Écrit par Sina Kazemi, Sébastien Gittens, Stephen Burns, Ruth Promislow and Michael Whitt

Alors que les pays du monde entier poursuivent leurs efforts pour lutter contre le nouveau coronavirus (COVID-19), les gouvernements se tournent de plus en plus vers la technologie pour appliquer les règles de « distanciation sociale » et les mesures connexes conçues pour contenir la propagation du virus. Par exemple: 

• dans Italy, Allemagne et Autriche, les entreprises de télécommunications partagent maintenant des données de localisation de smartphones avec les gouvernements pour surveiller si les individus se conforment aux règles d’auto-isolement;  
• en Israël, le gouvernement utilise des données de localisation pour retracer les mouvements des personnes qui ont contracté la COVID-19 et identifier les personnes qui devraient être mises en quarantaine à la suite d’un contact étroit; et
• au Canada, le gouvernement de l’Alberta a récemment indiqué qu’il prévoyait mettre en œuvre des mesures de suivi de l’emplacement pour faire respecter les ordres de quarantaine. 

Ce blogue explore comment les mesures de suivi de l’emplacement des téléphones intelligents seraient envisagées dans le contexte des lois canadiennes sur la protection des renseignements personnels du secteur privé et du secteur public. Ce blog n’explore pas le suivi de l’emplacement des smartphones dans le contexte des lois sur les informations de santé, car il est supposé que les données de localisation des smartphones seraient obtenues séparément de toute information spécifique sur la santé.    

Législation

Pour déterminer si les institutions fédérales peuvent recueillir, utiliser et communiquer des données de localisation sur les téléphones intelligents à des fins liées à l’application des règles de « distanciation sociale » et des mesures connexes conçues pour contenir la propagation du virus de la COVID-19, le cadre d’analyse au Canada comprend l’examen des lois suivantes, selon le niveau de gouvernement qui cherche à obtenir les données de localisation des téléphones intelligents :

• Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) : s’applique généralement aux organisations du secteur privé au Canada qui recueillent, utilisent ou communiquent des renseignements personnels dans le cadre d’activités commerciales, y compris les entreprises sous réglementation fédérale (p. ex. les banques, les entreprises de télécommunications) et les entreprises qui traitent des renseignements qui traversent les frontières provinciales ou nationales. Il est à noter que l’Alberta, la Colombie-Britannique et le Québec ont leurs propres lois provinciales sur la protection des renseignements personnels dans le secteur privé qui s’appliquent à la collecte, à l’utilisation ou à la communication de renseignements personnels dans chaque province et qui sont essentiellement similaires à la LPRPDE; et
• Loi sur la protection des renseignements personnels : s’applique à certaines institutions fédérales à l’égard des renseignements personnels qu’elle recueille, utilise et communique; ou
• Lois sur l’accès à l’information et la protection de la vie privée (LAIPVP) (Il est à noter que, bien que chaque province ait des lois équivalentes, les noms peuvent varier) : s’applique aux renseignements personnels recueillis, utilisés et communiqués par les institutions gouvernementales provinciales et municipales (parfois appelés « organismes publics »).

Dans les lois susmentionnées, les « renseignements personnels » désignent généralement tout renseignement concernant une personne identifiable. Par conséquent, les données de localisation des téléphones intelligents liées à une personne seront assujetties au cadre de protection de la vie privée. D’autre part, lorsque les institutions fédérales peuvent recueillir, regrouper et anonymiser ou dé-identifier des renseignements qui ne peuvent pas être liés à une personne identifiable, la collecte, l’utilisation et la divulgation de ces renseignements ne sont probablement pas assujetties à ces lois sur la protection de la vie privée.

Contexte technique

D’un point de vue technique, il existe des mécanismes mécanismes multiples par lesquels les données de localisation d’un smartphone peuvent être déterminées, y compris via le système de positionnement global (GPS) intégré d’un appareil ou à partir du signal qu’un appareil transmet aux tours de téléphonie cellulaire à proximité. Les données de localisation qui en résultent peuvent être recueillies par des entreprises telles que des entreprises de télécommunications (p. ex., au moyen d’appels téléphoniques transmis à des tours de téléphonie cellulaire à proximité) et des développeurs d’applications pour téléphones intelligents (p. ex., en utilisant le GPS intégré d’un appareil mobile), comme des applications fournissant des médias sociaux, des services de cartographie ou des services météorologiques. De plus, les institutions gouvernementales peuvent recueillir directement des données sur la localisation des téléphones intelligents à l’aide d’applications créées par les gouvernements eux-mêmes. 

Collecte et divulgation des données de localisation des smartphones par les organisations

En vertu de la LPRPDE et de ses homologues provinciaux, les fins auxquelles les renseignements personnels sont recueillis doivent généralement être déterminées par l’organisation au moment de la collecte ou avant, et le consentement à une telle collecte doit être obtenu, à moins que la collecte ne soit visée par une exception précise. Dans la mesure où une organisation recueille les données de localisation d’un téléphone intelligent d’une personne, le but de le faire sera souvent divulgué au moment de la collecte ou avant, y compris, comme indiqué dans sa politique de confidentialité. Il est toutefois peu probable que de telles divulgations à des fins et consentements connexes envisagent une divulgation dans le but de permettre l’application de la distanciation sociale liée à la COVID-19 et des mesures connexes. 

