:
Merci beaucoup, monsieur le président. Je le fais immédiatement.
Deux membres de mon personnel, Valerie Akujobi et Johanne Séguin, ont préparé l'aperçu.
Lisa Campbell est notre avocate générale adjointe. Elle a travaillé comme avocate de la défense dans le système pénal et elle connaît fort bien le droit pénal. Cela nous a paru utile pour les membres, en raison des conséquences des modifications et des applications du Code criminel.
Carman Baggaley connaît à fond la politique de communication du gouvernement, sous divers angles.
Wayne Watson s'est joint à nous à la fin de l'année dernière. Nous sommes très heureux qu'il soit des nôtres. Il était auparavant surintendant principal adjoint chargé de la lutte contre la criminalité en col blanc à la GRC. Je crois qu'il pourra mieux que moi répondre à certaines de vos questions.
Steve Johnston, notre conseiller principal en technologie et en sécurité, est ingénieur. Il a acquis une vaste expérience des communications et de la sécurité au gouvernement canadien. Il peut répondre à toutes vos questions techniques.
Pour commencer la séance...
[Français]
on parle évidemment ici de vie privée et de vol d'identité.
Je pense qu'il est approprié de commencer par se rappeler que le vol d'identité est une des infractions très sérieuses portant atteinte à la vie privée. De nos jours, les individus doivent avoir une maîtrise de leur identité et de tous les aspects qui la composent. Cela est au coeur de leur capacité de participer à une société démocratique et de bénéficier des services gouvernementaux, financiers et communautaires.
Donc, en tant que commissaire à la protection de la vie privée, je considère le vol d'identité comme l'une des atteintes sérieuses à la vie privée.
[Traduction]
Il a été dit que le vol d'identité était la pire atteinte à la vie privée. Malheureusement, de plus en plus de citoyens, au Canada et dans le monde, sont victimes de cette infraction.
Vous verrez dans notre mémoire que le vol d'identité est difficile à définir. Il n'existe pas de définition claire. Je crois que c'est l'un des défis auxquels nous sommes confrontés. La notion semble certainement englober le phénomène de la fraude. Elle englobe également le fait d'obtenir des renseignements au sujet de quelqu'un sans le consentement de cette personne. Évidemment, le fait de prélever de l'information sans le consentement de l'intéressé ne constitue pas nécessairement une infraction criminelle. Il peut s'agir d'une infraction à la LPRPDE mais, selon moi, la loi ne s'applique pas tant que ces renseignements ne sont pas utilisés. C'est donc l'un des défis que nous devons relever pour contrôler ce crime. La question de l'intention et la question de l'utilisation font partie intégrante du vol d'identité.
En raison de la souplesse de la définition, il n'existe pas de statistiques fiables. Nous pouvons vous fournir diverses statistiques. Il existe des statistiques américaines, canadiennes et européennes. Nous vous avons remis les statistiques canadiennes pour 2006. Elles sont impressionnantes, si vous songez que des pertes de six millions de dollars ont été déclarées à PhoneBusters, un réseau policier administré principalement par la Police provinciale de l'Ontario.
Les voleurs d'identité utilisent diverses méthodes pour recueillir l'information. Je vous renvoie à une excellente étude produite par la CIPPC. Je crois que la CIPPC doit comparaître devant vous pour traiter de toutes les méthodes utilisées par les fraudeurs ingénieux pour recueillir des renseignements personnels. Nous avons classé ces méthodes en trois catégories : physiques, technologiques, et ce que l'on pourrait appeler l'ingénierie sociale. Ce sont les principales méthodes permettant d'obtenir de l'information, de voler 'identité de quelqu'un, de voler des documents — cela comprend le phénomène courant du vol de portables, qui touche tant le secteur public que le secteur privé.
