Journal des débats de la Commission des institutions
Version préliminaire
42e législature, 1re session
(27 novembre 2018 au 13 octobre 2021)
Cette version du Journal des débats est une version préliminaire : elle peut donc contenir des erreurs. La version définitive du Journal, en texte continu avec table des matières, est publiée dans un délai moyen de 2 ans suivant la date de la séance.
Pour en savoir plus sur le Journal des débats et ses différentes versions
Le
mardi 22 septembre 2020
-
Vol. 45 N° 93
Consultations particulières et auditions publiques sur le projet de loi n° 64, Loi modernisant des dispositions législatives en matière de protection des renseignements personnels
Aller directement au contenu du Journal des débats
15 h (version non révisée)
(Quinze heures vingt-huit minutes)
Le Président (M.
Bachand) : À l'ordre, s'il vous plaît! Bon après-midi. Ayant
constaté le quorum, je déclare la séance de la Commission des institutions
ouverte. Je vous rappelle... je vous souhaite la bienvenue encore une fois et
je vous rappelle bien sûr de bien vouloir éteindre la sonnerie de vos appareils
électroniques.
La commission est réunie afin de procéder
aux auditions publiques dans le cadre des consultations particulières sur le projet
de loi n° 64, Loi modernisant des dispositions législatives
en matière de protection des renseignements personnels.
Avant de débuter, Mme la secrétaire, y
a-t-il des remplacements?
La Secrétaire
: Oui, M.
le Président. M. LeBel (Rimouski) sera remplacé par M. Nadeau-Dubois
(Gouin)... pardon, par monsieur... pardon, M. LeBel (Rimouski) par M. Ouellet
(René-Lévesque); et M. Fontecilla (Laurier-Dorion) par M. Nadeau-Dubois
(Gouin). Pardon.
Le Président (M.
Bachand) : Merci. Là, j'ai une petite question sur la question
des votes par procuration. Est-ce qu'on a... oui, la liste? Oui.
Le Secrétaire
: Oui, M.
le Président. Pour les votes... les droits par vote par procuration,
M. Lévesque (Chapleau) pourra voter pour M. Lafrenière (Vachon), pour
M. Martel (Nicolet-Bécancour), pour M. Lemieux (Saint-Jean); et
M. Tanguay (LaFontaine) pourra voter pour M. Birnbaum (D'Arcy-McGee)
et Mme Ménard (Laporte).
Le Président (M.
Bachand) :Merci beaucoup. Avant de
débuter les présentations d'Élections Québec et par Me Éloïse Gratton,
nous allons précédé... procédé, pardon, par les remarques préliminaires. Alors,
j'invite maintenant le ministre de la Justice et ministre responsable de
l'Accès à l'information et de la Protection des renseignements personnels à
faire ses remarques préliminaires. M. le ministre, vous disposez de
5 min 34 s. Bienvenue.
M. Jolin-Barrette : Merci, M. le
Président, un plaisir de vous retrouver. J'étais heureux enfin de revenir au
Parlement. Salutations à Mme la secrétaire, heureux de vous retrouver. M. le
Président, je suis accompagné de Me Martin-Philippe Côté, secrétaire
associé au Secrétariat à l'accès à l'information et à la réforme des
institutions démocratiques, ainsi que de Me Miville-Deschênes qui nous accompagnera
lors des travaux du Secrétariat à l'accès à l'information. Je tiens à souligner
également la présence Mme la députée des Plaines, de M. le député de Chapleau,
de saluer mon collègue le député de Lafontaine, ma collègue également de
Notre-Dame-de-Grâce et du député de Gouin, présents ici.
• (15 h 30) •
Alors, M. le Président, il me fait plaisir
d'entamer aujourd'hui les consultations particulières...
15 h 30 (version non révisée)
M. Jolin-Barrette : ...accès à
l'information. Je tiens à souligner également la présence de Mme la députée de
Les Plaines, de M. le député de Chapleau... de saluer mon collègue le député de
Lafontaine, ma collègue également de Notre-Dame-de-Grâce... et du député de
Gouin, présents ici.
Alors, M. le Président, il me fait
plaisir d'entamer aujourd'hui les consultations particulières sur le projet de
loi n° 64, Loi modernisant des
dispositions législatives en matière de protection des renseignements
personnels. Il s'agit d'une étape importante au cours de laquelle nous
aurons l'occasion d'entendre plusieurs organismes, groupes et experts avec
divers points de vue sur les différentes mesures contenues dans le projet de
loi. En tant que nouveau ministre responsable de l'accès à l'information et de
la protection des renseignements personnels, j'aborde cette étape législative
en mode écoute, et c'est dans un esprit d'ouverture que je vais prendre
connaissance des suggestions et des commentaires pouvant bonifier cette pièce
législative. Cette consultation représente une opportunité unique d'échanger
sur les règles dont le Québec doit se doter pour renforcer la protection des
renseignements personnels de ses citoyens, une rare occasion de moderniser les
deux principales lois qui encadrent la gestion par les organismes publics et
les entreprises des renseignements personnels des Québécois et des Québécoises,
soit la Loi sur l'accès aux documents des organismes publics et sur la
protection des renseignements personnels et la Loi sur la protection des
renseignements personnels dans le secteur privé.
La protection des renseignements
personnels est encore plus importante aujourd'hui avec les innombrables
avancées technologiques et compte tenu aussi des fuites de renseignements
personnels qui compromettent la vie privée des citoyens et citoyennes du
Québec. Ces lois n'ont pas fait l'objet de réforme d'envergure depuis leur
adoption et sont devenues, de l'avis d'une majorité d'experts, désuètes et
inadéquates. L'objectif du projet de loi n°64 est de définir un
encadrement moderne, évolutif et équilibré. Il introduit également un
encadrement strict pour les partis politiques provinciaux à l'égard des
renseignements personnels et des électrices et des électeurs.
Ce projet de loi
tient compte de plusieurs recommandations émises par la Commission d'accès à
l'information dans ses rapports quinquennaux. Il s'inspire également d'un des
régimes juridiques les plus protecteurs à l'égard des renseignements
personnels, soit le Règlement général sur la protection des données de l'Union
européenne. Ce projet de loi a aussi été rédigé dans l'optique d'assurer une
cohérence avec les règles prévues à la législation fédérale. À ce sujet, il
importe de souligner que la réforme proposée par le projet de loi n° 64
est la plus ambitieuse des révisions d'une loi sur la protection des
renseignements personnels au Canada.
De ce fait, M. le
Président, il est certain que les obligations et les droits qu'il prévoit se
distinguent de ceux des autres lois canadiennes. Cette distinction ne
représente pas un fardeau supplémentaire pour le Québec, mais plutôt une avancée en matière de protection des renseignements personnels en
responsabilisant les organismes publics et les entreprises. Nous
estimons que ce projet de loi servira
de phare pour les autres juridictions
canadiennes et contribuera à élever la protection des
renseignements personnels des citoyennes et des citoyens pour
l'ensemble du pays.
Même si l'ensemble
des acteurs s'entendent sur la nécessité de procéder à une révision en
profondeur des lois sur la protection des renseignements
personnels, lesquelles ont été adoptées bien avant les
nombreux développements technologiques qui meublent notre quotidien, tous ne s'entendent pas
nécessairement sur les modifications à y apporter. Je souligne que c'est
dans un souci d'équilibre, avec une volonté ferme de rehausser la protection et
le contrôle des personnes sur leurs renseignements personnels et aussi avec une
sensibilité à l'égard du fardeau que pourrait faire peser...
M. Jolin-Barrette : ... développements
technologiques qui meublent notre quotidien, tous ne s'entendent pas
nécessairement sur les modifications à y apporter. Je souligne que c'est dans
un souci d'équilibre, avec une volonté ferme de rehausser la protection et le
contrôle des personnes sur leurs renseignements personnels et aussi avec une
sensibilité à l'égard du fardeau que pourraient faire peser sur les
organisations les nouvelles obligations, que nous conduirons la suite des
travaux.
En terminant, M. le Président, je tiens à
remercier à l'avance les divers intervenants qui participeront à cette
consultation. En bénéficiant de vos commentaires avisés ainsi que de votre
expertise, nous pourrons adopter un projet de loi qui assurera un juste
équilibre entre la protection des renseignements personnels des Québécoises et
des Québécois et la capacité des entreprises et des organisations publiques à
bénéficier des développements technologiques pour améliorer notre qualité de
vie, l'efficience de leurs opérations et assurer leur compétitivité face aux
acteurs internationaux, M. le Président. Alors, je vous remercie.
Le Président (M.
Bachand) : Merci beaucoup, M. le ministre. J'invite maintenant
le porte-parole de l'opposition en matière de justice et en matière d'accès à
l'information, le député de LaFontaine, pour 3 min 43 s. M. le
député, s'il vous plaît.
M. Tanguay
: Oui. Merci
beaucoup, M. le Président. D'abord vous saluer, vous remercier de présider nos
travaux, heureux de vous retrouver; saluer le ministre également, avec les
collègues qui l'accompagnent, et les femmes et les hommes qui l'accompagnent
également de son cabinet et du ministère; saluer mon collègue de la deuxième
opposition, député de Gouin, et prendre le temps tout particulièrement, M. le
Président, de saluer ma collègue de Notre-Dame-de-Grâce, avec laquelle
personnellement j'adore travailler, une députée qui a été sous la 41e
législative, notons cela au passage, ministre responsable de l'Accès à
l'information et ministre responsable de la Réforme des institutions
démocratiques, et je sais que la collègue de Notre-Dame-de-Grâce a eu à jouer
avec ces concepts-là, accès à l'information, protection des renseignements, et
aussi était présente lorsqu'est venue toute l'interaction de la protection, et
de la quantité, et de la qualité, la nature des informations que les partis
politiques ont à l'intérieur de leurs... des données, des bases de données, et
nous allons entendre tout à l'heure le Directeur général des élections, nous
aurons donc l'occasion de lui poser des questions. Alors, j'aimerais saluer et
remercier la collègue de Notre-Dame-de-Grâce d'être présente; la collègue de
Saint-Laurent également, M. le Président, je tiens à la saluer, qui aura
l'occasion aussi de s'inscrire dans le débat, notamment, notamment, bien
évidemment, lorsque nous serons à la phase d'article par article.
J'ai 3 min 44 s. Projet de
loi important. On aura l'occasion d'échanger sur le fond des choses, M. le
Président. Mais, comme parlementaire, vous allez me permettre ici, à ce stade-ci,
de dire un élément, puis je veux le dire de façon respectueuse, mais mon
message se veut être très clair, et... qu'il ne saurait souffrir d'aucune
ambiguïté. Comme parlementaire, M. le Président, moi, quand j'entends un
organisme comme la Commission des droits de la personne et des droits de la
jeunesse se désister le 15 septembre dernier pour, et je le cite, «compte tenu
des délais trop courts pour produire notre mémoire sur ce projet de
loi» — fin de la citation; quand le Barreau du Québec se désiste le
lendemain en disant, et je le cite, «compte tenu du délai très
serré» — fin de la citation; et que, finalement, hier, la Protectrice
du citoyen nous a écrit ce qui suit : «Au moment où cette invitation a été
reçue, l'analyse du projet de loi n'était pas complétée» — fin de la
citation — et qui ne participe pas à nos travaux, alors, M. le
Président...
M. Tanguay
: ...Barreau
du Québec se désiste le lendemain, en disant, je le cite, «compte tenu des
délais très serrés», fin de la citation. Et que finalement, hier, la
Protectrice du citoyen nous a écrit ce qui suit : «Au moment où cette
invitation a été reçue, l'analyse du projet de loi n'était pas complétée.» Fin
de la citation. Et qui ne participe pas à nos travaux.
Alors, M. le Président, lorsque l'on voit
qu'à cause des délais, à cause du calendrier on n'aura pas la Protectrice du
citoyen, on n'aura pas le Barreau du Québec, on n'aura pas la Commission des
droits de la personne et des droits de la jeunesse... moi, comme député, je
pense que c'est le forum approprié, puis je le fais dans mon droit, en
respectant la dignité et les droits des autres parlementaires... moi, je trouve
ça déplorable, je le déplore. Le mot n'est pas trop fort, le mot est
particulièrement ajusté. Premier élément.
Deuxième élément, M. le Président, trois
plages sont toujours libres, sont toujours disponibles dans l'horaire suite à
des désistements. Bien, il y a huit organismes qui ont levé la main, huit
organismes pour lesquels nous avons appuyé la demande d'être entendus,
notamment l'Association canadienne des compagnies d'assurances de personnes,
l'Institut généalogique Drouin, l'Association pour la santé publique du Québec,
Consortium pour l'accès aux données en santé du Québec, Commissaire à la santé
et au bien-être, association canadienne du marketing, Conseil canadien du
commerce de détail et L'Orange bleue, affaires publiques inc..
Quand ces organismes-là lèvent la main, et
disent «on veut participer», puis qu'on dit non, et qu'on va laisser les
plages libres, M. le Président, comme parlementaire, moi, je ne trouve pas
qu'on est efficaces, je ne trouve pas que, comme Assemblée nationale, on est
dignes du travail important de réflexion et d'aller chercher... Et je trouve
qu'en étant compressés comme ça je pense qu'il faut le déplorer. Et je le fais
en tout respect, mais c'est un message important. On va quand même faire le
travail, mais dans des conditions qui sont loin d'être optimales et que je
déplore.
Merci, M. le Président.
Le Président (M.
Bachand) :Merci, M. le député. Je passe
maintenant la parole au député... le porte-parole du deuxième groupe
d'opposition, le député de Gouin. M. le député de Gouin, pour 56 secondes.
M. Nadeau-Dubois : Bon, très
rapidement, bonjour, d'abord, M. le Président, bonjour à tous et toutes. Je
veux également... Je veux reprendre l'esprit de la dernière intervention du
député de l'opposition officielle. Il est question ici d'un projet de loi
fondamental pour le respect des... ce qu'on pourrait appeler les droits et libertés
numériques des Québécois et des Québécoises. On a une institution au Québec qui
s'occupe de protéger les droits et libertés de nos concitoyens. C'est la
commission des droits de la personne et de la protection de la jeunesse du
Québec. Ils ne seront pas là à cause des délais de convocation. C'est un
problème. Même chose pour le Barreau du Québec. C'est un problème. Ils auraient
dû, ces groupes, participer à nos auditions. Ils ne seront pas là. Ça va rendre
cet exercice moins instructif qu'il aurait dû l'être.
Ceci étant dit, on va travailler très
fort, du côté de Québec solidaire, sur ce projet de loi parce que... Dire que
c'est important, ce serait ici un euphémisme, là. La question de la protection
des données personnelles, c'est un des enjeux politiques qui va être
déterminant pour les prochaines décennies. Tous les gouvernements dans le monde
sont en train de faire, d'une manière ou d'une autre, l'exercice qu'on fera
avec ce projet de loi là. Il est absolument essentiel qu'on aille au fond des choses
puis qu'on adopte un projet de loi qui protège le plus possible les Québécois
puis les Québécoises, qui protège leurs données personnelles, mais qui les
protège aussi dans leur droit à la vie privée puis leur droit à ce que leurs
données personnelles ne...
M. Nadeau-Dubois : ...ou
d'une autre l'exercice qu'on fera avec ce projet de loi là, il est absolument
essentiel qu'on aille au fond des choses puis qu'on adopte un projet de loi qui
protège le plus possible les Québécois puis les Québécoises, qui protège leurs
données personnelles, mais qui les protège aussi dans leur droit à la vie
privée puis leur droit à ce que leurs données personnelles ne soient pas
exploitées par des organisations qui ont fait, on le sait, de l'exploitation de
ces données personnelles leur modèle d'affaires. Ça nous inquiète. Et on va
avoir beaucoup de questions sur ce sujet-là.
Le Président (M.
Bachand) :Merci beaucoup, M. le député. M.
le député de René-Lévesque, s'il vous plaît, pour 56 secondes.
• (15 h 40) •
M. Ouellet : Oui. Merci
beaucoup, M. le Président. Donc, à mon tour de saluer les membres de la commission.
Et j'aimerais saluer aussi la présence du nouveau ministre à l'Accès à l'information.
J'ai l'impression qu'on sera, les quatre belligérants ensemble, ce nouveau
quatuor, que nous avions déjà formé avant la pandémie. Et donc on a déjà
travaillé ensemble. J'espère qu'on aura la même approche pour les prochaines...
les prochains jours, les prochaines semaines. Évidemment, c'est un projet de loi
qui est hyper important, qu'il est attendu. Ça fait plus de 20 ans qu'on
n'a pas modernisé plusieurs lois qui touchent l'accès à l'information. Donc,
les citoyens et citoyennes du Québec nous regardent et nous observent. On doit
faire un travail correct, mais surtout adéquat, considérant que ça a touché beaucoup
de Québécois et de Québécoises, la fuite de donnée. Plusieurs personnes ont
vécu des préjudices et en vivent encore. Donc, j'invite l'ensemble de mes
collègues à travailler pour améliorer ce projet de loi là. Merci, M. le
Président.
Le Président (M.
Bachand) : Merci beaucoup. Nous allons maintenant commencer nos
auditions. Alors, on souhaite la bienvenue aux représentants d'Élections
Québec. Alors, vous connaissez bien le processus. Alors donc, je vous le
rappelle. Vous avez 10 minutes de présentation. Et après ça on aura un
échange avec les membres. Donc, je vous invite à débuter, d'abord à vous
présenter et présenter aussi la personne qui vous accompagne. M. Reid,
s'il vous plaît.
M. Reid
(Pierre) : Oui, bonjour. Pierre Reid, Directeur général des
élections du Québec. Je suis accompagné de Mme Catherine Lagacé qui est
secrétaire générale et responsable de l'accès aux documents et de la protection
des renseignements personnels à Élections Québec.
M. le Président, mesdames messieurs les
membres de la commission, je tiens d'abord à vous remercier de votre invitation
à prendre part aux travaux des consultations particulières sur le projet de loi
n° 64. Le projet de loi n° 64 propose d'assujettir les entités
politiques autorisées à certaines dispositions de la Loi sur la protection des
renseignements personnels dans le secteur privé. Le Québec deviendrait ainsi la
deuxième province, après la Colombie-Britannique, à se doter d'un régime
d'encadrement législatif en matière de protection de la vie privée qui
s'applique aux partis politiques.
Depuis 2013, Élections Québec recommande
de réviser en profondeur les différentes lois électorales en matière de
protection des renseignements personnels des électeurs. En 2019, nous avons
déposé une étude à l'Assemblée nationale afin de fournir un éclairage sur ces
enjeux. Cette étude contient neuf recommandations, dont l'une est d'assujettir les
partis politiques provinciaux et municipaux à un encadrement législatif en
matière de protection des renseignements personnels.
Je vous invite à prendre connaissance du
mémoire que j'ai déposé devant cette commission, qui détaille mon analyse du
projet de loi n° 64 et qui inclut certaines recommandations. Ce projet de
loi propose d'obliger les partis politiques provinciaux à mettre en place des
mesures de gouvernance pour assurer la protection des renseignements personnels
qu'ils détiennent. Je dois dire que les mesures proposées répondent à plusieurs
de nos recommandations...
M. Reid (Pierre) :
...mon analyse du projet de loi n° 64 et qui inclut
certaines recommandations.
Ce projet de loi propose d'obliger les
partis politiques provinciaux à mettre en place des mesures de gouvernance pour
assurer la protection des renseignements personnels qu'ils détiennent. Je dois
dire que les mesures proposées répondent à plusieurs de nos recommandations.
Dans sa forme actuelle, le projet de loi
ne vise que les partis politiques provinciaux. Or, les partis politiques municipaux
qui ont eux aussi accès aux données des listes électorales et qui en font une
utilisation similaire ne sont pas visés par le projet de loi n° 64.
Je suis donc d'avis que les obligations devraient être les mêmes pour les
partis politiques de tous les paliers électifs.
Par ailleurs, tous les renseignements
personnels détenus par un parti politique devraient, à mon avis, être protégés par
la Loi sur la protection des renseignements personnels dans le secteur privé. Au
lieu de cela, le projet de loi n° 64 crée un régime
d'exception pour les partis politiques. Il prévoit des obligations
particulières et certaines exclusions qui seraient inscrites dans la Loi
électorale. Les renseignements personnels détenus par les partis politiques
seraient donc sujets à des mesures de protection différentes de celles qui
s'appliqueraient aux entreprises privées.
La Loi sur la protection des
renseignements personnels dans le secteur privé est un régime d'encadrement
général qui s'applique à toute personne qui exploite une entreprise au Québec,
peu importe sa taille, la nature des activités ou la catégorie de renseignements
personnels qu'elle détient. En Colombie-Britannique, les partis politiques sont
soumis à toutes les règles de la Loi encadrant la protection des renseignements
personnels détenus par les organisations privées. Il en est de même au
Royaume-Uni et dans les pays membres de l'Union européenne, où les partis
politiques ne bénéficient d'aucun régime d'encadrement particulier.
L'encadrement proposé serait limité aux
renseignements personnels des électrices et des électeurs, alors que les partis
politiques détiennent également des renseignements sensibles sur leurs
candidates, leurs candidats, leurs membres, leurs donateurs. Les partis
politiques recueillent des renseignements sur leurs militants, leurs bénévoles
et leurs employés. Il ne s'agit donc pas seulement de renseignements portant
sur des électeurs puisque certaines de ces personnes peuvent avoir moins de
18 ans et ne pas être de citoyenneté canadienne.
Le projet de loi n° 64
exclut aussi les partis politiques de certaines dispositions de la Loi sur la
protection des renseignements personnels dans le secteur privé, notamment les
dispositions qui visent à informer les électrices et les électeurs, les raisons
précises qui justifient la collecte de leurs renseignements personnels ou à
leur permettre de contrôler l'utilisation qui en sera faite. Les renseignements
personnels recueillis et utilisés par les partis politiques devraient
simplement s'inscrire à l'intérieur de la large catégorie des renseignements
nécessaires à des fins électorales ou de financement politique, une catégorie
qui recouvre plusieurs finalités.
Par exemple, des renseignements sur une
personne ayant appuyé une candidature pourraient-ils être utilisés
ultérieurement pour alimenter une base de données électorales dans laquelle
cette personne serait une sympathisante politique? Est-ce qu'il serait
nécessaire pour un parti politique d'obtenir un consentement supplémentaire de
cette personne? Et quelle serait la forme du consentement qu'un parti politique
devrait alors obtenir? Un parti politique pourrait-il alimenter sa base de
données électorales avec des...
M. Reid (Pierre) :
...base de données électorales dans laquelle cette personne serait une
sympathisante politique. Est-ce qu'il serait nécessaire pour un parti politique
d'obtenir un consentement supplémentaire de cette personne? Et quelle serait la
forme du consentement qu'un parti politique devrait alors obtenir? Un parti
politique pourrait-il alimenter sa base de données électorales avec des
informations recueillies à l'occasion d'une pétition sans devoir obtenir un
consentement supplémentaire de la part des personnes concernées? Je suis d'avis
que les renseignements révélant des opinions politiques des personnes sont de
nature sensible et justifient qu'un consentement explicite soit exigé.
Par ailleurs, qu'en serait-il
d'informations recueillies à l'occasion d'une pétition deux ans avant la
prochaine période électorale? U parti politique devrait-il considérer que ces
renseignements concernent un électeur? Est-ce qu'une pétition liée à une cause
particulière peut servir à des fins électorales ou de financement politique? Si
ces renseignements recueillis dans un tel cadre ne sont pas considérés comme
des renseignements qui concernent les électeurs ou les électrices, les partis politiques
pourraient recueillir et utiliser des renseignements sensibles sur des
personnes sans que cette pratique soit encadrée par la loi.
De plus, contrairement aux renseignements
protégés par le cadre général proposé pour les entreprises privées, les données
recueillies par les partis politiques pourraient être conservées indéfiniment.
Les personnes concernées n'auraient pas le droit de demander la destruction des
informations qui les concernent même si ces informations sont inexactes,
périmées ou qu'elles ne sont plus utiles aux activités du parti. Je tiens à
souligner qu'une conservation prolongée de renseignements personnels augmente
le risque de porter atteinte à la vie privée des personnes concernées si un
incident de sécurité survenait. Les partis politiques devraient avoir
l'obligation, tout comme les entreprises et les organismes publics, de détruire
les renseignements qu'ils détiennent lorsqu'ils n'en ont plus besoin. Cela me
semble d'autant plus important que les partis politiques obtiennent le nom,
l'adresse, le sexe et la date de naissance de plus de 6,2 millions
électrices et électeurs sans leur consentement.
Ce qui m'amène à vous faire part de mes
préoccupations concernant la confidentialité des listes électorales que le
projet de loi n° 64 n'aborde pas mais qui ont été soulevées dans l'étude
sur la protection des renseignements personnels détenus par les partis
politiques que j'ai déposée en février 2019. Je suis d'avis que les lois
électorales devraient être modifiées pour que la date de naissance et le sexe
des électrices et des électeurs soient retirés des listes électorales
transmises aux députés, aux candidats et aux partis politiques, renseignements
sensibles qui ne devraient pas être obtenus qu'à... qui ne devraient être
obtenus qu'à la suite d'un consentement explicite de la part de l'électrice ou
de l'électeur concerné. La communication de ces renseignements augmente les
risques d'atteinte à la vie privée telle une usurpation d'identité qui pourrait
survenir à la suite d'une perte, d'une fuite ou d'un vol de données. Les listes
électorales pourraient par ailleurs être transmises une fois par année au lieu
de trois. Les partis politiques du Québec reçoivent les listes électorales plus
fréquemment que les autres partis politiques canadiens.
Je tiens à réitérer aussi notre
recommandation de ne plus fournir aux candidats des renseignements qui
permettent...
M. Reid (Pierre) :
...fuite ou d'un vol de données. Les listes électorales pourraient par ailleurs
être transmises une fois par année au lieu de trois. Les partis politiques du Québec
reçoivent les listes électorales plus fréquemment que les autres partis politiques
canadiens.
Je tiens à réitérer aussi notre
recommandation de ne plus fournir aux candidats des renseignements qui
permettent d'identifier des électrices et des électeurs vulnérables, ceux qui
ne peuvent se déplacer en raison de problèmes de santé et qui se sont inscrites
elles-mêmes pour voter à domicile ou à un bureau de vote itinérant en
installation d'hébergement.
Je recommande également de cesser de
transmettre l'adresse temporaire des électeurs admis à exercer leur droit de
vote à l'extérieur du Québec. Ces divulgations risquent de causer des
préjudices aux personnes concernées et dépassent le besoin des partis de
communiquer avec les électrices et les électeurs pour solliciter leur appui.
En conclusion, je suis convaincu que
l'assujettissement des partis politiques à la Loi sur la protection des
renseignements personnels dans le secteur privé permettrait d'assurer une
gouvernance responsable et renforcerait le contrôle des citoyens et des citoyennes
de leurs renseignements personnels.
Toutefois, je suis préoccupé par la mise
en place d'un régime d'exception à l'intention des partis politiques. Ce régime
ferait en sorte que certains renseignements ne seraient pas protégés de la même
manière que les données détenues par les entreprises privées. Les renseignements
personnels de tous les citoyens et de toutes les citoyennes du Québec méritent
d'être protégés. Je recommande donc que les dispositions de la Loi sur la
protection des renseignements personnels dans le secteur privé s'appliquent à
l'ensemble des renseignements personnels détenus par les partis politiques.
Je souhaite que le projet de loi n° 64 devienne aussi le véhicule des changements que nous
recommandons depuis plusieurs années afin d'assurer une meilleure protection
des renseignements personnels qui sont transmis aux entités politiques en vertu
de la Loi électorale.
Et, en terminant, je profite de cette
tribune pour rappeler aux membres de cette commission l'importance de
moderniser de manière cohérente les lois électorales afin qu'elles s'adaptent
aux enjeux émergents et qu'elles répondent aux attentes de la société québécoise.
Je vous remercie de votre attention.
Le Président (M.
Bachand) : Je vous remercie beaucoup pour votre exposé. Nous
allons débuter la période d'échange avec M. le ministre pour une période de
17 minutes. M. le ministre, s'il vous plaît.
• (15 h 50) •
M. Jolin-Barrette : Merci, M.
le Président. Écoutez, quelques commentaires préliminaires avant d'aller de
l'avant avec Me Reid. Suite aux commentaires du député de LaFontaine, là,
lorsqu'on a convoqué les groupes, là, j'ai entendu les oppositions nous dire
qu'ils souhaitaient qu'on étudie rapidement le projet de loi n° 64.
J'ai exaucé leur souhait à mon retour à l'Assemblée nationale, c'est ce qu'on
fait.
15 des 19 groupes qu'on va entendre
proviennent du Parti libéral. On s'est montrés extrêmement flexibles et même on
a pris des engagements avec eux de remplacer les groupes... une liste de trois
groupes. M. le Président, si on n'a pas réussi à s'entendre avant, c'est parce
qu'il y a des négociations entre les partis, M. le Président. Alors, on fait ce
qu'on peut avec les collègues que nous avons, M. le Président.
Cela étant dit, Me Reid, bonjour.
Merci d'être présent avec nous. C'est toujours un plaisir de vous retrouver. On
avait eu beaucoup de plaisir ensemble sur le projet de loi n° 101
il y a quelques années. Donc, je suis heureux de vous retrouver.
Écoutez, d'entrée de jeu, je comprends que
vous voudriez qu'on resserre les règles associées au projet de loi en lien avec
les partis politiques, en lien avec les entités, notamment aussi avec les
députés, là. Les députés reçoivent la liste électorale...
M. Jolin-Barrette : ...sur le projet
de loi n° 101, il y a quelques années. Donc, je suis
heureux de vous retrouver. Écoutez, d'entrée de jeu, je comprends que vous
voudriez qu'on resserre les règles associées au projet de loi, en lien avec les
partis politiques, en lien avec les entités, notamment aussi avec les députés,
là. Les députés reçoivent la liste électorale, et vous recommandez de cesser
cette pratique-là.
M. Reid (Pierre) :
Oui, en effet, parce que... Oui, parce que... C'est que la liste électorale qui
est transmise aux députés... c'est qu'on se demande à quoi peut servir l'envoi
de la liste électorale aux députés. De toute façon, les partis politiques la
reçoivent, et le député comme tel, dans ses fonctions parlementaires, normalement
n'aurait pas à utiliser cette liste électorale pour communiquer avec les
électeurs ou les électrices.
