blog

May 09, 2023

Investigação sobre a coleta e uso de

Descrição Visão geral de tópicos Análise de fundo Problema: PHAC não coletou

Descrição

Aprendizado

Visão geral

Fundo

Análise

Problema: PHAC não coletou informações pessoais conforme definido na Lei

Desidentificação e risco residual de reidentificação

A Lei de Privacidade não inclui disposições específicas sobre dados não identificados ou anonimizados

O acesso aos dados no sistema da TELUS constitui 'coleta' nos termos da Lei?

Determinando a Proteção Adequada Contra o Risco de Reidentificação

Fluxo de dados 1: Dados da operadora/torre de celular móvel

Fluxo de dados 2: dados de geolocalização móvel

Salvaguardas em ambos os fluxos de dados que reduzem a possibilidade séria do risco de identificar indivíduos

Outro

benchmarking internacional

Transparência

Conclusão

notas de rodapé

29 de maio de 2023

A investigação examinou se os dados de mobilidade coletados e usados ​​pela PHAC em sua resposta à pandemia contêm informações pessoais conforme definido na Seção 3 da Lei de Privacidade (a Lei). Especificamente, se a PHAC e seus provedores de dados implementaram técnicas de desidentificação e salvaguardas contra a reidentificação consideradas suficientes para reduzir o risco de um indivíduo ser identificado abaixo do limite de "possibilidade séria".

O Escritório do Comissário de Privacidade do Canadá recebeu 12 reclamações sob a Lei de Privacidade (a "Lei") contra a Agência de Saúde Pública do Canadá ("PHAC") e a Health Canada ("HC") em relação à coleta e uso de dados de mobilidade dos canadenses , que é composto por dados de geolocalização coletados ao longo do tempo e outras informações associadas.

Os reclamantes alegam que o PHAC coletou secretamente dados em 33 milhões de dispositivos móveis durante a pandemia de COVID-19 e que, de acordo com um pedido de proposta, publicado em dezembro de 2021, planejava continuar coletando dados de mobilidade dos canadenses nos cinco anos seguintes.

A PHAC informou que confiou efetivamente nos dados de mobilidade de pouco menos de 14 milhões de canadenses para obter informações perspicazes e análises significativas sobre o movimento de populações no Canadá, o que ajudou no rastreamento da propagação do vírus COVID-19 e no planejamento, avaliação e ajustando a resposta do governo à pandemia.

A PHAC alegou que confiou apenas em dados não identificados e agregados e que nunca coletou ou usou qualquer informação pessoal identificável e, portanto, a Lei de Privacidade não se aplica.

Por meio de nossa investigação, como condição analítica necessária, examinamos primeiro se os dados de mobilidade coletados e usados ​​pela PHAC em sua resposta à pandemia contêm informações pessoais conforme definido na Seção 3 da Lei. Mais especificamente, avaliamos se havia uma possibilidade séria, nas circunstâncias, de um indivíduo ser identificado a partir dos dados de mobilidade, obtidos pelo PHAC, isoladamente ou em combinação com outras informações disponíveis. Nossa investigação não avaliou se os provedores de dados da PHAC coletaram e usaram dados de localização em conformidade com as leis de privacidade.

Após análise das representações recebidas e revisão da informação sobre este tema e o conceito de identificação, concluímos que a combinação das medidas de desidentificação e das salvaguardas contra a reidentificação implementadas pela PHAC e seus fornecedores de dados reduziu o risco de identificar indivíduos abaixo do limite de "possibilidade séria". Portanto, consideramos as reclamações nesta matéria comonão bem fundamentado.

Apesar da conclusão de nossa investigação de que o PHAC não violou a Lei de Privacidade no que diz respeito à coleta e uso de dados de mobilidade durante a pandemia de COVID-19, fizemos uma série de recomendações ao PHAC em particular, com relevância instrutiva para todas as organizações que produzem, usam ou obtêm informações não identificadas no curso de suas atividades. Estamos encorajados que o PHAC tenha aceitado nossas recomendações.