Québec Bureau 2.36 525, boulevard René-Lévesque Est Québec (Québec) G1R 5S9 Téléphone : 418 528-7741 Télécopieur : 418 529-3102
Montréal Bureau 900 2045, rue Stanley Ouest Montréal (Québec) H3A 2V4 Téléphone : 514 873-4196 Télécopieur : 514 844-6170
Sans frais : 1 888 528-7741 | cai.communications@cai.gouv.qc.ca | www.cai.gouv.qc.ca
AVIS DE LA COMMISSION D’ACCÈS À L’INFORMATION CONCERNANT L’ENTENTE DE COMMUNICATION DE RENSEIGNEMENTS PERSONNELS SELON L’ARTICLE 68 DE LA LOI SUR L’ACCÈS
ENTRE AUTORITÉ RÉGIONALE DE TRANSPORT MÉTROPOLITAIN ET RÉSEAU DE TRANSPORT MÉTROPOLITAIN ET SOCIÉTÉ DE TRANSPORT DE MONTRÉAL
DOSSIER : 1030156-S
JANVIER 2023
Dossier 1030156-S
1. CONTEXTE Conformément à l’article 70 de la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels 1 , le Réseau de transport métropolitain (RTM) a présenté, pour avis à la Commission d’accès à l’information (la Commission), un projet d’entente de communication de renseignements personnels intitulé : « Entente de communication de renseignements personnels selon l’article 68 de la Loi sur l’accès, entre l’Autorité régionale de transport métropolitain, le Réseau de transport métropolitain et la Société de transport de Montréal (Entente).
Dans le cadre de la présente demande d’avis, il a été porté à l’attention de la Commission que depuis plusieurs années, la Société de transport de Montréal (STM) retenait les services d’une entreprise pour gérer ses abonnements annuels à la carte OPUS 2 . Or, en novembre 2021 cette entreprise a informé la STM qu’elle mettrait fin à ce service. Dès lors, dans le but d’éviter une interruption de la gestion des abonnements annuels OPUS à la STM, l’Autorité régionale de transport métropolitain (ARTM) a délégué au RTM 3 , la gestion de ces abonnements annuels (OPUS/STM). Il appert que le RTM possède les ressources et l’infrastructure technologique pour ce faire, ceci dû au fait que cet organisme gère déjà ses propres abonnements annuels 4 en tant que gestionnaire délégué de l’ARTM.
Il est à noter pour les fins de cet avis qu’en vertu de sa loi constitutive, l’ARTM est l’organisme responsable de la gestion des abonnements annuels OPUS pour la grande région métropolitaine de Montréal.
Comme mentionné à son article 1.1, ce projet d’entente a pour but de permettre la communication de renseignements personnels entre les parties signataires de l’Entente. Cette entente permettra au RTM de gérer l’ensemble des abonnements OPUS pour toute la grande région métropolitaine de Montréal, et ce, comme prévu par la Lettre de délégation [de l’ARTM] en faveur du Réseau de transport métropolitain pour les abonnements OPUS à l’année et OPUS & Cie 5 . Soulignons également qu’en vertu de l’article 6 de la Loi sur le Réseau de transport métropolitain 6 , le RTM doit exécuter tout mandat que l’ARTM lui confie 7 .
1 RLRQ, c. A-2.1; ci-après, la Loi sur l’accès. 2 La carte OPUS est une carte à puce sur laquelle il est possible pour une personne de charger ses titres de transport en commun. 3 Aussi désigné comme exo. 4 Société de transport de Longueuil et Société de transport de Laval. 5 Annexe A de l’Entente. 6 RLRQ, c. R-25.01. 7 11 e « Attendu ». Page 2
Dossier 1030156-S
Considérant ce qui précède, le projet d’entente soumis à la Commission pour avis présente les conditions et les modalités selon lesquelles les organismes publics signataires à l’Entente procéderont à la communication de renseignements personnels qu’ils détiennent sans le consentement des personnes concernées. Les renseignements personnels contenus dans l’Entente ont été jugés nécessaires pour la gestion des abonnements d’usagers de transport en commun de la région métropolitaine de Montréal.
Ainsi, après l’analyse du projet d’entente soumis pour avis, et de l’information fournie par le RTM à sa direction de la Surveillance, la Commission émet un avis favorable à l’Entente, puisque les conditions prévues à l’article 70 de la Loi sur l’accès sont satisfaites.
