{"id":2490,"date":"2014-01-31T09:00:41","date_gmt":"2014-01-31T08:00:41","guid":{"rendered":"https:\/\/www.okiok.com\/?p=2490"},"modified":"2019-05-29T15:50:49","modified_gmt":"2019-05-29T20:50:49","slug":"un-renseignement-personnel-chiffre-conserve-t-il-son-caractere-personnel","status":"publish","type":"post","link":"https:\/\/www.okiok.com\/fr\/un-renseignement-personnel-chiffre-conserve-t-il-son-caractere-personnel\/","title":{"rendered":"Un renseignement personnel chiffr\u00e9 conserve-t-il son caract\u00e8re personnel?"},"content":{"rendered":"
\n

Dans le contexte technologique actuel, il n\u2019est pas rare que des renseignements soient collect\u00e9s par une organisation et conserv\u00e9s par celle-ci sous forme cryptographique, de mani\u00e8re \u00e0 ce que seuls des nombres ou des symboles apparaissent. Cette pratique courante est g\u00e9n\u00e9ralement encourag\u00e9e et jug\u00e9e plus s\u00e9curitaire, car elle a pour but de prot\u00e9ger les renseignements personnels et confidentiels. En outre, il peut arriver que des organisations impartissent certaines donn\u00e9es chiffr\u00e9es pour leur stockage dans l\u2019infonuagique.<\/p>\n<\/div>\n

En l\u2019occurrence, de tels renseignements conservent-ils leur caract\u00e8re personnel suite \u00e0 leur chiffrement? Cette question est cruciale, car une organisation doit savoir si les r\u00e8gles de protection des renseignements personnels sont applicables, afin de d\u00e9terminer le traitement des flux informationnels. Afin de r\u00e9pondre \u00e0 cette question, nous pr\u00e9senterons les diff\u00e9rentes d\u00e9finitions l\u00e9gales d\u2019un renseignement personnel et nous fournirons une interpr\u00e9tation de ce que peut constituer un renseignement \u00ab identifiable \u00bb au Qu\u00e9bec, en nous inspirant des textes juridiques canadiens et europ\u00e9ens.<\/p>\n

Le renseignement personnel : quelques d\u00e9finitions<\/strong><\/p>\n

Au Qu\u00e9bec, la Loi sur la protection des renseignements personnels dans le secteur priv\u00e9<\/i> (\u00ab\u00a0LPRPSP\u00a0\u00bb) pr\u00e9voit que \u00ab tout renseignement qui concerne une personne physique et permet de l\u2019identifier \u00bb[1]<\/a> est un renseignement personnel. Dans le m\u00eame sens, sont personnels \u00ab les renseignements qui concernent une personne et qui permettent de l\u2019identifier \u00bb[2]<\/a> selon la Loi sur l\u2019acc\u00e8s aux documents des organismes publics et des renseignements <\/i>personnels (\u00ab\u00a0Loi sur l\u2019acc\u00e8s\u00a0\u00bb), applicable au secteur public qu\u00e9b\u00e9cois. Au f\u00e9d\u00e9ral, la Loi sur la protection des renseignements personnels et les documents \u00e9lectroniques<\/i> (\u00ab\u00a0LPRPDE\u00a0\u00bb) d\u00e9finit un renseignement personnel comme \u00e9tant \u00ab tout renseignement concernant un individu identifiable, \u00e0 l\u2019exclusion du nom et du titre d\u2019un employ\u00e9 d\u2019une organisation et des adresse et num\u00e9ro de t\u00e9l\u00e9phone de son lieu de travail \u00bb[3]<\/a>. Ainsi, un renseignement doit permettre d\u2019identifier une personne pour qu’il soit qualifi\u00e9 de renseignement personnel au sens des lois applicables, disposant ainsi d\u2019un caract\u00e8re \u00ab identifiable \u00bb.<\/p>\n

Tel que le mentionne certains juristes, il n\u2019est pas tout \u00e0 fait clair si les nouvelles formes de donn\u00e9es que g\u00e9n\u00e8rent les nouvelles technologies peuvent \u00eatre reli\u00e9es \u00e0 un individu ou non et, ainsi, \u00eatre qualifi\u00e9es de renseignements personnels [4]<\/a>. Donc, nous devons \u00e9valuer de quelle mani\u00e8re un renseignement personnel chiffr\u00e9 conservera son caract\u00e8re identifiable et ainsi, son caract\u00e8re personnel.<\/p>\n

