Institutions — 10 March 2021 (42nd Legislature, 1st Session)

CI 2021-03-10

Quebec — Committees

(Onze

heures trente-six minutes)

Président (M. Bachand) : À l'ordre, s'il

vous plaît! Bienvenue. Ayant constaté le quorum, je déclare la séance de la Commission

des institutions ouverte.

La commission est

réunie afin de poursuivre l'étude détaillée du projet de loi n° 64, Loi modernisant des dispositions législatives en matière de protection

des renseignements personnels.

Avant de débuter, Mme

la secrétaire, y a-t-il des remplacements?

La Secrétaire :

Oui, M. le Président. M. Zanetti (Jean-Lesage) est remplacé par M. Nadeau-Dubois

(Gouin) et Mme Hivon (Joliette) est remplacée par M. Ouellet

(René-Lévesque).

Le Président (M. Bachand) : Merci. Je vous informe que les votes pour ce

mandat devront se tenir par appel nominal, et ce, jusqu'au 2 avril

plus, je vous rappelle qu'en fonction des mesures de distanciation physique

énoncées par la Santé publique, vous devez conserver votre place assise

en commission. De plus, le port du masque de procédure est obligatoire en tout

temps, hormis au moment de prendre la parole dans le cadre de nos travaux.

Lors

de l'ajournement de nos travaux le mercredi 17 février 2021, il avait

été convenu de suspendre l'étude de l'amendement visant à introduire

l'article 12.1 et celui visant à introduire l'article 13.1, qui ont

été tous les deux déposés par le député de René-Lévesque.

discussions, à ce moment-là, portaient donc sur l'article 63.4 énoncé à

l'article 14 du projet de loi. Interventions?

On avait sur 63.4 puis on avait discuté de 63.5 aussi, où on avait eu une

adoption d'amendement. M. le député de LaFontaine.

M. Tanguay :

Oui. Bien là, on a le défi de se remettre dans un dossier qui est à rebours,

qui est par saccades, dirions-nous. Ça fait que 63.4, M. le Président, je pense

que vous nous aviez indiqué, sans que ce soit formel, que nous allions descendre les articles. Je pense

qu'on avait discuté beaucoup de 63.4. Est-ce que nous étions donc rendus,

dans notre logique... Vous le voyez, on y allait, grosso modo,

article par

article.

Alors, est-ce qu'on

pourrait peut-être demander au ministre de lire 63.5, toujours en n'étant pas

forclos de revenir en arrière? Puis on pourrait peut-être relire 63.5. Je pense

qu'on était rendus là.

Le Président (M. Bachand) : Il avait été lu puis il avait été amendé, mais on

avait... Il y avait un amendement qui avait été proposé pour 63.4. On

était revenus alors.

M. Tanguay :

Puis on n'a pas, dans nos travaux, d'amendement suspendu, là, à 60... à 14, là.

Le Président (M. Bachand) : Non, non, mais on va avoir des amendements supplémentaires

plus tard dans l'étude.

M. Tanguay :

O.K. Ça fait qu'on pourrait peut-être inviter le ministre, peut-être, si ça lui

chante, de nous relire 63.6. On serait rendus là puis là on pourrait

le...

Président (M. Bachand) : M. le député de Gouin, s'il vous

plaît.

M. Caire :

Merci, M. le député de Gouin...

M. Nadeau-Dubois :

...M. le Président.

M. Tanguay :

On se passe la puck.

M. Nadeau-Dubois :

C'est de l'entraide. On était en train de discuter de 63.5, en fait, si mon

souvenir est bon, parce que j'avais posé...

Nadeau-Dubois : Oui, 63.5, puisque j'avais posé une question sur le

caractère public de l'évaluation des facteurs

relatifs à la vie privée. Il me semble que j'avais à peine eu le temps, même,

de poser la question, puis la séance s'était interrompue. Ça fait que je

peux essayer de reprendre le questionnement? Oui.

M. Nadeau-Dubois : Je veux la

réponse maintenant. Non. Ma question était au sujet, donc, de 63.5, où on peut lire que «les organismes publics doivent

procéder à une évaluation des facteurs relatifs à la vie privée», et le Barreau

du Québec, à la page 21 de leur mémoire, posait la question : Pourquoi

ne pas exiger de la part des organismes publics que soit rendue publique l'évaluation des facteurs relatifs à la vie privée? Et je me demandais, donc, si le ministre avait une réponse à cette

interrogation formulée par le Barreau du Québec.

M. Caire : En

fait, je vais peut-être demander à Me Miville-Deschênes de répondre à

cette question. J'essaierai tentativement une réponse qui ferait en sorte que

je me demande s'il n'y a pas une question de mettre à jour des informations qui

pourraient être préjudiciables pour les organismes en question, mais je vais

laisser Me Miville-Deschênes, là, répondre à cette question-là, puis ça va

me permettre à moi aussi de me démêler dans mes affaires.

Le Président (M. Bachand) :

Donc, est-ce qu'il y a consentement? Consentement. Me Miville-Deschênes, s'il

vous plaît.

M. Miville-Deschênes

(Jean-Philippe) : Oui. Dans le fond, dans l'évaluation des facteurs

relatifs à la vie privée, il est susceptible d'y avoir des renseignements, là,

qui pourraient être confidentiels. Notamment, en vertu de l'article 29 de

loi sur l'accès, là, c'est tout renseignement qui pourrait nuire à «l'efficacité

d'un programme, d'un plan d'action ou d'un dispositif de sécurité». Donc, quand

l'organisme public identifie certaines éventuelles failles de sécurité ou

certains risques qui pourraient découler de la mise en place d'un système

informatique, bien, il pourrait y avoir des renseignements là-dedans qui sont

confidentiels.

Donc, dans certains cas, le fait de rendre

publique une telle évaluation, bien, aurait pour effet... on peut croire que ça aurait pour effet d'aseptiser un peu cette

évaluation-là, là, de sorte que les renseignements un peu plus confidentiels,

bien, qui ne doivent pas, parce que c'est

une restriction obligatoire, qui ne doivent pas être communiqués seraient

retirés, là.

M. Nadeau-Dubois : Je comprends la préoccupation. Elle

m'apparaît, à première vue, bien légitime. D'ailleurs, le Barreau le mentionne dans son mémoire en

disant : «Le Barreau du Québec propose que ces évaluations devraient

obligatoirement être rendues publiques, à moins que certains impératifs

l'empêchent. On peut penser à de rares cas où la divulgation pourrait

occasionner un risque quant à l'intégrité du système ou du logiciel.» Donc, pourquoi

ne... Et je fais juste vraiment poser des questions pour bien comprendre

l'intention du ministre puis pourquoi il a fait le choix, qui pourrait par

ailleurs être justifié, de ne pas donner suite à cette recommandation du

Barreau d'écrire dans la loi que les

évaluations doivent être rendues publiques, quitte à inscrire des exceptions,

notamment si ça représente des risques pour l'intégrité des systèmes ou pour

répondre aux préoccupations que vient d'émettre Me Miville-Deschênes.

Donc, pourquoi ne pas faire preuve de cette transparence pour que les citoyens

et citoyennes qui sont en relation avec les organismes publics sachent que

voici les risques théoriques auxquels je m'expose en transmettant mes

renseignements personnels?

Caire : Bien,

là-dessus, je vais, puis Me Miville-Deschênes pourra compléter, mais je

dirais d'abord, puis là je vous parle un peu

plus d'expérience, ce n'est pas... ça ne sera pas un épiphénomène dans le sens

où les évaluations des facteurs relatifs à la vie privée n'amèneront que

rarement des situations où ça pourrait être préjudiciable, et/ou pour

l'organisme, et/ou pour le citoyen, parce que l'objectif est effectivement de

mettre au jour d'éventuelles failles, que ce

soit une faille technologique ou que ce soit une faille, bon, dans le système.

Donc, c'est l'objectif de l'évaluation. Donc, de penser que ce ne sont que quelques évaluations qui vont nous

conduire à ce résultat-là, à mon avis, ce n'est pas comme ça que ça va

se traduire sur le terrain. Je pense que, de façon majoritaire, il y aura de

ces situations-là dans un premier temps.

