Notes from the IAPP Canada: Closing Canada's privacy gaps is a matter of trust

There is an oddity at the heart of privacy law in Canada that we've lived with for a long time: an organization can collect highly sensitive personal information about people in Canada and still fall outside the ordinary reach of the country's privacy statutes.

Crime Stoppers appears to be one of those organizations falling outside federal law because what they're doing isn't a "commercial activity." Yet its entire model depends on people trusting it with information they may be profoundly reluctant to provide anywhere else.

The jurisdiction issue became harder to dismiss when it emerged that Crime Stoppers experienced a big breach involving the P3 platform it used, exposing records that included tips dating back decades. Crime Stoppers was apparently retaining some information for extraordinary periods, in some cases for more than 25 years. Whatever the legal technicalities, keeping sensitive information indefinitely is not exactly Privacy 101.

For people who provide information to Crime Stoppers, confidentiality can be a matter of personal safety. Protecting that information is central to the trust the service depends on.

Crime Stoppers does important work. But I think organizations performing socially useful functions should not somehow need accountability less than everyone else.

Privacy laws provide guardrails around collection, use, disclosure, safeguarding and retention. They also provide individuals with rights and organizations with a framework for demonstrating accountability. Those things become more important, not less, as the sensitivity of the information increases.

Which brings me to a larger frustration with Canada's privacy framework. When are we going to stop accepting obvious gaps simply because they're difficult to fix?

Political parties remain a conspicuous example. Federal political parties are largely outside the application of meaningful privacy laws. Employment privacy protection is another patchwork. Most Canadian employees do not enjoy comprehensive privacy protection governing how their employers process their personal information, depending on the jurisdiction and whether the employer is federally regulated.

We have known about these gaps for years. Yet the consequences become increasingly difficult to reconcile with the proposition in the draft Bill C-36 that privacy is a fundamental right. The sensitivity of personal information does not change because the entity holding it happens to sit on the wrong side of a jurisdictional line.

There's actually a useful precedent in the World Anti-Doping Agency, also considered a nonprofit organization. WADA needed privacy law coverage because of its international operations and concern for the personal information of European athletes. Canada took the unusual step of bringing WADA within the Personal Information Protection and Electronic Documents Act through a legislative amendment in 2015 specifically addressing its status at the national level. 

There was a practical reason for doing that, including WADA's ability to satisfy European data protection expectations. But there's a broader lesson, too. An organization entrusted with highly sensitive information needs trust. Being demonstrably subject to privacy rules can help build that trust.

That's worth remembering because privacy legislation is sometimes framed principally as a compliance burden. It certainly creates obligations, but accountability can also be institutional infrastructure. Clear retention rules, limits on use, appropriate safeguards and independent oversight give people reasons to trust an organization with information they would otherwise hesitate to disclose.

There will always be difficult jurisdictional questions. In fact, Canada's constitutional structure guarantees some of them, and imposing a conventional commercial privacy regime on every organization is probably not the right answer. The particular mandate of an organization matters, as does designing rules that do not inadvertently undermine a valuable public service. But "the existing statute doesn't cover them" can't be the end of the analysis.

If an organization systematically collects and uses sensitive personal information, particularly information people provide because they trust the organization to protect them, we should be able to answer a basic question: what enforceable privacy guardrails apply?

If the answer is none, perhaps the problem isn't the organization, but the gap we've chosen to leave around it.

Notes de l'IAPP Canada : Combler les lacunes en matière de vie privée au Canada est une question de confiance

Il y a une bizarrerie au cœur du droit canadien de la vie privée avec laquelle nous vivons depuis longtemps : une organisation peut recueillir des renseignements personnels extrêmement sensibles sur des Canadiens tout en échappant à l'application habituelle de nos lois sur la protection de la vie privée.

Crime Stoppers semble être l'une de ces organisations qui échappent à la loi fédérale parce que ses activités ne sont pas de nature « commerciale ». Pourtant, tout son modèle repose sur la confiance des gens qui lui transmettent des renseignements qu'ils hésiteraient profondément à communiquer ailleurs.

La question de compétence est devenue plus difficile à ignorer lorsqu'on a appris que Crime Stoppers avait subi une importante atteinte à la sécurité impliquant la plateforme P3 qu'elle utilisait, exposant des dossiers comprenant des signalements remontant à plusieurs décennies. L'organisation conservait apparemment certains renseignements pendant des périodes extraordinaires, parfois pendant plus de 25 ans. Peu importe les subtilités juridiques, conserver indéfiniment des renseignements sensibles n'est pas exactement le b.a.-ba de la protection de la vie privée.

