Commission d’accès à l’information du Québec Dossier : 1014305-S Nom des organismes : Ville de Montréal Et Société de l’assurance automobile du Québec Date : 24 septembre 2019 Membre : M e Lina Desbiens DÉCISION ENQUÊTE en vertu de la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels 1 . CONTEXTE [1] La Commission d’accès à l’information (la Commission) a procédé à une enquête de sa propre initiative après avoir été informée 2 que la Cour municipale de Montréal avait, par erreur, lancé un mandat à l’égard d’une personne dont le nom s’apparentait à celui d’un contrevenant pour lequel elle avait vérifié les renseignements d’identité dans la banque de données de la Société de l’assurance automobile du Québec (SAAQ). [2] La SAAQ et la Ville de Montréal (la Ville) ont fourni leur version des faits, l’Entente administrative de communication de renseignements entre la SAAQ et la Ville de Montréal, signée le 19 juillet 2006, le Protocole technique applicable lors de la communication des renseignements personnels, les Règles relatives à la protection des renseignements personnels, les engagements à la confidentialité signés par les employés de la Ville, le Code de conduite des employés de la Ville et la Directive sur l’utilisation des appareils et des services technologiques (C-RM-STI-D-18-003). 1 RLRQ, c. A-2.1, Loi sur l’accès. 2 Dans le cadre de l’émission « La Facture » diffusée à Radio-Canada.
1014305-S Page 2 [3] L’enquête a porté sur l’application de l’entente de communication par la SAAQ et la Ville et sur l’utilisation des renseignements, par la Cour municipale, des demandes de renseignements à partir d’informations parcellaires. Elle a porté plus particulièrement sur le respect des dispositions de la Loi sur l’accès concernant la communication de renseignements nécessaires à l’application d’une loi au Québec, la mise en œuvre de mesures de sécurité adéquates pour assurer la protection des renseignements personnels et l’obligation de détenir des renseignements personnels à jour et exacts 3 . [4] Au terme de son enquête, la Commission a avisé les organismes qu’à la lumière de l’ensemble des informations dont elle dispose, elle pourrait notamment rendre les ordonnances et faire les recommandations suivantes : • Ordonner à la SAAQ de cesser de communiquer à la Ville, en vertu de l’entente de communication signée en juillet 2006, des renseignements personnels qui ne sont pas nécessaires à l’application du Code de la sécurité routière 4 ou du Code de procédure pénale 5 . [5] Ordonner à la Ville de : • Cesser de demander à la SAAQ, en vertu de l’entente de communication signée en juillet 2006, des renseignements personnels qui ne sont pas nécessaires à l’application du Code de la sécurité routière ou du Code de procédure pénale; • Cesser d’utiliser des renseignements inexacts dans les cas où ils ne correspondent pas à ceux du contrevenant pour lequel la recherche est effectuée dans les systèmes de la SAAQ; • Sensibiliser et former ses employés à l’utilisation des systèmes de la SAAQ, en collaboration avec cette dernière, sur les risques inhérents à l’erreur d’identification d’une personne; [6] Recommander à la SAAQ et à la Ville de : • Réviser l’entente de communication afin de préciser les fins pour lesquelles le renseignement est communiqué, la nature du renseignement communiqué, le mode de communication utilisé et les mesures de sécurité propres à assurer la protection du renseignement personnel; 3 Articles 59 al.1 (8), 67 et 63.1 de la Loi sur l’accès. 4 RLRQ, c. C-24.1. 5 RLRQ, c. C-25.1.
