Le 29 septembre 2020, le gouvernement du Québec a finalement accepté d’introduire sur son territoire l’application controversée du gouvernement fédéral, Alerte COVID. Souvent confondue avec une application de traçage, il s’agit plutôt d’une application de notification d’exposition puisqu’elle ne trace pas l’emplacement de ses utilisateurs. En fait, elle ne collecte aucun renseignement personnel, grâce à la technologie Bluetooth qui permet de notifier les personnes ayant été en proximité d’un utilisateur s’étant déclaré positif de la COVID-19.
L’application est mise en œuvre par Santé Canada en vertu de l’article 4 de la Loi sur le ministère de la Santé, L.C. 1996, ch. 8. En principe, l’information personnelle retenue par Santé Canada est régie par la Loi sur la protection des renseignements personnels, L.R.C. (1985), ch. P-21. Toutefois, selon le Gouvernement du Canada, l’application ne serait assujettie à aucune loi en matière de vie privée puisqu’elle ne collecte aucun renseignement personnel. Selon l’arrêt Gordon c. Santé (Canada), 2008 CF 258, un renseignement personnel est un renseignement dont l’utilisation mène à de « fortes possibilités » d’identifier un individu, soit seul ou en combinaison avec d’autres renseignements. Or, Santé Canada affirme que la probabilité qu’un utilisateur soit « réidentifié » à l’aide des données utilisées est tellement faible qu’il n’y a aucune possibilité sérieuse qu’un individu soit identifié.
Qu’advient-il, alors, de situations où des tierces parties, telles que des entreprises privées, tentent de contraindre des individus à divulguer des renseignements stockés dans l’application à d’autres fins qu’à celle de notifier une exposition ? Présentement, la Loi sur la protection des renseignements personnels et les documents électroniques, L.C. 2000, ch. 5, applicable aux entreprises fédérales privées, ainsi que son équivalent québécois, la Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1, ne rendent pas opposable aux tiers le principe selon lequel la collecte de renseignement doit respecter la fin déterminée. Cependant, ces lois s’appliquent lorsqu’une entreprise privée demande la divulgation de renseignements générés par Alerte COVID à un individu identifié dans le cadre de leur relation contractuelle puisqu’il s’agit alors de renseignements personnels.
Le projet de loi 64, présenté par le gouvernement du Québec le 12 juin 2020, vise à introduire plusieurs protections renforcées en matière de vie privée. Il reste à voir si sa version finale imposera l’opposabilité des principes de protection de la vie privée aux tiers et garantira ainsi que les individus restent en contrôle de leurs renseignements personnels.