Dans un deuxième temps, cette évaluation-là,

elle est évaluée par la Commission d'accès à l'information. Donc, ce chien de garde qu'on s'est donné

collectivement va être capable de mesurer l'impact, de mesurer les dangers

potentiels, les écueils potentiels, je

devrais dire, dans ce qui pourrait être un... bon, ce qu'on a statué, là, une

acquisition, un développement ou une

refonte de système. La Commission d'accès à l'information va avoir ce rôle-là,

justement, de protéger l'intérêt

public et de préserver cette partie-là du travail de développement d'un

système, d'une refonte ou d'une acquisition

qui pourrait être préjudiciable soit pour nos organismes publics, parce qu'on

comprend qu'ici on s'adresse à nos organismes publics, soit pour nos organismes

publics, soit pour les concitoyens avec qui ils font affaire.

Donc, dans ce contexte-là, l'utilité de la

rendre publique, je pense que, dans la balance des inconvénients, les

inconvénients sont beaucoup plus grands que les avantages, notamment par le

fait que la Commission d'accès à

l'information va jouer ce rôle-là, de s'assurer qu'on ne se lance pas dans une

acquisition, un développement ou une refonte qui va être préjudiciable

pour le citoyen dans les façons de traiter nos renseignements personnels.

Le Président

(M. Bachand) : M. le député de LaFontaine.

M. Tanguay :

Oui. Merci beaucoup. Dans son mémoire, le Barreau proposait que ces évaluations

soient publiques et être rendues publiques. Je ne sais pas, le ministre,

qu'en pense-t-il? Évidemment sous réserve d'impératifs pouvant l'empêcher tels

que protection des renseignements personnels ou les risques de sécurité...

M. Caire :

C'est le plexiglas, le son ne se rend pas.

M. Caire : C'est parce

que le député de Gouin vient de me poser exactement la même question

M. Tanguay : Ah! Désolé.

M. Caire : Pas de

problème.

M. Tanguay : Puis la... O.K.

La réponse, c'est oui ou non? C'est parce que la réponse, là...

M. Caire : La

réponse, c'est...

M. Tanguay : Est-ce que

vous faites du temps?

M. Caire : La réponse... Non, mais ça va me faire plaisir de

la répéter, M. le député, parce

que je comprends la situation,

là, puis on est tous à la même place. Ça a parti raide, un peu.

M. Tanguay : En plus,

j'étais sûr que ma question était bonne. J'ai dit...

M. Caire : Non,

mais ceci étant, elle est excellente.

M. Tanguay : Parce que

j'étais convaincu...

M. Nadeau-Dubois : Je suis d'accord,

elle est excellente.

M. Caire : Elle

est excellente.

M. Tanguay : Bien, elle

méritait d'être posée une deuxième fois.

M. Caire : C'est

juste qu'elle arrive en deuxième, mais bon. C'est comme au salon bleu.

M. Tanguay : Non, mais

le «executive

summary», là, c'est oui ou c'est non?

M. Caire : Oui.

Bien, en fait, c'est qu'il y a une possibilité de révéler des failles qui

seraient préjudiciables contre l'organisation ou pour le citoyen en la rendant

publique. Puis, de toute façon, c'est pour ça qu'on demande à la Commission

d'accès à l'information de faire les évaluations,

de ces évaluations-là, pour s'assurer que, quand on fait une

refonte, bon, etc., on a bien évalué le risque potentiel et on a mis en place

les mesures de mitigation pertinentes.

M. Tanguay : O.K. Ce qui va être public, à tout le moins, c'est qu'il y a,

dans tel organisme public, untel projet en route qui

occasionne tel coût. Tu sais, il y a toujours une publicité de l'octroi des

contrats. Donc, tout ça, ça sera public, mais le «nitty-gritty» du système, le

cas échéant, et son évaluation...

M. Caire : Oui.

Le comment pouvez-vous nous attaquer, on ne le rendra pas public.

M. Tanguay : Ça, ça ne

sera pas public. O.K. Et donc on préjuge que toute demande d'accès à l'information

pour obtenir, justement, le détail serait systématiquement refusée à ce

moment-là.

M. Caire : On

peut penser que le préjudice ferait en sorte, effectivement, sans présumer de

ce que la Commission d'accès à l'information et toute la structure qu'on vient de mettre en

place prendraient comme décision, mais on

peut penser que, ce document-là n'ayant pas un caractère public à sa face même,

la réponse pourrait effectivement

être négative.

M. Tanguay : En toute transparence, est-ce que le ministre

est convaincu que la rédaction actuelle de la

Loi sur l'accès à l'information

prévoit... je pense que c'est aux articles 36, déjà,

cette exception-là. Parce que je ne voudrais pas qu'on détourne le sens

d'un

article en disant : Bien, on va l'embarquer là-dedans. Si on veut

faire un débat public sur le caractère non

public de ces évaluations-là, en toute transparence, est-ce qu'il est satisfait

de la rédaction actuelle de la loi?

M. Caire : Je

vais laisser Me Miville-Deschênes répondre à celle-là.

M. Tanguay : Pas parce

que je ne veux pas qu'on l'ait puis qu'on mette une porte bien cadenassée, mais

je voulais savoir... que le débat soit fait. Puis, s'il faut mettre un article,

bien, proposez-le, puis on va voter contre, tout simplement, là.

M. Miville-Deschênes

(Jean-Philippe) : Oui, mais

il y a une restriction qui est obligatoire. En fait, si la restriction

s'applique, l'organisme est obligé de refuser. C'est le deuxième alinéa, là, de

l'article 29 qui... Je vais vous le lire, là. Puis il a déjà été

interprété pour protéger vraiment de l'information qui révélait des failles,

là, dans des systèmes informatiques.

C'est :

«L'organisme doit refuser de confirmer l'existence ou de donner communication

d'un renseignement dont la divulgation aurait pour effet de réduire

l'efficacité d'un programme, d'un plan d'action ou d'un dispositif de sécurité destiné à la protection d'un bien ou

d'une personne.» Donc, c'est cette disposition-là qui est invoquée pour refuser

de donner accès à ce type de renseignement qui serait préjudiciable.

M. Tanguay : O.K. Quel est l'état des lieux? Actuellement, des monopoles ont beaucoup de désavantages quant aux fournisseurs de

services, le cas échéant, parce que, là, j'entends qu'il va falloir

formaliser l'évaluation, la mise en place de tels systèmes, puis

ça va être plus qu'hier et moins que demain. Quel est l'état des lieux? Je sais

que ce n'est pas dans la cour du ministre, mais j'imagine... Est-ce qu'on va

faire ça à l'interne? Est-ce qu'on va donner ça à des fournisseurs externes? Est-ce

qu'il y a une saine écologie d'acteurs à l'extérieur pour s'assurer que ça ne

soit pas tout le temps un quasi-monopole

d'une compagnie qui fait tout ça clé en main, puis c'est bien parfait, mais qu'à un moment donné, collectivement, on se

rend compte que, oups, on a peut-être échappé...

M. Caire : C'est une excellente question, M. le député. En fait, il y a une demande actuellement de la Commission

d'accès à l'information pour que le gouvernement se dote d'outils qui vont

permettre d'automatiser et de systématiser ce genre d'évaluation là. Et

il y a aussi une expertise. Parce que la notion d'évaluation des facteurs

relatifs à la vie privée n'est pas une notion qui arrive avec le projet de loi n° 64, on l'avait déjà adoptée dans le projet de loi n° 14 l'année dernière,

où il y a... En tout cas, ma mémoire me fait défaut, vous m'excuserez, mais on

avait déjà adopté cette notion-là. Donc, déjà, au niveau de la

Commission d'accès à l'information et au niveau des ministères et organismes,

on était sensibilisés au fait que cette situation-là allait prévaloir. Donc,

dans le fond, ce qu'on fait ici, c'est de

formaliser, dans la

loi sur la protection des renseignements personnels, cette

procédure-là, cette façon de faire. Mais déjà il y a une expertise à

l'interne qui se met en place. On nous demande des outils aussi. Comme je vous

ai déjà dit, là, on nous demande des outils,

demande à laquelle nous acquiesçons, évidemment — là, il faut quand même prendre le

temps de le faire — pour

formaliser et systématiser la production de ces évaluations-là.