Malheureusement, pour ce qui est du vol matériel, les vols commis par des employés, les vol d'initiés, commis par des taupes — en anglais, on les appelle moles —, sont de plus en plus fréquents. Les auteurs de ces vols sont des personnes qui, pour des motifs personnels ou des raisons financières — parce qu'elles sont payées —, divulguent de l'information interne à l'extérieur. Le phénomène n'est pas nouveau, mais il semble s'aggraver, et les deux fuites qui font actuellement l'objet d'examens — et M. Watson pourra en parler — semblent être le résultat de divers types d'actes répréhensibles commis à l'interne.
Dans cette catégorie, j'inclurais également ce qu'on appelle la fouille de poubelles. Des personnes qui ont l'esprit d'initiative fouillent dans les bennes à rebuts d'entreprises qui n'ont pas de déchiqueteuse ou qui n'utilisent pas des méthodes sûres pour détruire les renseignements personnels. L'an dernier, mon collègue Frank Work, commissaire à la protection de la vie privée en Alberta, était si exaspéré par ce que les journalistes trouvaient dans les bennes à Edmonton qu'il a déclaré qu'il allait recruter un fouilleur de poubelles pour surveiller les bennes à déchets de la ville et en retirer les renseignements personnels avant que les voleurs d'identité ne les trouvent.
Dans le domaine technologique, il y a de plus en plus d'intrusions dans les bases de données. Il y a aussi tout le problème des logiciels espions ou malveillants — dont M. Johnston pourra vous parler — qui accompagnent souvent les pourriels.
Finalement, il y a l'ingénierie sociale. J'en ai malheureusement fait directement l'expérience. Quelqu'un usurpe l'identité du consommateur pour obtenir des renseignements confidentiels, par exemple les registres d'appels téléphoniques que conservent les compagnies de téléphone.
Des concours bidons encouragent les gens, et une partie de la population trouve peut-être de plus en plus difficile de distinguer entre les vrais concours et les faux concours. Je pense aux aînés. Je pense aux personnes qui ne suivent peut-être pas les progrès de l'Internet pour diverses raisons et qui peuvent être victimes de ce phénomène.
Dans notre exposé, monsieur le président, nous indiquons que ce problème nécessite non seulement une approche globale mais aussi un leadership centralisé, coordonné, pour lutter efficacement contre le vol d'identité. Nous préconisons l'approche américaine — et nous vous fournissons les conclusions du comité présidentiel créé l'an dernier à la demande du président Bush. Ce comité a déposé son rapport il y a deux ou trois semaines, et nous avons reproduit ses conclusions dans votre cahier.
Nous attirons aussi votre attention sur le bureau central de données sur le vol d'identité de la Federal Trade Commission. Ce bureau central réunit l'information sur les vols d'identité afin de mieux comprendre le phénomène et son fonctionnement.
[Français]
Quel est le rôle de la Loi sur la protection des renseignements personnels et les documents électroniques, la LPRPDE, et est-elle adéquate pour contrer le vol d'identité?
La LPRPDE n'est pas l'outil qui permettra, à elle seule, de combattre ce phénomène. Cependant, depuis sa mise en vigueur, il y a six ans, cette loi a haussé les normes de l'industrie et du commerce au Canada. Elle impose notamment des restrictions à la collecte de renseignements. Le principe de sauvegarde permet la détention sécuritaire et confidentielle des informations personnelles. Elle permet également de limiter le temps durant lequel il est permis de garder de l'information, de même que le nombre de personnes qui y ont accès.
Dans votre récent rapport, vous avez fait référence à la notification des fuites de données. Vous avez également mentionné à quel point une telle norme était essentielle dans la loi. En collaboration avec l'industrie, on élabore actuellement des lignes directrices, en attendant que la loi soit modifiée.
L'automne dernier, nous avons établi des lignes directrices concernant ce qu'on appelle l'authentification. Ce sont des normes qui ont pour but de nous permettre à une personne d'attester qui elle est vraiment. Par exemple, lorsqu'on appelle une compagnie de téléphone pour avoir des renseignements sur des appels téléphoniques, on doit démontrer à la compagnie qui ont est vraiment. Il existe plusieurs types d'authentification. M. Johnston peut vous parler des normes suggérées dans les lignes directrices.
