Se faire pister pour le bien commun ?

En quoi suivre nos déplacements est-il socialement utile ?

La plateforme de géomarketing Propulso a, par exemple, employé la géolocalisation pour interpréter des problèmes de circulation automobile. « On peut ainsi obtenir des réponses en quelques minutes et quelques clics plutôt qu’en quelques semaines », rapporte son directeur général, Mathieu Le Reste.

D’après le site de Telus, observer les flux de population génère même des informations « cruciales » pouvant « sauver le monde ».

Pour vérifier le respect des consignes sanitaires, la Santé publique fédérale a accédé pendant un an et demi aux données de déplacement des millions de clients de l’entreprise en télécommunications.

Le Ministère a aussi accédé à la plateforme de renseignements sur les épidémies de la firme torontoise BlueDot, qui est nourrie par des applications pour téléphones mobiles, dont MétéoMédia, propriété de Pelmorex.

Cet outil, conçu pour anticiper la propagation de 150 maladies infectieuses, a prédit des flambées au Canada et a « fourni des renseignements exploitables vraiment importants », a témoigné le PDG de BlueDot lorsqu’un comité des Communes lui a demandé des comptes.

« En parlant sans arrêt de ce qui peut mal tourner, on perd de vue que les données peuvent améliorer notre vie… », conclut Jan Kestle, présidente de la firme torontoise Environics Analytics.

Ces suivis mettent-ils notre vie privée en danger ?

Pas selon Telus et ses concurrentes, leurs plateformes servant à scruter des tendances de mouvements plutôt qu’à créer des profils individuels.

Des députés inquiets ont néanmoins saisi le Comité permanent de l’accès à l’information, de la protection des renseignements personnels et de l’éthique.

Le 4 mai, ce dernier a publié 22 recommandations sur l’utilisation de données sur la mobilité par le gouvernement du Canada.

« Les données de votre cellulaire […] renseignent sur tous les endroits où vous vous rendez et les personnes que vous fréquentez. Si elles pouvaient être repersonnalisées et que des liens étaient établis par le gouvernement, ce serait extrêmement troublant », a témoigné l’ex-commissaire à la vie privée de l’Ontario, Ann Cavoukian.

D’après le commissaire fédéral Daniel Therrien qui a déclenché sa propre enquête – et a applaudi le rapport du comité –, le danger est réel. Il avait par conséquent offert de vérifier si les informations de Telus se voyaient dépersonnalisées de manière assez experte pour réduire les risques. Mais le gouvernement a refusé de le laisser « regarder sous le capot », a-t-il révélé au comité.

Une vice-présidente de Telus a précisé au comité ne jamais fournir de renseignements en temps réel [contrairement à d’autres entreprises], « car cela augmenterait le risque ».

« Nous avons consulté des spécialistes parmi les plus réputés au monde pour mettre nos systèmes à l’épreuve et garantir que nos données ne puissent pas être repersonnalisées », nous a par ailleurs écrit une porte-parole.

Ces suivis sont-ils nombreux ?

D’après le témoignage du commissaire fédéral, le secteur privé alimente de plus en plus souvent le gouvernement en données.

Telus révèle sur son site avoir collaboré avec un Conseil de recherches et avec les villes d’Ottawa et de Surrey, en Colombie-Britannique. Impossible d’en savoir plus. « Nos ententes contiennent habituellement des clauses de confidentialité », justifie sa porte-parole.

Environics approvisionne de son côté la Monnaie royale canadienne, la Société canadienne du sang et diverses fondations. « Mais c’est difficile d’obtenir des gouvernements l’autorisation de citer leur travail », dit sa présidente, Jan Kestle.

D’après son rapport annuel 2020, Bell Canada a acheté l’entreprise de Mme Kestle afin d’« ouvrir de nouvelles perspectives pour les stratégies poussées de publicité ».

Sandrine Prom Tep, professeure de marketing à l’UQAM, s’interroge : « Ces entreprises sont de plus en plus sur la sellette. Est-ce que ces partenariats avec les gouvernements sont leur façon d’essayer de se racheter ou de retarder une législation plus sévère ? »

Les Canadiens devraient-ils pouvoir échapper à ces suivis ?

« Il n’est pas réaliste, dans le monde moderne d’aujourd’hui, de s’attendre à ce que tous les usages commerciaux ou gouvernementaux des données d’un client fassent l’objet d’un consentement », a témoigné le commissaire fédéral.

Dans certains cas, a-t-il ajouté, un refus irait même à l’encontre de l’intérêt public.

