(Onze heures neuf minutes)

Président (M. Allaire) :

Alors, à l'ordre, s'il vous plaît! Alors, je répète, à l'ordre, s'il vous plaît!

Ayant constaté le quorum, je déclare

la séance de la Commission des

finances publiques ouverte. Je

demande à tous et à toutes de prendre vos

appareils électroniques et prendre le temps de les fermer, s'il vous plaît, ou de les mettre à la... d'éteindre votre sonnerie, en fait.

Merci.

La commission est

réunie afin de pouvoir débuter l'étude détaillée du projet de loi n° 14,

la Loi favorisant la transformation numérique de l'administration publique.

Alors, Mme la

secrétaire, est-ce qu'il y a des remplacements?

Secrétaire : Oui, M. le Président. Alors, M. Chassin

(Saint-Jérôme) est remplacé par M. Tremblay (Dubuc); M. Émond (Richelieu) est remplacé

par Mme Tardif (Laviolette—Saint-Maurice);

M. Simard (Montmorency) est remplacé

par M. Tardif (Rivière-du-Loup—Témiscouata); et M. Leitão

(Robert-Baldwin) est remplacé par Mme Anglade (Saint-Henri—Sainte-Anne).

Le Président (M.

Allaire) : Merci, Mme la secrétaire. Alors, si vous vous souvenez,

lors de l'ajournement de nos travaux le

14 juin dernier, les discussions portaient sur l'article 3.

Le député de La Pinière avait posé une question au ministre,

qui avait répondu à la question. Alors, à

ce stade-ci, est-ce qu'il y a d'autres interventions concernant l'article 3?

M. Barrette :

L'article 3?

Le Président (M.

Allaire) : Oui.

M. Barrette :

Bien sûr, je vais avoir... Collègues, est-ce que vous aviez une intervention?

Président (M. Allaire) : Non, la parole était à vous... au député de

La Pinière. Donc, si vous voulez continuer.

M. Barrette :

Oui. Je vais avoir quelques interventions, M. le Président, dans quelques

instants, le temps que j'ouvre...

M. Barrette :

Oui, voulez-vous relire l'article 3?

M. Barrette :

Bien, envoyez donc.

Président (M. Allaire) : Oui, je pense que ce serait un bon début pour

nous remémorer un peu où on était rendus.

Caire :

Si les collègues sont d'accord, effectivement, se remettre dans le bain

tranquillement, pas vite.

Le Président (M.

Allaire) : Allez-y, M. le ministre.

Caire :

Donc,

article 3 : «Un organisme public que peut désigner le gouvernement

utilise et communique à toute personne ou à tout organisme les renseignements

personnels qu'il détient dès lors que cette utilisation ou cette communication

est nécessaire à la réalisation d'un projet en ressources informationnelles

d'intérêt gouvernemental.

gouvernement peut également confier à un organisme public toute fonction ou

toute responsabilité liée à la réalisation d'un tel projet et pourvoir à

sa rémunération.

«Un décret pris en

application du présent

article entre en vigueur le jour de sa publication à la Gazette

officielle du Québec ou à une date ultérieure qui y est fixée.

présent

article s'applique malgré toute disposition inconciliable d'une loi,

dans la mesure où cette disposition est expressément mentionnée au

décret pris en application du présent article.»

Président (M. Allaire) : Si vous me permettez, M. le ministre, je vous

inviterais même à relire vos commentaires, je pense que ça mettrait bien

la table pour ce qui s'en vient.

Caire : Aucun problème. Aucun problème.

Le Président (M.

Allaire) : Parfait, merci. Oui? Ça va?

M. Barrette :

Moi, ça va, là, mais pour ceux qui nous écoutent.

Caire :

O.K. D'accord. Donc, le premier alinéa de l'article 3 du projet de loi

confère au gouvernement le pouvoir de

désigner un organisme public qui aura, dès l'entrée en vigueur du décret le

visant, l'obligation d'utiliser et de communiquer

des renseignements personnels qu'il détient si cette utilisation ou cette

communication est nécessaire à la réalisation d'un projet en ressources

informationnelles d'intérêt gouvernemental.

En vertu de la Loi

sur l'accès aux documents des organismes publics et sur la protection des

renseignements personnels, les organismes publics doivent assurer la

confidentialité des renseignements personnels qu'ils détiennent et ils ne peuvent les utiliser ou les communiquer

que pour les fins prévues par cette loi, ce qui inclut d'autres fins que peut

prévoir une autre loi.

Le premier alinéa de

cet

article prévoit une nouvelle fin compatible, soit la réalisation d'un

projet en ressources informationnelles d'intérêt gouvernemental. Ainsi, la

règle d'utilisation et de communication prévue à cet alinéa serait appliquée dans le cadre de la réalisation d'un tel

projet et en toute matière. Des organismes publics pourraient se partager

des renseignements personnels une seule fois, de manière périodique ou en

continu, pendant la réalisation du projet.

Le deuxième alinéa de

cet

article confère au gouvernement le pouvoir de confier à un organisme public

toute fonction ou responsabilité liée à la

réalisation d'un projet en ressources informationnelles d'intérêt

gouvernemental. Un organisme public pourrait, à

titre d'exemple, être

chargé d'offrir des services numériques intégrés non prévus à sa loi

constitutive.

troisième alinéa de cet

article établit une règle d'entrée en vigueur pour le

décret pris en vertu du premier ou du deuxième alinéa de cet article.

quatrième alinéa de cet

article prévoit une règle qui établit la priorité des

dispositions prévues à cet

article sur toute autre disposition d'une loi. Cette

priorité n'est toutefois pas applicable lorsque la disposition inconciliable

est celle d'une loi fondamentale telle que la charte ou celle d'une loi

dont la dérogation doit être formulée expressément.

La

Loi sur l'accès

aux documents des organismes publics et sur la protection des renseignements

personnels,

article 168, continue donc

de s'appliquer, ainsi que la

Loi sur les contrats des organismes publics,

article 9. Voilà, M. le Président.

Le Président (M.

Allaire) : Merci, M. le ministre. Est-ce que, à ce stade-ci, il y a

des interventions concernant l'article 3?

M. Barrette :

J'en ai quelques-unes.

Le Président (M.

Allaire) : Je cède la parole au député de La Pinière.

Barrette : Je vais commencer par la première. Alors, je comprends bien

les explications, puis évidemment on ne

refera pas le débat qu'on a fait à 1 et 2 sur ce que sont les organismes

publics, là, mais 3, de la manière qu'il est libellé. Alors, je reprends le texte du premier

alinéa : «Un organisme public...» On s'entend, on avait débattu longuement

sur ce qu'est l'organisme public, là, qui est décrit dans l'autre loi,

et là on dit : «Un organisme public que peut désigner le

gouvernement — ça,

on a débattu là-dessus, il n'y en a rien d'autre à ajouter, je pense, on a fait

le tour — utilise

et communique à toute personne [et] à tout organisme les renseignements

personnels qu'il détient», et ainsi de suite, là... à l'intérieur du projet

d'intérêt gouvernemental.

«Toute

personne [et] tout organisme», comme il n'est pas qualifié, ça veut donc dire

«toute personne et tout organisme», incluant les non publics, on

s'entend là-dessus?

Caire :

On s'entend là-dessus.

Barrette : Alors, ma lecture est appropriée. Ça signifie donc que,

dans le cadre d'un projet d'intérêt gouvernemental, on a établi, dans nos débats précédents, que l'intérêt

gouvernemental était défini par «ça nous intéresse», rien de plus. Bon, je ne te dis pas ça négativement. «Ça nous

intéresse» étant le gouvernement. Bon, l'intérêt gouvernemental est défini par

rien d'autre que «c'est ça qu'on veut faire, puis on le fait». On a débattu

là-dessus.

Caire : Oui. Mais, si tu te souviens... pardon, excusez-moi,

M. le Président, si vous vous souvenez bien, on avait quand même dit qu'à travers la... il y avait des critères qui

étaient établis auxquels on pourrait donner un caractère plus formel,

j'en conviens.

M. Barrette :

Je ne veux pas refaire le débat.

Caire :

Parfait.

M. Barrette : Parce que ça serait une utilisation abusive de

notre temps parlementaire. Mais, disons que je le simplifie, là, je comprends et j'admets que je le simplifie,

mais l'intérêt gouvernemental, la définition de ça est relativement large.

Caire : Large, oui.

M. Barrette :

On va dire ça comme ça, M. le Président. Par contre, c'est encore plus large

quand on dit que l'organisme public

désigné, c'est correct, je ne conteste pas ça. On ne critique même pas ça parce

qu'à un moment donné ce sont des projets

dits d'intérêts gouvernementaux mais, en quelque part, expérimentaux, dans le

bon sens du terme. On essaie de voir ce qu'on peut faire, puis c'est ça la

modernisation à laquelle on veut tous arriver, puis je suis d'accord avec ça.

Je l'ai déjà dit précédemment, à plusieurs reprises, c'est un projet de

loi avec le fond duquel je suis en accord.

Bon,

maintenant, arrive la forme, et là, on est dans la forme. Alors :

«[L'organisme] public que peut désigner le gouvernement — on l'a

débattu, on s'entend là-dessus — utilise et communique à toute personne ou à

tout organisme les renseignements

personnels qu'il détient» dans le cadre desdits projets d'intérêts

gouvernementaux. Ça, ça veut dire que le gouvernement va potentiellement, et même, je dirais, techniquement, et

sans balises autres que la sécurité des renseignements personnels, donner à n'importe qui... puis là je ne

dis pas ça méchamment, là, c'est ouvert et c'est à l'extérieur du gouvernement.

Ma lecture est correcte, là?

Caire :

Là-dessus, je vais... Le cadre est quand même plus restreint que ça.

M. Barrette :

Je comprends. Les mots ayant un sens...

Caire :

Oui, oui, mais ce que je veux dire, c'est que les mots ayant un sens...

M. Barrette :

M. le Président, si M. le ministre me le permet, je vais le laisser répondre

avec plaisir...

Caire :

Oui, bien sûr. Non, non, mais allez-y, je m'excuse.

M. Barrette :

...parce que c'est là que va être l'objet de notre débat de ce matin puis

peut-être de toute la journée. On a

restreint les organismes qui peuvent être autorisés à participer à l'intérieur

de règles qui vont être définies clairement, mais qui le sont toutes... mais qu'elles sont toutes sous l'égide de la

Commission d'accès à l'information, la sécurité des renseignements personnels,

et ainsi de suite, mais on est restrictifs dans la détermination des organismes

qui peuvent transmettre des données,

mais on est totalement ouvert, puis là le ministre va certainement me dire

qu'il va y avoir des règles, mais il reste au moins que le texte qui est

là, et c'est là ou j'en viens, là, ouvre la porte à la transmission de données

personnelles à toute personne et/ou organismes extragouvernementaux, pas

paragouvernementaux, extra, à l'extérieur, quelqu'un,

quelconque organisation. Et je ne les qualifie pas, là, je suis sur le

principe, la lecture, l'interprétation de ce libellé-là. Là, je promets

au ministre de ne pas l'interrompre.

Le Président (M.

Allaire) : M. le ministre.

Caire : Non, c'est correct. Mais ma réponse va être

relativement brève, M. le Président, parce que, si on continue la lecture, puis j'entends le commentaire de mon

collègue, mais si on continue la lecture de l'article, M. le député de

La Pinière, ça vous dit «dès lors». Parce que, oui, c'est

«communique à toute personne ou à tout organisme les renseignements personnels qu'il détient dès lors que cette

utilisation ou cette communication est nécessaire à la réalisation d'un projet

en ressources informationnelles

d'intérêt gouvernemental», donc... Puis on avait eu, souvenez-vous, on avait eu

un peu ce débat-là où on se

disait : Est-ce que des entreprises privées, des consultants pourraient

être inclus dans la transmission des renseignements?

La réponse à cette question-là est oui, dès lors qu'ils sont

partie prenante de

la réalisation, et donc, à ce moment-là, ils sont contractuellement liés

à des obligations qui sont les mêmes que les organismes publics.

donc ce n'est pas... il ne faut pas lire, dans cet article-là : Dans le

cadre d'un projet, je vais diffuser l'information à des entités qui ne seraient pas liées à la

réalisation d'un projet. Je ne sais pas si mon explication est claire. Donc, ce

n'est pas toute personne selon mon

bon plaisir, c'est toute personne qui est

partie prenante à la réalisation du

projet et toute personne qui a

besoin de cette information-là, donc pour qui l'information est nécessaire à la

réalisation du projet.

Donc,

à la limite, on pourrait même dire que, si l'information que je détiens

n'est pas nécessaire au volet que vous êtes

en train de réaliser, je ne peux pas vous communiquer cette information-là. Donc, quand on lit l'article dans sa globalité, c'est beaucoup plus restrictif, parce que c'est ceux qui doivent

avoir l'information dans le cadre de la réalisation du projet, et

ces gens-là sont soit des membres d'un

organisme public, donc encadrés évidemment, soit des entreprises, des sous-contractants,

des entreprises privées mais qui, contractuellement, vont

répondre aux mêmes obligations légales que les organismes publics.

Puis je ne sais pas si Me Bacon veut...

un supplément d'information évidemment, à moins que ma réponse satisfasse le député de La Pinière et mon

collègue de René-Lévesque.

Le Président (M.

Allaire) : Merci, M. le ministre. Est-ce que vous voulez que

Mme Bacon intervienne?

Barrette : Ce n'est pas nécessaire,

je pense que c'est clair. Mon objectif,

à cette étape-ci de l'étude de

l'article 3, est atteint. Je voulais

qu'on établisse ça. Et je vais répondre d'une façon tout à fait objective,

neutre et non qualifiée au commentaire

qu'a fait le ministre, il a dit : Ce ne sera pas sous mon bon vouloir.

Bien non, ça va être, selon son bon vouloir, parce que les projets

d'intérêt gouvernementaux sont au bon vouloir du ministre, du gouvernement. Ce

n'est pas une critique, je ne fais que statuer les choses qui sont dites pour qu'elles

soient claires pour nous, les parlementaires, et pour ceux qui nous

écoutent.

Donc,

on résume : Il faut faire ça. Comment on va le faire? C'est ça qui est le

débat. Il y a des règles. L'objectif est de faire circuler les données essentiellement à l'intérieur du

gouvernement, peut-être avec d'autres. Il y a des projets d'intérêt gouvernementaux qui sont — je ne dis pas ça méchamment — au bon vouloir. Il y a un vouloir, à quelque

part, puis il ne doit sûrement pas

être mauvais, il y a un bon vouloir. Et ces projets-là peuvent mettre en cause,

amener sur la patinoire des organisations

et/ou individus, et l'inverse, peu importe, externes qui, bien évidemment, vont

être assujettis aux mêmes règles, et ils vont signer un contrat, on

s'entend là-dessus. Mais, sur le principe que des données vont quitter l'État

pour aller à l'extérieur, le ministre nous

confirme que, oui, dans cette loi-là, ça va potentiellement arriver. Je ne dis

pas que ça va arriver nécessairement, mais ça va potentiellement

arriver.

Les données

sortant de l'État, allant chez une personne, ou un groupe de personnes, ou une

entreprise qui signeront des contrats garantissant la sécurité des données,

bien là, on vient quand même d'augmenter un niveau de risque en termes de, disons, dissémination inappropriée de données.