1014305-S Page 3 • Informer la Commission des incidents relatifs à la communication et l’utilisation des renseignements personnels dans le cadre de l’entente les liant et le suivi qu’ils en font. [7] À la suite de cet avis d’intention, la SAAQ et la Ville ont transmis leurs observations à la Commission. De plus, la SAAQ a fourni les explications relatives au cas d’espèce ayant donné lieu à l’enquête et déposé le procédurier de traitement des incohérences. [8] À la lumière de l’ensemble des informations obtenues dans le cadre de son enquête, des observations des organismes et particulièrement des explications additionnelles fournies par la Ville, la Commission conclut qu’il n’y a pas lieu de rendre les ordonnances mentionnées dans son avis d’intention, mais maintient ses recommandations. ANALYSE [9] La présente enquête porte sur le respect des dispositions de la Loi sur l’accès concernant la communication de renseignements nécessaires à l’application d’une loi au Québec, la mise en œuvre de mesures de sécurité adéquates pour assurer la protection des renseignements personnels et l’obligation de détenir des renseignements personnels à jour et exacts. Renseignements nécessaires à l’application d’une loi au Québec [10] En principe, un organisme public ne peut communiquer un renseignement personnel sans le consentement des personnes concernées. Toutefois, la Loi sur l’accès prévoit qu’une telle communication est possible sans le consentement de ces personnes, dans certains cas et particulièrement si la communication est nécessaire à l’application d’une loi au Québec : 59. Un organisme public ne peut communiquer un renseignement personnel sans le consentement de la personne concernée. Toutefois, il peut communiquer un tel renseignement sans le consentement de cette personne, dans les cas et aux strictes conditions qui suivent: […] 8° à une personne ou à un organisme, conformément aux articles 61, 66, 67, 67.1, 67.2, 68 et 68.1; […]
1014305-S Page 4 67. Un organisme public peut, sans le consentement de la personne concernée, communiquer un renseignement personnel à toute personne ou organisme si cette communication est nécessaire à l’application d’une loi au Québec, que cette communication soit ou non prévue expressément par la loi. [11] En l’espèce, les organismes sont parties à une entente de communication de renseignements personnels sans le consentement de la personne visée et nécessaire à l’application du Code de la sécurité routière et du Code de procédure pénale. [12] Cette entente prévoit d’une part, la communication de renseignements à la SAAQ par la Ville, et d’autre part, la communication de renseignements à la Ville par la SAAQ. L’enquête a porté sur ce dernier volet de l’entente, dont la clause 2.1 prévoit notamment : 2. 1 La Société communique à l’Organisme municipal : les renseignements nécessaires à la poursuite et au traitement de tous dossiers criminels et de tous constats d’infraction relevant de la juridiction de l’Organisme municipal, afin que ce dernier puisse retracer la personne poursuivie ou le contrevenant. Les renseignements ainsi susceptibles d’être communiqués sont énumérés à l’annexe 1; [...] [13] L’entente de communication permet à la SAAQ de communiquer des renseignements nécessaires à l’application d’une loi au Québec. En l’occurrence, il s’agit du Code de la sécurité routière ou du Code de procédure pénale. La communication est nécessaire à l’identification adéquate d’un individu recherché. [14] La Ville a démontré que le cas d’espèce ayant donné lieu à l’enquête est un évènement isolé, imputable à l’erreur d’un membre du personnel et ne constitue pas une dérogation concertée ou récurrente à l’entente. Bien que la Ville ignore la nature exacte du dossier du contrevenant qui a été à l’origine de la méprise, ce dernier avait fait l’objet d’un constat d’infraction répondant à l’application de l’entente de communication qui couvre tous les cas d’émission de constats d’infraction. Avec ces informations additionnelles, il appert que la communication était nécessaire à l’application d’une loi au Québec. [15] Dans ce contexte, une ordonnance visant à obliger la SAAQ de cesser de communiquer à la Ville des renseignements personnels qui ne sont pas nécessaires, et la Ville de ne plus les demander, n’est pas requise. De plus, la Commission prend en compte le faible risque qu’une situation comme celle ayant
1014305-S Page 5 mené à l’enquête ne se reproduise. En effet, il s’agit d’une requête sur 40 millions depuis 2002 et la Ville traite annuellement environ 1,8 million de constats d’infractions provenant de 15 municipalités desservies par elle. Mesures de sécurité pour assurer la protection des renseignements personnels [16] Les organismes publics doivent prendre les mesures de sécurité visant à assurer la protection des renseignements personnels collectés, utilisés, communiqués. En effet, l’article 63.1 de la Loi sur l’accès prévoit : 63.1. Un organisme public doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits et qui sont raisonnable compte tenu, notamment, de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support. [17] Il ressort de l’enquête que depuis la signature des ententes, la SAAQ a sensibilisé la Ville aux limites de l’utilisation du système d’échange de renseignements. Dès 2011, la SAAQ a mis en place un programme de contrôle de conformité quant à l’utilisation de ses bases de données. En 2016, elle a fait un rappel à l’attention de tous les utilisateurs du service via le site SAAQclic EED. Le rappel porte notamment sur l’importance de vérifier le nom et prénom retourné à la suite d’une requête d’identification à partir d’informations parcellaires, afin de s’assurer qu’il correspond bien à la personne poursuivie ou au contrevenant que l’on cherche à trouver. [18] De plus, la SAAQ exige qu’un engagement à la confidentialité soit signé par le personnel ayant des accès à ses registres, dont les employés de la Ville. [19] Dans le cadre du suivi de l’enquête, la SAAQ a informé la Commission qu’en 2016 et 2017, elle avait apporté des améliorations à ses systèmes quant aux demandes de renseignements afin de raffiner le traitement de ces demandes et de réduire les risques d’erreur. [20] Ainsi, lors de recherche et d’identification par nom, prénom et date de naissance lorsque l’information fournie est parcellaire, l’ensemble des informations du dossier trouvé est communiqué afin que le demandeur s’assure de l’exactitude de l’information reçue et que ces informations correspondent à celle de la personne poursuivie ou du contrevenant recherché. Le cas échéant, il est aussi mentionné qu’aucun dossier ne correspond à la demande.
