Intégration des données en Ontario (LAIPVP) : quand la gouvernance prédictive se heurte à la friction de la vie privée

Points clés

• L’Ontario a aussi publié des normes de données d’intégration visant à protéger la confidentialité quand des renseignements personnels sont traités pour le couplage et la désidentification.
• L’intégration du secteur public en Ontario côtoie les débats de réforme du secteur privé après le projet de loi C-27 et l’application de la vie privée en santé sous la LPRPS.
• La friction de la vie privée — normes, approbations, discipline de désidentification, limites de finalité — est ce qui empêche la gouvernance prédictive de devenir de la surveillance personnelle.

Pourquoi les unités d’intégration de données existent

La Loi ontarienne sur l’accès à l’information et la protection de la vie privée a été modifiée pour permettre à des unités d’intégration de données (UID) prescrites de recueillir des renseignements personnels à des fins de couplage, afin que le gouvernement puisse créer et utiliser des jeux de données désidentifiés pour l’analyse. Sur papier, c’est la version adulte de la politique fondée sur les données probantes : cessez de deviner avec des chiffriers en silos; commencez à mesurer les résultats entre les programmes.

Les documents du CIPVP sur le processus d’examen et d’approbation sous la partie III.1 de la LAIPVP rendent le marché explicite. L’intégration est permise, mais pas en accès libre. Il y a des garde-fous procéduraux, des normes et des attentes de surveillance. L’Ontario a aussi publié des normes de données d’intégration visant à protéger la confidentialité quand des renseignements personnels sont traités pour le couplage et la désidentification. Partez d’ipc.on.ca plutôt que des livres blancs des fournisseurs quand vous briefez les dirigeants.

Je ne traite pas ces garde-fous comme du théâtre anti-innovation. Je les traite comme des murs porteurs.

La gouvernance prédictive est séduisante

Une fois les données couplées, les questions analytiques s’intensifient :

• Quelles interventions réduisent les visites aux urgences?
• Quels élèves risquent de décrocher?
• Où les inspecteurs devraient-ils aller en premier?
• Quels ménages auront besoin de soutien l’hiver prochain?

Ces questions peuvent améliorer les services. Elles peuvent aussi glisser vers la notation des personnes. Le chemin technique des modèles de population désidentifiés vers le risque de réidentification, la dérive des finalités et l’usage en première ligne de « drapeaux de risque » est plus court que ne l’admettent la plupart des chartes de projet.

J’ai assisté à des réunions où quelqu’un a dit « c’est désidentifié, donc la vie privée est réglée ». Cette phrase devrait déclencher des alarmes. La désidentification est une méthode de gestion du risque, pas une remise à zéro morale. Les quasi-identifiants, les petites cellules, les liens longitudinaux et les jeux de données externes rouvrent tous le risque. Si un résultat de modèle peut être appliqué à un individu au point de service, vous ne faites plus seulement des statistiques. Vous prenez des décisions.

Où la friction de la vie privée devrait apparaître

Une friction saine ressemble à ceci :

• Liaison aux finalités. Coupler pour l’évaluation de programmes n’est pas une permission pour le ciblage d’application de la loi.
• Sources minimales nécessaires. Chaque registre supplémentaire multiplie à la fois la perspicacité et le potentiel de préjudice.
• Séparation des rôles. Les analystes qui construisent des produits désidentifiés ne devraient pas devenir désinvoltement des noteurs opérationnels pour le personnel de première ligne.
• Surveillance indépendante. L’approbation du CIPVP et l’évaluation périodique sont des atouts. Les tentatives d’affaiblir l’examen indépendant devraient être lues comme une concentration du risque, et non comme une « rationalisation ».
• Transparence publique. Les gens méritent de savoir que les unités d’intégration existent, ce qu’elles couplent et ce qu’elles ne font pas.
• Voies de contestation. Quand les modèles touchent des avantages ou des fardeaux, les gens ont besoin d’un moyen de contester les erreurs sans naviguer dans un labyrinthe.