Nous avons aussi fait enquête sur plusieurs plaintes qui ont été portées à notre attention. Ces enquêtes, je pense, ont aidé à hausser les normes, notamment dans l'industrie bancaire. Je parle entre autres des pratiques consistant à envoyer des cartes de crédit non sollicitées sur lesquelles est inscrit le nom des gens. Je crois que c'est une pratique qui a disparu il y a quelques années. On essaie aussi de faire enquête sur l'envoi de chèques accompagnés d'une offre de crédit, s'ils sont utilisés, sans que les gens les aient demandés.
[Traduction]
Est-ce que nous voulons envisager des sanctions juridiques? Personnellement, je crois que nous devons songer à un éventail de mesures. À mon avis, la question ne relève pas uniquement du Code criminel. Comme vous le savez, nos législateurs hésitent à utiliser le Code criminel, parce que les normes de preuve y sont plus strictes et que la Charte peut s'appliquer. Très souvent, il faut que l'affaire soit particulièrement évidente pour qu'il soit possible de recourir au Code criminel.
C'est pourquoi je crois que nous devrions envisager des procédures au civil. La preuve est plus facile à établir et ces procédures sont plus facile à comprendre pour les citoyens. La cour des petites créances, par exemple, pourrait offrir des mesures faciles d'accès pour décourager une industrie du vol d'identité qui est en pleine expansion. Cela veut donc dire, bien sûr, que le gouvernement fédéral doit collaborer étroitement avec les provinces, car une grande partie de ce qui se passe dans le domaine du vol d'identité relève des compétences provinciales. Je crois que nous avons tous entendu parler de cas dans diverses provinces du Canada où des maisons ont été vendues à l'insu de leur propriétaire. Cela relève essentiellement de la compétence provinciale — et je sais que vous allez entendre les commissaires des provinces à ce sujet.
La fausse représentation est l'une des principales méthodes permettant d'obtenir des renseignements personnels, et cela nous indique qu'il nous faut approfondir nos connaissances sur l'industrie du vol d'identité : comment fonctionne-t-elle, à qui profite-t-elle, comment est-elle structurée, qui la soutient et qui crée la demande pour ces renseignements personnels frauduleusement obtenus?
Mon collègue du Royaume-Uni a présenté un rapport choc, vraiment, sur l'industrie des renseignements personnels dans ce pays. Nous ne croyons pas que tous ces phénomènes touchent également le Canada, mais je pense que le rapport mérite d'être lu. Le commissaire a réclamé des sanctions criminelles et il a, je crois, intenté avec succès des poursuites contre certains membres de l'industrie qui avaient obtenu illégalement des renseignements personnels.
Au Canada, Radio-Canada a présenté cet hiver à l'émission La Facture un reportage qui documentait la façon dont l'industrie financière canadienne est infiltrée par des taupes disposées à vendre de l'information à un journaliste qui prétend travailler dans l'industrie des renseignements personnels. Nous assurons évidemment un suivi de ce dossier.
Non seulement le vol d'identité se fait en personne, mais il se fait aussi de plus en plus en ligne. Parmi les menaces les plus courantes auxquelles vous vous exposez en ligne, il faut mentionner l'hameçonnage. Vous avez tous reçu de fausses lettres — et elles sont de plus en plus crédibles — dont l'auteur prétend être un représentant de votre banque et vous demande de vérifier vos numéros de compte, etc., parce qu'il y a eu un « problème ». Ces lettres sont de plus en plus vraisemblables, et je pense que certains Canadiens y sont particulièrement vulnérables. Nous avons tous de plus en plus de difficulté à distinguer le vrai du faux.
