ont jamais subi d’atteinte et qu’elles ne seraient communiquées à des tiers qu’avec la permission du particulier.

Le commissaire à la vie privée a expliqué qu’il ne pouvait pas parler spécifiquement de son enquête sur l’utilisation des données administratives par Statistique Canada, puisqu’elle n’est pas terminée. Cependant, il s’est dit préoccupé par l’ampleur et la portée du projet pilote proposé. Il a aussi dit que, selon lui, les mesures de transparence prises par Statistique Canada relativement à ce projet étaient clairement « déficientes ».

Le commissaire a recommandé que la Loi sur la protection des renseignements personnels soit modifiée de façon à ce que la collecte de données par les organisations du secteur public, comme Statistique Canada, ne soit autorisée que lorsque les circonstances l’exigent, et que l’ampleur et la portée des données recueillies soient proportionnées aux objectifs d’intérêt public qu’elles sont censées servir. Le commissaire a aussi clarifié que, bien qu’il ait tenu une rencontre avec Statistique Canada au sujet du projet pilote il y a plus d’un an, son rôle n’est que de formuler des recommandations générales : il incombe aux ministères et aux organismes eux-mêmes de s’assurer de respecter la loi.

Ann Cavoukian a affirmé que les Canadiens s’inquiètent de plus en plus de la protection de leurs renseignements personnels. Pendant la semaine qui a suivi la diffusion du premier reportage, plus de 20 000 personnes ont signé une pétition s’opposant à la communication de leurs renseignements financiers à Statistique Canada. M^me Cavoukian a aussi soutenu que le principe du « respect de la vie privée dès la conception » n’est pas en fait présent dans le projet pilote, puisqu’il implique le consentement et le contrôle par la personne de ses données. Elle a ajouté que la collecte de données administratives à l’insu du particulier ou sans son consentement est peut-être légale, mais qu’elle n’est pas éthique.

M^me Cavoukian a proposé à Statistique Canada de procéder à la collecte des données administratives personnelles au moyen de méthodes à la fine pointe de la technologie, soit la minimisation et la dépersonnalisation des données. Ces méthodes permettraient à l’organisme de recueillir les renseignements dont il a besoin sans porter atteinte à la protection des renseignements personnels des Canadiens. M^me Cavoukian a prôné l’examen et éventuellement la révision de l’article 13 de la Loi sur la statistique, qui traite de l’accès de Statistique Canada aux renseignements détenus par le secteur privé.

Dans son mémoire écrit, le Canadian Research Insights Council s’est dit d’avis lui aussi que les établissements financiers devraient supprimer les identificateurs personnels avant de communiquer les données. Selon cet organisme, les données compilées ainsi obtenues pourraient être validées par la confrontation avec les résultats de sondages.

L’Association des banquiers canadiens s’est dite gravement préoccupée par la demande de données formulée par Statistique Canada, étant donné ses ramifications pour la protection des renseignements personnels. L’Association a confirmé qu’aucune donnée ni information personnelle n’avait encore été communiquée. Elle a précisé que le projet faisait l’objet de discussions avec Statistique Canada depuis des mois, et qu’elle croyait qu’il n’en était encore qu’à la phase exploratoire; elle a donc été surprise que des lettres exigeant la divulgation des renseignements soient récemment envoyées à neuf banques. Sur la question de la transparence envers la clientèle, l’Association a dit qu’il aurait été prématuré de signaler aux clients la demande de divulgation alors que les banques avaient encore de nombreuses questions importantes à poser à Statistique Canada. L’Association a souligné que le secteur bancaire reconnaît l’importance de la protection des renseignements personnels et de la sécurité des données financières et personnelles des clients. Elle salue d’ailleurs la décision du Commissariat à la protection de la vie privée de procéder à une enquête. Enfin, l’Association a signalé que toutes les banques étudient attentivement les ramifications juridiques de la demande formulée par Statistique Canada, ainsi que leurs obligations au titre de la Loi sur la statistique et la Loi sur la protection des renseignements personnels et les documents électroniques; selon l’Association, « toutes les options sont sur la table ».