1014305-S Page 6 [21] La Commission constate que la SAAQ a mis en place des mesures de sécurité permettant le contrôle de conformité quant à l’utilisation de ses bases de données et de réduire les risques d’erreurs. De plus, elle a mis en place des mécanismes permettant d’assurer et de sensibiliser ses employés et ses partenaires à la protection des renseignements personnels. [22] Les modifications et améliorations apportées aux systèmes ainsi que la sensibilisation effectuée en continu lui permettent un contrôle adéquat des données qu’elle communique à la Ville. [23] Pour sa part, la Ville exige que chaque employé signe un engagement à la confidentialité. Ces derniers sont également soumis à un code de conduite qui prévoit des règles en matière de confidentialité et de protection des renseignements personnels. Le respect de ce code est sous la responsabilité du Bureau de l’inspecteur général et du Bureau du contrôleur général. [24] De plus, la Ville ajoute qu’en vertu des directives en vigueur, une information qui ne concerne pas le dossier d’un défendeur de la Cour municipale n’est pas conservée et, par conséquent, n’est pas utilisée par le personnel, [25] D’ailleurs, la SAAQ et la Ville travaillent en partenariat afin de mettre en place les mesures nécessaires pour assurer la protection des renseignements personnels communiqués. [26] Finalement, la Ville entend maintenir cette collaboration et s’engage à maintenir et parfaire la formation de son personnel sur les risques inhérents à l’erreur d’identification d’une personne. Renseignements personnels à jour et exacts [27] Les organismes publics doivent s’assurer que les renseignements qu’ils détiennent ou utilisent sont à jour, exacts et complets pour servir aux fins pour lesquelles ils sont utilisés : 72. Un organisme public doit veiller à ce que les renseignements personnels qu’il conserve soient à jour, exacts et complets pour servir aux fins pour lesquelles ils sont recueillis ou utilisés. [28] Dans le cas en l’espèce soumis à la Commission, les renseignements communiqués ne correspondaient pas aux renseignements demandés. Ils ont toutefois été utilisés par la Ville, sans autres vérifications, pour lancer un mandat à l’égard d’une autre personne que le contrevenant recherché.
1014305-S Page 7 [29] Considérant les observations supplémentaires fournies par la Ville, la Commission conclut que la Ville est responsable des erreurs imputables à ses employés. Cependant, elle a démontré que cette pratique n’est pas acceptée ni tolérée par la Ville. [30] Par conséquent, la Ville respecte cette obligation, notamment par sa directive prévoyant que si l’information transmise par la SAAQ en visualisation ne concorde pas avec le dossier de la cour, elle n’est pas acceptée ni conservée. Recommandations [31] Dans ses observations, la SAAQ s’est déclarée à l’aise avec d’éventuelles ordonnances qui viseraient à revoir les ententes avec la Ville, ainsi qu’à informer la Commission des incidents qui seront portés à sa connaissance. La Ville s’est également déclarée d’accord avec une éventuelle ordonnance qui établirait l’obligation de rapporter à la Commission les incidents de cette nature et les mesures prises pour les contrer. Toutefois, elle considère que les obligations en vertu de l’entente intervenue avec la SAAQ sont sans équivoque et ne prêtent pas à interprétation. [32] À cet égard, il ressort de l’enquête que l’entente intervenue entre les organismes et prévoyant des balises lors de la communication de renseignements personnels a été signée en 2006. Cette entente est bonifiée par un protocole de 2014 et de règles qui précisent les détails de son application. [33] La Commission est d’avis qu’il est justifié de réviser l’entente intervenue entre les organismes signée en 2006. En effet, cette entente ayant été rédigée il y a 13 ans mérite d’être révisée, à tout le moins pour s’assurer qu’elle reflète bien la finalité poursuivie lors de sa signature. POUR CES MOTIFS, LA COMMISSION : [34] DÉCLARE la plainte fondée en partie, en ce qui a trait à la modification du nom d’un contrevenant sans autorisation.
1014305-S Page 8 [35] RECOMMANDE à la SAAQ et la Ville de Montréal de : • Réviser l’entente de communication afin de préciser les fins pour lesquelles le renseignement est communiqué, la nature du renseignement communiqué, le mode de communication utilisé et les mesures de sécurité propres à assurer la protection du renseignement personnel et d’en informer la Commission; • Informer la Commission des incidents relatifs à la communication et l’utilisation des renseignements personnels dans le cadre de l’entente les liant et le suivi qu’ils en font. « Original signé » M e Lina Desbiens Membre de la Commission, section de surveillance VILLE DE MONTRÉAL – DIRECTION DES AFFAIRES JURIDIQUES (M e Marie-France Bissonnette) Procureurs de la Ville de Montréal GAUTHIER, JACQUES & DUSSAULT (M e Nathalie Jacques) Procureurs de la Société de l’assurance automobile du Québec
Vous allez être redirigé vers la version la plus récente de la loi, qui peut ne pas être la version considérée au moment où le jugement a été rendu.