Le Président (M. Bachand) : Merci

beaucoup. Ce matin, nous entendrons

les personnes des groupes suivants, donc : la Commission des droits

de la personne et des droits de la jeunesse, la Commission d'accès à

l'information du Québec, le directeur scientifique du Réseau intégré sur la

cybersécurité, de même que le titulaire de la Chaire de recherche du Canada en

analyse respectueuse de la vie privée et éthique des données massives. Donc...

M. Nadeau-Dubois :

M. le Président.

Président (M. Bachand) : Oui.

M. Nadeau-Dubois : Si je peux me permettre, juste un petit instant,

avant qu'on entende notre premier invité, hier, durant la journée, à

plusieurs reprises, les députés membres de la Coalition avenir Québec, dans

leurs questions, ont fait allusion à une consultation qui a eu lieu dans les

dernières semaines au Québec, une consultation en ligne sur l'application dont

on discute cette semaine, il en a même été allusion dans le cas du point de

presse de la députée de Jean-Talon. Les députés semblent avoir de l'information

que les députés de l'opposition n'ont pas au sujet de cette consultation. La députée de Jean-Talon

a même révélé en point de presse qu'il y avait eu 17 000 personnes qui avaient

participé à la consultation.

Pour qu'on puisse

collaborer ensemble puis qu'on puisse travailler de manière réellement

collégiale, au-delà de nos allégeances

politiques, je demanderais aux députés de la Coalition avenir Québec de bien

vouloir nous transmettre

l'information qu'ils ont au sujet de cette consultation-là, parce que sinon on se

retrouve dans une consultation où il y a deux catégories de

députés : des députés qui sont dans le bon parti et qui ont donc, de toute

évidence, de l'information au sujet des résultats de cette consultation et des

députés qui sont dans les mauvais partis et qui, eux, n'ont pas ce privilège.

Alors,

avant qu'on commence puis pour qu'on commence nos délibérations, aujourd'hui,

d'un bon pied, sur un ton de collégialité puis de travail transpartisan,

moi, j'aimerais qu'on nous donne accès à ces informations-là. Ça a filtré dans

une organisation de presse, ça filtre par moments, par certains points de

presse, dans certaines questions. Alors, moi,

j'aimerais qu'on nous transmette cette information-là, puis, je pense, ça

aiderait beaucoup à la bonne marche de nos travaux aujourd'hui.

Président (M. Bachand) : Merci, M.

le député. Je vais vous rappeler que tout le monde possède des informations sur ce dossier, mais il n'a jamais

été question de publication, alors donc il n'y a pas de dépôt de

document. Ce sont des informations qui peuvent avoir... mais il n'y a pas de

publication. Donc, on ne peut pas déposer quelque chose qui n'est pas publié.

Ça va? Merci beaucoup.

Donc,

nous allons débuter les auditions. Alors, je souhaite donc la bienvenue aux

gens de la Commission des droits de la personne et des droits de la

jeunesse.

Le Président (M. Bachand) : Pardon, M.

le député?

M. Nadeau-Dubois :

J'ai dit j'allais appeler le reporter de

TVA, Alain Laforest, puisque lui semble avoir plus d'information que moi

comme député.

Président (M. Bachand) : Merci, M. le député. Alors, je cède

donc la parole aux gens de la Commission des

droits de la personne et des droits de la jeunesse. Alors, Me Tessier, Me Carpentier, vous avez 10 minutes de

présentation, et, par après, nous allons procéder à la période d'échange.

Alors, bienvenue, Me Tessier.

M. Tessier

(Philippe-André) : Merci, M. le Président. Mmes et MM. les députés,

alors, évidemment, Philippe-André

Tessier, président de la Commission

des droits de la personne et des droits de la jeunesse. Je suis

accompagné de Me Marie Carpentier, conseillère juridique à la recherche à

la commission.

Évidemment, je vous

remercie de l'invitation qui est faite à la commission de participer à ces

consultations particulières et audiences publiques sur les outils

technologiques de notification des contacts, sur la pertinence de ce type

d'outils, leur utilité et, évidemment, le cas échéant, les conditions de leur

acceptabilité sociale dans le cadre de la lutte contre la COVID-19.

Conformément à sa

mission d'assurer le respect et la promotion des principes énoncés à la Charte

des droits et libertés de la personne du Québec, la commission a examiné la

proposition du gouvernement afin d'en vérifier la conformité aux principes

énoncés dans cette charte et d'en faire les recommandations qu'elle estime

appropriées.

cours des derniers mois, nombreux experts et défenseurs des droits et libertés

de la personne ont manifesté leurs réserves ou leur opposition à ce

sujet et ont réclamé la tenue d'un débat public sur la question. La commission

tient donc tout d'abord à saluer que le gouvernement prenne acte des

préoccupations exprimées quant au recours à des outils technologiques dans la

lutte contre la pandémie et qu'il organise un débat public.

La commission salue

également le fait que le gouvernement envisage d'adopter seulement le type

d'outil technologique considéré comme étant

le plus respectueux de la vie privée et qu'il exclut les dispositifs de

surveillance enregistrant notamment les données de localisation des personnes.

Le gouvernement a en effet posé ce qu'il estime être les conditions d'acceptabilité sociale d'une application de

notification d'exposition en faisant la liste des fonctionnalités

désirées. On peut noter l'accent sur le caractère gratuit et volontaire, la

confidentialité, le traitement minimal des renseignements personnels et le

stockage protégeant la vie privée. Cela témoigne d'une prise en compte

d'observations émises par plusieurs experts et organisations de santé publique

et de défense des droits et libertés.

Suivant le mandat qui

lui incombe, la commission a procédé à son analyse non pas sur l'acceptabilité

sociale, mais sur les dispositions de la

charte, en se basant notamment sur les atteintes potentielles au droit au

respect à la vie privée et au droit à l'égalité garantis par les

articles 5 et 10 de la charte. Notre réflexion se situe donc dans le

contexte plus large où le développement de nouvelles technologies met en jeu

des intérêts économiques qui peuvent entrer

en conflit avec l'exercice des droits et libertés de la personne, notamment,

évidemment, en lien avec l'exploitation des données. Des inquiétudes ont notamment été exprimées par rapport au

fait que les moments de crise sont propices à l'adoption de mesures

de surveillance qui deviennent permanentes et au fait que les entreprises de

l'industrie des technologies interviennent de plus en plus souvent dans la vie

des personnes et des communautés.

Il est fort probable

qu'une application qui serait recommandée par le gouvernement opérerait sur le

système de notification d'exposition

développé en partenariat avec Apple et Google. Ces derniers ont assuré qu'ils

ne procéderont pas à la monétisation des données échangées sur leur

système de notification d'exposition et que le système sera désactivé une fois

sa finalité atteinte. Cela commande une évaluation en continu.

À ce jour, le

gouvernement du Québec n'a pas indiqué à quelle application spécifique il

entend recourir. Or, le choix d'une application de notification d'exposition

soulève plusieurs questions. Il sera nécessaire de connaître l'ensemble des

spécifications de l'outil retenu afin d'être en mesure de mieux en évaluer les

atteintes potentielles. Ainsi, dans un contexte anxiogène, comme je le disais

plus tôt, il peut être risqué de demander à des populations en situation de vulnérabilité d'adopter un outil

technologique qui n'a pas fait ses preuves et qui n'a pas fait l'objet

d'analyses rigoureuses basées sur des expérimentations empiriques. À ce sujet,

on ne sait toujours pas quel usage les personnes feront des ces applications et

quelles en seront les répercussions en termes de santé publique. Par exemple,

l'utilisation d'une application pourrait encourager, c'est certain, le

développement d'un faux sentiment de sécurité au point potentiellement de ne

pas respecter les autres mesures de santé publique de distanciation.

Conséquemment, l'application devra faire l'objet d'une évaluation rigoureuse et

surtout, encore une fois, en continu par des instances indépendantes.

Donc,

compte tenu de ces conséquences potentielles, la commission recommande que le

gouvernement prévoie une procédure d'évaluation continue et transparente

de son application de notification d'exposition et que celle-ci soit notamment

fondée sur les droits et libertés inscrits à la charte. Pour que ces

évaluations soient possibles, il est primordial également que l'application et

son fonctionnement soient transparents et accessibles. On formule donc une

recommandation à cet effet.

outre, étant donné les difficultés liées à l'identification des relations

causales et à l'application des principes de responsabilité civile dans le domaine des nouvelles technologies, il

serait opportun de déterminer des règles précisant les

responsabilités à l'égard des dommages qui pourraient découler du recours à une

application de notification d'exposition. La commission recommande ainsi

que le gouvernement détermine des règles d'imputabilité dans le cadre du

recours à une application de notification d'exposition.

Par ailleurs, comme

l'a bien reconnu le gouvernement dans son document de consultation, ce ne sont

pas tous les Québécois qui disposent d'un téléphone intelligent plus récent.

C'est le cas de 77 % d'entre eux, pour ce qui est d'un téléphone intelligent, en 2019. Évidemment, comme vous l'avez

entendu hier, les données disponibles démontrent que cette

distribution-là est inégale selon l'âge, le revenu, le niveau de scolarité et

le genre : on a 53 % des personnes avec un revenu de moins de

20 000 $, 35 % des personnes de 75 ans et plus. C'est ce

qui est appelé communément la fracture numérique, puis elle n'est pas,

évidemment, limitée à l'accès à un téléphone intelligent, mais aussi à un

modèle suffisamment récent pour avoir une version d'un système d'exploitation

qui supporte une application de notification. Les besoins des personnes en

situation, aussi, d'itinérance ou en d'autres situations de vulnérabilité

devraient faire l'objet d'évaluation en continu, encore une fois.

Une répartition

inégale des bénéfices attendus d'une application gouvernementale de

notification pourrait être discriminatoire si une atteinte à la vie et à la

sûreté de cette personne était fondée sur des motifs prévus par la charte comme

l'âge, le sexe ou la condition sociale. Nous recommandons donc que le

gouvernement déploie des efforts pour

pallier les effets de cette fracture numérique avant de donner son aval à une

application. Le gouvernement a bien souligné le fait que l'application

sera gratuite, mais le document de consultation ne fait pas état d'autres

mesures pour faciliter les principes d'inclusion et d'accessibilité.

Évidemment, des atteintes discriminatoires peuvent également découler de

l'usage d'une application qui ne respecte pas ces principes, notamment, et on

pense ici aux personnes en situation de handicap.

Le gouvernement

souligne la présence d'une limite technique d'une application de notification

d'exposition basée sur la technologie Bluetooth en affirmant qu'elle ne

tiendrait pas compte de certains contextes, par exemple masque de protection,

séparation par une surface vitrée. Cette technologie risque donc également de

générer un nombre considérable de faux positifs, et les impacts pourraient être

disproportionnés sur certaines populations, en particulier les personnes à

faibles revenus et racisées. Ces personnes sont en effet plus susceptibles de

vivre dans des milieux densément peuplés ayant enregistré des taux de

contamination élevés et devoir travailler dans des contextes propices à cette

contamination. Dans l'évaluation continue de l'application, il sera alors nécessaire

de tenir compte des risques de génération d'effets négatifs financiers et

psychologiques sur ces groupes déjà marginalisés.

En outre, de l'avis

de la commission, le recours à une application de notification d'exposition

constitue une forme de surveillance. De ce

fait, elle porte atteinte au droit au respect à la vie privée garanti par la

charte. Évidemment, ce droit n'est pas absolu. En effet, une personne

peut valablement y renoncer. Pour être valable, cette renonciation doit

satisfaire certaines exigences. En ce sens, nous recommandons au gouvernement

que celui-ci s'assure que le consentement à la collecte, à l'usage et à la

transmission de données soit libre et éclairé, donné à des fins spécifiques

pour une durée déterminée, portant sur les données nécessaires et qu'il puisse

être renouvelé régulièrement.

commission comprend que le modèle proposé par le gouvernement repose sur un tel

consentement. Toutefois, si des tiers, par exemple des employeurs, des

commerçants ou des locateurs, exigeaient d'une personne qu'elle utilise

l'application pour transiger avec elle, on ne pourrait plus parler, alors, de

renonciation valide. Le cadre juridique actuel n'est malheureusement pas

suffisant pour interdire un tel usage. Dans le cas, donc, où des tiers

requerraient l'usage de l'application, il

faudrait s'assurer que la plainte au droit au respect de sa vie privée soit

justifiée, c'est-à-dire que le recours à une telle application n'est pas

irrationnel, arbitraire et que les moyens choisis soient proportionnels au but

visé. Dans ces circonstances, il faudrait examiner avec attention l'utilité de l'application,

son efficacité ainsi que le niveau de sécurité qu'elle présente avant de

conclure qu'elle est conforme aux dispositions de la charte.

Alors,

l'application utiliserait la technologie Bluetooth, et

certains doutes ont été exprimés quant à la capacité de cette technologie

de détecter avec précision les expositions des personnes infectées. Un tel

usage par des tiers pourrait également porter atteinte aux droits et libertés, notamment

aux libertés fondamentales. Ainsi, la commission recommande que le gouvernement interdise à des tiers d'exiger l'utilisation d'application de notification et d'exposition et qu'il mette en place des mesures de surveillance

et de contrôle pour s'assurer que cette interdiction d'exiger l'utilisation

d'application soit effective.

En état d'urgence

sanitaire, la commission, donc, ne se prononce pas contre le recours à une

telle application de notification d'exposition. Nous sommes toutefois d'avis

que l'utilisation d'une telle application doit respecter les conditions que je

viens d'énumérer pour éviter de compromettre les droits et libertés garantis

par la charte. Je vous remercie de votre attention.

Président (M. Bachand) : Merci infiniment, Me Tessier.

Donc, je me tourne vers la

partie ministérielle. M. le député de Chapleau, s'il

vous plaît.

M. Lévesque

(Chapleau) : Merci beaucoup, M. le Président. Merci, Me Tessier, Me Carpentier, merci beaucoup d'être ici ce matin. Merci de

votre témoignage.

Donc,

comme vous l'avez dit, effectivement, l'application, là, s'il est avéré que le gouvernement décide d'aller de l'avant, ce

serait effectivement gratuit, anonyme, sécuritaire et installé sur une

base volontaire, sans géolocalisation, évidemment, sans recours à la biométrie puis il n'y aurait

pas de stockage de données ou de renseignements

personnels, là, comme vous en avez fait mention.

Peut-être une petite question...

Revenons sur la fracture numérique. Hier, justement, on a eu beaucoup

de groupes qui sont revenus sur cette question-là, avec la problématique,

justement, là, des différents... soit des différents groupes d'âge ou des

différents milieux sociaux. Est-ce qu'il n'y a pas lieu de penser qu'il y

aurait... pourrait y avoir un gain pour la santé publique, justement, que

certains groupes puissent l'avoir? Notamment, on peut penser aux jeunes qui,

bon, ont accès à la technologie, qui peuvent... dans le fond, qui pourraient

être notifiés dans le cas d'un contact avec une personne qui aurait eu la

COVID-19. Et la société, tu sais, de façon plus grande, en bénéficierait, du

fait que cette personne-là ne va pas voir grand-maman, ne va pas voir

grand-papa et reste... dans le fond, s'isole et va faire un test. Donc, j'essaie

de voir, là, l'équilibre entre le gain qu'on pourrait avoir en termes de santé

publique puis, effectivement, là, les droits prévus à la charte.