M. Jolin-Barrette : Justement,
le rôle du député, c'est de représenter ses électeurs, de pouvoir communiquer
avec eux. Si jamais le député qui est élu par ses commettants n'a pas le moyen
de rejoindre ses électeurs, comment le ferait-il, à ce moment-là, dans sa circonscription?
Parce que le député est un peu le dépositaire, dans le fond, durant quatre ans
ou durant la durée du mandat, des intérêts des électeurs.
M. Reid (Pierre) :
Oui, mais c'est parce que la Loi électorale, tel qu'elle est rédigée, c'est
qu'elle prévoit que les renseignements des listes électorales... la liste
électorale elle-même doit être utilisée à des fins électorales, donc, ou à des
fins prévues dans le cadre de la Loi électorale. Donc, pour le député, elle...
normalement, ce n'est pas... l'élection est terminée, il n'y a plus de fin
électorale, comme telle, donc on ne voit pas pourquoi que le député devrait
recevoir ces renseignements.
Et je dois vous dire, comme information,
actuellement, c'est seulement 20 députés sur les 125 qui ont demandé la liste
électorale.
M. Jolin-Barrette : Donc,
c'est le 1/6, environ, donc un petit peu moins que 20 %. Donc, vous
trouvez que ça justifie le fait de supprimer cette possibilité-là.
M. Reid (Pierre) :
Oui, et d'autant plus que ça ne répond pas à l'objectif qui est prévu dans la
Loi électorale qui... où ça doit servir à des activités ou à des fins prévues
dans la Loi électorale.
M. Jolin-Barrette : Autre
question. Tout à l'heure, vous disiez, bon, les partis politiques conservent
les renseignements. Bon, je comprends, de ma compréhension, je comprends que
quelqu'un peut faire retirer les renseignements, à l'exception de ce qui est
prévu par la Loi électorale. Les données qui sont accumulées, là, par les
formations politiques, là... Un électeur, un citoyen peut s'adresser aux partis
politiques pour dire : Je veux retirer ces informations-là que vous
détenez sur moi, à l'exception de ce qui est déjà écrit sur la liste
électorale.
M. Reid (Pierre) :
Bien, en fait, sur la liste électorale... pour que ces renseignements-là soient
retirés de la liste électorale, il faudrait que la personne demande d'être
radiée de la Loi électorale, là.
M. Jolin-Barrette : O.K. Là,
dans la loi, on vise les partis politiques provinciaux, ces entités-là
autorisées. Quels sont vos commentaires relativement...
M. Reid (Pierre) :
... renseignement-là, par exemple, soit retiré de la liste électorale, il
faudrait que la personne demande d'être radiée de la Loi électorale.
M. Jolin-Barrette : O.K. Là,
dans la loi, on vise les partis politiques provinciaux, ces entités-là
autorisées. Quels sont vos commentaires relativement au volet municipal?
M. Reid (Pierre) :
Bien, les commentaires, je pense que, comme je l'ai dans mon allocution, je
pense qu'il ne devrait pas y avoir d'exception, on devrait viser également les
partis politiques municipaux. C'était notre recommandation dans notre étude
déposée en 2019. Et ils reçoivent les mêmes données des listes électorales et
ils en font le même usage. Donc, on ne voit pas de distinction entre les partis
municipaux et les partis provinciaux à ce niveau-là.
M. Jolin-Barrette : O.K.
Puis, dans votre mémoire, là, à la recommandation 7, là, vous dites : On
est le seul endroit au Canada où la date de naissance, elle est transmise.
C'est bien ça?
M. Reid (Pierre) :
Oui, effectivement. Oui, c'est le seul endroit où... que les partis politiques
au Canada reçoivent, là, la date de naissance et le sexe. Et je vous dirais
que, pour le sexe, seulement le Nouveau-Brunswick prévoit envoyer l'information
concernant le sexe des électeurs, des électrices.
M. Jolin-Barrette : O.K.
M. Reid (Pierre) :
Donc, il n'y a aucune autre... nulle part ailleurs peuvent être transmis la
date de naissance et le sexe, exception faite pour le Nouveau-Brunswick.
M. Jolin-Barrette : O.K.
Donc, vous nous invitez à retirer également ces renseignements-là sur la liste
électorale? Bien, en fait, que ça ne soit pas transmis.
M. Reid (Pierre) :
Oui... Oui, bien, effectivement, ce serait des renseignements qui seraient
retirés de la liste électorale pour les envois aux partis politiques, parce que
de toute façon c'est des renseignements qui peuvent être obtenus en s'adressant
directement aux électeurs, aux électrices. Et, pour nous, c'est hyperimportant
que ces renseignements-là fassent l'objet d'un consentement explicite de la
part de la personne concernée.
M. Jolin-Barrette : Et puis
comment vous le voyez, le consentement explicite? Comment vous
l'opérationnaliseriez, ce consentement explicite là?
M. Reid (Pierre) :
Bien, en fait, c'est un... Bien, pour moi, c'est un contact direct avec la personne
afin de savoir : Est-ce que vous consentez à ce qu'on puisse conserver ces
renseignements comme la date de naissance et votre sexe et de savoir également qu'est-ce
que... et à quelles fins vous voulez... que nous allons les utiliser?
M. Jolin-Barrette : Est-ce
que, pour vous, un consentement oral serait valide lors d'un appel
téléphonique?
M. Reid (Pierre) :
Bien, je pense que oui, je pense qu'un consentement oral pourrait suffire, mais
il resterait à vérifier, là.
M. Jolin-Barrette : O.K. M.
le Président, je vais céder la parole à mes collègues qui souhaitent poser des
questions.
Le Président (M.
Bachand) : ...Chapleau, s'il vous plaît.
M. Lévesque (Chapleau) :
...c'est un plaisir de vous retrouver. Bonjour, tout le monde. Bonjour. Je
salue le ministre également, les collègues de la banquette gouvernementale, les
collègues également de l'opposition. M. Reid, bonjour, merci de votre
présentation.
Peut-être petit questionnement en lien
justement aux renseignements sensibles qui sont collectés par les partis
politiques...
Le Président (M.
Bachand) : ...Chapleau, s'il vous plaît.
M. Lévesque (Chapleau) :
Ça me fait plaisir de vous retrouver. Bonjour, tout le monde. Bonjour. Je salue
le ministre également, les collègues de la banquette gouvernementale, les collègues
également de l'opposition. M. Reid, bonjour. Merci de votre présentation. Peut-être
un petit questionnement en lien, justement, aux renseignements sensibles qui
sont collectés par les partis politiques sur les gens qui le composent, donc,
toute la question des militants, également, là, les sympathisants, peut-être
les députés et les anciens candidats. Vous dites qu'ils vont... Il y a des renseignements
sensibles qui sont accumulés. Peut-être un peu vous entendre sur ce sujet-là,
voir ce que vous percevez. Puis la notion de consentement, dans ces cas-là, ça
serait quoi, selon vous, là?
M. Reid
(Pierre) : Bien, exemple, si vous prenez les employés, là, le
personnel des partis politiques, bien, justement, pour les rémunérer, on va
leur demander des renseignements personnels, que ce soit leur numéro
d'assurance sociale ou d'autres renseignements vraiment rattachés à l'emploi.
Et donc, dans ce contexte-là, ce serait des renseignements, donc, qui ne sont
pas à des fins électorales qui ne seraient pas protégés comme le prévoit... tel
que c'est prévu dans le projet de loi n° 64.
M. Lévesque (Chapleau) :
C'est ça. Mais ça, ça serait dans le cadre d'un emploi. Donc, tout employeur
pourrait à ce moment-là... Habituellement, un employeur va demander ce type d'information
là.
M. Reid
(Pierre) : Oui. Puis...
M. Lévesque (Chapleau) : Est-ce
que vous avez d'autres exemples au sein du parti politique ou c'est vraiment la
question de l'employé, employeur, cette relation-là qui vous inquiète?
M. Reid
(Pierre) : Bien, en fait, ça peut être des renseignements
qu'ils peuvent obtenir, par exemple, des candidats ou des candidats potentiels,
toutes les vérifications, les informations qu'ils peuvent obtenir sur un
candidat ou une candidate. Ce n'est pas certain que c'est relié à des fins
électorales, là, comme tel. Donc, là encore, pour éviter toute ambiguïté et
tout doute, pour que les gens disent : Est-ce que c'est couvert, pas
couvert? C'est pour ça qu'on se dit, bien, la façon la plus facile, bien, c'est
que tous ces renseignements-là que détiennent les partis politiques soient
couverts par la Loi sur la protection des renseignements personnels dans le
secteur privé.
M. Lévesque (Chapleau) : Peut-être
vous amener sur la notion, là, durant... Durant une campagne électorale, bon,
souvent les candidats vont être appelés à faire du porte-à-porte, vont faire
des appels pour discuter avec les électeurs. Et là, lorsque justement un
électeur dit : Bon, bien, moi, je suis sympathisant à votre cause, peu
importe. Et là, bon, il prend une note que ces personnes-là aimeraient, bon,
voter pour nous. Ça, est-ce que vous considérez que ce sont des renseignements
personnels, donc, le fait que la personne dise : Bon, on est sympathisant
avec votre cause? Et, évidemment, le parti en prend note, là.
• (16 heures) •
M. Reid
(Pierre) : Bien, c'est un renseignement qui... Oui. Bien, le
parti en prend note. Puis c'est l'utilisation. Bien, là encore, ce que vous
avez... Le consentement sur l'utilisation qu'on fera de ce renseignement-là, il
n'est peut-être pas clair. Si je prends l'exemple de la Colombie-Britannique,
puis même la façon de... Parce qu'il y a eu quand même, je dirais, un audit qui
a été fait par le commissaire de l'accès à l'information. Et dans ses recommandations,
entre autres, c'est de dire, c'était d'obtenir un consentement clair de la
personne à qui vous vous adressez. Donc, ce que la personne peut vous
dire : Donc, je suis un sympathisant. La personne peut vous le dire. Est-ce
qu'elle est d'accord pour que ça puisse être utilisé par...
16 h (version non révisée)
M. Reid (Pierre) :
...de l'accès à l'information, et dans ses recommandations, entre autres, ça
disait, c'était d'obtenir un consentement clair de la personne à qui vous vous
adressez. Donc, ce que la personne peut vous dire, donc : Je suis un
sympathisant. La personne peut vous le dire. Est-ce qu'elle est d'accord pour
que ça puisse être utilisé par la suite? C'est là que c'est peut-être important
d'obtenir un consentement clair sur ce que la personne vous livre comme
information.
M. Lévesque (Chapleau) : Ah,
d'accord! Donc, disons que, moi, je suis candidat aux prochaines élections
puis... dans Chapleau. Je me promène, je cogne à une porte ou, du moins, selon
les règles de la Santé publique, rendu là, là, on verra bien, là, mais... et là
je dis, bon, à la personne : Bon, voici, j'aimerais être votre candidat
avec la Coalition avenir Québec, j'aimerais pouvoir continuer à vous
représenter, à mériter votre confiance. Et la personne dit : Oui, moi, je
suis sympathisant, j'ai envie que vous, M. Lévesque, le député de
Chapleau... de continuer à me représenter. Est-ce que je devrais demander
également le consentement pour lui dire : Bon, est-ce que vous consentez à
ce que le jour de l'élection, du vote, soit par anticipation ou le jour même de
l'élection, qu'on puisse vous rappeler, mon équipe et moi-même, pour pouvoir
aller de l'avant, là, avec, justement, demander de faire sortir le vote en
quelque sorte? Est-ce que ça, ce serait une formule qui serait... que vous
envisageriez?
M. Reid (Pierre) :
Bien, probablement que ce serait une information que vous voudriez obtenir et,
à ce moment-là, si la personne consent à cela, il n'y aurait pas de problème,
là.
M. Lévesque (Chapleau) : Donc,
il y aurait une notion de consentement même lors d'un échange de porte à porte.
M. Reid (Pierre) :
Bien oui, et je pense que c'est important parce que les gens peuvent livrer des
choses, mais aussi c'est de dire des choses. Et je pense que ce qui est de la
préoccupation que peuvent avoir les gens par après, c'est l'utilisation qui va
être faite de cette information-là. Là, on se limite peut-être à cette
information qui est quand même, là, d'indiquer la sympathie à l'égard d'une
formation politique, mais c'est un peu la même chose par rapport à l'exemple
que je donnais tantôt. Vous signez une pétition par rapport à une question
particulière, là, mais l'information que vous donnez, que ce soit votre nom,
votre adresse, numéro de téléphone, est-ce que le parti politique peut
récupérer ça pour les utiliser à d'autres fins alors que la personne n'a fait
que signer une pétition?
M. Lévesque (Chapleau) : Je
comprends. Peut-être en lien avec l'obligation de destruction, dont vous avez
fait mention, là, le mémoire également, à quel moment vous pensez qu'un parti
politique devrait avoir cette obligation-là, de détruire les renseignements qui
ont été recueillis?
M. Reid (Pierre) :
Bien, en fait, c'est la... il appartiendrait d'abord aux partis, dans le fond,
de prévoir quels renseignements... de lister les renseignements ou les
informations qui sont encore utiles, nécessaires. Puis c'est... quand on
regarde pour les... ce qui est demandé pour les entreprises privées, c'est un
peu dans ce sens-là, c'est qu'à un moment ils doivent savoir s'il y a des
renseignements qui n'ont plus leur utilité ou bien que la fin pour laquelle est
utilisée ces renseignements est accomplie. Alors, à ce moment-là, les
renseignements... En fait, il y a une obligation qu'on impose... qu'on va
imposer aux entreprises, ça va être de les détruire, ces renseignements-là,
et... mais ce qui n'est pas prévu pour les partis politiques.
M. Lévesque (Chapleau) : Mais
disons qu'un parti politique détermine que ces renseignements-là lui seront
utiles à perpétuité? Parce que, bon, c'est un cycle qui se répète, là. On le
sait...
M. Reid (Pierre) :
...les renseignements. En fait, l'obligation qu'on impose... qu'on va imposer
aux entreprises, ça va être de les détruire, ces renseignements-là, et... mais
ce qui n'est pas prévu pour les partis politiques.
M. Lévesque (Chapleau) : Mais
disons qu'un parti politique détermine que ces renseignements-là lui seront
utiles à perpétuité? Parce que, bon, c'est un cycle qui se répète, là. On le
sait qu'élection après élection les partis politiques vont tenter de convaincre
les gens et la population de les appuyer. Donc, avec ces informations-là, ça
leur permet justement de faire leur travail et d'obtenir l'appui du plus grand
nombre. Et donc disons... prenons l'exemple qu'un parti politique détermine que
ces informations-là n'ont pas... lui sont encore utiles à perpétuité, et donc
l'obligation de destruction ne s'appliquerait pas. Est-ce qu'il n'y aurait pas
une proposition que vous auriez en ce sens-là?
M. Reid (Pierre) :
Bien, il resterait à voir comment ça pourrait être modulé. Mais là encore,
comme le projet de loi prévoit que la disposition de la loi ne s'applique pas
aux partis, je pense qu'il faudrait, à un moment donné, peut-être, regarder
quels renseignements qui pourraient avoir une durée... En fait, il s'agirait de
savoir... d'identifier les règlements pour lesquels il pourrait y avoir une durée.
Mais en même temps, vous avez des électeurs et des électrices qui peuvent
donner des informations, des renseignements pour la... Puis, pour eux, c'est de
donner... pour la période électorale. Mais il faut toujours revenir, je pense,
à la question par rapport à l'ensemble des renseignements que peut détenir un
parti, bien, pourquoi est-ce nécessaire de conserver tous ces
renseignements-là.
M. Lévesque (Chapleau) :
D'accord, merci. J'aimerais peut-être vous amener, là, sur un élément que vous
avez mentionné lors d'un vote d'une élection. Certaines personnes, justement,
indiquent qu'ils ont certains besoins de transport ou qu'ils ont de la mobilité
réduite, puis, donc, ces informations-là sont divulguées, là. Vous avez affirmé
ça. Est-ce que... Bien, peut-être vous entendre sur ce volet-là, là.
M. Reid (Pierre) :
Sur?
M. Lévesque (Chapleau) : Le
volet des personnes à mobilité réduite, qui disent, bon : J'aurais
peut-être besoin d'un transport pour aller voter. Et qu'à ce moment-là, c'est
divulgué aux partis politiques. Est-ce que c'est la nature de votre propos que
vous avez fait tout à l'heure?
M. Reid (Pierre) :
Non. Moi, ce que je disais tantôt, c'est que les listes qui sont... des
personnes qu'on qualifie de vulnérables parce qu'elles ont des difficultés de
déplacement ne devraient... ces listes-là ne devraient pas être transmises aux
partis politiques parce que, de toute façon, ce sont des gens qui ont demandé
une modalité particulière pour voter. Ils sont en installation d'hébergement ou
bien ils votent à domicile, donc ils n'ont assurément pas besoin de transport.
M. Lévesque (Chapleau) : Ah!
d'accord, ce n'était pas la notion du transport.
M. Reid (Pierre) :
Non.
M. Lévesque (Chapleau) : Parce
que certaines personnes, à l'occasion, vont avoir besoin d'un transport puis
les partis politiques vont offrir s'il y a lieu, là, du transport, mais ce
n'était pas du tout le volet qui était visé.
M. Reid (Pierre) :
Non. Ce n'était pas ça, non.
M. Lévesque (Chapleau) :
Parfait. Moi, ça me convient. Je pense que ma collègue des Plaines, M. le
Président...
Le Président (M.
Bachand) : Merci. Il reste qu'un peu plus qu'une minute, Mme la
députée de Les Plaines, s'il vous plaît.
Mme Lecours (Les Plaines) :
Merci, M. le Président. Bonjour, M. Reid. Bienvenue à cette commission.
M. Reid (Pierre) : Oui. Bonjour.
Mme Lecours (Les Plaines) :
Merci de votre mémoire. Relativement à ce que mon collègue disait, en fait,
quand vous parlez de l'utilisation de la liste électorale par les députés,
quelle utilisation ils en feraient? Selon vous.... on vient de vivre, on est
encore et on la revit... on vit une deuxième vague d'une crise...
Mme Lecours (Les Plaines) :
...merci de votre mémoire. Relativement à ce que mon collègue disait, en fait,
quand vous parlez de l'utilisation de la liste électorale par les députés,
quelle utilisation ils en feraient, selon vous.... On vient de vivre, on est
encore et on la revit... on vit une deuxième vague d'une crise mondiale. L'utilisation
de la liste électorale pour appeler, par exemple, les personnes de 70 et plus, est-ce
que c'est une bonne utilisation, selon vous?
M. Reid (Pierre) :
Vous l'avez fait il y a... au mois de mars dernier, effectivement, et le
problème que ça posait... c'est justement, c'est une utilisation de la liste
qui n'était pas à des fins électorales. Moi, dans le fond, par rapport à ça,
j'ai dit : Écoutez, je vous rappelle que c'est la... la loi est précise en
ce sens-là, mais l'utilisation...
Mme Lecours (Les Plaines) :
Est-ce que...
M. Reid (Pierre) :
Oui?
Mme Lecours (Les Plaines) : Est-ce
que vous considérez que c'est abusif?
M. Reid (Pierre) :
Abusif... Là, vous aviez un contexte bien particulier, mais il appartenait aux partis
politiques, à ce moment-là, de prendre la décision en conséquence, là.
Mme Lecours (Les Plaines) : Et
il me reste un petit... rapidement, qu'est-ce que... dans les renseignements
personnels qui ne seraient pas acceptés... ils seraient quoi? Qu'est-ce qui
pourrait rester dans une liste, qu'on pourrait conserver qui serait des
renseignements qu'on pourrait justement garder? Donc, qu'est-ce qu'on
enlèverait?
Le Président (M.
Bachand) : Malheureusement, on n'a plus le temps. Mais je vais
reconnaître le député de Gouin. Rapidement, oui, M. le député de Gouin, vous
avez une demande, oui?
M. Nadeau-Dubois : Bien, je demanderais
le consentement des membres de la commission pour intervertir mon tour de
parole avec celui de l'opposition officielle. J'ai un engagement qui... ça me
faciliterait la vie. Voilà.
M. Jolin-Barrette :
Consentement ...peut faire en sorte de...
Le Président (M.
Bachand) : Merci beaucoup. M. le député de Gouin. Pour
2 min 50 s.
M. Nadeau-Dubois : Bonjour, M.
Reid.
M. Reid (Pierre) :
Oui, bonjour.
M. Nadeau-Dubois : J'ai peu de
temps, alors... j'ai trois sujets que j'aimerais aborder avec vous, je vous
fais confiance pour avoir des réponses assez courtes pour qu'on aille au bout
de ces trois sujets.
Ce qui me surprend, dans votre analyse,
c'est que vous faites, il me semble, abstraction de la raison pour laquelle il
y a collecte de données personnelles, de la finalité derrière les données
personnelles. Vous nous dites : Une entreprise privée, mettons, Google,
qu'on le sait qui a des pratiques prédatrices de récolte agressive de données
sur le Web, et, mettons, le Parti vert du Québec... vous nous dites : Ces
gens-là devraient être régis par le même cadre juridique parce qu'au fond les
deux ont des données personnelles. En tout respect, je trouve ça un peu court,
comme analyse, de faire abstraction des finalités, des raisons pour lesquelles
on collecte des données personnelles.
M. Reid (Pierre) :
Bien, il n'y a rien qui vous empêche de les récolter, ces renseignements-là.
Tout ce qui est demandé, c'est d'obtenir le consentement des personnes à vous
fournir ces renseignements-là. C'est là qu'est... Donc, parce que c'est quand
même des... Par rapport aux renseignements... Puis pour la liste... si vous
parlez plus de la liste électorale, c'est que vous avez le nom, l'adresse, le
sexe, la date de naissance. Nous, on convient que la date de naissance... ne
devrait pas être transmise aux partis politiques, parce que vous pouvez
l'obtenir... ça peut être obtenu autrement.
M. Nadeau-Dubois : Mais ce qui
me surprend...
M. Reid (Pierre) :
...puis pour la liste électorale... si vous parlez plus de la liste électorale,
c'est que vous avez le nom, l'adresse, le sexe, la date de naissance. Nous, on
convient que la date de naissance et le sexe ne devraient pas être transmis aux
partis politiques parce que vous pouvez l'obtenir... ça peut être obtenu
autrement.
• (16 h 10) •
M. Nadeau-Dubois : Mais ce qui
me surprend, c'est on est dans un contexte où il y a une baisse de la
participation politique dans la plupart des démocraties et où les formations politiques
ont de plus en plus de difficulté à mobiliser les électeurs. Puis là, dans tous
les spectres, là, politiques, les partis ont cette ambition de mobiliser les
gens à s'impliquer dans le processus électoral, et là vous dites : Il faut
que le même cadre juridique s'applique à ces acteurs-là qu'à des énormes
multinationales dont la seule volonté est de faire du profit. Cette mise en
équivalence dans votre analyse, j'avoue qu'elle me surprend puis je ne la
comprends pas.
Puis je vais vous faire un autre
parallèle. Les groupes communautaires, les groupes écologistes, les groupes
citoyens, les associations étudiantes, tous ces groupes-là dans la société font
signer des pétitions, donc collectent des données personnelles. Est-ce qu'il
faudrait mettre tous ces gens-là sous le même régime juridique que d'énormes
multinationales sous prétexte qu'il y a collecte de données personnelles?
Est-ce que ce n'est pas justement une bonne idée que de faire des distinctions
dans notre cadre juridique selon la raison pour laquelle ces données-là sont
collectées?
M. Reid (Pierre) :
Bien, c'est justement, c'est ça, c'est la raison. On collecte... Dans le fond,
on va chercher des renseignements personnels pour... par une pétition qui porte
sur un sujet, là... sur une question. Mais, quand la personne, elle pose sa
signature et donne ses renseignements personnels, à ce moment-là, la personne
aimerait bien... est-ce que la personne ne devrait pas savoir à quelles fins
ils serviront? Si, sur la pétition, il est dit que les renseignements
serviront, par exemple, à un parti pour communiquer avec eux, leur envoyer de
la publicité, mais quand vous signez une pétition...
M. Nadeau-Dubois : Donc, juste
pour bien comprendre votre position, vous avez la position du «one size fits
all», c'est-à-dire un cadre juridique pour tous les acteurs de la société
québécoise? C'est ça que vous nous dites.
Le Président (M.
Bachand) : Merci. Merci beaucoup. C'est tout le temps pour
l'instant. M. le député de LaFontaine pour 11 min 20 s, s'il
vous plaît. Merci.
M. Tanguay
: Oui. Merci
beaucoup, M. le Président. J'aimerais peut-être continuer l'échange avec Me
Reid sur ce sujet-là, la finalité des partis politiques puis, au premier titre,
comme directeur général d'Élections Québec, DGEQ. On se casse la tête
collectivement pour savoir comment augmenter le taux de participation. Ça, ça
veut dire comment outiller les partis politiques pour qu'ils puissent rejoindre
la population. Puis la population fera son choix, il y a des gens qui vont
voter pour vous, qui vont voter pour d'autres, puis qui vont être contre vous,
actuellement, ou ils vont être pour d'autres, activement. J'aimerais savoir si,
d'entrée de jeu, vous faites la distinction. Puis premier élément, parce qu'il
faut définir les concepts, premier élément, un renseignement personnel est, à
la base, toute information qui permet d'identifier une personne. Ça, une fois
qu'on a dit ça, un renseignement personnel est une information qui permet
d'identifier une personne, faites-vous la distinction et croyez-vous qu'il est
utile de faire la distinction, chez les partis politiques, de renseignements
personnels qui sont sensibles, hautement...
M. Tanguay
:
...personne. Ça, une fois qu'on a dit ça, un renseignement personnel est une
information qui permet d'identifier une personne, faites-vous la distinction et
croyez-vous qu'il est utile de faire la distinction chez les partis politiques
de renseignements personnels qui sont sensibles, hautement sensibles ou qui
n'ont pas de sensibilité particulière? Par exemple, si dans mon comté j'ai
ciblé des gens qui sont favorables à ma candidature et qui vont voter pour moi,
c'est une information qui pourrait être utilisée pour identifier une personne,
mais ce n'est nullement comparable, le pointage, à sa date de naissance, par
exemple. Faites-vous cette distinction-là? Et jusqu'à quel point croyez-vous
qu'il est important de faire cette distinction-là?
M. Reid (Pierre) :
Bien, en fait, je vous dirais, dans le fond, au niveau des... Quand on parle
de... La question qui se pose : Pourquoi un régime... En fait, je pourrais
retourner la question : Pourquoi un régime particulier pour les partis
politiques? Parce que ce qui est demandé comme règle, c'est qu'à partir du
moment où on va demander des renseignements personnels, bien, c'est d'informer
la personne pour l'utilisation qui en sera faite et si elle donne son
consentement. Ce n'est pas si difficile que ça, là.
M. Tanguay
: Mais je
vais retourner la question, ça va être un peu Wimbledon : je vous lance la
balle, on me relance la balle, je vais vous la relancer. Les partis politiques
ont vocation — puis je vais le dire en des termes peut-être moins
marxisants que mon collègue de Gouin — ont vocation — mais
je le dis en tout respect — ont vocation qui n'est pas pécuniaire,
ont vocation qui pourrait, par analogie, et le projet de loi en fait
distinction... Le projet de loi fait des distinctions où il y a des
atermoiements quant au consentement lorsque c'est fait pour des fins d'étude,
des fins de recherche, des fins de production statistique. Je ne suis pas en
train de dire que les partis politiques font des études, des recherches puis produisent
des statistiques, mais ça participe, c'est au coeur de notre système
parlementaire démocratique. Et, en ce sens-là, y aurait-il lieu justement
d'avoir une approche distinguée, contrairement aux entreprises privées, là? Je
ne sais pas si vous saisissez la nuance. Je suis certain que vous la saisissez,
mais je ne sais pas si vous y accordez la même importance que moi.
M. Reid (Pierre) :
Bien, en fait, je comprends, là, l'importance de rejoindre les citoyens, les
citoyennes, les faire participer, il y a peut-être... puis il y a peut-être
d'autres façons, là, mais c'est quand même... il faut quand même considérer que
c'est des renseignements personnels que les partis politiques ont sur des bases
de données de plus en plus sophistiquées où on en arrive même à établir le
profil des électeurs et des électrices. Et moi, la question que je me
pose : Mais c'est... Oui, mais où sont les droits des citoyens dans cela?
Où est le droit du citoyen ou de la citoyenne qui dirait : Écoutez, là,
moi, là, je participe, là, je suis les informations, j'assiste à des assemblées
publiques et tout. Moi, je veux que vous ne sachiez... je ne veux rien de mes
renseignements personnels dans vos dossiers, dans vos fichiers. C'est le
seul... C'est la seule chose, là, laisser le droit à une personne. Quand les
candidats font...
M. Reid (Pierre) :
…participe, je suis les informations, j'assiste à des assemblées publiques, et
tout. Moi, je veux que vous ne sachiez... je ne veux rien de mes renseignements
personnels dans vos dossiers, dans vos fichiers. C'est le seul… C'est la seule
chose, là, laisser le droit à une personne.
Quand les candidats font du porte-à-porte,
je veux dire, normalement, ils ne rentrent pas dans une maison sans que la
personne l'autorise. Donc, de quel droit, dans le fond, les partis politiques
vont chercher des renseignements qu'ils ont droit… Mais, s'ils obtiennent le
consentement, ils ont le droit de les utiliser, mais, s'ils n'ont pas le
consentement, c'est fini, là. Les partis n'ont pas à conserver des
renseignements que les citoyens ne veulent pas leur consentir.