Le caract\u00e8re\u00a0\u00ab identifiable \u00bb et son interpr\u00e9tation<\/strong><\/p>\n

La d\u00e9cision Gordon<\/i> c. Canada<\/i> (Sant\u00e9)<\/i> [5]<\/a> a fourni une interpr\u00e9tation de la notion d\u2019\u00ab\u00a0individu identifiable\u00a0\u00bb, en concluant qu\u2019il doit exister une possibilit\u00e9 s\u00e9rieuse qu\u2019un individu puisse \u00eatre identifi\u00e9 au moyen du renseignement, que ce renseignement soit pris isol\u00e9ment ou en association avec d\u2019autres donn\u00e9es disponibles [6]<\/a>. Selon cette d\u00e9cision, sont des renseignements \u00ab\u00a0concernant\u00a0\u00bb un individu les renseignements qui \u00ab\u00a0permettent\u00a0\u00bb de l\u2019identifier ou \u00ab\u00a0rendent possible\u00a0\u00bb son identification, que ces renseignements soient utilis\u00e9s seuls ou combin\u00e9s avec des renseignements d\u2019autres sources. Ceci inclut les sources auxquelles le public a acc\u00e8s et ce, peu importe leur forme et leur support [7]<\/a>. Dans le m\u00eame sens que l\u2019affaire Gordon<\/i> [8]<\/a>, le Commissariat \u00e0 la protection de la vie priv\u00e9e du Canada (\u00ab\u00a0CPVPC\u00a0\u00bb) est d\u2019avis qu\u2019un renseignement pourra identifier un individu \u00ab\u00a0m\u00eame s\u2019il se trouve sous une forme non consign\u00e9e, telle que des conversations orales, des \u00e9chantillons biologiques ou de la vid\u00e9osurveillance en temps r\u00e9el \u00bb [9]<\/a>. De plus, \u00ab les renseignements visent un individu identifiable lorsqu\u2019il y a une grande possibilit\u00e9 qu\u2019une personne puisse identifier les renseignements disponibles \u00bb [10]<\/a>.<\/p>\n

Les facteurs \u00e0 prendre en compte<\/strong><\/p>\n

A contrario, \u00ab la simple possibilit\u00e9 hypoth\u00e9tique de distinguer une personne \u00bb au moyen d’un renseignement ne serait donc pas suffisante pour consid\u00e9rer une personne identifiable \u00bb [12]<\/a>. Ce sont d\u2019ailleurs les conclusions du Groupe de travail Article 29<\/i>, en Europe, mentionnant que pour d\u00e9terminer si une personne est identifiable, \u00ab il convient de prendre en compte l’ensemble des moyens susceptibles d’\u00eatre raisonnablement mis en oeuvre, soit par le responsable du traitement, soit par une autre personne pour identifier ladite personne \u00bb [13]<\/a>. Les co\u00fbts engendr\u00e9s par l’identification, la finalit\u00e9 vis\u00e9e, la mani\u00e8re dont le traitement est structur\u00e9, l’int\u00e9r\u00eat escompt\u00e9 par le responsable du traitement, les int\u00e9r\u00eats en jeu pour les personnes, les risques de dysfonctionnements organisationnels (par exemple violations du devoir de confidentialit\u00e9) et les d\u00e9faillances techniques sont au nombre des facteurs pris en compte pour \u00e9valuer l’ensemble des moyens susceptibles d’\u00eatre raisonnablement mis en oeuvre [14]<\/a>.<\/p>\n

Ainsi, il doit \u00eatre difficile voire impossible pour une organisation d’identifier l’individu au moyen des renseignements chiffr\u00e9s le concernant pour que ceux-ci perdent leur caract\u00e8re personnel[11]<\/a>. En d\u2019autres termes, une entreprise d\u00e9tenant la cl\u00e9 de chiffrement ou tout autre logiciel lui permettant de d\u00e9chiffrer le renseignement personnel disposera d\u2019un moyen d\u2019identifier une personne.<\/p>\n