M. Tessier

(Philippe-André) : Merci pour la question. Bien, c'est le défi auquel

l'état d'urgence sanitaire, présentement, interpelle les commissions des

droits, mais évidemment pas juste au Québec, partout à travers le monde. C'est

cet équilibre-là qui doit être recherché entre les différents droits.

Évidemment, le droit à la vie est aussi garanti par nos chartes, et donc il

faut l'opposer au droit à la vie privée. Il faut balancer ces intérêts-là, qui,

des fois, peuvent sembler contradictoires. Alors, évidemment, on a bien

entendu, aussi, les différents commentaires et les différents propos qui ont

été tenus à cet égard-là.

qu'il faut se rappeler, c'est toujours la même chose, c'est que,

lorsqu'on va faire cet exercice-là de balancer, on va regarder les

faits, dans la mesure du possible, les faits qui sont disponibles. Ce que l'on

sait, c'est qu'il y a une surreprésentation au niveau des victimes de cette

maladie-là qui sont des personnes âgées. Il y a une surreprésentation aussi

pour les travailleurs dans le milieu de la santé. Il y a certaines populations

qui ont été identifiées comme étant vulnérables qui sont aussi plus affectées

par cette maladie-là. Donc, c'est sûr et certain qu'il peut y avoir des

bénéfices. Vous donnez l'exemple des jeunes qui pourraient être en contact et

qui ont, eux, des téléphones intelligents, mais il faut, à ce moment-là, le balancer

avec le fait... c'est quoi, l'impact de cette maladie-là aussi sur ces

jeunes-là? Et cet exercice-là, c'est ce à quoi la commission interpelle le

gouvernement pour dire : Advenant qu'il y a une application qui est mise

de l'avant, bien, le droit à la vie privée et les chartes s'appliquent, et,

évidemment, si le gouvernement ne veut pas se voir contester ces éléments-là

par des membres de la société, bien, il faut qu'il soit sûr de pouvoir faire

cette démonstration-là factuelle de l'utilité sociale de cette application.

M. Lévesque

(Chapleau) : Je vois quand même que vous considérez que ça pourrait

être un outil qui pourrait s'ajouter aux autres mesures de santé publique.

Donc, ça ne devrait pas être un seul outil de façon prioritaire ou de façon

unique pour combattre la pandémie, tu sais, ça peut être dans le panier,

disons, des outils, là, pour la Santé publique.

M. Tessier

(Philippe-André) : Je pense que ce que la commission a voulu venir

dire devant vous, puis je pense que ça a été un peu dans notre allocution ou

quand vous regardez notre mémoire, nous ne nous opposons pas à l'adoption

d'une telle application, c'est très clair. Ce que l'on fait dans notre

rôle, c'est qu'on fait nos recommandations pour dire...

Et puis on est très

conscients aussi, puis on l'a dit, je l'ai dit dans mes notes d'allocution,

qu'il y a déjà certaines situations qui ont été identifiées, il y a eu des

expérimentations dans d'autres pays, il y a l'application fédérale qui a été

lancée. Donc, il y a déjà un peu d'eau qui a coulé sous les ponts, qui nous

permet de faire cette appréciation-là et puis de voir qu'il y a des

préoccupations... On donnait l'exemple de la géolocalisation qui a été

complètement évacuée puis on va... Bon, alors, oui, c'est des avancées et c'est

dans cet exercice-là de balancer, hein, vie

privée, selon 9.1 de la charte, et de s'assurer que cette disposition-là est

conforme. Bien, ce genre d'initiative là gouvernementale, on le dit, on

le salue, parce qu'effectivement ça va dans le bon sens, si on suit ce genre de

recommandation là.

M. Lévesque

(Chapleau) : J'aimerais bien vous entendre sur la notion

d'élargissement du... notion de renseignements personnels. Donc, vous

aimeriez peut-être élargir les renseignements personnels. Puis dans quelle

mesure puis comment vous feriez cela, là, pour le faire?

M. Tessier

(Philippe-André) : Est-ce que tu veux répondre?

Mme Carpentier

(Marie) : En fait, notre cadre d'analyse, c'est la charte, le droit au

respect de sa vie privée, qui est inscrit à la charte, donc cette analyse-là

n'est pas limitée à la notion de renseignements personnels. Donc, on n'est pas

limités par le cadre des lois sur la protection des renseignements personnels

dans le domaine privé ou la

loi sur le public. Donc, la notion de vie privée

est plus englobante que celle de renseignements personnels. Donc, notre analyse

est fondée sur le droit au respect de sa vie privée, qui découle de la charte.

M. Lévesque

(Chapleau) : Ce serait sur cette analyse-là que ce serait basé, O.K.

Puis justement, peut-être, sur la réglementation puis la législation actuelle,

avez-vous des commentaires? Est-ce que vous la considérez satisfaisante? Est-ce

que vous trouvez qu'il y aurait même, tu sais, moyen de l'améliorer? Peut-être

même vous avez eu l'occasion de voir le projet de loi n° 64.

M. Tessier

(Philippe-André) : Bien, oui, c'est sûr. Bien, c'est pour... Ma

collègue et moi, on va répondre à tour de rôle, là, mais simplement pour vous

dire que pour ce qui est... Évidemment, on n'est pas sur la commission parlementaire sur le p.l. n° 64

puis on prend le temps, évidemment... Et une chose est sûre pour nous, ce qu'on

a identifié de façon quand même... de façon assez importante, c'est

l'interdiction pour les tiers. Alors, c'est sûr et certain que, présentement,

cette interdiction-là n'existe pas, elle n'est pas dans les livres. Donc, vous

nous demandez qu'est-ce qui manque, présentement, ça, c'est sûr que, oui, ça

manque. Ça, c'est clair que, là, là-dessus, il y a un enjeu, parce que la

pente... quand on parle... une pente glissante.

Puis je suis bien au

fait, là... on a bien écouté aussi, hier, ce qui s'est passé. Donc, on ne veut

pas verser non plus dans le catastrophisme ou dans le solutionnisme, tu sais,

je pense qu'on essaie d'avoir une approche équilibrée sur le domaine, sur la

question, mais c'est sûr et certain que, quand on voit un trou, quand on voit

un espace, bien, généralement, il y a une tentation pour des gens de pouvoir se

glisser dans ce trou-là, des tiers d'exiger... et que ce soit des employeurs,

des locateurs, peu importe, n'importe qui qui se retrouve... de venir exiger

l'application, et c'est là où ça glisse, parce que c'est là où le consentement

libre et éclairé, il s'étiole, puis c'est un risque quand même assez conséquent.

M. Lévesque

(Chapleau) : C'est beau. Peut-être une petite dernière question avant

de passer la parole à ma collègue des Plaines. Vous avez parlé d'analyse en

continu, d'évaluation continue, de surveillance et de contrôle. Comment vous

envisagez cet élément-là que vous nous présentez?

M. Tessier

(Philippe-André) : Ce que je peux vous dire, c'est que la commission a

collaboré... hier, vous avez entendu M. Maclure, le président de la

Commission en éthique, science et technologie, donc la commission a collaboré aux travaux. Évidemment,

on collabore également avec la Commission

d'accès à l'information, on a

participé récemment à leur consultation sur les systèmes d'intelligence

artificielle.

Donc, il y a déjà des

acteurs, quand même, gouvernementaux crédibles, qui sont la CDPDJ, la CAI, la

CEST et l'INESSS également, qui... donc, il y a déjà ces organismes-là qui ont

des professionnels à l'intérieur de ces organismes-là qui peuvent exercer ce

genre de rôle là en continu. Pour nous, c'est sûr et certain que l'État s'est

doté de ces organismes-là de conseil et d'avis, bien, c'est un bon moment,

peut-être, pour les mettre à contribution.

Président (M. Bachand) : Merci beaucoup, M. le député.

Mme la députée de Les Plaines, s'il vous plaît.

Mme Lecours

(Les Plaines) : Merci beaucoup, M. le Président. Tout d'abord, merci de votre présence aujourd'hui. C'est

important qu'on puisse, justement, avoir des éclairages et des recommandations.

Vous avez parlé, justement,

d'évaluation en continu, vous avez parlé d'un fonctionnement transparent également.

Vous avez mentionné, à un moment donné, la discrimination par rapport aux

handicapés. J'aimerais ça que vous développiez un petit peu là-dessus.

M. Tessier

(Philippe-André) : Encore là,

nous, on dit : Il faut faire attention. Évidemment, il y a des

protocoles, il existe différents types de protocole en ligne qui sont là pour

faire en sorte que ces applications-là soient accessibles, que ça soit, par

exemple, pour non-voyants au niveau des lecteurs.

Ce qu'il faut toujours

comprendre, c'est que, lorsqu'il y a une situation de crise sanitaire, il va y

avoir des mesures nouvelles qui sont mises en place. Bien, par exemple, là, présentement,

bien, à certains endroits, on va mettre des pistes cyclables partout, on va

piétonniser les rues. Bien là, on n'a peut-être, des fois, pas pensé au fait

que la personne qui a besoin du transport adapté pour se rendre chez elle,

bien, ça limite son accès à son transport adapté puis à son déplacement. Et

souvent, nous, à la commission, on est très sensibilisés à ces enjeux-là en

lien avec les personnes en situation de handicap qui vont le dénoncer. Il y a

des... C'est des gens qui sont déjà, en partant, stigmatisés — puis je

parle handicap visible ou invisible, là, donc moteur, peu importe, là, la

notion large de handicap — alors c'est sûr et certain que, lorsqu'on

met en place ce genre de système là, il faut toujours avoir la petite pensée en

disant : Bien, c'est une bonne idée, mais... oui, mais est-ce qu'on a

pensé aussi aux personnes en situation de handicap? Puis c'est un peu le sens

de notre propos dans le mémoire. Ces principes-là sont bien connus,

technologiques, et tout...

Mme Lecours

(Les Plaines) : ...dans la fracture du numérique, non. C'est deux

choses différentes. O.K.

M. Tessier

(Philippe-André) : Non, c'est deux... Oui, c'est ça, c'est deux choses

différentes. C'est ça, tout à fait.

Mme Lecours

(Les Plaines) : O.K. Un petit peu de temps encore? Vous avez parlé,

évidemment, de l'utilité. C'est clair que la commission est là pour ça, pour en

voir aussi... pas l'adaptabilité, mais l'acceptabilité sociale et l'utilité

dans un moyen additionnel à ce qui se fait déjà. Un peu comme mon collègue vous

a posé la question, de quelle façon est-ce que, selon vous, on pourrait,

justement, le considérer comme utile, en complément avec ce qui se fait déjà?

Mme Carpentier

(Marie) : Notre posture est à l'effet que cette notion-là d'utilité va

vraiment varier en fonction du fait que les tiers ont accès à l'application ou

non.

l'application sert vraiment essentiellement à notifier une personne puis que la

personne n'a pas de conséquence attachée avec le fait qu'elle a l'application

ou qu'elle ne l'a pas ou avec le résultat que fournit l'application, l'utilité,

je dirais, en termes de santé publique, les conséquences en termes de droits de

la personne sont moindres.

des tiers peuvent avoir accès, soit obliger quelqu'un à avoir l'application ou

soit voir le résultat que produit l'application, là, la question de l'utilité

puis de l'efficience de l'application est vraiment plus en cause. Puis on sait

que l'efficience de l'application est relative, étant donné que la technologie

Bluetooth n'a pas été développée à cette fin-là, donc ce n'est pas une

technologie qui a été prévue pour cet usage-là.

Et en amont, en fait,

il y a quand même la question des tests qui vont produire le résultat que

l'application fait. Donc, même les tests, on sait qu'ils sont efficaces, ils ne

produisent pas de faux positif, mais ils produisent 30 % de faux négatifs.

Donc, l'efficience... l'utilité de l'application est limitée par l'efficience

des tests en partant.

Donc, à partir du

moment où les tiers prendraient des décisions de transiger avec une personne,

la question de l'utilité est beaucoup plus importante si des tiers sont en

cause. La commission est d'avis que, là, il faudrait faire une étude

approfondie sur le fonctionnement spécifique de l'application avec toutes les

données nécessaires, ce qu'on n'a pas pour l'instant, là. On a des

caractéristiques générales, mais on n'a pas toutes les caractéristiques de

l'application. Puis nous, on peut faire une évaluation des impacts sur les

droits de la personne, mais ça prendrait aussi d'autres sortes d'experts qui

seraient capables de nous démontrer l'utilité en termes de santé publique et

les risques informatiques qui sont liés avec cette application-là.

Président (M. Bachand) : Merci. J'ai la députée de Jean-Talon,

s'il vous plaît.

Mme Boutin :

Bonjour, Me Tessier et Me Carpentier. Merci d'être là. Votre rapport était fort

intéressant. Je ne sais pas si... Je suis un peu loin de mon micro, hein?

Bien, je vais

rebondir un petit peu sur ce que vous avez dit sur les tests. Premièrement, par

rapport à cette application-là, le code est

ouvert, puis c'est quand même relativement transparent, mais j'aimerais... j'ai deux questions, en fait.

Premièrement, sur votre recommandation 1 et la recommandation 3,

j'aimerais qu'on approfondisse un petit peu, parce que vous mentionnez

l'importance d'intégrer un processus d'évaluation en continu. Moi, j'aimerais

savoir qu'est-ce qu'on pourrait évaluer. Puis est-ce qu'on le fait juste en

continu ou en amont et est-ce qu'on évalue l'efficacité? Si on évalue

l'efficacité, comment est-ce qu'on pourrait procéder pour que ça soit

statistiquement intéressant? Dans le fond, est-ce qu'on demande à un groupe de

participer? Moi, j'ai beaucoup de questionnements par rapport à ça, puis c'est

revenu, là... puis je pense que ça va revenir aujourd'hui puis demain également,

là, parce qu'il n'y a pas de rapports internationaux vraiment publics qui nous

ont permis de démontrer l'efficacité ou non. On a des constats internationaux,

mais il n'y a rien, tu sais, d'assez tangible.

Ça fait que peut-être

que nous, si jamais on allait de l'avant... si le gouvernement allait de

l'avant, tu sais, en amont, pourrait déjà établir ces mécanismes-là. J'aimerais

vous entendre là-dessus, approfondir un petit peu.

Président (M. Bachand) : En 1 min 30 s.

M. Tessier

(Philippe-André) : Comme

j'ai dit tout à l'heure à votre collègue, le but de cette recommandation-là,

puis je pense que vous y faites référence,

c'est qu'il y a différents rapports, il y a différentes initiatives

internationales qui ont été mises de l'avant, il y a certaines mesures qui sont

faites en fonction de... bon, bien, par exemple, le taux d'adhésion, est-ce

qu'il... Et c'est sûr et certain que les questions qu'on peut identifier...

