Le non-respect du principe du « besoin de savoir » entraîne une atteinte à la protection des données

Plainte présentée en vertu de la Loi sur la protection des renseignements personnels

Résumé

1. Le 4 septembre 2014, le plaignant demande au Commissariat d'enquêter sur la présumée communication de renseignements personnels par Affaires autochtones et Développement du Nord Canada (AADNC) au journal La Presse. Plus particulièrement, il indique dans sa lettre que La Presse a publié un article où l'on parle d'un document (le « document ») qu'aurait créé AADNC et qui comprendrait une liste de personnes ayant présenté des demandes en vertu de la Loi sur l'accès à l'information (LAI) dans le but d'obtenir des renseignements en lien avec l'ancien ministre Jim Prentice. Le plaignant précise aussi que l'article cite les propos d'un employé d'AADNC affirmant que le document a été communiqué à des employés de l'extérieur de l'unité de l'Accès à l'information et la protection des renseignements personnels. Il est préoccupé par cette situation et nous demande d'enquêter sur la nature et l'ampleur de l'atteinte à la protection de la vie privée.
2. Le 4 septembre 2014, AADNC confirme au Commissariat que La Presse a eu accès au document susmentionné. Le Ministère affirme que ce document a été créé pour donner suite à plusieurs demandes visant à obtenir de l'information liée à M. Prentice en vertu de la LAI. À la suite de la communication du document, il a embauché une tierce partie chargée de mener une enquête sur la sécurité en lien avec l'incident. Pour ce qui est de l'ampleur de l'atteinte à la protection de la vie privée, il nous a remis une liste des personnes au sein du Ministère qui ont consulté le document.
3. Après l'examen des éléments de preuve disponibles, la Commissariat conclut qu'AADNC a indûment révélé des renseignements personnels qui concernent les personnes mentionnées dans le document et qui ont été portés à l'attention de La Presse. De plus, notre enquête indique qu'AADNC a communiqué les renseignements à des fonctionnaires qui n'avaient aucun besoin légitime d'en prendre connaissance. C'est pourquoi la plainte est fondée. La justification du Commissariat suit.

Portée de l'enquête

4. L'objectif de notre enquête était de déterminer si l'incident en question constituait une violation de la Loi sur la protection des renseignements personnels (la Loi).
5. La question de savoir qui est responsable de la communication du document relève de la sécurité et déborde du cadre de notre enquête.

Questions et faits pertinents

6. Le Commissariat a reçu des observations officielles et en a dégagé les faits suivants.

Comment La Presse a-t-elle obtenu le document?

7. Nous avons confirmé que le journal La Presse a obtenu un document, créé par AADNC, qui renferme le nom de personnes ayant demandé de l'information en lien avec l'ancien ministre Jim Prentice en vertu de la LAI.
8. Le 2 septembre 2014, le directeur de l'AIPRP d'AADNC (le directeur) a appris que La Presse avait obtenu le document. Le 4 septembre 2014, un article publié dans La Presse fait référence au document et cite le nom d'au moins un demandeur. Il rapporte aussi une déclaration du directeur qui indique que des fonctionnaires d'AADNC ne travaillant pas dans l'unité de l'AIPRP, dont le sous-ministre et un sous-ministre adjoint, ont consulté le document. La même journée, on parle du même document dans le Globe and Mail.
9. À la suite de la publication des articles, AADNC a envoyé une lettre pour informer chaque demandeur que son nom avait été communiqué à un " média ".
10. AADNC a embauché une tierce partie afin qu'elle réalise une enquête de sécurité à l'égard de l'incident^{Note de bas de page 1}.
11. AADNC nous a fourni les faits constatés de l'enquête de sécurité, qui se fondent sur des entrevues menées auprès de plusieurs personnes et sur l'examen de plus de 90 000 dossiers. L'enquête a permis de retracer la source du document fourni à La Presse, soit une copie effectuée par l'assistant d'un fonctionnaire de la Direction générale des communications. Le document avait été entreposé dans un classeur protégé, mais il était introuvable lors de la tenue de l'enquête de sécurité.
12. Les éléments de preuve existants portent à croire qu'un journaliste de La Presse a reçu une copie papier du document. Cependant, nous n'avons pas trouvé suffisamment de preuves pour identifier la personne qui a remis le document au journaliste.

Pourquoi ce document a-t-il été créé?

13. À la suite de la communication du document, il convient de se demander ce qui pouvait bien en justifier la création. Nous avons posé la question à AADNC.
14. Le Ministère a répondu qu'il avait reçu au printemps 2014 plusieurs demandes d'information en vertu de la LAI au sujet des dépenses de M. Prentice. Dans les alentours du 6 mai 2014, le directeur de l'unité d'AIPRP à AADNC a déclaré qu'il n'existait pas de dossiers à ce sujet. Entre le 29 mai et le 16 juin 2014, le Ministère a reçu d'autres demandes d'information concernant les dépenses de M. Prentice. Lors du traitement de ces nouvelles demandes, on a découvert des dossiers correspondant aux demandes antérieures (pour lesquelles on avait affirmé qu'il n'existait pas d'information). AADNC a conclu que, pour corriger l'erreur, il était nécessaire de prendre des mesures pour fournir les dossiers appropriés à ces demandeurs.
15. Afin de planifier les réponses à envoyer aux demandeurs d'origine, l'unité d'AIPRP d'AADNC a créé un document comprenant une liste des demandeurs et de leurs demandes. Il s'agit du document qu'a obtenu La Presse.
16. Le document a été modifié environ deux semaines plus tard. Le nom des personnes qui avaient demandé de l'information en vertu de la LAI a été effacé et remplacé par un code de couleurs.