\u00c0 titre d\u2019exemple pratique, le commissaire \u00e0 la protection de la vie priv\u00e9e et de l\u2019information de l\u2019Alberta a d\u00e9j\u00e0 conclu qu\u2019un identifiant num\u00e9rique stock\u00e9 \u00e0 la place d\u2019une donn\u00e9e biom\u00e9trique originale demeurait un renseignement personnel [15]<\/a>. Certes, l\u2019entreprise disposait de la technologie lui permettant de d\u00e9chiffrer les donn\u00e9es. De plus, elles \u00e9taient combin\u00e9es \u00e0 d\u2019autres renseignements personnels, ce qui rendait l\u2019individu identifiable. Dans une autre affaire, un arbitre qu\u00e9b\u00e9cois avait \u00e9galement conclu en ce sens, \u00e0 l’effet que le r\u00e9sultat binaire obtenu apr\u00e8s la conversion algorithmique des mensurations de la main d’un salari\u00e9 pouvait \u00eatre consid\u00e9r\u00e9 comme un renseignement personnel\u00a0[16]<\/a>. Pr\u00e9cisons ici que, comme la finalit\u00e9 de traitement des donn\u00e9es biom\u00e9triques \u00e9tait pr\u00e9cis\u00e9ment l’identification des individus, l’employeur disposait sans doute d’un moyen de les identifier.\u00a0Par contre, \u00a0\u00ab\u00a0dans la situation o\u00f9 ce type de renseignement (r\u00e9sultat binaire obtenu apr\u00e8s la conversion algorithmique des mensurations de la main) se retrouve dans les mains d’un tiers qui n’a aucun autre renseignement pour faire une corr\u00e9lation entre ce renseignement et un individu identifiable, il serait alors plus difficile d’argumenter qu’il s’agit en fait d’un renseignement personnel au sens des LPRP applicables\u00a0\u00bb[17]<\/a>.<\/p>\n

Conclusion<\/strong><\/p>\n

\n

En d\u00e9finitive, tant qu\u2019il existera une possibilit\u00e9 raisonnable ou s\u00e9rieuse de relier un renseignement personnel chiffr\u00e9 \u00e0 un individu, le renseignement devrait \u00eatre trait\u00e9 par l\u2019organisation comme un renseignement personnel selon les lois applicables. Nous croyons ainsi que (1), un renseignement chiffr\u00e9 sera consid\u00e9r\u00e9 comme un renseignement personnel s\u2019il existe une possibilit\u00e9 raisonnable de d\u00e9crypter le renseignement et ce, tant au sein de l\u2019organisation que par un tiers, et que (2) il est probable que les renseignements chiffr\u00e9s et conserv\u00e9s avec d\u2019autres renseignements personnels sur un m\u00eame individu soient jug\u00e9s comme \u00e9tant des renseignements personnels selon ce qui d\u00e9coule de la jurisprudence.<\/p>\n

Il est cependant difficile de faire valoir qu\u2019un renseignement chiffr\u00e9 et conserv\u00e9 de mani\u00e8re isol\u00e9, sans qu\u2019aucun autre renseignement personnel ne soit associ\u00e9, soit consid\u00e9r\u00e9 comme un renseignement identifiable et donc personnel. L\u2019h\u00e9bergeur ne disposant ainsi d\u2019aucun moyen de d\u00e9chiffrer les donn\u00e9es qu\u2019il conserve n\u2019aurait normalement pas l\u2019obligation de traiter les renseignements comme des renseignements personnels. Toutefois, ces renseignements demeureront personnels \u00e0 l\u2019\u00e9gard de l\u2019organisation d\u00e9tenant le contr\u00f4le sur ces renseignements et la cl\u00e9 de chiffrement.<\/p>\n<\/div>\n

Toute la question reposera donc sur le contexte et l\u2019interpr\u00e9tation d\u2019une possibilit\u00e9 s\u00e9rieuse<\/i> d\u2019identifier un individu au moyen d\u2019un renseignement personnel chiffr\u00e9, en tenant compte des moyens susceptibles d\u2019\u00eatre raisonnablement mis en oeuvre<\/i>. Chaque situation factuelle devra \u00eatre \u00e9valu\u00e9e en tenant compte des circonstances sp\u00e9cifiques et des lois sur la protection des renseignements personnels applicables au domaine de comp\u00e9tence de l’organisation.<\/p>\n

Autres points importants<\/span><\/p>\n