Nous, on se pose des questions sur les questions d'imputabilité dans le cadre

de recours en application. Bien, c'est aussi ces éléments-là, qui qui est

responsable s'il y a des problèmes.

On peut essayer de

prendre notre boule de cristal, vous et moi, puis imaginer, bon, qu'est-ce qui

peut arriver, mais c'est pour ça qu'on parle de mécanismes d'évaluation en

continu, c'est parce qu'il y a des choses, peut-être, qu'on ne soupçonne pas

qui vont se produire, qui peuvent avoir un impact. Et d'avoir cet exercice-là,

ça ne veut pas dire qu'à tous les mois il y a des éléments qui se font, là. On

parle d'évaluations en continu, ça peut être sur une période. Puis évidemment,

bien, on le rappelle aussi que... puis je pense que ma collègue y faisait

référence, c'est qu'on veut que ça soit basé sur un cadre d'analyse qui est

global, qui est celui de la vie privée prévue à la charte, pas seulement à

celui du renseignement personnel prévu dans les lois qui visent à protéger les renseignements

privés ou l'accès à l'information. Je ne sais pas si ça répond à votre

question.

Président (M. Bachand) : Il vous reste 30 secondes, Mme la

députée.

Mme Boutin :

Bien, au niveau, justement... brièvement, sur la gouvernance et l'imputabilité,

est-ce qu'on pourrait mettre, je ne sais pas, moi, un groupe, un comité

d'experts, quelque chose en amont?

M. Tessier

(Philippe-André) : Bien, c'est un modèle qui est retenu puis qui est quand

même adopté ailleurs, là. Nous, notre but, ce n'est pas de vous dire comment le

faire, mais c'est sûr qu'il y a différents modèles qui existent, là, puis je

pense qu'il y a des gens ailleurs qui vous ont parlé également de différentes possibilités

en ce sens-là. Donc, on peut juste vous dire que nous sommes intéressés et

disponibles.

Président (M. Bachand) : Merci beaucoup. Mme la députée de

Saint-Laurent, s'il vous plaît.

Mme Rizqy :

Merci beaucoup. Bonjour. Je vais tout de suite rebondir, d'ailleurs, sur

l'imputabilité et le groupe indépendant. Prenons, par exemple, un cas

concret que nous sert la vie privée, lorsqu'il y a des plaintes logées... par exemple celui au centre d'achats, en Alberta, où est-ce

qu'on a utilisé un logiciel de reconnaissance faciale à l'insu des gens, il y a

eu une plainte qui a été logée. Ça fait maintenant deux ans, et le rapport n'a

toujours pas été déposé.

Alors, au niveau de,

oui, mettre en place un chien de garde, mais présentement est-ce que nos chiens

de garde ont des lois qui ont du mordant et assez de ressources pour rapidement

s'assurer d'avoir non seulement un rapport mais aussi des conséquences à ceux

qui enfreignent nos droits à la vie privée?

M. Tessier

(Philippe-André) : Bien, écoutez, pour ce qui est de la Commission

d'accès à l'information, je vais... je pense qu'ils passent juste après nous,

je vais les laisser répondre à votre question.

Pour ce qui est de

notre maison, c'est sûr et certain que la question des délais, c'est une question

qui est toujours préoccupante pour nous. On essaie toujours de répondre dans

les meilleurs délais aux citoyens lorsqu'ils déposent des plaintes. C'est sûr

et certain que, lorsqu'il y a des situations nouvelles qui impliquent des

intérêts variés, ça pose des défis pour des organisations comme les nôtres, qui

se voient confier des responsabilités de faire des enquêtes.

C'est pour ça que,

quand on vous parle d'évaluation continue puis en suivi, c'est qu'il n'y a rien

qui peut se... surtout sur des éléments comme ça qui sont nouveaux, qui sont

complexes, des analyses rapides peuvent être des fois, malheureusement,

bâclées. Et il faut se mettre... il faut être très prudents, lorsqu'on est des

institutions comme les nôtres, de faire des

analyses qui sont rapides ou bâclées parce que, là, on peut mettre vraiment en

péril la confiance des citoyens envers les institutions. Ça fait qu'il

faut faire cet exercice-là...

Mme Rizqy :

Je comprends, mais un délai de deux ans, quatre ans, des fois, dans d'autres

cas... Pour la population, c'est quoi, l'effet dissuasif lorsqu'un rapport peut

tarder ou semble tarder si on n'a pas mis assez de ressources dans nos

institutions pour, justement, rapidement, sans bâcler le travail... mais

habituellement on est capables quand même de donner une conséquence un peu plus

rapide que quatre ans maximum.

M. Tessier

(Philippe-André) : Écoutez, nous, c'est sûr et certain que, de ce

point de vue là, c'est pour ça que nous, on joue notre rôle, aussi, aujourd'hui

en amont en faisant des recommandations pour éviter ce genre de situation là ou

pour sensibiliser les parlementaires puis le gouvernement aux réalités liées

aux droits de la personne.

Maintenant, c'est sûr

que, les délais, il n'y a... comment je pourrais vous dire, ce n'est pas

simplement une question de délai, ici. L'enjeu, c'est que l'évaluation continue

dont on parle et les règles qu'on met en place ou la recommandation, par

exemple, de l'utilisation des tiers, c'est que, oui, on peut porter plainte

puis, oui, on peut faire ce genre de démarche là, mais ce qui est beaucoup plus

porteur, c'est lorsqu'il y a les règles qui sont clairement établies au début,

les balises sont mises clairement au début et que c'est très clairement dit,

par exemple, par le gouvernement — ça a un impact — qui

dit : Les employeurs, vous n'avez pas le droit de l'exiger. Ce n'est

peut-être pas contraignant au sens légal du terme, mais c'est sûr que c'est un

puissant indice, quand le gouvernement dit aux employeurs du Québec :

Écoutez, vous ne pouvez pas exiger l'application quand le monde rentre chez

vous pour travailler. Ça donne aussi un outil au travailleur, qui dit :

Bien là, écoute, boss, je t'aime bien, mais il me semble que j'ai entendu le

premier ministre dire que tu n'avais pas le droit de faire ça. Donc, il y a ce

genre de geste là, qui peut être posé en amont, qui aide, disons.

Mme Rizqy :

Mais aujourd'hui, au XXIe siècle, la donnée, là, les entreprises courent

après ça. Et tantôt vous avez fait référence à un trou et que, malheureusement,

lorsqu'il y a un petit trou, là, aussi petit soit-il, les gens vont avoir

tendance, malheureusement, à vouloir l'explorer, ce trou.

Et ça m'amène à la

question suivante. Puisque le risque zéro, évidemment, on le sait très bien,

n'existe pas, par contre il peut toujours y avoir un risque de croisement de

données, et, là-dessus, ce risque de croisement de données, il est réel. Et aujourd'hui

les entreprises... parce que, oui, il y a le gouvernement qui peut avoir une

application, mais rien n'empêche une entreprise privée telle que, par exemple,

Facebook de développer sa propre application et avoir, encore une fois, une

fuite de données, aujourd'hui, les conséquences pécuniaires, si jamais il y a

une fuite de données, pour le secteur privé, c'est assez limité, là, au Québec

et au Canada.

Mme Carpentier

(Marie) : Ce qu'on dit, dans notre analyse... Notre analyse porte sur

le fait qu'à notre avis, avec la proposition gouvernementale, si les tiers

n'ont pas accès à l'application, le consentement peut être valide. Donc, il y a

toujours le consentement, à l'origine. Donc, la question de la protection des

données personnelles... Les gens acceptent d'avoir un compte Facebook s'ils

acceptent d'avoir une application... C'est... On ne recommande pas l'adoption

d'une application. Je pense que, ça, je peux dire ça. Mais on dit que, si les

règles de consentement sont respectées et si c'est interdit aux tiers d'avoir

accès à l'application, le consentement à la renonciation au droit au respect de

sa vie privée pourrait être valide. Je ne sais pas si ça répond...

Mme Rizqy :

Oui, oui. Donc, je comprends que vous ne recommandez pas l'application. Si

jamais on va de l'avant, il faudrait... Mais est-ce que vous permettez

d'ajouter la chose suivante? Au niveau de la pédagogie qu'on fait, aujourd'hui,

sur le consentement, sur notre droit à la vie privée, elle est très limitée, la

littératie numérique, là, elle est très, très peu développée. Alors, comment

peut-on parler de consentement libre et éclairé, et, si je peux me permettre,

pour nos aînés, et la population vulnérable, et les populations plus

stigmatisées?

M. Tessier

(Philippe-André) : Oui,

c'est sûr que c'est des préoccupations qu'on illustre dans notre mémoire.

Je pense que c'est pour ça que, lorsqu'il y a ce genre d'outil là qui est

déployé, s'il est déployé, puis je reviens sur le fait que ça prend des actions gouvernementales fortes pour venir expliquer, faire comprendre — je

pense qu'il y a ce genre de choses là qui se produisent, présentement,

dans le contexte que l'on vit, avec d'autres mesures gouvernementales qui sont

mises en place — bien,

c'est sûr et certain qu'il y aura cet effort-là qui devra être fait pour

s'assurer qu'il y ait une véritable compréhension de la population, de ce que

ça veut dire et c'est quoi, les conséquences, c'est quoi, les impacts.

Mme Rizqy :

Tantôt, vous parliez aussi que ça n'a pas fait ses preuves. Vous avez aussi

comme mission de vraiment, aussi, protéger

les plus vulnérables, les populations stigmatisées. Prenons un exemple très

concret, Montréal-Nord. Rappelons-nous, ma collègue la députée de

Montréal-Nord, au départ, il n'y avait pas... la Santé publique n'avait pas

identifié Montréal-Nord, c'étaient les gens du terrain, les gens du

sociocommunautaire, la députée qui se battaient dans l'eau bénite pour

dire : Non, non, il y a quelque chose qui se passe ici, on est éloignés,

on est dans des méga blocs-appartements, on a besoin de venir être testés,

malgré que, lorsque la Santé publique a déployé une unité mobile de dépistage,

la première journée, là, ça ne s'est pas rué, il a fallu envoyer des gens

frapper aux portes.

Pensez-vous

sincèrement que ce type d'application permettrait d'améliorer la situation ou,

pire, pourrait faire en sorte que ceux qui n'ont pas accès à Internet, environ

30 % dans ce secteur, eux autres, au contraire, dans la file de réactions

et d'accès au droit à la santé, c'est-à-dire d'avoir accès aux tests, ils

arriveraient un peu plus loin dans la chaîne de commandement parce qu'ils ne

seraient jamais notifiés, à moins qu'on aille cogner à leur porte?

M. Tessier (Philippe-André) :

Je veux juste dire... puis évidemment la consultation d'aujourd'hui est sur

l'application, là, mais, sur le grand angle, là, la commission, on est sortis

pour, justement, mettre en lumière le fait que la crise sanitaire avait

révélé... avait été un révélateur des inégalités sociales plus sous-jacentes et

profondes qui existent. Pour donner l'exemple

de Montréal-Nord, on a même fait une sortie là-dessus pour dire que c'est des

inégalités structurelles qui préexistent et c'est des faiblesses structurelles

où on voit ces éclosions-là, les CHSLD, les populations plus vulnérables. Donc,

ça, et on n'est pas les seuls à l'avoir dit, il y a quand même eu ces

éléments-là qui sont ressortis. Puis c'est sûr et certain qu'il faut voir

l'application, puis c'est un peu ce qu'on dit aussi dans notre mémoire, comme

étant un des moyens. Il y a énormément de moyens qu'il faut mettre en place

pour s'assurer que les populations vulnérables et... bon, les personnes âgées

ou autres, qu'on vienne combler cette fracture numérique là, oui, pour

l'application, mais, en termes de santé publique, il y a d'autres mesures à

mettre en place, puis ce n'est peut-être pas l'objet du propos d'aujourd'hui,

mais on les a quand même dits dans les quatre, cinq derniers mois. Je vous dirais

qu'on est sortis quand même beaucoup là-dessus pour, justement, rappeler au

gouvernement l'importance d'insister sur ces aspects-là, parce

qu'effectivement, vous l'avez dit, il n'y a pas nécessairement d'accès à

Internet ou de téléphone intelligent, mais... C'est ça.

Mme Carpentier

(Marie) : Dans notre mémoire, on mentionne aussi l'importance de

s'assurer que les conséquences négatives qui

pourraient être liées... de faire attention à la répartition des conséquences

négatives qui pourraient être liées

avec un faux positif que pourrait produire l'application, par exemple les conséquences

psychologiques d'avoir un faux positif puis les conséquences économiques, le

fait d'être obligé de se confiner. Donc, oui, dans le mémoire, on le mentionne,

que c'est important que le gouvernement voie à pallier. Ceci dit, quels sont

les moyens pour pallier à ça, bien, c'est votre prérogative.

Mme Rizqy :

Je voudrais ne pas vous poser la question suivante. Aujourd'hui, oui, on parle

de traçage, une application, l'application de notification, dis-je bien,

mais il y a aussi deux autres affaires assez importantes, je crois : le

dossier de reconnaissance faciale, qui est en cours, où est-ce qu'on sait que

la Sûreté du Québec est en appel d'offres, où est-ce qu'il n'a pas eu de débat,

et il y a aussi l'identité numérique. Tout ça, est-ce que vous n'avez pas

l'impression que ça mériterait d'être discuté et... Je vois que vous hochez déjà

la tête, alors je vais vous laisser parler.

M. Tessier

(Philippe-André) : Oui, bien, écoutez, je vais vous dire, là,

lorsqu'on parle de la situation COVID, encore une fois, bien, la situation

COVID met en lumière des situations, des enjeux. Justement, bon, c'est quoi,

l'ironie, là? C'était quelqu'un qui mettait un post sur Facebook pour dénoncer

une application de traçage. Je veux dire, tu sais, il y a ces questions-là qui

se posent par rapport à l'ensemble des GAFAM. Puis, encore une fois, le Québec

n'est pas le seul. Donc, ces questions-là, elles se posent. Elles se posaient avant

la pandémie, elles vont se poser après. C'est clair que ces enjeux-là sont

fondamentaux, oui.

Président (M. Bachand) : Merci beaucoup. M. le député de Gouin,

s'il vous plaît.

M. Nadeau-Dubois :

Merci, M. le Président. Bonjour à vous, maîtres, au pluriel. Merci d'être avec

nous ce matin en commission. J'ai un peu plus de deux minutes, alors je vais

être direct. Est-ce qu'il y a, actuellement, dans le corpus législatif

québécois, des dispositions qui interdiraient, comme vous le recommandez, à des

tiers d'exiger l'application?

M. Tessier

(Philippe-André) : Pas à notre connaissance, non.

M. Nadeau-Dubois :

Parfait. Sans une telle modification législative, donc, qui viendrait interdire

cet accès par des tiers, est-ce qu'une telle application représenterait, selon

vous, un danger pour les droits et libertés des Québécois et des Québécoises?