2. ANALYSE Le projet d’entente présenté à la Commission repose sur la Loi sur l’accès, la Loi sur l’Autorité régionale de transport métropolitain (LARTM) 8 , la Loi sur le Réseau de transport métropolitain (LRTM) et la Loi sur les sociétés de transport en commun (LSTC) 9 .
Les dispositions pertinentes de la Loi sur l’accès relatives à ce projet d’entente sont reproduites en annexe du présent avis.
Dans le cadre de son analyse, et conformément à l’article 70 de la Loi sur l’accès, la Commission doit prendre en considération :
La conformité du projet d’entente aux conditions visées à l’article 68 de la Loi sur l’accès;
L’impact de la communication des renseignements sur la vie privée de la personne concernée, le cas échéant, par rapport à la nécessité du renseignement pour l’organisme ou la personne qui en reçoit communication.
La conformité du projet d’entente aux conditions visées à l’article 68 de la Loi sur l’accès
En principe, un organisme public ne peut communiquer un renseignement personnel sans le consentement des personnes concernées. Toutefois, l’article 68 de la Loi sur l’accès prévoit qu’une telle communication est possible.
8 RLRQ, c. A-33.3. 9 RLRQ, c. S-30.01.
Page 3
Dossier 1030156-S
En effet, cet article prévoit les conditions d’ouverture à la communication de renseignements personnels sans le consentement de la personne concernée et ce que l’Entente doit contenir.
Communication nécessaire Selon le premier paragraphe du premier alinéa de l’article 68 de la Loi sur l’accès, la communication :
doit être nécessaire à l’exercice des attributions de l’organisme receveur; ou à la mise en œuvre d’un programme dont cet organisme a la gestion. En l’espèce, la communication des renseignements personnels est nécessaire aux attributions de l’organisme receveur qu’est le RTM. Comme mentionné au 17 e « Attendu » du projet d’entente, les parties ont statué que les renseignements personnels visés par l’Entente sont nécessaires à l’exercice des attributions confiées ou à la mise en œuvre d’un programme dont ils ont la gestion en vertu de la LARTM, la LRTM et la LSTC.
Contenu de l’Entente La Commission constate que le projet d’entente contient les éléments prévus aux paragraphes 1° à 7° du deuxième alinéa de l’article 68 de la loi. Elle souligne les éléments suivants :
Identification des organismes : Conformément au paragraphe 1° du deuxième alinéa de l’article 68 de la Loi sur l’accès, une entente doit identifier l’organisme public qui communique le renseignement personnel et la personne ou l’organisme qui le reçoit.
La clause 3.1 du projet d’entente prévoit que la STM communique au RTM les renseignements personnels prévus à l’Entente pour permettre à cet organisme de gérer les abonnements OPUS de la STM.
Finalité de la communication : Conformément au paragraphe 2°du deuxième alinéa de l’article 68 de la Loi sur l’accès, une entente doit indiquer les fins pour lesquelles un renseignement est communiqué.
La clause 1.1 du projet d’entente, les dix-neuf « Attendu » contenus dans le préambule et l’annexe B présentent la finalité de la communication des renseignements personnels qui sera réalisée en vertu de l’Entente.
Page 4
Dossier 1030156-S
Nature des renseignements : Conformément au paragraphe 3° du deuxième alinéa de l’article 68 de la Loi sur l’accès, une entente doit indiquer la nature des renseignements communiqués.
La clause A de l’annexe B du projet d’entente, intitulée « Renseignements personnels communiqués entre la STM et le RTM », énumère les renseignements personnels d’environ 27 000 abonnés de la STM qui seront communiqués lors d’une première migration, laquelle devant se réaliser avant le 30 avril 2023. Une fois cette migration terminée, les renseignements personnels des abonnés énumérés à la clause C) 10 de l’annexe B seront communiqués régulièrement dans le cadre de l’Entente qui sera en vigueur.
Mode de communication utilisé : Conformément au paragraphe 4° du deuxième alinéa de l’article 68 de la Loi sur l’accès, une entente doit indiquer le mode de communication utilisé pour communiquer les renseignements à l’organisme receveur.
La clause 4.1 du projet d’entente mentionne que les renseignements seront communiqués par des moyens sécurisés, dont les modalités sont exposées à l’annexe C. Sur ce point, la Commission prend note que les renseignements personnels seront chiffrés lorsqu’en transit et effacés de manière irrécupérable une fois logés sur les systèmes de l’organisme receveur.
Mesures de sécurité : Conformément au paragraphe 5° du deuxième alinéa de l’article 68 de la Loi sur l’accès, une entente doit indiquer les mesures de sécurité propres à assurer la protection du renseignement personnel.
