Quel encadrement pour les données de mobilité?

Analyser les données de mobilité permet d’évaluer s’il convient de maximiser, en fonction d’un festival à venir, d’une période de la journée, l’offre de service dans un secteur d’une ville plutôt que dans tel autre. Toutefois, les données utilisées pour réaliser ces analyses sont susceptibles de concerner une personne physique et de l’identifier. Les responsables au sein des villes ou des entreprises qui entendent améliorer l’environnement dans lequel on évolue se doivent d’intégrer les règles de protection des renseignements personnels dans leurs activités. Mais quelles sont ces règles?

Lors du Forum sur la cybersécurité et la sûreté dans les transports, un des panels avait pour titre « Assurer la protection des données dans un contexte d’innovation collaborative en mobilité ». La discussion portait notamment sur le fait de savoir s’il y avait une loi (ou des lois) encadrant le tout. La réponse est oui.

Que l’on pense aux informations qui indiquent les heures d’utilisation d’un vélo ou d’une voiture; le trajet parcouru d’un point A à un point B le matin et, inversement, le soir; ou encore, qui est en mesure de localiser une personne et de l’informer sur les lignes de bus ou de métro les plus proches, etc., toutes ces informations sont des renseignements personnels.

En effet, ces informations recueillies par les clés (si vous êtes de ceux qui ont encore leur clé BIXI, par exemple), les applications mobiles ou cartes à puces RFID utilisées pour bénéficier d’un service de vélo/de voiture en partage, par exemple, concernent une personne physique et permettent de l’identifier, directement ou indirectement, d’autant plus qu’elles sont souvent associées à ses nom, prénom, date de naissance, adresses postale et électronique et numéro de carte de crédit.

Au Québec, si un organisme public, comme une ville par exemple, ou une entreprise veut recueillir de telles informations pour développer son plan d’urbanisation ou encore pour améliorer son offre de service, ils doivent tenir compte des lois relatives à la protection des renseignements personnels.

L’accent sera mis ici sur la Loi sur l’accès aux documents des organismes publics et la protection des renseignements personnels (secteur public) et la Loi sur la protection des renseignements personnels dans le secteur privé. Même si au moment d’écrire ces lignes, le projet de loi 64 (PL64) visant à moderniser ces lois est encore à l’étude, il est néanmoins permis de considérer quelques éléments qui doivent (devront) animer ceux qui collectent, utilisent/analysent, communiquent, conservent de tels renseignements.

Avant de collecter des renseignements personnels ou encore d’acquérir, de développer ou de refondre un projet de système d’information ou de prestation électronique de service, les organismes publics ou les entreprises doivent :

Par ailleurs, les organismes publics et les entreprises doivent :

Comme mentionné en prémisse, il existe bien des lois encadrant le traitement des données de mobilité. Ces lois sont en révision et prévoient de nouvelles obligations pour les organismes publics et les entreprises.

Même si ces obligations ne sont pas encore en vigueur, il convient de les envisager afin d’anticiper les enjeux qui pourraient en découler quant à la collecte, à l’utilisation, à la communication, à la conservation des renseignements personnels, d’autant que les sanctions qui pourront être prononcées en cas de non-respect sont plus élevées qu’actuellement.

Si vous avez des questions à ce sujet, n’hésitez pas à communiquer avec nous pour en discuter.