M. Tessier

(Philippe-André) : C'est sûr et certain que, comme on l'a dit tout à

l'heure, là, en l'absence de telles mesures, il faut, à ce moment-là, disons,

des prononcés très affirmatifs et très clairs sur les consignes et les

conditions à respecter, pour le grand public, pour au moins s'assurer qu'il y

ait une compréhension, mais...

M. Nadeau-Dubois :

Comment? Est-ce que vous recommandez que ça prenne la forme de dispositions

législatives?

M. Tessier

(Philippe-André) : Pour nous, puis c'est ce qu'on met dans notre

recommandation, c'est que ça serait des mesures législatives, effectivement.

M. Nadeau-Dubois :

Parfait. Est-ce qu'à votre... selon votre lecture du projet de loi n° 64, il y a, dans ce projet

de loi déjà déposé à l'Assemblée nationale, des dispositions qui répondent aux

critères que vous venez d'énoncer?

M. Tessier

(Philippe-André) : Je ne peux pas me prononcer sur 64, on ne l'a pas

encore étudié. M. le député, avec respect, là, je suis obligé de vous dire que...

M. Nadeau-Dubois :

Est-ce qu'il y a d'autres choses qui sont manquantes dans notre cadre

législatif pour rendre l'utilisation d'une telle application respectueuse des

droits et libertés des Québécois et des Québécoises?

M. Tessier

(Philippe-André) : L'autre élément aussi, c'est sûr et certain, sur

lequel on vous sensibilise, à la recommandation 3 de notre mémoire, c'est

les questions d'imputabilité. Donc, c'est sûr et certain que, dans le domaine

technologique, c'est un peu flou, qui est responsable de quoi. Alors, c'est sûr

et certain que ce qu'on pense qui est une bonne façon de faire, c'est...

souvent, ça va être de créer des présomptions pour s'assurer que... Bon, donc,

ça, c'est ce genre de mécanisme là qu'on peut mettre en place dans le domaine

technologique.

M. Nadeau-Dubois :

...ça prenne la forme d'une disposition législative.

M. Tessier

(Philippe-André) : Encore une fois, c'est quelque chose qui peut être,

effectivement, de l'ordre d'une disposition législative, oui.

M. Nadeau-Dubois :

Parfait. Merci beaucoup.

Président (M. Bachand) : Merci. M. le député de René-Lévesque,

s'il vous plaît.

M. Ouellet :

Merci beaucoup. À mon tour de vous saluer. Merci pour votre mémoire. Je veux

revenir à la première recommandation que

vous faites, notamment sur la gouvernance et l'importance d'avoir cette

gouvernance-là en continu et cette surveillance-là. Vous en faites une

recommandation. Seriez-vous prêt, aujourd'hui, d'en faire une exigence si le

gouvernement décide d'aller de l'avant avec le type d'application de traçage

qui est discutée, mais qui n'est peut-être pas celle qui sera proposée?

M. Tessier

(Philippe-André) : Le mandat que la commission a en vertu de la

charte, c'est de faire des avis et des recommandations au gouvernement.

M. Ouellet :

Bien, est-ce que... O.K.

M. Tessier

(Philippe-André) : Donc, notre mandat législatif est de faire des

recommandations.

M. Ouellet :

Est-ce que vous recommandez fortement?

M. Tessier

(Philippe-André) : Bien, tout... Je veux dire, évidemment, une fois

par année, la commission dépose son rapport annuel. La charte prévoit, à son

article 75, que ce rapport est déposé directement à l'Assemblée nationale,

et là-dedans on fait la liste de nos recommandations et des suivis ou non de

nos recommandations. Les parlementaires peuvent exercer un contrôle sur

l'action gouvernementale à travers des institutions comme la nôtre, celle du

Protecteur du citoyen, du Vérificateur général. C'est sûr que nos

recommandations doivent être suivies, dans la mesure où on encourage et on

incite le gouvernement à les suivre. Puis, lorsqu'elles ne sont pas suivies,

bien, on est transparents avec les parlementaires puis on le dépose à

l'Assemblée nationale.

Mme Carpentier

(Marie) : Si je peux me permettre...

M. Ouellet :

Oui, allez-y.

Mme Carpentier

(Marie) : ...cela étant, on a bien indiqué qu'on n'avait pas toutes

les informations disponibles pour donner notre avis définitif sur

l'application. Puis c'est certain que, s'il y a une application qui était

proposée, on referait un examen pour vérifier si elle est... si l'application

est conforme aux dispositions de la charte.

M. Ouellet : Le débat est là.

On parle de peut-être utiliser l'application fédérale, mais ça peut être une

autre application. Tu sais, je veux dire... Puis je lisais la découpure de

presse du ministre de la Stratégie numérique, ce matin, à Radio-Canada, qui dit

qu'on a peut-être un débat futile tant et aussi longtemps que le gouvernement

n'aura pas décidé d'aller dans le même sens que ses sondages et ses

consultations auront donné, indiquant la volonté des Québécois et des

Québécoises d'aller de l'avant, et, au final, la solution proposée pourrait

être totalement différente de celle qu'on parle aujourd'hui.

Donc, merci pour ces éclairages, ils sont

importants. Et notre travail, à la commission parlementaire, c'est de tracer

des guides qui vont nous aider lorsque le gouvernement aura décidé quelle

application... quelles devraient être les mesures pour en assurer la sécurité,

l'accessibilité, l'acceptabilité et surtout qu'on ne fasse pas ça pour rien.

Alors... Puis je ne veux pas vous mettre en boîte, là, je comprends votre rôle...

M. Tessier (Philippe-André) : ...on

vous dit, puis... recommandations, puis on en a parlé avec les autres parlementaires, c'est que c'est sûr et certain

qu'évidemment, aujourd'hui, on ne sait pas c'est quoi, l'application, avec un L majuscule. Maintenant, cela dit, les

autres recommandations demeurent pertinentes, dans la mesure où, peu

importe l'application choisie, s'il y en a une de choisie, bien, c'est pour ça

qu'on parle de mécanismes d'évaluation puis de suivi en continu, c'est parce

que, fondamentalement, il y aura d'autres questions qui vont se poser, il y

aura... il y a d'autres enjeux sous-jacents plus larges quant à l'utilisation

des données, l'utilisation du numérique, donc c'est sûr et certain que ces

éléments-là vont continuer d'être analysés.

Le Président (M.

Bachand) : Merci. Merci, Me Tessier. Je dois céder la parole...

je veux céder la parole au député de Chomedey, pardon.

M. Ouellette : Merci. Bonjour à

vous. Effectivement, votre mémoire est en fonction des informations que vous

avez. Bien, nous, nos questions sont en fonction des informations qu'on a. Vous

comprenez que c'est un choix politique. Vous comprenez que, présentement, le gouvernement

base avec les... ce qui filtre, la complémentarité sur

12 000 citoyens du Québec qui sont favorables à cet outil-là, là. On

va oublier le 75 %, c'est 12 000 citoyens. On ne le sait pas

encore, on ne les a pas toutes, les informations.

On comprend aussi que vous êtes en... C'est un

processus d'évolution. Là, vous venez de nous faire une image aujourd'hui,

mais, en fonction des informations que vous avez et en fonction du document de

consultation. On comprend que, dès que le gouvernement va avoir décidé... On

souhaite que ça soit par processus législatif, on souhaite que le gouvernement

n'utilise pas l'état d'urgence sanitaire pour y aller par décret. Ça, c'est

parce que c'est une autre chose qui est possible.

Mais ce que je remarque, c'est qu'aujourd'hui

vous venez allumer une lumière rouge puis vous nous dites :

La définition

de la vie privée, la définition globale de la vie privée... vous nous parlez

d'équilibre, vous nous parlez de bonne gouvernance, vous nous parlez de

transparence, d'imputabilité puis de reddition de comptes. C'est des choses qui

devront apparaître, parce que, si j'ai bien compris, vous allez être le premier

à venir nous dire, si ce n'est pas là : Bien, on est passés, le

13 août, on vous a dit ce qu'il en était, et je pense que vous allez... on

vous suggère très, très, très fortement de vous en assurer parce que ça

pourrait amener des contestations puis ça pourrait amener, de la part des

citoyens, un rejet de la position politique gouvernementale. Est-ce que j'ai

bien compris?

Le Président (M.

Bachand) : M. Tessier, je vous laisse la fin, quelques

secondes.

M. Tessier (Philippe-André) :

Oui, merci. Bien, écoutez, oui, c'est sûr que nous, nous allons... en vertu de

notre mandat, en vertu de la charte, on va continuer à regarder cette

situation-là.

Je peux vous dire aussi, puis je veux juste

rassurer les parlementaires là-dessus, l'ensemble des décrets et arrêtés

ministériels font office, présentement, de législation. C'est sûr que la

commission les analyse et les étudie un par un et les regarde tous pour

s'assurer de leur conformité, tel que notre mandat le prévoit.

Le Président (M.

Bachand) : Merci beaucoup. Alors, merci encore une fois d'avoir

été avec nous ce matin.

Cela dit, je suspends les travaux pour quelques

instants. Merci beaucoup.

(Suspension de la séance à 9 h 45)

Président (M. Bachand) : À l'ordre, s'il vous plaît!

La commission reprend ses travaux. Merci beaucoup.

Alors, il

nous fait plaisir d'accueillir les gens de la Commission d'accès à

l'information, soit Me Diane Poitras, présidente, et M. Martin Carbonneau, agent de recherche. Alors,

vous avez 10 minutes de présentation, comme vous le savez, après on aura un échange avec les membres

de la commission. Merci beaucoup d'être ici, et la parole est à vous.

Mme Poitras

(Diane) : Bonjour. Je me présente, je suis Diane Poitras,

présidente de la Commission d'accès à

l'information. Je suis accompagnée de

M. Martin Carbonneau, qui est professionnel en veille, recherche et promotion à la commission.

Alors, au nom de la commission,

je tiens à vous remercier pour cette invitation. Même si nous sommes conscients

que les enjeux relatifs aux applications de notification d'exposition imposent

une réflexion plus globale que ceux concernant la vie privée et la protection

des renseignements personnels, nos commentaires, aujourd'hui, vont porter

uniquement sur ce volet et sur la transparence, enjeux qui sont au coeur de

notre mission.

Comme l'invite à le

faire le document préparé par le Secrétariat du Conseil du trésor en vue de la

présente consultation, notre mémoire vise à cerner les enjeux et les modalités

d'encadrement relatives à la protection des renseignements personnels de ces

outils technologiques, mais de manière générale, il ne porte pas sur une

application en particulier. Une analyse plus poussée de la commission sera donc

requise si le gouvernement décide d'aller de l'avant avec une application de

notification des contacts pour que nous puissions émettre un avis et formuler

des recommandations spécifiques sur la solution qui serait retenue.

Dans son mémoire, la commission

énonce 11 principes essentiels à respecter afin de guider la démarche si

le gouvernement décide d'appuyer ce genre d'outil. Pour chacun de

ces principes, nous formulons des recommandations qui se veulent

concrètes, bien que générales, comme je l'ai mentionné. Pour appuyer notre

dernière recommandation du mémoire, qui est d'adopter un cadre juridique

spécifique au déploiement et à l'utilisation d'une application au Québec comme

d'autres pays l'ont fait, nous soumettons également une liste des éléments qui

devraient être inclus dans cette loi ou ce décret. Ces principes s'inspirent essentiellement

de la législation actuelle et de ceux mis de l'avant par la déclaration commune

du 7 mai de l'ensemble des commissaires à la protection de la vie privée

du Canada, sauf ma collègue de l'Alberta, qui était en train d'étudier l'application

ABTraceTogether. Ce sont d'ailleurs ces principes qui ont servi à l'évaluation

de l'application Alerte COVID, qui a été réalisée par mes homologues du

fédéral et de l'Ontario récemment. Compte tenu du temps qui m'est alloué, je

vais aborder succinctement quelques principes et insister seulement sur

certaines recommandations que nous formulons dans le mémoire. Je vous y réfère

pour un portrait plus complet.

Le premier principe

est déterminant, en conditionne plusieurs, et la Commission des droits de la

personne en a parlé avant nous, c'est d'établir la nécessité et la

proportionnalité du recours à une application de notification d'exposition. Une

telle application est susceptible d'avoir des conséquences sur le droit au

respect de la vie privée et la protection

des renseignements personnels. Je pense que tout le monde en convient. Toutefois,

ce droit, évidemment, n'est pas absolu. On peut y porter atteinte si on

démontre que c'est nécessaire pour répondre à un objectif légitime et important

et que l'atteinte au droit fondamental est proportionnelle à cet objectif. Pour

ce faire, le gouvernement devrait d'abord déterminer le ou les objectifs de

santé publique spécifiques poursuivis par l'application. Ces objectifs doivent

être fondés sur la science et s'inscrire dans la stratégie de lutte contre la

COVID-19 des autorités de santé publique.

Le gouvernement

devrait aussi être en mesure de démontrer la proportionnalité de la mesure,

notamment en se demandant si la solution retenue minimise l'atteinte à la vie

privée. Par exemple, l'intrusion dans la vie privée des individus est plus

importante pour certaines technologies comme la géolocalisation, ou la

biométrie, ou encore pour une solution

prévoyant un stockage centralisé de l'information par opposition à une

application où les renseignements sont stockés sur les appareils des

utilisateurs, qu'on appelle décentralisée.

Il faut aussi pouvoir

conclure qu'elle permet d'atteindre les objectifs poursuivis, donc que

l'application est efficace ou, du moins,

susceptible de l'être. Or, l'efficacité de ces applications, vous l'avez

entendu, reste à déterminer. Selon l'OMS, on ne peut pas évaluer

directement leur impact sur la gestion de la crise à l'heure actuelle, faute de

données ou d'études probantes. On sait que ces applications ont plusieurs

limites, notamment liées à l'utilisation de la

technologie comme telle, comme l'imprécision des mesures de distance ou le fait

qu'on ne prend pas en considération des éléments de contexte comme le

port du couvre-visage ou la présence de cloisons quand on détermine qu'un

contact est à risque.

On constate aussi que

les applications déployées, actuellement, dans le monde ont des effets plutôt

mitigés. Leur taux d'adoption, qui est déterminant aussi pour leur efficacité,

est généralement faible, actuellement. Il dépend beaucoup de la confiance et

des craintes des citoyens, mais aussi, vous l'avez entendu, de l'accès à des

téléphones intelligents suffisamment récents pour supporter l'application. Or,

une

partie importante de la population, souvent parmi la plus vulnérable, n'en

possède pas. Ça réduit d'autant l'efficacité de ces applications tant pour ces

personnes que pour celles avec lesquelles elles entrent en contact.

Enfin

l'OMS rappelle que ces solutions technologiques doivent s'inscrire dans un

ensemble de mesures complémentaires, notamment des tests de dépistage en

nombre suffisant et complémentés par un traçage manuel des contacts efficient.

