Notes from the IAPP Canada: The tongue-tied truth about privacy

This past week, I had a small lump removed from my tongue. As medical procedures go, it was minor. Still, there is something uniquely unsettling about lying in a chair while someone pinches, slices and then stitches the very thing you're relying on to ask whether everything is going according to plan. I am pleased to report that the procedure was a success. My tongue is still intact, and so is my ability to occasionally put my foot in my mouth.

First off, the clinical care was excellent. The experience, however, left me with lingering thoughts about privacy.

While waiting for my appointment, I listened to staff conduct patient intake conversations in ways that allowed much of the waiting room to overhear. When it was my turn at the desk, I noticed several sticky notes with passwords written on them. Yes, passwords. On sticky notes. In 2026.

Then, on the way to the procedure room, I passed several treatment areas with windows and clear doors. Nothing inappropriate was visible, but it was certainly possible to catch a glimpse of another patient receiving medical care.

As a privacy professional, these observations left me tongue-tied more than usual.

What struck me wasn't the severity of the issues — none was catastrophic — but just how familiar they felt.

For years, privacy professionals have advocated for privacy by design, stronger governance, better training and improved safeguards. We discuss artificial intelligence, automated decision-making, synthetic data, algorithmic accountability and cross-border data transfers. We produce frameworks, principles and guidance documents. Entire conferences are dedicated to these topics.

Yet somehow, a password on a sticky note continues its remarkable refusal to become extinct.

Maybe that's because privacy failures are often less about technology than about habit.

The people working in that clinic clearly care about their patients. The problem is that small exceptions seem to have become part of the everyday environment. A conversation held a little too loudly. A password written down "just temporarily." A layout decision that seems harmless because everyone has grown accustomed to it. Over time, these small departures from good practice stop looking like departures at all.

That's why I have increasingly come to view privacy by design not just as an implementation exercise, but as a maintenance exercise.

Many organizations approach privacy by design as something that happens during a project. A checklist is completed, controls are documented, risks are assessed and the box is ticked.

But in many ways the harder challenge begins afterwards.

That's because workflows evolve, staff change, physical spaces get repurposed and shortcuts emerge. People adapt processes to get through busy days. Before long, the organization finds itself speaking a very good privacy language while maybe not fully walking the talk.

We may start seeing this in AI governance as well. As organizations rush to establish AI oversight committees, governance frameworks and accountability mechanisms, we should remember that sophisticated governance structures don't compensate for weak fundamentals. Before worrying about the most complex use cases, it may be wise to look around the office and make sure sensitive information isn't sitting in plain sight.

The reality is that privacy and data protection are never really finished. It's less like constructing a building and a lot more like tending a garden. Left unattended, even the healthiest environment accumulates weeds.

My visit to the clinic reminded me that governance maturity is not measured by the elegance of a policy framework or a chic, modern-looking office. It is measured by what an ordinary person experiences during an ordinary day.

Sometimes the most important privacy audit is simply walking through the front door and keeping your eyes — and ears — open.

In my case, that lesson came at the cost of a sore tongue. And, on reflection, that may be fitting. After all, we've now spent decades urging organizations to watch what they say, what they share and what they expose. And it looks like we're going to have to keep repeating ourselves until we're blue in the face or at least until we're no longer seeing passwords stuck to the side of a monitor.

Notes de l'IAPP Canada : La vérité étouffée sur la vie privée

Cette semaine, j'ai dû subir l'ablation d'une petite masse sur la langue. Comme intervention médicale, c'était relativement mineur. Cela dit, il y a quelque chose de particulièrement perturbant à être allongé dans un fauteuil pendant qu'une personne pince, coupe puis recoud précisément l'organe qui vous sert normalement à demander si tout se déroule comme prévu. Je suis heureux d'annoncer que l'intervention a été un succès. Ma langue est toujours là. Ma tendance à mettre le pied dans la bouche aussi.

D'entrée de jeu, je tiens à préciser que les soins que j'ai reçus étaient excellents. L'expérience m'a toutefois laissé avec quelques réflexions sur la protection de la vie privée.

Alors que j'attendais mon rendez-vous, j'ai entendu le personnel recueillir des renseignements auprès de patients d'une manière qui permettait à une bonne partie de la salle d'attente d'entendre les conversations. Lorsque mon tour est arrivé au comptoir, j'ai remarqué plusieurs notes autocollantes sur lesquelles étaient inscrits des mots de passe. Oui, des mots de passe. Sur des notes autocollantes. En 2026.