Et je m'explique, c'est facile, on n'a qu'à regarder Desjardins. On a, nous l'État, nos façons de faire internes, on

contrôle notre structure, on a nos données. Techniquement, on contrôle notre

personnel, on a nos logiciels, on a nos

protocoles, on a tout ça. Donc, on a notre risque à nous, comme État. Je ne

lance la pierre à personne, l'objet n'est pas là. L'objet ici, là, est

de faire un débat, pour moi, sur la gestion du risque.

Alors, nous avons notre risque interne, qui est

ce qu'il est, je ne le qualifie pas de petit, moyen ou grand, je dis juste qu'il n'y a pas de risque zéro, ça n'existe

pas, bon. Alors là, on va obligatoirement augmenter notre niveau de risque

puisqu'on fait rentrer une autre

organisation. Aussi bien... quand bien même ils vont signer des contrats, ils

ont leurs risques à eux. Ça, c'est

comme en mathématiques : les facteurs d'erreur, ça ne s'additionne pas, ça

se multiplie. Ça, c'est un principe... Hein,

moi, M. le Président, je dis souvent ça, j'ai élevé mes enfants comme ça, je

dis : Écoutez, les mathématiques, chers enfants, c'est du français écrit autrement. C'est vrai. C'est comme le

droit, hein, Me Bacon, c'est du français, mais qui n'a pas toujours la même signification que dans le langage

commun. Mais c'est les mêmes lettres, c'est les mêmes mots, mais le sens

n'est pas toujours le même à cause d'une jurisprudence. Les mathématiques,

c'est comme ça.

Caire : Il y a

moins de chances d'interpréter les mathématiques que le droit, M. le député de

La Pinière.

M. Barrette : Ça, c'est vrai. Ça,

c'est vrai, mais je fais une analogie mathématique parce qu'elle est tellement appropriée. Alors, on contrôle notre structure,

notre environnement, on contrôle nos serveurs, le personnel,

nos protocoles, et ainsi de suite, et

là on va faire sortir des données ailleurs. Donc, on va... puis je ne dis pas

qu'on va le faire tout le temps,

mais, obligatoirement, là, on vient

augmenter le risque, et ça, ça m'inquiète, nonobstant le fait qu'on va faire

signer à ces gens-là des protocoles.

Moi, je vais prendre un exemple simple, puis je

ne vais pas les nommer ad nauseam parce que ce n'est pas bon pour eux autres, puis ils ne méritent pas ça, en

quelque part. Ce serait arrivé à n'importe qui. Ça peut arriver n'importe où.

Alors, l'institution financière qui a vécu

un épisode douloureux récemment dans le monde, parce qu'il y en a plusieurs,

ils avaient leurs risques et, s'ils

étaient ici, en commission

parlementaire, ils auraient

dit : Écoutez, écoutez, nous autres, là, la sécurité, là, c'est la chose la plus importante

pour nous. Les données, c'est la... on protège ça comme la prunelle de nos

yeux, ça n'arrivera pas. Mais c'est arrivé.

Moi, je pense

que, l'épisode gouvernemental québécois qui a eu lieu, bien, on attend de voir que la

lumière se fasse. Ce n'est peut-être

pas si négatif que ça s'est... que ça a été rapporté ou évoqué. Parce que, moi,

dans mon expérience, là, puis je l'ai

dit précédemment, à la RAMQ, là, ça fait plus de... ça va faire bientôt

50 ans qu'ils gardent la donnée, puis on n'a pas eu ça. Ils doivent faire quelque chose de correct,

hein? Puis ça veut dire qu'il y a une structure. Il est possible, dans une structure, d'être sécuritaire. Dans le gouvernement, la preuve a été faite, et l'épisode de Revenu Québec est peut-être très véniel et banal. On verra

quand ça sortira.

Maintenant,

on ne peut pas nier, à mon avis, le fait... Puis je pose la question au ministre : Est-ce qu'il va nier le fait ou

réfuter le fait qu'en allant à l'extérieur on multiplie, on augmente le risque,

même s'il y a des contrats qui sont signés?

Caire :

Bien, je vais me permettre peut-être moi aussi une réponse élaborée à la mesure

de la question. D'abord...

M. Barrette : ...je prends ça comme

un compliment.

Caire :

Absolument, absolument. Mais je vous retrouve avec beaucoup de plaisir, M. le

député de La Pinière, et c'est

dit très sincèrement. Ceci étant, je vais juste corriger quelque chose parce

que je pense que c'est important de bien situer le contexte. Il n'est pas question... Quand on... Puis pour avoir

été moi-même consultant, quand on embauche des consultants, on n'amène pas le projet chez le consultant. On amène le

consultant à l'intérieur du projet. Donc, la circulation des données... On ne vient pas d'ouvrir une

fenêtre pour dire : Bon, bien, maintenant, nos données s'en vont chez

telle ou telle firme de consultants. Les consultants travaillent dans

l'environnement gouvernemental, contractuellement.

Caire :

Bien, écoutez, moi, je l'ai vécu comme ça, là. Je n'en ferai pas un absolu, là,

mais, honnêtement, de toute façon,

c'est la façon dont j'ai... puis l'expérience que j'en ai, puis la façon de

travailler, c'est... Puis M. Boivin pourra me corriger si je me trompe parce que je ne voudrais pas induire la

commission en erreur, là, mais généralement les consultants viennent travailler ici, et, quand il est question

de se servir des environnements de développement du gouvernement, bien, le

consultant travaille à l'intérieur de cet environnement-là, et il n'y a pas...

il n'est pas question d'amener nos données gouvernementales chez des consultants, à plus

forte raison si ces données-là ont un certain niveau de sensibilité. On

comprend que, si on parle de données

ouvertes, on est ailleurs, mais je suis convaincu que le député de

La Pinière ne faisait pas référence à des données ouvertes qui

sont, de toute façon, publiques. Ça, c'est un premier élément.

deuxième élément, oui, effectivement, il y a un élément de risque, mais est-ce

que l'élément de risque augmente parce

que la personne a le statut de consultant ou l'élément de risque augmente parce

qu'on augmente le nombre de personnes qui

interviennent dans le projet? Alors, est-ce que ce risque-là est plus grand parce

que la personne a un statut de consultant ou le risque est plus grand

parce qu'au lieu d'avoir un nombre x de ressources internes on a un nombre y de

ressources internes, qui est plus grand, et

donc là il y a un facteur multiplicatif de toute façon? Mais je suis d'accord

avec l'énoncé du député de

La Pinière. Le risque zéro n'existe pas. Donc, c'est sûr que plus il y a

d'intervenants dans un projet, bien, plus il peut y avoir des risques

d'erreur. C'est sûr.

Maintenant,

pour la réalisation du projet, on comprend que, si on veut que le projet soit

un succès... Donc, ça peut aussi

multiplier les facteurs de succès dans le sens où, si on va chercher la bonne

personne, le bon niveau d'expertise, bien, on vient peut-être de multiplier

nos facteurs de succès. Donc, je veux dire, il y a deux côtés à cette

médaille-là, comme à toute chose. Mais, essentiellement, pour ramener ça au... parce

qu'on parle donc du premier alinéa de

l'article 3,

je pense que l'article 3,

l'alinéa 1 de l'article 3 nous donne la flexibilité de dire :

Les parties prenantes à un projet, dans la mesure où c'est nécessaire à la portion que ces parties

prenantes là ont à réaliser, ont à livrer, doivent avoir accès à l'information.

Puis ça, c'est essentiel. Je veux

dire, M. le Président, on ne peut pas demander à des gens de travailler sur un

projet puis ne pas leur donner les outils pour mener à bien le projet,

et, dans un projet en ressources informationnelles, bien, c'est sûr que l'information est au coeur du projet. Mais je

pense qu'on l'encadre. Tout d'abord, contractuellement, oui, ces entités-là,

dans le fond, ont contractuellement les

mêmes charges, les mêmes obligations, les mêmes responsabilités, encourent des

sanctions s'il y a dérogation aux ententes

contractuelles. Donc, ils vont avoir les... il n'y aura pas de différence.

Donc, ce n'est pas parce que c'est un consultant, éventuellement, qu'il

peut faire, lui, ce qu'il veut avec les données, ce qu'un fonctionnaire ne pourrait pas faire. Et donc il y a

déjà... De toute façon, le partage de données, ça, c'était déjà prévu, là,

au niveau de la Commission d'accès à

l'information. Ce n'est pas... on ne vient pas d'inventer quelque chose de

nouveau, il y a déjà des consultants

qui ont travaillé sur des projets, qui avaient accès aux données, et ça,

c'était déjà prévu. Mais je pense

que, quand on indique «dès lors que cette utilisation ou cette communication

est nécessaire à la réalisation [du] projet», je pense qu'on vient de créer l'encadrement nécessaire à s'assurer que

dans nos bonnes pratiques on ne fera pas n'importe quoi non plus avec

les données. Ça, c'est l'article 3, mais il y a d'autres articles aussi

plus tard, qu'on verra, qui viennent rajouter des couches de protection.

Le Président (M. Allaire) :

C'est bon, M. le ministre?

Le Président (M.

Allaire) : M. le député de La Pinière.

Barrette : Bien, je remercie le ministre de sa réponse, que j'ai bien

comprise, mais il y a là, en quelque part... on va appeler ça un accrochage, parce que le ministre nous a dit, là,

que dans la vraie vie — c'est à peu près ses paroles — dans la vraie vie, là, puis c'était

l'expérience du passé, puis c'est vrai, on amène les consultants à l'intérieur,

et là ils traitent de la donnée, ou

gèrent, ou font le projet. Ce n'est pas ça que l'article dit, l'article dit

«communique à toute personne ou à tout organisme». Mais c'est parce que,

quand on communique, là, il me semble qu'il y a une espèce de mouvement vers l'extérieur. Moi, quand je communique avec

quelqu'un, je l'appelle chez lui, je lui envoie une lettre, quelque chose de ce

genre-là, je m'en vais vers l'extérieur,

implicitement, puis je dirais même explicitement. Et c'est là que le droit,

évidemment, vient faire son oeuvre. Le sens des mots en droit n'est pas

toujours le même que dans le langage commun, puis ce n'est pas une

critique, c'est un état de fait.

Moi,

pour moi, là, quand je communique des données à quelqu'un, ce n'est pas

quelqu'un que je fais venir chez moi pour procéder à une analyse

quelconque. Quand je fais réparer ma télévision, c'est bien sûr que je peux

faire venir le réparateur. Je l'appelle,

puis il vient. Je l'ai fait récemment, d'ailleurs, puis ça se répare, une

télévision, contrairement à ce qu'on dit,

hein? Bien, il ne faut pas toujours penser qu'il faut en acheter une nouvelle.

Mais, à un moment donné, il a fallu que je l'emmène moi-même chez le

réparateur, parce qu'il n'avait pas ce qu'il fallait.

Alors,

moi, là, ce mot, cette phrase-là, là, «communique à toute personne ou à tout

organisme»... Un organisme, là, est-ce qu'on l'emmène ici? Est-ce qu'on

va amener un organisme? Une personne, je veux bien l'argument, là, mais la phrase qui est dite là, c'est une phrase dont le

mouvement est de l'intérieur vers l'extérieur. C'est ça que ça dit. En tout

cas, s'il y a une chose qui est

claire, c'est que ça ne dit pas que ce n'est pas permis, ça ne dit pas ça. Ça,

c'est clair. Ça ne dit pas que ça va

empêcher que les données sortent de l'État, comme ça ne dit pas que ces

données-là, à l'intérieur... dans le cadre

d'un projet d'intérêt gouvernemental, va être fait à l'interne en amenant des

gens. Ça ne le dit pas. La phrase est floue à souhait, je ne dis pas intentionnellement, mais on ne peut pas me

critiquer de le lire comme ça. Alors, on a établi, là, qu'on allait

communiquer à des gens de l'extérieur. Et là je pense qu'on établit, puis là,

le ministre, je vais le laisser me répondre à ça, que cette phrase-là, elle ne dit pas qu'on

ne sortira pas des données et elle ne dit pas non plus que ceux qui feront le

projet vont le faire à l'intérieur du gouvernement avec une quelconque interdiction, contrôle, autre

qu'un contrat, desdites données.

C'est ça, là, que ça dit. Puis c'est la... Pour moi, là, à cette étape-ci de l'étude détaillée, c'est le coeur de cet article-là qui est en... Le ministre comprendra

aussi que c'est en ligne aussi avec toutes interrogations que j'ai eues avant,

Et je vais

aller plus loin. Les récents événements sur la planète, parce qu'il n'y en a

pas juste eu au Québec, je vous dirais

qu'il y a des questions que je me pose et des interventions que je fais

aujourd'hui que je n'aurais peut-être pas faites il y a

deux ans, trois ans, cinq ans 10 ans. Et là, là, là, je les fais, là. Puis

je reviendrai sur d'autres éléments, là, qui ont été mis en lumière, là, cet été dans ce dossier-là.

Alors, sur la question du sens de la phrase, j'aimerais entendre le ministre,

Le Président

(M. Allaire) : M. le ministre, la parole est à vous.

Caire : Bien, en fait, je vais répondre au député de

La Pinière. C'est vrai que... Je veux dire, je ne contesterai pas son interprétation, ça lui appartient, mais

l'intention de l'article 3... Puis, encore là, il faut voir le projet de

loi dans sa globalité, mais, si on se

concentre sur l'article 3, l'intention de l'article 3, c'est de dire

que du moment où un projet est d'intérêt gouvernemental, les parties prenantes au projet doivent se communiquer

l'information, doivent faire circuler l'information. Donc, c'est ça qui est essentiellement l'objectif

de l'article 3. Après ça, on va voir

article 4, les mesures de

protection. Et les articles suivants

ramènent des mesures de protection, l'évaluation des risques, un régime de

protection particulière dépendamment

de l'évaluation des risques, l'approbation de la CAI. Donc, dans sa globalité,

je pense que le projet de loi...

Puis je partage le

point de vue du député de La Pinière. Je pense qu'au Québec, là, il y a

beaucoup, beaucoup de monde aujourd'hui qui, par rapport à la protection des

données, ont une sensibilité qu'on n'avait pas il y a peut-être six mois à l'époque où, nous, on parlait d'une

politique de cybersécurité gouvernementale, là. Je veux dire, moi, quand j'ai

annoncé ça, là, je n'ai pas senti que je

venais d'ébranler les colonnes du temple, à ce moment-là, là. J'avais plutôt

l'impression de prêcher dans le

désert. Et aujourd'hui il y a une sensibilité, et je le sens, puis c'est

correct, compte tenu des événements.

Maintenant, le projet

de loi a été bâti, dans sa globalité, pour répondre à ces préoccupations de

sécurité là, mais l'article 3 lui-même,

son objet, c'est de dire : Écoutez, là, dans le cadre d'un projet

d'intérêt gouvernemental, les organismes qui sont parties prenantes à la réalisation doivent communiquer

l'information pour faciliter la réalisation du projet.

L'article 3

ne vise que cet aspect-là de la chose. Et je pense qu'il fait bien ce pour quoi

il a été écrit.

J'entends

le député de La Pinière. Et ce que je dis, c'est que, dans les articles

subséquents, je pense qu'on va... je ne veux pas dire adresser, mais on va porter une attention particulière à

ces préoccupations-là qui sont tout à fait légitimes et que je partage. Et, si ces articles-là qui ont cette

vocation-là, d'amener des régimes de protection, si on pense collectivement

qu'on ne met peut-être pas les filets de sécurité nécessaires, bien,

moi, je suis ouvert à la discussion. Mais ce que je dis à mon collègue, c'est que, l'article 3, lui, son

objet, c'est de donner un cadre général pour dire : Quand vous réalisez un

projet en ressources

informationnelles, du moment où le gouvernement a dit : C'est un projet en

ressources informationnelles d'intérêt gouvernemental, parlez-vous,

échangez de l'information, rendez ça fluide, rendez ça facile.