Ainsi l'efficacité d'une telle mesure doit être évaluée avant son déploiement,

mais aussi en continu par la suite. Et, dans un objectif de transparence et

d'imputabilité en lien avec notre principe 10, la commission recommande d'établir des critères pour évaluer

cette efficacité et un mécanisme

d'évaluation indépendante en continu par rapport aux objectifs qui

auront été fixés et d'en rendre compte de manière transparente.

Il importe également

de s'assurer qu'une autorité indépendante surveille le respect des principes

visant le respect de la vie privée, la suffisance des mesures de protection en

place et la conformité légale de l'application. La commission souligne qu'elle a

déjà l'expertise et les pouvoirs d'enquête et d'inspection qui lui

permettraient de jouer ce rôle.

Deuxième principe que

j'aimerais porter à votre attention, c'est de minimiser l'atteinte aux droits

dès la conception de l'application. C'est pourquoi la commission recommande

qu'une évaluation des facteurs relatifs à la vie privée concernant la solution

retenue soit réalisée, comme la plupart des pays l'ont fait avant le

déploiement, qu'elle soit soumise à la commission pour avis et diffusée

publiquement et de porter une attention particulière au choix de la technologie

utilisée de même qu'à la nature des renseignements qui seraient éventuellement

recueillis.

Le troisième

principe est à la fois déterminant tant pour la proportionnalité de la mesure

que pour la confiance envers une telle application. Il s'agit d'en

garantir le caractère volontaire et d'assurer un consentement valide. Pour ce

faire, la commission recommande de fournir une information claire, simple et

complète aux utilisateurs sur son fonctionnement et les renseignements

personnels qui seront recueillis et utilisés, d'obtenir un consentement

explicite et spécifique lors de l'installation de l'application et, par la

suite, pour chaque finalité de santé publique qui implique des renseignements

personnels, de permettre le retrait du consentement et la désinstallation de

l'application en tout temps et de détruire sans délai tout renseignement

concernant l'utilisateur, et, point essentiel, d'interdire à quiconque d'exiger

l'installation de l'application ou la consultation de son contenu, par exemple

pour conditionner l'accès à un lieu, un bien, un service ou un emploi.

Évidemment, la commission recommande d'adopter,

à toutes les étapes, une démarche transparente. Nous saluons d'ailleurs les démarches consultatives publiques et

institutionnelles tenues respectivement par le gouvernement et l'Assemblée

nationale à ce sujet. Et, dans la continuité de cette initiative, la commission

recommande notamment de diffuser les motifs

qui justifieraient éventuellement une décision de recourir à une telle mesure

exceptionnelle et les modalités de son déploiement et de diffuser,

évidemment, le code source de l'application et des dispositifs qui y sont liés

pour permettre une évaluation externe indépendante.

Les cinquième

et sixième principes visent à limiter tant la collecte, l'utilisation et la

communication de renseignements

personnels, par exemple en privilégiant l'utilisation de renseignements

anonymisés ou dépersonnalisés et de favoriser une application qui

fonctionne en mode décentralisé et qui recueille le moins de renseignements

possible liés aux individus. Il importe, évidemment, de mettre en place une

infrastructure technologique sécuritaire qui

comprend des mesures de protection répondant aux plus hauts standards et de

s'assurer que l'ensemble de l'écosystème

dans lequel évoluerait une éventuelle application est entièrement sécurisé.

Évidemment, il faut déterminer les conditions de mise hors service pour

que la... et détruire les renseignements recueillis pour que cette mesure

exceptionnelle ait un terme.

Et finalement, comme plusieurs homologues et

experts, la commission considère qu'une application doit s'accompagner d'un

encadrement juridique spécifique pour garantir aux citoyens le respect des

principes énoncés précédemment. C'est une des recommandations de l'OMS et du

comité consultatif d'experts du CIFAR, qui a été mandaté pour formuler des

recommandations au sujet de ces applications au gouvernement du Canada. C'est

pourquoi la commission recommande d'adopter, par loi ou par décret, un cadre

juridique spécifique au déploiement et à l'utilisation de l'application au

Québec, comme d'autres pays l'ont fait, dont la France, la Suisse et

l'Australie. En effet, certains enjeux soulevés ne sont pas encadrés

adéquatement par la loi actuelle, comme par exemple le respect du caractère

volontaire de l'utilisation de l'application, l'utilisation des renseignements

aux seules finalités de santé publique qui

seraient identifiées ou encore la durée déterminée de la mesure. L'autorégulation ne nous paraît pas

acceptable dans les circonstances, vu les enjeux en cause et la confiance nécessaire.

En terminant, la commission réitère que, si le gouvernement décide de

déployer une application de notification des contacts, elle entend

analyser l'outil et l'évaluation des facteurs à la vie privée qui sera produite

afin de fournir des recommandations plus spécifiques et de rendre un avis

précis. Il me fera plaisir de répondre à vos questions davantage à ce sujet. Je

vous remercie.

Le Président (M.

Bachand) : Merci pour votre présentation. Je me tourne vers le gouvernement.

M. le député de Chapleau, s'il vous plaît.

M. Lévesque

(Chapleau) : Merci beaucoup, M. le Président. Merci, Me Poitras. Merci d'être ici. Merci

de votre présentation.

J'aimerais peut-être commencer, là... Vous aviez

parlé d'équilibre et de certains critères, notamment de nécessité, de

légitimité, d'importance, donc, en lien avec les objectifs de la Santé publique

pour déployer un tel outil. Croyez-vous,

justement, qu'un outil, s'il est dans l'équilibre, pourrait être pertinent et

pourrait s'ajouter aux différentes mesures de santé publique qui sont

déjà en place? Est-ce que la commission est à l'aise avec ça?

Mme Poitras (Diane) :

En fait, comme on est dans la théorie, pour l'instant, qu'on n'a pas une application

spécifique avec des objectifs précis d'identifiés... C'est très difficile de

répondre à une question dans la théorie.

M. Lévesque (Chapleau) : Mais, théoriquement,

disons?

Mme Poitras (Diane) : Ce qu'on regarderait, pour nous, c'est la conformité légale, et

la proportionnalité de la mesure, et le respect des droits par l'application.

M. Lévesque (Chapleau) : Ce

serait plus ça. Et donc... Merci. Et, au niveau du rôle que la commission

pourrait avoir, vous avez mentionné, bon, une autorité indépendante, une

autorité compétente. Comment vous voyez votre rôle? Quel serait... Puis peut-être,

même, poussons plus loin. Est-ce qu'au niveau de la réglementation et des lois il y aurait des éléments qui seraient pertinents pour

que vous ayez... pour pouvoir, dans le fond, bien jouer ce rôle-là si jamais il

y avait lieu?

Mme Poitras

(Diane) : Évidemment, si on

parle... Avant le déploiement de l'application, comme je l'ai mentionné,

la première étape serait d'évaluer et de donner un avis sur une évaluation des

facteurs relatifs à la vie privée, par rapport à une application spécifique qui

serait établie, pour faire des recommandations plus précises. Par la suite, on

pourrait s'assurer du respect des principes. Puis, si notre recommandation

d'adopter un cadre juridique est acceptée ou est suivie, en fait, ça serait de

voir au respect de ce cadre juridique et du cadre actuel, évidemment, par le

biais des pouvoirs qu'on a. Et, pour des mesures plus concrètes, il faudrait

voir qu'est-ce que prévoit un éventuel projet de loi, par exemple, ou quelle

est l'application, quelle est l'évaluation des facteurs relatifs à la vie

privée, etc.

M. Lévesque (Chapleau) :

Parfait. Merci. Vous avez parlé de la notion de tiers et le fait que ça

deviendrait une application conditionnelle pour soit un emploi ou entrer dans

un endroit. Vous pouvez peut-être élaborer ces craintes-là puis voir, là, ce

qu'il en est, puis ce serait peut-être une piste de solution que vous verriez

pour ça?

Mme Poitras (Diane) :

En fait, les pays qui ont légiféré ou qui ont adopté un décret l'ont fait

d'abord et avant tout pour s'assurer du caractère volontaire, parce que, dans

l'état de la législation actuelle, ce serait difficile. En tout cas, un

employeur... prenons l'exemple d'un employeur, là, un employeur pourrait tenter

de justifier que la mesure est nécessaire, que la collecte des renseignements

est nécessaire. Et la commission a... Comme tout le monde, là, dans la

population, on a vu des initiatives spontanées, souvent faites avec la

meilleure bonne foi, mais qui avaient des impacts ou qui soulevaient des enjeux

importants de vie privée. Alors, pour nous, la solution, c'est vraiment un

encadrement, une interdiction spécifiée dans un cadre juridique, loi ou décret.

Évidemment, on privilégie la loi, là, mais je me contenterais d'un décret.

M. Lévesque (Chapleau) : ...certains

groupes, le fait qu'ils l'aient pourrait représenter un gain sociétal ou un gain

pour la santé publique du fait que ce groupe-là y ait accès? On pense aux

jeunes, qui sont en recrudescence, actuellement, au niveau des cas. Est-ce que

le fait qu'eux, ce groupe-là, ils aient accès, et certains groupes autres aussi...

qui pourrait réduire, dans le fond, les risques de santé publique, est-ce que

ça, ça pourrait justifier l'utilisation d'une application, selon vous?

Mme Poitras (Diane) :

En fait, tout revient au test de nécessité et de proportionnalité que j'ai

indiqué. Et, pour l'instant, la commission ne détient pas de données probantes

qui permettent de répondre à cette question sur des données scientifiques,

alors j'hésiterais de spéculer sur la réponse à donner.

M. Lévesque (Chapleau) : Merci

beaucoup. M. le Président, merci.

Le Président (M.

Bachand) : Merci, M. le député. Mme la députée de Jean-Talon,

s'il vous plaît.

Mme Boutin : Mme Poitras,

M. Charbonneau, merci d'être là. C'est très, très pertinent. Comme

toujours, votre travail est toujours très rigoureux.

J'aimerais rebondir tout de suite sur la

question des tiers parce que je pense que c'est quelque chose qui va revenir.

Je me posais la question parce que, dans la Loi de la protection des renseignements

personnels dans le secteur privé, l'article 18,

bon, il y a des exceptions qui font en sorte qu'un employeur peut recueillir des

renseignements personnels. Mais, tu sais, on s'entend que peut-être, quand la

loi a été rédigée, il n'y avait pas d'application mobile, là. Puis c'est pour

ça, le but, aussi, d'avoir le projet de loi n° 64 puis de réformer, aussi,

la loi, la LCCJTI, tu sais, de moderniser tout cela. Mais actuellement est-ce

qu'un employeur pourrait forcer un employé à télécharger l'application?

Mme Poitras (Diane) :

Dans les faits, oui, ils peuvent le faire. Je vous dirais qu'on est conscients

qu'il y a des employeurs qui ont développé des outils et des applications, et

qu'ils exigent de leurs employés qu'ils le portent, et que ce sont des outils

de traçage, de notification d'exposition.

Mme Poitras (Diane) :

Oui, bien, ça ne veut pas dire que c'est légal, ça ne veut pas dire que le

concept de nécessité et de proportionnalité

est rencontré. La commission n'a pas eu l'occasion d'analyser encore

cette situation-là, mais je

sais qu'on a notamment une enquête en cours.

Mme Boutin : Parce que je pense

que, pour le gouvernement, ça va être important, là, de respecter vos recommandations.

La vie privée puis le respect des données personnelles est quelque chose

d'assez préoccupant qu'on prend au sérieux, là. Puis, dans les outils législatifs

qui seraient disponibles, bon, éventuellement, peut-être dans le projet de loi

n° 64 ou autre projet de loi, un décret pourrait être quelque chose de

potentiellement satisfaisant à court terme?

Mme Poitras

(Diane) : C'est sûr qu'une loi, c'est toujours préférable,

mais, comme je vous ai dit, je me contenterais... entre rien puis un décret, je

vais me contenter du décret. Mais c'est clair pour nous que l'objectif, c'est

d'avoir un encadrement, pour certains éléments, complémentaire à la législation

actuelle, qui est insuffisante.

Mme Boutin : J'aimerais vous

amener sur un autre sujet, au niveau peut-être de la gouvernance, en amont, tu

sais, si jamais le gouvernement allait de l'avant. Tu sais, moi, c'est quelque

chose... Tout ce qui est imputabilité, reddition de comptes, gouvernance, c'est

assez important. Comment pourrait s'intégrer... parce qu'il pourrait y avoir

une gouvernance au niveau... qui intégrerait des questions de sécurité de

l'information, peut-être plus cybersécurité, mais, au niveau de la protection

des renseignements personnels, vie privée, comment est-ce que vous voyez ça,

sous quelle forme?

Mme Poitras (Diane) :

Je ne suis pas sûre de bien comprendre votre question.

Mme Boutin : Bien, je ne veux

pas vous mettre de mots dans la bouche non plus, là, mais est-ce qu'on pourrait

mettre en place un comité spécial? Quel type de gouvernance permettrait

d'assurer une bonne imputabilité au niveau de la protection des renseignements

personnels, mais également un suivi, une évaluation en continu?

Mme Poitras (Diane) :

O.K. Mais je peux donner un exemple qui s'est fait au fédéral, ils ont créé un

comité d'experts multidisciplinaires qui, justement, vise à conseiller le

gouvernement sur les mesures à mettre en place, évaluer l'efficacité, les

mesures de protection des renseignements personnels, la sécurité, les impacts

sociaux aussi, etc. — c'est

sûr que ça, c'est une bonne façon — avec transparence des avis et

des recommandations qui sont faits par ces

comités. Mais, pour moi, ça, c'est comment le gouvernement peut assumer son

rôle de gouvernance, ça n'enlève pas le besoin d'évaluation

externe indépendante aussi.

Mme Boutin : Une évaluation externe indépendante, vous

parlez... comme par un groupe hors gouvernement, par exemple?

Mme Poitras (Diane) :

Oui, bien, comme pour le volet protection des renseignements des renseignements

personnels, respect de la vie privée, transparence. La commission jouerait son

rôle qui lui est dévolu, là, selon sa mission, évidemment.

Mme Boutin : Je pense que ma collègue

la députée des Plaines a des questions... Ah! Beauce-Nord.

Le Président (M.

Bachand) : Oui, M. le député de Beauce-Nord, s'il vous plaît.

M. Provençal :

Merci, M. le Président. Merci beaucoup pour votre mémoire. J'aimerais poser une

question en lien avec la recommandation n° 3 de votre

mémoire, qui est en lien avec le caractère volontaire et la notion du

consentement valide. À l'intérieur de ça, vous dites «obtenir un consentement

distinct, spécifique et explicite». Bon, premier consentement, l'installation,

ça, c'est clair pour moi, mais «demander un consentement distinct pour chaque

finalité de santé publique», pouvez-vous me clarifier cet élément-là, s'il vous

plaît?