Conformément à la clause 4.2 du projet d’entente, les parties reconnaissent le caractère confidentiel et sensible des renseignements personnels visés par l’Entente. À ce titre, ils s’engagent à mettre en œuvre les mesures énoncées aux sections 5 et 6 du projet d’entente, ainsi que celles contenues à l’annexe C.
Périodicité de la communication : Conformément au paragraphe 6° du deuxième alinéa de l’article 68 de la Loi sur l’accès, une entente doit indiquer la périodicité des communications de renseignements.
La fréquence des communications des renseignements personnels sera réalisée conformément aux clauses B et D de l’annexe B. La clause B porte sur la fréquence et les modalités de communication pour la première migration et la
10 Échanges et partages réguliers de renseignements personnels après la migration de données. Page 5
Dossier 1030156-S
clause D sur la fréquence et les modalités de transmission des renseignements personnels après cette migration.
Durée de l’entente : Conformément au paragraphe 7° du deuxième alinéa de l’article 68 de la Loi sur l’accès, une entente doit indiquer sa durée.
La clause 13.1 du projet d’entente prévoit que l’Entente est d’une durée indéterminée, mais conformément à la clause 13.2 elle sera reconduite tacitement d’une année civile à l’autre. Des dispositions sont prévues en cas de modification, de suspension ou de résiliation de l’Entente.
L’impact de la communication des renseignements sur la vie privée des personnes concernées
Après avoir vérifié la conformité du projet d’entente aux conditions visées par l’article 68, la Commission doit prendre en considération l’impact de la communication des renseignements personnels sur la vie privée des personnes concernées par rapport à la nécessité des renseignements pour l’organisme qui en reçoit communication, et ce, conformément à l’article 70 de la Loi sur l’accès.
À la lumière des éléments dont elle a pris connaissance, la Commission est d’avis que l’impact sur la vie privée des personnes est réduit de façon significative, considérant que :
les renseignements personnels communiqués sont limités à ceux prévus au projet d’entente;
la nécessité de recevoir communication des renseignements personnels a été démontrée par le RTM;
les renseignements communiqués ne serviront qu’aux fins de l’Entente; des mesures sont prévues au projet d’entente pour assurer la confidentialité et la sécurité des renseignements personnels communiqués;
les parties reconnaissent le caractère confidentiel des renseignements visés par le projet d’entente, et des mesures de sécurité sont prévues pour en assurer la protection;
le projet d’entente énonce les principes régissant la conservation et la destruction des renseignements personnels communiqués (clause 7.1 et annexe C);
Page 6
Dossier 1030156-S
le projet d’entente contient des dispositions pour informer les personnes concernées de la communication de leurs renseignements personnels (Sections 10 -Avis aux usagers et 11-Diffusion de l’Entente).
3. CONCLUSION Compte tenu de ce qui précède, la Commission émet un avis favorable, sous réserve de la réception d’une entente approuvée et signée par les représentants des organismes concernés, dont le contenu sera substantiellement conforme au projet d’entente reçu par sa direction de la Surveillance le 28 novembre 2022.
p. j. Annexe - Dispositions législatives relatives au présent projet d’entente.
Page 7
Annexe Dispositions législatives relatives à l’Entente de communication de renseignements personnels selon l’article 68 de la Loi sur l’accès
Dispositions législatives spécifiques Loi sur l’Autorité régionale de transport métropolitain Loi sur le Réseau de transport métropolitain Loi sur les sociétés de transport en commun
Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels
67.3. Un organisme public doit inscrire dans un registre toute communication de renseignements personnels visée aux articles 66, 67, 67.1, 67.2, 68 et 68.1, à l’exception de la communication d’un renseignement personnel requis par une personne ou un organisme pour imputer, au compte d’un membre d’un organisme public, de son conseil d’administration ou de son personnel, un montant dont la loi oblige la retenue ou le versement.
Un organisme public doit aussi inscrire dans ce registre une entente de collecte de renseignements personnels visée au troisième alinéa de l’article 64, de même que l’utilisation de renseignements personnels à d’autres fins que celles pour lesquelles ils ont été recueillis visées aux paragraphes 1° à 3° du deuxième alinéa de l’article 65.1.