Donc,

l'objectif n'est pas d'aller à l'externe ou... Je ne dis pas que ça n'arrivera

jamais, je ne dis pas qu'il n'y a pas des expertises externes qui seront

nécessaires, mais l'idée, c'est de se donner au moins les assises à l'interne

pour qu'on puisse avoir cette capacité-là de produire de telles évaluations.

M. Tanguay :

Et dans le contexte du débat de l'article 1 qui référait au nouvel

article 8, notamment, et suivants, on se rappellera qu'on avait eu la

confirmation du ministre que... parce que, là, 63.5, au coeur de l'action, il y

a le comité sur l'accès à l'information et à la protection des renseignements

personnels, ce comité-là. On avait déjà eu la discussion avec le ministre, qui

pourra, le cas échéant... Des membres externes pourraient, le cas échéant, être

assis à la table de ce comité-là. Ça

pourrait vouloir dire le représentant d'un fournisseur qui a eu le mandat de

procéder?

M. Caire :

Ça pourrait, oui, effectivement, pour avoir peut-être une connaissance plus

approfondie de l'application. Ça pourrait être aussi des expertises par rapport

à des technologies plus récentes. Je pense aux chaînes de blocs. Quand on parle de protection de communication, je pense à

l'intelligence artificielle, notamment,

où, au sein du gouvernement, c'est des expertises qui sont naissantes et

pour lesquelles il pourrait y avoir temporairement un besoin d'aller à

l'externe.

M. Tanguay :

Est-ce que le ministre a une évaluation du coût que ça va représenter? Ou

a-t-il demandé... Je ne vais pas lui demander le coût pour tout le monde, là.

M. Caire :

Oui. Bien, écoutez, je veux... Oui, il y a une évaluation des coûts qui a

été...

M. Tanguay :

Il faut s'attendre à ce que...

Caire : Bien, je

vous avoue que... Écoutez, l'évaluation qui a été faite, je vous le dis... Puis, je ne sais pas, on a-tu le... On peut-tu fournir les documents à la commission

à cet effet-là, là? Les évaluations qui ont été faites, si ma mémoire est

bonne, seraient de 11 000 $ environ pour la mise en place de tout ça

dans une organisation.

M. Tanguay :

11 000 $? Dans une organisation donnée?

M. Caire :

Oui, dans une organisation.

M. Tanguay :

Ah oui? 11 000 $. Si on pouvait avoir le détail...

M. Caire :

Mais là c'est pour ça que je suis un peu... J'y vais sur la pointe...

M. Tanguay : Ça me

semble peu. Ça me semble peu, 11 000 $, pour... Évidemment, là, tu

sais, ça peut être... Il y a des plus petits puis des plus gros organismes, là.

Caire :

Oui, c'est ça, c'est des moyennes puis c'est des... En tout cas, je... Mais je

m'engage à fournir l'information qu'on a là-dessus à la commission et je

laisserai mes collègues évaluer...

M. Tanguay :

À 11 000 $, j'en prendrais deux. Et je ferais écho...

M. Caire :

Oui, d'accord. J'envoie ça à quelle adresse?

M. Tanguay :

Bien, regardez bien, ça, vous vous l'enverrez. Le Barreau du Québec a

recommandé également la mise en

place, puis je reviens là-dessus, on ne refera pas le débat, d'une

disposition transitoire afin que les organismes publics procèdent à une

analyse des systèmes d'information déjà en place.

Tu sais, quand on se

disait... Il y a le coût. 11 000 $, j'en prends deux. J'en prends

deux, là, mais il y avait l'aspect

organisationnel puis sclérosant de ce mandat-là pour ce qui est en place. Mais

je pense, puis je relance l'idée, puis je ne redirai pas tout ce que j'ai dit,

M. le Président, mais je pense que le gros, gros... 100 % des données, à

l'heure actuelle, c'est dans les systèmes actuels. Alors, si on fait la

loi uniquement pour l'avenir, il va y avoir des organismes qui n'auront, pour

les prochaines années, pas de nouveau système à implanter et ils n'auront pas

procédé à un état des lieux, évaluation quant à la conformité de leur système

actuel qui contient 100 % des renseignements personnels.

Alors,

je relance l'idée au ministre. Il faudrait trouver une voie de passage, quelque

chose pour qu'ils y jettent un oeil,

sans que ce soit... Puis j'avais même... Excusez-moi. Rapidement, j'avais même

dit : Bien, on pourrait... Puis je pense qu'on avait déposé un

amendement là-dessus, par rapport au fait de demander que, pour les systèmes

actuels, il y ait une évaluation qui soit faite, mais sans que ce soit

formalisé, tel que rédigé par 63.5.

M. Caire :

Bon, bien, M. le Président, je vais revenir sur cette discussion-là qu'on a eue

avec le député de LaFontaine. Puis il faut

comprendre, là, que je n'ai plus le chiffre, exemple, le chiffre en tête, là, mais c'est des milliers de systèmes dont le gouvernement du Québec dispose

présentement, puis tous, d'une façon directe ou indirecte, vont

traiter des renseignements, ou personnels, ou sensibles, ou etc., pour lesquels il faudrait faire

une évaluation. Donc, je laisse... Puis en admettant, là,

en admettant que le coût dont je vous parle, il est exact, je vais laisser le

député de LaFontaine faire le calcul de ce que ça représente pour le

contribuable québécois.

Pour faire quoi? Pour

en arriver à quoi? L'idée d'une évaluation des facteurs relatifs à la vie

privée, c'est de voir, dans les processus,

dans la façon de faire, dans ce qui est planifié, dans ce qui est prévu,

dans ce que sont les résultats attendus

d'un système, quels sont les facteurs qui pourraient représenter un risque ou

une faille pour la vie privée. Or, les systèmes que nous utilisons, ces

éléments-là, ils sont connus, on les connaît. On connaît les intrants, on

connaît les extrants, on connaît les

manipulations, on sait qui a accès à quoi, qui a la permission de faire quoi

avec ça. On le sait déjà parce

que c'est l'usage qui nous a permis d'aller chercher cette information-là.

Donc, l'évaluation

des facteurs relatifs à la vie privée, dans ces cas-là, ne nous apporterait pas

de réponse que nous n'avons pas. Et c'est là

où je dis aux collègues : Nous sommes aussi, à l'Assemblée nationale,

gardiens des deniers des

contribuables. Ce sont les députés de l'Assemblée nationale qui dotent le

gouvernement de ses budgets. Puis je sais que mon collègue est très sensible à ces questions-là. Alors, on parle

de millions de dollars pour un exercice qui ne va pas produire d'effet

positif.

Alors,

c'est là où je dis : C'est pour ça qu'on l'impose pour les futurs

systèmes. Parce que les futurs systèmes, c'est des questions pour

lesquelles on doit trouver ces réponses-là, et non pas par la pratique du

terrain, mais il faut que ces évaluations se

fassent justement avant qu'on les déploie. Puis c'est même une mesure qu'on a

mise... deux mesures, en fait, qu'on

a mises dans la politique de cybersécurité. La première, c'est, quand on

dessine un système, il faut avoir cette pensée-là de sécurité. Et quand

on acquiert un système, il faut faire ces évaluations-là pour savoir, lorsqu'on

va le déployer, est-ce qu'on va avoir des

mauvaises surprises, oui ou non? C'est ça, l'idée. Donc là, à ce moment-là,

c'est pertinent de le faire dans les

paramètres dont nous avons discuté précédemment, avec les amendements que nous

avons apportés.