Mme Poitras (Diane) : Par exemple, je vais prendre l'exemple d'Alerte COVID, actuellement

il y a un consentement initial pour utiliser l'application. Et, par la suite,

si vous recevez un diagnostic positif, on va vous redemander un consentement

pour communiquer les informations, les contacts numériques, là, que vous avez

eus, qui sont stockés sur votre téléphone intelligent, de les communiquer au

serveur fédéral pour qu'il puisse l'envoyer, par la suite, à tous les

utilisateurs de l'application pour qu'ils fassent le match — excusez

l'anglicisme — pour

voir si vous avez été en contact avec une personne qui a été testée positive.

Donc, un consentement... ça, c'est un exemple d'un deuxième consentement où il

y a un deuxième événement important.

M. Provençal :

Ça va. Parce que, de la manière que je le percevais, c'est qu'on pouvait

prévoir ou penser que ça pourrait servir aussi pour autre chose qu'au niveau

santé, mais là vous vous limitez vraiment à la situation qu'on vit présentement.

Mme Poitras (Diane) :

Idéalement, oui, mais on sait que, dans les projets à travers le monde, il est

arrivé qu'il s'est greffé, à un moment donné, une autre fonctionnalité qu'on a

voulu imposer. Puis, pour nous, c'est que, si on voulait, hypothétiquement,

ajouter une autre fonctionnalité, c'est clair qu'il faudrait redemander un

consentement.

M. Provençal :

Je viens de comprendre. Merci beaucoup, madame. Merci, M. le Président.

Le Président (M.

Bachand) : Merci beaucoup. Mme la députée de Jean-Talon, s'il

vous plaît.

Boutin : ...parce que vous

avez mentionné, dans votre rapport... puis j'ai trouvé ça très intéressant, je pense,

c'est la recommandation 9, où est-ce qu'il y a des outils ou une

information... Mettons que quelqu'un télécharge l'application puis il a des

questionnements par rapport, justement, à sa vie privée, tout ça, donner une source d'information où les gens pourraient téléphoner,

comment est-ce que vous voyez ça? Est-ce que vous, vous pourriez jouer ce

rôle-là? Est-ce que vous avez assez de ressources pour faire ça? Parce que,

admettons, je ne sais pas, moi, je donne un chiffre par hasard,

25 000 personnes ont des questions par rapport à leur vie privée puis

ils téléphonent, est-ce que ce serait une ligne, un site Internet? Puis je

trouve que c'est très intéressant, pour ma part, là.

Mme Poitras (Diane) :

Non, dans ma tête, ce n'était pas la Commission d'accès à l'information qui

jouait ce rôle-là. Je pense que c'est

plus — appelons-les

comme ça — aux

promoteurs ou ceux qui gèrent l'application de répondre à ces

questions-là sur le fonctionnement, etc. Pour Alerte COVID, par exemple, c'est

un organisme gouvernemental. Je ne sais pas si M. Carbonneau se souvient,

on va vérifier, mais je sais que c'est un organisme... je ne me souviens pas si

c'est Santé Canada ou le centre numérique canadien, un des deux, là, qui va

jouer ce rôle-là.

Mme Boutin : Ils ont mis en

place des ressources. Mais, probablement, en relation avec les gens... mettons

que ça pourrait être en relation avec vous, par exemple, là, un groupe

d'experts qui répondent aux questions, mais, s'il y a des questions

spécifiquement sur leurs droits en matière de vie privée et protection

personnelle...

Mme Poitras (Diane) :

Ah! ça, c'est sûr que, si c'est des questions... Je m'excuse, je ne voulais pas

vous couper la parole. Mais, si vraiment

c'est des questions sur leurs droits, ça, c'est la commission. Mais je pense

qu'il y a un premier niveau, un peu comme quand, une personne, avant de

porter plainte chez nous, on l'encourage à faire une démarche auprès de

l'entreprise ou de l'organisme pour tenter de régler la situation. Puis, s'ils

ont des questions sur le fonctionnement, sur la circulation des données, je

pense que ça, ce n'est pas à la commission de répondre, ce serait plus aux

promoteurs de...

Mme Boutin : En tout cas, c'est

une discussion intéressante, parce qu'on a tendance, dans la vie de tous les

jours, à «downloader» toutes sortes d'applications, à aller sur des sites. On

nous demande le consentement pour des cookies ou des choses comme ça, mais on

n'a jamais l'opportunité de poser des questions ou de savoir en quoi est-ce que

mes droits sont vraiment protégés. Tu sais, on le fait tous, ici, là, tout le

monde, ici, est sur des médias sociaux, soit utilisent Google Maps, Bluetooth,

on est tous à risque, mais on ne sait jamais vraiment comment est-ce que nos

renseignements personnels sont protégés ou non. Puis j'ai trouvé intéressante

cette recommandation-là, pour ma part, de pouvoir avoir l'opportunité d'avoir

accès à, je ne sais pas, un juriste ou quelqu'un qui pourrait répondre à nos

questions.

Mme Poitras (Diane) :

Tout à fait. Bien, c'est le genre de question qu'on a souvent, pas

nécessairement sur des applications ou des

produits spécifiques, mais effectivement... Et il y a peut-être une certaine

partie de la population qui est habituée avec les applications et le

numérique, mais il y a quand même une bonne

partie de la population qui n'a pas cette facilité et pour qui les concepts de

toute cette collecte de données, cet univers numérique ne va pas de soi.

Le Président (M.

Bachand) : M. le député de Chapleau.

M. Lévesque

(Chapleau) : Oui, M. le Président. Peut-être une petite dernière question,

là, en lien au processus menant, dans le fond, au développement ou, du

moins, à la mise en oeuvre de l'application. Vous avez parlé, bon, des analyses nécessaires en cybersécurité puis différentes analyses...

Est-ce que vous entrevoyez également, peut-être, une analyse de votre commission

avant même le déploiement? Est-ce que... Dans le fond, j'aimerais voir quelles

étapes vous voyez puis qu'est-ce que vous envisageriez de façon vraiment à

améliorer, là, toute la notion de protection de vie privée des Québécois, de

renseignements personnels? C'est vraiment l'objectif aussi. Donc, si on peut

avoir votre son de cloche là-dessus, ce serait bien apprécié.

Mme Poitras

(Diane) : Bien, en fait, je

verrais fort bien comme ça s'est déroulé dans plusieurs autres juridictions,

c'est-à-dire un avis sur une évaluation des facteurs à la vie privée qui serait

réalisée. C'est comme une analyse de tous les enjeux de vie privée et de

protection des renseignements personnels qui est réalisée par... ici, ce serait

le gouvernement, une instance, un organisme public quelconque... qui est

analysé par la commission, avec des échanges, on pose des questions, etc., pour

qu'on voie l'ensemble de l'écosystème, on formule des recommandations précises.

Et, dans un deuxième temps, ce serait de regarder sous le capot, une fois que

fois que l'application est déployée, d'aller vérifier si ce qu'on a avancé dans

l'évaluation des facteurs à la vie privée ou ce qu'on avance dans la

description de comment fonctionne l'application, si ça se concrétise.

M. Lévesque (Chapleau) : ...que

vous avez parlé de vos collègues des autres provinces, également fédéral,

est-ce qu'ils ont eu l'occasion de faire ça, cette espèce d'analyse?

Mme Poitras (Diane) :

Oui, mon collègue du fédéral... mes collègues du fédéral et de l'Ontario ont

analysé les volets respectifs, fédéral et provincial, de l'application Alerte

COVID et, dans les deux cas, ont mentionné qu'ils allaient faire une

phase II. Pour le fédéral, je crois que c'est d'ici la fin...

M. Lévesque (Chapleau) : Puis

les résultats initiaux, justement, fédéral, je serais curieux de voir quelles

recommandations ou quels résultats qu'ils ont émis. Qu'est-ce qu'ils ont dit de

ça? Il y a-tu eu un rapport?

Mme Poitras (Diane) : Oui, oui, oui,

ils ont fait un avis. L'avis est public sur le site de mon homologue fédéral. Parmi les recommandations :

attention, par rapport aux renseignements anonymisés ou non, de bien

expliquer, d'être transparents et d'être factuels, de bien expliquer, de donner

une information compréhensible aux citoyens, d'avoir une surveillance

indépendante, qu'eux voulaient aller regarder sous le capot par la suite. Il y

a en a d'autres, là, mais, spontanément, c'est celles qui me... ah oui, et le

caractère volontaire, ils conviennent que ça aurait pris un encadrement

juridique, mais ils ont dit : Bien, si le gouvernement insiste

suffisamment, pour l'instant, ça fait, mais ça prendrait un encadrement

juridique.

M. Lévesque

(Chapleau) : Merci beaucoup.

Président (M. Bachand) : Merci beaucoup. Mme la députée de

Saint-Laurent, s'il vous plaît.

Mme Rizqy :

Merci beaucoup, M. le Président. Bonjour. Merci pour votre présence. Le groupe

juste avant vous, c'était la Commission des droits de la personne et droits de

la jeunesse, ils ont fait quelques constats, comme par exemple que l'application en question n'a pas encore fait ses

preuves, ça a été fait dans l'urgence, c'est développer un faux sentiment de sécurité, et ils sont arrivés à la

conclusion de ne pas recommander d'aller de l'avant. Partagez-vous le

même avis de ne pas aller de l'avant?

Mme Poitras

(Diane) : Je ne sais pas, pour l'instant, de quelle application

il s'agit, je ne sais pas quel serait l'objectif

spécifique de santé publique. Pour l'instant, nous formulons des

recommandations, des principes à respecter si on va de l'avant. Par la

suite, j'aurais besoin de regarder qu'est-ce qu'a l'air l'application.

Mme Rizqy :

D'accord. Et ici, par exemple, vous avez regardé, j'imagine, celle du fédéral

un peu?

Mme Poitras

(Diane) : J'ai suivi les travaux de mes homologues.

Mme Rizqy :

O.K. Si, par exemple, c'était celle du fédéral, est-ce que ça, vous avez déjà

regardé un peu votre... Est-ce que vous avez une opinion là-dessus ou pas

encore? Ce sera plus tard?

Mme Poitras

(Diane) : En fait, il faudrait regarder le volet provincial,

parce que le fédéral a regardé son volet, l'Ontario, son volet, ça ne veut pas

dire qu'au Québec on développerait la même chose, la même façon de donner la

clé diagnostique en cas de diagnostic positif, que ça serait développé de la

même façon. Donc, il faudrait regarder l'écosystème ici, au Québec.

Mme Rizqy :

D'accord. Le 31 juillet dernier, le commissaire à la vie privée, au niveau

fédéral, écrivait que, par exemple, celle développée par le fédéral, c'était

inexact de dire que c'était totalement anonyme. Partagez-vous le même avis?

Mme Poitras

(Diane) : Effectivement, ils ont... Et c'est clairement,

maintenant, l'évaluation des facteurs relatifs à la vie privée de...

Santé Canada le mentionne, que les risques de réidentification sont très

faibles, mais qu'ils existent.

Mme Rizqy :

Parfait. Parce que je pense que... quand vous mentionnez, à juste titre, qu'il

faut que ça soit un consentement libre et éclairé, je crois que c'est

important, même, nous, les élus, M. le Président, dans notre langage, de le

mentionner parce qu'ici on pourrait induire malencontreusement les citoyens en

erreur.

Vous faites mention,

dans votre mémoire, de la gestion de la donnée. Donc, par exemple, quelqu'un

qui télécharge l'application sur son

téléphone serait, par exemple, sur son téléphone, mais par la suite ça s'en va

à la Santé publique. Et là c'est la question d'où est-ce qu'on va

stocker la donnée. Donc, vous... ça devrait être stocké où?

Mme Poitras

(Diane) : En fait, ça dépend. Il y a plusieurs modèles qui

existent. Je vais prendre l'exemple...

Mme Rizqy :

Voulez-vous que je spécifie, peut-être, ma question? Ça pourrait peut-être vous

aider.

Mme Poitras

(Diane) : Le modèle décentralisé est moins à risque, donc, que

les clés soient conservées sur le téléphone et que l'appariement de si vous

avez été en contact avec une personne à risque se fait sur le téléphone. Mais

il reste que ça prend un serveur central quelque part pour gérer la clé et

envoyer l'ensemble des informations au téléphone.

Mme Rizqy :

Est-ce qu'il y aurait un risque... Avec la volonté gouvernementale, qui a été

annoncée dès février 2019, que les serveurs du gouvernement, à plus de

80 %, seraient privatisés, est-ce que ça aussi, ça pourrait être un danger

ou est-ce que vous recommanderiez que, par exemple, tout ce qui a trait à la

santé publique reste du contrôle gouvernemental?

Mme Poitras

(Diane) : Bien, c'est sûr qu'il faudrait voir... mais plus les

données sont sensibles, plus il y a un encadrement... plus il y a de risques à

envoyer des données sensibles en infonuagique, ça, c'est évident. Il faut voir quelles

sont les données puis quel est l'encadrement, quelles sont les ententes. Mais

c'est sûr qu'il y a un risque de perte de contrôle.

Mme Rizqy : Tantôt, vous avez

parlé de l'objectif légitime recherché. Donc, on a une solution qui nous est

proposée, qui a été davantage proposée d'abord par l'industrie, Apple, et

Google, et par la suite Shopify, qui nous propose ce type de technologie. Moi,

je me pose la question, où est l'objectif? Mais habituellement, quand on a une

solution, c'est parce qu'on a un problème à répondre. Est-ce que vous avez fait

l'exercice de regarder en quoi cette application nous aurait été utile dans la

préparation de la pandémie, c'est-à-dire l'achat de masques, prendre des

décisions dans la distribution du matériel sanitaire auprès de la Santé

publique, ou est-ce que vous pensez qu'on aurait peut-être dû, nous, avant

d'aller de l'avant avec cette solution proposée, attendre d'avoir les

conclusions d'un rapport indépendant dans la gestion de crise pour savoir si,

oui ou non, l'objectif recherché est légitime ou pas?

Mme Poitras

(Diane) : En fait, il

faudrait voir quel serait l'objectif. Dans ma compréhension, il y a différents

types d'applications qui existent, mais prenons celle... canadienne, son objectif

est de soutenir la recherche de contacts en identifiant très, très rapidement

des personnes asymptomatiques pour qu'elles aillent se faire dépister, tester

et éviter... diminuer le risque de la chaîne de contamination.

Mme Rizqy : Je vous pose la question suivante parce que

j'ai souvent entendu, au

niveau fédéral, le commissaire

à la vie privée demander des lois avec plus de mordant et plus de ressources parce

que les délais sont quand même longs lorsqu'il y a une plainte qui est logée.

On parle des fois de deux ans, des fois trois ans et des fois quatre ans. Et,

dans un cas très spécifique, il y a eu, par exemple, le programme de

reconnaissance faciale dans un centre d'achats en Alberta, et ça fait

maintenant plus de deux ans qu'on attend les conclusions du rapport. De votre

côté, est-ce que vous avez besoin de lois avec plus de mordant, avec toutes ces

nouvelles technologies qu'on essaie de nous vendre, et des ressources

additionnelles pour répondre aux demandes?