M. Tanguay
: Et est-ce
que vous faites la distinction, vous... Est-ce que vous croyez utile de faire
la distinction, dont renseignements hautement sensibles, sensibles et pas
vraiment sensibles? Est-ce que vous croyez que ça a une quelconque vertu, cette
distinction-là, ou pas du tout? Vous, vous rattachez tout ça, peu importe la
catégorisation, un, deux, trois, au concept de consentement ou pas. J'imagine
que c'est…
M. Reid (Pierre) :
Bien, en fait, c'est… En fait, les renseignements sensibles, bon, c'est sûr
qu'à partir du moment... Je pense qu'opinions politiques, origine ethnique,
religion, etc., des… qui peuvent être très sensibles. Mais vous avez un paquet
de renseignements personnels qui, une fois amalgamés, bien… et qui puissent… Et
les fuites, là. S'il y a une perte, là, ou un vol de données, là, c'est
beaucoup de renseignements, et donc c'est un peu cette protection-là qu'on veut
accorder aux renseignements que les partis politiques détiennent, je dirais
autant pour les citoyens que pour les partis eux-mêmes, hein?
M. Tanguay
: Et
dites-moi... Donc, vous faisiez l'analogie avec la Colombie-Britannique. Donc,
vous, pourquoi c'est important pour vous, donc, de suivre cet exemple-là, où
les partis politiques sont assujettis, en Colombie-Britannique, comme le sont en
quelque sorte les entreprises? Pourquoi c'est important pour vous, donc,
d'aller en ce sens-là?
M. Reid (Pierre) :
Bien, c'est important parce que les... En fait, les données personnelles,
les... de tous les citoyens et les... protégés comme pour toute autre personne
ou entreprise qui recueille des renseignements personnels, et même les organismes
publics. C'est la même protection qu'on veut donner. Et, je vous rappelle
encore, c'est quand même 6 millions... c'est plus de 6,2 millions
électeurs, électrices sur qui les partis politiques détiennent des renseignements.
Donc, une fuite, une perte de données, c'est encore plus important que... ça
peut être aussi important que ce que le Mouvement Desjardins a connu.
M. Tanguay
: Est-ce que
vous avez réfléchi à la façon dont les partis politiques, et est-ce que vous
nous invitez à l'étayer, devraient demander, constater, conserver le
consentement? Parce que là, si on va là-dessus, faire du porte-à-porte, poser
des questions, voir des renseignements, ajouter ça dans un fichier qui concerne
cet électeur-là à telle adresse, est-ce que vous avez réfléchi, est-ce que vous
nous invitez à réfléchir et à étayer? Bien, si on fait ça, on peut le faire
selon ce que vous proposez, mais il faudrait demander le consentement.
Avez-vous réfléchi à comment le consentement...
M. Tanguay
:
...faire du porte-à-porte, poser des questions, voir des renseignements,
ajouter ça dans un fichier qui concerne cet électeur-là à telle adresse. Est-ce
que vous avec réfléchi? Est-ce que vous nous invitez à réfléchir et à étayer,
bien, si on fait ça, on peut le faire selon ce que vous proposez, mais il
faudrait demander le consentement. Avez-vous réfléchi à comment le consentement
pourrait être demandé par les partis politiques?
M. Reid
(Pierre) : Bien, en fait, là, je vous dirais que... Je pense
que quand la Commission d'accès à l'information, ça serait peut-être la question...
une question que vous pourriez leur adresser. Mais moi, je vous dirais que le consentement
m'apparaît à sa base même, si je me place comme citoyen ou comme électeur,
bien, je veux dire, si on vient chez moi puis, bien, à un moment donné qu'on
collecte un paquet de de renseignements, bien, j'aimerais bien savoir, là, un,
si vous les avez collectés et, deux, si vous allez les utiliser. Donc...
M. Tanguay
: Oui.
Et vous avez, je pense, déjà fait une distinction entre le parti politique dans
l'espace démocratique et le parti politique comme employeur aussi, là où vous
ne voyez pas...
M. Reid
(Pierre) : Oui.
M. Tanguay
: ...la
distinction de faire un régime particulier. Quand tu es employeur, tu es
employeur. Le parti politique peut détenir des immeubles, peut signer des
contrats, emploie du monde. Donc, ça, à ce niveau-là, vous nous invitez...
Donc, sous ces pouvoirs juridiques là, bien, le parti politique ne devrait pas
faire l'économie d'être soumis à...
M. Reid
(Pierre) :Ce distinction. Oui.
M. Tanguay
: O.K.
Cambridge Analytica, à l'époque, je me rappelle, il y avait eu un débat où vous
aviez mentionné que vous n'aviez pas les pouvoirs de débarquer dans les partis
politiques. Est-ce qu'aujourd'hui vous demandez ce pouvoir-là, j'y vais
rapidement, là, je ne fais pas trop de nuance, mais vos, de pouvoir vérifier
après l'adoption éventuellement de la loi, si on allait dans votre sens, de
pouvoir, vous, faire des suivis quant au sérieux avec lequel c'est respecté?
M. Reid
(Pierre) : Non. Mais, je pense, c'est un mandat qui est dévolu
à la Commission d'accès à l'information. Donc, c'est elle qui aurait à
appliquer, à faire le... à exercer son droit de surveillance. Nous sommes
responsables de la liste... Il y a des dispositions dans la loi électorale pour
lesquelles nous sommes responsables. Mais il n'y a rien qui empêchera une
collaboration avec la CAI, comme en Colombie-Britannique le directeur général
des élections et le commissaire à la vie privée collaborent ensemble au besoin.
• (16 h 20) •
M. Tanguay
: Donc,
vous ne le demandez pas pour vous, là, comme...
M. Reid
(Pierre) : Non. Non, non.
M. Tanguay
:
...comme pouvoir spécifique. O.K.
M. Reid
(Pierre) : Non, non.
M. Tanguay
:
Dites-moi, élément important, les partis politiques municipaux, je veux dire,
il y a des partis politiques municipaux dans de grandes villes, Montréal,
Laval, Longueuil, Québec, qui collectent sur des dizaines de milliers
d'électeurs. Donc, certains pourraient dire, puis j'aimerais vous entendre
là-dessus, vous demandez à ce que ce soit appliqué aux partis politiques
municipaux, j'imagine que ça, ça ferait partie d'un des arguments que vous
soulèveriez. Dans certains cas, même des partis politiques municipaux dans de grandes
villes pourraient avoir plus d'informations que bien des partis politiques
provinciaux en termes de quantité et en termes de données. Premier élément,
premier argument que je vous soumets, puis je ne sais pas si vous le reprenez à
votre compte.
Et deuxième élément aussi, peut-être que
dans certains partis politiques municipaux de grandes, ou moyennes, ou de
petites villes, il y a également, justement, une rotation...
M. Tanguay
: ...en
termes de quantité et en termes de données. Premier élément, premier argument
que je vous soumets, puis je ne sais pas si vous le reprenez à votre compte.
Et deuxième élément aussi. Peut-être que
dans certains partis politiques municipaux, de grandes, ou moyennes, ou de
petites villes, il y a également, justement, une rotation plus rapide dans les
gens, les bénévoles, les employés. Peut-être que l'on pourrait retrouver chez
des partis politiques, autrement dit, que... qui a accès à cette information-là
dans un parti politique provincial versus dans un parti politique municipal...
Il y a un contrôle aussi, de savoir qui a accès, qui a eu accès, qui a quitté
le parti, n'est plus bénévole. Moi, j'étais président d'une région. Là, je ne
le suis plus. Qu'est-ce que je fais pour remettre ces... pour m'assurer de remettre
ces informations-là?
Alors, je pense que ça participe aussi de
votre réflexion d'étendre ça chez les partis politiques provinciaux... aux
partis politiques municipaux, pardon?
M. Reid (Pierre) :
Bien, les... C'est parce que, pour un parti... Les partis politiques
municipaux, c'est qu'on ne voit pas de distinction. Ils ont les données des
listes électorales, ils en font une utilisation similaire. Donc, tout dépendant
de la grandeur des partis, bien, ils collectent des renseignements. Donc, ils ont
des données personnelles, pour lesquelles ils vont assurer la même protection
que ce qui est demandé pour les partis politiques provinciaux.
M. Tanguay
: Parfait.
Bien, je vous remercie beaucoup, M. Reid... Me Reid.
Le Président (M. Bachand) :
Merci. M. le député de René-Lévesque, pour 2 min 50 s, s'il vous
plaît.
M. Ouellet : Merci beaucoup.
Donc, à mon tour de vous saluer, M. le directeur. J'aimerais juste valider une
chose avec vous, si j'ai bien compris votre allocution. Vous faites mention
qu'il y aurait un enjeu, effectivement, pour la collecte de données. On
collecte des données personnelles, il y a le sexe, il y a l'âge, et vous nous
dites : S'il arrive une fuite, ça pourrait être dommageable. Mais il n'est
pas là, plutôt, l'enjeu? Au lieu de travailler sur les collectes, plutôt
travailler sur la protection des données? Parce qu'on peut bien collecter tout
ce qu'on veut, la grande question, c'est : Est-ce qu'on les protège bien à
l'intérieur même des organisations? Ça ne devrait pas être là, plutôt, l'enjeu,
de s'assurer que les partis politiques ont des outils avant-gardistes qui ne
peuvent pas être attaqués par des cyberpirates, bref, qu'ils ont les meilleures
protections possible pour leurs données?
M. Reid (Pierre) :
Bien, justement, en prévoyant un encadrement législatif pour les renseignements
personnels des partis politiques... C'est justement ce à quoi pourvoit le
projet de loi n° 64. Les partis politiques, comme
pour les entreprises, sont tenus d'avoir des mesures de sécurité, là, je
dirais, appropriées. Et, lorsque pourrait se produire un incident de sécurité,
qui pourrait avoir un préjudice vraiment... qui pourrait causer un préjudice à
des personnes, ils se devront de le signaler à la Commission d'accès à l'information.
Et une des choses que le projet de loi n° 64 prévoit,
c'est qu'il y ait une personne responsable, justement, de la protection des
renseignements personnels, ce qui, actuellement, n'est pas exigé, là.
M. Ouellet : Avec les
différentes modifications que vous demandez, ça aurait effectivement un impact
dans l'administration des partis politiques, un peu un fardeau administratif
supplémentaire. Vous ne croyez pas que ça va avoir une incidence aussi sur
l'émergence des petits partis politiques, là, si on doit effectivement faire
l'épuration des listes et se rendre, je vous...
M. Ouellet : ...avec les
différentes modifications que vous demandez, ça aurait effectivement des
impacts dans l'administration des partis politiques, un peu un fardeau
administratif supplémentaire. Vous ne croyez pas que ça va avoir une incidence
aussi sur l'émergence des petits partis politiques, là, si on doit effectivement
faire l'épuration des listes et se rendre, je vous dirais, conforme à ce que vous
demandez dans le projet de loi en question, donc d'épurer, d'en faire le moins
possible. Bref, que les petits partis qui commencent, avec une petite équipe,
vont avoir de la misère à, je vous dirais, à répondre aux prérogatives que vous
demandez dans votre mémoire.
M. Reid (Pierre) :
Bien, en fait, je vous dirais que si on fait un parallèle avec les entreprises,
la loi ne fait pas de distinction puis, dans le fond, tant des petites, les
moyennes puis les grandes entreprises, là. À partir du moment où les
entreprises ont des renseignements personnels, elles se doivent d'appliquer les
mêmes mesures. Par rapport à un parti émergent, bien peut-être que... ils
auront peut-être moins de renseignements personnels, mais les renseignements
personnels qu'ils auront, ils devront en assurer la même protection, là, et,
sur ça, il y a des outils qui viennent aider, que ce soient les entreprises et
les partis, à assurer une protection adéquate des renseignements personnels.
M. Ouellet : Merci, M. Reid.
Le Président (M.
Bachand) :À mon tour de vous remercier,
M. Reid, pour votre présentation. Alors, sur ce, je suspends les travaux de la commission
pour quelques instants. Merci beaucoup.
(Suspension de la séance à 16 h 25)
(Reprise à 16 h 29)
Le Président (M.
Bachand) :À l'ordre, s'il vous plaît!
Merci. La commission reprend ses travaux.
Il nous fait plaisir d'accueillir Me
Éloïse Gratton de la firme Borden Ladner Gervais. Alors, Me Gratton, vous avez
10 minutes de présentation, merci beaucoup d'être là, et après ça on aura un
échange avec les membres de la commission. Donc, la parole est à vous.
Mme Gratton (Éloïse) :
Parfait. Merci de l'invitation. Je suis heureuse d'être ici aujourd'hui et
d'avoir l'occasion de partager mes réflexions sur le projet de loi n° 64.
Donc, je suis associée chez Borden Ladner Gervais et je pratique dans le
domaine du droit à la protection de la vie privée, et mes clients sont
généralement des entreprises du secteur privé qui proviennent de diverses industries.
C'est à titre personnel que je comparais aujourd'hui.
Si je mets aujourd'hui l'accent sur les
aspects du projet de loi qui méritent selon moi d'être reconsidérés, cela ne
signifie pas que je suis en désaccord avec le projet de loi, en fait, qui est
très bien, c'est plutôt une occasion, là, de proposer des améliorations au
projet de loi.
• (16 h 30) •
J'ai soumis avec certains collègues un
court mémoire dans lequel nous présentons nos observations sur l'impact que le
projet de loi peut avoir sur les entreprises du secteur privé. Et on fournit,
là, 16 suggestions quant aux aspects du projet de loi qui mériteraient d'être
améliorés. Toutefois, je ne retiendrai, là...
16 h 30 (version non révisée)
Mme Gratton (Éloïse) :
...proposer des améliorations au projet de loi, j'ai soumis avec certains
collègues un court mémoire dans lequel nous présentons nos observations sur
l'impact que le projet de loi peut avoir sur les entreprises du secteur privé,
et on fournit, là, 16 suggestions quant aux aspects du projet de loi qui
mériteraient d'être améliorés. Toutefois, je ne retiendrai, là, aujourd'hui,
dans le cadre de mon témoignage, seulement certains éléments qui me semblent
les plus importants.
Donc, dans un premier temps, la notion de consentement.
Parmi les nombreux changements qui ont été proposés par le projet de loi n° 64, la notion de consentement a eu droit à l'une des
révisions les plus attendues et les plus nécessaires. Je pense qu'ici il y a
lieu de saluer l'introduction de nouvelles exceptions de consentement pour les transactions
commerciales, l'introduction de nouvelles exceptions de consentement pour... dans
le cadre de la recherche, certaines exemptions pour les coordonnées
professionnelles, une reconnaissance de la notion de consentement implicite, en
tout cas, bref, beaucoup de beaux changements, mais la situation est toutefois
susceptible, quand même, là, d'améliorations.
Les consommateurs se font constamment
solliciter pour donner leur consentement et l'apathie du public envers les
longs formulaires de consentement risque de persister si ce consentement est
demandé sans égard aux contextes, aux attentes raisonnables des consommateurs.
Selon selon l'article 14 proposé, le consentement doit être demandé pour
chaque fin spécifique et distinctement de tout autre renseignement communiqué à
la personne concernée. Ceci peut sous-entendre que le consentement doit être
demandé en dehors du champ d'application d'une politique de confidentialité.,
ce qui augmenterait alors le nombre de consentements demandés.
On peut aussi se questionner sur l'intérêt
de recueillir que les entreprises publient toute leur politique interne an
matière de confidentialité dans un contexte où les commissaires à la protection
de la vie privée canadiens ont généralement mis l'accent, et ce, à juste titre,
sur la réduction de la quantité de renseignements fournis aux individus dans leurs
politiques de confidentialité. Je crois qu'un recours excessif au consentement
ne fournit qu'un faux sentiment de protection et vide le concept même de
consentement de toute utilité ou de sens.
Donc, le consentement doit être une mesure
de dernier recours, qui signale aux personnes concernées l'importance de
l'activité à laquelle elles consentent. L'importance du consentement est perdue
lorsqu'il est sollicité pour une activité banale et je crois qu'il devrait
idéalement être limité aux situations où la personne concernée se voit offrir
un choix réel, par opposition à un choix purement illusoire, ou inexistant. En
ce sens, le renforcement du consentement qui a déjà été amorcé dans le projet
de loi devrait... avec une approche plus innovatrice, en introduisant des bases
juridiques autres que le consentement, comme c'est le cas en Europe.
Donc, à titre d'exemple, le RGPD reconnaît
cinq autres bases légales de traitement, dont les intérêts légitimes d'une
entreprise ou la nécessité d'exécuter un contrat. Cette approche a été défendue
avec succès en Europe et n'a pas entraîné une perte de contrôle des
renseignements personnels par les individus. Et ça, en partie grâce aux
protections qui sont offertes par la loi.
Le fait que le projet de loi continue de
s'appuyer sur la notion de consentement...
Mme Gratton (Éloïse) :
…d'exécuter un contrat. Cette approche a été défendue avec succès en Europe et
n'a pas entraîné une perte de contrôle des renseignements personnels par les
individus, et ça, en partie grâce aux protections qui sont offertes par la loi.
Le fait que le projet de loi continue de
s'appuyer sur la notion de consentement est particulièrement problématique dans
un contexte de relation employeur-employé. Donc, l'employeur a besoin de
collecter certains renseignements relatifs à ses employés pour poursuivre ses
activités, et dans certains cas, pour remplir ses obligations légales, et il
est difficile de considérer le consentement d'un employé dans ses relations
avec son employeur comme étant libre puisqu'il pourrait croire, à tort ou à
raison, que son emploi serait compromis lors d'un refus de consentement.
Cette réalité-là, elle est reconnue et
soulignée dans le cadre du RGPD et aussi dans le reste du Canada. Donc, en
vertu de la loi fédérale et des deux lois de l'Ouest canadien, Colombie-Britannique
et de l'Alberta, qui s'appliquent aux entreprises du secteur privé, les
employeurs peuvent recueillir, utiliser et communiquer les renseignements personnels
qui sont nécessaires à la gestion de la relation employeur-employé sans le
consentement de leurs employés, bien qu'ils aient une obligation de
transparence. L'absence d'une exception équivalente dans la loi sur le secteur
privé du Québec semble être un oubli important selon moi, qui devrait être
reconsidéré.
Au niveau… l'une des dispositions du projet
de loi qui crée le plus de défis aux entreprises est celle des transferts
transfrontaliers. Le projet de loi alourdit les exigences énoncées dans l'article
actuel 17 de la loi sur le secteur privé sans nécessairement offrir aux
individus une protection accrue. Donc, selon le texte proposé, une entreprise
doit, avant de communiquer des renseignements personnels à l'extérieur du Québec,
effectuer une évaluation des facteurs relatifs à la vie privée afin de
déterminer si les renseignements vont bénéficier d'un niveau de protection
équivalent à celui accordé en vertu de la loi québécoise.
L'article 17.1 du projet de loi
prévoit que le gouvernement publiera une liste des états dont le régime
juridique encadrant les renseignements personnels équivaut à celui du Québec.
Il s'agit là d'un travail absolument colossal et je me questionne, je me
dis : Peut-être que le gouvernement n'a pas réalisé, a peut-être sous-estimé
les efforts qui lui seraient nécessaires pour publier une telle liste
exhaustive. En vertu de la législation européenne, un tel exercice d'évaluation
des états étrangers est effectué par la Commission européenne après un
processus long et très détaillé incluant le Comité Européen de la Protection
des Données et les représentants des états membres. Le fait que la Commission
européenne ait déclaré la loi fédérale adéquate en 2001 et la loi sur le
secteur privé québécoise inadéquate en 2014, alors qu'elle est plus
contraignante que la loi fédérale à plusieurs égards, illustre d'autant plus,
là, les défis posés par toute méthodologie de comparaison des lois.
Cette nouvelle exigence pourrait placer
les entreprises dans une situation où elles devront faire appel à des experts
en droit étranger pour évaluer l'équivalence des lois étrangères. Cette
évaluation est d'ailleurs complexifiée par le fait que les lois étrangères
peuvent être sectorielles, modifiées au fil du temps et donc imposerait, là,
des…
Mme Gratton (Éloïse) : ...cette
nouvelle exigence pourrait placer les entreprises dans une situation où elles
devront faire appel à des experts en droit étranger pour évaluer l'équivalence
des lois étrangères. Cette évaluation est d'ailleurs complexifiée par le fait
que les lois étrangères peuvent être sectorielles, modifiées au fil du temps et
donc imposerait, là, des nouveaux coûts et des délais importants aux
entreprises implantées au Québec. Il pourrait même être particulièrement, là,
difficile pour les PME, par exemple, là, dont les moyens sont plus restreints
de s'engager dans ce type d'analyse juridique comparative.
En Europe, si le pays tiers n'est pas
considéré comme ayant un système juridique adéquat, il y a différents
mécanismes qui peuvent être utilisés par les entreprises conformément au RGPD
pour transférer des renseignements personnels en dehors de l'Europe, notamment
des clauses contractuelles types. Or, le projet de loi n° 64 prévoit déjà
une obligation d'avoir un contrat dans un contexte des partitions. Et ce projet
de loi là ne prévoit pas de mécanisme alternatif pour transférer des
renseignements vers le reste du pays ou à l'étranger. Donc, bref, le régime
proposé pour empêcher un bon nombre d'entreprises de transférer des renseignements
personnels en dehors de la province, et ce, au détriment de l'innovation et du
maintien de l'économie numérique du Québec.
Dernier point, le projet de loi n° 64
ferait de la Commission d'accès à l'information la première autorité canadienne
de protection de la vie privée ayant le pouvoir direct... d'imposer directement
des sanctions administratives pécuniaires importantes. La loi... les lois en
général, les lois en matière de protection de renseignements personnels visent
à préserver une approche technologiquement neutre afin de s'adapter aux
nouvelles technologies. Donc, c'est une approche qui est notamment illustrée
par la flexibilité avec laquelle certains concepts sont définis. Je donne à
titre d'exemple :La forme du consentement qui doit être obtenu est basée
sur la sensibilité des renseignements personnels, et laquelle est définie en
fonction du degré d'attente raisonnable en matière de vie privée que suscite le
renseignement. Le critère qui nous permet de déterminer si un élément donne lieu
à un tel degré d'attente raisonnable en matière de vie privée sera
naturellement influencé par les normes sociales en vigueur, lesquelles sont
d'ailleurs susceptibles d'évoluer avec le temps. Donc, certaines pratiques qui
étaient considérées comme intrusives à une certaine époque peuvent être
acceptables à une autre époque.
Cette flexibilité est difficile à
concilier avec la possibilité d'imposer d'importantes sanctions administratives
pécuniaires qui pourraient avoir un effet paralysant sur l'innovation. Donc, je
crois qu'il serait nécessaire de réviser le montant des amendes ainsi que le
processus permettant d'imposer ces amendes-là de façon à ce qu'il soit plus
flexible et proportionnel à la gravité de violation et au risque de préjudice
qui en découle. Par exemple, il peut être pertinent de se demander si les
montants doivent être plafonnés au pourcentage du chiffre d'affaires mondial
par opposition au chiffre d'affaires local, par exemple québécois, canadien. Je
note que les amendes maximales sont fixées en fonction du pourcentage de
chiffre d'affaires mondial, 2 %, amendes administratives, 4 % pour
les sanctions pénales, similaires au RGPD. Compte tenu que la population du
Québec représente moins de 2 % de la population de l'Union européenne, ces
seuils-là...
Mme Gratton (Éloïse) : ...je
note que les amendes maximales sont fixées en fonction du pourcentage de
chiffre d'affaires mondial, 2 %, amendes administratives, 4 % pour
les sanctions pénales, similaire au RGPD. Compte tenu que la population du
Québec représente moins de 2 % de la population de l'Union européenne, ces
seuils-là, d'amendes, peuvent sembler être disproportionnés.
En conclusion, le Québec étant la première
juridiction canadienne à proposer des réformes importantes à ses lois relatives
à la protection des renseignements personnels, nos discussions auront
certainement un impact important sur l'élaboration des réformes similaires que
proposeront le gouvernement fédéral ou celui des autres provinces. Donc,
j'espère que mes réflexions seront utiles pour l'étude du projet et il me fera
plaisir, là, de répondre à vos questions. Merci.
• (16 h 40) •
Le Président (M.
Bachand) : Merci beaucoup, maître. M. le ministre, s'il vous
plaît.
M. Jolin-Barrette : M. le
Président. Bonjour, Me Gratton.
Mme Gratton (Éloïse) :
Bonjour.
M. Jolin-Barrette : Merci de
participer aux travaux de la commission. Écoutez, reprenons sur les derniers
éléments que vous avez soulevés, là, relativement au régime de sanctions
administratives pécuniaires, là. Ce que je comprends de votre propos, c'est que
vous dites : Bon, ce qui est prévu dans le projet de loi, c'est assez élevé.
Eut égard, si on fait le comparable avec l'Europe, là, la réglementation, là,
le règlement général sur la protection des données de l'Union européenne, là,
vous dites : Ce n'est pas justifié parce qu'on n'est moins, en termes de
population, donc on ne devrait pas appliquer d'une façon équivalente, là, ces
amendes-là.
Mme Gratton (Éloïse) : Bien,
en fait, c'est un peu ça. Si on pense, là, qu'une entreprise serait sujette aux
mêmes pénalités en vertu de ses activités en Europe par rapport au Québec, bien,
techniquement parlant, elle pourrait recevoir la même amende de deux autorités
réglementaires différentes. Ça, c'est le point numéro un. Et numéro deux,
peut-être que ce serait moins intéressant pour elle de faire... d'avoir des
activités commerciales au Québec en se disant : L'amende potentielle est
tellement élevée qu'en fin de compte, là, le marché de 8, 9 ou 10 millions
d'individus, peut-être que je mets ça de côté. C'est là, je pense, qu'est
l'enjeu.
M. Jolin-Barrette : Ce que
vous nous dites, c'est un argument, dans le fond, de rentabilité puis de risque
pour l'entreprise, de dire : Bien, si, moi, je perds, dans le fond, les
données, il y une fuite de données ou je ne respecte pas mes obligations
légales, bien, l'amende est tellement élevée que je ne viendrai pas au Québec
faire des affaires. C'est un peu ça le sens de votre propos?
Mme Gratton (Éloïse) : C'est
un des propos en fait. Et je vous dirais, au niveau de l'obligation de sécurité
de la fuite des données, je pense que les enjeux de pénalité sont moins
inquiétants pour l'innovation. Je pense que c'est plutôt au niveau des analyses
de données, de la recherche du consentement, des entreprises qui pourraient
être tentées d'innover, de faire l'intelligence artificielle, donc de pousser un
peu les limites, là, des nouveaux modèles d'affaires qu'on connaît, puisque les
lois sont rédigées en termes très flexibles, le type de consentement qui doit
être obtenu, quand est-ce qu'une activité raisonnable ou tient compte, là, des
attentes raisonnables du consommateur, c'est là...
Mme Gratton (Éloïse) :
...entreprises qui pourraient être tentées d'innover, de faire l'intelligence
artificielle, donc de pousser un peu les limites, là, des nouveaux modèles
d'affaires qu'on connaît, puisque les lois sont rédigées en termes très
flexibles, le type de consentement qui doit être obtenu, quand est-ce qu'une
activité raisonnable tient compte, là, des attentes raisonnables du
consommateur... C'est là aussi, je pense, qu'il y a une inquiétude ou un enjeu.
M. Jolin-Barrette : Mais
quand vous dites, là : On devrait mettre le montant des sanctions
administratives pécuniaires ou même des amendes en fonction du risque de
préjudice, là, comment l'évaluer, là, ce risque de préjudice là, d'une façon
objective, pour dire, bien, que... pour que clairement, ce ne soit pas
subjectif puis que l'entreprise elle-même ne dise pas : Ah bien, ça, ce
n'est pas préjudiciable, là. Comment est-ce qu'on fait pour se doter de balises
très claires, là, objectives?
Mme Gratton (Éloïse) :
C'est-à-dire que les lois sont tellement neutres, d'un point de vue
technologique, que ça ne sera jamais parfaitement objectif et neutre. On a
besoin de flexibilité dans ces lois-là. Je pense qu'au niveau des amendes, on
pourrait au moins apporter certains critères, je pense, circonscrire, comme je
disais, là, en... une proportion, un pourcentage de chiffre d'affaires local.
Déjà, je pense que ça serait un bout de chemin. Puis dire qu'on va tenir compte
du préjudice pour les individus. Donc, peut-être qu'en matière de bris de
sécurité, les amendes pourraient être plus élevées. Mais lorsqu'on parle, là,
d'un consentement qu'on n'a peut-être pas assez détaillé ou un consentement
implicite qu'on a obtenu quand peut-être que c'était un renseignement explicite
parce que c'est des données sensibles, peut-être que, dans cette situation-là,
s'il n'y a pas de dommage pour l'individu, l'amende en cause pourrait être
moins importante.
M. Jolin-Barrette : Mais de
ce que je comprends, c'est un peu du cas par cas, là, que vous voulez qu'on
adopte dans la législation. Parce que c'est sûr que la portée générale de la
loi doit être... doit s'appliquer à tous. Si on dit : Le chiffre
d'affaires qui est local seulement, il y a beaucoup d'entreprises qui sont
intégrées, il y a beaucoup d'entreprises, maintenant, avec le numérique, que...
elles n'ont pas nécessairement pignon sur rue au Québec, alors ça devient
difficile pour l'autorité réglementaire de faire appliquer la législation, là,
si on fait ça, vous ne pensez pas?
Mme Gratton (Éloïse) : Bien,
en même temps, si je regarde, là, aux États-Unis, il y a un État... en
Californie, qui ont adopté un nouveau projet de loi qui est entré en vigueur
plus tôt cette année. Il faut penser que le Québec est en Amérique du Nord,
donc il faut être un peu cohérent avec le contexte géographique. Les amendes
doivent arriver en dernier lieu. Donc, je pense que c'est un peu ça, le sens,
là, de notre mémoire, en fait, c'est de dire : Les sanctions, là, c'est un
avertissement. Donc, avant de se rendre là, il faut avoir une conversation avec
l'entreprise puis dire : Ce modèle d'affaires là, il ne convient pas, à cause
de ça, puis d'avoir une discussion.
Puis, en fait, surtout à cause de la loi
fédérale, qui est vraiment sur un modèle ombudsman, je vous dirais, les
entreprises qui ont des opérations à travers le Canada sont habituées d'avoir
ces conversations-là. Donc, arriver avec des grandes pénalités un peu à la RGPD
en étant la seule juridiction en Amérique du Nord...