Enfin, l’Association des consommateurs du Canada a affirmé que la demande formulée par Statistique Canada était simplement « inacceptable » du point de vue des consommateurs canadiens. Elle a appelé le gouvernement fédéral à moderniser la Loi sur la protection des renseignements personnels afin d’aligner les normes du Canada en la matière sur celles qu’on utilise à l’échelle internationale, par exemple le Règlement général sur la protection des données, et de reconnaître à la fois le statut quasi constitutionnel de cette loi et le rôle des Canadiens individuels dans le contrôle de l’utilisation qui est faite de leurs données. Enfin, l’Association des consommateurs du Canada a fait valoir que, en réaction à la demande de données formulée par Statistique Canada, certains consommateurs pourraient opter pour d’autres modes de paiement difficiles à surveiller par le gouvernement ou les organes d’exécution de la loi.

Les observations du comité

La protection et la sécurité des renseignements personnels sont d’importance capitale dans l’économie numérique d’aujourd’hui. Depuis l’adoption du Règlement général sur la protection des données en Europe, de nombreux gouvernements instaurent des mesures pour permettre à leurs citoyens d’exercer un contrôle sur leurs données personnelles. Le Canada connaît donc un déphasage par rapport à cette évolution.

Le comité a de sérieuses réserves quant au projet pilote que Statistique Canada se propose de mener, d’une part vu l’ampleur et la nature personnelle des données concernées et, d’autre part, à cause du manque de transparence entourant le processus. De plus, demander aux banques de fournir des renseignements personnels détaillés sur leurs clients pourrait revenir à leur demander de se conformer aux obligations juridiques énoncées dans la Loi sur la statistique et la Loi sur la protection des renseignements personnels et les documents électroniques, qui pourtant semblent contradictoires.

Le comité reconnaît que, dans notre économie en constante évolution, les décideurs et les chercheurs ont besoin de données de haute qualité dont ils peuvent tirer des informations exactes, actuelles et pertinentes pour éclairer les politiques fondées sur des données probantes. Cependant, Statistique Canada doit redoubler d’efforts pour trouver des moyens de moderniser ses méthodes de cueillette de données afin de réaliser son objectif de produire des données de qualité et à jour sans pour autant compromettre la vie privée des Canadiens. Il doit aussi se montrer plus transparent et direct dans ses communications avec le commissaire à la protection de la vie privée, le gouvernement et les Canadiens.

Le comité estimant que les attentes des Canadiens en matière de protection de leurs renseignements personnels ne sont pas satisfaites, il ne peut recommander la réalisation du projet pilote dans son état actuel. Le comité sait que, après notre audience, Statistique Canada a annoncé le report et la suspension de ses projets de collecte de renseignements financiers personnels de Canadiens auprès des banques canadiennes et de TransUnion Canada.

Le comité entend réexaminer cette question et rencontrer à nouveau le commissaire à la protection des renseignements personnels et Statistique Canada une fois achevée l’enquête du commissaire.

Par conséquent, le comité invite fortement le gouvernement fédéral à envisager les mesures suivantes :

• Réévaluer la nécessité de recueillir des données personnelles et désagrégées dans le cadre du projet pilote de Statistique Canada. Si le gouvernement fédéral décide de reprendre le projet pilote à une date ultérieure, il faudrait au moins que les identificateurs personnels soient supprimés avant que les données soient communiquées à Statistique Canada;

• Moderniser la Loi sur la protection des renseignements personnels et la Loi sur la protection des renseignements personnels et les documents électroniques de façon à aligner les normes du Canada en matière de protection des renseignements personnels sur celles qu’on emploie à l’échelle internationale, comme le Règlement général sur la protection des données;

• Réviser la Loi sur la statistique dans l’optique de répondre aux inquiétudes des Canadiens en matière de protection des renseignements personnels.

Respectueusement soumis,