Président (M. Allaire) : Merci, M. le ministre. Si vous me

permettez, M. le député de La Pinière, il y a le député de

René-Lévesque qui souhaite intervenir. Est-ce que c'est correct pour vous,

juste pour assurer une cohérence?

M. Barrette :

Ça me fait plaisir de laisser la parole à mon collègue.

Le Président

(M. Allaire) : La parole est à vous.

M. Ouellet : Merci beaucoup, M. le Président. D'entrée de jeu, je veux dire que je

partage les interrogations du collègue de La Pinière, notamment tel que le

libellé est inscrit sur cette possibilité de communiquer à l'externe, tel qu'il

est lu dans le présent article. J'ai entendu

le ministre que ce qu'on cherche à faire plutôt, c'est d'inviter les gens à y

travailler à l'intérieur du

gouvernement. Mais, quand on le lit, je peux vous dire que l'intention et de la

façon dont il est écrit, c'est deux choses totalement distinctes.

Donc,

pour faire avancer la discussion, je pense, M. le ministre, qu'on pourrait

plutôt parler de rendre accessibles les

informations, plutôt que communiquer. Je m'explique. Si c'est la volonté du

gouvernement, de l'organisme public de procéder à des transformations et

de discuter avec des personnes ou des organismes, le fait de rendre accessibles

ces informations-là, je pense que ça vient

protéger la nature même de la donnée, c'est-à-dire à quel endroit elle est.

Elle est directement au gouvernement,

donc la rendre accessible, c'est permettre son accès. Donc, je dois me déplacer

pour y avoir accès. Et donc il n'y a

pas cette volonté ténue, je vous dirais, dans le projet de loi en question,

sans être péjoratif, de permettre la

communication. Ça fait que je pense qu'on pourrait circonscrire certaines de

nos craintes, à moi et au député de La Pinière, en rendant plutôt

la donnée accessible, plutôt que de la communiquer.

Deuxième

chose que j'aimerais valider avec le ministre, lorsqu'il fait référence, à

l'article 3, à «toute personne ou tout

organisme», je présume, et vous me direz si mon analyse est bonne, on parle de

personnes physiques, mais aussi de personnes

morales. Et donc je pense que c'est voulu de l'indiquer ainsi, mais je veux

juste être certain qu'on couvre tous les

champs d'intervention, à savoir qu'une personne dans une entreprise, c'est une

chose, mais une personne dans un organisme public en est une autre. Donc, je veux juste être certain qu'on couvre

bien la notion d'entreprise privée lorsqu'on parle de personnes parce qu'il n'y a pas de spécificité

quant à la personne morale ou non. Et, lorsqu'on parle des organismes, je

présume qu'on fait référence à des organismes publics, OBNL, type OBNL.

veux juste être bien certain de comprendre parce que «personne» et «organisme»,

présentement, je le vois large. Si

c'est la volonté du ministre, donnez-nous des explications en ce sens. Si ce

n'est pas ça, il faut le circonscrire. Bien, dans ce cas-là, indiquons que les personnes, ce sont

des personnes morales, dans le cas des entreprises, et les organismes, ce

sont des organismes, exemple, sans but lucratif, si c'est le cas qui est visé

par l'article en question.

Le Président (M.

Allaire) : Allez-y, M. le ministre.

Caire : En fait, le

terme... puis je vais laisser, avec le consentement des collègues, je vais

laisser Me Bacon compléter la réponse parce

que là on est dans les aspects plus juridiques et de concordance avec notamment

la loi d'accès à

l'information. Mais ce que je comprends, c'est que le terme «communiquer» est

un terme qu'on doit utiliser, si je comprends bien, Me Bacon, parce que c'est le modèle juridique utilisé dans

les autres lois. Là, je vais laisser, avec le consentement des collègues, M. le Président, Me Bacon vous

donner une réponse plus éclairée que celle que je pourrais vous donner

moi-même.

Président (M. Allaire) : Merci, M. le ministre. Alors, est-ce qu'il y

a consentement pour permettre à Me Bacon de s'exprimer ici, à la commission? Consentement. Parfait. Merci. Me

Bacon, je vous demande de vous présenter, nommer votre

titre pour les

fins de la diffusion. Merci.

Mme Bacon (Nathalie) : Bonjour. Nathalie Bacon, légiste au Conseil du

trésor. Dans le choix des mots, c'est la règle d'utiliser et de communiquer, donc les verbes «utiliser» et

«communiquer» sont importants, c'est par cohérence avec la

loi sur l'accès, vous l'avez, pas loin, là, sur

votre portable, l'article 67.2. Et ce n'est pas seulement

l'article 67.2, il y a d'autres articles

aussi, là, où on dit : Le principe qu'un organisme fonctionne en silo. À

65.1, où on dit qu'«un renseignement personnel ne peut être utilisé au sein d'un organisme public qu'aux fins pour

lesquelles il [est] recueilli». Et le député de La Pinière avait bien compris, là, dans les dernières séances

de commission, que le projet de loi avait eu la brillante idée de pouvoir

ouvrir au-delà du fonctionnement en silo pour permettre le partage entre

organismes publics. Donc, on vient s'inscrire dans

65.1 pour prévoir une autre fin pour laquelle un renseignement peut être

communiqué ou utilisé, donc les fins d'un projet en ressources

informationnelles d'intérêt gouvernemental. Et c'est à 67.2 que, finalement, le

premier alinéa de l'article 3 est un calque de 67.2 pour permettre et

aussi l'utilisation, la communication en faveur de toute personne ou organisme

partie prenante au projet d'intérêt gouvernemental.

Par «personne», on comprend aux personnes, c'est

le sens large, c'est toute personne physique ou personne morale, puis «organisme», c'est aussi au sens large, c'est

tout organisme privé ou organisme public, et finalement toutes les formes

d'association ou de constitution, alors ça peut comprendre des OBNL, des

associations.

on utilisait, comme vous le suggérez, l'expression «rendre accessible», la

connotation que, moi, ça a tout de suite dans ma tête, c'est rendre accessible au public, alors que ce n'est pas

une accessibilité au public, c'est une accessibilité qu'aux fins de la réalisation d'un projet, d'un projet

qui va être élaboré, une solution informatique qui va être élaborée de façon

confidentielle jusqu'à tant que la solution

informatique soit disponible. Ça fait que c'est peut-être là, au niveau des

mots, là, qu'on serait en porte à faux avec la

loi sur l'accès.

Le Président (M.

Allaire) : Vous souhaitez compléter, M. le ministre? Ça va?

Caire :

Ça va. Je ne sais pas si la réponse satisfait les collègues.

Le Président (M.

Allaire) : Oui. Est-ce que ça va? Ça vous convient?

M. Ouellet :

Bien, j'aimerais juste compléter.

Le Président (M.

Allaire) : Oui. Allez-y, M. le député de René-Lévesque, la parole est

à vous.

M. Ouellet : Merci. Merci des précisions. Bien, c'est un petit peu l'essence même de

mon intervention, être certain qu'on

couvre tous les angles dans le cas des personnes, des organismes. Mais, si je

comprends bien, la

partie «communique», c'est parce qu'on fait référence à la

loi sur l'accès à l'information,

donc je pense qu'on traîne peut-être une mauvaise voie depuis trop longtemps. Si effectivement on est

obligé de calquer cette loi-là sur des comportements ou des façons de faire

issues de l'ère prénumérique, je pense qu'on

est en mesure, je vous dirais, de travailler à moderniser cette loi-là, parce

que je comprends la nuance,

Me Bacon, sur «rendre accessible», mais, avec les nouvelles technologies,

«rendre accessible» a un tout autre

sens aujourd'hui que le sens légiste que nous avions par le passé. Et donc, ça

fait juste renforcir notre prétention qu'effectivement,

une fois que ce projet de loi là sera adopté, il faudra, tôt ou tard,

s'adresser à l'essence même de la loi à l'accès à l'information. On n'est pas à l'ère du numérique et on ne fait

pas mention de nouvelles technologies ou de nouvelles façons de faire, et donc on est comme tenu de

faire un copié-collé de ce qui existe, et, dans le fond, on traîne... sans dire

que ce sont des mauvaises pratiques, ça,

c'est des pratiques qui ont été élaborées contextuellement avec l'état de

l'époque, mais il faut comprendre que

l'on avance rapidement, et, malheureusement, ces lois-là ne nous donnent pas la

sécurité qu'on pense qu'on devrait avoir.

Donc,

je remercie Me Bacon pour les précisions, ça précise que la loi n'est pas

assez précise à mon goût, mais je comprends

que, dans l'état actuel des choses, c'est la façon de faire pour être conforme

avec... Ce qu'on demande dans le projet

de loi en question, c'est de suspendre certaines règles de la

loi sur l'accès à

l'information pendant 10 ans. Et si on veut suspendre ces règles-là, il faut quand même s'y référer de façon

légistique. Et, si j'ai bien compris, si on erre dans cette façon de faire, on ne sera pas capable de faire la

concordance par rapport à la loi du passé. Donc, je vous dirais que ces explications me satisfait, mais, malheureusement,

je tombe sur mon appétit et je pense que le ministre est d'accord aussi

pour ce qui de la loi à l'accès à l'information. On aura tout un travail à

faire pour la suite.

Le Président (M.

Allaire) : Merci pour l'intervention. M. le ministre, souhaitez-vous

répondre?

Caire : Bien, très brièvement, M. le Président. Je partage

évidemment la conclusion du collègue sur le fait que nous avons un

chantier qui est la loi d'accès à l'information.

Maintenant, sur le projet de loi n° 14,

je voudrais quand même peut-être préciser, et on le verra dans les articles subséquents, que cette loi-là amène une

transparence quant à l'utilisation des données qui n'est peut-être pas le cas actuellement, hein? Quand

deux organismes, actuellement, en fonction de la loi de l'accès à

l'information, font une entente de

partage de données, ce n'est pas rendu public, là. Tu sais, c'est les deux

organismes qui font l'entente, font le partage de données puis ça reste à ce

niveau-là, alors qu'avec le projet de loi n° 14,

il y aura un rapport qui va être rédigé, qui va être présenté au président du Conseil du trésor, qui va

être présenté à la Commission d'accès à l'information et qui va être rendu

public sur le site du Conseil du trésor.

Donc, on vient quand même rajouter une transparence qui n'existe pas

actuellement. Je pense que, de ce

point de vue là, le projet de loi n° 14 nous amène ailleurs

quant à la transparence de l'utilisation qu'on fait des données,

là — bien,

c'est dans les articles plus loin, M. le député de René-Lévesque, là — mais

il y a cette obligation-là, et il y a une

obligation de faire une évaluation des risques, et il y a une obligation

maintenant, dans les projets et l'utilisation des données, d'aller

chercher l'avis de la Commission de l'accès à l'information.

Donc, il y a quand même des mécanismes de

protection. Il y a une possibilité aussi de prendre des régimes de protection particuliers dans le cadre d'un projet,

là, si c'est nécessaire. Donc, je comprends que l'article 3 peut donner,

s'il est pris isolément, une

interprétation mais, quand on le prend dans le cadre du projet de loi, dans sa

globalité, ce n'est pas... les mesures de protection sont là, là.

Président (M. Allaire) : Est-ce qu'il y a d'autres interventions

concernant l'article 3? Allez-y, le député de La Pinière. La

parole est à vous.

M. Barrette : Alors... à moins que

mon collègue avait d'autres choses, et notre autre collègue peut-être aussi?

Barrette : M. le Président, M. le Président, je comprends ce qu'il a

dit, le ministre, là, puis c'est vrai, là, que les prochains articles vont

traiter d'aspects qui découlent de ce dont on parle actuellement. Alors, ce

dont on parle actuellement, bien, on

fait le débat de ce que qui s'en vient après. Puis je ne veux pas faire le

débat des autres articles avant d'avoir vidé tout ça, cette question-là,

parce qu'on ne l'a pas encore vidée, là.

Alors, moi,

je suis content de la question qui a été posée, là. Peut-être que je n'avais

pas été assez clair moi-même, là,

puis je le reconnais, en ce sens que, bon, c'était n'importe qui pour «organisme et personne autre que gouvernementale». Bien, on a maintenant

établi qu'il n'y avait pas de limitation dans des OSBL... OBNL, pardon, maintenant,

personne morale, et ainsi de suite. C'est donc effectivement, là, confirmé

par Me Bacon que ce sont à peu

près... Selon le raisonnable vouloir

du ministre, ils sont à l'extérieur du gouvernement. Bon, c'est établi.

Maintenant, là où j'ai tiqué tantôt, là, dans la

réponse que le ministre a faite à notre collègue de René-Lévesque et à moi aussi, c'est clair que c'est l'intention

dans le projet de loi de ne... que les données vont être à l'intérieur,

protégées, et ainsi de suite. Moi, je

dis ceci au ministre, là : Quand on regarde, et pas juste quand

on lit, mais, quand on relit, à lumière des débats qu'on a eus à date, l'intention du projet de loi, dans sa modernisation, c'est la circulation des données à l'intérieur

du gouvernement. C'est ça qui est l'intention fondamentale, et ça

a été quand même... Ce n'est pas dit explicitement par l'article 1

mais implicitement, puis ce n'est pas loin d'être explicite, pour moi,

«favoriser la transformation numérique de l'administration publique», on parle de la transformation

numérique de l'administration publique. Par définition, on est interne

au gouvernement. On n'est pas à l'extérieur.

Alors, s'il y a

une intention qui est clairement, pas mal clairement, puis peut-être

pas suffisamment explicitement, mais,

pour moi, ça l'est quand même pas mal, claire, comme intention, c'est de gérer,

de faire circuler d'une façon appropriée, moderne, transformée, la

donnée dans l'administration publique, donc dans le périmètre gouvernemental.

Alors, quand... On ne peut pas, à mon avis,

invoquer cette intention-là, à partir du texte proposé du projet de loi n° 14, pour dire que c'est implicite qu'on ne veut pas que

ça sorte. C'est plus clair, pour moi...

M. Barrette :

Non, je n'ai pas dit que le ministre, M. le Président, avait dit ça comme ça.

Je dis que le ministre a dit que c'était clair que l'intention du

gouvernement... de ce projet de loi là était celle-là. Non, l'intention, là,

c'est la transformation numérique pour un meilleur fonctionnement de

l'administration publique. Ça arrête là. Il n'y a pas d'intention de ne pas

sortir l'information du périmètre gouvernemental. Rien dans le texte n'évoque

ça, rien, rien, rien. Bon, je vois que le ministre, par son hochement de tête,

est d'accord avec moi.

Bon, ceci

étant dit, et là je reprends les propos de Me Bacon, dans la loi de

l'accès à l'information, là, communiquer, là, c'est implicitement, presque explicitement, une transmission de

données. C'est de même. Il y a une transmission, puis c'est sûr que l'accès à l'information, la loi,

c'est sûr que ça traite aussi de nos demandes, comme parlementaires, mais ça

traite les journalistes, ça traite le public, ça traite tout le monde.