Mme Gratton (Éloïse) : …une
discussion, puis, en fait, surtout à cause de loi fédérale qui est vraiment sur
un modèle ombudsman, je vous dirais, les entreprises qui ont des opérations à
travers le Canada sont habituées d'avoir ces conversations-là. Donc, arriver
avec des grandes pénalités un peu à la RGPD, en étant la seule juridiction en Amérique
du Nord, là, qui a ce type d'amende là, je vous dirais, ça ébranle beaucoup les
entreprises qu'elle consulte.
M. Jolin-Barrette : Mais vous
ne pensez pas, pour assurer la protection des renseignements des individus, il
y a un coup de barre qui doit être donné, puis dire : Bien, effectivement,
c'est cette législation-là qu'on présente, c'est nouveau, puis on vise à faire
avancer les autres législations aussi? Parce qu'à un certain moment donné,
malgré le fait que, bon, il y a un système actuellement, il y en a des fuites,
puis peut-être que c'est justement parce qu'il n'y a pas de sanction importante
sur le plan financier qu'on se retrouve parfois avec des situations de
négligence.
Mme Gratton (Éloïse) : Et, en
fait, on n'est pas contre l'idée de sanction. Si vous lisez bien notre mémoire,
on n'est pas contre le concept. On pense peut-être que ça va trop loin et le
montant peut-être est trop important, en fait.
M. Jolin-Barrette : Je
voudrais peut-être qu'on aborde, là, ce que vous avez dit au début, là, au
niveau de la notion de consentement. On ne devrait pas exiger le consentement systématiquement.
Vous dites : Bon, dans la législation européenne, il y a certaines
exceptions, tout ça. Pouvez-vous nous expliquer davantage cette partie-là,
quand vous dites : On ne devrait pas systématiquement demander le consentement?
Mme Gratton (Éloïse) :
C'est-à-dire que toutes nos lois en matière de vie privée, on les appelle, là,
des lois en matière de protection de renseignements personnels, sont basées ou
tournent autour du consentement et peut-être que... et, en fait, c'est un vieux
concept de la vie privée, qui date... qu'on a importé de l'Europe du début des
années 70, donc bien avant l'arrivée de l'Internet et des nouveaux modèles
d'affaires.
Donc, on se retrouve aujourd'hui avec une
réalité où l'individu qui contrôle ces renseignements personnels, donc qui
consent à chaque cinq minutes le décret de transactions à des longues politiques
en matière de vie privée, c'est de moins en moins réaliste. En Europe, ils ont
reconnu ça et ils disent : En fait, la relation employeur-employé, non, je
vais m'assurer que l'employeur ne collecte que les renseignements qui sont
nécessaires à la gestion employeur-employé puis je vais lui imposer une obligation
de transparence. Donc, il va dire à l'employé : Voici ce que je collecte,
et comment je l'utilise, et c'est tout.
En matière... Par exemple, il y a un
contrat de service. L'individu n'a pas vraiment le choix. Donc, lui demander un
consentement... politique... Je veux dire, c'est correct d'avoir de la
transparence, mais l'idée, c'est de demander le consentement lorsque ça vaut la
peine, lorsque l'individu a vraiment un réel choix. Sinon, c'est de favoriser
la transparence, selon moi, et de s'assurer que les entreprises ne collectent
pas plus que ce qu'elles... les renseignements dont elles ont besoin pour
fournir un produit ou un service.
Donc, demander un consentement à droite
puis à gauche, puis là, quand je regarde le projet de loi puis je vois
«distinctement», «selon chaque finalité...
Mme Gratton (Éloïse) :
...et de s'assurer que les entreprises ne collectent pas plus que ce
qu'elles... dont elles... les renseignements dont elles ont besoin pour fournir
un produit ou un service.
Donc, demander un consentement à droite
puis à gauche... Puis là, quand je regarde le projet de loi puis je vois :
«distinctement, selon chaque finalité», puis là on suggère aux entreprises...
on recommande, là, que les entreprises publient toutes leurs politiques, je me
dis : Bon, là, on va se trouver dans une situation où encore une fois le consommateur
va être submergé d'informations et il va consentir à droite et à gauche sans
prendre conscience, là, ce à quoi il consent.
Puis je vais vous donner un exemple, là.
Juste récemment on le voit, les sites Web, là, mettent des petits... on a des
petits panneaux, là, où est-ce qu'ils disent : Ah! on utilise des cookies,
puis là il y a des choix. Les gens ne sont pas intéressés, les gens cliquent,
donnent leur consentement sans lire même qu'est-ce qui se passe.
Donc, je pense que, si on continue avec le
régime de consentement sans s'attarder à ces enjeux-là, bien, on ne règle pas
le problème. En gros, c'est ça. Donc, en Europe, ils ont proposé d'autres
bases juridiques. Et, comme il y a des pénalités, les entreprises sont motivées,
là, de s'assurer qu'elles respectent la loi. Et, comme les entreprises ont une
grande obligation de transparence, là, les politiques de confidentialité, en
vertu du RGPD, détaillent, là, pour chaque base juridique quel type de
renseignement est collecté et comment ils sont utilisés, les... je ne pense pas
qu'on peut dire qu'en Europe les individus ont perdu le contrôle de leurs
renseignements personnels.
Ça fait que, selon moi, garder et
s'accrocher à ce concept-là de consentement uniquement à titre de seule base
juridique, c'est problématique.
M. Jolin-Barrette :
Bien, je vous remercie, Mme Gratton. J'ai des collègues...
• (16 h 50) •
Le Président (M.
Bachand) : Merci beaucoup. M. le député de Chapleau, s'il vous
plaît.
M. Lévesque (Chapleau) :
Oui, merci, M. le Président. Bonjour, Me Gratton.
Mme Gratton (Éloïse) :
Bonjour.
M. Lévesque (Chapleau) :
Je vais peut-être prendre la balle au bond du ministre un peu. Sur le modèle
européen, là, faisons un peu de droit comparé. Est-ce que, bon, vous avez parlé
de la notion de consentement, bien entendu, qui est un peu plus large eu
Europe. Est-ce qu'il y a d'autres éléments que vous constatez dans le droit
européen ou d'autres juridictions qu'on n'a peut-être pas mentionnées, mais qui
auraient peut-être des éléments intéressants à apporter, là, au projet de loi
pour le bonifier?
Mme Gratton (Éloïse) :
C'est-à-dire qu'on s'est beaucoup penchés... Dans mon équipe, j'ai un avocat
qui a son Barreau de la Californie, donc on joue beaucoup avec cette nouvelle
loi là, qui n'est pas très bien rédigée, en toute honnêteté, mais c'est une
autre loi, là, qu'on a aux États-Unis, qui est une.... qui est, en fait, la
première loi, là, qui vise tous les consommateurs. Et j'ai aussi une avocate française,
qui a une expertise en RGPD. Ça fait qu'on... En matière de comparaisons, on
s'est beaucoup... on a beaucoup analysé ces deux juridictions là.
Le RGPD, c'est sûr que pour plusieurs,
c'est le meilleur standard de l'heure, le plus rigoureux. Et, comme je remarque
que le projet de loi n° 64 s'est beaucoup inspiré du RGPD, et c'est très
bien, on le reconnaît, tout ce qu'on suggère, là, c'est qu'on... justement, on
aille jusqu'au bout de cette analyse-là, en matière de consentement, entre autres.
M. Lévesque (Chapleau) :
D'accord. Vous avez parlé, bon, de certains de vos...
Mme Gratton (Éloïse) : ...je
remarque que le projet de loi n° 64 s'est beaucoup
inspiré du RGPD, et c'est très bien, on le reconnaît. Tout ce qu'on suggère,
là, c'est que justement on aille jusqu'au bout de cette analyse-là, en matière
de consentement entre autres.
M. Lévesque (Chapleau) :
D'accord. Vous avez parlé, bon, de certains de vos clients, là, en lien avec,
bon, des coûts supplémentaires, des délais, certains fardeaux, notamment pour
les PME. Sans briser le secret professionnel, bien entendu, est-ce qu'il y a
déjà des entreprises qui ont dit : Ah! si ce projet de loi va de l'avant,
moi, je compte quitter la juridiction, l'État du Québec? Ou est-ce que vous
pensez que ça aura un impact sur un exode possible d'entreprises, de certains
commerces ou, au contraire, vu que les standards vont être assez élevés, les
gens vont dire : Bon, bien, on peut faire confiance en ces entreprises-là
parce qu'ils adoptent des standards qui sont de la plus haute qualité, là?
Mme Gratton (Éloïse) : Bien,
en fait, votre intervention est très bien parce que, justement, il faut arriver
à mettre les deux intérêts en balance, là, s'assurer que les consommateurs sont
en confiance, s'assurer peut-être qu'on ne va pas trop loin pour décourager,
finalement, les entreprises.
Ce que je peux vous dire, non, je n'ai pas
de client qui prévoit quitter, mais c'est clair que, dans le contexte de ma
pratique, je vois des entreprises qui sont découragées, par exemple, de devoir
tout traduire leurs sites électroniques. Ça fait que des fois on est exclus de
certains sites transactionnels en Amérique du Nord à cause de la langue. C'est
correct, mais je fais juste le mentionner. Par exemple aussi, au niveau des
concours, au Québec, on a des lois plus rigoureuses en matière des concours.
Donc, souvent, on est exclus de concours.
Donc, je veux... Notre point, c'est que
c'est correct d'améliorer la loi, on est la première juridiction à le faire
puis on va espérer les autres, je l'espère, mais il faut juste arriver à ne pas
décourager les entreprises non plus. Donc, à titre d'exemple, là, j'ai
plusieurs entreprises qui m'ont contactée, par exemple dans le domaine du
service financier, en me disant : La façon que l'obligation, là,
d'effectuer des évaluations de facteurs des risques est rédigée, bien, je vais
devoir engager trois ou quatre personnes à temps plein pour faire ça à l'année
longue. Est-ce que c'est ça que le législateur, le gouvernement voulait?
Probablement que non.
Donc, c'est un peu ça, là. Notre mémoire,
là, en fait, on souligne, là, on dit : C'est très beau, toutes ces
exigences-là, on les appuie, mais il y a un petit peu de flexibilité peut-être
qui devrait être introduite, et, dans bien des cas, on dit : Comme c'est
le cas en Europe.
M. Lévesque (Chapleau) : O.K.
Ça, je comprends. Merci. Vous avez parlé également, là, de la faible tolérance,
là, des citoyens, là, actuellement à pouvoir... à vouloir remplir des
formulaires, sur Internet, de consentement, là, qui, des fois, c'est des pages
et des pages de petits caractères. Notamment, les cookies, vous avez fait
mention de ça. Est-ce que vous avez une alternative à ça? Est-ce que vous
envisagez une alternative à ces fameux formulaires là pour justement, là,
obtenir le consentement puis obtenir... dans le fond, que les citoyens aient un
meilleur contrôle sur leurs données personnelles?
Mme Gratton (Éloïse) : Bien,
je recommande, en fait, vraiment le modèle du RGPD pour ça...
M. Lévesque (Chapleau) :
...est-ce que vous avez une alternative? Est-ce que vous envisagez une
alternative à ces fameux formulaires là pour justement, là, obtenir le consentement
puis obtenir, dans le fond, que les citoyens aient un meilleur contrôle sur
leurs données personnelles?
Mme Gratton (Éloïse) : Bien,
je recommande, en fait, vraiment le modèle du RGPD pour ça. Le consentement, en
vertu du RGPD, est la dernière base juridique, et on l'utilise si rien d'autre
n'est disponible. Donc, je pense que ça ferait en sorte de renforcer le
consentement. Lorsqu'on va frapper à la porte du consommateur, on lui
dit : Voici, tu as un consentement à nous donner, c'est sérieux, puis
c'est un réel choix, ce n'est pas pour une activité qui est banale. Donc, je
pense que c'est ça, en fait, ce qu'on propose.
M. Lévesque (Chapleau) : O.K.
Puis est-ce que vous pensez que, dans le fond, un meilleur contrôle sur les
données, là, personnelles, en 2020, ça doit aussi signifier... ça signifie,
dans le fond, être un synonyme d'une responsabilité, là, qui est augmentée, du
citoyen relativement à ces données-là? Est-ce que vous avez une réflexion par
rapport à ça?
Mme Gratton (Éloïse) :
Excusez-moi, j'ai mal compris votre question.
M. Lévesque (Chapleau) :
Est-ce que, dans le fond, vous pensez qu'un meilleur contrôle, là, de ces données-là
personnelles, en 2020, devrait aussi venir avec une responsabilité, là,
augmentée de la part du citoyen relativement à ces données-là?
Mme Gratton (Éloïse) :
C'est-à-dire responsabiliser le citoyen davantage?
M. Lévesque (Chapleau) : Oui.
Mme Gratton (Éloïse) : Oui,
mais évidemment, bien... je veux dire, oui, mais il faut être réaliste en même
temps. Les citoyens sont occupés, ils ont d'autres choses à faire que de
s'éduquer, de lire des longs formulaires. Donc, justement, rendons-leur la vie
un petit peu plus facile, incorporons, là, des notions, des bases juridiques
qu'on a en vertu du RGPD comme l'intérêt légitime, là, de l'entreprise. Et on
s'assure que dans les politiques en matière de vie privée, tout est clair, la
transparence est là, les pénalités sont là. Donc, les entreprises sont motivées
à être transparentes face aux consommateurs, à les éduquer, à les appuyer, le
cas échéant. Et on ne fait pas comme redonner le fardeau au consommateur pour
s'éduquer puis aller lire les politiques de A à Z. Il y a une certaine
transparence avec des pénalités pour l'entreprise.
Donc, tu sais, dans un monde idéal, oui,
les consommateurs seraient plus responsabilisés, mais je ne sais pas si c'est
réaliste, là, de s'attendre que les consommateurs, du jour au lendemain,
deviennent des experts, là, de tous les modèles d'affaires, puis des collectes,
puis des données spécifiques qui sont collectées en ligne, etc., je ne sais pas
si c'est réaliste, en fait.
M. Lévesque (Chapleau) :
D'accord, merci. Une petite dernière question, il ne me reste pas beaucoup de
temps, là. On a eu l'occasion, là, d'avoir une commission... je ne sais pas si
vous êtes familière, sur l'application de traçage à la COVID-19.
Mme Gratton (Éloïse) : Oui.
M. Lévesque (Chapleau) : Et il
y avait un grand débat, là, en droit comparé, sur la notion de définition de
renseignements personnels, notamment en droit européen. Je ne sais pas...
peut-être vos idées sur la question.
Mme Gratton (Éloïse) : Bien,
en fait, notre définition, elle est très large et flexible. Elle n'est pas
parfaite et, dans certains cas, ce n'est pas clair, là, à partir de quel moment
est-ce qu'un renseignement est déidentifié ou absolument anonymisé, est-ce
que... Des fois, dans certains cas, c'est un renseignement technique. Je vous
dirais que j'ai... il n'y a pas eu de changements qui sont proposés en matière
de la...
Mme Gratton (Éloïse) : ...large
et flexible. Elle n'est pas parfaite et, dans certains cas, là, ce n'est pas
clair, à partir de quel moment est-ce qu'un renseignement déidentifié ou
absolument anonymisé, est-ce que, des fois, dans certains cas, c'est un
renseignement technique.
Je vous dirais que j'ai... il n'y a pas eu de
changements qui sont proposés en matière de la définition de renseignement
personnel, et je pense que c'est acceptable de garder une certaine flexibilité.
Je pense, là, que la Commission d'accès à l'information, souvent, va
interpréter, là, selon le contexte, et je pense que c'est acceptable.
Une voix
: Merci.
Le Président (M.
Bachand) : Merci beaucoup. M. le député de LaFontaine, s'il
vous plaît, pour 11 min 20 s.
M. Tanguay
: Merci
beaucoup, M. le Président. Bonjour, Me Gratton. Merci beaucoup d'être avec
nous. En quelque sorte, vous nous ramenez à nos obligations en nous rappelant
une réalité toute québécoise, c'est que quand on se compare au RGPD du
Parlement européen, où, là, il y a eu une rédaction commune, une application
commune et des termes définis, compris et appris, espérons-le, de façon
cohérente et efficace... alors que le Québec, lui, sans dire qu'on fait
cavalier seul, bien, on a notre compétence puis c'est bien parfait. Mais dans
un contexte canadien, dans un contexte nord-américain... Puis vous nous
dites : Faites attention, parce que ce que vous déciderez dans votre coin
aura nécessairement un impact, notamment un impact sur la protection effective
des renseignements personnels et un impact économique, ne serait-ce que pour
nommer ces deux-là.
J'aime la lecture de votre mémoire, parce
qu'il nous oblige à revenir à des concepts de base. Puis avant de définir,
avant de rédiger le mot à mot des articles, j'aime lire notamment votre
proposition 4, que je lis avec la proposition six. Proposition 4, vous dites...
la suggestion numéro 4 : «Mieux circonscrire l'obligation de procéder à
une évaluation des facteurs relatifs à la vie privée proposés à l'article 3.3
en utilisant un seuil basé sur la matérialité du risque présenté par l'activité
de traitement des renseignements.» Alors, vous introduisez, dans l'analyse à
laquelle vous nous invitez, là, des concepts tels que la matérialité du risque.
Je le lis, ce concept-là, de la proposition, de la suggestion 4, avec
«limiter — la suggestion 6 — davantage l'utilisation de la
notion de consentement afin de renforcer sa valeur, notamment en introduisant
des bases juridiques alternatives afin de mieux prendre en compte les intérêts
légitimes des entreprises». Donc, matérialité du risque, consentement modulé
sur cela. Quand vous devez protéger, protégez de façon rigoureuse. Mais le...
vous nous invitez à faire des... à y aller selon des bases juridiques
alternatives.
• (17 heures) •
Et autre concept, intérêt légitime des
entreprises. Ça, c'est une... Les entreprises ne sont pas un pis-aller, ne sont
pas la partie adverse, les entreprises ont des intérêts légitimes. Et je
pense... Puis je vais vous écouter, là, mon intervention est longue, mais je
trouve ça intéressant pour vous qui nous forcez, à la lecture de votre...
17 h (version non révisée)
M. Tanguay
: ...les
entreprises ne sont pas un pis-aller, ne sont pas la partie adverse, les
entreprises ont des intérêts légitimes. Et je pense... puis je vais vous
écouter, là, mon intervention est longue, mais je trouve ça intéressant pour
vous qui nous forcez, à la lecture de votre mémoire, à mettre des bémols, à
appuyer là où c'est nécessaire, là où c'est hautement sensible, et faire en
sorte que l'on puisse atteindre l'objectif sans par ailleurs se donner bonne
conscience en disant : Bon, on a fait du mur-à-mur, mais d'avoir des
impacts où même la protection ne serait pas efficace dans bien des cas. Quand
on clique «oui» à «I agree», personne ne lit ça. Moi, je le fais à tous les
jours puis je ne lis jamais ça, là. Puis qu'on viendra me l'imposer par la
suite, devant une cour de justice, je pense que ça ne serait... ça serait
difficilement applicable avec la Loi sur la protection du consommateur.
Mais j'aimerais donc vous féliciter, vous
remercier puis vous entendre peut-être davantage sur ces concepts-là, de
matérialité, de consentement, je dirais, modulé et d'intérêt légitime des
entreprises.
Mme Gratton (Éloïse) : Alors,
bien, consentement modulé, j'en ai quand même pas mal parlé en fait, là, puis
l'introduction des nouvelles bases juridiques. Peut-être quelques mots sur les
évaluations des facteurs de risque. Et, en fait, c'est un exercice qu'on fait
déjà. Il y a beaucoup de grandes entreprises, là, qui nous demandent, là, de
les aider à faire ces évaluations-là. Les plus petites, beaucoup moins. Donc,
c'est clair que, quand je vois cette obligation-là, je me dis : O.K., il y
a plusieurs entreprises, là, au Québec qui vont dire : O.K., comment je
fais ce genre d'évaluation là? Et c'est correct de faire... c'est une
évaluation des facteurs de risque en disant : Voici, j'ai un cas d'étude,
j'ai un besoin d'affaires légitime, il y a plusieurs façons, là, de se rendre à
mes fins. Il y a des enjeux de vie privée parce que ça implique des
renseignements personnels. Est-ce que j'ai pensé à tout? Est-ce que c'est
raisonnable? Est-ce que, si je mets tout ça dans la balance, c'est acceptable,
les risques en matière de vie privée sont acceptables compte tenu du besoin
d'affaires, là, qui est en cause? Donc, c'est très bien de proposer cette...
c'est ma suggestion numéro 4, là, notre suggestion numéro 4, on était
plusieurs, là, à écrire le mémoire.
Mais, en fait, notre seule inquiétude, si
je peux dire... m'exprimer ainsi, c'est qu'il n'y a pas de matérialité. Donc,
il faut faire, là, des évaluations constamment pour tout et rien. Donc, ça va
être, en fin de compte, un lourd fardeau pour les entreprises, là, selon nous.
Il y en a plusieurs qui nous ont contactés en disant : O.K., ça va être du
gros sérieux.
Et en matière d'intérêt légitime, en fait,
c'est une base légale en vertu du RGPD. Et je pense que c'est... Il y avait eu
certaines... il y avait le commissaire à la vie privée, à une certaine époque,
qui avait été interrogé et qui avait... on lui avait demandé : Est-ce que
vous pensez... puis, tu sais, à introduire cette notion-là? Et son inquiétude,
il disait : Bien, j'ai peur que, s'il y a cette exception-là au
consentement d'intérêt légitime, les entreprises utilisent toujours ça comme
excuse, puis finalement, les...
Mme Gratton (Éloïse) :
...commissaire à la vie privée, à une certaine époque, qui avait été interrogé
et qui avait... on lui avait demandé : Est-ce que vous pensez, puis... tu
sais, à introduire cette notion-là? Et son inquiétude... il disait : Bien,
j'ai peur que, s'il y a cette exception-là au consentement d'intérêt légitime,
les entreprises utilisent toujours ça comme excuse, puis finalement les consommateurs
ne seront pas protégés. Donc, c'était... Il y a quelques années, il a fait...
il a présenté, là, ses inquiétudes.
Et là c'est sûr, là, le RGPD est entré en
vigueur, là, deux ans plus tard. On regarde ce qui se passe, et non, comme il y
a du… il y a des guides qui sont publiés en Europe qui disent : Voici ce
qui est un intérêt légitime d'une entreprise, voici ce qui est acceptable, ce
qui n'est pas acceptable. Donc, si vous utilisez ça avec une obligation de
transparence, donc les entreprises doivent être très claires et expliquer
comment ils utilisent… quels types de renseignements ils utilisent, là, sur la
base juridique d'intérêt légitime. Et avec les pénalités qui sont
potentiellement acceptables, il n'y pas du tout eu de perte de contrôle en
Europe en matière de renseignements personnels. Donc, j'ai l'impression que
c'est une base juridique qui serait très utile tant pour les entreprises que
pour les consommateurs, en fin de compte.
M. Tanguay
: Et cette
notion aussi, je le dirais de même, de prévisibilité, justement, pour les
entreprises qui doivent mettre en application, qui sont de bonne foi, qui
veulent connaître leurs obligations : Mettez-moi ça clair, puis je vais
les suivre, les obligations. Et si c'est le moindrement flou, bien, à ce moment-là,
on mettrait au même pied d'égalité l'entreprise cowboy et l'entreprise qui, de
bonne foi, veut respecter les règles mais que, finalement, se demande si elle a
fait la bonne affaire puis se demande finalement : Est-ce que c'est trop
lourd? Est-ce que j'en fais trop? Donc, vous nous invitez à préciser cela.
Vous faisiez référence au fait qu'en
Europe il y a eu des fascicules, des bulletins qui venaient préciser les
obligations. J'imagine que, pour mon intervention, là, pour atteindre ces
objectifs-là, là, c'est ce qui est souhaité, là, une prévisibilité qui,
nécessairement, découlerait de distinctions : matérialité, types de
renseignement, et ainsi de suite, modulation du consentement, tout est lié, là.
Donc, à cette lumière-là, vous nous invitez à raffiner l'approche.
Mme Gratton (Éloïse) : Oui.
Exactement.
M. Tanguay
:
Faites-vous la distinction, et là je… sans dire extrapoler, le terme est trop
fort, là, j'en déduis… il y a deux concepts que j'aimerais ça… Au niveau de la
qualification d'un renseignement, trouvez-vous important, donc, que, dans
l'application qui découle d'une prévisibilité, là, on sait ce qu'on fait puis
on sait qu'on doit le faire, ça, l'importance de distinguer ce qui pourrait
être, puis les qualificatifs, là, pourraient être autres, là, de renseignements
nominatifs, renseignements sensibles, renseignements hautement sensibles? Vous
nous invitez à quelles définitions, à quelle réflexion à ce chapitre-là?
Mme Gratton (Éloïse) : J'ai…
J'aime la définition de renseignements sensibles que vous proposez. En fait,
elle est flexible. Donc, c'est génial. Le seul problème, c'est sûr que lorsque
c'est très flexible, bien, il y a moins de prévisibilité, donc c'est là où
est-ce que la CAI a vraiment un rôle à jouer, un rôle de guide. Et, en fait,
j'espère qu'avec ce projet de loi là la CAI aura les ressources nécessaires,
là, justement, pour publier…
Mme Gratton (Éloïse) : ...le
seul problème, c'est sûr que, lorsque c'est très flexible, bien, il y a moins
de prévisibilité, donc c'est là où est-ce que la CAI a vraiment un rôle à
jouer, un rôle de guide. Et, en fait, j'espère qu'avec ce projet de loi là, la
CAI aura les ressources nécessaires, là, justement pour publier des documents,
des guides pour s'assurer, là, d'éduquer les entreprises, en fait, là, et puis
les éclairer quant à son interprétation, là, dans différents contextes, la
définition de renseignements personnels, renseignements sensibles, etc.
M. Tanguay
: Est-ce que
vous jugez, à la lumière des règlements en Europe, est-ce que vous jugez que,
tel que le prévoit actuellement la Loi sur la Commission d'accès à
l'information et le projet de loi n° 64, que la CAI, au-delà d'une
question budgétaire, a l'obligation, le devoir clairement défini dans la loi de
répondre à ces demandes d'éclaircissement là? Est-ce que vous ne trouvez pas...
est-ce que vous nous invitez à ne pas mettre un article redéfinissant ou ajoutant
devrais-je dire une responsabilité à la CAI d'être proactive quant à des
bulletins d'information et d'interprétation?
Mme Gratton (Éloïse) : Bien,
si ce n'est pas déjà clair dans la loi, je pense que c'est un... ce serait
définitivement souhaitable. C'est ça que je peux dire, oui. Puis des...
M. Tanguay
: Avez-vous
un exemple dans... exemple européen à nous soumettre?
Mme Gratton (Éloïse) : Au
niveau des guides ou de... non. Je pense... Bien, à l'époque c'était le groupe
de travail, l'Article 29, mais ils ont été renommés, ils ont un nouveau
nom, là, depuis l'entrée en vigueur du RGPD, mais oui, ils se regroupent, ils
ont des budgets puis ils publient, là, beaucoup de guides à l'attention des
entreprises. Et idéalement, une petite note, là, idéalement, ces guides-là
seraient dans les deux langues. Il y a beaucoup de sièges sociaux d'entreprises
là, qui sont basés par exemple en Ontario, donc ça serait bien d'avoir ces
documents-là dans les deux langues.
M. Tanguay
: Et on a le
ministre, aussi, incidemment, le ministre responsable de l'application de la
Charte de la langue française, alors, qui était très attentif, mais je ne vais
pas lui prêter d'intention suite à cela, il en jugera. Rapidement,
suggestion 9, je trouvais ça un autre concept, c'est ça l'intérêt de votre
mémoire, c'est que ça nous force à se poser les bonnes questions en
amont : «Clarifier et circonscrire la portée du droit à la portabilité des
données, notamment de manière à ce qu'il ne s'applique pas... ne s'applique
qu'à certains types de données, à savoir les renseignements fournis par la
personne elle-même et non les renseignements qui sont dérivés, créés, etc.»
Donc, on est au-delà de la catégorisation sensible, pas sensible, mais vous
nous invitez à définir et à donner une valeur juridique à quand la personne le
donne elle-même et quand elles sont dérivées. J'aimerais ça que vous ayez, avec
le peu de temps qu'il nous reste, là, peut-être étayer cette notion-là de
«dérivées» et de «créées».
Mme Gratton (Éloïse) : Oui.
Bien, en fait, dans certains cas, des entreprises vont analyser des données,
créer peut-être des scores, créer des profils. Donc, dans certains cas, il y a
une valeur commerciale à ces données-là, ce n'est plus vraiment des
renseignements personnels, c'est presque un algorithme qu'on va appliquer, par
exemple, aux consommateurs. Donc, c'était une précision que je demandais pour...
Mme Gratton (Éloïse) :
...Oui. Bien, en fait, dans certains cas, des entreprises vont analyser des
données, créer peut-être des scores, créer des profils. Donc, dans certains
cas, il y a une valeur commerciale à ces données-là. Ce n'est plus vraiment des
renseignements personnels, c'est presque un algorithme qu'on va appliquer, par
exemple, aux consommateurs. Donc, c'était une précision que je demandais pour
la loi.
Mais, dans certains documents qui ont été
fournis... soumis, je pense, par la ministre puis même au niveau de l'impact de
la loi, à moins que je me trompe, là, mais il me semble qu'on le précise, là,
que les renseignements dérivés ne feront pas partie du droit de portabilité.
Donc, j'ai l'impression qu'on est déjà enligné à ce sujet-là, mais c'était peut-être
juste de le préciser dans la loi.
• (17 h 10) •
Le Président (M.
Bachand) :Merci beaucoup. Est-ce qu'il y
aurait consentement pour interchanger la place entre René-Lévesque... le député
de René-Lévesque et Gouin?
M. Tanguay
:
Consentement.
Le Président (M.
Bachand) : Consentement. Merci beaucoup de votre grande
collaboration. M. le député de René-Lévesque.
M. Ouellet : Merci
beaucoup, M. le Président. Donc, à mon tour, Me Gratton, d'avoir l'opportunité
de vous questionner.
Je vais y aller, d'entrée de jeu, dans
votre résumé, vous avez fait mention de l'impact que le projet de loi pourrait
avoir dans l'industrie. Mais honnêtement je trouve que vous y allez un petit
peu fort lorsque vous dites que «spécifiquement les nouveaux mécanismes d'application
du projet de loi qui incluent les sanctions pécuniaires administratives, une
hausse des amendements et un nouveau droit de recours en dommages et intérêts
sont susceptibles de soulever des préoccupations importantes pour le secteur
privé et d'avoir un effet paralysant sur l'économie numérique du Québec».
