Notes from the IAPP Canada: Stop using privacy as an excuse, treat it as an enabler

A privacy professional saying this may sound strange, but one of my least favorite explanations for a bad decision is: "we couldn't do it because of privacy."

I was reminded of that this week at the federal, provincial and territorial privacy commissioners' meeting, which I had the privilege of joining for a couple of sessions. One of the things I encouraged our regulators to do is to speak more loudly when privacy is invoked to justify things that privacy law does not actually require. Too often, privacy becomes the convenient answer when the real problem is risk aversion, bureaucracy, lack of leadership or simple unwillingness to solve a problem.

We have seen the consequences of crying "privacy" before. Some of the most tragic examples arise in healthcare, where information that could legally and appropriately have been shared was not because someone misunderstood their obligations or took an overly cautious view of the rules. In some cases, those failures have had devastating consequences. Privacy law did not cause the harm, but the failure to understand and apply it properly did.

The problem is hardly limited to life-and-death situations. Consider the cookie banner. Canadians are now greeted by a never-ending parade of pop-ups asking us to accept, reject or manage cookies. While such banners are legally required in parts of Europe, Canada never adopted an equivalent legal framework. Yet, many organizations — and, ummm regulators??? — behave as though Canadian law demands exactly the same thing.

As a result, we have imported one of the internet's most irritating user experiences with little evidence that it has meaningfully improved privacy. Users click through banners without reading them, websites become more cumbersome and organizations spend time and money maintaining compliance mechanisms that may not even be legally necessary. Privacy is blamed for the annoyance, even when privacy law is not the source of the requirement.

I encountered another version of the same problem this week in a meeting with officials from Indigenous Services Canada. I was there on behalf of a client that is helping Indigenous groups negotiate arrangements with the government. Access to data is critical to that work. In many cases, the federal government holds most of the relevant information and has already been directed to provide it to level the negotiation playing field.

Yet rather than focusing on how to exchange the information safely and efficiently, the discussion repeatedly returns to obstacles supposedly created by privacy requirements. It's difficult to escape the impression that privacy has become a catch-all explanation for delay. The challenge is not whether the information could be shared; it's figuring out how to share it responsibly.

That's an important distinction. Privacy law is not designed to prevent beneficial uses of information. It's designed to ensure that personal information is collected, used and disclosed in ways that are fair, proportionate and accountable. Most privacy statutes contain mechanisms that allow necessary information sharing. They recognize that there are legitimate public interests, operational needs and social benefits associated with the use of data.

The hard work is rarely legal — it's governance.

Responsible data sharing requires clear rules, appropriate safeguards, accountability measures and a willingness to make decisions. Organizations need to understand both the risks of sharing information and the risks of refusing to share it. Too often, institutions focus only on the first category.

To be fair, caution has its place. Privacy regulators regularly deal with organizations that collect too much information, retain it too long or use it for purposes nobody expected or wanted. The pressure to avoid making a mistake is real. Public sector officials, in particular, may face significant scrutiny if information is mishandled.

But there's a big difference between caution and paralysis.

We're now well into the information age, and perhaps beyond it. Governments, businesses and institutions increasingly rely on data to make decisions, deliver programs and solve complex problems. If privacy is treated as an automatic veto rather than a framework for responsible decision-making, we'll continue to miss opportunities to use information for legitimate and beneficial purposes.

Privacy should not be the reason a good thing doesn't happen. More often than not, privacy provides the tools to make that good thing happen safely. Let's stop using privacy as an excuse and start treating it as an enabler.

Notes de l'IAPP Canada : Cessez d'utiliser la vie privée comme excuse, traitez-la comme un facilitateur

En tant que professionnel de la protection de la vie privée, cela peut sembler étrange, mais l'une des explications que j'aime le moins entendre pour justifier une mauvaise décision est la suivante : « nous ne pouvions pas le faire à cause de la vie privée ».

J'y ai repensé cette semaine lors de la rencontre des commissaires fédéral, provinciaux et territoriaux à la protection de la vie privée, à laquelle j'ai eu le privilège d'assister pour quelques séances. J'ai notamment encouragé les organismes de réglementation à dénoncer plus ouvertement les situations où l'on invoque la protection de la vie privée pour justifier des pratiques que les lois en la matière n'exigent tout simplement pas. Trop souvent, la vie privée devient une réponse commode alors que le véritable problème est plutôt l'aversion au risque, la bureaucratie, un manque de leadership ou, tout simplement, l'absence de volonté de trouver une solution.