Accès, c'est

communiquer, c'est une transmission d'informations. Donc, on revient à la case

départ, qui est : Ça sort-u ou ça ne sort-u pas? Permettez-moi le

mauvais français. Donc, ça sort. C'est ça, là, qu'on est obligé de constater

ici, ça sort.

Et le projet, lui, là... parce qu'il y a deux

volets au projet, là. Dans le débat qu'on a actuellement ce matin, là, il y a deux éléments. Il y en a un sur lequel je

m'attarde, là, volontairement, parce qu'on va s'y attarder par la suite aussi...

Le ministre, avec raison, nous fait... nous

dit que dans les prochains articles on est plus détaillé, et ainsi de suite.

Bien oui, on va être plus détaillé,

puis il y a des problèmes là aussi. Pourquoi? Bien, à partir du moment où les

données sortent, bien là, c'est comme si la donnée, là, qui est pas mal assez

bien blindée dans le périmètre gouvernemental, cette donnée-là, il

faudrait qu'elle transporte son blindage lorsqu'elle va arriver à l'extérieur.

actuellement, là, je ne vois pas dans le projet de loi, autre que par le fait

que des gens vont signer des ententes contractuelles

de respect des règles qui sont imparties au gouvernement, je ne vois pas, là,

comment qu'on va ne pas augmenter les risques. Je ne le vois pas, puis,

même si c'est publié sur le site du Conseil du trésor.

Alors,

moi, ça me pose un problème, encore là, aujourd'hui parce que ça va sortir. Et

je suis surpris. Je suis surpris

que le ministre n'ait pas... ne se

soit pas attardé à la possibilité... Peut-être que ça vient du fait que le projet de loi a été écrit, évidemment, puis on le comprend, avant les événements

récents, mais, là, peut-être qu'il y

aurait lieu de s'attarder à ça et de

s'assurer que cette gestion-là se fasse peut-être par des

contractuels, mais à l'intérieur, qui viennent dans le gouvernement.

vais prendre... Je vais faire un parallèle. Quand la RAMQ a réécrit son code...

Alors, je n'étais pas en politique

à cette époque-là, j'étais sur le conseil d'administration de la RAMQ, l'entreprise est venue

réécrire le code. Puis c'est vrai, le ministre l'a dit lui-même, il y en

a plein, de contractuels, là, qui viennent faire des travaux dans le gouvernement.

C'est vrai. Mais ils sont ici, là. Ils sont dans un périmètre qui est plus

surveillé, plus encadré, et ainsi de suite. Alors, là, compte tenu des récents événements, le ministre ne

trouve-t-il pas qu'on devrait faire des modifications à l'article 3 pour

s'assurer que la donnée reste à l'intérieur du gouvernement en toutes

circonstances?

Le Président

(M. Allaire) : M. le ministre.

Caire : Merci, M. le Président. Bien, je vais revenir sur ce

que le député de La Pinière a dit, puis je pense que c'est fondamental. L'objectif du projet de loi,

c'est de favoriser la transformation numérique du gouvernement du Québec.

Je comprends absolument le contexte. Je

comprends absolument le débat que nous faisons sur la protection des données et

des renseignements personnels, je le comprends et je partage ces

préoccupations-là.

Ceci

étant, il ne faut pas que ça devienne... Comment je dirais ça? Puis je veux

faire très attention à mes propos parce que je ne veux pas banaliser cette situation-là, elle n'est pas banale.

Mais, en même temps, le gouvernement du Québec... la transformation

numérique du gouvernement du Québec vise à améliorer, à faciliter la prestation

de services à nos concitoyens, vise à améliorer l'efficacité du gouvernement,

vise à améliorer la disponibilité des services. Alors, tout l'univers numérique doit être mis à la disposition

de nos concitoyens, dans la mesure où c'est possible, dans un objectif de

donner les meilleurs services possible, le plus accessible possible, le plus

rapidement possible. Donc, on procède à la transformation numérique du gouvernement

dans cet objectif-là.

là on est face à un défi qui est majeur. Comment... Parce que cette

transformation numérique là ne peut se faire qu'à la condition où la

donnée est mobile. Il faut rendre la donnée aussi mobile que possible à

l'intérieur de ce réseau numérique de prestations de service gouvernementales.

Comme je l'ai déjà dit, la loi actuelle ne rend pas ça possible. Maintenant,

comment rendre la donnée mobile tout en assurant les plus hauts niveaux de

sécurité de la donnée? Ça, c'est le défi qu'on a à réaliser.

Alors,

ce que je dis au député de La Pinière, c'est, dans ce contexte-là, ce que

l'article 3 nous dit, c'est : Dans une perspective de transformation numérique, la donnée doit être mobile,

donc doit être communiquée à ceux pour qui c'est nécessaire. Et, plus tard, donc, les articles subséquents vont nous

indiquer : Parfait, la donnée est mobile, mais il faut aussi lui donner le plus haut niveau de protection

possible. Et le niveau de protection n'est pas nécessairement associé à un lieu

physique. On comprend que l'univers

numérique, oui, au final, c'est des serveurs, c'est de la quincaillerie, c'est

des fils, mais l'univers numérique, c'est un univers où les frontières

sont assez larges.

Donc,

quand le député de La Pinière dit : Si la donnée se déplace, le

blindage de la donnée doit le suivre, moi, je partage cette image-là. Mais elle sous-entend qu'on est au-delà de la

simple sécurité physique de nos données. Et c'est là où je dis, dans les... Et là je reviens à un

commentaire, peut-être que, compte tenu des événements récents, le député de

La Pinière présuppose qu'on

aurait peut-être écrit le projet de loi de façon différente. Non, parce que,

cette préoccupation-là, on l'a bien avant les événements récents. En

fait, les événements récents nous donnent raison par rapport aux préoccupations

qu'on avait déjà exprimées subséquemment, et

c'est la raison pour laquelle, dans le projet de loi, il y a plusieurs mesures

qui sont mises en place pour assurer la

protection des données. Donc, ces mesures-là, elles ne sont pas banales, là. Ce

n'est pas... et quand je dis que je pense que, par rapport à la

situation actuelle, on améliore ce qui se fait, bien, je le crois sincèrement. Mais à chaque article, sa fonction.

L'article 3, lui, dit : la donnée doit être mobile, parce que, si on

veut protéger à une transformation

numérique du gouvernement, si on veut améliorer notre prestation de services

numériques à tous les niveaux, cette

donnée-là, elle doit être mobile. Et d'autres articles viendront dire — ce fameux blindage, dont parle le député

de La Pinière, qui va protéger nos

données — qu'est-ce

qu'on va faire puis comment on va le mettre en place pour qu'il suive la

donnée dans la nécessaire mobilité que la transformation numérique présuppose.

Le Président

(M. Allaire) : Merci, M. le ministre. M. le député de

La Pinière, la parole est à vous.

M. Barrette :

Là, je vais être un peu plus critique, parce que nous avons, en ce moment

précis et présent, un échange pour des sujets qui sont connexes, là, qui sont

concurrents. Ce n'est pas les mêmes sujets, pas la même affaire du tout,

mais pas du tout, mais vraiment pas.

Le projet de loi dans

sa finalité vise à faire en sorte qu'on mette en place des façons de faire, des

protocoles, des lignes de codes qui vont

permettre à la donnée de promener d'un endroit à l'autre dans le périmètre

public, dans le gouvernement. Ça,

c'est correct. C'est ça, l'essence du projet de loi. On est d'accord avec ça.

Moi... et là, le ministre nous dit :

C'est important la mobilité, c'est ça le sens du projet de loi. Bien oui, bien

oui, bien oui, on est d'accord. Il n'y a pas de débat là-dessus.

D'ailleurs,

non seulement il n'y a pas de débat, en m'en venant, je discutais avec un de

mes assistants de la chose suivante,

de mon étonnement — encore

aujourd'hui, je ne devrais même pas le dire, là, je me demande si je devrais le

dire, je le

regrette le quasiment — de mon étonnement que personne ne soit encore dans les rideaux, je

parle, dans l'espace public, parce

qu'on sait que ce sujet-là, dans le passé, a été l'objet de critiques

incendiaires, de discours d'une démagogie sans fin quand venait le temps de faire circuler les données

d'un bureau à l'autre, là, d'un hôpital à l'autre, d'un CLSC à l'hôpital.

Je prends des exemples de mon domaine.

Écoutez, là, puis je ne rentrerai pas là-dedans, ça va donner trop d'idées à

trop de monde, puis ça va nuire au

projet de loi. Alors, je ne ferai pas ça. Je pourrais donner des exemples très

démagogiques. Il y en a qui l'ont

fait beaucoup dans le passé, et là on n'est pas là. Tant mieux! Alléluia! Mais

il n'en reste pas moins que le projet

de loi, là, ce qu'il vise à faire, là, c'est que, dans le périmètre

gouvernemental, des données puissent être... puissent circuler d'une façon fluide — les mots du ministre, que je prends à mon

compte parce que je les ai déjà utilisés moi-même.

faut ça mais ça va plus loin, ça va dans l'efficacité du gouvernement, pas

juste l'efficacité des services donnés aux citoyens. Ça va plus loin que ça. Ça va dans l'efficacité du

gouvernement par une capacité accrue et beaucoup plus fine d'analyse de

la donnée, puis je vais la qualifier, je pense, du bon mot, sociétale. Le

gouvernement, c'est quelque chose d'extraordinaire, en termes de bases de

données. C'est extraordinaire, tout ce qu'il y a là-dedans. Et si on arrive à

la traiter, là, d'une façon neutre avec la

réserve qu'il faut, avec la profondeur appropriée, puis on est capables de

faire ça au Québec, notre Québec va

avancer, j'en suis convaincu, nonobstant les épouvantails à moineaux habituels

qu'on entend dans l'espace public.

Alors,

quand le ministre nous dit : C'est important, là, la mobilité, ça sert à

ça, ça sert à arriver à ce que je viens de dire dans les dernières minutes que je viens d'utiliser pour commenter.

Oui, mais ce n'est pas de ça que je parle. Moi, je parle de la mobilité non pas à l'intérieur du

périmètre gouvernemental, mais bien à l'extérieur. Et je vais reprendre mon

expression, il n'y a rien, là, à mon avis,

pour le moment, dans ce qui est écrit ici, et compte tenu des circonstances que

l'on vit actuellement à l'échelle

internationale et locale, qui garantit que le blindage va suivre la donnée, et

c'est ça qui m'inquiète.

Alors,

l'intention du projet de loi... Ce n'est pas vrai, là, que l'intention, là,

c'est que tout se passe à l'interne, on l'a démontré, puis je pense que le ministre l'a bien accepté lui-même par ses réponses, ça va sortir.

Moi, je pense que ça ne devrait pas

sortir, compte tenu de ce qui se passe aujourd'hui. Et c'est là qu'on

est. Alors, la mobilité, moi... il faut qu'on arrête de parler de la mobilité, c'est un sujet en soi, la mobilité.

Puis je l'ai dit, à mon grand étonnement, personne n'est dans les rideaux, là, alors que, normalement, il y a 10 ans, là, le projet de loi n'aurait pas été écrit, là, j'en suis convaincu, politiquement,

ça n'aurait pas passé la rampe de l'opinion publique ambiante de ce moment-là,

qui était erronée et qui a nui, ça

nous a ralentis. Et là on essaie de rattraper, puis on fait bien, mais là il y a

un risque, la situation a changé. Alors, on s'entend sur la

finalité, il n'y a pas de problème mais, la réalité, là, ce n'est pas ça.

entreprises, là, ou les personnes, là, ou les gens de

l'extérieur qui auront leurs jobs à

eux autres, qu'on veut leur donner, là, bien, ça, ça nous ouvre un tout

autre champ de débat. Les gens de l'extérieur qui vont venir ici, là, dans ces projets-là, ils viennent ici pourquoi? Pour écrire

des lignes de code. C'est pour ça qu'ils viennent, là. Ils viennent regarder

nos bases de données puis regarder pourquoi

ils ne se parlent pas, regarder pourquoi elles ne sont peut-être pas

fonctionnelles, regarder pourquoi c'est

si compliqué, même à l'intérieur de la base de données, à l'intérieur de

l'organisme public, c'est si

difficile d'aller faire telle ou telle analyse. C'est ça qu'ils vont faire.

Parce que le ministre a raison, lorsque tout ça va être réglé, lorsque tout ça va être fluide, c'est

sûr que le gouvernement va être meilleur sous plusieurs aspects. Je ne

répéterai pas ce que je viens de dire

il y a quelques instants, mais la finalité de la compagnie, là, c'est

essentiellement, essentiellement, de venir écrire des lignes de code.

ça, ça nous amène à un autre problème, qui est encore plus fondamental,

c'est : Comment ça se fait que l'État n'est pas capable de faire ça? Ça, c'est un problème fondamental.

Comment ça se fait que l'État n'est pas capable, n'a pas la capacité, semble-t-il — semble-t-il, ce n'est pas l'opinion des gens

à l'interne — de faire

ce travail-là? Ça, ça m'inquiète, ça

m'inquiète beaucoup. On y reviendra, hein, parce que ce que je viens de dire

là, le ministre, je pense qu'il a compris que ça vient toucher un paquet d'éléments dans les articles suivants. Un

paquet d'éléments. Alors, l'intention, la vraie intention du projet de loi, là, que personne ne nie, moi, en

premier, elle est correcte. C'est le fond, la forme, comment qu'on va le faire.

Et je vais rajouter

un élément, qui, lui, est récent, et qui m'a, moi-même, troublé, vraiment

beaucoup, beaucoup, beaucoup, parce que je

ne pensais pas que c'était apparemment si simple à faire. Les exemples qu'on a

eus récemment, qui amenaient des gens

ou des organisations, des organismes, peu importe, là, qui amenaient certaines

entités extragouvernementales à

briser l'anonymat, ça, là, ça devrait nous inquiéter et inquiéter le ministre

au plus haut point. J'ai été, pendant des années, celui qui a dit qu'il n'était pas question que des

données circulent de façon non anonyme, là, donc dénominalisée, et là on voit dans l'espace public — ce qui signifie qu'à quelque part dans

l'espace moins public c'est encore pire, puis c'est de même, en informatique — là, arrivent, surnageant cet

environnement-là, des cas qui arrivent à l'espace public où on arrive à dénominaliser des données. Ça, là, c'est

inquiétant. Et ça, s'il y a un argument pour ne pas faire circuler, à

l'extérieur du périmètre, gouvernemental des données, c'en est un. Il est

frais, il est récent, ils y arrivent, moi-même, je ne pensais pas que c'était si simple. Je ne sais pas comment

qu'ils le font. Bon, ils mettent en place des algorithmes, les algorithmes

mettant ensemble un paquet de

données. Puis, à quelque part, là, c'est quasiment en ligne directe avec

Cambridge Analytica, là, ça, là. La

procédure algorithmique qui est utilisée par ces gens-là pour défaire le code

de l'anonymat, c'est par la corrélation algorithmique de données.

Alors,

ayant dit cette phrase-là, là, ça devrait être un argument absolu, pas du tout

démagogique, là, pour ne pas que ça

sorte, pour ne pas que ça sorte. Alors, M. le Président, je viens d'émettre une

réflexion qui va me permettre de débattre encore un certain bout de temps là-dessus. J'aimerais bien entendre les

commentaires à chaud que le ministre peut nous faire là-dessus.

Le Président (M.

Allaire) : M. le député... M. le ministre, la parole est à vous.