C'est un petit peu fort, vous ne trouvez
pas? Avec tout ce qui a été fait en Europe, je pense que l'économie européenne
hors pandémie n'a pas été paralysée. Mais vous ne trouvez pas que c'est un peu
fort de dire que ça va paralyser industrie numérique au Québec?
Mme Gratton (Éloïse) :
Bien, je vais m'expliquer, et peut-être que je réussirai à vous convaincre,
peut-être pas.
Lorsque je vois qu'il y a nouveau droit
pour effectuer des poursuites en atteinte à la vie privée, je vous dirais, ça
m'inquiète, et je pense que c'était suggestion numéro deux, revoir, voire...
reporter, voire éliminer le droit d'intenter un retour... un recours en
dommages pour atteinte aux droits protégés par la loi sur le secteur privé,
etc., pour la simple et bonne raison qu'il y a plus d'une centaine d'actions
collectives en protection à la vie privée qui ont été intentées à travers le
Canada. Dès qu'il y a un article de journal qui sort, critiquant une entreprise
sur un... est-ce qu'on a collecté trop de données, est-ce qu'on a été assez
transparent, on a des actions collectives qui sont déposées dans chaque
juridiction. Et, à la fin de la journée, c'est beaucoup d'argent pour les
avocats, en fin de compte, et pas beaucoup d'argent pour les consommateurs.
Donc, je me demande : Est-ce qu'on a
vraiment besoin de ce droit-là d'intenter un recours en dommages pour atteinte
à la vie privée? Aucun de ces recours-là n'a été entendu au mérite. Donc, on
n'a pas vraiment de... Mais plusieurs ont été réglés pour des grosses sommes.
Donc, ça existe, c'est là, et c'est un risque qui est très présent pour les
entreprises. Je pense que, si on y va avec des amendes, que d'encourager ces
poursuites-là, je pense que c'est peut-être un peu trop intense.
Donc, c'était un peu ça, là, l'idée, là,
suggestions un et deux. Est-ce qu'on y va avec des...
Mme Gratton (Éloïse) : …c'est
un risque qui est très présent pour les entreprises. Je pense que si on y va
avec des amendes, que d'encourager ces poursuites-là, je pense que c'est peut-être
un peu trop intense. Donc, c'était un peu ça, là, l'idée, là, suggestion 1
et 2. Est-ce qu'on y va avec des demandes ou est-ce qu'on y va avec des
poursuites? Parce qu'une entreprise qui fait… qui, par exemple, qui a un bris
de sécurité, se retrouverait à avoir une énorme amende à payer puis après ça,
se retrouverait à se faire poursuivre dans chaque juridiction parce qu'on n'est
pas… il y a d'autres lois, ça fait qu'il y a la… au fédéral et dans… les deux
lois de l'Ouest, donc si on se trouvait à se défendre dans une poursuite en
dommages.
En Europe, là, si on compare, en vertu du
RGPD, il y a ce droit-là, mais souvent, c'est des actions qui sont intentées
par des associations qui représentent des consommateurs. Donc, peut-être que
c'est une avenue, peut-être que c'est ça, là, la façon d'aller de l'avant, là,
si on veut ce type de recours là, de droits… d'intenter un recours en dommages.
Je ne voudrais juste pas encourager ces poursuites-là parce que je ne pense pas
qu'à la fin de la journée, surtout s'il y a des amendes, les entreprises seront
motivées à se conformer à la loi évidemment. Je ne pense pas qu'au bout de la
ligne, les consommateurs sont gagnants.
Le Président (M.
Bachand) : On a dépassé le temps, malheureusement. M. le député
de Gouin.
M. Nadeau-Dubois : Merci, M.
le Président. Bonjour, Me Gratton. Désolée, j'ai… en toute sincérité, je
dois vous dire que j'ai raté votre présentation. Par contre, j'avais lu votre
mémoire, donc c'est à ça que je vais me référer. D'entrée de jeu, je partage ce
qui était sous-entendu, je pense, par mon collègue de René-Lévesque. L'argument
que vous nous présentez est un argument assez classique, hein, si on en demande
trop, les entreprises, elles ne seront pas contentes, elles vont s'en aller.
C'est ce qu'on nous dit en matière de fiscalité, c'est ce type d'argument là
qui est présenté à beaucoup de gouvernements dans le monde pour les décourager
d'introduire des législations pour protéger le bien commun.
Ce n'est pas un argument qui est nouveau à
cet égard, puis vous l'utilisez, cet argument-là, en ce qui a trait au
consentement. À l'article… à la page 9 de votre mémoire, vous nous dites
qu'il faut revoir… vous nous dites : Le projet de loi pourrait être
amélioré en clarifiant, en circonscrivant la notion de consentement, et vous
dites… et même en introduisant d'autres bases légales de traitement, et vous
dites : Dont les intérêts légitimes d'une entreprise. Pouvez-vous définir
le mot «légitimes» dans cette phrase-là?
Mme Gratton (Éloïse) : Oui.
Bien, en fait, c'est un concept européen. Donc, je n'ai pas inventé ce
concept-là, c'est une base juridique en vertu du RGPD et c'est une… donc, par
exemple, qu'est-ce que je pourrais… et en fait, lorsqu'une entreprise, en vertu
de la législation européenne, dit : J'ai… En vertu de mon intérêt
légitime, je collecte ce type de renseignements là et voici ce que je fais, ils
ont une obligation de transparence dans la politique de vie privée et les
autorités peuvent demander des justificatifs. Donc, c'est quand même un
concept, là, qui a évolué.
Alors, je vous donne, par exemple, un
exemple. Ce serait quoi un intérêt légitime? Dans certains cas, par exemple,
une entreprise pourrait être soumise à un audit. Donc, on se rend sur les lieux…
Mme Gratton (Éloïse) : ...et
les autorités peuvent demander des justificatifs. Donc, c'est quand même un
concept, là, qui a évolué.
Alors, je vous donne, par exemple, un exemple.
Ce serait quoi un intérêt légitime? Dans certains cas, par exemple, une entreprise
pourrait être soumise à un audit. Donc, on se rend sur les lieux, on demande
certains renseignements pour valider, par exemple, que l'entreprise conforme à
certaines obligations juridiques. Est-ce qu'on a vraiment besoin d'aller voir
son employé pour lui demander le consentement pour divulguer ces renseignements
dans un contexte d'audit ou dans un contexte de... par exemple, d'un client qui
veut s'assurer que l'entreprise se conforme à la loi. Je vous donne un exemple,
là, mais...
M. Nadeau-Dubois : Oui, merci.
Parfait. Je ne veux pas vous bousculer, mais j'ai juste
2 min 45 s...
Mme Gratton (Éloïse) : Oui,
allez-y, allez-y.
M. Nadeau-Dubois : ...ça fait
que je vais passer à ma prochaine question. Vous dites également dans la
section de votre mémoire qui porte sur le consentement qu'il faut éviter de
multiplier les demandes de consentement. Si les entreprises multiplient les
collectes de renseignements personnels, est-ce que le pendant naturel, ce n'est
pas qu'on… est-ce que ce n'est pas logique qu'il y ait… que la conséquence, ce
soit de multiplier les demandes de consentement? Puis, au lieu de baisser la
barre du consentement, est-ce que ça ne serait pas de sensibiliser les… est-ce
que la solution, ce n'est pas davantage de peut-être sensibiliser certaines
entreprises à ce qu'elles ont réellement besoin de collecter ou pas?
Parce que c'est maintenant documenté que
plusieurs entreprises, notamment des géants du Web, collectent des données dont
elles n'ont pas actuellement identifié d'intérêt commercial. Donc, elles
collectent des données dont elles n'ont, en effet, pas besoin, mais elles les
collectent en sachant qu'éventuellement l'avancement de la technologie va
rendre ces données-là monétisables dans 10, 15, 20 ans. Google est basé
sur ce modèle de collecte massive, même des données dont on n'a pas encore les
moyens de tirer des profits, mais on se dit : Un jour, les développements
vont nous le permettre.
Le Président (M.
Bachand) : Me Gratton, rapidement, s'il vous plaît.
Mme Gratton (Éloïse) : Oui,
bien, en fait, c'est déjà une obligation dans la loi. On ne peut pas collecter
des renseignements dont on n'a pas besoin. Donc, la protection, je vous dirais,
elle est déjà là. C'est l'article 5 et 9, oui.
Le Président (M.
Bachand) : Sur ce, merci infiniment, Me Gratton, d'avoir
participé aux travaux de la commission, c'est très, très, très apprécié. La
commission suspend ses travaux jusqu'à 19 h 30. Merci beaucoup.
Mme Gratton (Éloïse) : Merci.
Le Président (M.
Bachand) : Merci.
(Suspension de la séance à 17 h 17)
19 h 30 (version non révisée)
(Reprise à 19 h 30)
Le Président (M.
Bachand) :À l'ordre, s'il vous plaît! La commission
reprend ses travaux. Bon début de soirée. La commission est réunie afin de
poursuivre les auditions publiques dans le cadre des consultations
particulières sur le projet de loi n° 64...
Des voix
: ...
Le Président (M.
Bachand) :S'il vous plaît! S'il vous
plaît! Merci. Loi modernisant des dispositions législatives en
matière de protection des renseignements personnels. Alors, ce soir,
nous allons débuter avec le représentant... la Fédération canadienne de
l'entreprise indépendante, M. François Vincent, à qui je cède la parole
pour 10 minutes, et, après ça, on aura un échange avec les membres de la
commission. Merci beaucoup d'être ici avec nous ce soir.
M. Vincent (François) :
M. le Président, je vous remercie. M. le ministre, Mmes et MM. les députés
membres de la commission, je me nomme François Vincent et je suis le
représentant des petites et moyennes entreprises québécoises à titre de
vice-président de la Fédération canadienne de l'entreprise…
Le Président (M.
Bachand) : …on aura un échange avec les membres de la
commission. Merci beaucoup d'être ici avec nous ce soir.
M. Vincent (François) : M. le
Président, je vous remercie, M. le ministre, Mmes et MM. les députés, membres
de la commission. Je me nomme François Vincent. Je suis le représentant des petites
et moyennes entreprises québécoises, à titre de vice-président de la Fédération
canadienne de l'entreprise indépendante pour le Québec, la FCEI. La FCEI, on
regroupe 110 000 entreprises PME au Canada et 24 000 au Québec. On
vous remercie vraiment beaucoup de nous recevoir ce soir pour commenter le
projet de loi n° 64, qui est une pièce législative importante de mise à
niveau du cadre légal de la protection des renseignements personnels pour la
faire suivre à l'avancement technologique que nous avons vécu. Je tiens à vous
dire, M. le Président, que la FCEI accueille positivement la présente
réflexion. La FCEI appelle toutefois à une action arrimée avec le fédéral et
les autres juridictions provinciales.
M. le Président, avant de rentrer dans le
coeur du sujet, il est important ici, pour moi, de faire une mise en contexte
de l'économie au Québec. Il faut en parler et en prendre compte dans la
présente analyse surtout quand l'adoption de nouvelles règles peut avoir un
impact sur les PME. Donc, où en sommes-nous? En date du 22 septembre, au Québec,
il y a trois PME sur cinq qui n'ont pas retrouvé leur niveau de vente normal,
trois sur cinq. Ils sont 52 % à avoir retrouvé le niveau normal de leur
personnel d'avant crise. On a à peine franchi la moitié des entreprises au
Québec.
Sans reprise économique plus vigoureuse,
ça va prendre un an, près d'un an et demi, un an et cinq mois pour être exact
selon notre étude, en moyenne, aux PME canadiennes pour retrouver le niveau de
vente d'avant COVID-19. On ne parle pas de quelques mois seulement, là, on
parle d'un an et demi. En date de la fin juin, les PME du Québec avaient cumulé
une dette moyenne de 135 000 $ en raison seulement des impacts de la
COVID-19. Puis, selon nos évaluations, on pourrait perdre entre 18 000 entreprises
au Québec, voire 30 000 dans un scénario plus pessimiste.
Dans ce contexte-là, bien, toute nouvelle
réglementation doit tenir compte de ce contexte-là, que des potentiels impacts
que ça peut avoir sur les PME qui sont déjà extrêmement fragilisées par la
présente pandémie. Puis j'ajoute qu'elles sont 75 % des PME à demander aux
différents paliers gouvernementaux de les aider à traverser la crise sanitaire
actuelle en diminuant leur fardeau administratif réglementaire. Et, M. le
Président, pour pouvoir réduire le fardeau, d'abord, il faut s'assurer de ne
pas en créer de nouveau.
Pour revenir au projet de loi n° 64,
nous désirons vous partager quelques informations qu'on juge pertinentes dans
la présente analyse. L'enquête canadienne sur la cybersécurité et le
cybercrime, publiée par Statistique Canada en 2019, illustre qu'environ
92 % des entreprises canadiennes ont déclaré avoir utilisé un ou plusieurs
services de technologie numérique en 2017. On y indique également qu'une grande
proportion des entreprises utilisent également d'autres technologies…
M. Vincent (François) :
…l'enquête canadienne sur la cybersécurité et le cybercrime, publiée par Statistique
Canada en 2019, illustre qu'environ 92 % des entreprises canadiennes ont
déclaré avoir utilisé un ou plusieurs services de technologie numérique en
2017. On y indique également qu'une grande proportion des entreprises utilise
également d'autres technologies comme les services d'information et de stockage
nuagique. Aussi, plus d'une PME sur cinq a déclaré avoir été victime d'une
cyber… d'une attaque cybernétique. Pour se prémunir contre ces risques, les PME
ont dépensé en moyenne 44 000 $. Les petites entreprises,
44 000 $, puis les moyennes, 108 000 $. On constate donc
que les PME peuvent être victimes de la nouvelle… de cette nouvelle situation,
qu'elles sont déjà dédiées à la réduction des risques, à la recherche de
solutions. Cela est à prendre en considération.
La FCEI constate également que la présente
réflexion suit un mouvement lancé dans le monde, notamment en Europe, avec
l'entrée en vigueur du Règlement général sur la protection des données en 2016.
Ici, nous, on désire préciser que l'Union européenne comporte 27 pays,
puis que, justement, on vient ici avec un règlement qui s'applique dans un bloc
de plusieurs juridictions voisines. C'est ce qu'on devrait viser aussi au
Québec, adapter ces changements-là avec le gouvernement fédéral et les autres
provinces. À cet égard, nous mentionnons que le gouvernement fédéral a annoncé
son intention de moderniser la Loi de protection des renseignements personnels
et les documents électroniques pour la rendre adéquate au règlement européen.
C'est d'ailleurs mentionné dans l'analyse d'impact réglementaire du présent
projet de loi. Dans ce contexte, la FCEI estime qu'il serait avisé de connaître
les intentions du gouvernement fédéral, puis… avant d'adopter le présent projet
de loi pour assurer un arrimage vraiment complet du cadre légal et ne pas
dédoubler les formalités administratives qui pourraient être imposées aux
entreprises. C'est notre première recommandation de notre mémoire.
D'ailleurs, hier, une déclaration commune
des associations d'entreprises dont nous sommes signataires avec 26 autres
organisations a été publié sur… en regard de l'importance d'un cadre de
protection des renseignements personnels uniforme au Canada qui trouve un… qui
trouverait un équilibre entre la gestion des risques et la compétitivité des
entreprises. Il me fera plaisir de partager ce document aux membres de la
commission. Nous réitérons ici, il faut prendre le temps de bien faire les choses
et d'adapter ce projet de loi là au contexte économique et au contexte
juridique du Canada.
Advenant que le gouvernement et les
parlementaires désirent aller de l'avant immédiatement avec une réforme
législative et de faire un cadre spécifique au Québec, voici d'autres
recommandations. D'abord, on pense qu'il faut prendre en considération la
réalité de la petite entreprise puis de ne pas créer les mêmes obligations dans
un cadre… pour répondre à leur réalité qui est bien différente. Au Québec, le coût
de la paperasse... de la réglementation représente un coût annuel de
7 milliards de dollars pour les entreprises, mais il est inversement
proportionnel à la grandeur de l'entreprise. Par exemple, il va en coûter à peu
près cinq fois plus pour une entreprise de moins de cinq employés qu'une
entreprise qui a 100 employés…
M. Vincent (François) :
...réalité qui est bien différente. Au Québec, le coût de la paperasse... de la
réglementation représente un coût annuel de 7 milliards de dollars pour
les entreprises, mais il est inversement proportionnel à la grandeur de
l'entreprise. Par exemple, il va en coûter à peu près cinq fois plus pour une
entreprise de moins de cinq employés qu'une entreprise qui a 100 employés
et plus.
Selon notre analyse, l'article 95 va
augmenter le fardeau de la PME en créant un responsable de protection des
renseignements préconisant l'adoption d'une politique d'encadrement de
renseignements, notamment en entreprise. Les propriétaires de PME, bien, c'est
des hommes, c'est des femmes chefs d'orchestre. Dans une journée, ils peuvent
être derrière la caisse, s'occuper de la comptabilité, gérer des commandes,
traiter avec des clients, avec des fournisseurs, déployer une stratégie de
marketing, s'assurer de la mise en place des mesures sanitaires, etc.
• (19 h 40) •
Plus l'entreprise va être petite, bien,
plus les nouvelles tâches et obligations normalement incombent sur le dirigeant
ou la dirigeante de l'entreprise, puis certes, il est possible qu'ils délèguent
cette tâche ou partage cette responsabilité avec un membre de leur personnel,
mais cela va représenter une perte de productivité et de coûts supplémentaires
à assumer pour des plus petites entreprises. C'est pour cette raison qu'on
demande d'exclure les PME de moins de 10 employés aux formalités
administratives spécifiquement, là. Dans un contexte actuel, que j'ai présenté
en début de présentation, il faut aider les PME à se relever, pas ajouter un poids
sur leurs épaules déjà fragiles.
M. le Président, vous savez, exclure des
petites entreprises de certaines obligations techniques, de paperasse d'une
loi, bien, ce n'est pas nouveau. Je peux donner l'exemple du régime volontaire
d'épargne-retraite, le RVER, qui est rentré par... en assujettissant les plus
grandes entreprises en premier, puis maintenant, qui n'assujettit pas les
entreprises de moins de cinq employés, l'équité salariale pour les entreprises
de moins de 10, la Charte de la langue française pour les moins de 50,
concernant les démarches de francisation à l'OQLF, parce qu'elles sont toutes
assujetties quand même aux dispositions de la charte. Donc, nous vous demandons
ainsi d'avoir la même approche pour prendre en considération la réalité bien
particulière de la petite entreprise.
M. le Président, on ne peut pas passer
sous silence le montant des amendes. L'article 150 du projet de loi n° 64 accorde à la Commission d'accès à l'information des
pouvoirs de contrôle et de sanction importants. On parle de montant maximal de
sanction administrative pécuniaire qui peut aller jusqu'à 50 000 $
pour une personne physique, et dans d'autres cas, 10 millions. En matière
de sanction pénale pécuniaire, on parle de chiffres de 5 000 à 50 000
dans le cadre d'une personne physique et de 15 000 à 25 millions de
dollars pour les autres cas.
M. le Président, les deux tiers des PME
canadiennes disaient gagner moins de 73 000 $ par année selon une
étude de la FCEI menée en 2016. Une pénalité d'une dizaine de milliers de
dollars pour une PME, c'est énorme et ça peut être très difficile pour passer à
travers une amende d'un tel poids. La FCEI vous invite à miser sur
l'accompagnement avant les...
M. Vincent (François) :
…10 000 $ par année selon une étude de la FCEI menée en 2016.
Une pénalité d'une dizaine de milliers de
dollars pour une PME, c'est énorme et ça peut être très difficile pour passer à
travers une amende d'un tel poids. La FCEI vous invite à miser sur
l'accompagnement avant les amendes, c'est d'ailleurs la méthode qui avait été
choisie par le ministère des Finances quand il avait mis en application le
règlement concernant l'attestation fiscale pour le secteur de la construction
puis des agences de placement. Avant de distribuer une première amende, bien,
il y a un avertissement qui est donné puis une explication de la règle à
suivre. On pense qu'il y a une approche similaire qui pourrait être imitée dans
le cadre du projet de loi n° 64.
Enfin, nous invitons les parlementaires à
prendre en considération la période de transition. Si on regarde l'exemple
européen où, en 2018, près de la moitié des entreprises n'étaient pas encore en
règle, on peut constater que la période de transition… dans leur cas, de
24 mois, était peut-être trop courte. C'est pour cette raison que la FCEI
propose une transition de 36 mois et aucune amende avant un délai fixé à
48 mois.
Alors, je vous remercie pour votre écoute,
M. le Président, puis je serai heureux d'échanger avec vous aujourd'hui.
Le Président (M. Bachand) :
Merci beaucoup, M. Vincent. M. le ministre, s'il vous plaît.
M. Jolin-Barrette : Oui,
merci, M. le Président. M. Vincent, bonsoir, merci de participer à la commission
parlementaire que nous tenons en lien avec le projet de loi n° 64. Donc,
M. Vincent, d'entrée de jeu, là, vous avez dit : C'est important pour
les PME, notamment, bien, en fait, l'organisation que vous représentez,
d'attendre le fédéral. Donc, d'avoir une uniformité avec le contexte canadien.
Vous ne pensez pas que si on ne fait
qu'attendre, il n'y a pas grand-chose qui va bouger en matière d'accès à
l'information puis de protection des renseignements personnels s'il faut
attendre le fédéral pour agir considérant qu'il y a des fuites de données,
considérant que le législateur québécois est souverain dans ses champs de
compétences et qu'il pourrait même lui-même être un leader pour amener les
autres juridictions à faire en sorte de moderniser leurs lois sur l'accès à
l'information?
M. Vincent (François) :
Bien, pour vous répondre à votre question, je ne pense pas nécessairement qu'on
va attendre éternellement si on attend le fédéral, surtout si on se fie à la
page 29, de l'analyse d'impact réglementaire de votre propre projet de loi,
où on dit que «le gouvernement fédéral travaille présentement afin de
moderniser la loi». Puis si je vais un petit peu plus loin dans le paragraphe,
là, c'est le deuxième paragraphe, dans le premier paragraphe en dessous des
deux picots, on dit : «On peut donc s'attendre à ce que la LPRPDE soit
modifiée dans un futur assez proche et que les obligations soient similaires à
celles prévues dans le projet de loi».
Puis plus loin, aussi, on parle de
coopération puis d'harmonisation réglementaire, puis on mentionne dans cette
analyse-là que les associations et les entreprises qui ont été rencontrées
avaient mentionné que c'était important, justement, d'harmoniser avec la loi
puis que certaines dispositions se fient à la loi actuelle. Donc, nous, ce
qu'on dit, bien, faisons bien les choses, ayons la réflexion, ayons le débat,
regardons…
M. Vincent (François) :
…réglementaire puis on mentionne, dans cette analyse-là, que les associations
et les entreprises qui ont été rencontrées avaient mentionné que c'était important
justement d'harmoniser avec la loi, puis que certaines dispositions se fient à
la loi actuelle. Donc, nous, ce qu'on dit : Bien, faisons bien les choses.
Ayons la réflexion, ayons le débat. Regardons puis arrimons avec le fédéral,
mais attendons de voir qu'est-ce que le gouvernement fédéral va faire, au lieu
qu'on soit une seule province à adopter des règles. Puis, ensuite de ça, on
doit réadapter notre loi par rapport au cadre fédéral, notamment est-ce qu'il
possible que l'Alberta puis que la Colombie-Britannique fassent… ça aussi qui
est mentionné, à la page 29 de l'analyse d'impact réglementaire, au dernier
paragraphe de votre projet de loi.
M. Jolin-Barrette : Donc, ce
que vous nous dites, c'est : Attendez, n'agissez pas, on va attendre de
voir ce que le fédéral va faire. Laissons le gouvernement fédéral, le Parlement
fédéral avoir primauté sur l'Assemblée nationale. Si le fédéral dépose un cadre
juridique, bien là, nous, province de Québec, à ce moment-là, on viendra
s'arrimer avec le fédéral.
Or, dans la loi sur… dans le privé, on a
agi comme précurseur en 1993 et, par la suite, c'est le fédéral, en 2000‑2001,
qui est venu dire, avec une législation équivalente, s'il y a législation
équivalente, on laisse la loi s'appliquer. Donc, moi, je pense qu'on ne doit
pas attendre pour légiférer. Je pense que les Québécois s'attendent à ce qu'on
prenne action. Bien sûr, il faut s'arrimer avec le gouvernement fédéral, mais
ce que je veux dire, il ne faut pas attendre avant d'agir pour protéger les renseignements
personnels des Québécois.
Sur la question, là, du fardeau pour les entreprises,
j'aimerais ça vous entendre davantage là-dessus. Vous nous dites, bon, on a des
enjeux, là, pour les PME de moins de 10 employés au niveau du responsable.
Donc, vous souhaiteriez qu'on enlève ça, et que ça s'applique à 10 et plus.
M. Vincent (François) : Oui,
bien pour répondre à votre question justement, je ne veux pas vous empêcher, le
Québec, d'avoir… de pouvoir adopter vos lois, ce qu'on dit, on dit :
Faisons bien les choses et faisons quelque chose en collaboration. Évitons de
faire deux cadres, deux parallèles ou deux tenues de registre ou… Quand on sait
qu'il y a déjà des travaux qui ont été faits, il y a même des ententes pour…
qui visent à faciliter justement la coopération légale. Bien, la France fait
partie de l'Union européenne, puis il y a 27 autres pays qui ont adopté le même
cadre. Nous, on pense qu'on devrait prendre la même approche, puis on n'est pas
les seuls, on n'est pas… les seuls, il y a 26 autres organisations économiques
qui ont formulé cette demande-là hier.
Maintenant, sur la question du fardeau
administratif et réglementaire, mais, encore là, l'étude d'analyse d'impact
réglementaire calcule qu'il va y avoir un coût d'application estimé à 68 millions
de dollars, puis un coût récurrent estimé à 56 942 060 $, c'est
quand même des montants qui sont à mentionner, significatifs. Pour la petite
entreprise, bien, oui, on voudrait qu'il y ait une exclusion pas de
l'application nécessairement de la loi, mais de l'application des formalités du
registre, de la mise en place d'une politique puis…
M. Vincent (François) :
...c'est quand même des montants qui sont mentionnés et significatifs.
Pour la petite entreprise, bien, oui, on
voudrait qu'il y ait une exclusion, pas de l'application nécessairement de la
loi mais de l'application des formalités du registre, de la mise en place d'un politique,
puis etc., qu'il pourrait y avoir des guides fournis par le ministère qui
pourraient être appliqués en entreprise. Mais je vous donne un exemple.
Admettons, moi, je vais aller, M. le Président, me faire couper les cheveux
jeudi. Ils sont courts, mais ils poussent quand même vite. Mais j'ai reçu un
texto aujourd'hui pour remplir un formulaire de sécurité pour savoir si j'avais
rencontré quelqu'un dans les 14 jours, si j'avais voyagé à l'extérieur, si
j'avais des signes de COVID. Bien, ils ont mon numéro de téléphone cellulaire,
ils ont mon dossier à l'intérieur et ils ont... d'une certaine façon, ils sont
assujettis à certaines dispositions par rapport à ça. Qu'est-ce que ça va
changer dans leur cas d'adopter une politique interne? Un garagiste, par
exemple, qui a mes informations, mes sortes de pneus, ma sorte de voiture, puis
etc.
Ce sont des genres d'application de
formalités administratives qui pourraient faire une différence pour eux sans
pour autant les dédouaner des obligations de ne pas vendre ou utiliser ces
renseignements personnels là à mauvais escient.
M. Jolin-Barrette : Je
comprends. Donc, pour l'entrée en vigueur de la loi, là, vous souhaitez
48 mois pour les amendes puis 36 mois pour l'entrée en vigueur de la
loi.
M. Vincent (François) :
Bien, dans le meilleur des cas, on aimerait ça qu'il y ait un avertissement
avant, surtout pour la petite entreprise. Maintenant, si vous appliquez la...
oui, minimalement 36 mois puis 48 mois après pour appliquer les
amendes puis ainsi pouvoir faire un accompagnement, une campagne de communication,
une sensibilisation puis ainsi permettre aux entreprises de pouvoir
s'assujettir à cette loi-là, aux nouvelles dispositions de la loi.
• (19 h 50) •
M. Jolin-Barrette : Mais
toutes les entreprises, là, qui utilisent les données des Québécois, qui
recollent des données, là, des Québécois, des renseignements personnels notamment,
là, vous ne pensez pas que les Québécois, ils souhaitent un encadrement quand
même rapide de leurs données relativement à ça, quand on voit les différents
événements qui arrivent, qu'ils soient informés si jamais il y a des fuites de
renseignements, différentes mesures? Tu sais, ça... En fait, ça fait depuis
1982 que cette loi-là n'a pas été réformée. On parle de 1993 dans les
renseignements personnels. Vous ne pensez pas que c'est... ça constitue une
priorité pour un nombre de Québécois de s'assurer de la sécurisation de leurs
données?
M. Vincent (François) : Je
pense que c'est une priorité pour les Québécois, mais que les Québécois veulent
bien faire les choses. Je pense qu'on peut comprendre la réalité différente
d'une entreprise de moins de 10 employés, qui n'a pas nécessairement de
département de ressources humaines. Je pense que les Québécois comprennent et
sont sensibles à la réalité économique vécue par les entreprises actuellement
dans le cadre de la COVID-19, et elles sont déjà extrêmement fragiles.
Je vous recommanderais de ne pas
précipiter les choses, de faire les bonnes réflexions, puis de prendre des
bonnes décisions, puis surtout d'arrimer le cadre avec qu'est-ce qui va être
mis en place par nos juridictions voisines. Une entreprise, bien, ça peut aussi
aller dans des...