Il faut aussi mentionner les réseaux de robots. Ce sont des réseaux d'ordinateurs qui sont transformés en réseaux au service du maître-d'oeuvre d'un racket.
Des programmes troyens et des vers sont implantés dans nos ordinateurs pour que ceux-ci puissent être utilisés à notre insu à des fins de vol d'identité et de fraude.
Il y a aussi chez les jeunes un phénomène qu'un spécialiste a baptisé — et je n'invente pas ce terme — le cyber-exhibitionnisme. Facebook et MySpace représentent la dernière mode en matière de relations sociales en ligne. Cela signifie que de plus en plus de jeunes affichent tous leurs renseignements personnels sur des réseaux.
Tout cela a aussi des conséquences directes pour le gouvernement du Canada, puisque de plus en plus de services sont offerts en ligne par l'entremise de Service Canada, non seulement dans le domaine fiscal mais aussi en matière de pensions, de demandes de renseignements, de pensions des anciens combattants, etc. À mon avis, la menace que constituent les faux messages et les risques d'infestation du réseau ne cesse d'augmenter.
Vous avez peut-être remarqué — c'était en janvier je crois — le faux message de l'Agence du revenu du Canada qui demandait aux citoyens de communiquer avec l'Agence. Ce message était faux, mais il ressemblait à s'y méprendre aux messages envoyés par Revenu Canada.
Les transactions bancaires en ligne, utilisées par un nombre croissant de citoyens, pourraient être menacées.
Que pouvons-nous faire pour prévenir la menace? Que fait mon service pour prévenir la menace?
Nous ne nous contentons plus d'enquêter à la suite de plaintes. De plus en plus, nous intervenons pour éduquer la population. Votre comité a souvent souligné l'importance de notre rôle en matière d'éducation publique. Vous constaterez que nous avons toute une série de brochures spécialisées, de fiches d'information, etc., que nous avons reproduites à votre intention dans le cahier. Cette information est offerte à la population sur notre site Web.
En mars — le mois de la prévention de la fraude —, nous avons participé avec la GRC, le Bureau de la concurrence et plus de 20 autres partenaires à une campagne d'éducation publique mixte. Nous faisons valoir l'importance croissante du chiffrement des renseignements personnels transmis par Internet. J'ai remarqué avec plaisir que vous aviez réclamé la destruction des renseignements dans votre rapport sur la LPRPDE. Cela fait implicitement partie de la loi, mais je conviens avec vous que nous devrions l'indiquer plus clairement, car trop de renseignements sont tout simplement jetés là où des personnes entreprenantes peuvent les trouver.
Pour terminer, monsieur le président, il nous faut un leadership clair, le type de leadership que, j'en suis certaine, votre comité peut définir. Il existe un groupe d'étude fédéral-provincial chargé de canaliser nos idées. Il s'efforce actuellement de créer un centre d'information, en collaboration avec les autres compétences. Ce qui compte, c'est de réunir tous les intervenants. Le gouvernement fédéral n'est pas seul; les gouvernements provinciaux sont extrêmement importants. La police, le fédéral et les provinces ont tous un rôle très important à jouer. Ceux qui poursuivent les voleurs d'identité — ou ne peuvent pas le faire faute d'outils — doivent aussi participer à cet effort.
Nous devons sans retard définir et documenter le problème pour trouver non pas une solution universelle, mais toute une gamme de solutions dans les divers secteurs pertinents — et j'en ai mentionné quelques-uns dans le mémoire —, y compris sur la scène internationale. Nous sommes la proie de criminels outre-frontière. Le Canada, comme je l'ai dit, est le siège d'un logiciel de pourriels malicieux qui frappe partout dans le monde. Nous devons donc collaborer avec nos voisins et nos partenaires commerciaux dans ce domaine.
Voilà, monsieur le président, mesdames et messieurs les membres du comité, les faits saillants de notre mémoire. J'ai emmené tous ces spécialistes avec moi pour m'aider à répondre à vos questions.