Caire :

Merci, M. le Président. Si je partage les constats de mon collègue, je n'en

partage pas les conclusions, parce qu'on...

Caire : Je ne

partage pas les conclusions.

M. Barrette : Ah! les conclusions.

Caire : Parce

qu'on analyse sous le même prisme deux univers qui sont différents, l'univers

de la donnée qui n'est pas réellement sécurisée... Et j'aime ce que le député

de La Pinière vient de dire, parce que méfions-nous, méfions-nous de ces

faux sentiments de sécurité, et donc de penser que, parce qu'on a anonymisé une

donnée, la rétro-ingénierie ne peut pas être faite. Je suis tout à fait

d'accord avec le député de La Pinière, ce qu'il dit est vrai.

Donc, ça nous amène à ce que je disais

précédemment, la façon de protéger la donnée doit trouver une solution numérique dans un univers numérique. Ce que le

député de La Pinière nous dit, c'est : Créons un coffre-fort

gouvernemental dans lequel on va mettre la donnée puis duquel elle ne

sortira jamais. Ça, ça va à l'encontre de ce que je disais sur la mobilité de la donnée, que cette mobilité-là

puisse être assumée... que cette responsabilité-là, pardon, doit être assumée

par cette entité qu'est le

gouvernement. Et donc, la solution pour protéger la donnée, elle est à mettre

en place par le gouvernement, mais ça n'exclut pas, ça n'exclut pas les

partenaires de l'écosystème numérique.

gouvernement du Québec, dans la transformation numérique, ne peut pas vivre en

autarcie, il y a tout un écosystème numérique qui est en place, duquel

on doit tirer des forces, avec lequel on doit travailler. Mais ce qu'on doit

faire, c'est de mettre en place des systèmes

de protection numériques à une réalité qui est numérique. Puis je ne veux pas

faire dire au député de

La Pinière ce qu'il n'a pas dit, parce que je pense qu'effectivement il y

a un niveau de sécurité physique qui doit

entourer la donnée, mais il ne faut surtout pas penser que, parce qu'on a fait

ça, tout a été fait et tout a été dit. Et c'est pour ça qu'on dit qu'il doit y

avoir une évaluation des risques, parce que la pire chose qui peut nous

arriver, c'est de penser que, ah! on a mis ça sur le serveur du

gouvernement, tout est beau, tout est beau, on est en sécurité, tout va bien. C'est pour ça qu'on dit : Ça prend une

évaluation des risques, ça prend des régimes de protection, ça prend des

protocoles de protection, ça prend

une façon d'envelopper la donnée dans un régime ou un système de protection qui

va faire en sorte qu'on va pouvoir la rendre mobile sans nécessairement la

rendre accessible. Et c'est là où j'aime l'intervention, tout à l'heure, de Me Bacon par rapport à la

question du commentaire... de l'interrogation du député de René-Lévesque et

celle du député de La Pinière,

parce que communiquer une donnée et la rendre accessible, c'est deux choses.

Oui, on va communiquer la donnée, mais on ne la rendra pas

nécessairement accessible.

Et c'est là

où je dis que je ne partage pas le point de vue du député de La Pinière,

parce que pour lui, la solution, si j'entends bien, c'est de dire :

Bien, écoutez, enfermez ça à l'intérieur des systèmes physiques

électromécaniques du gouvernement, ne

laissez rien sortir de là, puis normalement nos données vont être en sécurité.

D'abord, je pense que, dans une

perspective de transformation numérique, ça ne serait pas une bonne idée de le

faire comme ça. Deuxièmement, je pense,

comme je l'ai dit, que la façon de protéger nos données, il faut le voir sous

un autre angle que je viens d'énoncer et que je ne répéterai pas, et donc que de communiquer une donnée, ça ne

veut pas nécessairement dire la rendre accessible, et c'est là-dessus qu'il faut travailler, c'est

sur ces mécaniques-là qu'il faut travailler. Et l'anonymisation des données ne

nous

a peut-être pas donné le niveau de protection

qu'on pensait, de la même façon que d'autres façons de faire, dont on

pense qu'elles vont nous protéger, ne nous donneront peut-être pas la protection

nécessaire.

Ceci étant

dit, je me permets un commentaire plus général, M. le Président. Je comprends que le débat est intéressant dans le cadre du projet de loi n° 14, mais

c'est un débat qui est beaucoup plus large que le projet de loi n° 14. Et

c'est là où, quand on fera une refonte de la loi d'accès l'information, bien, il y aura peut-être d'autres lois aussi qui seront impactées et pour lesquelles il n'y aura peut-être pas simplement un langage à

adopter mais des principes aussi qui devront s'adapter à la réalité du

numérique.

Le Président (M. Allaire) :

Merci, M. le ministre. M. le député de La Pinière, vous souhaitez

intervenir?

M. Barrette :

C'est vraiment intéressant, cet échange-là parce que, là, on arrive dans une

phase où on met le doigt sur la bonne

affaire. Et, pour une raison que je m'explique mal, que c'est peut-être une

raison d'incompréhension ou de confusion,

on entre dans une période où on mélange des concepts qu'on n'a pas mélangés

jusqu'à maintenant, là. Loin de moi d'invoquer quelque

article de notre

règlement, ce n'est pas ça du tout, là, je pense, ce que le ministre a voulu

faire, il ne m'a pas prêté des intentions,

il a mal compris ce que je lui ai dit. Et conséquemment il ne met... Son doigt

qui est sur la bonne affaire avec le mien, là, on a chacun le doigt

dessus, là, il s'en éloigne. Ce n'est pas bon. Je m'explique.

Est-ce que j'ai dit qu'il fallait que la donnée

soit dans un coffre-fort et que ça ne circule pas? Je n'ai pas dit ça. Au contraire, je fais la plaidoirie... un

plaidoyer, pardon, le plaidoyer de la circulation de la donnée dans les

différentes instances gouvernementales,

puis c'est correct, c'est ça qui est la finalité du projet de loi. Quelqu'un va

écrire les lignes de code pour que le

ministère de la Santé, l'Éducation, le Trésor, Revenu Québec, à la fin, ça

puisse se parler et qu'ils puissent... et que des analyses puissent se

faire. On imagine aujourd'hui à quel point un épidémiologiste, un statisticien,

l'Institut de la statistique du Québec pourra sortir de ce genre de donnée là.

Alors, je n'ai pas demandé à ce que l'État devienne un coffre-fort où les

données sont gelées dans le ciment. Ce n'est pas ça du tout, aucun rapport.

Le ministre

fait référence à l'écosystème dans lequel on doit être. Bien oui. Et le

ministre nous dit que le citoyen, il faut

qu'il ait accès à des données, il faut qu'il ait les réponses à ses questions.

Bien oui. Ce dont je parle, c'est la circulation de la donnée

potentiellement nominative, parce que décodée à l'extérieur du périmètre.

Et là, là, je

vais donner un exemple que j'espère qu'il va éclairer la lanterne du ministre.

Je n'ai pas dit non plus que la sécurité, c'était physique, ça n'a aucun

rapport. La

partie la plus facile de la sécurité aujourd'hui, c'est la

partie physique. Il n'y a pas de

débat à faire là-dessus, là. Ce n'est pas compliqué, là, c'est la ventilation,

des murs de béton de quatre pieds

d'épais puis des gardiens de sécurité, là, puis quelqu'un qui contrôle ce qui

se passe dans le fil. C'est ce qui se passe dans le fil qui est le

problème. Alors là, je vais donner un exemple qui va illustrer mon propos. Le

citoyen, là, M. Paul X, ce matin,

là, ou cet après-midi, il a une interrogation, il se pose une question sur son

rapport d'impôt. Il veut savoir quel

est son solde parce qu'il n'est pas sûr d'avoir payé tout ce qu'il avait à

payer, mais il a déjà payé telle affaire, puis il voudrait en avoir le

coeur net. Puis on sait que clicSEQUR, là, puis cette page-là, là, pour ceux

qui l'ont utilisée, mettons que ça pourrait

être amélioré, on va dire ça comme ça, mettons, juste ça, un petit peu. Puis

mettons qu'il est la personne responsable,

puis il a accès au dossier de ces enfants, puis là il veut aller faire... il

veut avoir des réponses pour sa famille.

C'est lui qui fait le rapport d'impôt de sa femme, ses trois enfants, et ainsi

de suite, qui ont entre 16 et 19 ans. Bon. Là, mais là, là, on est

compliqués, là, aujourd'hui, là, puis la transformation numérique va régler ça.

Alors, voici

le point dont je veux parler, là, qui est le plus important. Quand le citoyen

va poser une question à la base de

données, on va lui donner un résultat, et pas nécessairement toute la donnée

qui est en arrière. Il faut faire la nuance entre l'interface du citoyen, d'une entreprise, de l'univers, et la base de données gouvernementale, qui, elle, doit être dans ce que le ministre a qualifié de coffre-fort, versus l'interface qui

donne un résultat, et non une donnée qui, elle, est dénominalisable.

C'est là qu'est la clé.

Moi, là, pour

donner une réponse, là, sur une affaire simple comme un rapport d'impôt, là,

bien, je ne vais pas faire sortir le

dossier au complet. Je ne vais pas faire sortir la pension alimentaire, la

ceci, la cela. Non, non. Il y a une question qui a été posée, là, voici la

réponse. Et toutes les données qui ont permis d'en arriver au résultat, ça

reste là, et ça, ça ne sort pas. Et ça, ne

sortant pas, ça ne sera pas dénominalisé, puis ça ne circulera pas, puis ça ne

sera pas croisé avec des données de

Facebook. Une grosse nuance, là, grosse nuance. Faire sortir de la donnée ouvre

la porte à l'analyse de la donnée. Poser une question et donner une

réponse dans le cadre de l'accès à l'information, ce n'est pas la même chose.

Pour prendre une image peut-être plus

spectaculaire, M. le Président, demander à la bibliothécaire la citation d'un auteur sur telle chose qu'on sait que c'est

dans tel livre, bien, je vais avoir un résultat, je vais avoir la citation, je

vais me l'envoyer par courriel. Mais je n'aurai pas le livre au complet

ni la bibliothèque. Je n'aurai pas un rayon. Je n'aurai pas le livre. J'ai demandé à la bibliothécaire : Pouvez-vous me

sortir, parce que je ne m'en rappelle pas exactement,

la citation unetelle de tel auteur?

Je n'ai pas le livre, là. La bibliothécaire, elle sort... payant, tiens, le

service. Ça va vous coûter 5 $. O.K. On m'envoie par courriel la citation précise, exactement

ce que j'ai demandé. Je n'ai pas le livre, je n'ai pas le rayon, je n'ai pas la bibliothèque puis je n'ai pas le

réseau de bibliothèques. Ça, c'est la différence entre un accès et une

transmission de donnée dénominalisable. Parce que c'est ce qu'on a vu...

Barrette : Bien oui, mais...

Oui, bien... Alors, je n'ai pas fini, M. le

Président. Alors, au contraire, je

vis dans un environnement, et depuis beaucoup plus longtemps que bien du monde autour de la table et qui nous

écoute, dans un environnement

hypernumérisé, avec bien de la donnée qui se promène, puis c'est correct, et ça

se fait. Mais là on arrive dans un autre moment, et ce moment-là est un

moment, en quelque part, inquiétant.

Alors, c'est comme ça, là. Alors, je dis au ministre :

Comprenez-moi bien, là, je ne veux pas d'avoir un univers parallèle, je veux que l'interface soit telle que

la donnée soit totalement protégée, et actuellement l'expérience internationale et québécoise

montre le contraire, d'où l'intérêt d'en faire plus que moins. Parce que, quand

on commence à avoir des tendances, quand on commence à avoir des événements qui

sortent à gauche puis à droite, partout, comme on le voit aujourd'hui, c'est parce

qu'il y en a probablement d'autres qu'on ne sait pas, et on doit se prémunir

contre ça.

Barrette : Bien oui, justement. Alors là, d'où la problématique de

l'article 3 qui permet à des données de sortir du périmètre

gouvernemental, ne serait-ce que pour écrire des lignes de code.

Président (M. Allaire) : ...laisser répondre M. le ministre.

Simplement souhaiter la bienvenue à la députée de Saint-Henri—Sainte-Anne,

qui s'est jointe à nous. Bienvenue. M. le ministre, la parole est à vous.

Caire : Oui. Je

vais essayer, M. le Président. M. le Président, le député de La Pinière...

Le Président (M. Allaire) : ...

Caire :

Je vais le libeller autrement. Le député de La Pinière, quelquefois, dans

son raisonnement... je veux dire, on est en symbiose, et là il me

ramène, woup! à une conclusion qui n'est pas soutenue par son argumentaire.

Puis là je vous explique, M. le Président. Quand

on dit, dans l'article 3, qu'il doit... que les organismes doivent

communiquer, dès lors, que cette utilisation, cette communication est

nécessaire à la réalisation, on amène la notion de nécessité. Puis là je l'ai dit, plus tard, il y a des régimes de

protection, qui sont prévus, pa, pa, pa, bien, on va discuter de ça. Mais, dans l'argumentaire du député de

La Pinière, il nous dit : Écoutez, moi, je fais une requête, je veux

avoir une information. Je n'ai pas

tout le processus, j'ai le résultat, la réponse à la question que j'ai posée.

Donc, on vous communique l'information qui est nécessaire. Je ramène ça dans le

cadre du projet de loi n° 14, parce que, là, c'est un principe qui est

très général, je le ramène dans le

cadre du projet de loi n° 14 où on parle de faire de la réalisation d'un projet. Ce que l'on dit... On ne dit pas : L'information va rester dans un tel périmètre, on dit : L'information qui est communiquée doit être

une nécessité pour le destinataire.

C'est une nécessité, donc le destinataire a besoin de cette information-là pour

réaliser sa prestation de service. C'est

ça que l'article 3 dit. On va la faire circuler, la donnée, et on va la

faire circuler exclusivement à ceux pour qui c'est nécessaire. Donc, on joue sur la notion de «nécessité»,

pas sur la notion d'où est-ce que vous êtes physiquement. C'est un petit peu ça que je disais tantôt, puis je ne

voulais pas faire dire au député de La Pinière ce qu'il n'a pas dit, loin

de moi cette intention.

Effectivement, le débat est extrêmement intéressant, puis on va travailler à ce

que ça continue comme ça.

Mais la

sécurité ne se fait pas en fonction d'un périmètre. La sécurité se fait en

fonction de la donnée. On va sécuriser la donnée parce qu'on veut la

rendre mobile, et c'est pour ça qu'on dit que, cette donnée-là, elle est

communiquée aux personnes pour qui c'est

nécessaire, et, plus tard, les régimes de protection... Et c'est pour ça que je

dis, là, tu sais, on ne fera pas tout

le projet de loi dans l'article 3. Mais, l'article 3, il vient quand

même circonscrire à qui on peut communiquer cette information-là sur la notion

de nécessité. Parce que, ce qu'on ne veut pas, parce que ce qu'on ne veut pas,

c'est que dans une prestation de

services... Et, moi, je l'ai vécu, le collègue parle de son bagage

d'expérience, ce que je ne conteste pas,

soit dit en passant, mais je l'ai vécu, je veux dire, tu es dans un mandat, tu

dois réaliser tel ou tel livrable, mais tu n'as pas ce qu'il faut pour travailler. Or, je fais ça comment? Je ne fais pas

de magie, là. Donc, on s'assure que, dans la réalisation d'un projet, la donnée, qui est la pâte autour de

laquelle on va tout... pour laquelle on crée tout le reste, bien, cette

donnée-là, elle va être disponible pour qui en a besoin, pour qui c'est nécessaire.