M. Vincent (François) : …sont
déjà extrêmement fragiles. Je vous recommanderais de ne pas précipiter les
choses, de faire les bonnes réflexions puis de prendre les bonnes décisions,
puis surtout d'arrimer le cadre avec ce qui va être mis en place par nos
juridictions voisines. Une entreprise, bien ça peut aussi aller dans des
juridictions à côté. Donc, d'abord, prendre en considération la réalité de la
petite entreprise, de l'entreprise de prestation de services, qui peut avoir
des identifiants sans nécessairement vouloir transiger des informations
personnelles, puis de l'autre côté, le contexte économique fragile et
l'adaptation avec les autres juridictions.
M. Jolin-Barrette : Vous êtes
conscient qu'on supporte les entreprises dans les difficultés qu'elles vivent
présentement, rattachées à la pandémie. Je pense que notre gouvernement
démontre beaucoup d'appui pour les entreprises puis on sait que c'est un moment
qui est extrêmement difficile à passer. Ça, c'est une chose qui est dite.
Ensuite, lorsque l'État québécois légifère, bien, ce n'est pas juste à courte
vue, ce n'est pas juste aussi pour dans les six prochains mois ni dans la
prochaine année aussi.
Donc, ça, il faut avoir ça en
considération aussi lorsqu'on agit pour l'ensemble des Québécois et qu'on prend
des décisions aussi, il faut regarder plus loin qu'à courte vue parce que
parfois, certaines décisions pourraient faire en sorte qu'on manquerait le
bateau alors qu'il s'agit d'un enjeu qui est important, surtout à l'ère des
nouvelles technologies.
Mais je vais m'arrêter ici, M. le
Président, je pense, j'ai des collègues qui veulent poser des questions.
Le Président (M.
Bachand) : Merci. M. le député de Chapleau, s'il vous plaît.
M. Lévesque (Chapleau) : Oui,
merci, M. le Président. Merci, M. Vincent, c'est un plaisir de vous
revoir. La dernière fois, c'était au caucus régional de l'Outaouais. Et, donc, peut-être
une petite question, là, pour… on a eu, cet après-midi, une spécialiste, dans
le fond, du droit sur les renseignements, la protection des renseignements
personnels, puis elle nous parlait du droit européen avec les standards qui
sont les plus élevés, là, disons, en matière de protection.
Et là, je me… un peu en lien avec le
commentaire que vous nous avez fait tout à l'heure : On devrait attendre,
s'aligner avec le fédéral… Disons, dans l'éventualité que le fédéral… puis
actuellement, c'est le cas, là, autant au fédéral que les autres provinces,
elles ne sont pas au niveau — du moins, c'est ce que la spécialiste
nous disait — pas au niveau du droit européen ou des meilleures
pratiques en la matière. Pourquoi on ne pourrait pas être un chef de file, en
quelque sorte, et adopter, justement, nous, les standards élevés pour protéger
les renseignements personnels de notre… dans le fond, de la population, les
citoyens au Québec et, dans le fond, être, nous, les champions?
M. Vincent (François) : Bien,
tu sais, je prendrais l'expression de M. le ministre, là, pour ne pas être
seuls dans le bateau, au moins, on va être 10 autres provinces puis on va
être avec le gouvernement fédéral puis on va s'assurer d'avoir des règles qui
sont similaires. Le cadre européen, ils n'ont pas 27 règles différentes,
ils ont un cadre légal qui est appliqué dans 27 états européens. On est…
oui, l'Assemblée nationale est souveraine, mais on est aussi dans un pays, on
peut s'assurer d'avoir un cadre légal le plus connecté possible. Donc, c'est
pour ça qu'on fait cette demande-là, puis quant à la sensibilité du
gouvernement, aux entreprises…
M. Vincent (François) : …l'Assemblée
nationale est souveraine, mais on est aussi dans un pays et on peut s'assurer
d'avoir un cadre légal le plus connecté possible. Donc, c'est pour ça qu'on
fait cette demande-là. Puis quant à la sensibilité du gouvernement aux
entreprises qui avaient été mentionnées par votre collègue juste avant, oui,
mais je vous invite quand même à aller voir aux pages 17, 18 et 19… de
toute la liste des formalités administratives réglementaires qui sont créées,
puis allez rencontrer vos entreprises qui font face à la présente crise, puis
qu'il y en a trois sur cinq qui ne font pas leurs ventes actuellement, pour
leur dire qu'ils vont avoir à implanter ça rapidement.
Je crois que c'est urgent, oui, mais on
peut s'assurer de bien prendre une bonne voie, puis, comme je dis, je le
réitère, l'arrimage avec le fédéral, puis s'assurer de limiter au maximum
possible l'impact que… l'augmentation du fardeau administratif et réglementaire
des entreprises qui n'ont pas besoin de ça actuellement.
M. Lévesque (Chapleau) : Ça,
vous m'amenez…
M. Vincent (François) : Je ne
dis pas que je suis contre la protection des renseignements personnels, je dis
juste qu'il faut prendre en considération la réalité de la petite entreprise
là-dedans.
M. Lévesque (Chapleau) : Je
comprends tout à fait, d'ailleurs, ça m'amène à ma prochaine question, mais
juste pour terminer sur ce point-là, donc on serait… il vaudrait mieux ne pas
adopter les meilleurs standards pour pouvoir suivre le fédéral et les autres
provinces. Donc, ça, ça serait quelque chose qui serait mieux que d'avoir les
meilleurs standards en matière de protection des renseignements personnels.
Donc, c'est ce que je comprends parce que… disons que le fédéral puis les
autres provinces n'allaient pas au même niveau que nous, qui semble être le
meilleur standard, donc on serait mieux de s'arrimer sur le fédéral que d'avoir
les meilleurs standards. Donc, ça, c'est juste pour terminer ça.
Maintenant, ma deuxième question, donc,
vous vous inquiétez justement, effectivement, du sort des petites entreprises.
Vous suggérez peut-être que des normes différentes pourraient être appliquées,
à ce moment-là, à elles. Qu'est-ce que vous proposeriez? Parce qu'effectivement,
les réalités, on en prend compte puis on est sensibles à ces réalités-là, puis
on aimerait peut-être avoir votre son de cloche par rapport à ça, s'il y avait peut-être
des points, des éléments autres que vous voudriez nous partager quant aux
normes ou peut-être à la façon de l'appliquer.
M. Vincent (François) : Oui. D'abord,
comment on peut dire que cadre fédéral va être moins... va moins protéger le citoyen
que le cadre québécois quand on n'a pas encore entendu parler...
M. Lévesque (Chapleau) : Ça,
c'est certain.
M. Vincent (François) :
...des intentions du ministère... du gouvernement fédéral? Puis si on se fie
sur le droit européen puis on dit qu'on veut s'aligner sur le droit européen...
Puis ce qu'on entend, c'est qu'ils veulent encadrer le droit pour essayer
d'aller chercher une conformité avec qu'est-ce qui se passe en Europe, donc je
comprends mal le... cette perception de dire que ça va nécessairement être
moins bon ou moins important si c'est le gouvernement fédéral qui le fait.
Moi, je pense qu'on peut avoir... Vous
avez une discussion avec les experts, vous allez être capable de définir
qu'est-ce que les acteurs québécois préconisent comme réforme puis, ensuite de
ça, utiliser ça avec nos partenaires fédéraux puis s'assurer...
M. Vincent (François) : ...ou
moins important, c'est le gouvernement fédéral qui le fait. Moi, je pense qu'on
peut avoir... Vous avez une discussion avec les experts, vous allez être
capable définir qu'est-ce que les acteurs québécois préconisent comme réforme
puis, ensuite de ça, utiliser ça avec nos partenaires fédéraux puis s'assurer
d'éviter un dédoublement puis d'avoir un meilleur cadre possible qui va
répondre à la réalité des entreprises, répondre à la réalité des petites
entreprises puis bien protéger les renseignements personnels des individus.
Quant à l'exclusion des PME, on parle des
formalités administratives, là. Admettons, la personne doit mettre en oeuvre
une politique et des pratiques... la gouvernance à l'égard des renseignements.
Bien, l'entreprise de moins de cinq a-tu vraiment besoin de prendre du temps de
définir une politique puis de l'envoyer à ses employés puis, ensuite de ça, de
définir quelqu'un pour faire ça? Ensuite de ça, il y a l'exploitation du
registre qui semble aussi être un fardeau, de communiquer ces informations sur
le site Web ou par toute autre manière. Donc, on peut sensibiliser les
entreprises à ce qu'elles doivent faire, leur fournir des guides et des
politiques qu'ils peuvent adapter et mettre en place dans leur entreprise sans
les assujettir au fait qu'elles doivent le faire. Puis, dans le fond, ça va
être le propriétaire de l'entreprise qui va faire ça après ses heures de
travail pour ne pas écoper d'une amende, là, de dizaines de milliers de
dollars.
M. Lévesque (Chapleau) :
Merci, je vous entends bien. Peut-être une petite dernière question. Je sais
que ma collègue aura peut-être d'autres questions, là. En lien avec le contexte
COVID, là, dont vous faites mention, est-ce qu'il y aurait des propositions
spécifiques par rapport à ça pour peut-être l'application ou la mise en oeuvre
de façon graduelle de certaines mesures en lien avec la protection, bien
entendu, des renseignements personnels?
M. Vincent (François) : Bien,
nous, ce que les PME nous disent... On leur a demandé : C'est quoi la meilleure
façon de vous aider dans le cadre de la relance économique? Puis les deux
premières réponses qu'elles ont dites : N'augmente pas mon fardeau fiscal,
mes taxes, mes impôts, d'abord, parce que j'ai de la misère à arriver à... à
arriver, point, puis je dois prendre un endettement assez intense, puis
rajoute-moi pas un fardeau réglementaire puis qui va m'empêcher de pouvoir
mettre toutes mes énergies à faire en sorte de pouvoir sauver mon entreprise.
Donc, nous, on a demandé, dans ce
cadre-là, d'adopter un moratoire réglementaire, là. Puis on s'entend, là, je ne
dis pas qu'on ne veut pas adopter des nouvelles lois qui vont protéger la santé
publique, ça, ce n'est pas question dans cette demande-là. C'est de ne pas
rajouter des nouvelles charges pour les entreprises en termes de temps qu'elles
vont passer pour répondre des papiers, etc., au gouvernement. Puis ce que je
vois ici, c'est que... même votre propre analyse dit que ça peut créer un tel
fardeau auprès des entreprises.
Le Président (M. Bachand) :
Mme la députée de Notre-Dame-de-Grâce, s'il vous plaît.
• (20 heures) •
Mme Weil
: Merci
beaucoup pour votre présentation. Je dois vous dire qu'ayant été au
gouvernement pendant quand même assez longtemps je suis...
20 h (version non révisée)
M. Vincent (François) :
...même votre propre analyse dit que ça peut créer un tel fardeau auprès des entreprises.
Une voix
: Merci.
Le Président (M.
Bachand) :Mme la députée de Notre-Dame-de-Grâce,
s'il vous plaît.
Mme Weil
: Oui. Alors, merci
beaucoup pour votre présentation. Je dois vous dire qu'ayant été au
gouvernement pendant quand même assez longtemps je suis très sensible à tout ce
que vous dites par rapport au poids réglementaire. Et donc il y a tout un plan
d'action, d'ailleurs il y a un nouveau plan d'action comme vous le dites, en
matière d'allégement qui sera bientôt déposé, donc, 2020‑2025.
C'est sûr que l'objectif, ici, ce n'est
pas d'écraser les PME, c'est de s'assurer de protéger les informations
personnelles, c'est un enjeu très important. Donc, ce que vous nous invitez...
Moi, ce que j'entends, c'est : Aidez-nous à faire le travail et rencontrer
les exigences de la loi éventuelle, et de répondre, et de s'assurer qu'on
s'engage dans cette voie-là. Mais c'est le comment... on met l'accent beaucoup
sur le comment.
C'est sûr que l'Union européenne, ce n'est
pas la fédération canadienne. Des fois, il y a des provinces qui vont être
leaders en la matière, des fois, c'est le fédéral, et généralement, quand on
amène un projet de loi, d'ailleurs, au Conseil exécutif, il y a une comparaison
qui se fait avec d'autres juridictions, parce qu'on veut toujours s'assurer
qu'on n'est pas dans les derniers puis qu'on est précurseurs. Alors, je pense
que le modèle canadien, dans ce sens-là, est bon. Donc, a des leaders qui vont
inspirer d'autres, et d'autres vont faire en sorte... Mais on ne veut pas être
trop à l'écart non plus.
Donc, je suis très d'accord aussi avec
cette notion d'une certaine consultation, d'une certaine connaissance de ce qui
s'en vient, pour s'assurer qu'il y a un certain arrimage. Mais c'est vous qui
le dites.
Alors, j'aimerais... j'ai d'autres
questions aussi, mais j'aimerais peut-être que vous nous disiez plus
précisément en quoi un arrimage ferait en sorte de mieux vous protéger. Quels
seront... quel serait l'impact négatif avec le fait peut-être que les lois
soient, à quelque part, un peu différentes les unes des autres, surtout du
fédéral et du Québec. C'est quoi, l'impact de ça?
M. Vincent (François) : Bien,
la complexité, pour une entreprise qui va avoir un pied dans deux provinces,
par exemple. Donc, il va y avoir deux cadres différents à suivre, puis ça peut
être compliqué. Ce n'est pas nécessairement des grandes entreprises qui vont
être dans deux provinces, ça peut être des entreprises qui sont à la limite
d'une province, que ça soit proche de l'Ontario, par exemple, en Outaouais, il
peut y avoir des entreprises qui vont avoir des activités des deux côtés, que
ça soit en fabrication, que ça soit en construction, que ça soit dans d'autres
services. Donc, quand on doit suivre deux règlements qui sont différents, ça
peut ajouter une complexité par rapport à ça. Donc, ce serait la première... Je
ne sais pas si j'ai... Je pense, j'ai oublié... Vous aviez une deuxième partie
à votre question, mais, d'emblée, ce serait comme mon réflexe, là.
Mme Weil
: Oui, vous
répondez un peu à la question, mais c'est sûr que c'est un peu vrai dans tout,
hein? Il y a des règlements qui sont différents pour les différentes provinces.
Donc, c'est sûr que c'est pour ça que...
M. Vincent (François) : ...par
rapport à ça. Donc, ça serait la première... Je ne sais pas si j'ai... Je
pense, j'ai oublié... Vous aviez une deuxième partie à votre question, mais,
d'emblée, ce serait comme mon réflexe, là.
Mme Weil
: Oui, vous
répondez un peu à la question, mais c'est sûr que c'est un peu vrai dans tout,
hein? Il y a des règlements qui sont différents pour les différentes provinces.
Donc, c'est sûr que c'est pour ça que, souvent, quand on amène un projet de loi,
on se compare pour être sûrs qu'on n'est pas vraiment à l'extérieur, là, de la
norme.
Vous avez parlé d'accompagnement, et j'ai
vu, sur le site fédéral, d'ailleurs, que le commissaire... le Commissariat à la
protection de la vie privée vient de lancer, il y a quelques semaines, toute
une... comment dire, un gabarit d'accompagnement, justement, pour les
entreprises, pour les aider à atteindre leurs buts. C'est très détaillé. Ça a
l'air vraiment intéressant. Est-ce que c'est un peu dans ce sens-là?
Parlons d'accompagnement, dans un premier
temps, avant de poser des questions sur vos... — bien, exigences — votre
demande ou votre souhait qu'on étale la période de transition. Un
accompagnement, est-ce que ça pourrait être la réponse? C'est-à-dire, ces
petites et moyennes entreprises, souvent ils vont partager des ressources dans
certains domaines très complexes parce qu'ils n'ont pas les moyens pour quelque
chose d'aussi complexe que le respect de la loi en matière de protection des
renseignements personnels, cyberattaques, etc. Comme vous dites, les entrepreneurs,
c'est des hommes à tout faire ou des femmes à tout faire. Ils font tout. Vous
avez parlé de chefs d'orchestre, mais ils font tout.
Alors, un partage de ressources, mais
aussi, l'accompagnement, est-ce que c'est un ça, le sens de votre propos? Avant
de parler de pénalité, c'est l'accompagnement pour les PME. Je suis vraiment
dans les PME, pas les grandes entreprises, évidemment, qui ont les moyens, mais
les petites et moyennes telles que vous les décrivez.
M. Vincent (François) : Bien,
je dirais oui. Puis, tu sais, on parle beaucoup de diminuer... du coût de la
paperasse puis de diminuer la paperasse, mais un des pans superimportants de
ça, c'est vraiment l'accompagnement. Parce que la très grande majorité des
entreprises veulent bien faire, mais des fois, plus on est petit puis qu'on est
impliqué dans la production, on a moins de temps puis on ne peut pas nécessairement
tout savoir. Donc, si on améliore l'application réglementaire, la
compréhension, l'application réglementaire, oui, c'est une des clés pour
permettre aux entreprises d'appliquer la réglementation plus facilement, puis
même l'État va chercher une augmentation de la conformité réglementaire.
Puis juste là-dessus, un petit exemple,
là. L'équité salariale, là, il y a un progiciel qui a été créé pour aider les
entreprises dans le processus puis qui peut être supercomplexe, mais, après ça,
ils vont avoir un système, à côté, qui va leur permettre de les accompagner
pour réaliser le processus. Donc, ça, c'est un exemple.
Tu sais, admettons, là, sur, tu sais, la Charte
de la langue française, si j'arrive à 51 employés, puis qu'il faut que je
fasse un processus, puis que, là, bien, je dépose... je vais chercher ma
certification, là, ensuite de ça, bien, il faut que je définisse une politique,
bien, ça pourrait être bien d'avoir des exemples...
M. Vincent (François) : …tu
sais, je… admettons, là, sur… tu sais, j'ai la Charte de la langue française,
si j'arrive à 51 employés puis qu'il faut que je fasse un processus, puis
que là, bien, je dépose… je vais chercher ma certification, là, puis ensuite de
ça, bien, il faut que je définisse une politique, bien, ça pourrait être bien
d'avoir des exemples de politique que je peux télécharger, puis ensuite de ça
être capable de l'appliquer facilement à l'intérieur de mon entreprise puis me
conformer.
Donc, oui, l'accompagnement, c'est une
clé, au gouvernement, à utiliser, puis ça, on le sent qu'il y a une bonne
volonté des différents organismes, agences gouvernementales et ministères de
prendre cette voie-là puis on le recommande.
Puis juste pour conclure là-dessus, puis
c'était ça aussi, l'objectif de l'attestation de conformité fiscale dans
l'industrie de la construction puis des secteurs des agences de placement,
c'était vraiment parce que, là, c'était une règle qui changeait complètement,
il y avait… tu sais, c'est quand même complexe puis lourd parce qu'il faut que
tu aies un échange de… il faut que tu ailles chercher un formulaire puis c'est…
tu vas avoir une création de nouvelle entreprise qui ne sait pas que ça existe,
puis etc. Puis en procédant par l'avertissement avant dans une conformité
fiscale, qui est quand même assez une chasse gardée réglementaire assez
importante, bien, on s'assure de vraiment informer correctement les entreprises
puis de s'assurer qu'après, là, bien, elle n'a aucune raison de dire qu'elle ne
le savait pas.
Mme Weil
: Et ensuite,
si on va… bon, vous commencez… bien, vous parlez de votre inquiétude par
rapport à toutes les peines qui sont prévues, que c'est du jamais vu et c'est
là qui vous amène à parler d'au lieu de mesures coercitives, c'est plutôt de
procéder par accompagnement certainement, dans un certain temps, pour permettre
cette période de transition.
Mais votre langage semble vraiment dire…
j'aimerais vous entendre là-dessus parce qu'on n'a pas beaucoup parlé de ça, de
cette section de votre mémoire. Donc, vous dites qu'accorde… que le projet de
loi accorde à la Commission d'accès à l'information des pouvoirs de contrôle et
de sanction d'une envergure sans précédent envers les entreprises qui seraient
prises à défaut. Feriez-vous une distinction entre les PME et les grandes
entreprises s'il fallait avoir, donc, un régime qui ferait la distinction?
M. Vincent (François) : Oui,
on a été frappés par l'auteur des amendes, là, je suis tombé en bas de ma
chaise. Une chance, j'avais un tapis qui était épais, ça ne m'a pas trop fait
mal. Mais on comprend qu'on adapte le droit européen, puis en termes d'euros,
je pense, c'est 20 millions d'euros, 4 % des chiffres d'affaires.
Mais comme on a dit, là, par rapport à ce que fait vraiment une petite
entreprise, c'est vraiment immense. Puis après ça, bien, c'est… bon, on
pourrait me répondre : Bien, on ne veut pas aller nécessairement au
maximum. Mais après ça, le minimum est quand même assez élevé puis on a vécu la
même chose au niveau de la réforme des amendes dans le secteur de la
construction. Puis j'ai été précédemment dans une association de la
construction. Puis, après ça, bien, tu as des petites entreprises qui sont de
bonne foi puis qui se ramassent avec un niveau d'amendes tellement élevé que ça
met à risque leur propre…
M. Vincent (François) : ...au
niveau de la réforme des amendes dans le secteur de la construction. Puis j'ai
été précédemment dans une association de la construction. Puis, après ça, bien,
tu as des petites entreprises qui sont de bonne foi puis qui se ramassent avec
un niveau d'amendes tellement élevé que ça met à risque leur propre survie.
Puis on ne veut pas reproduire quelque chose comme ça qui pourrait avoir un
impact dans la petite entreprise pour des entreprises qui fondamentalement ne
voulaient pas mal faire.
• (20 h 10) •
Puis je veux juste rajouter un autre
élément, là. Les dirigeants de PME, c'est elles aussi qui sont la cible de potentielles
attaques. Tu sais, on voit, là, dans la présentation d'analyses des impacts
réglementaires, le nom des grandes entreprises. Mais les petites entreprises
aussi peuvent être victimes, puis là on les traite comme si c'était des grandes
entreprises avec les mêmes responsabilités. Alors, nous, on dit... on est
supersensibles à cette question-là, mais on vous sensibilise à la réalité bien
particulière de nombreuses petites entreprises québécoises.
Mme Weil
: Il me reste
quelques minutes... Oui? Donc, moi, ce que je retiens de votre présentation,
c'est qu'il faut vraiment, dans un contexte de COVID, évidemment, la reprise va
prendre certainement un certain temps, il y a cette sensibilité, il y a un
certain contexte. Mais je pense que vous avez mis «spotlight» sur la
vulnérabilité des PME. Ça, c'est sûr, tout le monde a cette sensibilité, je
pense que le gouvernement l'aurait aussi.
Mais, par ailleurs, même si on n'était pas
dans un contexte de COVID, vous dites : Faites attention, c'est
l'accompagnement, et certainement pour la première période, et trouver les
moyens d'aider les PME à rencontrer leurs obligations, et surtout faire
attention, je suis très sensible à cette question des peines qui sont imposées.
Il ne faut vraiment jamais être à l'écart des normes, puis il y a tout un
exercice qui se fait pour s'assurer qu'on est dans les normes. Mais en plus,
ici, c'est la sensibilité particulière que vous faites par rapport aux PME,
faire une distinction avec les grandes entreprises qui auraient les moyens mais
qui auraient aussi les ressources pour s'assurer qu'elles respectent la loi.
Alors, moi, je retiens... donc, je n'ai
plus de temps, mais je retiens votre message principal qui est très, très
pertinent dans le contexte. On souhaite protéger les renseignements personnels
et que tout le monde puisse aller dans le même sens de protection des
renseignements personnels et puisse être des acteurs.
Le Président (M.
Bachand) : Merci beaucoup. M. le député de Gouin, s'il vous
plaît.
M. Nadeau-Dubois : Merci, M.
le Président. Bonjour, M. Vincent, merci d'être avec nous ce soir. J'ai
deux sujets que j'aimerais aborder avec vous. J'ai seulement
2 min 45 s, ça fait qu'on va essayer de faire ça efficacement,
vous et moi. D'abord, sur la question des amendes, vous semblez inquiet du
montant des amendes. Par contre, dans votre mémoire, vous allez plus loin, vous
ne nous mettez pas seulement en garde sur le montant, vous nous dites :
«La FCEI ne croit pas que les mesures coercitives soient la voie à suivre.»
Donc, dans les faits, si je comprends bien votre position, puis votre troisième
recommandation va dans ce sens-là, vous souhaiteriez un régime de protection
des renseignements...
M. Nadeau-Dubois : ...vous
allez plus loin. Vous ne nous mettez pas seulement en garde sur le montant,
vous nous dites : La FCEI ne croit pas que les mesures coercitives soient
la voie à suivre. Donc, dans les faits, si je comprends bien votre position,
puis votre troisième recommandation va dans ce sens-là, vous souhaiteriez un
régime de protection des renseignements personnels au Québec dépourvu de
mesures punitives envers les entreprises. Est-ce que je comprends bien votre
troisième recommandation?
M. Vincent (François) :
O.K. Je vais répondre. Parlant d'utilisation des données personnelles, je me
suis... En répondant à votre question, j'espère que je ne me ramasserai pas encore
une fois dans un vidéo de votre parti politique pour vous scandaliser de la
position de la FCEI comme j'ai vu cette semaine...
Le Président (M.
Bachand) : M. Vincent, je vous demanderais, on n'est
pas...
M. Vincent (François) : M. le
Président, désolé.
Le Président (M.
Bachand) : On n'est pas dans un talk-show politique. Vous êtes
en commission parlementaire.
M. Vincent (François) :
Ce qu'on...
Le Président (M.
Bachand) : Allez-y.
M. Nadeau-Dubois : M. le
Président, ne vous inquiétez pas. Tout est télédiffusé. On n'a pas besoin de
faire de montage pour que les gens soient au courant. Je vous laisse terminer
votre réponse.
M. Vincent (François) :
Ce qu'on dit, c'est assez clair, on dit : l'impact d'une amende dans une
petite entreprise qui était de bonne foi peut avoir un impact sur sa survie.
Ensuite on parle qu'il faut prioriser la sensibilisation et l'accompagnement
des entreprises. Dans notre dernière recommandation, on dit : Si vous
allez de l'avant, bien, les amendes, là, après 48 mois. Donc, si vous
décidez d'aller de l'avant avec le système tel quel, bien, on dit : Bien,
la transition de 36 mois pour informer les entreprises puis ensuite de ça
les amendes imposées après 48 mois. Maintenant, je vous sensibilise
fortement à l'impact que peut avoir une telle amende sur la survie d'une entreprise
quand on voit que ce n'est pas... Les PME ne roulent pas toutes sur l'or. Puis
une dizaine de milliers d'amende, ça peut vraiment faire une différence sur
leur survie.
M. Nadeau-Dubois : Je
comprends, sauf que... Vous me parlez du montant, mais dans votre mémoire vous
parlez... Vous dites que vous souhaitez qu'il n'y ait pas de mesures
coercitives. Donc, vous ne dites pas seulement l'amende est trop élevée ou le
plancher est trop bas. Vous dites : Il ne devrait pas y en avoir. Moi,
c'est ça que je lis dans votre mémoire. Mais puisque j'ai peu de temps, je
voudrais enchaîner sur un deuxième sujet.
À la toute fin, là, votre cinquième recommandation,
est-ce que je la comprends bien si je comprends que vous recommandez qu'il n'y
ait pas d'obligation pour les entreprises lorsqu'elles transmettent des données
vers une entreprise étrangère? Vous dites : Pas d'obligation, seulement
une invitation aux meilleures pratiques. Donc, vous souhaitez qu'il n'y ait pas
d'obligation légale pour les entreprises québécoises lorsqu'elles envoient les
données des Québécois puis des Québécoises à l'étranger.
Le Président (M.
Bachand) :Merci beaucoup. Très rapidement,
M. Vincent, parce que le temps est écoulé.
M. Vincent (François) :
Oui. Préciser la réponse précédente, là. On dit : L'accompagnement devrait
être priorisé avant les amendes. Puis on parle de la méthode qui a été faite
par le ministère des Finances qui donnait un avertissement avant de donner une
amende. Donc, ce qu'on dit, c'est d'y aller par étapes. Puis ensuite, pour la
dernière recommandation, bien, l'explicatif est dans le texte juste avant.
Donc, je vous référerais au texte de notre...
M. Vincent (François) : ...qui
a été fait par le ministre des Finances, qui donnait un avertissement avant de
donner une amende. Donc, ce qu'on dit, c'est d'y aller par étape.
Et ensuite, pour la dernière recommandation,
bien, l'explicatif est dans le texte juste avant, donc je vous référerais au
texte de notre mémoire.
Le Président (M.
Bachand) : Merci. M. le député de René-Lévesque, s'il vous
plaît.
M. Ouellet : Merci beaucoup, M.
le Président. Donc, à mon tour de vous saluer M. Vincent. Je veux juste
bien comprendre votre prétention tout à l'heure, lorsque vous avez dit que vous
voudriez qu'on ait un moratoire de trois ans avant l'application de la loi et
de quatre ans pour les mesures punitives. Est-ce que c'est consécutif ou ça
serait concurrent, c'est-à-dire, on commence, trois ans pour le projet de loi,
avant sa mise en application, mais à la quatrième année de vie du projet de loi,
les mesures pourraient être appliquées, les mesures financières, ou c'est
vraiment trois ans plus quatre qui fait un total de sept?
M. Vincent (François) : O.K.
non, non, ce n'est pas additionné, là. Puis, ici, on parle de période de
transition dans le projet de loi, dans les dispositions finales, on parle de 12 mois.
Nous, après ça, on a regardé le droit européen, on a dit qu'ils ont pris
24 mois, puis qu'après ça, les entreprises... la moitié des entreprises
n'étaient pas encore conformes. Donc, on s'est dit : Bien, peut-être que
36 mois, ça serait plus réaliste pour vraiment bien sensibiliser puis
augmenter le pourcentage de conformité. Puis, ensuite de ça, bien, on rajoute
des mois après le 36 pour un total de 48.
M. Ouellet : O.K. merci. Vous
faites référence tout à l'heure, à l'opportunité que le gouvernement du Québec
devrait prendre à savoir de ne pas légiférer tout de suite pour peut-être
s'arrimer avec le gouvernement fédéral, mais je ne vous ai pas entendu parler
de l'existence de la frontière américaine aussi qui fait que des entreprises
transigent avec les États-Unis. Est-ce que vous pousseriez votre réflexion à
dire aussi qu'on devrait attendre avant même aussi que les Américains
transigent pour éviter d'être en compétition déloyale considérant qu'on va être
plus resserrés sur les règles par rapport à nos amis les Américains, là?
