Les entreprises canadiennes devront signaler les atteintes à la vie privée des citoyens

Après plus de trois ans de mises au point et de réglages, une nouvelle loi fédérale obligera à compter de jeudi les entreprises canadiennes à prévenir leurs clients – et le commissaire à la protection de la vie privée – si des renseignements personnels risquent de tomber entre de mauvaises mains.

Le fait de ne pas signaler une faille potentielle majeure de sécurité pourrait exposer les entreprises à des amendes pouvant aller jusqu’à 100 000$ chaque fois qu’un citoyen est affecté par une telle atteinte à sa vie privée – si le gouvernement fédéral décidait d’engager des poursuites.

Toutefois, le Commissaire à la protection de la vie privée, une agence parlementaire indépendante du gouvernement, pourrait bien être freiné dans ses ardeurs par un manque de ressources et par les pouvoirs limités que lui confère la Loi sur la protection des renseignements personnels et les documents électroniques.

Le commissaire à la protection de la vie privée, Daniel Therrien, estime que son bureau a besoin d’environ six personnes supplémentaires pour analyser le nouveau flot de signalements qui risque d’arriver avec l’entrée en vigueur des modifications à la loi.

En entrevue, M. Therrien admet que sans fonds supplémentaires, son bureau devra se concentrer sur les cas susceptibles de faire le plus de dommages.

Le Commissariat à la protection de la vie privée pourra certes «recommander» aux entreprises d’améliorer leurs mesures de sécurité s’il constate des lacunes. Mais en vertu de la loi, le commissaire ne peut ordonner des correctifs ou imposer des amendes – un pouvoir de coercition dont dispose son homologue albertaine depuis 2014.

«Ce n’est pas de notre ressort», a reconnu M. Therrien. «Il appartiendra au ministère de la Justice de décider de poursuivre ou non (...) Si c’est le cas, les amendes sont assez lourdes.»

Et comme la loi est pleine de formulations imprécises, exigeant des signalements «le plus tôt possible» après la détection d’un «risque réel de préjudice grave», certains incidents risquent d’être signalés tardivement – voire pas du tout.

UNE MENACE QUI ÉVOLUE CONSTAMMENT

Le commissaire Therrien a demandé à plusieurs reprises au gouvernement davantage de pouvoirs d’enquête et de coercition, ainsi qu’une augmentation de 12 millions $ du budget annuel de 24 millions $.

Daniel Therrien

Le porte-parole conservateur en la matière, Peter Kent, a soutenu que M. Therrien bénéficiait de l’appui du comité multipartite des Communes. M. Kent croit que les pouvoirs du commissaire doivent être renforcés compte tenu de l’évolution rapide de la technologie et des énormes ressources dont disposent des géants comme Facebook et Google. «La loi actuelle est à peine suffisante», estime M. Kent. «Nous ne faisons que gratter la surface d’une menace qui évolue très rapidement.»

Le député libéral Nathaniel Erskine-Smith, vice-président de ce Comité permanent de l’accès à l’information, de la protection des renseignements personnels et de l’éthique, a parrainé un projet de loi d’initiative parlementaire visant à donner au commissaire les pouvoirs de mener une enquête au sein d’une entreprise et d’imposer des amendes pouvant aller jusqu’à 30 millions $. Ces projets de loi d’initiative parlementaire sont toutefois rarement adoptés au Parlement.

Ale Brown, qui conseille des compagnies nord-américaines en matière de protection de la vie privée, estime que les entreprises canadiennes ne sont généralement pas préparées aux nouvelles règles fédérales. «Les entreprises qui sont prêtes le sont déjà depuis longtemps: elles prennent cet enjeu au sérieux et disposent de procédures en place, ce n’est donc pas un grand changement pour elles.»

Mais beaucoup d’autres n’ont rien fait pour se préparer aux nouvelles exigences de la loi, et Mme Brown croit que ce laxisme est notamment attribuable aux pouvoirs de coercition limités du commissaire fédéral. «D’après mon expérience, j’ai constaté que les entreprises agissent lorsqu’elles voient leurs bénéfices menacés.»

L’avocat spécialisé Ryan Berger ajoute que les entreprises sont souvent mues, aussi, par la crainte d’être poursuivies par les citoyens lésés. Il croit par ailleurs que «de nombreuses entreprises au Canada ne réaliseront même pas que ces nouvelles règles vont s’appliquer à elles». ■