C'est la même logique

qui fait que je disais aux collègues... tu sais, on a commencé l'article en

disant «tout système» puis là on s'est dit :

Bien non, parce qu'il y a bien des

moments où une telle évaluation ne sera pas pertinente. Donc, on va engager des ressources matérielles,

financières et humaines à faire quelque

chose qui n'a pas d'utilité. C'est

pour ça qu'on a apporté la modification de dire «acquisition, développement ou refonte» parce que, là, effectivement, on est dans une situation où

ces questions-là se posent et où on doit aller chercher les réponses.

Président (M. Bachand) : M. le député,

s'il vous plaît.

M. Tanguay :

Très rapidement, puis je... On l'avait fait, le débat. On avait déposé l'amendement 63.4.1

qui demandait que ça soit fait pour les systèmes actuels dans les six mois,

puis ça aurait pu être un an, puis ça aurait pu être un autre délai, évidemment.

Puis, en tout respect, je ne suis pas d'accord avec le ministre, en tout

respect, puis c'est pour ça que ça...

M. Caire :

C'est correct.

M. Tanguay : C'est pour ça qu'on siège. C'est bien correct. Moi, je pense que coût-bénéfice...

Tout a un coût. Coût-bénéfice, je pense que le jeu en vaut la chandelle.

Et allez parler à toutes celles et ceux qui, tant au ministère du Revenu,

au ministère de la Santé, au ministère

de l'Éducation, de l'Enseignement supérieur, qui ont été victimes de

vol de données parce que, visiblement, il y avait des carences.

Évidemment, un système parfait à

100 % et à l'abri à 100 %, je veux dire... La CIA se fait hacker aux

États-Unis, M. le Président, puis il

y en a qui sont capables d'entrer. Alors, des systèmes parfaits, ça n'existe

pas. Il y aura toujours une course

technologique face aux malfaiteurs. Des fois, ils vont être en avance, des

fois, nous, on sera en avance, mais je pense que, coût-bénéfice, le jeu

en aurait valu la chandelle. Voilà, tout simplement.

Président (M. Bachand) : Merci. Interventions? Sinon, on

continue l'étude de l'article. On serait à 63.6. M. le ministre.

M. Caire :

Oui, merci, M. le Président. J'ai un amendement. Non, c'est à 63.6.1. O.K.

Excusez. Non, mais je vais me remettre dedans, là, promis, promis, promis.

63.6,

M. le Président, se lirait comme suit : «Le comité peut, à toute étape

d'un projet visé à l'article 63.5, suggérer des mesures de

protection des renseignements personnels applicables à ce projet, telles

que :

la nomination d'une personne chargée de la mise en oeuvre des mesures de

protection des renseignements personnels;

«2° des mesures de

protection des renseignements personnels dans tout document relatif au projet,

tel un cahier des charges ou [de] contrat;

«3° une description

des responsabilités des participants au projet en matière de protection des

renseignements personnels;

la tenue d'activités de formation sur la protection des renseignements

personnels pour les participants au projet.»

Donc, M. le

Président, le 63.6., cet

article prévoit que le comité sur l'accès à

l'information et à la protection des renseignements personnels peut, à toute

étape d'un projet de système d'information ou de prestation électronique de services visé par l'article précédent, suggérer

des mesures de protection des renseignements personnels applicables à ce

projet telles que certaines mesures qu'il énumère.

Président (M. Bachand) : Merci, M. le ministre.

Interventions? M. le député LaFontaine, s'il vous plaît.

M. Tanguay :

Oui. Merci, M. le Président. Je retombe dans l'article 8 et 8.1. De facto,

la plus haute autorité, est-ce qu'elle est membre du comité de facto, ou elle constitue

le comité?

Caire :

Elle le constitue.

M. Tanguay :

Elle le constitue puis elle n'y siège pas.

M. Tanguay :

O.K. Est-ce qu'il est bon que le comité sous-délègue la nomination d'une personne

chargée de la mise en oeuvre des mesures de protection sans qu'il y ait une

sorte de lien fait avec la plus haute autorité ou...

Caire :

Bien, en fait, c'est que la plus haute autorité, de par la loi, sera toujours

responsable, sera toujours imputable. C'est d'ailleurs, je vous dirais, le

coeur de l'argument que nous avons eu, vous et moi, pour lequel nous étions entièrement

d'accord, d'ailleurs. Donc, tout acte de délégation se fait dans l'exécution

d'une tâche mais non pas dans la responsabilité qui incombe au premier

dirigeant de l'organisation.

Le Président (M. Bachand) : Interventions? Sinon, nous allons continuer. M. le ministre, vous aviez un amendement.

Caire : Oui, 63...

cette fois, j'y suis, 63.6.1. Donc, l'amendement se lit comme suit : Insérer, après l'article 63.6

de la

Loi sur l'accès aux documents

des organismes publics et de la protection des renseignements personnels,

proposé par l'article 14 du projet de loi, l'article suivant :

«63.6.1.

Un organisme public qui recueille des renseignements personnels

en offrant au public un produit ou un service

technologique disposant de paramètres de confidentialité doit s'assurer que, par

défaut, ces paramètres assurent le plus haut niveau de

confidentialité, sans aucune intervention de la personne concernée.

«Ne sont pas visés au

premier alinéa les paramètres de confidentialité d'un témoin de connexion.»

Président (M. Bachand) : C'est beau. Alors, on va suspendre

quelques instants...

Caire :

Bon, bien...

Président (M. Bachand) : Oui?

Caire :

Ah! il n'avait pas été déposé, M. le Président?

Président (M. Bachand) : C'est parce qu'il était... il avait

été déposé, mais je pense qu'il a été retiré puis il va être redéposé.

Caire :

Ah! c'est le nouvel amendement, oui, effectivement. C'est pour mettre la...

Président (M. Bachand) : C'est ça. Merci.

Ça fait qu'on va suspendre quelques instants.

Merci.

(Suspension de la séance à 12 h 02)

Président (M. Bachand) : À l'ordre, s'il vous plaît!

La commission reprend ses travaux. Interventions sur l'amendement du

ministre? M. le député de LaFontaine, s'il vous plaît.

M. Tanguay : Oui, j'aimerais

savoir qu'entend le ministre lorsqu'il dit : «Un organisme qui recueille

des renseignements personnels en offrant au public un produit [...] disposant

de paramètres [...] doit s'assurer que, par défaut,

ces paramètres assurent le plus haut niveau de confidentialité, sans aucune

intervention de la personne concernée.»

Je vous donne

un exemple bien tangible que j'ai vécu, moi. Je devais envoyer à Revenu Québec

un document, et c'était bien, bien,

simple, l'affaire. J'avais parlé à la dame au téléphone, ça allait super bien,

elle dit : Envoyez-le-moi. Moi, c'est un document qui était, par

ailleurs, public, mais elle a dit : Non, non, vous devez l'envoyer de

façon sécurisée. Puis vous savez, dans nos vies, du temps, on n'en a pas... des

fois, on n'en a pas de lousse. Alors, je lui dis : Quelle est votre

adresse courriel? Je l'ai, votre adresse courriel. Elle a dit : Non, non,

non, vous devez l'envoyer de façon

sécurisée. Bien, j'ai dit : Il est public. Non, correct, parfait. Alors,

je vous envoie la procédure. Elle m'envoie la procédure. Je reçois un

courriel, et là je devais... c'est là, «aucune intervention de la personne

concernée», je devais aller créer un compte, me faire un mot de passe,

m'identifier et télécharger de façon sécurisée le document qui, par ailleurs,

est public, pour pouvoir lui envoyer puis qu'elle le récupère. Moi, je l'aurais

imprimé, là, puis, si on n'était pas en pandémie, j'aurais...

Alors, est-ce que c'est ça qu'on vise ici? Parce

que ça m'a demandé, honnêtement, moi, comme citoyen... Je pense que, finalement, je ne l'ai même pas envoyé

parce que je me disais : Elle va l'avoir, de toute façon, selon les voies

naturelles, puis c'est ce qui est arrivé.

Caire : Bien, en

fait, non, ce n'est pas à ça... parce que là on parle vraiment d'une

transmission d'une information entre vous et un organisme public. Donc, sur la

transmission, bon, ils sont tenus à certaines procédures, surtout dans le cas de Revenu Québec. Ceci étant, je ne me permettrai pas

de juger si c'est exagéré ou non, je

vais vous laisser ça, là.