M. Vincent (François) : Oui.
Mais nous, notre recommandation, c'est vraiment le cadre canadien dans le
mémoire qu'on a effectué. Puis, la demande aussi, des 26 associations, on
parle d'avoir un cadre clair au pays. Donc, moi, je vous recommanderais de se
fier à nos provinces voisines et au gouvernement fédéral d'abord. C'est comme
ça qu'on a élaboré notre réflexion et les recommandations de notre mémoire.
M. Ouellet : Juste une petite
précision qui pourrait m'aider à apprécier votre argument. Combien de petites
ou très petites entreprises transigent avec le commerce interprovincial dans
vos membres, là, ou dans vos statistiques, est-ce que c'est plus de 50 %,
60 $ ou c'est plus une infime partie?
M. Vincent (François) : Je
n'ai pas ces données-là avec moi, je pourrai vous les trouver, mais il me
semble, de mémoire, que c'était comme un 24 % qui exportait, un 60 %
qui importe, puis que c'était majoritairement avec les États-Unis. Mais je n'ai
pas ces données-là par coeur, mais je peux faire une rechercher puis acheminer
l'information aux membres de la commission parlementaire si ça peut aider à la
réflexion puis à vos discussions quant au présent projet de loi.
M. Ouellet : Ça serait
apprécié, M. Vincent, considérant que votre fédération est une
fédération...
M. Vincent (François) :
...mais je n'ai pas ces données-là par coeur, mais je peux faire une recherche
puis je peux acheminer l'information aux membres de la commission parlementaire,
si ça peut aider à la réflexion puis à vos discussions quant au présent projet
de loi.
M. Ouellet : Ce serait
apprécié, M. Vincent, considérant que votre fédération est une fédération
canadienne. Vous avez des membres à travers le Canada, mais, évidemment, nous,
ce qui nous préoccupe, c'est les PME du Québec. Donc, ce genre d'information là
pourrait nous permettre d'apprécier... effectivement, si on avait légiféré et
que les impacts, tel que vous le citez, pourraient se répertorier sur les
entreprises et j'aimerais ça connaître l'impact que ça pourrait avoir pour le
nombre d'entreprises que vous représentez
Le Président (M.
Bachand) : Merci, M. Vincent. Merci beaucoup de votre
participation à la commission. Celle-ci suspend ses travaux quelques instants.
Merci.
(Suspension de la séance à 20 h 19)
(Reprise à 20 h 22)
Le Président (M.
Bachand) : À l'ordre, s'il vous plaît! La commission reprend
ses travaux.
Alors, il nous fait plaisir d'accueillir
les représentants de la Fédération des chambres de commerce du Québec. Alors,
vous avez 10 minutes de présentation. D'abord, vous vous présentez, bien
sûr, individuellement, et après ça on aura un échange avec les membres de la
commission. Alors, M. le président.
M. Milliard (Charles) :
Alors, bonsoir. Je me présente, Charles Milliard, P.D.G. de la Fédération des
chambres de commerce du Québec. Je suis accompagné ce soir de M. Alain
Lavoie, qui est président du comité des technologies de l'information et des
communications à la FCCQ. Je remercie la commission de nous permettre de
comparaître ce soir et pour discuter, donc, de cet important projet de loi
n° 64.
Un bref rappel, je crois que vous le
savez, mais la FCCQ, grâce à son vaste réseau de plus de 130 chambres de
commerce et de 1 100 membres corporatifs représente plus de 50 000
entreprises, des petites, des moyennes, des grandes, qui exercent leurs
activités, donc, dans tous les secteurs de l'économie et sur l'ensemble du
territoire québécois.
D'entrée de jeu, je tiens à afficher nos
couleurs dans le cadre des consultations. Donc, je tiens à vous dire que nous
sommes favorables à un projet de loi comme celui-ci, qui vient reconnaître la
nécessité de mettre à jour notre cadre législatif en matière de protection des
données personnelles. On s'adresse à vous ce soir, donc, dans une optique de
bonification du projet de loi, tout en vous faisant part, évidemment, c'est
notre rôle, des nombreuses questions, inquiétudes ou suggestions qui ont meublé
les discussions avec nos membres.
Je vous mentionne aussi au passage que
nous avons joint à notre mémoire une lettre d'appui de l'Association québécoise
des technologies, qui supporte nos observations et recommandations.
L'évolution technologique des dernières
décennies, l'avènement et la croissance d'entreprises dont le modèle d'affaires
repose sur la commercialisation des renseignements personnels et l'évolution
rapide des secteurs d'activité comme l'intelligence artificielle nous poussent
donc nous, membres de la société civile, à la réflexion et à l'action. Les
parlementaires que vous êtes, donc, visez juste en vous penchant sur ce
dossier, et l'actualité nationale et internationale nous le rappelle
fréquemment. Aussi, je rappelle que tous doivent se sentir concernés ce soir,
donc le secteur privé mais aussi, aussi le secteur public.
Soyons clairs, les renseignements
personnels méritent d'être protégés, et les contrevenants méritent d'être
sanctionnés. Le véritable enjeu ici, c'est plutôt la...
M. Milliard (Charles) : ...et
l'actualité nationale et internationale nous le rappelle fréquemment. Aussi, je
rappelle que tous doivent se sentir concernés ce soir, donc le secteur privé,
mais aussi, aussi le secteur public.
Soyons clairs, les renseignements
personnels méritent d'être protégés, et les contrevenants méritent d'être
sanctionnés. Le véritable enjeu ici, c'est plutôt la recherche de l'équilibre
entre cet impératif de protection et entre le désir légitime des entreprises québécoises
de continuer d'innover, de compétitionner à armes égales et surtout, surtout de
réussir. Autre point important à noter, notre approche aujourd'hui n'est pas de
commenter le projet de loi dans une perspective légale ou technique, je crois
important de le mentionner. Vous allez recevoir de nombreux experts au cours
des prochains jours qui seront beaucoup plus... mieux placés que nous pour
pratiquer ce genre d'éclairage. Notre contribution vise donc à assurer que la
future loi soit la plus pragmatique et réaliste possible pour les entrepreneurs
de toutes les régions du Québec.
Je voudrais vous parler rapidement de
quatre aspects du projet de loi qui nécessitent, selon nous, une attention
particulière, donc : le besoin d'harmonisation législative, le flux de
données transfrontalier, la notion de consentement et bien sûr le soutien aux
PME.
Alors, tout d'abord, il est crucial pour
le Québec de ne pas s'isoler du reste du Canada ou de ses principaux
partenaires internationaux. Bien que les changements proposés par le p.l. n° 64 soient inspirés du RPGD adopté par l'Union européenne,
il est souhaitable que le Québec et le reste du Canada coordonnent leurs
efforts en vue d'harmoniser le plus possible, dans la mesure du possible les obligations
en matière de protection des renseignements personnels. Si le Québec devait
faire cavalier seul, il risquerait de pénaliser les entreprises québécoises et
autres entreprises faisant affaire au Québec. Nos principaux partenaires
économiques sont vraiment autour de nous, alors il faut privilégier la
concertation à l'isolement.
Mais comprenons-nous bien. On ne demande
pas ici ce soir de suivre les autres juridictions ou d'attendre, comme j'ai
entendu d'ailleurs M. le ministre le dire, on souhaite que le Québec adopte une
position de leadership et entame des discussions avec ses homologues afin de
favoriser l'élaboration d'un régime de protection de données qui, oui, serait
pancanadien et qui viserait le développement économique des entreprises
québécoises à l'intérieur de cette zone économique tout en permettant
évidemment au gouvernement d'arriver à ses fins.
Prenons notamment l'exemple du secteur de
l'intelligence artificielle. Dans les dernières années, les différents
gouvernements du Québec ont choisi avec raison, je pense, de miser gros sur ce
secteur, avec tout le succès que l'on connaît maintenant et dont on est si
fier. Or, une adoption rapide du projet de loi n° 64
sans harmonisation avec les autres provinces et avec le gouvernement fédéral
mettra nécessairement à risque la compétitivité de ce secteur.
Un autre enjeu très préoccupant pour nos
membres est l'amendement concernant le flux de données transfrontalier. Cet
amendement crée un processus d'obligation... d'évaluation, pardon, obligatoire
des équivalences des cadres juridiques de différentes juridictions qui est certainement
complexe, ambigu et parfois subjectif. Si le processus d'évaluation devait
conclure que les informations destinées à une autre juridiction bénéficieront
d'une protection similaire à celle prévue au Québec, il en résulterait donc un
ensemble de dispositions contractuelles visant à établir des obligations
réciproques en matière de protection de données, ce qui est ou devrait déjà
être la réalité dans la majorité des ententes de transfert de données
transfrontalier. L'incertitude causée par ce processus, et surtout peut-être le
manque d'expertise des entrepreneurs en la matière risquent...
M. Milliard (Charles) : ...il
en résulterait donc un ensemble de dispositions contractuelles visant à établir
des obligations réciproques en matière de protection de données, ce qui est ou
devrait déjà être la réalité dans la majorité des ententes de transferts de
données transfrontaliers.
L'incertitude causée par ce processus et
surtout peut-être le manque d'expertise des entrepreneurs en la matière risque
de nuire au commerce et au développement économique du Québec. Encore une fois,
l'harmonisation des législations dans notre zone économique primaire viendrait
bien sûr aplanir bien des enjeux.
Dans un autre ordre d'idées, le projet de
loi n° 64 créé des exigences en matière de
notification des atteintes à la protection des données et bien sûr en matière
de consentement. Ces exigences obligeront les entreprises à modifier leurs
pratiques mondiales pour accommoder le marché québécois ou peut-être tout simplement
à cesser d'offrir l'accès à leurs produits ou services aux consommateurs et aux
entreprises du Québec. Il faut simplement reconnaître que ce fait existe.
Les modifications proposées semblent
suggérer un consentement spécifique pour chaque utilisation des renseignements
personnels. Évidemment, la FCCQ comprend tout à fait l'objectif du législateur
ici, mais cette approche est factuellement lourde et est quand même peu
pratique. Il serait souhaitable, dans un souci de mieux opérationnaliser ces
changements, donc, de permettre le consentement en bloc, dans la mesure où ce
consentement vise bien sûr un objet qui serait obligatoirement clairement
divulgué.
Permettez-moi de commenter rapidement
l'impact du projet de loi sur les PME. Alors que les grandes entreprises
pourront aisément s'adjoindre des experts pour se conformer à l'éventuelle
nouvelle loi, combien de PME auront réellement les ressources en termes de
services juridiques, de conformité, de communication pour gérer tous ces
changements? La réponse : Très peu d'entre elles. Alors, devant cette
réalité, bon nombre d'entrepreneurs seront laissés à eux-mêmes dans des
situations qui sont parfois complexes, mais qui sont surtout, je vous dirais,
anxiogènes.
Il est donc essentiel pour nous de mettre
en place un programme d'accompagnement qui permettrait aux PME de faire la
transition et d'accorder une période de transition aussi pour se conformer aux
obligations prescrites par le projet de loi. Vous conviendrez avec moi qu'en
matière de défis opérationnels, logistiques, légaux et financiers, la cour de
nos PME au Québec en ce moment est pleine, très pleine.
Finalement, une partie importante de notre
mémoire, vous l'avez constaté, se consacre à l'utilisation des données dans le
secteur de la santé. Le récent débat portant sur l'accès aux données de la
Régie de l'assurance maladie du Québec, par l'industrie pharmaceutique
notamment, a fait l'objet selon nous d'un malheureux glissement médiatique, et
je pense qu'il convient de rassurer la population à cet égard. Il nous apparaît
important de rappeler que l'industrie biotechnologique et pharmaceutique ne
désirent pas acheter des données ni accéder directement aux renseignements de santé
des Québécois, elle souhaite plutôt être en mesure d'obtenir des réponses à des
questions soumises aux gestionnaires de renseignements personnels et diverses
banques de données gérées par l'État. En clair, ce sont donc les résultats de
recherche qui favorisent l'avancement de la science et non l'obtention des
données brutes.
Selon l'article 27 du projet de loi n° 64, des organismes publics, tels qu'un CIUSSS, par
exemple, pourraient se voir attribuer un rôle de gestionnaire de renseignements
personnels et, par conséquent, mettre en place, donc, des bases de données qui
pourraient être utilisées. Les entreprises biotechnologiques pourraient alors
soumettre leurs problématiques et obtenir des réponses. Ils agiraient... ils
agiraient, pardon, en quelque sorte, donc, comme des fiduciaires des données.
• (20 h 30) •
Afin de sécuriser l'ensemble...
20 h 30 (version non révisée)
M. Milliard (Charles) :
…pourraient se voir attribuer un rôle de gestionnaire de renseignements
personnels et, par conséquent, mettre en place, donc, des bases de données qui
pourraient être utilisées. Les entreprises biotechnologiques pourraient alors
leur soumettre leurs problématiques et obtenir des réponses, il s'agirait… ils
agiraient, pardon, en quelque sorte, donc, comme des fiduciaires des données.
Afin de sécuriser l'ensemble des acteurs, ces gestionnaires pourraient donc
être assujettis, selon nous, à un système de certification ou d'accréditation
imposant le plus haut standard en matière de protection et d'accès aux données.
Souhaitons que le présent projet de loi
ainsi que l'ensemble de l'action gouvernementale, j'ai envie de dire,
continuent de valoriser et de stimuler la recherche et l'innovation dans le
secteur de la santé au Québec. En terminant, la FCCQ salue le travail des
parlementaires dans le cadre du projet de loi n° 64, l'enjeu principal
pour vous, selon nous, est réellement de trouver le bon équilibre entre, d'un
côté, la protection et, de l'autre côté, l'innovation et le développement
économique. Certes, c'est un défi important, pas évident, mais si on garde en
tête à la fois le citoyen qui souhaite voir ses données personnelles protégées
et l'entrepreneur qui souhaite avoir une chance équitable de trouver son marché
et de réussir ici et ailleurs, nous y arriverons. Avec ce projet de loi, le
Québec se présente encore une fois comme un leader au Canada. Souhaitons que sa
mise en application se fasse sous le signe de l'harmonisation, de
l'accompagnement et surtout du pragmatisme. La FCCQ sera aux premières loges
pour aider les entreprises du Québec à s'adapter à cette nouvelle réalité. On
répondra à vos questions avec plaisir. Merci de votre attention.
Le Président (M.
Bachand) : Merci beaucoup, M. le président. M. le
ministre, s'il vous plaît.
M. Jolin-Barrette : Merci, M.
le Président. M. Milliard, un plaisir de vous recevoir en commission
parlementaire, merci de votre présence. Je crois que vous êtes accompagné
également de M. Lavoie, si je ne me trompe pas.
M. Milliard (Charles) : Tout
à fait. Oui.
M. Jolin-Barrette : Merci
d'être présent. Écoutez, peut-être, d'entrée de jeu, là, vous avez fait
référence à la notion du consentement en blocs. Comment est-ce que vous…
pouvez-vous nous détailler votre position, là, sur la notion de consentement en
blocs? Tout à l'heure, on a eu une intervenante qui nous en parlait un peu,
pour dire : Bon, bien, ça… il ne faudrait pas demander à toutes les fois
un consentement, à chaque fois qu'on a un renseignement qui est recueilli.
Vous, vous dites : Bien, on devrait exiger des consentements en blocs.
Comment vous l'opérationnalisez, ça?
M. Milliard (Charles) : Bien,
premièrement, j'ai pris connaissance de l'intervention de l'experte légale cet
après-midi, donc je suis d'accord qu'à force de demander des consentements en
série on vient un peu dénaturer la notion, justement, de consentement éclairé
et explicite, je dirais.
Ceci étant dit, je vous dis que le
consentement peu se faire en blocs, «bloc» peut prendre un s, donc je ne vous
demande pas non plus d'avoir un consentement qui serait unique pour une seule
démarche. Mais on pense qu'on peut nécessairement regrouper certaines
démarches. Alain, je ne sais pas si tu aurais des commentaires là-dessus toi
aussi?
M. Lavoie (Alain) :
Bien, en fait, effectivement, l'idée là-dedans, c'est que le citoyen ne soit
pas toujours en train de cliquer pour dire : Je consens, je consens, puis
qu'à un moment donné il arrête de lire. C'est une des choses, et donc de le
faire comme il faut, de… que ce soit clair quand on amène le consentement à la
personne, mais on pense surtout dans le monde Internet, là, essentiellement,
quand on demande un consentement, mais ça pourrait aussi être dans le monde de
la santé, dans le monde de l'assurance, ainsi de suite, de dire : Je te
donne la permission d'accéder à mes choses. Ceci dit…
M. Lavoie (Alain) :
…de le faire comme il faut… que ce soit clair quand on amène le consentement à
la personne. Là on pense surtout dans le monde Internet, là, essentiellement,
quand on demande un consentement, mais ça pourrait aussi être dans le monde de
la santé, dans le monde de l'assurance, ainsi de suite, de dire : Je te
donne la permission d'accéder à mes choses.
Ceci dit, il pourrait avoir de la
récurrence, par exemple, essentiellement, on pourrait dire : J'ai donné
mon consentement aujourd'hui, mais je rappelle, dans six mois, que je dois
redonner mon consentement. Est-ce que je serai encore là dans six mois? C'est
des choses qui pourraient être possibles. Mais là, on n'est pas nécessairement
dans les détails, mais c'est des choses qui seraient possibles d'envisager.
Est-ce que ça répond à votre question, là, M. le ministre?
M. Jolin-Barrette : Oui,
c'est intéressant ce que vous dites, vous dites, dans le fond : Mais peut-être
qu'on va donner un consentement une fois, puis on n'accorde pas notre consentement
à toutes les fois, mais d'une façon récurrente, c'est prévu par la loi qu'on
doit revalider le consentement d'une façon détaillée à certaines étapes.
M. Milliard (Charles) : On le
voit déjà dans certains secteurs de la santé, dans le secteur pharmaceutique,
dans la protection des données cliniques, c'est des choses qui arrivent aussi.
Donc, ça pourrait être fait, donc ça peut être des blocs itératifs, mais sans
être une litanie de consentements sans fin, là.
M. Jolin-Barrette : O.K. Sur
la question de l'intelligence artificielle, là, vous nous mettez en garde, vous
dites : Bon. On est dans un environnement nord-américain, Montréal est une
plaque tournante d'intelligence artificielle, en quoi, est-ce qu'on doit être…
on doit faire attention pour ne pas nuire à ce secteur-là?
M. Lavoie (Alain) :
Est-ce que je peux me permettre? Écoutez, on a momentum en ce moment au Québec,
où on a beaucoup d'attraction sur l'intelligence artificielle. On attire beaucoup
d'entreprises, plein de gens veulent venir s'installer parce qu'on a une
qualité de chercheur, on a une expertise de pointe. On est probablement un des
pôles les plus importants dans le monde quand on considère intelligence
artificielle et recherche opérationnelle.
Essentiellement, puis, comme vous le
savez, la donnée est une des… est la chose qui fait fonctionner ces
algorithmes-là. Donc, si on légifère de telle façon que la donnée va être plus
accessible chez nos voisins qu'ici, bien, il se peut fort bien, il se peut fort
bien que les entreprises aillent ailleurs plutôt que de venir ici. Ça se peut
que les cerveaux viennent s'installer… aillent ailleurs, parce que les
chercheurs, ce qu'ils cherchent, c'est de la donnée pour pouvoir alimenter
leurs algorithmes, il se peut très bien que... C'est ça qu'on met en garde, on
dit : D'un côté, on a investi puis on est en train de réussir pour être un
pôle en intelligence artificielle mondial. Puis de l'autre côté, bien, on
pourrait mettre un frein, il se peut qu'il y ait un frein si on légifère trop, de
façon plus contraignante qu'ailleurs. C'est juste dans ce contexte-là. Ça ne
veut pas dire qu'il faut être cow-boy, ça veut dire qu'il faut l'utiliser comme
il faut, il faut responsabiliser les chercheurs, il faut responsabiliser les entreprises,
il faut responsabiliser tout le monde, mais…
M. Lavoie (Alain) :
...bien on pourrait mettre un frein. Il se peut qu'il y ait un frein si on
légifère trop... de façon plus contraignante qu'ailleurs. C'est juste dans ce
contexte-là. Ça ne veut pas dire qu'il faut être cow-boy, ça veut dire qu'il
faut l'utiliser comme il faut. Il faut responsabiliser les chercheurs, il faut
responsabiliser les entreprises, il fait responsabiliser tout le monde, mais essentiellement,
il faut s'assurer quand même que la compagnie n'ira pas s'installer ailleurs
plutôt que de venir au Québec. C'est une des choses.
M. Jolin-Barrette : Mais il y
a plusieurs facteurs aussi dans le choix de l'installation d'une compagnie dans
un État ou dans un autre, là. Mais trouvez-vous qu'avec la mouture qu'on a actuellement,
avec le projet de loi n° 64 avec les libellés qu'on a, on est à risque, par
rapport à l'intelligence artificielle, avec ce qu'on a, là, sur la table présentement?
Ou vous dites : C'est un compromis qui est acceptable?
M. Lavoie (Alain) :
En fait, tant et aussi... Moi, je pense que c'est un compromis qui est
acceptable, tant et aussi longtemps qu'on harmonise, tant et aussi longtemps
qu'on... Comme Chalres l'a dit en préambule, on est... Moi, je crois qu'on a un
savoir-faire incroyable au Québec. Si on veut être les leaders, soyons les
leaders, mais assurons-nous que nos voisins nous suivent dans notre projet de
loi puis qu'ils prennent le même modèle que nous, parce que si on a des modèles
disparates un peu partout, c'est là, qu'on risque d'avoir un enjeu de notre
côté.
M. Jolin-Barrette : O.K. Sur
la question des amendes, des sanctions administratives pécuniaires, qu'est-ce
que vous en pensez? Donc, du montant des amendes puis du régime de sanctions
administratives pécuniaires.
M. Milliard (Charles) : Nous,
on n'a pas... Pardon, on n'a pas amené de commentaires précis sur la notion des
montants des amendes. Notre inq, c'est plus sur le nombre d'amendes qu'une organisation
peut recevoir. Donc, je pense, ça serait important qu'on précise que ... Vous
m'entendez? Oui?... je pense que ça serait important qu'on précise que l'amende
doit être applicable dans la juridiction où elle est constatée. Donc, on
constate justement que dans d'autres lois, d'autres réglementations, c'est
possible pour les gens de cumuler des amendes .
Alors, vous allez me dire : Si
quelqu'un est coupable, bien il pourrait bien payer cinq amendes, tant qu'à
moi. Peut-être, mais dans le cadre de la transition et de mise en application
d'une loi comme ça, je pense qu'on devrait s'assurer que les règles sont
claires et qu'on peut, justement, s'attendre à avoir une amende, à avoir un
petit coup de bâton, si on veut, et qu'ensuite, on puisse ajuster et bonifier,
là, la façon dont on fonctionne.
M. Jolin-Barrette : O.K.
M. Lavoie (Alain) :
Et vous êtres enligné, M. le ministre, vous êtes enligné sur ce que les
Européens font par rapport aux amendes. Il faut comprendre qu'au printemps
2019, il y avait à peu près 109 juridictions dans le monde qui s'enlignaient
vers ce que l'Europe a fait. Donc, le Québec, quand il s'enligne à peu près
là-dessus, bien plus on va être harmonisés, plus ça va être facile de
l'adopter, plus ça va être facile d'entrer dans le moule. C'est ce qu'on croit
à la CCQ.
M. Jolin-Barrette : O.K. Je
vous remercie. J'ai des collègues qui veulent poser des questions.
Le Président (M.
Bachand) : Merci, M. le ministre. Mme la députée de Les
Plaines, s'il vous plaît.
Mme Lecours (Les Plaines) :
Merci beaucoup, M. le Président. Bonjour à vous deux. Bonjour,
M. Milliard, bien contente de vous revoir en commission parlementaire. Je
veux vous ramener sur les PME et je vais inciter sur les...
M. Jolin-Barrette : ...je vous
remercie. J'ai des collègues qui veulent poser des questions.
Le Président (M.
Bachand) :Merci, M. le ministre. Mme la
députée de Les Plaines, s'il vous plaît.
• (20 h 40) •
Mme Lecours (Les Plaines) : Merci
beaucoup, M. le Président. Bonjour à vous deux. Bonjour, M. Milliard, bien
contente de vous revoir en commission parlementaire. Je veux vous ramener sur
les PME et je vais inciter sur les PPME, les très petites entreprises. Comme
ancienne directrice de chambre de commerce, je comprends très bien la réalité
des petites et très petites entreprises. L'organisme précédent a parlé des 10
employés et moins. Il souhaiterait qu'on soustraie les petites, employés de 10
et moins, de ce projet de loi là.
Il a mentionné également l'impact... pas
l'impact, mais l'arrivée du régime de retraite pour les petites entreprises.
Moi, à l'époque, on l'avait instauré avec plusieurs petites entreprises. Même
si la part de l'employeur n'y était pas, au moins ça offrait la chance aux
employés d'avoir un régime de retraite. Et je pense qu'on va s'entendre que
l'impact sur un... l'impact de l'implantation d'un régime de retraite n'est pas
le même que l'impact d'un projet de loi sur la protection des données
personnelles.
Est-ce que vous êtes d'avis qu'on devrait
maintenir le plan d'action avec les 10 petites entreprises et moins? Et ma
sous-question : Est-ce que ça pourrait justement... votre prédécesseur
parlait de l'arrivée progressive ou d'être à tout le moins bien... accompagner
les petites, très petites entreprises dans l'application de ce projet de loi
là?
M. Milliard (Charles) : Bien,
écoutez, je vous répondrais à ça que la vie associative est faite de choix. Si
j'ai une bataille à choisir, je préfère prendre celle de l'accompagnement des
PME, des PPME, de tout ce que vous voulez, des grandes entreprises aussi, donc
d'accompagner ces entreprises-là, d'avoir une période de transition, puis
peut-être d'avoir — pour revenir à la question de M. le ministre sur
les amendes — peut-être d'avoir une approche un peu que je
comparerais à un syndic d'un ordre professionnel, donc une approche
disciplinaire qui vise, oui, à appliquer la loi mais aussi dans un processus
d'amélioration continue. Donc, j'aimerais mieux qu'on soit dans cette
approche-là, c'est déjà un gros, gros morceau pour plein d'entreprises.
Et évidemment, dans le discours public,
dans le discours médiatique, quand on pense à la protection des données
personnelles, on pense à plein de grandes entreprises dont on n'a pas besoin de
nommer les noms. Mais il faut se rappeler, puis vous le savez mieux que moi
même, que ça va s'adresser donc à toutes les entreprises du Québec. Il y en a
plusieurs pour lesquelles ça va être difficile. Premièrement, ils ne
comprennent... ils n'ont pas beaucoup d'expertise dans ce domaine-là. Et on ne
peut pas les blâmer, ils ont de l'expertise dans ce dans quoi ils sont bons. Et
l'expertise qui est disponible au Québec, au Canada en matière de protection
des renseignements personnels est assez limitée aussi. Donc, ce n'est pas un
bar ouvert de consultants qui peuvent vous aider là-dedans.
Alors, c'est important qu'il y ait une
forme d'accompagnement qui soit présente dans le projet de loi, beaucoup plus
qu'une forme de restriction, je vous dirais, là, à mon sens. Alain, je ne sais
pas si...
M. Lavoie (Alain) :
Écoute, moi, ce que je peux dire, c'est, au niveau des amendes, c'est... en
fait...
M. Milliard (Charles) :
...aussi. Donc, ce n'est pas un bar ouvert de consultants qui peuvent vous
aider là-dedans, alors c'est important qu'il y ait une forme d'accompagnement
qui soit présente dans le projet de loi, beaucoup plus qu'une forme de
restriction, je vous dirais, là, à mon sens. Alain, je ne sais pas si...
M. Lavoie (Alain) :
Écoute, moi, ce que je peux dire, c'est, au niveau des amendes, c'est... en
fait, on a pris position de dire que l'amende, c'était correct. Mais essentiellement
je vous dirais, au-delà des amendes, moi, j'ai une compagnie en technologie,
puis s'il y a une fuite de données chez moi, là, ce n'est pas l'amende qui va
être le problème, c'est ma réputation puis c'est la réputation de ma compagnie,
puis on va être morts, c'est... Donc, il faut comprendre, là, qu'on n'aura pas
les moyens de s'engager des grandes firmes de gestion de crise et de tout pour pouvoir
nous défendre.
Donc, on a une épée de Damoclès au-dessus
de la tête, il faut faire attention aux données. Puis qu'on soit un, 10 ou 100,
ou 1 000, ça reste que c'est de la donnée personnelle qui appartient à des
citoyens, puis il faut y faire attention, c'est précieux. Donc, là-dessus, on
dit : Bien, les entreprises doivent travailler correctement avec la
donnée. Ceci dit, il y a une épée de Damoclès pour tout le monde, puis les plus
petites entreprises risquent de mourir quand ça arrive parce que leur
réputation est faite.
Moi, je vous dis, là, j'ai une fuite de
données chez moi puis, même aujourd'hui, avec le projet de loi, je viens de
perdre 60 % de ma business, 60 % de ma business parce que... C'est ça.
M. Milliard (Charles) :
...une autre forme d'amende, oui.
M. Lavoie (Alain) :C'est ça.
Le Président (M.
Bachand) : Oui, M. le député de Chapleau.
M. Lévesque (Chapleau) : Oui,
merci, M. le Président. Oui. Bonjour, M. Milliard et M. Lavoie. Merci beaucoup,
là. Peut-être une petite question, ou deux. Vous avez parlé de définir davantage
le concept d'analyse d'impact. Peut-être me donner quelques idées à cet
égard-là, là. Je sais que ça a été beaucoup mentionné par d'autres intervenants,
là, puis il y avait quelques petits accrocs par rapport à ça. Qu'est-ce que
vous voyez, vous, puis qu'est-ce que vous envisagez par rapport à ça?
M. Lavoie (Alain) :
Charles, je ne sais pas où on a parlé de ça...
M. Milliard (Charles) : Je ne
suis pas certain de comprendre à quoi vous faites référence, pourtant mon document
n'est pas si long que ça, là.