Nous avons déjà vu les conséquences de cette tendance à invoquer la « vie privée » à tort et à travers. Certains des exemples les plus tragiques proviennent du secteur de la santé, où des renseignements qui auraient pu être communiqués légalement et de manière appropriée ne l'ont pas été parce qu'une personne comprenait mal ses obligations ou interprétait les règles de façon excessivement prudente. Dans certains cas, ces erreurs ont eu des conséquences dévastatrices. Ce n'est pas le droit à la vie privée qui a causé le préjudice, mais bien la mauvaise compréhension ou la mauvaise application des règles.

Le problème est loin de se limiter aux situations où des vies sont en jeu. Prenons les bannières de témoins. Les Canadiens sont désormais accueillis par un défilé incessant de fenêtres contextuelles leur demandant d'accepter, de refuser ou de gérer les témoins. Bien que ce type de bannière soit obligatoire dans certaines régions d'Europe, le Canada n'a jamais adopté un cadre juridique équivalent. Pourtant, de nombreuses organisations, et hum... certains organismes de réglementation aussi ?, agissent comme si le droit canadien exigeait exactement la même chose.

Nous avons ainsi importé l'une des expériences les plus irritantes d'Internet, sans véritable preuve qu'elle ait permis d'améliorer de façon significative la protection de la vie privée. Les utilisateurs cliquent sans lire, les sites Web deviennent plus lourds à utiliser et les organisations consacrent du temps et des ressources à maintenir des mécanismes de conformité qui ne sont peut-être même pas requis par la loi. La protection de la vie privée est alors tenue responsable de cette frustration, même lorsqu'elle n'en est pas à l'origine.

J'ai constaté une autre manifestation du même phénomène cette semaine lors d'une rencontre avec des représentants de Services aux Autochtones Canada. J'y participais au nom d'un client qui aide des groupes autochtones à négocier diverses ententes avec le gouvernement. L'accès aux données est essentiel à ce travail. Dans bien des cas, le gouvernement fédéral détient la majeure partie des renseignements pertinents et a déjà reçu le mandat de les communiquer afin de rétablir un certain équilibre dans les négociations.

Pourtant, au lieu de chercher comment transmettre ces renseignements de façon sécuritaire et efficace, les discussions reviennent constamment à des obstacles prétendument créés par les exigences en matière de protection de la vie privée. Il est difficile d'échapper à l'impression que la vie privée est devenue une explication passe-partout pour justifier les retards. L'enjeu n'est pas de savoir si les renseignements peuvent être communiqués, mais plutôt de déterminer comment le faire de manière responsable.

C'est une distinction importante.

Le droit de la protection de la vie privée n'a pas pour objet d'empêcher les usages bénéfiques de l'information. Il vise plutôt à garantir que les renseignements personnels sont recueillis, utilisés et communiqués de façon équitable, proportionnée et responsable. La plupart des lois prévoient des mécanismes permettant les échanges de renseignements nécessaires. Elles reconnaissent qu'il existe des intérêts publics légitimes, des besoins opérationnels réels et des avantages sociaux associés à l'utilisation des données.

Le véritable défi est rarement juridique. Il relève plutôt de la gouvernance.

Le partage responsable de l'information exige des règles claires, des mesures de protection appropriées, des mécanismes d'imputabilité et une volonté de prendre des décisions. Les organisations doivent comprendre à la fois les risques liés au partage des renseignements et les risques découlant d'un refus de les partager. Trop souvent, elles ne tiennent compte que de la première catégorie.

Bien sûr, la prudence a sa place. Les autorités de protection de la vie privée sont régulièrement confrontées à des organisations qui recueillent trop de renseignements, les conservent trop longtemps ou les utilisent à des fins que personne n'avait prévues ou souhaitées. La pression pour éviter toute erreur est bien réelle. Dans le secteur public en particulier, les conséquences d'une mauvaise gestion des renseignements peuvent faire l'objet d'un examen rigoureux.

Mais il existe une grande différence entre la prudence et la paralysie.

Nous sommes désormais bien installés dans l'ère de l'information, et peut-être même au-delà. Les gouvernements, les entreprises et les institutions s'appuient de plus en plus sur les données pour prendre des décisions, offrir des programmes et résoudre des problèmes complexes. Si la protection de la vie privée est perçue comme un veto automatique plutôt que comme un cadre permettant une prise de décision responsable, nous continuerons à passer à côté d'occasions d'utiliser les données à des fins légitimes et utiles.

La protection de la vie privée ne devrait pas être la raison pour laquelle une bonne chose ne se produit pas. Bien souvent, elle fournit au contraire les outils nécessaires pour rendre cette bonne chose possible, et ce, de manière sécuritaire. Il est temps de cesser d'utiliser la vie privée comme prétexte et de commencer à la considérer comme un facilitateur.

This French companion article is not meant to be an exact translation, but rather an article that generally covers the same topic as the English article.