Mais ici, ce dont on parle, c'est que si vous

avez... si vous utilisez un système sur un... ou un site Web, ou une application

de toute nature et que les paramètres de sécurité... bien, en fait, la sécurité

est paramétrisable, dans le sens où vous

pouvez autoriser, je ne sais pas, moi, l'utilisation de votre

adresse IP, vous pouvez utiliser... quoique ça, ce n'est pas vraiment

sécurisé, mais bon, vous pouvez définir par quelles caractéristiques de

sécurité vous voulez que l'échange ou l'utilisation de l'application soit fait.

Ce qu'on

demande, c'est que, par défaut, on vous offre les plus hauts paramètres de

sécurité qui sont disponibles dans

l'application sans que vous ayez à aller à paramètres, paramètres d'affichage,

sous-paramètres de ci, aller cliquer ici et là parce que vous ne voulez

pas... Par exemple, Google, vous ne voulez pas que Google garde des renseignements,

donc là vous dites : O.K.,

bien là, je vais aller le paramétrer pour qu'il n'y ait pas de renseignement dans mon navigateur qui soit

conservé, ou etc. Donc, quand vous utilisez une application, ce qu'on dit,

c'est qu'elle doit d'emblée vous amener dans son environnement le plus

sécurisé possible sans que vous ayez à intervenir.

M. Tanguay : O.K. Avez-vous

un exemple concret?

Caire : Bien, je vous dirais, mettons, quand vous... Oui,

ce n'est peut-être pas le meilleur exemple. Quand vous

allez sur Google, vous pouvez...

M. Tanguay : Mais avec un organisme

public.

Le Président (M.

Bachand) : M. le député de Gouin.

M. Nadeau-Dubois : L'application de

la SAQ. La SAQ, c'est un organisme public, ils ont une application où il y a

des fonctions de localisation.

Caire : C'est un bon exemple. Il y a

des fonctions de localisation, il y a l'utilisation de certains paramètres d'identification.

M. Nadeau-Dubois : Des fonctions de

profilage aussi.

Caire : Oui, je

pense que tu peux utiliser ta carte.

M. Nadeau-Dubois : L'application...

M. Tanguay :

La carte Inspire?

Caire : La

carte Inspire, oui.

M. Nadeau-Dubois : Bien, il y a la

carte, mais il y a l'application. Moi, je ne l'utilise jamais.

M. Tanguay : C'est pour

d'autres, c'est pour d'autres.

M. Nadeau-Dubois : Bien, c'est pour

les gens qui parfois boivent du vin. Moi, ça ne m'arrive jamais, mais on

m'informe que l'application de la SAQ a des fonctions de localisation.

Caire : Des citoyens

nous ont dit que...

Nadeau-Dubois : Exact. Des

fonctions de profilage aussi, peut enregistrer les achats qu'on fait pour créer

un profil de consommateur puis nous proposer

certains produits. Ça fait que ça, je pense, c'est un bon exemple

concret parce que c'est un organisme public.

Est-ce qu'en fonction de cet amendement-là, les...

On va y aller schématiquement, là, mais est-ce que, par exemple, les

fonctions de localisation de l'application de la SAQ devraient être d'emblée

désactivées quand on télécharge l'application?

Caire :

Si ça va dans le sens de vous offrir le plus haut niveau de protection possible

dans l'application, la réponse à cette question-là, c'est oui.

Nadeau-Dubois : Mais est-ce que ça implique que nécessairement...

parce que là je prends l'exemple de la SAQ, mais, tu sais, je ne le sais pas,

est-ce que la SQDC a une application? Bien, on pourrait penser à plusieurs

organismes publics qui développent

des applications de service à la clientèle. Puis on sait que, de plus en plus,

la mode, on peut le critiquer ou pas,

là, mais, bon, tu sais, c'est de faire de la publicité ciblée, de proposer les

options proches du consommateur. On pourrait imaginer d'autres

applications d'autres organismes publics qui auraient des fonctions comme

celle-là. Est-ce que la fonction de localisation devrait être nécessairement

désactivée si on adopte l'amendement?

Caire : Oui, oui,

oui. En fait, il faudrait que vous l'activiez. Donc, d'emblée, sans que vous

interveniez, il faudrait que ce soit

désactivé, et là on pourrait vous offrir de dire : Bon, bien, si vous

voulez avoir tel et tel service, ça nécessite

d'activer ce volet-là de l'application. Voulez-vous l'activer? Oui, je

l'active, ou non, je ne veux pas l'activer, je vais me passer du

service.

M. Nadeau-Dubois : Est-ce que ça

implique nécessairement que les fonctions qu'on appelle, des fois, de profilage soient automatiquement désactivées? Par

exemple, l'application de la SAQ, je présume puis je pense que c'est une

hypothèse qu'on peut faire, enregistre les recherches qu'on effectue pour

ensuite nous proposer des produits liés aux recherches qu'on a effectuées.

Est-ce qu'une fonction comme celle-là, si on adopte l'amendement, devrait être

désactivée?

M. Nadeau-Dubois : Et il faudrait

volontairement l'activer.

M. Nadeau-Dubois : O.K. Et tous les

organismes publics devraient...

Caire : Se

conformer.

M. Nadeau-Dubois : ...se conformer à

Caire : Bien,

évidemment, la loi s'applique à tous.

Nadeau-Dubois : Parfait. Bien, déjà, ça me permet de mieux comprendre

un peu la portée de l'amendement.

M. Tanguay :

O.K., je comprends, mais je ne le lisais pas pantoute comme ça. J'étais

ailleurs, moi, j'étais sur d'autres choses, je ne le lisais pas comme ça. Une

fois qu'on a dit, est-ce que ça inclut qu'une fois... Si je reprends

l'application de la SAQ, je ne sais pas, je ne l'ai, pas cette application-là.

J'ai la carte à points par contre.

Caire : Moi non

plus, je ne bois pas de vin.

M. Tanguay :

Quand je vais faire des commissions pour les autres, ils me laissent les

points, c'est mon pourboire.

Caire : Bon bonhomme.

M. Tanguay :

Mais si je veux... Parce que la SAQ, si je veux : Ah! quelle est la SAQ...

j'imagine, quelle est la SAQ la plus près?,

il va me géolocaliser puis il va m'offrir : Il y en a une à huit

kilomètres, 11 kilomètres, 12 kilomètres. J'imagine que ça, ça implique qu'évidemment je vais

leur permettre de me géolocaliser, mais ça implique aussi qu'après il

n'y aura pas conservation, j'imagine. J'en suis sur l'aspect conservation.

Est-ce qu'on doit

lire cet

article comme étant que la SAQ, une fois que la demande a été faite,

on lui a ciblé à huit kilomètres la SAQ la plus près, parfait, que je ne suis

plus, après cette réponse-là... je ne suis plus géolocalisé après une certaine

période de temps, je ne sais pas s'il y a un temps, et que cette information-là

ne reste pas dans leur système, que ce

soit... parce que la vie de l'information... On arrive toujours à la mort de

l'information qui est... C'est quoi, le terme? Détruite...

Caire :

Le cycle de vie, la destruction du cycle de vie.

M. Tanguay :

Le cycle de vie, mais la dernière étape, c'est «détruite», c'est-tu ça?

M. Tanguay :

Destruction, que ça soit détruit. Ça implique ça aussi, j'imagine?

Caire : Bien, en

fait, là, on ne tombe pas dans la portée de l'amendement sur le cycle de vie de

l'information puis l'utilisation. Ça, c'est vraiment quand vous faites

une utilisation de l'application pour dire : Je vous convie dans

l'environnement le plus sécuritaire que mon application peut vous proposer. Et

donc à vous de paramétriser, après ça, pour permettre l'utilisation

d'information ou d'outils d'information qui vont permettre de personnaliser

votre navigation, mais le cycle de vie de

ces informations-là ne sont pas traitées par l'amendement. Mais on va voir ça

ailleurs, ceci étant.