Pour les personnes qui transmettent des renseignements à Crime Stoppers, la confidentialité peut être une question de sécurité personnelle. La protection de ces renseignements est au cœur même de la confiance dont dépend le service.

Crime Stoppers accomplit un travail important. Mais je ne crois pas que les organisations qui remplissent des fonctions socialement utiles aient, pour cette raison, moins besoin de mécanismes de responsabilisation que les autres.

Les lois sur la protection de la vie privée établissent des balises concernant la collecte, l'utilisation, la communication, la protection et la conservation des renseignements. Elles confèrent aussi des droits aux personnes et fournissent aux organisations un cadre leur permettant de démontrer qu'elles agissent de façon responsable. Plus les renseignements sont sensibles, plus ces protections deviennent importantes, et non l'inverse.

Ce qui m'amène à une frustration plus générale à l'égard du régime canadien de protection de la vie privée. Quand allons-nous cesser d'accepter des lacunes évidentes simplement parce qu'elles sont difficiles à corriger?

Les partis politiques demeurent un exemple particulièrement frappant. Les partis politiques fédéraux échappent en grande partie à l'application de lois véritablement contraignantes en matière de protection de la vie privée. La protection de la vie privée en milieu de travail constitue un autre régime en mosaïque. La plupart des employés canadiens ne bénéficient pas d'une protection complète régissant la façon dont leur employeur traite leurs renseignements personnels, selon la province ou le territoire et selon que l'employeur est ou non sous réglementation fédérale.

Nous connaissons ces lacunes depuis des années. Pourtant, leurs conséquences deviennent de plus en plus difficiles à concilier avec l'affirmation, dans le projet de loi C-36, selon laquelle la vie privée est un droit fondamental. La sensibilité des renseignements personnels ne change pas simplement parce que l'entité qui les détient se trouve du mauvais côté d'une ligne de compétence.

Il existe d'ailleurs un précédent utile : l'Agence mondiale antidopage, elle aussi considérée comme un organisme sans but lucratif. L'AMA avait besoin d'être assujettie à une loi sur la protection de la vie privée en raison de ses activités internationales et des préoccupations entourant les renseignements personnels des athlètes européens. En 2015, le Canada a pris la mesure inhabituelle d'assujettir expressément l'AMA à la LPRPDE au moyen d'une modification législative visant précisément son statut à l'échelle nationale.

Il y avait une raison pratique à cette décision, notamment la nécessité pour l'AMA de répondre aux attentes européennes en matière de protection des données. Mais il y a aussi une leçon plus générale à en tirer. Une organisation à laquelle on confie des renseignements extrêmement sensibles a besoin de la confiance du public. Pouvoir démontrer qu'elle est assujettie à des règles en matière de protection de la vie privée peut contribuer à bâtir cette confiance.

Cela vaut la peine de le rappeler, car les lois sur la protection de la vie privée sont parfois présentées principalement comme un fardeau de conformité. Elles imposent certainement des obligations, mais la responsabilisation peut aussi constituer une véritable infrastructure institutionnelle. Des règles claires sur la conservation, des limites à l'utilisation, des mesures de protection appropriées et une surveillance indépendante donnent aux gens des raisons de faire confiance à une organisation avec des renseignements qu'ils hésiteraient autrement à lui communiquer.

Il y aura toujours des questions de compétence difficiles. En fait, la structure constitutionnelle du Canada nous en garantit quelques-unes, et imposer un régime conventionnel de protection de la vie privée applicable aux activités commerciales à toutes les organisations n'est probablement pas la bonne solution. Le mandat particulier d'une organisation compte, tout comme la nécessité de concevoir des règles qui ne compromettent pas involontairement un service public utile. Mais « la loi actuelle ne s'applique pas » ne peut pas être la fin de l'analyse.

Lorsqu'une organisation recueille et utilise systématiquement des renseignements personnels sensibles, particulièrement des renseignements que les gens lui confient parce qu'ils comptent sur elle pour les protéger, nous devrions pouvoir répondre à une question toute simple : quelles règles de protection de la vie privée juridiquement contraignantes s'appliquent?

Si la réponse est aucune, le problème n'est peut-être pas l'organisation, mais plutôt la lacune que nous avons choisi de laisser autour d'elle.

This French companion article is not meant to be an exact translation, but rather an article that generally covers the same topic as the English article.