Notes from the IAPP Canada: Accountability should outweigh consent with connected vehicles

My car thinks it is smarter than me, and in many ways it probably is. It certainly thinks it knows better than I do where the lane is — we argue about this often, usually by way of a vibrating steering wheel, and I will admit its winning percentage is uncomfortably high. It also processes a great deal of my personal information to do what it does. I cannot honestly say I consented to any of it in a meaningful way. I bought a car, I got in and I started to drive.

That doesn't trouble me, in and of itself. I'm content with most of that processing so long as it fits within my reasonable expectations. I expect the car to know where it is, to warn me when I drift and to get help if something goes badly wrong. I do not expect it to keep a running account of my conversations, my contacts and my browsing for purposes nobody has explained in terms I could actually absorb. That distinction, between what I clicked and what I reasonably expect, is where our law may have been looking in the wrong place.

New Canadian research gives us a fresh reason to talk about it. On 6 Nov., the Office of the Privacy Commissioner of Canada published summaries of research funded through its Contributions Program, including a project by the Automobile Protection Association on privacy permissions and consent in 2025 and 2026 model year vehicles. 

In some vehicles, the researchers reported, the in-vehicle privacy information took more than 100 screen scrolls to review. The data that may be collected includes location, driving habits, contacts, websites visited and in-vehicle conversations, and in some circumstances even Social Insurance Numbers. They also reported inconsistencies between what automakers say online and what the vehicle itself presents, and cases where customers must accept broad information sharing or lose connected features.

It's easy to blame the automakers for burying us in screens, and some of that blame may be fair. But we should also be fair about why those screens exist. Our privacy laws generally require an organization to obtain the individual's consent to collect, use and disclose personal information, subject to exceptions. If consent is the legal gateway, at least for the moment, the rational thing for a cautious organization to do is put everything in the notice and get the customer to accept it. The result is 100 scrolls. The problem is not mainly that the notice is badly written, but that we've assigned consent a job it cannot do. You've heard me rant about this before.

Consent is not the answer elsewhere except for in special cases. No one can meaningfully consent to all the ways their personal information is processed when they buy a pair of socks online, let alone a connected car. Pretending otherwise doesn't actually protect people. It produces a legal fiction, and it lets organizations treat a tired click as an answer to questions the click never really addressed. 

I think we all understand better now that we need to move away from consent almost entirely and put greater weight on accountability. An organization should process personal information only in ways that are consistent with ethics and human rights, and that are reasonable in the circumstances. Consent would still have a place for uses that are truly optional or surprising, but the question would be whether the organization can justify what it is doing. 

Anyway, we've been circling this in connected cars for a decade. A 2015 study led by Pippa Lawson and a 2019 voluntary privacy code of practice for connected cars led by Rajen Akalu, both funded by the OPC, raised the same concerns about meaningful consent, tracking and profiling, and senators heard similar evidence from then privacy commissioner Daniel Therrien in 2017. All that work was worthwhile, yet research published in 2026 sounds strikingly similar. I feel like a decade of explaining the problem has not really led to any real progress on this file. 

Here is where the dirty work comes in. If this research is correct, a reasonableness test sorts the reported practices quickly, and not always comfortably. Diagnostics, navigation, safety features and software updates fit within what a driver would expect, lane assist included, however often it argues with me — and occasionally I think it's even being a little passive-aggressive. 

Other practices need a justification I have not yet heard. Why would a vehicle need a driver's contacts or a record of in-vehicle conversations beyond the purpose the driver asked it to serve? In what circumstances could it need a SIN? Why should declining broad sharing cost a customer an unrelated feature? Let's keep in mind those are reported research findings, and not an OPC investigation or audit finding, and the full report is not yet posted, so we cannot fairly pronounce on any particular automaker. But these are the right questions, and I don't think "consent" can answer them.

Cars these days are really rolling computers or should I dare say it, "robots." The next time we face a car's privacy notice that takes 100 scrolls to read, I hope we resist asking whether the driver really consented by the end of it. Of course they didn't. Let's ask instead whether the organization can explain, plainly, why its processing is ethical, why it respects human rights and why it falls within what a reasonable person in the driver's seat would expect. If it can, it probably doesn't need to manufacture my fictional consent. If it can't, my fictional consent probably shouldn't save it.

Notes de l'IAPP Canada : La responsabilité devrait l'emporter sur le consentement avec les véhicules connectés

Ma voiture se prend pour plus intelligente que moi, et à bien des égards, elle a probablement raison. Elle est en tout cas convaincue de savoir mieux que moi où se trouve la voie. (Nous nous disputons souvent à ce sujet, par volant vibrant interposé, et je dois admettre qu'elle gagne un peu trop souvent à mon goût.) Pour faire tout ce qu'elle fait, elle traite aussi une grande quantité de mes renseignements personnels. Or, je ne peux pas honnêtement dire que j'ai consenti à tout cela de façon significative. J'ai acheté une voiture, je suis monté à bord et je me suis mis à conduire.

Cela ne me dérange pas, en soi. Je suis à l'aise avec la plupart de ces traitements, pourvu qu'ils correspondent à mes attentes raisonnables. Je m'attends à ce que la voiture sache où elle se trouve, à ce qu'elle m'avertisse quand je dérive et à ce qu'elle appelle à l'aide si quelque chose tourne mal. Je ne m'attends pas à ce qu'elle tienne un registre de mes conversations, de mes contacts et de ma navigation à des fins que personne ne m'a expliquées en des termes que je pouvais réellement assimiler. Cette distinction, entre ce que j'ai cliqué et ce à quoi je m'attends raisonnablement, c'est là que notre droit s'est peut-être trompé de cible.