M. Tanguay :

On va voir ça ailleurs.

Caire :

Oui, on voit ça ailleurs.

M. Tanguay :

Puis, à la

partie destruction, est-ce que... je ne sais pas à quel

article on

va voir ça, mais est-ce qu'on aura le débat sur : Est-ce que la SAQ... ou

ce n'est pas au niveau de la loi du n° 64, parce que

là on est réellement trop dans le détail, mais est-ce qu'on veut, comme

législateur, se poser la question : Est-ce que la SAQ pourrait garder

cette information-là, que le député de LaFontaine, tel jour, telle heure, tel

endroit, a demandé ça? Parce que ça a une certaine valeur commerciale aussi,

Caire : Oui, bien,

en fait, la réponse à votre question, c'est oui, la SAQ pourrait garder ces

informations-là. Ceci étant, il y a des articles auxquels ils devront se

conformer dans l'utilisation, dans les consentements qui sont demandés, dans le

cycle de vie d'une information, à quel moment on doit détruire une information,

etc. On va aussi adresser ces questions-là.

M. Tanguay :

À quel

article on va en parler?

Caire :

Ça, c'est une excellente question. Là, je ne les ai pas tous par coeur en tête.

M. Tanguay :

Ça, on ne les amende pas, hein?

Tanguay : Oui, 73,

mais on l'amende. O.K. Ça fait qu'on va en parler là, de la destruction.

O.K. Dernière question de

compréhension : «Ne sont pas visés — deuxième

alinéa — au

premier alinéa les paramètres de confidentialité d'un témoin de

connexion.» C'est quoi, un témoin de connexion?

Caire :

Un cookie.

M. Tanguay :

Un cookie. C'est quoi, un cookie?

Caire :

Quand vous rentrez sur un site, le cookie, c'est une espèce de petit fichier

qu'on va déposer sur votre navigateur, qui

va enregistrer certains renseignements dans votre séance de navigation. Ce

qu'on va faire, par contre, c'est vous demander, dire : Ce site

utilise des cookies, les témoins...

M. Tanguay :

O.K. Moi, je dis toujours «accepter». Je dis toujours «accepter».

Caire : Puis, si vous dites oui, il va être en mesure de

déposer ce petit fichier-là, puis c'est des informations dont lui se sert pour paramétriser votre navigation

mais à l'intérieur du site. Mais normalement on vous dit : Est-ce que

vous l'acceptez, oui ou non?

Tanguay : O.K.

Donc, si je vais sur le site SAQ, puis : Voulez-vous accepter, moi, je

fais toujours «accepter», là, parce que je n'ai pas le

temps de lire les termes de : Ah! oui, je veux mon...

Caire :

En fait, il n'y a pas de termes, hein, c'est vraiment : Ce site utilise

des... bien, moi, l'expression connue, c'est les cookies. Est-ce que vous

acceptez qu'on s'en serve, oui ou non? Vous dites oui ou vous dites non.

M. Tanguay :

Dans le fond, on pourrait... Francisé, c'est-tu un mouchard? Il me semble que

ça serait un...

Caire :

Non, je pense, témoin de connexion, c'est la traduction usuelle, là.

M. Tanguay :

O.K. Donc, ça, ça veut dire que ça... ce que j'ai fait pendant le deux minutes,

trois minutes sur le site, c'est enregistré.

Caire :

C'est enregistré.

M. Tanguay :

Je pars, ça garde ça.

Caire :

C'est déposé sur votre navigateur.

M. Tanguay :

O.K., ce n'est pas de l'information qu'il... O.K.

Caire : Non, non.

Ce que vous pouvez faire, à la limite, c'est l'effacer, le supprimer. Une fois

que la navigation est terminée, vous pouvez le supprimer.

M. Tanguay :

Puis quelle est son utilité?

Caire :

Le site va aller chercher des informations sur ce que vous avez fait durant

votre navigation, c'est son fichier de

référence par rapport à vous pour dire : O.K., bien, moi, je suis allé...

j'ai consulté telle page, telle page, telle page, etc., là. C'est

vraiment comme votre...

M. Tanguay :

Puis, quand vous y retournez, il s'en rappelle, c'est sa mémoire.

Caire :

Il revient chercher le cookie, il va le chercher parce que lui, il sait où il

l'a déposé sur votre ordi, il va rechercher

le cookie, puis lui, c'est un pro forma qu'il est capable de lire, puis il

vient chercher l'information comme ça.

Donc, la prochaine fois, ça lui permet de dire : Ah! O.K., la dernière

fois que tu es venu me voir, tu as regardé ça, tu as regardé ça, tu as

regardé ça, tu es resté tant de temps, parfait. Puis là il peut faire des

suggestions.

Ce que vous pouvez

faire très simplement, c'est... vous les supprimez. Ils sont dans un fichier

puis... Souvent même, votre système d'exploitation, votre ordinateur va vous

offrir cette opportunité-là : Voulez-vous supprimer les cookies?

Absolument, puis il va tout faire le ménage là-dedans.

M. Tanguay :

Pour les organismes publics, pourquoi c'est important de préserver les cookies?

Parce qu'on l'exclut du premier alinéa.

Caire :

Bien, parce qu'en fait c'est au niveau de la paramétrisation, c'est-à-dire

qu'on n'interdira pas l'utilisation d'un cookie, parce que normalement, si on

se fie au premier alinéa, ça viendra dire que je ne peux pas me servir d'un cookie. Donc, ce que je vais faire,

je vais plutôt vous demander le consentement pour l'utiliser, mais je ne

vais pas... je ne peux pas désactiver. Je m'en sers ou je ne m'en sers pas.

Puis souvent les

applications sont construites comme ça. Je veux dire, c'est prévu dans la

conception de l'application de dire : Bon, bien, telle information, je

vais la garder dans un fichier, je la dépose sur le poste du client. Donc, ce n'est pas une intrusion, là. Je n'essaie

pas de hacker votre système d'exploitation, je fais juste le déposer dans

un fichier, bye bye. Puis après ça, ça me donne... ce n'est pas des...

M. Tanguay :

C'est une aide à la conduite, dans le fond.

Caire :

Oui, ce n'est pas... puis sans dire qu'il n'y a pas d'enjeu de sécurité, parce

que ça ne serait pas vrai, là, ce n'est pas

un outil pour faire une intrusion malicieuse dans votre système, là, c'est

vraiment un fichier qui est constitué par l'application. Puis, par

contre, comme je vous dis, on va demander le consentement sur l'utilisation,

parce que ça reste que je dépose sur votre ordinateur un fichier que vous

n'avez pas constitué, que l'application va se constituer elle-même.

Le Président (M.

Bachand) : Merci. M. le député de Gouin, s'il vous plaît.

Nadeau-Dubois : Oui. Ma

question, c'est, si on adopte cet amendement... D'ailleurs, un bon amendement,

hein, on l'avait préparé, mais c'est toujours bien d'être devancé par le

ministre, parce que c'est une recommandation qui avait été faite par plusieurs

groupes.

Je présume

que le ministre va également amender l'article 18 pour que ce soit

cohérent, puisqu'à l'article 18 on proposait de devoir informer

l'utilisateur du recours à une telle technologie, référant à une technologie

comprenant des fonctions permettant de l'identifier, le localiser ou

d'effectuer un profilage et des moyens offerts pour activer les fonctions

permettant d'identifier, de localiser ou d'effectuer un profilage. Est-ce que

le 18 va être amendé pour le rendre cohérent avec notre nouveau 63.6?

Caire : Je ne vois

pas d'amendement en ce sens-là.

L'article 18, écoutez, on aura des

explications rendu à l'article 18, mais

à ma connaissance on a déposé... On a-tu déposé l'amendement

pour l'article 18? Oui, bon, alors on a déposé les amendements

prévus, M. le Président, à l'article 18.