Ce n'est même pas «besoin», c'est pour qui c'est «nécessaire».

Puis je comprends les préoccupations de sécurité

de mon collègue, mais je continue à le dire, plus tard dans le projet de loi, on va définir les régimes de

protection supplémentaires, on va définir de quelle façon on doit entourer

cette donnée-là de la sécurité nécessaire tout en gardant cette

fluidité-là, dont il est d'accord avec moi, qui est tout aussi nécessaire. Ça fait que c'est pour ça que, de

dire : Je vais établir un périmètre en dehors duquel la donnée ne

circulera jamais, on n'atteint pas

l'objectif. Ce n'est pas la façon d'atteindre l'objectif. La façon d'atteindre

l'objectif, c'est de sécuriser la donnée elle-même parce

qu'éventuellement, dans l'écosystème auquel on faisait référence tout à l'heure,

on veut que cette donnée-là puisse circuler,

et on est capables, on est capables de faire ça. On est capables de dire :

Bon, bien, telle ou telle information a un régime de protection qui inclut ça, ça, ça, et qui exclut ça, ça,

ça. On est capables de faire ça. Puis je suis convaincu que le collègue...

Pour donner

un exemple un peu grossier, mais je

pense qu'il va illustrer mon propos,

l'information que possède le gouvernement, qu'on rend

accessible sur donneesquebec.ca, je

pense qu'il va être d'accord

avec moi pour dire : On ne mettra

pas un système de protection autour de ça, c'est de la donnée

publique. Alors, je vais à l'extrême volontairement, mais c'est

de l'information gouvernementale, à

toutes fins utiles, mais cette information-là n'a pas besoin d'un régime de protection particulier ou même

d'un régime de protection tout court, elle est publique, elle est à la

disposition de qui veut bien la consulter,

voire s'en servir pour développer des applications. Puis, si on va à l'autre

bout du spectre, bien, des informations ultrasensibles, données

financières du gouvernement du Québec, données budgétaires du gouvernement du

Québec, qui sont des informations ultrasensibles, évidemment, on ne peut

pas traiter ça de la même façon.

C'est clair

que, oui, tout ça, c'est sous le grand chapeau de la donnée gouvernementale,

mais je pense que c'est évident, à sa

face même, que le régime de protection dont on va entourer les données

financières du gouvernement du Québec versus les

statistiques sur les accidents de la route, on peut leur

donner la dénomination «informations gouvernementales», mais ce n'est pas la même nécessité de protection. Et donc on n'a pas créé

un périmètre autour de la donnée sans égard à la donnée, ce n'est pas la façon de la protéger, c'est la

donnée elle-même qu'il

faut protéger. Ce n'est pas une

espèce de mur de Chine qu'il faut bâtir, puis excusez l'image, là, je ne veux vous

prêter des propos que vous n'avez pas tenus, là, mais ce n'est pas... et c'est justement... puis il le disait lui-même

tout à l'heure, que de désanonymiser

des données, c'était possible. Alors, c'est ce genre de régime de protection là, de faux sentiment de sécurité qu'il

faut éviter. Il faut avoir des vraies mesures de protection mais là où

c'est nécessaire.

Et donc,

encore une fois, il faut se concentrer sur le niveau critique de la donnée et

la protéger de façon adéquate mais en fonction du niveau critique de la

donnée, et non pas créer une espèce de périmètre de sécurité autour de la

donnée gouvernementale sans égard à quelle

est cette donnée, à qui est-elle nécessaire, qu'est-ce qu'on doit faire avec,

qu'est-ce qu'on ne peut pas faire

avec, tu sais, on ne peut pas se dédouaner de se poser ces questions-là et

d'avoir une utilisation de la donnée

qui est correcte en fonction de son niveau critique. Et c'est ce qu'on fait

avec le projet de loi n° 14, c'est exactement ce qu'on fait avec le projet de loi n° 14, on

s'adresse à la donnée comme telle, à son niveau critique, à ce qu'on peut

faire, à qui est-elle nécessaire, à

qui ce n'est pas nécessaire, est-ce que ça nécessite des régimes de protection

particuliers, avoir une transparence aussi, qu'est-ce qu'on a fait avec

cette donnée-là, il faut être transparent, ça aussi, c'est un régime de

protection en soi quand tu déclares l'ensemble de ce qui a été fait avec la

donnée comme telle.

Donc,

l'article 3, je pense, dans sa forme actuelle, atteint l'objectif, qui est

de dire, et je sais que le collègue et moi, on partage cette vision-là,

de dire : La donnée doit être mobile, mais pour qui c'est nécessaire.

Le Président (M. Allaire) : Merci,

M. le ministre. Vous souhaitez intervenir, M. le député de La Pinière?

Allez-y.

Barrette : C'est parce que ce n'est pas ça qu'il dit,

l'article 3, puis on l'a établi. Quand j'ai posé la question, là, est-ce que... puis Me Bacon l'a confirmé, là, vous

êtes deux, là, à l'avoir confirmé, ça fait que c'est clair : Est-ce que ça

permet d'envoyer à une tierce

partie non

gouvernementale de la donnée? La réponse, c'est oui, c'est oui, point final. 3,

là, l'article 3, qu'est-ce qu'il

dit? Le ministre parle de nécessité, il parle de... ça, c'est une notion de

Commission d'accès à l'information,

de

loi sur l'accès à l'information. Quand il nous dit qui a droit de regarder

quoi, à l'intérieur du gouvernement, ce n'est pas de ça

que je parle, je ne parle pas de ça.

L'article 3, puis son projet de loi

ne sert pas à ça. Ça, c'est un débat interne de la refonte de la loi à

l'accès à l'information.

Est-ce qu'on peut croiser des données de Revenu

Québec avec la santé? Ça, c'est le grand dilemme, ça, c'est l'épouvantail à moineaux, ça, ce n'est pas réglé,

ça, c'est la loi à l'accès à l'information. Ce n'est pas de ça qu'on parle puis

ce n'est pas ça, la transformation

numérique. La transformation numérique, c'est, lorsque ça, ce sera revu, est-ce

que nos systématiques

électroniquement, là, informatiquement, vont pouvoir faire ça? La compagnie,

là, les organismes et personnes qui vont venir procéder au projet d'intérêt

gouvernemental, ils viennent regarder si c'est faisable et comment sont

construites les bases de données,

quels sont les protocoles, qu'est-ce qu'on doit mettre en place pour que ça se

fasse. Et l'article 3 dit : Si

c'est nécessaire pour l'organisme d'avoir accès à des données actuellement

auxquelles il n'a pas accès normalement, on va lui donner. En français, là, on va lui donner une base de données

type et assez grosse, ils vont faire leurs tests, ils vont l'avoir, là,

il y a le risque, ils vont revenir l'appliquer dans le système.

Le ministre

me parle du résultat souhaité par son action, moi, je lui parle de la façon de

se rendre là, un : Est-ce que des données peuvent aller à

l'extérieur par 3? Oui. Est-ce que c'est nécessaire pour une compagnie d'y

avoir accès? C'est marqué, là, si c'est

nécessaire, là, on va lui donner. Et, moi, je dis, compte tenu de ce qu'on voit

aujourd'hui, il y a un risque là, ne devrait-on pas le faire autrement?

Je ne parle pas de l'utilité de croiser une donnée avec une autre, je ne conteste pas ça. Je ne conteste pas la réflexion

qui doive être faite pour en arriver

à ça et de déterminer ce qu'il va y avoir à la fin. Je ne parle pas de

La compagnie,

ou la personne, ou l'organisme qui va venir travailler, là, qui va être

interpelé par l'appel d'offres

que le gouvernement va faire, à qui

la loi va lui dire : Je peux t'envoyer actuellement des données que

tu n'aurais pas le droit normalement, je dis : Il y a un problème, là. Je ne dis pas qu'il y a un problème

avec le fait que... Je ne parle pas d'une... Je n'ai pas parlé une seule seconde, sauf pour dire qu'il y a

des épouvantails, sur la question de la mobilité

des données à l'intérieur du

gouvernement. L'enjeu, ici, de 3, et c'est établi : des données peuvent

sortir à l'extérieur dans un environnement, un écosystème où,

actuellement, on sait qu'on peut dénominaliser.

Moi, je vois

un risque. Et, bien, je dirais, M. le Président, j'invite le ministre à arrêter

de me parler de ce qu'il veut faire comme résultante finale. On est

d'accord là-dessus. Aujourd'hui, l'article 3 permet-il de faire sortir du

périmètre gouvernemental des données en

quantité même significative? La réponse, c'est oui, ça peut sortir.

Significative? C'est oui aussi, parce

que la complexité du projet de transformation informationnelle d'intérêt

gouvernemental, bien, c'est parce que c'est

des grosses bases de données. Puis là il y a plein de bugs, il y a plein de ça,

il y a plein de cas de figure, puis il va falloir... Bon. Et là, c'est ça qui est le problème. Il est là, le

problème. Mon enjeu, à moi, c'est ça. Pas ce qui va se passer dans le

gouvernement après. On est d'accord.

Alors, je

recommence, puis je termine là-dessus pour ce moment-ci, pour le débat. Est-ce

que les données peuvent sortir à des

fins de réalisation du projet? La réponse, c'est oui. Confirmé par

Me Bacon. Est-ce que ça peut être des données en quantité significative? C'est évident que c'est

oui aussi, là. On ne va pas envoyer... On ne va pas faire sortir, là, une base

de données de 200 personnes pour voir

si ça fonctionne pour 8 millions, là. On sait très bien que ce n'est pas

comme ça que ça se passe. Il y a un

enjeu de circulation de la donnée. Et la question qui se pose à la fin :

Aujourd'hui, avec ce qu'on sait, là,

est-ce que c'est sage de faire ça ou est-ce que ça ne devrait pas se faire à

l'interne pour des raisons de protection de ces dites données?

Le Président (M. Allaire) : M.

le ministre, la parole est à vous.

Caire :

Bien, M. le Président, si on se fie aux exemples qui sont cités par le député

de La Pinière, les risques qui ont

été encourus par les entreprises désignées, c'est des risques à l'interne.

C'est des risques à l'interne. L'institution financière dont il parle, le risque, il était à l'interne.

Revenu Québec, le risque, il était à l'interne. Et c'est pour ça que je suis en

partie d'accord, mais la conclusion... C'est la conclusion du député de

La Pinière avec laquelle je ne suis pas en accord. Parce que sa conclusion, c'est de dire : Il faut éviter

à tout prix, il faut interdire qu'une donnée gouvernementale soit... circule

ailleurs que dans une instance

gouvernementale. Ça, c'est sa conclusion. Puis ce que j'essaie de lui dire,

c'est que la démonstration a été

faite, il me semble, en tout respect... Puis je ne veux pas conclure à des

enquêtes avant que les enquêteurs en arrivent à la conclusion, mais la

démonstration a quand même été faite que les fuites, elles étaient à l'interne.

Donc, ce n'est

pas une protection absolue, là. Il ne faut pas penser... C'est comme

l'anonymisation des données, là, il ne faut pas penser qu'on est dans une

protection absolue. On a anonymisé les données, donc on est protégé, tout va

bien. Non. Il le dit lui-même, on est

capable de faire la rétro-ingénierie de ça. Alors, ce n'est pas parce qu'on

dit : Bon, bien, je mets un mur

de Chine sur la donnée, elle ne sortira jamais du gouvernement, et nous sommes

en sécurité. Non. Ce n'est pas exact.

Et c'est là où

la notion de nécessité, puis j'ai l'impression que je l'irrite quand je dis ça,

mais, en même temps, la notion de

nécessité, elle est nécessaire. Excusez le pléonasme, là, mais pourquoi? Parce

que ceux... La question qu'il faut se

poser, c'est : Est-ce que seuls ceux qui doivent avoir accès à la donnée

ont accès à la donnée? Ça, c'est la question, je pense, qu'on doit se poser. Est-ce que la donnée est accessible aux

seules personnes pour qui c'est nécessaire? Puis ne pas se demander : Oui, mais est-ce que ce sont

des consultants, est-ce que ce sont des

OBNL, est-ce que ce sont des membres de

la fonction publique, est-ce que ce sont des membres des réseaux d'éducation

ou de la santé? Est-ce que ces personnes-là doivent

avoir accès à l'information, oui ou non? Est-ce que cette information-là doit être rendue disponible, elle doit être communiquée, oui ou non?

Alors, c'est la notion de nécessité, c'est ça qu'elle dit. Et plus tard, je le

répète, parce qu'on n'arrête pas la réflexion là, sur la protection des

données, mais là on parle de l'article 3, donc on ne refera pas... Comme j'ai dit, on ne va pas intégrer tout le projet de loi à l'intérieur d'un seul article, c'est pour ça qu'il y a

d'autres articles, c'est parce que,

oui, oui, il y a des mesures de protection additionnelles à mettre en place, oui, il y a d'autres questions à se poser, avec des répondes à donner, puis on va les trouver

ailleurs. Mais, dans un contexte où l'article 3, son objectif,

dans l'ensemble du projet de loi, c'est de dire : la transformation

numérique rend la mobilité de la

donnée nécessaire, c'est ce que l'article 3 dit, et le rend nécessaire — pour qui? Pour qui c'est nécessaire,

c'est ça qu'il dit, l'article 3 — donc,

toute la réflexion en périphérie du collègue... Puis je le comprends,

parce qu'il dit :

L'article 3 fait en sorte que je pourrais

communiquer de l'information à une entité externe du gouvernement. Oui, oui, mais est-ce que c'est nécessaire?

Parce qu'il faut se la poser, cette question-là,

puis on ne peut pas en arriver à la conclusion ultime qu'on ne veut pas se

poser la question : Est-ce qu'on

doit le faire? Non, on ne veut pas se poser cette question-là,

ce n'est pas du gouvernement, on ne se pose même pas la question :

C'est-u nécessaire? Non, on ne se pose pas la question. Il y a la notion de

nécessité, elle est extrêmement importante. Et, après ça, du moment où on

dit : Oui, c'est nécessaire, bien, est-ce qu'on le fait n'importe comment?

Bien non. Mais ça, ce n'est pas le rôle de l'article 3, de définir ça,

c'est les articles subséquents qui vont venir définir comment on communique l'information

à qui c'est nécessaire de le faire.

Le Président (M.

Allaire) : Vous avez terminé, M. le ministre.

Le Président (M. Allaire) :

Parfait. Merci. M. le député de La Pinière, la parole est à vous.

M. Barrette :

On va reprendre une énième fois, on va finir par se comprendre, on va finir par

se comprendre. Mais, pour se comprendre, je vais lire l'article : «Un

organisme public que peut désigner le gouvernement — bon, le gouvernement désigne, ça, c'est facile — à

toute personne ou à tout organisme les renseignements personnels qu'il détient

[...] lors [de] cette utilisation ou cette communication est nécessaire...»