Quand les échéanciers politiques se compriment, la friction est la première coupure budgétaire. C’est là que les professionnels de la vie privée gagnent leur salaire.

Un ensemble de contrôles pratique pour les travaux liés aux UID

Si vous conseillez un ministère, un partenaire hospitalier ou un fournisseur qui touche des données gouvernementales intégrées, j’insisterais sur :

1. Un registre vivant des jeux de données entrants et des produits dérivés sortants.
2. Des clés de couplage documentées et des règles de destruction ou d’isolement des identifiants après le couplage.
3. Des tests de réidentification à la hauteur des méthodes d’attaque modernes, pas des méthodes à cases à cocher de 2012.
4. Un examen d’éthique et d’équité pour les modèles susceptibles d’attribuer des avantages ou des fardeaux.
5. Des contrats qui interdisent l’utilisation secondaire silencieuse par les fournisseurs de services.
6. Des plans de jeu d’incident pour les erreurs de couplage et d’identité — parce que les erreurs d’intégration blessent de vraies personnes.
7. Des réponses claires à « un travailleur de première ligne peut-il voir un score de risque dérivé de ceci? » Si oui, l’analyse de vie privée recommence à zéro.
8. La journalisation de qui a demandé quel produit analytique et pour quelle finalité légale.

Valeur prédictive contre retenue démocratique

Je ne suis pas anti-analytique. Je suis anti-pensée magique. Les gouvernements continueront de vouloir des alertes plus précoces et un ciblage plus serré. La réponse climatique, la pression sur le système de santé et la pression fiscale poussent toutes dans ce sens. La réponse adulte n’est pas de prétendre que la prédiction est impossible. C’est d’imposer un choix de conception : apprentissage populationnel avec des barrières dures, ou prédiction personnelle avec une autorité légale explicite, un avis et des droits de contestation.

Si vous ne pouvez pas expliquer la différence en langage clair au public, vous n’êtes pas prêt à coupler les données.

Les fournisseurs qui vendent des « plateformes d’observations » au secteur public devraient entendre le même message. Si votre démo se termine par une carte de ménages classés par risque, vous ne vendez pas un outil neutre. Vous vendez un système décisionnel qui exige une autorité légale, une analyse d’équité et un processus de contestation. Le langage d’approvisionnement devrait exiger ces artéfacts avant la mise en production, pas après un article de journal.

Comment cela se relie au plancher canadien plus large de la vie privée

L’intégration du secteur public en Ontario côtoie les débats de réforme du secteur privé après le projet de loi C-27 et l’application de la vie privée en santé sous la LPRPS. La leçon commune, c’est l’obligation de rendre compte avec des preuves. Que l’acteur soit une UID, un hôpital ou une plateforme, « faites-nous confiance, c’est pour le bien » n’est pas un contrôle. Documentez la finalité, minimisez les identifiants, testez la réidentification et gardez la surveillance indépendante significative. Pour les couplages liés à la santé, rappelez-vous que la LPRPS encadre toujours les renseignements personnels sur la santé entre les mains des dépositaires, même quand les récits analytiques sonnent pangouvernementaux.

Mesure concrète à retenir

Le cadre d’intégration des données de la LAIPVP ontarienne est un test : le secteur public peut-il faire de l’analytique à grande échelle sans construire discrètement une infrastructure parallèle de profilage? La voie légale existe. La friction de la vie privée — normes, approbations, discipline de désidentification, limites de finalité — est ce qui empêche la gouvernance prédictive de devenir de la surveillance personnelle. Protégez la friction. Améliorez l’analytique à l’intérieur. Lisez les documents du CIPVP sur la partie III.1 avant d’approuver le prochain couplage. Si votre organisation utilise des données publiques intégrées, pouvez-vous démontrer — aujourd’hui — que les résultats ne peuvent être réappliqués à des individus sans un nouveau fondement juridique?