M. Nadeau-Dubois : Parce que ça

dit... Puis je suis désolé, j'ai lu la mauvaise version de l'article, j'ai

vendu le punch, j'ai lu l'amendement que je

voulais déposer à l'article plutôt que l'article. Ce que l'article dit, c'est

qu'il faut informer l'utilisateur des

moyens offerts pour désactiver les fonctions permettant d'identifier, de

localiser ou d'effectuer. Oui, donc, ce n'était pas du «privacy by

design», le leader du gouvernement n'est pas là, on a le droit d'utiliser des anglicismes, c'était, au contraire, une

disposition qui disait : Il faut informer les gens de comment désactiver

les fonctions de localisation, de profilage, d'identification.

Là, ce que

j'ai posé comme question tantôt, c'est... avec le nouvel amendement on va changer

toute l'approche puis, au contraire,

on va être dans une approche de plus haut niveau de confidentialité par défaut,

donc il faudrait amender 18.

Caire : Bien, M. le

Président, on aura cette discussion-là quand on sera rendu à 18, mais ceci

étant, là, d'entrée de jeu, je n'ai aucun problème... s'il y a une dichotomie

entre les deux articles, je n'ai aucun problème à ce qu'on adopte les

amendements qui seront jugés nécessaires pour être cohérent, aucun problème

avec ça. L'idée est de dire que, quand vous

entrez dans un espace numérique, on devrait vous offrir cet espace-là dans ces

conditions les plus sécuritaires possible. C'est ça, le principe, puis

je n'ai aucun problème à ce qu'on puisse adopter des amendements qui vont aller

dans ce sens-là.

M. Nadeau-Dubois : Parfait, parce

que c'est ça, je donnais ces exemples-là, justement, parce que c'est les... Je

cherchais, comme le député de LaFontaine, un exemple, puis là c'est l'exemple

de l'application de la SAQV qui m'est venu.

Caire : Le député

de LaFontaine étant lui-même un exemple.

M. Nadeau-Dubois : À plusieurs

égards.

Caire : Il n'y a

pas de double sens, c'était juste téteux, Marc.

M. Nadeau-Dubois : Et donc je me

disais, si l'objectif de l'amendement à l'article 63, c'est de faire en

sorte que les gens doivent activer ces fonctions-là, bien, il va falloir

harmoniser...

Caire : Bien, comme

je vous dis, on aura la discussion à 18, mais effectivement, s'il y a une

incohérence, on va s'assurer de la régler.

Nadeau-Dubois : Bien, je me permets de dire, M. le Président, que

c'est un excellent amendement, là, je... Est-ce que le ministre a

l'occasion de faire un amendement similaire pour la loi dans le secteur privé?

Caire : Oui, ça va

être la même disposition, si tant est qu'elle n'est pas... Elle est-tu déjà là?

Caire : Elle est déjà

là, hein? C'est ça, c'est le public qui s'adapte à ce qui se fait au privé. Il

me semblait que ça... Je n'étais pas sûr, là, mais...

M. Nadeau-Dubois : Voilà, c'est ça,

c'était déjà le cas pour le privé.

Caire : C'est déjà

le cas pour le privé. On fait juste mettre... En fait, on s'assure qu'il y ait

une cohérence par rapport à ce qu'on faisait au public.

Nadeau-Dubois : Voilà. En effet, désolé, moi aussi, je me remets dans

le bain, mais ça confirme les souvenirs et les notes que j'ai.

Caire : Oui, oui.

Non, ce n'est pas grave, on est tous à la même page.

Nadeau-Dubois : Bien, parfait, M. le Président, ça complète mes

questions pour cet amendement.

Le Président (M. Bachand) : Merci. Autres interventions sur l'amendement?

S'il n'y a pas d'autre intervention, nous allons procéder à la mise aux

voix. Mme la secrétaire, s'il vous plaît.

La Secrétaire :

Pour, contre, abstention. M. Caire (La Peltrie)?

Secrétaire : Pour les membres du groupe parlementaire formant

le gouvernement, M. Lévesque (Chapleau)?

M. Lévesque

(Chapleau) : Pour.

La Secrétaire :

Pour les membres de l'opposition officielle, M. Tanguay (LaFontaine)?

La Secrétaire :

M. Nadeau-Dubois (Gouin)?

Nadeau-Dubois : Pour.

La Secrétaire :

M. Bachand (Richmond)?

Président (M. Bachand) : Abstention. Donc, l'amendement est

adopté. M. le ministre, s'il vous plaît.

Caire :

Oui, 63.7, M. le Président. Alors, il se lit comme suit :

«Un organisme public

qui a des motifs de croire que s'est produit un incident de confidentialité

impliquant un renseignement personnel qu'il

détient doit prendre les mesures raisonnables pour diminuer les risques qu'un

préjudice soit causé et éviter que de nouveaux incidents de même nature

ne se produisent.

«Si l'incident

présente un risque qu'un préjudice sérieux soit causé, l'organisme doit, avec

diligence, aviser la commission. Il doit également aviser toute personne dont

un renseignement personnel est concerné par l'incident, à défaut de quoi la commission peut lui ordonner de le faire. Il peut

également aviser toute personne ou tout organisme susceptible de

diminuer ce risque, en ne lui communiquant que les renseignements personnels

nécessaires à cette fin sans le consentement

de la personne concernée. Dans ce dernier cas, le responsable de la protection

des renseignements personnels doit enregistrer la communication.

«Malgré le deuxième

alinéa, une personne dont un renseignement personnel est concerné par

l'incident n'a pas à être avisée tant que

cela serait susceptible d'entraver une enquête faite par une personne ou par un

organisme qui, en vertu de la loi, est chargé de prévenir, détecter ou

réprimer le crime ou les infractions aux lois.

règlement du gouvernement peut déterminer le contenu et les modalités des avis

prévus au présent article.»

Donc,

M. le Président, 63.7, cet

article prévoit qu'un organisme public qui a

des motifs de croire que s'est produit un incident de...

Nadeau-Dubois : ...le temps que j'aille effectuer un vote au salon

bleu, M. le Président.

Président (M. Bachand) : Parfait.

M. Nadeau-Dubois : Le ministre peut finir la lecture de l'article.

Je pensais que vous me donneriez la parole juste à la fin.

Caire :

O.K. Bien, c'est l'explication. J'en ai pour 30 secondes, M. le

député.

Nadeau-Dubois : Allez-y, allez-y.

Caire :

Donc, qu'il s'est produit un incident de confidentialité impliquant un

renseignement personnel qu'il détient doit prendre les mesures raisonnables

pour diminuer les risques qu'un préjudice soit causé et éviter que de nouveaux

incidents de même nature ne se produisent.

prévoit également que, si l'incident présente un risque qu'un préjudice sérieux

soit causé, l'organisme doit, avec diligence, aviser la commission et

toute personne concernée par... renseignement personnel impliqué.

Afin...

Enfin, pardon, il prévoit que l'organisme peut aussi aviser toute personne ou

tout organisme susceptible de diminuer le risque du préjudice à

certaines conditions. Voilà.

Président (M. Bachand) : Merci beaucoup.

Donc, on va suspendre

les travaux pour permettre au député de Gouin d'aller voter. Merci.

(Suspension de la séance à 12 h 25)

Le Président (M.

Bachand) : À l'ordre, s'il vous plaît! La commission

reprend ses travaux. Interventions sur l'article 63.7? M. le député de LaFontaine,

s'il vous plaît.

M. Tanguay : ...j'aimerais

entendre le ministre sur c'est quoi, un préjudice sérieux.

Caire : La réponse à la question du député se retrouve à l'article 63.8, où on

dit... Bon, en fait, un incident de confidentialité...

Puis à 63.9 : «Lorsqu'il évalue le risque que d'un préjudice soit causé à

une personne...» En tout cas, les deux articles vont répondre à cette

question-là.

M. Tanguay : «63.9. Lorsqu'il

évalue le risque qu'un préjudice soit causé à une personne [...] un organisme

[...] doit considérer notamment la sensibilité du renseignement [...] les

conséquences appréhendées de son utilisation et la probabilité qu'il soit

utilisé à des fins préjudiciables.»

On va faire le débat à 63.9. Est-ce que ces

pistes de réflexion là sont cumulatives ou sont alternatives?