On a établi, le ministre

l'a dit, que toute personne ou tout organisme, ça peut être du monde de

l'extérieur, une compagnie, des individus,

c'est établi. Et là ce n'est pas tout, là, il est nécessaire

à la réalisation d'un projet en ressources informationnelles

d'intérêt gouvernemental. Alors, on a établi que les données peuvent sortir et

aller chez un tiers puis si c'est nécessaire

pour la réalisation du projet. Le projet de transformation informationnelle vise à faire ce que le ministre nous

dit. Qu'est-ce qui va circuler d'une entité à l'autre dans le gouvernement, à quelles conditions, et ainsi de suite. On s'entend là-dessus, hein, on s'entend, là, que la transformation informationnelle, ce n'est pas simplement la fluidité des

informations mais aussi la détermination de ce qui va circuler. On s'entend

là-dessus puis on s'entend que cette autoroute-là de l'information

interne qui va circuler dans le gouvernement à telle ou telle condition, bien,

ça va exiger qu'on réécrive des lignes de code.

Ça va exiger ça. Alors, le projet de

loi, là, c'est un projet qui vise à

faire ça, faire circuler des données selon

des critères. O.K., ça, ça circule, ça, ça ne circule pas, à telle,

telle condition. Il faut réécrire des lignes de code, mais la compagnie, l'organisme, l'individu externe

avec qui on va faire affaire pour faire cette réalisation-là, les tests, le

déploiement, et ainsi de suite, va pouvoir recevoir des données pour

tester son affaire, si on peut le simplifier ainsi.

Alors,

mon argument, mon commentaire, ce n'est pas : ça va se promener d'un organisme

à l'autre à telle ou telle condition, on le sait, que c'est ça que ça

veut faire, puis on est d'accord. Mais celui qui va la faire, la transformation

informationnelle... transformation informationnelle, ça veut dire : Ce que

vous avez comme logiciel, là, bien, il faut mettre

ça à jour. Puis il y a une manière de le faire puis on ne sait pas trop comment — ça,

ce n'est pas grave — c'est

pour ça qu'on vous engage. Alors,

ceux qui vont être engagés pour faire ces projets-là, qui sont des projets

test, pilotes, à toutes fins utiles,

bien, eux autres, là, pour le faire, on autorise à ce que les données sortent. Alors,

c'est pour ça que je dis, là, depuis maintenant

presque une heure, on ne parle pas de la même affaire. Le ministre

répond tout le temps sur : Oui, mais il faut faire ça. Bien, oui, on est

d'accord. Le problème, c'est que, là, aujourd'hui, il y a des données pour le faire qui vont

sortir dans un écosystème qui a montré ses

failles jusqu'à récemment, et le

ministre l'a accepté, ce concept-là. Il a accepté le fait que, quand on sort, on augmente le risque.

Alors, il ne faut pas me dire : Le risque n'est jamais zéro. Je le sais,

je l'ai dit.

Alors,

pourquoi, à ce moment-là, ne serait-il pas plus prudent de faire ça à

l'interne? Le ministre a dit lui-même, lui-même,

que, oui, ces gens-là peuvent s'amener, on peut les amener dans notre périmètre

et le faire là. Pourquoi qu'on ne fait pas ça? Alors là, un article, et

c'est ça qui est le coeur de l'affaire, qui permet que ça sorte, et là, toutes

les règles de sécurité qu'on va voir plus

loin, là, ça va être des règles qui sont les règles standard, ça va être

dénomalisé, et ainsi de suite, et là

on sait que, là, on vit dans un environnement problématique. Je ne peux pas, je

pense, être plus clair que ça. Et il me

semble que le ministre, à ma question : Pourquoi qu'on ne le fait pas en

dedans? Il ne peut pas me répondre : Oui, mais on veut de la

mobilité, puis le député de La Pinière veut qu'on se sépare de... non. Ce

n'est pas ça du tout. Ce n'est pas ça du

tout. La finalité interne, on s'entend. La façon de le faire, le chemin,

autrement dit, là, entre le point a et le point b, on peut faire ce chemin-là dans le périmètre

gouvernemental.

L'article 3 nous permet de faire un détour vers

l'entreprise privée pour arriver au

même point b. Je ne débats pas du point b, je débats du détour. Et le ministre

est d'accord avec moi, là. La procureure le dit... c'est-u correct, ça,

procureure? Non, la...

M. Barrette :

La légiste, pardon, excusez-moi. Mme la légiste, Me Bacon l'a dit :

L'article 3 permet le détour à

l'extérieur. Alors, dans un environnement qu'on connaît aujourd'hui, ce n'est

pas le point b, là, le point a, on le connaît, c'est ce qu'on veut résoudre. Le point b, on sait à peu près ce qu'on

veut, on est d'accord, et là il y a un dilemme. On fait un détour à l'extérieur ou on ne le fait pas. 3 ne

permet qu'une chose, pas deux, pas trois, pas quatre, 3, c'est pour permettre

le détour à l'extérieur. On est-u heureux

avec ça? Moi, j'ai des inquiétudes. Je pense que mon collègue de René-Lévesque

a des inquiétudes. Je

pense même que mon collègue, muet pour le moment, de Québec solidaire est

d'accord avec ça. Il va finir par parler, là, je ne peux pas croire,

mais c'est là qu'on est.

Le Président (M.

Allaire) : Vous avez terminé votre intervention, M. le député?

Le Président (M.

Allaire) : M. le ministre, la parole est à vous.

Caire : M. le Président, là, je pense que c'est le député de

La Pinière qui ne comprend pas ce que j'essaie de lui expliquer, qui est la notion de nécessité. C'est

parce que le député de La Pinière nous dit : Est-ce que la loi ne

devrait pas en arriver à la conclusion qu'il n'est jamais nécessaire d'aller à

l'externe? Puis, dans le fond, c'est ça qu'il nous dit : Est-ce que la loi devrait faire en sorte d'interdire

qu'au nom de la non-circulation de la donnée, on aille à l'externe? Ce que je

lui réponds, c'est : Non. C'est la notion de nécessité. Alors, si cette

situation-là, hypothétiquement, se produit, ce que je dis au député de

La Pinière, c'est deux choses.

D'abord,

ce sera conditionné par la nécessité. Donc, il me dit : Mais pourquoi on

ne le fait pas à l'interne? Parce qu'il y aura nécessité de le faire à

l'externe. Pourquoi on ne le fera pas à l'interne? Écoutez, là, il faudrait

qu'on ait un cas précis, une

situation précise pour laquelle une décision a été prise en fonction de cette

situation-là précise, mais la loi laisse cette possibilité-là en précisant le

caractère de nécessité. Donc, pourquoi? Parce que ce sera nécessaire de le

faire de cette façon-là. Ça, c'est la réponse à sa question.

Maintenant,

si la nécessité commande qu'on fasse ça, puis ce que le reste du projet de loi

va prévoir, c'est qu'on ne le fasse

pas n'importe comment, c'est qu'on ne le fasse pas n'importe comment. Et donc,

que les mesures de protection qui seront

prises seront prises à la satisfaction, notamment, de la Commission d'accès à

l'information. Et je veux lui dire que le

régime juridique actuel, puis corrigez-vous si je me trompe, là, mais le régime

juridique actuel nous permet déjà de faire ça. Tu sais qu'on n'est pas

dans du droit nouveau, là, on ne vient pas d'inventer un concept.

Puis

je comprends ce que le député de La Pinière me dit : Oui, mais là, la

situation a changé. Est-ce que la situation a vraiment changé? On a des cas très clairs de failles de sécurité qui

commandent qu'on mette en place des mesures qui vont corriger ces failles-là.

Mais je répète à mon collègue que les failles principales viennent d'éléments

internes. Et donc, quand on pense

sécurité, oui, il faut se protéger contre les intrusions, mais il faut se

protéger contre les tirs amis aussi, parce que Desjardins, c'est ça;

Revenu, c'est ça. C'est des tirs amis.

Caire :

Oui, tirs amis.

Une voix :

Ah! des tirs amis.

Caire :

C'est... il y a un r.

M. Barrette :

Tirs... Cest-u un m qui est un n?

Caire :

Il y a un r, M. le député de La Pinière, qui est très important. Tirs

amis.

Caire :

Oui, c'est ça, il ne faut pas les confondre. Mais bref, oui, l'article 3,

il a raison, l'article 3 pourrait permettre

cette situation-là, mais ce que l'article 3 fait aussi, c'est de préciser

si c'est nécessaire, s'il y a une nécessité de le faire. Alors, évidemment, la

nécessité sera commandée par la situation qu'on vivra et si la conclusion,

c'est que c'est nécessaire de le

faire, puis je suis convaincu que le député de La Pinière dit : Bon,

bien, si nécessaire, si c'est nécessaire, faisons-le, bien les articles subséquents nous permettront de le faire

et de bien le faire, de le faire correctement, pas de faire ça n'importe

comment.

Mais,

tu sais, l'idée... Il faut rassurer nos concitoyens, là. L'objectif, ce n'est

pas de dire : On va prendre les données du gouvernement puis qu'on

va te garrocher ça à tout un chacun, au bon plaisir de... Tu sais, on n'est pas

caves à temps plein, là. On est très

préoccupés par la protection des données... à temps partiel... Non, mais j'ai

lu dans vos pensées, M. le député de La Pinière.

Caire :

Non, j'ai tout fait ça moi-même, c'est correct. Je me les sers moi-même avec

assez de verve.

Donc...

Mais tout ça pour dire qu'on est très conscients de l'enjeu, mais je réitère

que l'objectif du projet de loi, c'est

de procéder à la transformation numérique du gouvernement, le député de

La Pinière l'a répété à plusieurs reprises, donc on est en symbiose sur cet objectif-là. Et,

oui, il va arriver que des expertises vont nécessiter qu'on aille à l'externe.

Tu sais, donc, ça sera par nécessité que

nous le ferons, même si j'ai été très clair sur le fait que notre gouvernement

souhaitait internaliser, autant que

faire se peut, les expertises. J'ai parlé de nos objectifs avec l'Académie de

transformations numériques pour

permettre à notre monde d'aller chercher ces expertises-là, pour permettre

qu'on soit capables de faire le plus possible à l'interne mais à l'impossible,

nul n'est tenu, et on ne développera pas toutes les expertises dans tous les

champs de compétences que la transformation numérique nous offre.

donc, oui, oui, il y aura, possiblement... Je dis possiblement, possiblement,

je n'ai pas de scénario précis puis je n'ai pas de projet actuellement qui me

disent qu'on va faire ça mais il y a une possibilité. Cette possibilité-là, on

doit la garder. J'ai peut-être un point de vue différent avec le député de

La Pinière. Je ne pense pas que de fermer cette possibilité-là, de

dire : Rien ne devra aller à l'externe... Je pense que ce n'est pas une

bonne idée. Je pense qu'il faut garder cette possibilité-là. Il faut

l'encadrer, c'est ce qu'on fait à l'article 3, principalement en amenant

la notion de nécessité. Donc, déjà, je peux lui dire que, si ça se fait, c'est

parce que ça sera nécessaire, et je peux lui dire aussi que, si ça se fait,

bien, les autres articles du projet de loi vont nous permettre d'encadrer

ça et de revenir à mon propos initial, donc de sécuriser la donnée comme telle.

anonymiser la donnée, ce n'est pas nécessairement la meilleure mesure de

protection, il en existe d'autres : dans la transmission, il existe

d'autres moyens technologiques d'assurer la transmission de la donnée; dans la

lecture de la donnée, il y a des moyens technologiques qui existent pour

la rendre accessible à qui c'est nécessaire, et pas aux autres. Donc, il y a d'autres supports technologiques qui

sont plus performants qu'anonymiser les données. Et ça, là-dessus, bien,

on pourra avoir des discussions à point nommé.

Le Président (M.

Allaire) : Merci, M. le ministre. M. le député de La Pinière, la

parole est à vous.

M. Barrette :

Je pense qu'on a fait beaucoup de chemin ce matin. Alors, résumons. Parce que,

là, le dernier commentaire du ministre est très intéressant et important.

Barrette : Oui, mais c'est surtout pour l'admission que ça donne.

Alors, on a établi ce matin, là, que l'article 3 permet... Le ministre, là, a concédé, la légiste,

Madame... Me Bacon, l'a confirmé — excusez-moi, Me Bacon — l'a confirmé, l'article 3 permet

au gouvernement d'envoyer à l'extérieur de son périmètre des données

personnelles pour les fins de réalisation du

projet de transformation numérique qui va lui être... pas soumis, mais qu'il va

choisir. Ça, c'est clair. Le ministre a aussi convenu avec moi que le fait

d'aller à l'extérieur pouvait... devrait augmenter les risques, dans l'absolu.

Je n'ai pas dit que c'est un risque indu, mais, par définition, ça

augmente le risque, le ministre a été d'accord avec ça.

ministre, pour nous rassurer, dit que ce sera... ces données-là qui iront à

l'extérieur à une quelconque personne et/ou

organisme et/ou compagnie privée, ça devra se faire à certaines conditions. Une

de ces conditions-là, c'est que ça soit

nécessaire, et le ministre insiste beaucoup sur la nécessité comme étant un

gage de protection. Là, je ne suis pas d'accord avec ça, parce que ce que le ministre fait, M. le Président, ce n'est

pas compliqué, il choisit dans son projet de loi de permettre à des données de sortir du périmètre

gouvernemental, il choisit de ne pas le faire à l'interne. Pour me paraphraser,

là, me citer, entre le point a et le point b, il choisit la possibilité

de faire un détour à l'extérieur du gouvernement, et la nécessité à laquelle il fait référence, c'est la nécessité

que la compagnie, ou que le gouvernement, ou les deux ensemble verraient à ce

que des données soient transmises à

l'extérieur. Si le ministre n'avait pas choisi de faire un détour à l'extérieur

du gouvernement, il n'y en aurait

pas, de problème, ni risque. La nécessité n'est pas un gage de sécurité, la

nécessité est une limitation d'un risque accru dans l'absolu. Ce n'est pas un

gage de sécurité additionnel, c'est un gage de limitation de l'accroissement du

risque en allant à l'extérieur, dans l'environnement informatique que l'on

connaît aujourd'hui, et c'est à ce

choix-là que le gouvernement fait face, prendre le détour d'aller à l'extérieur

pour arriver à sa finalité, que l'on convient et avec laquelle on est

d'accord, plutôt que de rester à l'interne. C'est ça qui est l'enjeu

aujourd'hui, pas plus que ça.

Tout

le reste, bien, c'est un peu hors sujet.

L'article 3, c'est plate

peut-être pour le gouvernement, mais c'est ça qu'il dit, et c'est confirmé par Me Bacon. J'y vois encore

aujourd'hui un problème... Je vois qu'il ne me reste que quelques

secondes.

Le Président (M.

Allaire) : En terminant, M. le député. Merci.

Barrette : Alors, vous ne serez pas surpris, M. le Président, si nous

revenons sur ce sujet-là sous différents angles cet après-midi. Je vous

souhaite bon appétit.

Président (M. Allaire) : Alors, merci, tout le monde, pour votre belle

collaboration ce matin en ce retour de période estivale. Donc, les

échanges ont été fructueux et dans le respect de tout le monde.

Donc, compte tenu de

l'heure, la commission suspend les travaux jusqu'à 14 heures. Merci.

(Suspension de la séance à 13

heures)

Président (M. Allaire) :

Alors, à l'ordre, s'il

vous plaît! Merci, messieurs. La Commission des finances publiques reprend ses travaux. Je demande donc à tous et à

toutes de prendre le temps de fermer la sonnerie de vos appareils électroniques.

vous rappelle que la commission se réunit afin de poursuivre l'étude détaillée

du projet de loi n° 14, la Loi favorisant la

transformation numérique de l'administration publique.

Donc,

lors de la suspension de nos travaux ce midi, le débat portait sur l'article 3.