M. Lévesque (Chapleau) : Non,
c'est surtout le cadre... non, pas de souci, le cadre... Dans le fond, en
élaborant justement le projet de loi, il y a toute la notion d'analyse d'impact
avec les autres juridictions lorsqu'il y aurait transfert de données
personnelles. Ça a créé, chez certains intervenants, un peu de friction. Je ne
sais pas si, de votre côté, avec vos membres...
M. Lavoie (Alain) :
Ah! O.K., O.K., d'accord.
M. Lévesque (Chapleau) : Avec
vos membres, oui...
M. Lavoie (Alain) :
Donc, ce que vous parlez, c'est ce que le Secrétariat à la législation fait
quand il analyse l'impact sur le projet de loi avant que le projet de loi...
oui, O.K. Dans ce contexte-là, nous on n'a pas regardé ça, nécessairement. Ce
qu'on dit aujourd'hui, c'est de dire : Si le Québec veut être leader, go,
allons-y, parce qu'on est capables de le faire. Mais assurons de mettre en
place tous les moyens pour convaincre le fédéral, pour convaincre l'Alberta,
pour convaincre l'Ontario, convaincre la Colombie-Britannique d'aller dans le
même sens que nous. Parce que s'ils ne vont pas dans le même sens que nous,
bien, c'est... on aura un...
M. Lavoie (Alain) :
... parce qu'on est capables de le faire. Mais assurons-nous de mettre en place
tous les moyens pour convaincre le fédéral, pour convaincre l'Alberta, pour
convaincre l'Ontario, pour convaincre la Colombie-Britannique d'aller dans le même
sens que nous, parce que, s'ils ne vont pas dans le même sens que nous, bien,
c'est... on aura un problème au niveau de l'harmonisation puis au niveau de
l'adoption de nos entreprises, parce qu'il va falloir qu'ils s'ajustent aux
différentes juridictions. Donc, je pense qu'il y a une question de prendre le
leadership puis de mettre les efforts pour convaincre nos homologues, c'est
tout.
M. Lévesque (Chapleau) :
Parfait, merci. Tu sais, on parle souvent de la distinction entre les PME puis
les plus grandes entreprises. Peut-être, chez vos membres, vous avez également,
là, senti ça. Est-ce qu'il faudrait songer peut-être à instaurer, là, des
niveaux différents de normes en matière de protection, autant pour les PME que
les grandes entreprises? Puis vous verriez ça comment, si c'était le cas?
M. Lavoie (Alain) :
Un... Bien, Charles, si tu peux me permettre?
M. Milliard (Charles) : Oui,
vas-y...
M. Lavoie (Alain) :
Un des enjeux qui est ressorti essentiellement, avec nos discussions, c'est que
là, on s'en va avec un projet de loi où, je vous dirais, là, en ce moment, là,
les contentieux, les départements légaux des grandes compagnies analysent ça
puis ils se disent : Comment on va faire affaire avec des PME maintenant
qui vont travailler avec la donnée personnelle, puis que moi, je vais être
responsable d'eux quand ils vont travailler avec la donnée?
Donc, un des effets de bord qui pourrait
arriver d'un tel projet de loi, c'est qu'il y ait une coupure entre les grands
donneurs d'ouvrage et les PME. Ça, ça pourrait être un enjeu qui pourrait
arriver, et il faut... Puis pour ça, ce qu'on répond, c'est : Essayons de
trouver un équilibre, mais essayons de rester flexibles avec le projet de loi.
Mettons-nous des possibilités, des dispositions dans le projet de loi qui
permettraient de s'ajuster, en s'en allant, par rapport à ça. Bien, parce que
ce qui va arriver, c'est qu'il va y avoir un clash... excusez l'expression,
mais il va y avoir un clash entre les deux, puis on va avoir de la misère à
travailler ensemble, grandes et petites entreprises.
M. Milliard (Charles) : Mais,
si je peux me permettre, rapidement... Bon, d'accord.
Le Président (M.
Bachand) : Non, c'est parce que je dois céder la parole à la
députée de Bellechasse. Excusez-moi, M. le président.
M. Milliard (Charles) : ...
Le Président (M.
Bachand) : Mme la députée de Bellechasse. Une minute.
Mme Lachance : Merci. Merci
beaucoup. C'est... Juste un complément d'information. Tout à l'heure, vous avez
parlé d'éviter les sanctions et de davantage se mettre en mode... en processus
d'amélioration continue. Est-ce que vous voyez ça, dans le temps, comme
circonscrit, pour une période de grâce? Ou vous voyez ça, tout simplement, de
bout en bout, intégré dans la loi, puis que ce soit continuellement... un
processus d'amélioration continue?
M. Milliard (Charles) : Bien,
écoutez, je pourrais être mal intentionné puis vous dire que la transition
pourrait être éternelle, mais je pense que, tu sais, on ne viserait pas
l'objectif. Je pense que ce qui est important, ce qui est... écoutez, on peut
viser peut-être, peut-être au moins une année, à deux années, ou...
d'adaptation, mais pas totale. On comprend que c'est une loi qui, en bout de
ligne, est coercitive, là. On ne vient pas avec des attentes démesurées. Ce
qu'on vous dit, par contre, c'est que la notion d'accompagnement continu,
encore là, comme je l'ai dit, comme les ordres professionnels, je pense que
c'est une attitude que, premièrement, un paquet d'entreprises connaissent déjà
et avec laquelle ils seraient certainement à l'aise de fonctionner.
Le Président (M.
Bachand) : Merci. M. le député de LaFontaine, s'il vous plaît.
M. Tanguay
: Oui, merci
beaucoup, M. le Président. Je pense, pour une période de 11 minutes...
M. Milliard (Charles) : ...ce
qu'on vous dit, par contre, c'est que la notion d'accompagnement continu,
encore là, comme je l'ai dit, comme les ordres professionnels, je pense, c'est
une attitude que premièrement un paquet d'entreprises connaissent déjà et avec
lequel ils seraient certainement à l'aise de fonctionner.
Le Président (M.
Bachand) : Merci. M. le député de LaFontaine, s'il vous plaît.
M. Tanguay
: Oui, merci
beaucoup, M. le Président. Je pense, pour une période de 11 minutes...
Le Président (M.
Bachand) : Exactement, 11 min 20 s.
M. Tanguay
: Oui,
merci. Bonjour, bonsoir, M. Milliard et M. Lavoie. Merci d'être avec
nous ce soir. En vous écoutant, puis je trouve ça très, très, très intéressant,
je veux dire, on a eu l'exemple de Desjardins, on voit que c'est plus qu'hier
moins que demain, les données dans le système de santé. Puis je vous entends
bien, d'entrée de jeu, vous avez dit : Écoutez, on ne va pas dans le
«nitty-gritty», là. Mais vous avez quand même des suggestions très tangibles,
puis je vais les aborder, puis je vais vouloir laisser du temps, tout ça en 11
minutes, à ma collègue de Notre-Dame-de-Grâce.
Moi, je vois une évolution dans les
enjeux. J'aimerais vous entendre de façon macro, puis j'aurai peut-être
quelques petites questions en rafale micro. De façon macro, je vois,
évidemment, la société en Occident évolue. Au début, début, quand on parlait de
renseignements personnels, c'était la protection de la vie privée, c'était le
Code civil, c'était protéger la vie privée. Il y a des choses dans ma vie qui
n'ont pas à être publiques, puis on protège ma vie privée.
• (20 h 50) •
Avec les technologies, avec l'évolution
technique, on doit maintenant protéger le vol d'identité, des renseignements
qui pourraient faire en sorte qu'on usurpe mon identité. Et là, tout autour de
cela, dans le système dans lequel on vit, il y a des entreprises qui gèrent,
obtiennent, achètent, vendent de l'information. Et, M. Lavoie, vous disiez
que c'était 60 % de votre business que cette réputation-là et cet avoir-là
en termes de données. Donc, vol d'identité, c'est un élément.
Puis le troisième qui est un peu, là, on
est rendus là, là, avec les données, les métadonnées, faire en sorte de se
prémunir contre la discrimination, qu'une entreprise décide de ne pas
contracter avec moi, par exemple, parce qu'elle aurait su, finalement, que je
n'étais pas assurable pour x raisons, pour différents aspects de ma vie. Alors,
il y a tout ça à protéger.
Trouvez-vous que vous, représentants de la
FCCQ... Vous avez des entreprises qui tantôt peuvent graviter dans une sphère
où c'est plus la tradition de protéger la vie privée, tantôt, d'autres, c'est
de protéger le vol d'identité, tantôt, d'autres, c'est de protéger contre la
discrimination. Autrement dit, les gens que vous représentez, les femmes et
hommes, hommes d'affaires, Fédération des chambres de commerce du Québec,
trouvez-vous que la loi vous donne suffisamment de prévisibilité pour connaître
vos obligations, bien les appliquer, puis se faire assurer... s'assurer qu'en
bout de piste vous ne vous ferez pas taper sur les doigts parce que là aussi il
y a un aspect réputationnel?
M. Milliard (Charles) :
Écoutez, c'est une excellente question, mais vous faites une démonstration
éclatante du besoin d'accompagnement des entreprises. Parce que c'est de plus
en plus compliqué de faire des affaires au Québec, au Canada, dans le monde,
n'importe où. Vous parlez de la notion de vie privée, de la notion de vol
d'identité. Je vais vous rajouter à ça les investissements nécessaires en
cybersécurité que les entreprises doivent faire. Alors, c'est toute une
histoire. Alors, quand on parle qu'on veut stimuler l'entrepreneuriat au
Québec, on veut que les entrepreneurs participent à la relance économique, je
m'étais promis de ne pas utiliser le terme, on ne veut pas trop avoir
d'obstacles, mais bon, il est trop tard, je l'ai dit. Il faut faire attention quand
même à la notion d'obstacle...
M. Milliard (Charles) :
...en cybersécurité que les entreprises doivent faire. Alors, c'est toute une
histoire. Alors, quand on parle qu'on veut stimuler l'entrepreneuriat au
Québec, qu'on veut que les entrepreneurs participent à la relance économique,
je m'étais promis de ne pas utiliser le terme, on ne veut pas trop avoir
d'obstacles, mais, bon, il est trop tard, je l'ai dit, il faut faire attention
quand même à la notion d'obstacle qu'on amène aux entreprises. Et la réalité,
elle est différente de la petite et de la moyenne entreprise... de la petite et
de la grande entreprise, je vous dirais.
Au niveau des PME, l'enjeu avec le projet
de loi n° 64, c'est de comprendre les tenants et aboutissants et de gérer
ça à l'interne avec les ressources qui sont disponibles. L'enjeu de la grande
entreprise qui, des fois, en a vu d'autres, c'est la gestion des relations
externes avec le Québec. Alors, ces entreprises-là sont partout sur la scène
canadienne, sur la scène américaine ou mondiale. Et à la limite, à la lumière
de ce qu'on voit, on peut créer, justement, une difficulté de transfert des
données, malgré un consentement, là. Moi, je ne vous parle pas d'esquiver un
consentement, même si on le voudrait, par bloc, qui rend difficiles les
opérations des grandes entreprises.
Et là je ne vous parle pas de grands
méchants, là, je vous parle d'entreprises que vous connaissez tous bien, qui
ont des usines en Alberta, mais qui en ont aussi une en Mauricie et que, si ces
données-là peuvent s'échanger difficilement entre les deux usines, bien, ça
devient très difficile et ça devient, comme je vous l'ai dit, anxiogène. Je
trouve que c'est un terme qui résume bien l'état de plusieurs entrepreneurs en
ce moment. C'est gérable, comme l'anxiété en général, mais c'est ça pareil
M. Tanguay
:
Est-ce que, puis je ne veux pas être trop philosophique, mais une dernière
question macro, puis je pense que c'est important, trouvez-vous que vos membres
auraient, puis je ne veux pas... un examen à faire quant à leur évaluation, la
juste valeur, de l'information?
Je lisais un papier il y a quelques mois
où l'on disait, lorsqu'il y a vente d'entreprise, on fait souvent un «due
diligence», une évaluation diligente de l'entreprise. Puis, très souvent,
l'information, il n'y a pas de valeur monétaire ajoutée à ça. S'il y avait une
valeur monétaire de façon beaucoup plus systématique ajoutée à ça, s'il y avait
une prise de conscience, il y aurait peut-être moins, puis je ne veux pas... je
ne pointe pas du doigt personne, là, mais dans certains cas, qui ne sont pas
vos membres, on voit une certaine, peut-être, désinvolture quant à
l'utilisation.
Alors, si ça n'a pas de valeur, si ce
n'est pas chiffré dans la vente d'entreprise, ou si peu, mais pas à sa juste
valeur, il n'y a chez vos membres — puis je ne suis pas méchant, là,
je veux dire, vous le voyez, là, j'ai le sourire dans la voix quand je vous dis
ça — mais il n'y a pas du côté peut-être de nos entrepreneurs une
prise de conscience de dire : Aie! Peut-être que, nous, on a un
cheminement, puis il faudrait rejoindre les consommateurs qui, eux, pour eux,
pour tout ce qu'il y a à protéger, c'est une valeur fondamentale, mais
peut-être que, pour nous, à ce moment-là, si on accordait la valeur économique,
la valeur hautement sensible de toute l'information que l'on a, peut-être ça
serait plus facile après ça de voir ça comme étant, bien oui, c'est des... pas
des obstacles, mais ce sont, je vais dire ça de même, je vais prendre votre
terme, ce sont des obstacles tout à fait justifiés, comme pourrait représenter
un obstacle justifié d'assurer l'équipement lourd. Je veux dire, ce n'est pas
un revenu, assurer un équipement lourd, mais on va investir.
Alors, vous ne trouvez pas qu'il y a
peut-être une évolution aussi de votre côté? Je ne sais pas, puis je ne veux
pas vous faire faire un... que vous vous épanchiez sur...
M. Tanguay
: ...je vais
prendre votre terme, ce sont des obstacles tout à fait justifiés, comme
pourrait représenter un obstacle justifié, d'assurer l'équipement lourd. Je
veux dire, ce n'est pas revenu, assurer un équipement lourd, mais on va
investir. Alors, vous ne trouvez pas qu'il y a peut-être une évolution aussi de
votre côté? Je ne le sais pas... puis je ne veux pas vous faire faire vous
épanchez sur vos examens de conscience, mais il y a peut-être un «disconnect»
social peut-être? Je ne le sais pas. J'aimerais vous entendre là-dessus.
M. Lavoie (Alain) :Est-ce que je peux répondre, Charles? Tu me compléteras.
M. Milliard (Charles) :
Vas-y! Vas-y!
M. Lavoie (Alain) :Écoutez, il y a une conscientisation mondiale qu'on n'a pas
bien travaillé tout le temps avec la donnée au niveau mondial, et les pays se
sont sentis obligés de protéger leurs citoyens. Et, dans ce contexte-là, on
voit que c'est un mouvement mondial et les compagnies doivent rentrer dans le
rang. Puis c'est sûr qu'on doit avoir des compagnies dans nos membres qui sont
un peu délinquants ou qui sont carrément délinquants, puis il faut trouver un
moyen de les rentrer dans le rang parce que c'est un choix de société qu'on
fait, là, quand on fait ça aujourd'hui en faisant les choses.
Ceci dit, on s'en va par là, c'est... Que
le Québec légifère aujourd'hui ou qu'il légifère dans deux ans, dans cinq ou
10 ans, tout le monde va être là. Donc, vaut mieux, en tant qu'entrepreneur,
de déjà rentrer là-dedans puis de te mettre dans un processus qui va
comprendre, l'intégrer dans tes processus internes, t'assurer... Moi, je donne
un exemple, chez nous, on travail beaucoup avec de l'information très sensible
et j'ai des contrats avec mes employés, mais à toutes les fois qu'on signe un
nouveau contrat, on leur fait signer un autre contrat qui dit : Tu
travailles avec de la donnée sensible, fais attention à ce que tu fais. Donc,
il faut conscientiser. Puis on ne serait pas obligés de le faire, mais on le
fait, parce que, c'est de rappeler aux gens qui sont en train de travailler
avec de l'information. Je vous rappellerai qu'on a une épée de Damoclès
au-dessus de la tête, puis s'il y a une fuite, une PME, elle est morte. C'est
carrément ça, le cas. Donc, c'est... dans ce contexte-là, je vous dirais, qu'on
s'en va vers là puis que ce soit au Québec, que ce soit... il faut
conscientiser nos entreprises par rapport à ça.
M. Milliard (Charles) : Mais,
en vraiment 15 secondes, je vous dirais simplement que la prise de
conscience, elle est en explosion de croissance. Vraiment, je pense que les
entrepreneurs comprennent ça de plus en plus. Mais je vous dirais aussi que
j'ai probablement trop de doigts dans la main pour compter le nombre de
secteurs d'activités pour lesquels la donnée n'a pas de valeur en 2020. Je
pense qu'il y a de moins en moins de secteurs d'activités qui se sentent
concernées par... qui ne se sentent pas du tout concernés par ça. Et pour ce
qui est des récalcitrants, bien, ils seront sanctionnés, c'est ça la vie en
société.
M. Tanguay
: Je vais
laisser le temps qui reste à ma collègue. Merci.
Le Président (M.
Bachand) :Mme la députée de Notre-Dame-de-Grâce,
s'il vous plaît.
Mme Weil
: Merci beaucoup.
Alors, bonsoir, M. Milliard, M. Lavoie. Bon, vous dites d'entrée de
jeu, vous êtes pour le projet de loi, etc., mais je vous dirais que vos mises
en garde sont pas mal pareilles que ceux de la fédération des entreprises
indépendantes, dans le sens que vous voulez voir une coordination à quelque
part, une consultation avec les autres juridictions au Canada, que, si on fait
cavalier seul, c'est dangereux et c'est fragilisant pour les entreprises. Vous
êtes... vous n'êtes pas juste les PME, mais...
Mme Weil
: ...pas mal
pareilles que ceux de la fédération des entreprises indépendantes, dans le sens
que vous voulez voir une coordination à quelque part, une consultation avec les
autres juridictions au Canada, que, si on fait cavalier seul, c'est dangereux
et c'est fragilisant pour les entreprises... pas juste les PME, mais des
entreprises quand même d'une taille un peu plus importante. Et vous revenez sur
l'intelligence artificielle et vous dites : Là aussi, si on n'est pas un
peu, comment dire, on ne fait pas attention, tu sais, si on agit en cavalier
seul, encore une fois, on risque d'être perdants dans cette course et de perdre
beaucoup de ces entreprises.
Donc, moi, ce que j'entends des deux
intervenants aujourd'hui qui représentent, si on veut, l'économie du Québec, en
partie, là, des acteurs importants... Et vous donnez l'exemple du fédéral qui,
dans un premier temps, pour son projet de loi, avait mis... avait fait des
consultations avec des experts, et ensuite ils ont dit : Woup! Il faut qu'on
reprenne notre projet de loi puis qu'on fasse des ajustements, et c'est ça qui
retarde un peu. Mais, en même temps, vous comprendrez qu'il faut avancer aussi
dans la protection des renseignements personnels.
Donc, comment vous voyez la voie de
passage? Parce qu'on vous entend, hein, puis je pense qu'il n'y a personne ici
qui ne serait pas sensible à ce que vous dites, surtout dans le contexte qu'on
vit. On ne veut pas freiner évidemment le développement économique, mais en
même temps il y a l'impératif de protection des renseignements personnels. Est-ce
que c'est dans le temps? Parce que, vous le savez, d'essayer de trouver une
entente avec toutes les provinces et le gouvernement fédéral, ça prendrait très,
très longtemps. Alors, qu'est-ce que vous nous recommandez comme voie de
passage qui serait raisonnable?
M. Milliard (Charles) :
Certains diraient qu'il y a des dossiers qui ne seront toujours pas réglés
après 30 ou 40 ans. Mais je vous dirais qu'au niveau de l'harmonisation,
on voudrait que le Québec joue un rôle proactif. Alors, je pense qu'il y a beaucoup
d'autres secteurs d'activité où on peut exprimer notre unicité comme nation,
comme Québécois, mais, dans ce contexte-là, je pense que l'harmonisation, c'est
rendre service à nos entrepreneurs que de mettre ça en priorité de liste. Il y
aura d'autres débats politiques, d'autres forums pour discuter de questions
plus nationales, je ne veux pas embarquer là-dedans, mais je pense que c'est important
de reconnaître le besoin de nos entrepreneurs. Puis on est tellement fiers
quand nos entrepreneurs exportent puis deviennent gros ailleurs. Bien, s'ils
sont gros ailleurs, ils ont besoin d'avoir une harmonisation dans leur
réglementation pour pouvoir continuer de prospérer.
Pour ce qui est de l'intelligence
artificielle, bien, je l'ai mentionné, hein? Le gouvernement actuel, le gouvernement
précédent, des investissements massifs, alors que la matière première, l'or en
barre, justement, de l'intelligence artificielle, c'est la donnée. Alors, si on
veut que la donnée serve et rende profitables les investissements qu'on a
faits, elle doit être accessible et elle doit.... Elle doit être protégée, mais
elle doit être accessible, et les deux sont possibles.
Le Président (M.
Bachand) :Merci beaucoup. M. le député de
Gouin, s'il vous plaît.
• (21 heures) •
M. Nadeau-Dubois : Merci, M.
le Président. Bonjour, MM. Milliard et Lavoie. Merci de votre contribution
plus pondérée, plus modérée que d'autres qu'on a entendus ce soir provenant du
milieu des affaires. On sent un discours, chez vous, qui tente davantage
d'équilibrer le bien commun avec les intérêts...
21 h (version non révisée)
Le Président (M.
Bachand) : ... s'il vous plaît.
M. Nadeau-Dubois : Merci,
M. le Président. Bonjour, MM. Milliard et Lavoie. Merci de votre
contribution plus pondérée, plus modérée que d'autres qu'on a entendus ce soir
provenant du milieu des affaires. On sent un discours chez vous qui tente davantage
d'équilibrer le bien commun avec les intérêts des gens que vous représentez. Ce
n'est pas le cas de tous les gens qui parlent au nom du milieu des affaires. Ça
fait que je veux vous remercier sincèrement pour ça.
Puis je veux qu'on parle de votre
cinquième recommandation... ou en tout cas du chapitre 5 de votre mémoire
où vous parlez de ce qui vous apparaît problématique dans la restriction à la
circulation transfrontalière des données. Et vous nous dites : Il y a beaucoup
d'entreprises québécoises qui ont besoin de faire affaire avec des firmes étrangères
pour des services numériques. On pense, par exemple, à l'infonuagique, au
paiement électronique, et tout ça, puis on sait de quelle entreprise on parle
ici, ou même des services de publicité, par exemple, ou on contracte avec des
firmes à l'extérieur. Et vous nous dites : Si on est trop restrictifs dans
ce qu'on exige aux entreprises québécoises, on va les empêcher d'entrer dans
ces relations commerciales là avec des acteurs qui sont à l'étranger.
Je comprends ce que vous dites. En même
temps, dans la mesure où, puis vous semblez le reconnaître vous-même, beaucoup,
beaucoup de ces entreprises-là sont basées à l'étranger, si l'intention du législateur,
puis moi, c'est comme ça je la comprends, c'est de protéger les citoyens et citoyennes
du Québec, est-ce qu'en faisant sauter la clause qui régit les transactions
entre les entreprises d'ici puis les entreprises d'ailleurs, est-ce qu'on ne
viendrait pas créer dans le filet un trou plus gros que le filet lui-même puis
que, dans le fond, on ne protégerait pratiquement personne? Comprenez-vous le
risque que j'évoque?
M. Milliard (Charles) :
Je le comprends tout à fait. Rapidement, j'ai envie de vous dire, par contre,
qu'il ne faut pas tomber dans le piège, justement, quand on pense au projet de
loi n° 64, que de penser à cinq ou six grandes entreprises. Il y a
plusieurs petites PME qui font des affaires, justement, avec les États-Unis,
avec des États particuliers aux États-Unis, et ça cause... l'obligation d'aller
prouver l'équivalence entre les différents systèmes de protection des
renseignements personnels vient causer une inquiétude puis une gestion de
risques pour ces entreprises-là, qui pourraient décider de ne pas y aller.
Alors, j'aimerais... Je ne suis pas en
désaccord avec vous, mais j'aimerais ça qu'on pense plus à des petites ou
moyennes entreprises quand on pense à exporter, parce que ce n'est pas que des
grandes entreprises qui font ça.
M. Nadeau-Dubois : Est-ce
qu'il n'y a pas une piste de réflexion au niveau du régime de sanction?
C'est-à-dire, est-ce qu'en étant peut-être davantage proportionnels pour
s'adapter plus à la taille des entreprises, on ne pourrait pas justement
s'assurer de faire payer les grandes entreprises qui ont des pratiques
délinquantes ou qui font preuve de négligence et, pourquoi pas, utiliser ces
ressources-là pour aider puis accompagner les plus petites entreprises qui,
elles, en effet, sont plus débutantes puis on moins de connaissances puis
d'expertise dans le domaine? Est-ce qu'il n'y a pas là une piste pour dénouer
le dilemme que vous semblez nous indiquer?
M. Lavoie
(Alain) : En fait, je répondrais, Charles, qu'il faut s'arrimer
à peu près aux mêmes sanctions qu'on retrouve en Europe essentiellement, et
c'est ce qu'on voit dans le projet de loi. Il faut s'assurer par contre que,
comme on a dit, qu'on n'est pas pénalisé dans toutes les juridictions en même
temps, parce que ça peut être un problème, mais, si on est arrimés... parce
que...
M. Lavoie (Alain) :
…qu'il faut s'arrimer à peu près aux mêmes sanctions qu'on retrouve en Europe,
essentiellement, et c'est ce qu'on voit dans le projet de loi. Il faut
s'assurer, par contre, que… comme on a dit, qu'on n'est pas pénalisés dans
toutes les juridictions en même temps parce que ça peut être un problème, mais
si on est arrimés… parce que l'effet négatif d'avoir un régime de sanctions
plus fort risque de couper les façons de faire nos affaires avec des
entreprises étrangères qui voudraient faire… avec nos entreprises ici et des
services, par le fait même, avec nos citoyens.
Le Président (M.
Bachand) : Merci. Je cède la parole au député de René-Lévesque,
s'il vous plaît.
M. Ouellet : Oui, merci
beaucoup, M. le Président. Donc, à mon tour de vous saluer, messieurs, merci de
cette contribution qui est tardive, un peu, pour nous, mais qui a dû prendre un
peu de temps pour être rédigée. Juste être certain de bien comprendre, vous…
tout comme la FCEI tout à l'heure, vous levez le drapeau en disant : Il
faut faire attention, les entreprises font des affaires dans différentes
juridictions, et vous nous dites quand même que si Québec devrait aller de
l'avant, on devrait être des leaders.
J'aimerais vous entendre sur le fait qu'il
y a aussi les Américains, mais aussi les Mexicains, on a signé une entente de
partenariat économique entre les trois pays. Est-ce que vous demandez aussi à
ce que le gouvernement du Québec soit un leader pour convaincre les Américains
et les Mexicains à adopter nos saines pratiques? Est-ce que c'est ça, un peu,
que vous nous dites? Si on réussit avec le Canada, «US is the best», là?
M. Milliard (Charles) : Bien,
écoutez, je pense que l'ambition, dans la vie, c'est bien. Ceci étant dit, on
peut certainement commencer par une harmonisation au sein de notre… de
l'ensemble politique avec quel on fait partie, ça serait déjà bien. Et
évidemment que les Américains… je pense que notre poids relatif est infime,
alors il faut être réaliste là-dessus. Déjà, il y a des gros clashs, si on
veut, entre la situation européenne et la situation américaine, qui empêchent,
justement, des compagnies américaines de faire affaire en Europe.
Mais déjà, si on pouvait, dans un pays de
35 millions d'habitants avec des entreprises qui ont souvent des bureaux
dans toutes les provinces s'entendent, ça serait déjà une sacrée belle
victoire.
M. Ouellet : J'aimerais
rapidement vous emmener à la recommandation 7b, d'imposer une seule amende
dans la juridiction où la faute est commise. Je vous entends, mais
concrètement, comment on fait ça? L'entreprise, elle est canadienne, elle
commet la faute au Canada, elle a des activités européennes, comment est-ce
qu'on fait pour trancher? À quel endroit la sanction devrait être payée?
M. Lavoie (Alain) :
On n'a pas toute la réponse, là, je vous dirais, là, mais c'est… mais
essentiellement, on dit que c'est à l'endroit où le fait a été observé,
essentiellement, qu'on devrait faire ça. Je voudrais juste ajouter rapidement
sur la question précédente, le Canada et le Québec, en matière… moi, je suis
dans le monde législatif, est vraiment reconnu de façon mondiale comme des bons
rédacteurs législatifs sur la planète. Et je peux vous le dire parce que je
travaille dans ce milieu-là et avec d'autres pays, et je vous dis : On
peut être les leaders dans le monde puis on peut convaincre les États-Unis et
les… avec des beaux modèles.
M. Ouellet : Merci, je vois
le…
M. Lavoie (Alain) :
…peut-être, je suis… mais, tu sais, au moins…
M. Ouellet : Vous ne voyez
pas le ministre de la Justice, mais je pense qu'il vous prend au mot. Après
convaincre le Canada, je pense qu'il va s'attaquer aux États-Unis, là.
M. Milliard (Charles) : Ça va
nous faire plaisir de suivre ça…
M. Lavoie (Alain) :
…dans le monde puis on peut convaincre les États-Unis et les … avec des beaux
modèles.
M. Ouellet : Merci. Je vois…
M. Lavoie (Alain) :
Là, je suis peut-être chauvin, là, je suis peut-être chauvin, mais, tu sais, au
moins, au moins, je veux…
M. Ouellet : Vous ne voyez
pas le ministre de la Justice, mais je pense qu'il vous prend au mot. Après
convaincre le Canada, je pense qu'il va s'attaquer aux États-Unis, là.
M. Milliard (Charles) : Ça va
nous faire plaisir de suivre ça.
Le Président (M.
Bachand) : Sur ces belles paroles, messieurs, merci beaucoup
de votre contribution aux travaux de la commission.
Celle-ci ajourne ses travaux jusqu'au
mercredi 23 septembre à 12 h 10, 12 h 10 demain. Merci.
Merci beaucoup.
Des voix
: Merci
beaucoup. Au revoir.
(Fin de la séance à 21 h 6)