De nouvelles recherches canadiennes nous donnent une bonne raison d'en parler. Le 6 novembre, le Commissariat à la protection de la vie privée du Canada a publié des résumés de recherches financées par son Programme de contributions, dont un projet de l'Association pour la protection des automobilistes portant sur les autorisations et le consentement en matière de vie privée dans les véhicules des années modèles 2025 et 2026. Dans certains véhicules, rapportent les chercheurs, l'information sur la vie privée présentée à bord exigeait plus de 100 défilements d'écran. Les données susceptibles d'être recueillies comprennent la localisation, les habitudes de conduite, les contacts, les sites Web visités et les conversations à bord, et même, dans certains cas, le numéro d'assurance sociale. Les chercheurs ont aussi signalé des écarts entre ce que les constructeurs automobiles affirment en ligne et ce que le véhicule lui-même présente, ainsi que des cas où le client doit accepter un partage élargi de ses renseignements ou perdre des fonctions connectées.

Il est facile de blâmer les constructeurs de nous ensevelir sous les écrans, et une partie de ce blâme est sans doute méritée. Mais il faut aussi être juste quant à la raison d'être de ces écrans. Nos lois sur la protection des renseignements personnels exigent généralement qu'un organisme obtienne le consentement de la personne pour recueillir, utiliser et communiquer ses renseignements personnels, sous réserve de certaines exceptions. Si le consentement est la porte d'entrée légale (du moins pour le moment), la chose rationnelle à faire, pour un organisme prudent, est de tout mettre dans l'avis et de faire accepter le tout par le client. Résultat : une centaine de défilements. Le problème n'est pas tant que l'avis soit mal rédigé, c'est que nous avons confié au consentement un travail qu'il ne peut pas accomplir. Vous m'avez déjà entendu râler à ce sujet.

Le consentement n'est pas la réponse ailleurs non plus, sauf dans des cas particuliers. Personne ne peut consentir de façon significative à toutes les manières dont ses renseignements personnels sont traités quand il achète une paire de bas en ligne, et encore moins une voiture connectée. Prétendre le contraire ne protège personne. Cela produit une fiction juridique, et permet aux organismes de traiter un clic fatigué comme s'il répondait à des questions que ce clic n'a jamais vraiment abordées. Je crois que nous comprenons tous mieux, maintenant, qu'il faut délaisser le consentement presque entièrement et miser davantage sur la responsabilité. Un organisme ne devrait traiter des renseignements personnels que de manière conforme à l'éthique et aux droits de la personne, et raisonnable dans les circonstances. Le consentement garderait une place pour les utilisations vraiment facultatives ou surprenantes, mais la question deviendrait alors la suivante : l'organisme peut-il justifier ce qu'il fait?

Quoi qu'il en soit, nous tournons autour de ce problème dans les voitures connectées depuis une dizaine d'années. Une étude de 2015 dirigée par Pippa Lawson et un code de pratique volontaire de 2019 dirigé par Rajen Akalu, tous deux financés par le Commissariat, soulevaient les mêmes préoccupations au sujet du consentement significatif, du suivi et du profilage, et les sénateurs ont entendu un témoignage semblable de la part de Daniel Therrien, alors commissaire, en 2017. Tout ce travail en valait la peine. Pourtant, les recherches publiées en 2026 sonnent étrangement pareil. J'ai l'impression qu'une décennie à expliquer le problème n'a pas vraiment mené à de réels progrès dans ce dossier.

C'est ici que le véritable travail commence. Si ces recherches disent vrai, un critère de raisonnabilité permet de trier rapidement les pratiques rapportées, et le résultat n'est pas toujours confortable. Le diagnostic, la navigation, les fonctions de sécurité et les mises à jour logicielles correspondent à ce à quoi un conducteur s'attend, aide au maintien de la voie comprise, même si elle se dispute souvent avec moi (et, à l'occasion, je la soupçonne même d'un brin de passivité agressive). D'autres pratiques exigent une justification que je n'ai pas encore entendue. Pourquoi un véhicule aurait-il besoin des contacts de son conducteur ou d'un enregistrement de ses conversations à bord, au-delà du service que le conducteur lui a demandé? En quelles circonstances pourrait-il avoir besoin d'un numéro d'assurance sociale? Pourquoi le refus d'un partage élargi devrait-il coûter au client une fonction qui n'a rien à voir avec ce partage? Gardons à l'esprit qu'il s'agit de résultats de recherche rapportés, et non des conclusions d'une enquête ou d'un audit du Commissariat, et que le rapport complet n'est pas encore publié, alors nous ne pouvons pas nous prononcer équitablement sur un constructeur en particulier. Mais ce sont les bonnes questions, et je ne crois pas que le « consentement » puisse y répondre.

Les voitures d'aujourd'hui sont de véritables ordinateurs sur roues, ou devrais-je oser le dire, des « robots ». La prochaine fois que nous tomberons sur l'avis de confidentialité d'une voiture qui exige une centaine de défilements, j'espère que nous résisterons à la tentation de demander si le conducteur y a vraiment consenti, au bout du compte. Bien sûr que non. Demandons plutôt si l'organisme peut expliquer, simplement, pourquoi son traitement est éthique, pourquoi il respecte les droits de la personne et pourquoi il correspond à ce à quoi s'attendrait une personne raisonnable assise au volant. S'il le peut, il n'a probablement pas besoin de fabriquer mon consentement fictif. S'il ne le peut pas, mon consentement fictif ne devrait probablement pas le sauver.

This French companion article is not meant to be an exact translation, but rather an article that generally covers the same topic as the English article.