L’emploi d’informations dépersonnalisées doit par contre être réglementé et surveillé pour éviter des « risques très sérieux », estime-t-il. Ce n’est pas le cas actuellement, alors qu’un « nombre extrêmement important » d’utilisations en est fait, « parfois pour de bonnes, parfois pour de mauvaises raisons », dit-il.

Le professeur Pierre Trudel, du Centre de droit public de l’Université de Montréal, est du même avis. « Miser sur le consentement, c’est totalement déconnecté de la réalité. La vraie solution est un cadre beaucoup plus solide. »

« Les données massives sont une ressource collective. On ne peut pas continuer à les traiter comme l’actif d’organisations n’ayant aucun compte à rendre. »

L’approche du gouvernement inspire-t-elle confiance ?

La majorité des témoins cités par le comité estiment que non.

« Comment peut-on faire confiance au gouvernement lorsqu’il met de côté la principale institution qu’a créée le Parlement pour faire en sorte de protéger la vie privée des Canadiens ? », a demandé l’ex-journaliste et ex-député québécois Jean-Pierre Charbonneau, devenu conférencier sur l’éthique.

Agir en catimini n’est pas la bonne approche, a confirmé Daniel Weinstock, professeur de philosophie de l’Université McGill. « En cachant des choses et en mettant de côté le commissaire, on crée des apparences qui n’ont pas lieu d’être et qui ont tendance à nourrir la polarisation » et à créer de faux scandales, a-t-il dit.

Le commissaire fédéral constate les dégâts. « Même les utilisations socialement bénéfiques des données sont considérées comme suspectes parce que les Canadiens ne sont pas convaincus que les lois les protégeront », dit sa déclaration sur le rapport du comité.

Ce dernier recommande que les lois soient modernisées de plusieurs façons pour restaurer la confiance. Il faudrait désormais considérer les données dépersonnalisées et agrégées comme des renseignements personnels, insérer l’interdiction de les repersonnaliser, sous peine d’une « pénalité conséquente », puis, finalement, autoriser le commissaire fédéral à « vérifier de façon proactive les pratiques de tous les tiers fournisseurs de données mobiles pour s’assurer qu’ils respectent la loi ».

Les pourvoyeurs de données sont-ils assez transparents ?

Telus n’a pas obtenu la permission de ses clients avant d’injecter leurs données dans sa plateforme. Pour s’en retirer, ils devaient procéder par écrit. Or, « personne ne peut prétendre sérieusement [qu’ils] savaient que leurs données de mobilité seraient utilisées comme elles l’ont été », a déclaré le commissaire Daniel Therrien.

« [Les politiques de confidentialité] sont longues, compliquées, et même les avocats ont de la difficulté à les comprendre », donc « personne ne les lit », a-t-il ajouté.

Bien saisir ce que Telus fait de ses données dépersonnalisées se révèle en effet ardu. Les informations affichées sur son site sont éparpillées et floues. On y lit par exemple que l’intelligence artificielle permet d’obtenir des « signaux », qui peuvent « être enrichis d’[autres] signaux provenant d’autres partenaires du secteur ».

« C’est très vague », estime le professeur d’informatique Sébastien Gambs, expert en éthique des données massives à l’UQAM.

« Non, ce n’est pas à la portée du citoyen moyen, c’est très boîte noire », renchérit le professeur de droit Pierre Trudel.

En réponse à nos demandes de clarification, Telus nous a écrit que ses données de localisation dépersonnalisées et agrégées « ne peuvent pas être utilisées pour de la publicité ciblée », mais « pourraient être utiles à des tierces parties dans le cadre du développement d’une stratégie marketing ».

Cet hiver, son site mentionnait sa participation à une plateforme nommée Trusted Signals, sans autres explications. D’après nos recherches, diverses industries y échangent des « informations significatives » sur leurs clients afin d’enrichir leurs propres données.

« Depuis l’an dernier, Telus ne fait plus partie de [cet] écosystème », affirme sa porte-parole.

Pour le professeur d’informatique Sébastien Gambs, « ce retrait semble indiquer que Telus n’est pas très sûr de respecter la vie privée dans ses pratiques ».

En août, la commissaire à la vie privée de l’Alberta a conclu que l’entreprise violait la loi parce que son application de soins virtuels MyCare enregistrait trop d’informations, qu’elle employait la reconnaissance faciale sans préavis et qu’elle affichait une politique de confidentialité « longue, peu claire » et qui « incluait des informations inexactes importantes ».