Néanmoins, les gouvernements qui souhaitent accéder aux données de localisation des smartphones sur des personnes identifiables face à la COVID-19 peuvent obtenir ces données auprès d’un certain nombre d’organisations différentes; toutefois, un mécanisme juridique approprié doit être utilisé pour obliger les organisations à divulguer ces données sans préavis ni consentement de la personne. En vertu de la LPRPDE et de ses homologues provinciaux, les organisations ne peuvent communiquer des renseignements personnels à l’insu de la personne concernée ou sans son consentement que dans certaines circonstances. Dans le contexte de la COVID-19, les exceptions pertinentes peuvent inclure des circonstances où la divulgation est :

• faite à une institution fédérale qui a fait une demande de renseignements et qui a indiqué que la communication est demandée aux fins de l’application ou de l’application d’une loi du Canada, d’une province ou d’un territoire étranger;
• requis par la loi.

Par conséquent, lorsque le gouvernement fédéral ou un gouvernement provincial adopte une loi exigeant le respect des règles d’auto-isolement par la loi, par exemple, il est concevable que les organisations puissent être tenues de divulguer les renseignements demandés par l’institution fédérale concernée aux fins de l’application ou de l’administration de ces lois. Par exemple, le gouvernement fédéral et la plupart des provinces ont adopté une loi qui exige que toutes les personnes entrant à leur frontière s’isolent pendant 14 jours. 

De plus, les gouvernements canadiens pourraient adopter une loi exigeant expressément des organisations qu’elles divulguent les données de localisation des téléphones intelligents. Une telle législation pourrait prendre diverses formes, y compris une législation autonome, un décret ou un règlement en vertu de la législation existante, une modification à la Loi sur les interventions d’urgence COVID-19 ou, si elle est utilisée, en vertu d’un règlement adopté par les vastes pouvoirs prescrits par la Loi sur les mesures d’urgence.

Collecte et utilisation des données de localisation des téléphones intelligents par les institutions gouvernementales

En vertu de l’Ac t sur la protection des renseignements personnels, une institution fédérale peut recueillir et utiliser des renseignements personnels sans le consentement de la personne concernée à toute fin lorsque, de l’avis du responsable de l’institution, l’intérêt public de la communication l’emporte clairement sur toute atteinte à la vie privée qui pourrait découler de la communication. En vertu des régimes provinciaux de la LAIPVP, les renseignements personnels peuvent généralement être recueillis et utilisés sans consentement si cela permet d’éviter ou de minimiser les dommages à la santé ou à la sécurité d’une personne. Par conséquent, en vertu des cadres de protection de la vie privée des secteurs public fédéral et provincial, les gouvernements peuvent affirmer que l’intérêt public à prévenir la propagation de la COVID-19, et donc à protéger la santé des personnes, l’emporte sur toute atteinte possible à la vie privée découlant de l’utilisation des données de localisation des téléphones intelligents pour appliquer les règles de « distanciation sociale » et les mesures connexes.

Par ailleurs, en vertu des régimes fédéral et provincial, une institution fédérale peut renoncer à l’exigence de consentement si elle est autorisée à le faire par la loi. Par conséquent, les gouvernements peuvent adopter une loi (c.-à-d. sous une forme comme il est mentionné ci-dessus) autorisant la collecte et l’utilisation de données de localisation des téléphones intelligents pour appliquer les règles de « distanciation sociale » et les mesures connexes sans le consentement des personnes concernées. 

Protection de la vie privée une fois que les données de localisation des smartphones sont entre les mains du gouvernement

L’une des principales préoccupations qui ont été soulevées avec la collecte et l’utilisation des données de localisation des téléphones intelligents par les institutions gouvernementales est de savoir si ces données de localisation continueront d’être collectées et utilisées après la fin de la pandémie de COVID-19 et, dans l’affirmative, à quelles fins?

En vertu de la Loi sur la protection des renseignements personnels et des régimes provinciaux de la LAIPVP, si les renseignements personnels ne sont plus nécessaires aux fins auxquelles ils ont été demandés à l’origine, les renseignements ne peuvent pas continuer d’être utilisés et doivent être conservés et détruits conformément aux dispositions énoncées dans la loi applicable sur la protection des renseignements personnels.

Les institutions fédérales seront également tenues de se conformer à toutes les autres mesures de protection de la vie privée décrites dans la loi applicable sur la protection des renseignements personnels dans le secteur public, y compris : (i) limiter la collecte de renseignements à ce qui est nécessaire aux fins précises liées à la COVID-19; (ii) assurer l’exactitude de ces informations; (iii) l’utilisation de mesures de sécurité appropriées pour ces renseignements; (iv) la transparence de ses politiques et pratiques à l’égard de ces renseignements; et (v) l’accès de la personne à ces renseignements.

De plus, l’action gouvernementale est assujettie à la Charte canadienne des droits et libertés; l’article 8 de la Charte prévoit que « [l]a personne a droit à la protection contre les fouilles, les perquisitions ou les saisies abusives ». En ce qui a trait à la protection de la vie privée, la Cour suprême du Canada a adopté une approche télénelle à l’égard de l’article 8 « qui met l’accent sur la protection de la vie privée comme condition préalable à la sécurité, à l’épanouissement personnel et à l’autonomie ainsi qu’au maintien d’une société démocratique prospère » (R c Spencer, 2014 CSC 43, par. 15).

Par conséquent, toute mesure gouvernementale concernant l’utilisation ou la divulgation des données de localisation des téléphones intelligents autre que l’application des règles de « distanciation sociale » et des mesures connexes devra répondre de manière appropriée à ces exigences fondamentales.

Si vous avez des questions concernant les informations contenues dans cet article, veuillez contacter un membre du Bennett Jones Privacy & Data Protection and Cybersecurity groups. De plus, veuillez visiter notre COVID-19 Resource Centre pour d’autres documents liés à covid-19.

Télécharger le PDF