Mme Poitras (Diane) :

Oui.

Mme Rizqy : Parfait. C'est une

réponse très courte.

Mme Poitras (Diane) :

Ce sera bref.

Mme Rizqy : Parce que, je vous

donne un autre exemple, je ne sais pas si vous vous rappelez, en avril 2018,

Facebook disait... partait... ou, même, disait des fois : On part avec une

bonne intention lorsqu'on est capables de voir où sont nos amis. Alors, plusieurs

ont téléchargé l'application, et, au palais de justice, on s'est rendu compte

que certains avocats avaient trouvé la faille et étaient capables d'identifier

les membres d'un jury, et ça avait beaucoup inquiété les membres du Barreau,

avec raison, parce qu'on doit absolument garder anonymes les membres du jury.

Mais quelle a été la conséquence pour les avocats puis Facebook lorsqu'on a

appris tout ça? Il n'est rien arrivé, finalement. Et c'est là qu'au fond moi,

je m'interroge, parce qu'on développe plein de technologies, on prend plein de

données dans le secteur privé, mais ils n'ont pas démontré leur capacité à bien

gérer la donnée des gens. Et vous, aujourd'hui, est-ce que, si jamais le

gouvernement va de l'avant... Je comprends que tout le monde dit : Ça va

nous prendre un chien de garde pour s'assurer que tout va bien, mais les

conséquences, quand ça ne va pas bien, c'est quoi, aujourd'hui?

Mme Poitras (Diane) :

Bien, c'est sûr que, dans les pays qui ont légiféré, notamment pour interdire

d'exiger de quelqu'un qu'il utilise l'application ou de voir son contenu, on a

imposé des sanctions, aussi, sévères. Je pense que ça irait de soi, là. Il ne

suffit pas d'interdire dans la loi, il faut qu'il y ait une sanction qui aille

avec et une possibilité d'enquêter, d'imposer ces sanctions de façon efficace,

et il faut que ça soit dissuasif.

Mme Rizqy : Mais, lorsqu'on

regarde, par exemple, Apple, qui était la première entreprise qui a fait plus

que 1 000 milliards de capitalisation boursière, par exemple, une

amende de 5 milliards de dollars, ça peut sembler impressionnant, mais,

pour eux, c'est très peu. Est-ce que vous pensez qu'à un moment donné ça doit

devenir une responsabilité des

administrateurs d'une entreprise, lorsqu'il y a des... vraiment, où est-ce

qu'on voit que la vie privée a été

complètement bafouée, des gens, et que les données se retrouvent dans l'espace

public pour, à un moment donné, avoir

des lois qui feront en sorte que les géants du Web, notamment, à force de

croiser nos données, respectent davantage notre droit à la vie privée?

Parce que j'ai l'impression qu'on banalise de plus en plus notre droit à la vie

privée.

Mme Poitras (Diane) :

C'est une piste intéressante. Moi, je vous dirais qu'il y a beaucoup de travail

qui se fait au niveau international. Pour la communauté internationale des

homologues sur la protection des renseignements personnels, c'est très, très important et c'est ce qu'on essaie de voir,

parce que peut-être qu'une amende de 5 millions ou

5 milliards, ce n'est pas beaucoup, mais, si on est plusieurs pays à

l'imposer pour le même événement, à un moment donné, ça commence à finir par

faire mal puis ça fait mal à la réputation.

Mme Rizqy :

Oui, absolument. Et j'aimerais revenir sur l'employeur. Présentement, nous, on

étudie pour... au niveau gouvernement, mais ça n'empêche pas que les

entreprises, eux autres aussi, là, sont en train de faire des applications pour

se doter de technologies pour aussi suivre leurs employés, et je me demande...

Même si on dit que ça devrait avoir un caractère volontaire, les personnes les

plus vulnérables, les plus stigmatisées, bien, si leur employeur leur

dit : Tu vas le faire, habituellement, ce n'est pas eux autres qui vont

porter plainte, n'est-ce pas, parce que des fois leur emploi est précaire, et

ils peuvent avoir peur de perdre leur emploi, et ils peuvent dire : Bon,

je vais le faire, et peut-être même qu'ils ne connaissent même pas leurs

droits.

Mme Poitras

(Diane) : Bien, c'est sûr qu'il y a une

partie qui va porter

plainte, une partie, non, mais, bon, je peux vous dire qu'on reçoit des

plaintes de toutes formes, de toutes les sphères de la population, là.

Mme Rizqy :

O.K., mais ça, est-ce qu'il y a un risque que les gens qui... notamment les

nouveaux arrivants, ceux qui sont plus... qui ne maîtrisent pas nécessairement

la langue et qui, par conséquent, maîtrisent encore moins leurs droits, est-ce qu'eux seraient désavantagés

dans leur connaissance du droit ou, justement, du droit à la vie privée?

Mme Poitras

(Diane) : Oui, c'est sûr que c'est un

risque. C'est pour ça qu'on mentionne d'avoir une information claire, avec le

nom d'une personne-ressource aussi, pour être en mesure d'appeler, au besoin,

s'ils ont des questions et qu'on puisse les informer adéquatement de leurs

droits.

Mme Rizqy :

Et, à très, très courte échéance, parce que je sais que le temps file, si

jamais... En ce moment, là, moi, je suis... Là, vous dites qu'il y a une

enquête en cours parce que vous avez reçu une plainte puis qu'il y a déjà un

employeur... puis je ne vous demande pas de... aucune information par rapport à

cela, mais, présentement, est-ce qu'on devrait se doter d'un outil pour

contraindre les employeurs immédiatement, là, que ce soit par décret ou par

loi, là...

Mme Poitras

(Diane) : C'est sûr que, dans la mesure où ce serait non

nécessaire de le faire parce que les conclusions de l'enquête ne sont pas

rendues, évidemment, c'est sûr que ce flou au niveau... il y a un certain

flou au niveau de la loi et un manque de mordant... fait qu'on risque d'être

inondés et de refaire des enquêtes à répétition sur la même problématique, et

un outil législatif pourrait être intéressant.

Président (M. Bachand) : M. le député de Gouin, s'il vous

plaît.

M. Nadeau-Dubois :

Merci, M. le Président. Bonjour à vous. Merci d'être ici avec nous ce matin.

Je me permets de

continuer dans la foulée de ma collègue de Saint-Laurent. Êtes-vous d'accord

avec moi si je... Êtes-vous d'accord avec l'information suivante? Je dirais

qu'actuellement une application qui serait lancée demain matin sans qu'il y ait

aucune modification au cadre juridique québécois, cette application-là

évoluerait dans un flou juridique.

Mme Poitras (Diane) : Ce ne serait pas complet, mais il y a certains

pans importants, de principes importants, dont j'ai mentionné... que

nous mentionnons dans le mémoire, qui ne seraient pas encadrés.

M. Nadeau-Dubois :

Donc, qui seraient flous. Il y aurait un flou juridique à plusieurs égards.

Mme Poitras

(Diane) : Oui, en tout cas sur des aspects importants.

M. Nadeau-Dubois :

Parfait. Sans une modification législative correspondant, grosso modo, à ce que

vous recommandez à votre recommandation 11, est-ce que, sans une telle modification

législative, il y aurait des dangers significatifs pour la vie privée et les renseignements

personnels des Québécois et des Québécoises si une application était lancée

demain matin?

Mme Poitras

(Diane) : On considère que... toujours, on est dans le

théorique, là, je ne sais pas le niveau d'atteinte à la vie privée de l'application

qui serait déployée, mais, oui, il y aurait des risques qui ne seraient pas

encadrés par une telle application.

M. Nadeau-Dubois :

Je vais vous faire répéter quelque chose qui est écrit dans le mémoire, mais

j'ai envie de vous entendre le dire. J'ai

remarqué que vous parlez non pas seulement de cadre juridique, dans votre recommandation

11, mais d'un cadre juridique spécifique. Et donc est-ce que je comprends bien

l'esprit de votre recommandation en disant que ce que vous recommandez, ce

n'est pas que des ajustements mineurs soient faits à des lois actuelles, mais

qu'un cadre juridique spécifique soit adopté pour encadrer spécifiquement une

application de lutte contre la COVID-19?

Mme Poitras (Diane) : Ce serait idéal,

parce qu'il y a des enjeux particuliers liés à cette mesure qu'on veut

exceptionnelle, et donc, dans l'idéal, cette loi n'aurait plus sa nécessité une

fois que l'application serait mise hors service. Mais il y a des pays qui ont

intégré ces dispositions-là dans la loi-cadre. Puis, comme je vous dis, moi, je

me contenterais de tout encadrement juridique qui serait adopté.

Le Président (M.

Bachand) : Rapidement, M. le député.

M. Nadeau-Dubois : Est-ce que

les lois avec lesquelles vous travaillez, actuellement, comme commission ont

été rédigées à une époque où les technologies dont on discute aujourd'hui

existaient?

Mme Poitras (Diane) :

Non, évidemment.

M. Nadeau-Dubois : Merci.

Le Président (M.

Bachand) : Merci beaucoup. M. le député de

René-Lévesque, s'il vous plaît.

M. Ouellet : Merci beaucoup, M.

le Président. Donc, vous êtes la troisième commission qui vient nous dire l'importance

d'avoir un suivi de l'application pour s'assurer qu'il n'y a pas... sans dire

«de débordements», mais de mauvaises utilisations ou, du moins, on est capables

de monitorer ce qui se passe pour, un, améliorer l'application, mais surtout

être certains d'avoir des mécanismes de reddition de comptes. Donc, ça, je

pense que c'est important, j'en avais parlé en début de commission.

J'aurais

peut-être une question pour vous. Le gouvernement assure que sa solution qui

sera retenue sera soumise à l'examen

du Centre gouvernemental de cyberdéfense. Est-ce que vous avez été approchés,

vous, par le gouvernement afin de faire aussi l'examen de l'application

qui sera choisie?

Mme Poitras (Diane) :

Je ne sais pas si on le serait, mais j'en prendrais l'initiative et je ferais moi-même

mon examen sous le capot, comme je le disais, des éléments de sécurité.

M. Ouellet : Donc, vous

n'attendriez pas la demande gouvernementale de l'étudier. Vous le feriez de

votre propre initiative, comme organisation, pour donner un avis.

Mme Poitras

(Diane) : Dans la mesure où

le gouvernement détient des renseignements, nous pouvons exiger

des questions et on peut faire enquête de notre propre initiative.

M. Ouellet : Pourquoi prendre

cette initiative?

Mme Poitras (Diane) :

Pour nous assurer que ce qu'on affirme... pour qu'on ait une analyse

indépendante de la situation et nous assurer que les droits des citoyens sont

respectés.

M. Ouellet : Donc, on vous

écoute aujourd'hui en commission, selon votre champ d'études et votre champ d'expertise, sur une application probable qui n'a

pas encore été déterminée de façon finale. Donc, je crois comprendre que,

lorsque le gouvernement aura décidé quelle est l'application, ça pourra être

une tout autre que celle qui a pu être évoquée dans les médias. Je serais

intéressé, moi, comme député d'opposition, à recevoir vos recommandations,

parce que, là, j'en ai une partie, aujourd'hui, sur un théorique, mais je suis

un gars assez pratico-pratique et, quand je ne

maîtrise pas tout, j'aime m'entourer d'experts compétents et chevronnés, et

donc j'espère, et je vous fais la demande, bien honnêtement, Mme la présidente,

de recevoir par courriel ou de déposer à la commission vos recommandations

suite au choix du gouvernement par rapport à la mise en application d'une

nouvelle application.

Mme Poitras (Diane) :

Comme on a mentionné dans notre mémoire, pour nous, c'est clair que l'avis de

la commission devrait être public, même.

Le Président (M.

Bachand) : Merci. M. le député de Chomedey, s'il vous plaît.

M. Ouellette : Merci, M. le

Président. Bonjour à vous deux. J'ai été un peu surpris, à la lecture de votre

mémoire, parce que j'avais l'impression... Dans le document de consultation en

ligne du gouvernement, on réfère, à la page 8 du document, à la Loi d'accès aux

documents, puis ça nous donne l'impression, là, que la consultation en ligne

est conforme à absolument tout ce qui touche la Loi d'accès. Avez-vous été

consultés avant que ça prenne forme, la consultation en ligne du Secrétariat du

Conseil du trésor?

Mme Poitras (Diane) :

Non.

M. Ouellette : Vous n'avez pas

été consultés.

Mme Poitras

(Diane) : Pas à ma connaissance, en tout cas.

M. Ouellette : Bon, dans vos recommandations,

il y a une chose qui a attiré mon attention, c'est que vous dites... Votre

première recommandation, la première chose que vous nous dites, vous nous

dites que ce qui devrait être fait devrait être basé sur la science. Ça,

ça semble être quelque chose qui est très important parce que vous le mettez

dans votre première recommandation, puis vous finissez avec le cadre législatif.

Donc, on parle de science, si jamais on a à régler une problématique, pas un sondage,

là, on parle de science. Il faut vraiment que ce soit factuel et qu'on soit en

mesure de démontrer à la population qu'on s'en va dans la bonne direction.

Mme Poitras (Diane) :

En fait, l'objectif de l'application doit être fondé sur la science,

c'est-à-dire qu'on doit dire... On pense qu'un objectif de santé publique qui

serait x, y, z, basé sur la science, l'application pourrait nous aider à

M. Ouellette : O.K. Et à votre

recommandation 11, on parle du cadre législatif. Bon, vous semblez, à défaut de

rien, vous accommoder de peut-être un décret, là, parce que ça s'est passé

ailleurs. Et moi, j'ai un peu peur des décrets parce qu'on est en état

d'urgence sanitaire, et un décret en urgence sanitaire, c'est un décret

gouvernemental sans imputabilité, là, que le gouvernement décide. Un cadre

législatif, c'est beaucoup mieux parce que c'est sujet à l'idée des

125 députés de l'Assemblée nationale.

Je veux juste que vous me précisiez, votre

décret, là, si... un décret par l'état d'urgence sanitaire, c'est-tu quelque

chose auquel vous avez pensé? Parce que c'est la première chose qui m'est venue

en tête, que ça soit un décret imposé par le gouvernement.

Mme Poitras

(Diane) : En fait, je

réitère que... C'est sûr que la loi, avec le débat démocratique, elle implique...

sur une réelle application concrète serait idéale, mais je me contenterais d'un

décret, peu importe le... Moi, tout cadre juridique serait mieux que rien.

Président (M. Bachand) : Sur

ce, je vous remercie infiniment d'avoir participé aux travaux de la

commission, et je suspends les travaux quelques instants. Merci beaucoup.

(Suspension de la séance à 10 h 36)

Le Président (M.

Bachand) : À l'ordre, s'il vous plaît! La commission

reprend ses travaux.

Alors, nous avons le plaisir d'accueillir

monsieur... le Pr Benoit Dupont, directeur scientifique, Réseau intégré

sur la cybersécurité de l'Université de Montréal. Alors, M. Dupont, vous

avez 10 minutes de présentation, et après ça on aura un échange avec les

membres de la commission. Bienvenue.