Puis, en me dirigeant vers la salle d'intervention, je suis passé devant plusieurs aires de traitement dotées de fenêtres et de portes vitrées. Rien d'inapproprié n'était visible, mais il était néanmoins possible d'apercevoir brièvement un autre patient en train de recevoir des soins.

Comme professionnel de la protection de la vie privée, ces observations m'ont laissé sans voix. Enfin, encore plus que d'habitude.

Ce qui m'a frappé n'était pas la gravité des situations observées. Aucune n'était catastrophique. C'est plutôt à quel point elles m'ont semblé familières.

Depuis des années, les professionnels de la protection de la vie privée prônent la protection de la vie privée dès la conception, une meilleure gouvernance, davantage de formation et des mesures de protection plus robustes. Nous discutons d'intelligence artificielle, de prise de décision automatisée, de données synthétiques, de responsabilité algorithmique et de transferts transfrontaliers de données. Nous produisons des cadres, des principes et des lignes directrices. Des conférences entières sont consacrées à ces sujets.

Et pourtant, le mot de passe écrit sur une note autocollante refuse obstinément de disparaître.

Peut-être est-ce parce que les atteintes à la vie privée sont souvent davantage une question d'habitude qu'une question de technologie.

Les personnes travaillant dans cette clinique se souciaient manifestement du bien-être de leurs patients. Le problème est plutôt que certaines petites exceptions semblent être devenues normales. Une conversation tenue un peu trop fort. Un mot de passe noté « temporairement ». Un choix d'aménagement qui paraît anodin parce que tout le monde s'y est habitué.

Avec le temps, ces petits écarts cessent d'apparaître comme des écarts.

C'est pourquoi j'en suis venu à considérer la protection de la vie privée dès la conception non seulement comme un exercice de mise en œuvre, mais aussi comme un exercice d'entretien.

De nombreuses organisations abordent encore ce concept comme une activité ponctuelle réalisée dans le cadre d'un projet. On remplit une liste de vérification, on documente les contrôles, on évalue les risques et on coche la case.

Mais le défi le plus difficile commence souvent après coup.

Les processus évoluent, les employés changent, les espaces physiques sont réaménagés et les raccourcis se multiplient. Les gens adaptent les procédures pour réussir à traverser des journées chargées. Et avant même de s'en rendre compte, l'organisation parle très bien le langage de la protection de la vie privée sans toujours en appliquer pleinement les principes.

Nous risquons également d'observer ce phénomène dans le domaine de la gouvernance de l'intelligence artificielle. Alors que les organisations mettent en place des comités de supervision, des cadres de gouvernance et des mécanismes de responsabilisation, il importe de se rappeler que les structures les plus sophistiquées ne compensent pas des contrôles fondamentaux déficients. Avant de nous préoccuper des cas d'utilisation les plus complexes, il serait peut-être utile de vérifier que les renseignements sensibles ne sont pas visibles à la vue de tous.

La réalité est que la protection de la vie privée et des données n'est jamais véritablement terminée. Cela ressemble moins à la construction d'un bâtiment qu'à l'entretien d'un jardin. Lorsqu'on cesse d'y prêter attention, même l'environnement le plus sain finit par laisser pousser quelques mauvaises herbes.

Cette visite à la clinique m'a rappelé que la maturité d'un programme de gouvernance ne se mesure ni à l'élégance d'une politique ni au caractère moderne des bureaux. Elle se mesure à ce qu'une personne ordinaire observe au cours d'une journée ordinaire.

Parfois, l'audit le plus efficace consiste simplement à franchir la porte d'entrée et à garder les yeux... et les oreilles... bien ouverts.

Dans mon cas, cette leçon est venue avec une langue douloureuse. Et, en y repensant, cela semble presque approprié. Après tout, cela fait maintenant des décennies que nous demandons aux organisations de faire attention à ce qu'elles disent, à ce qu'elles partagent et à ce qu'elles exposent. Et il semble que nous allons devoir continuer à nous répéter jusqu'à en perdre notre latin... ou, à tout le moins, jusqu'à ce que les mots de passe disparaissent enfin des notes autocollantes collées sur les écrans.

This French companion article is not meant to be an exact translation, but rather an article that generally covers the same topic as the English article.