Juste en guise d'information, je vous

donne le temps restant. Donc, M. le

député de La Pinière, il vous reste 17 min 35 s, pour être très précis, la

députée de Saint-Henri—Sainte-Anne,

vous avez tout votre temps, et le député de René-Lévesque, il reste

75 minutes.

Alors, M. le député

de La Pinière, est-ce que vous êtes prêt à prendre la parole?

Le Président (M.

Allaire) : Oui, la députée de Saint-Henri—Sainte-Anne. Oui, allez-y, la

parole est à vous.

Anglade : Je vous remercie.

J'en profite, d'ailleurs, pour saluer tous mes collègues, que je n'avais

pas eu l'occasion de saluer avant, puis bon retour au travail à l'Assemblée

nationale.

Alors, M.

le Président, j'ai pu prendre part

aux échanges qui ont eu lieu avant. Les questions que j'ai par rapport à l'article 3 tournent autour du mot «nécessaire»,

besoin de comprendre comment est-ce qu'on définit la nécessité. Le ministre

nous a parlé... nous a dit : Bien, ça, c'est vraiment

le critère. À partir du moment où il

y a quelque chose qui devient

nécessaire, à ce moment-là, ça autorise la personne à pouvoir partager certaines informations. Comment est-ce que c'est défini?

Qui le définit? Est-ce qu'il a des exemples qu'il peut nous donner, qui nous permettraient...

qui permettraient d'illustrer ce qu'il souhaite faire avec l'article 3?

Le Président (M.

Allaire) : Merci, Mme la députée. Donc, la parole est à vous, M. le

ministre.

Caire : Bien, M. le Président, je pense que la notion de nécessité, là, c'est quelque chose qui est assez connu dans la

langue française, là. C'est : Je dois avoir cet accès-là pour être capable

de compléter mon mandat. Donc, la notion de nécessité, je pense que ça, c'est assez simple. Je n'ai pas

nécessairement d'exemple à lui donner, là, mais je pense que ça va se faire en fonction des projets qui

seront sur la table. Mais ce qu'on comprend, par exemple, c'est que, dans

le cas d'Accès UniQc, il est nécessaire

pour le MTESS, qui fait la réalisation,

d'avoir accès aux informations de la RAMQ parce que le

MTESS n'a pas une banque de données ou, en tout cas, la meilleure banque

de données pour réaliser ce projet-là, c'est

celle de la RAMQ. Donc, pour être capable de réaliser le projet, il y a

la nécessité d'avoir accès à ces informations-là. Donc,

si on prend un exemple plus concret, là, je pense que c'est le meilleur exemple

que je peux donner à ma collègue. Mais, quant à la notion de nécessité,

bien, c'est ce qui est requis pour la réalisation de la prestation de services,

là, c'est la meilleure définition que je pourrais lui donner en fonction de ce

qui m'apparaît être le sens commun, là.

Le Président

(M. Allaire) : Merci, M. le ministre. Mme la députée, la parole

est à vous.

Mme Anglade :

Oui, bien, je comprends ce que le député dit quand il dit : Le mot

«nécessaire», il est connu dans la langue française, il n'a pas besoin

d'explication. Je comprends très bien le mot «nécessaire».

que je cherche à comprendre, ici, c'est qui détermine la nécessité. À partir du

moment où il y a une personne qui dit :

Bien, moi, j'estime que c'est nécessaire... À combien de reprises dans des

projets, des projets pilotes, est-ce qu'on a des gens qui disent : Bien, ça, c'est nécessaire, puis il y en a

d'autres qui disent : Bien, pas vraiment, on n'a pas besoin d'aller là?

C'est quelque chose qui peut être assez aléatoire.

Est-ce qu'il a

l'intention d'encadrer ça minimalement ou de le laisser de manière aussi large?

Parce que le sens commun qu'on trouve dans

un dictionnaire, c'est bien beau, mais là on parle de données qui touchent les

individus, qui touchent les citoyens,

alors je pense que, justement, il y a ici, puisqu'on est dans le sens commun de

la chose, nécessité de préciser la pensée par rapport à ça. Donc, c'est

pour ça que je relance le ministre là-dessus.

Le Président

(M. Allaire) : M. le ministre.

Caire : Bien, évidemment, ce rôle-là va échoir à ceux qui

ont la responsabilité du projet, ceux qui ont la charge du projet.

Est-ce que je pense que c'est nécessaire d'aller plus dans le détail sur la

définition de ce qui est nécessaire? Non, je

pense que le sens commun dicte ce qui est nécessaire ou non. Je veux dire, on

sait si, oui ou non, une information doit être communiquée dans

l'optique de réaliser un projet.

réitère aussi à mes collègues que ce qui va être mis en place pour protéger la

donnée, on va le revoir plus loin. Donc,

tout ce qui s'appelle évaluation de risques, l'encadrement nécessaire, les

régimes de protection particuliers, ça, on va voir ça plus loin dans le

projet de loi. Je ne pense pas que, comme je le dis, l'article 3, puis

c'est ce que je disais au député de

La Pinière, et je me répète, l'article 3, l'objectif est de dire que,

dans une perspective de transformation numérique, la mobilité de la

donnée est essentielle. C'est ce que l'article 3 précise.

Tout

à l'heure, le député de La Pinière disait qu'il n'était pas d'accord avec

moi pour dire que la notion de nécessité amenait une protection supplémentaire. À mon tour de ne pas être

d'accord avec lui parce que, oui, je pense que, si, déjà, on restreint l'accès aux données aux seules

personnes pour qui c'est nécessaire, bien, déjà, on vient de réduire le cercle

de ceux qui vont avoir accès à la donnée. Maintenant, si c'était la

seule mesure de protection, je vous dirais que c'est insuffisant, clairement. Mais ce n'est pas la seule mesure, et donc la

protection, à proprement parler, des données, ça, c'est les articles

subséquents où on va vraiment traiter de cette question-là. (Interruption)

Excusez-moi, hein.

Le Président (M. Allaire) :

Vous avez terminé, M. le ministre?

Caire : Oui, oui, absolument.

Le Président

(M. Allaire) : Oui, ça va? Oui. La parole est à la députée de Saint-Henri—Sainte-Anne.

Mme Anglade : Oui. Bien, je vais revenir à la charge. Mais,

avant de revenir à la charge sur cet élément de nécessité, j'aimerais

juste revenir sur un propos qu'a tenu le ministre, et je voulais bien m'assurer

d'avoir compris ce qu'il disait.

Tout à l'heure, dans une réponse à mon collègue, il disait : Ça a été fait... la preuve a

été faite que ce n'est pas parce

c'est à l'intérieur d'un certain périmètre qu'il n'y a pas de fuites de données, on l'a vu à cause des exemples récents.

C'est ce que le ministre

disait. Et ceci semblait justifier que, parce que ça peut venir de

l'interne ou d'ailleurs, on peut se permettre d'élargir le périmètre.

J'aimerais mieux comprendre, saisir la pensée du ministre là-dessus, puis après

ça je vais revenir sur le point de la nécessité.

Caire : En fait, je dirais non, puis je suis content que ma

collègue me pose la question parce que ce n'était pas ça qui était le sens de

mon propos. Ce que je voulais dire, c'est que le fait de limiter l'accès aux

seules personnes à l'interne n'était

pas une garantie absolue de sécurité. On n'était pas en sécurité parce qu'on

limitait exclusivement à l'usage interne les données.

L'autre chose que je

disais, c'est que le projet de loi n° 14, on n'est pas dans du droit

nouveau. La loi d'accès à l'information prévoit déjà que des informations peuvent être communiquées à des entreprises

privées.

L'article 67.2 de la loi d'accès à l'information prévoit que ça peut se faire. Ça se fait déjà.

Donc, le projet de loi n° 14 n'amène rien de nouveau sur le fait de pouvoir communiquer de l'information à une entreprise autre qu'un organisme public ou un ministère, une entreprise privée, un consultant,

un OBNL. Ça, ça se fait déjà, c'est déjà prévu dans la loi d'accès à

l'information.

que le projet de loi n° 14 amène, c'est un encadrement qui est supérieur

dans cette pratique-là et dans d'autres pratiques. Dans le traitement de

l'information en général, on amène un encadrement qui est supérieur, notamment

par quelque chose qui, lui, est nouveau,

c'est-à-dire l'évaluation des risques. Ça, c'est nouveau. On doit, dans un

projet en ressources informationnelles d'intérêt gouvernemental, faire une

évaluation des risques quant à l'utilisation des données. Ça, c'est nouveau.

qui est nouveau aussi... (Interruption) Excusez-moi, collègues, hein?

(Interruption) Ça, c'est vraiment agaçant.

Une voix :

...prendre de l'eau.

Caire :

Oui, excusez-moi. (Interruption) Je suis désolé. Ce qui est nouveau aussi,

c'est qu'on devra... les responsables du

projet devront faire rapport de l'utilisation qu'ils ont faite des données. Ce

rapport-là devra être transmis à la

CAI et au président du Conseil du trésor, et le rapport en question devra être

rendu public sur le site du Conseil du trésor. Donc là, on amène une transparence qui n'existe pas actuellement, parce

que, oui, deux organismes peuvent prendre entente sur un échange de données avalisé par la Commission

d'accès à l'information, mais ça, il n'y a rien de tout ça qui est rendu

public, ni l'entente ni l'utilisation qui aurait été faite des données. Il n'y

a rien qui est public.

Alors

là, on amène quelque chose qui est nouveau, qui est un facteur, à mon avis, de

transparence, et la transparence souvent,

c'est un des éléments, pas le seul, mais c'est un des éléments qui assure la

protection des données parce que — je pense que la collègue va être

d'accord avec moi — quand

on agit à la lumière, souvent, on a des comportements plus acceptables que quand on agit dans l'ombre. Donc,

ces éléments-là sont nouveaux. Mais ce que je dis aux collègues, c'est que de permettre la communication de

renseignements de données... je ne les qualifierais pas parce que, tout à

l'heure, le député de La Pinière a dit : les renseignements

personnels, moi, je dis : des données dans le cadre de l'utilisation... c'est-à-dire de la réalisation d'un projet, ça, ce

n'est pas nouveau, c'est déjà prévu dans la loi d'accès à l'information. Ça se fait déjà. Souvent, ce qui va

arriver, c'est que l'organisme public

va prendre entente avec l'entreprise privée, et c'est cette entente-là

qui fait foi des paramètres d'utilisation. Ça non plus, ce n'est pas

nécessairement rendu public.

Donc,

je pense qu'on amène des éléments de transparence, et de reddition de comptes,

et d'évaluation des risques qui, oui,

sont nouveaux et qui vont amener un encadrement de protection supérieur, mais,

je le dis et je le répète, le fait que

l'entreprise privée ou un tiers puisse utiliser des données dans le cadre de

réalisation d'un projet, ça, ce n'est pas nouveau.

Président (M. Allaire) : Merci, M. le ministre. La parole est à vous,

Mme la députée de Saint-Henri—Sainte-Anne.

Mme Anglade :

Deux questions. La première, quand le ministre fait référence aux notions de

transparence additionnelle qui sont amenées,

il fait référence aux éléments additionnels qui sont présentés dans le projet

de loi où on dit : Il va falloir

déposer, faire rapport, etc., c'est à ça que vous faites référence, quand vous

parlez de la transparence additionnelle, qui va venir plus tard dans le

projet de loi?

Caire :

Oui, c'est ça.

Mme Anglade :

O.K. Bien, on pourra en discuter...

Caire :

Mais rapport à transmettre à la Commission d'accès à l'information. Donc, il y

a toujours le regard approbateur de la CAI sur ces éléments-là qui sont

rajoutés.

Mme Anglade :

O.K. Donc, on pourra en discuter au moment venu, quand on regardera ces items-là.

Je veux encore revenir... C'est correct. Non,

mais c'est bien correct. Je veux encore revenir, une dernière fois, à la charge sur la notion de nécessité. Est-ce

que, d'un point de vue législatif, puis je suis sûre qu'il y a des personnes

qui sont bien outillées dans le

domaine pour répondre à cette question-là, est-ce qu'il y a moyen d'encadrer

davantage la notion de nécessité à l'intérieur d'un projet de loi, dans

d'autres...

Caire : Bien, je

vais laisser Me Bacon répondre.

Mme Anglade : Oui, avec plaisir.

Caire : Mais c'est

déjà fait, là, Me Bacon me signalait que c'était déjà fait pour la Commission

d'accès à l'information. Mais je vais lui laisser compléter cette réponse-là.

Le Président (M. Allaire) : La parole

est à vous, Me Caron... Me Bacon, pardon.

Mme Bacon (Nathalie) : Bonjour, M.

le Président. Oui, la loi, c'est... le critère, en fait, le critère de

nécessité est enchâssé à la

loi sur l'accès.

Alors, c'est vieux comme le monde. Je ne suis pas une juriste spécialiste en

accès, par contre. J'ai accédé au

site Internet de la CAI, là, pendant que vous parliez, puis on disait qu'en ce

qui concerne la nécessité on doit

prouver qu'il y a une fin légitime,

importante, réelle et urgente. Alors, on ne transmet pas un paquet de

renseignements s'il n'y a pas d'utilité, là, une nécessité.

Le Président (M. Allaire) : Oui,

allez-y, Mme la députée.

Anglade : Alors, je vais

demander : Pouvez-vous répéter exactement ce que vous venez de dire? Une fin

légitime, importante et urgente...

Caire : Urgente et

réelle.

Anglade : Urgente et réelle.

Donc, il y a la notion... Ça, c'est défini... Où est-ce que

c'est défini dans cette loi-là?

Mme Bacon (Nathalie) : C'est

une référence de la Commission d'accès à l'information sur son site lorsqu'elle

explique c'est quoi, les critères de nécessité. Je peux vous donner la

référence.

Mme Anglade :

D'accord. Est-ce qu'il y a matière... Est-ce que ce critère-là, quand on

l'utilise... quand on fait ce projet de loi là ne devrait pas être

simplement ajouté? Parce que ce que vous venez de décrire m'apparaît fort

pertinent lorsque l'on parle de... Tu sais,

il y a urgence d'intervenir, premièrement. C'est important, c'est urgent.

Est-ce qu'il n'y a pas matière à ce moment-là, effectivement, de le

préciser dans le projet de loi?

Mme Bacon

(Nathalie) : On ne le

précise pas. La

loi sur l'accès utilise le critère de nécessité. Et le mot

«nécessité», c'est la commission d'accès qui est venue mettre les

balises sur la nécessité.

Mme Anglade :

Donc, on n'a aucunement besoin, selon vous, de l'ajouter. En fait, toutes les

discussions qu'il y a eu sur la nécessité jusqu'à présent, je pense que

ce que vous venez de préciser, là, vient quand même encadrer davantage. Donc,

quand je faisais référence à l'encadrement, c'est à ça que je faisais

référence. D'où la question que j'ai. Je peux comprendre

qu'un thème soit vieux comme le monde, mais, vous savez, on a des lois qui sont

vieilles comme le monde puis parfois elles méritent d'être revisitées.

Mme Bacon

(Nathalie) : Est-ce que

vous aimeriez que je vous lise le passage du site de la commission

d'accès, peut-être, pour plus vous alimenter?

Mme Anglade : Si vous le

souhaitez.

Mme Bacon (Nathalie) : Ça

dit : «Le critère de nécessité est un principe fondamental — donc,

un principe fondamental, pas toujou