Caire :

C'est-à-dire que chacune en soi est un élément à considérer...

M. Tanguay : Qui le ferait

sérieux comme préjudice.

Caire : Oui, oui.

M. Tanguay : Elles ne sont

pas cumulatives, là? Il n'y a pas besoin d'avoir...

M. Tanguay : O.K. C'est là où

il est important d'avancer avec C-11. C-11, à l'article 58, 1, Déclaration

au commissaire, on parle dans le contexte de «l'organisme déclare au commissaire toute atteinte aux mesures de sécurité qui a trait à des renseignements

personnels qui relèvent d'elle s'il

est raisonnable de croire», donc déjà là... Je retourne dans le 64 : «Si l'incident présente un risque qu'un préjudice

sérieux soit causé, l'organisme doit aviser la commission.» Au fédéral,

l'analyse... «...raisonnable de croire que, dans les circonstances, l'atteinte présente un risque réel

de préjudice grave...» Et ça, C-11, ça va avoir un impact encore plus,

peut-être, déstabilisant pour les entreprises privées, puis, j'imagine, c'est

la même rédaction plus tard, dans le 64, sur les entreprises privées, mais n'y

échappent pas aussi les organismes publics, tant les organismes fédéraux que

provinciaux.

Est-ce qu'il y a eu une réflexion quant à

l'harmonisation avec la définition faite avec le fédéral? Parce que le

législateur provincial, dans l'exercice de sa prérogative, ne parle pas pour ne

rien dire. Je sais que ce n'est pas la même bouche qui parle quand c'est le

Parlement canadien, mais les deux lois doivent vivre ensemble, puis là force

est de constater qu'en français j'ai des mots différents qui réfèrent à des

réalités différentes.

Caire : Mais les

concepts ne sont pas éloignés l'un de... Le phrasé est différent, mais, je veux

dire, on arrive pas mal sur la même cible. Quand vous regardez, mettons, 63.8,

où là on va vraiment définir c'est quoi, un incident de confidentialité, puis

63.9, la combinaison de ces deux articles-là vient vraiment circonscrire de

façon... à mon humble avis, là, puis je ne veux pas partir de polémique

fédérale-provinciale, là, mais, à mon avis, je pense qu'on vient circonscrire

l'environnement d'un incident de confidentialité et d'un préjudice sérieux de

façon quand même assez précise, là, dans la mesure où trop, ce n'est comme pas

assez, là.

M. Tanguay : Est-ce que

l'existence même d'un préjudice n'aurait pas justifié la communication, au deuxième alinéa? Parce qu'un préjudice, c'est un

préjudice. Pourquoi ce... parce que préjudice sérieux égale communiquer.

Moi, j'aurais été peut-être de l'école, puis

on discute, là, préjudice égale communiquer et préjudice sérieux encore plus,

une autre couche, là, à ce moment-là, là, mais... parce que, s'il y a un

préjudice simple, il n'y aura pas l'obligation de communiquer?

Caire : Bien, c'est-à-dire

que si... On vient qualifier le préjudice parce qu'on se dit : Bon, bien,

dans le cas d'un... Je vous donne un exemple

précis. Moi, je télécharge, sur un site, une information par erreur. Je me

rends compte que cette information-là peut avoir été rendue publique. J'ai un

préjudice sérieux, je dois prendre des mesures pour contrer les effets

de ça, corriger l'erreur, prendre tous les moyens à ma disposition pour mitiger

tout ça.

Vous envoyez,

je ne sais pas, moi, une fiche avec des renseignements personnels, vous vous trompez d'adresse, vous l'envoyez au

mauvais collègue. Tu sais, est-ce que... Puis le collègue

vous dit : Aïe! ce n'était pas la bonne adresse. O.K., excuse.

Bien, ce n'est pas grave, j'ai supprimé le courrier, mais fais

juste l'envoyer à un tel, ce n'est pas... Vous comprenez le contexte? Bon, est-ce

qu'il y a là un préjudice sérieux qui nécessite qu'on appelle la personne qui

est concernée par les renseignements

personnels, qu'on mette la Commission d'accès à l'information pour dire :

Excusez, je me suis trompé d'adresse?

Tu sais,

c'est parce qu'il y a des démarches qui viennent avec ça, puis il faut juste

s'assurer que ces démarches-là sont faites lorsqu'effectivement il

peut... ça se justifie par le risque qui est encouru de les faire, ces

démarches-là, et de mettre tout ce monde-là... parce que,

là, on sonne l'alarme. Là, la Commission d'accès à l'information, elle doit prendre des actions une fois qu'elle a été avisée,

là. Elle va prendre des actions, elle ne fera pas juste : Ah! O.K., c'est

correct, là. Puis la personne... Bien, vous

venez de créer quand même un certain environnement. O.K. Mes renseignements

personnels se sont promenés puis ils n'avaient

pas d'affaire à... alors que, dans les faits, la situation ne le justifie pas,

par le fait qu'il n'y a pas de risque, là. C'est une erreur bébête, mais

sans plus.

M. Tanguay : Deux choses.

Suivez-moi bien. En droit, j'ai un recours judiciaire pour tout préjudice que

vous m'avez causé. En droit, Code civil, j'ai un recours judiciaire pour tout

préjudice. Que le préjudice soit minime, 10 000 $, 5 000 $,

100 $, j'ai un droit, ou qu'il soit sérieux, 1 million,

3 millions, j'ai un recours judiciaire. Et il n'y a pas de qualification

dans notre corpus législatif de... Un préjudice, c'est un préjudice. Puis la

façon que le juge va vous accorder un recours, vous

devez faire la preuve de trois choses : la faute, j'ai commis une faute;

il y a eu un dommage, un préjudice, 10 $ ou 1 million; puis il y a un

lien de causalité. Une fois que vous avez établi ça devant une cour de justice,

vous gagnez. Vous avez donc votre 10 $, votre 100 $, votre

1 000 $ ou votre million.

Mon point, c'est que, s'il y a possibilité d'avoir

un préjudice, effectivement, peut-être qu'on ne va pas alerter la commission,

qui va déclarer... déclencher une enquête, puis tout ça, mais, s'il y a

possibilité d'avoir un préjudice, j'en

informerais le citoyen. C'est pour ça que je garderais les mêmes mots, mais je

déplacerais «sérieux» : «Si l'incident présente un risque sérieux

qu'un préjudice soit causé», et non pas «un préjudice sérieux».

Ce qui doit être sérieux, c'est l'analyse que je

pense qu'il pourrait y avoir un préjudice, j'en informe le citoyen, et non pas : S'il y a juste un

préjudice, je m'en fous, il ne sera pas au courant. Je vais attendre juste un préjudice sérieux, là, tu

sais, 1 000 $, 10 000 $, non, non. Ah! 1 million,

c'est sérieux, potentiel sérieux. Le «sérieux», je le déplacerais. «Si

l'incident présente un risque sérieux qu'un préjudice soit causé», là, j'en

informerais le citoyen puis peut-être qu'on pourrait en aviser la commission,

j'aimerais ça qu'elle soit au courant. Mais elle, à ce moment-là, à l'interne, elle pourrait dire : Regarde,

O.K., on ne va pas déclencher la commission Gomery n° 2,

là. Il est arrivé ça, parfait, on en prend bonne note, bon citoyen.

Mais préjudice... Tu n'es pas à moitié enceinte,

là. Préjudice, il y a un préjudice ou il n'y en a pas. Mais, s'il n'y a pas de

risque sérieux qu'il y ait un préjudice, oublie ça.

M. Caire :

...suspendre?

Le Président (M.

Bachand) : Bien, j'ai le député de Gouin peut-être

Document details

Collection	Quebec — Committees
Citation	CI 2021-03-10
Type	committee
Volume / chapter	fr travaux-parlementaires commissions ci-42-1 journal-debats CI-210310
Language	en
Format	html
Source	PROVINCIAL
Identifier	0b3a1b71b78644ff47e998e3317bbe9f6afc4434

Source file is stored in the law ingest library (html).