M. Dupont (Benoit) : Merci, M.

le Président. Mmes et MM. les députés, merci pour l'invitation à réfléchir

devant vous lors de cette consultation sur les applications de notification.

Comme je l'ai cependant déjà écrit dans un

article qui a été repris dans Le Soleil , même si cette consultation

porte sur les applications de notification, il y a plein d'autres technologies

qui sont aussi développées pour essayer de lutter contre la COVID-19, qui vont

de l'intelligence artificielle à la reconnaissance faciale en passant par

l'usage de drones, et je pense que les enjeux qui sont discutés dans cette

commission ne s'appliquent pas uniquement aux applications mais aussi à toutes

ces autres technologies, dont certaines vont probablement ou pourraient porter

atteinte aux libertés individuelles et à la protection de la vie privée. Alors,

je vais articuler les 10 minutes que j'ai en deux grands moments. Le

premier, c'est sur une réflexion sur les obstacles à l'efficacité de ce type

d'application, et le deuxième moment, sur les enjeux de sécurité et de vie

privée.

J'ai regardé les interventions, hier, et j'ai vu

que beaucoup de questions et beaucoup de réflexions portaient sur le seuil à

partir duquel... le nombre de téléchargements de ces applications à partir

duquel on atteint une certaine efficacité. Donc, c'est effectivement très

important. J'ai entendu des études citées qui vont de 40 % à 60 % de

la population qui doit télécharger ce type d'application. On sait aussi qu'on

pourrait probablement atteindre des effets positifs en deçà de 40 %, mais

ça reste très hypothétique. Le problème, c'est qu'on n'a parlé, jusqu'à

présent, que du nombre de téléchargements, c'est-à-dire combien de... quel est le

pourcentage de la population qui va la télécharger. Ce dont on n'a pas encore

discuté mais ce qui est beaucoup plus important, c'est combien... quels sont

les taux d'utilisation active, c'est-à-dire combien des gens qui ont téléchargé

ces applications vont réellement les utiliser sur leur téléphone intelligent au

quotidien.

Et on a la

chance d'avoir, avec l'exemple de la France, quelques statistiques qui sont

loin d'être encourageantes, puisque

l'application StopCovid, en France, lors du premier mois, a été téléchargée par

seulement 2 % de la population, ce qui est assez peu,

évidemment, au vu des chiffres dont on a discuté hier. Un mois plus tard,

c'était monté à 4 % de la population. Mais ce qui est plus intéressant, c'est que seulement

25 % des gens qui avaient téléchargé l'application, donc 25 %

de 4 %, l'utilisaient de façon active, et 20 % l'avaient désinstallée

de leur appareil intelligent.

Donc, non seulement l'enjeu, c'est de convaincre

une large proportion de la population de télécharger ces applications, mais un enjeu secondaire tout aussi

important, c'est celui de convaincre les gens de l'utiliser au

quotidien — il

y a beaucoup de problèmes techniques, notamment avec certains appareils Apple,

pour des raisons que je maîtrise moins bien mais que mes collègues

informaticiens pourront vous expliquer — mais aussi de ne pas

désinstaller l'application, ce qui reflète aussi un manque de confiance de la

population dans ce type d'outil.

Et un autre exemple assez intéressant sur lequel

on commence à avoir un peu de recul, c'est celui de l'Australie, qui fait face

à une deuxième vague de contagion, notamment dans l'État du Victoria, à

Melbourne. Et là l'analyse de l'application, qui est déployée depuis trois mois

maintenant, montre que les jeunes de 18 à 24 ans sont deux fois moins

susceptibles de télécharger l'application que les personnes âgées de 55 à

74 ans. Donc, on pourrait imaginer que ce serait l'inverse parce que les

jeunes sont plus adeptes avec les nouvelles technologies, mais... Excusez-moi, je

vais revenir en arrière. Non seulement ils la téléchargent deux fois moins,

mais c'est eux qui propulsent la deuxième vague de contagion par leurs

comportements. Donc, on a un problème parce que les gens qui la téléchargent et

l'utilisent le moins sont ceux qui seraient... qui en bénéficieraient le plus,

mais on a un certain nombre d'obstacles et... de confiance.

Et donc, dans cette deuxième vague, les

autorités sanitaires du Victoria, après une semaine à avoir tenté d'utiliser

l'application, l'ont carrément abandonnée. C'est une application fédérale, mais

utilisée par chacun des États, et l'État... les autorités sanitaires l'ont

abandonnée parce qu'elle ne leur servait à rien et elle venait interférer avec

les activités des équipes de traçage manuel. Donc, elle créait trop de

pression, avec un bénéfice jugé comme étant négligeable. Donc, ils l'ont... le

ministre de la Santé du Victoria a déclaré qu'ils ne s'en serviraient plus

jusqu'à nouvel ordre, jusqu'à ce qu'ils aient récupéré un contrôle sur la maladie.

Donc, ça, c'est pour les taux d'adoption.

Hier, vous avez aussi discuté de la technologie

Bluetooth, du choix des technologies, GPS versus Bluetooth. Je pense que c'est

important de comprendre les problèmes de fiabilité, aussi, à ces technologies.

Je ne suis pas, encore une fois, un informaticien, mais j'ai lu quand même

quelques témoignages des inventeurs du protocole de communication Bluetooth,

qui expriment de très fortes réserves à l'utilisation de leur technologie, la

technologie qu'eux-mêmes ont inventée, en

disant : Bien, elle est très... elle est excellente pour un certain nombre

de fonctionnalités, mais, pour calculer la distance entre deux appareils

mobiles, ce n'est absolument pas suffisamment robuste. Ce sont des ondes radio,

il y a trop d'interférences avec l'environnement physique immédiat, que ça soit

construit, que ça soit végétal, il y a trop de distorsions dans les ondes pour

qu'on puisse mesurer avec fiabilité la distance entre un appareil émetteur et

un appareil récepteur, ce qui crée beaucoup plus de faux négatifs et de faux

positifs que nécessaire, avec les faux négatifs anxiogènes et des faux positifs

qui poussent un peu à des comportements plus complaisants de la part des gens

qui ne pensent pas être contaminés alors qu'ils le sont. Ça, ce sont les

aspects techniques.

Il y a aussi des obstacles à l'efficacité qui

sont des obstacles épidémiologiques. On sait depuis quelques semaines maintenant

qu'un certain nombre d'individus ou d'événements sont des superpropagateurs de

la maladie. Très simplement, ce que ça veut dire, c'est que 10 % à

20 % des personnes infectées sont responsables de 80 % des infections secondaires et que 70 % des

personnes infectées ne vont jamais contaminer personne d'autre au cours de

leur maladie. Et ça, les applications de notification n'ont aucun élément

contextuel pour savoir qui est un superpropagateur et qui ne l'est pas. Et,

dans les superpropagateurs, 40 % des gens n'éprouvent aucun symptôme de la

maladie, donc ils n'ont aucune raison d'aller se faire tester et aucune raison

de rentrer dans leur application qu'ils sont contaminés pour qu'on retrace les

gens avec qui ils ont été en contact.

Et même les applications du style COVI, dont

Yoshua Bengio parlait hier, qui travaillent en amont avec... en récoltant les

informations sur les symptômes des utilisateurs directement, auraient de la

difficulté avec ce type de pattern, parce qu'évidemment les gens n'éprouvant

aucun symptôme tout en étant malade ne rentreraient pas ces symptômes-là, et

l'intelligence artificielle ne pourrait pas détecter qu'ils sont infectés.

Donc, ça, ça pose aussi, quand même, cet événement... enfin, cette réalité,

nouvelle réalité des superpropagateurs, réalité scientifique, un problème,

parce que les modèles d'efficacité de ces applications qui ont été conçues

sont... reposent sur un principe de linéarité, c'est-à-dire tout le monde

est infectieux de la même façon, et on découvre que ce n'est pas vrai du tout.

Et dernier élément, c'est un élément

comportemental aussi, on a la chance, avec l'Australie, de voir comment les

gens se comportent face à une deuxième vague, face à l'épuisement, à la fatigue

de maintenir la distanciation sociale pendant plusieurs mois, et on voit que,

dans la deuxième vague, en Australie, dans l'État de Victoria, où 3 000

personnes ont été testées positives, quand les autorités de santé publique ont

fait du porte-à-porte pour savoir si les gens respectaient leur confinement et

leur quarantaine, plus de 800 étaient introuvables, donc ils n'étaient pas chez

eux au moment où ils auraient dû être en quarantaine stricte parce qu'ils

avaient été testés comme étant positifs par les autorités.

Donc, il y a toute une réalité, aussi, qui est

que les humains, quand ils reçoivent ce type d'information, ne se comportent

pas nécessairement comme des êtres rationnels. Et on doit intégrer ça aussi

dans la manière dont on envisage l'utilisation de ces applications, parce qu'il

y a plein de gens qui vont recevoir une notification positive, et qui ne vont

pas modifier leurs comportements, et qui vont continuer à se comporter de façon

très risquée pour l'ensemble de la société. Donc, je pense qu'il faut

comprendre aussi ça. Il y a beaucoup de travaux en économie comportementale qui

expliquent notre inaptitude, en tant qu'humains, à interpréter les données

relatives aux risques pour nous et pour notre entourage. Donc, ça, ce sont les

enjeux d'efficacité.

Je ne sais pas combien de temps il me reste,

mais, assez rapidement, les enjeux de sécurité et de vie privée. Évidemment,

ces applications sont développées par des organisations qui sont

plus... qui relèvent plus de la santé publique et qui ne sont pas forcément... qui n'ont pas

forcément l'expertise technique spécifique en matière de sécurité dans des environnements d'applications

de téléphonie mobile qui sont très problématiques. Pour vous donner

quelques exemples, des entreprises comme Google et Apple ont elles-mêmes des

défis énormes. J'ai vérifié cette semaine, le système Android de Google possède

6 300 vulnérabilités recensées à la date... cette semaine par l'institut national des standards et des

technologies américain, la technologie... le système d'exploitation iOS

d'Apple, 3 700 vulnérabilités recensées — ça, ce sont par les

concepteurs mêmes des systèmes d'exploitation, imaginez ceux qui conçoivent les

applications et qui ne disposent pas de toute l'expertise technique de ces entreprises — technologie Bluetooth,

400 vulnérabilités recensées. Ça veut dire que, si vous développez des applications

pour ces systèmes, bien, vous devez disposer de l'expertise pour vous assurer

que vous n'introduisez pas ces vulnérabilités ou que vous ne les laissez pas

persister dans votre application, ce qui est très difficile. Et, en juin 2020,

une entreprise de cybersécurité qui s'appelle Guardsquare a analysé

17 applications qui avaient été déployées en juin et, sur les 17, il y en

avait 16 qui étaient extrêmement faciles à pirater et à analyser pour mener des

attaques de sécurité.

Le Président (M.

Bachand) : Merci, Pr Dupont. Vous êtes juste sur le

10 minutes, en passant, bravo! Alors, Mme la députée de Jean-Talon, s'il

vous plaît.

Mme Boutin : M. Dupont,

merci d'être là. J'aurais à peu près... Je pense qu'on pourrait discuter très,

très longuement, c'est extrêmement intéressant. Vous nous avez amenés sur

plusieurs territoires, là, qui nous amènent à nourrir, là, beaucoup, beaucoup

la réflexion.

Bien, si je vous entends, honnêtement, moi, je

suis très inquiète. Outre l'application, à la base, là, tu sais, je pense que tout

le monde, ici, on devrait se poser certaines questions par rapport à nos

téléphones intelligents, là, mais, bon, nous sommes tous à risque, j'imagine.

On parlait de la technologie Bluetooth, puis,

bon, bien, je pense que vous comprenez pourquoi on a écarté d'autres

technologies de géolocalisation ou GPS, parce que, toujours... on soupèse

toujours le contre entre, bon, une plus grande efficacité à collecter des

données de santé pour contribuer, justement, à contrer une pandémie ou autre,

bon, on a écarté ces choix-là à la base, là, pour considérer seulement le

Bluetooth. Moi, je me demande... admettons qu'on pèse le contre... le pour et

le contre, la technologie Bluetooth nous permettrait peut-être de protéger plus

la vie privée, mais est-ce que c'est la meilleure technologie? Parce qu'au

départ... mais vous n'en avez pas parlé beaucoup dans votre présentation, mais,

au début de votre présentation, vous avez parlé... il existe d'autres

technologies. Est-ce que c'est la moins pire

des technologies? Est-ce que c'est la meilleure ou est-ce qu'il y en aurait

d'autres, des technologies? Puis on s'entend que la technologie, ici,

là, ce n'est pas une manne, là, c'est toujours complémentaire et un outil qui

permet d'être plus efficace, simplement. Qu'est-ce que vous auriez à dire

là-dessus?

M. Dupont (Benoit) : Bien, je

pense que, dans le contexte plus restreint des applications de notification,

donc, qui doivent être installées sur des téléphones mobiles et intelligents,

c'est certain que c'est assez binaire, les choix : c'est soit le

Bluetooth, soit le GPS. Je pense que le choix a été fait, à mon avis, à bon

escient dans le contexte de la protection de la vie privée dans lequel on opère

au Québec. On n'est pas en Chine, là. Donc, je pense que, le Bluetooth, c'est

la seule option qui est disponible.

Mais mon propos n'est pas de dire qu'on ne

devrait pas choisir le Bluetooth plutôt et choisir le GPS parce que c'est un

peu plus fiable — ceci

dit, il y a des problèmes aussi avec le GPS selon où vous êtes — c'est

simplement de dire : Comprenons aussi les limites de cet outil-là et

essayons d'imaginer comment on pourrait les surmonter. Et ce que j'entends dans

les propos de beaucoup de personnes qui sont les... qui se font les avocats de

ces applications, c'est une tendance à minimiser les défis techniques ou les

erreurs, le taux d'erreurs que va générer le Bluetooth, et je pense qu'il faut

vraiment... en faisant ce choix-là, il faut vraiment qu'on soit conscients de

ces limites-là et qu'on les intègre dans

notre façon d'imaginer l'utilisation et le déploiement de certaines de ces

applications parce qu'on va devoir aussi gérer les effets iatrogéniques,

c'est-à-dire les effets négatifs d'indiquer à des gens qu'ils sont peut-être

contaminés alors qu'ils ne le sont pas du tout et d'indiquer à des gens qu'ils

ne sont pas contaminés alors qu'ils le sont, infectés, et qu'ils vont propager

la maladie, et qu'ils l'apprendront plus tard, et qui vont...

Donc, il faut

vraiment comprendre assez finement les limites de ces technologies, mais je

n'ai pas de technologie de remplacement à proposer, malheureusement, et

je pense que, sur les appareils, téléphones mobiles présentement à la

disposition de 85 % de la population, c'est à peu près l'option unique, je

pense, si on exclut d'emblée le GPS.

Mme Boutin : O.K., je vois.

Peut-être