Dans le cas d’une communication d’un renseignement personnel visée au premier alinéa, le registre comprend:
1° la nature ou le type de renseignement communiqué; 2° la personne ou l’organisme qui reçoit cette communication; 3° la fin pour laquelle ce renseignement est communiqué et l’indication, le cas échéant, qu’il s’agit d’une communication visée à l’article 70.1;
4° la raison justifiant cette communication. Dans le cas d’une entente de collecte de renseignements personnels, le registre comprend:
1° le nom de l’organisme pour lequel les renseignements sont recueillis; 2° l’identification du programme ou de l’attribution pour lequel les renseignements sont nécessaires;
3° la nature ou le type de la prestation de service ou de la mission; 4° la nature ou le type de renseignements recueillis; 5° la fin pour laquelle ces renseignements sont recueillis;
6° la catégorie de personnes, au sein de l’organisme qui recueille les renseignements et au sein de l’organisme receveur, qui a accès aux renseignements.
Dans le cas d’utilisation d’un renseignement personnel à une autre fin que celle pour laquelle il a été recueilli, le registre comprend:
1° la mention du paragraphe du deuxième alinéa de l’article 65.1 permettant l’utilisation;
2° dans le cas visé au paragraphe 3° du deuxième alinéa de l’article 65.1, la disposition de la loi qui rend nécessaire l’utilisation du renseignement;
3° la catégorie de personnes qui a accès au renseignement aux fins de l’utilisation indiquée.
68. Un organisme public peut, sans le consentement de la personne concernée, communiquer un renseignement personnel:
1° à un organisme public ou à un organisme d’un autre gouvernement lorsque cette communication est nécessaire à l’exercice des attributions de l’organisme receveur ou à la mise en œuvre d’un programme dont cet organisme a la gestion;
1.1° à un organisme public ou à un organisme d’un autre gouvernement lorsque la communication est manifestement au bénéfice de la personne concernée;
2° à une personne ou à un organisme lorsque des circonstances exceptionnelles le justifient;
3° à une personne ou à un organisme si cette communication est nécessaire dans le cadre de la prestation d’un service à rendre à la personne concernée par un organisme public, notamment aux fins de l’identification de cette personne.
Cette communication s’effectue dans le cadre d’une entente écrite qui indique: 1° l’identification de l’organisme public qui communique le renseignement et celle de la personne ou de l’organisme qui le recueille;
2° les fins pour lesquelles le renseignement est communiqué; 3° la nature du renseignement communiqué; 4° le mode de communication utilisé; 5° les mesures de sécurité propres à assurer la protection du renseignement personnel;
6° la périodicité de la communication; 7° la durée de l’entente. 70. Une entente visée à l’article 68 ou au deuxième alinéa de l’article 68.1 doit être soumise à la Commission pour avis.
La Commission doit prendre en considération: 1° la conformité de l’entente aux conditions visées à l’article 68 ou à l’article 68.1;
2° l’impact de la communication du renseignement sur la vie privée de la personne concernée, le cas échéant, par rapport à la nécessité du renseignement pour l’organisme ou la personne qui en reçoit communication.
La Commission doit rendre un avis motivé dans un délai d’au plus 60 jours de la réception de la demande d’avis accompagnée de l’entente. Si la demande est modifiée pendant ce délai, celui-ci court à compter de la dernière demande. Si le traitement de la demande d’avis dans ce délai ne lui paraît pas possible sans nuire au déroulement normal des activités de la Commission, le président peut, avant l’expiration de ce délai, le prolonger d’une période n’excédant pas 20 jours. Il doit alors en donner avis aux parties à l’entente dans le délai de 60 jours.
L’entente entre en vigueur sur avis favorable de la Commission ou à toute date ultérieure prévue à l’entente. La Commission doit rendre publics cette entente ainsi que son avis. À défaut d’avis dans le délai prévu, les parties à l’entente sont autorisées à procéder à son exécution.
En cas d’avis défavorable de la Commission, le gouvernement peut, sur demande, approuver cette entente et fixer les conditions applicables. Avant d’approuver l’entente, le gouvernement publie à la Gazette officielle du Québec l’entente et, le cas échéant, les conditions qu’il entend fixer avec un avis qu’il pourra approuver l’entente à l’expiration d’un délai de 30 jours de cette publication et que tout intéressé peut, durant ce délai, transmettre des commentaires à la personne qui y est désignée. L’entente entre en vigueur le jour de son approbation ou à toute date ultérieure fixée par le gouvernement ou prévue à l’entente.
L’entente visée au cinquième alinéa ainsi que l’avis de la Commission et l’approbation du gouvernement sont déposés à l’Assemblée nationale dans les 30 jours de cette approbation si l’Assemblée est en session ou, si elle ne siège pas, dans les 30 jours de la reprise de ses travaux. Le gouvernement peut révoquer en tout temps une entente visée au cinquième alinéa.