Qui, au sein d'AADNC, a consulté le document?

17. En plus de confirmer la communication du document à La Presse et d'obtenir une explication quant à sa création, nous avons cherché à déterminer qui, au sein d'AADNC, l'a consulté et à quelles fins.
18. Dans ses observations, AADNC indique que le document a été consulté par des fonctionnaires de l'unité d'AIPRP et du Secrétariat ministériel qui cherchaient à déterminer les renseignements à obtenir afin de répondre aux demandes.
19. Le document a aussi été envoyé à un fonctionnaire de Finances et services des marchés et à un autre de Planification et gestion des ressources. Selon AADNC, ces personnes ont pu consulter le document parce qu'elles avaient participé à la recherche des dossiers nécessaires pour répondre aux demandes et à la préparation du document communiqué en vertu de le LAI.
20. De plus, le document a été remis à un fonctionnaire de la Direction générale des communications, car, selon AADNC, la situation attirait beaucoup l'attention des médias.
21. Dans ses observations, AADNC indique que ni le sous-ministre ni le sous-ministre adjoint n'ont consulté le document. Lorsque nous avons interviewé le directeur au sujet de ses déclarations à La Presse, il a affirmé avoir expliqué au journaliste le processus de délégation ministérielle à AADNC. Conformément à cette délégation, le sous-ministre, le sous-ministre adjoint, le secrétaire ministériel, le directeur de l'AIPRP, de même que les fonctionnaires qui appuient ces derniers afin de répondre aux demandes d'accès à l'information, auraient eu le droit d'accéder au document en fonction du besoin de savoir. Cependant, le directeur affirme qu'il n'a jamais dit au journaliste que le sous-ministre et le sous-ministre adjoint avaient consulté le document.

Analyse des questions et faits pertinents

22. Pour arriver à notre conclusion, nous avons pris en considération les articles 3, 7 et 8 de la Loi, ainsi que l'alinéa 6.2.3 de la Politique sur l'accès à l'information du Secrétariat du Conseil du Trésor.

Est-ce que le document contenait des renseignements personnels?

23. L'article 3 de la Loi comprend une liste non exhaustive d'exemples et définit les renseignements personnels comme des renseignements, quels que soient leur forme et leur support, concernant un individu identifiable. Conformément à cette définition, l'association du nom de particuliers avec leur demande d'information respective constitue des renseignements personnels.

Est-ce que tous les fonctionnaires d'AADNC qui ont consulté le document avaient besoin de connaître l'identité des demandeurs?

24. L'alinéa 7a) de la Loi précise qu'à défaut du consentement de l'individu concerné, les renseignements personnels relevant d'une institution ne peuvent servir à celle-ci qu'aux fins auxquelles ils ont été recueillis ou préparés par l'institution de même que pour les usages qui sont compatibles avec ces fins. Cela signifie que les institutions doivent utiliser les renseignements personnels uniquement s'ils sont nécessaires aux fins prévues.
25. L'alinéa 6.2.3 de la Politique sur l'accès à l'information du Secrétariat du Conseil du Trésor précise qu'il faut veiller à ce que l'identité des requérants soit protégée, et à ce qu'elle ne soit divulguée qu'aux personnes ayant absolument besoin de la connaître dans l'exercice de leurs fonctions relatives à un programme ou à une activité légitime.
26. Les renseignements en question ont été collectés afin de traiter des demandes présentées en vertu de la LAI^{Note de bas de page 2} et de fournir une réponse. Selon AADNC, on a transmis le nom des demandeurs aux fonctionnaires d'AADNC chargés de donner suite aux demandes d'information et de gérer l'intérêt que cela pourrait susciter du côté des médias. Cependant, selon nous, il n'était pas nécessaire que tous ces fonctionnaires connaissent le nom des demandeurs. Au contraire, la majorité d'entre eux avaient uniquement besoin de connaître le contenu des demandes afin d'obtenir les renseignements appropriés. Les seuls fonctionnaires du Ministère qui avaient besoin de connaître l'identité des demandeurs étaient ceux qui étaient chargés de recevoir les demandes et d'envoyer les réponses. Ainsi, AADNC a contrevenu à la Loi en communiquant des renseignements personnels à des fonctionnaires qui n'avaient pas un besoin légitime de connaître l'identité des demandeurs en vertu de la LAI.
27. Cela étant dit, nous n'avons pas trouvé de preuve indiquant que le sous-ministre ou le sous-ministre adjoint ont consulté le document.

Est-ce que la communication des renseignements à La Presse constitue une violation de la Loi?

28. La Loi prévoit que les renseignements personnels peuvent uniquement être communiqués avec le consentement de l'individu - paragraphe 8(1) - ou conformément à une des catégories des communications permises énumérées au paragraphe 8(2). L'enquête a confirmé que La Presse a pu accéder à un document créé par AADNC qui contenait des renseignements personnels au sujet de personnes qui avaient déposé une demande d'information en vertu de la LAI. On ne sait pas exactement comment le document est arrivé à La Presse : un employé a peut-être fourni le document directement à un journaliste, ou par l'intermédiaire d'un tiers. Cependant, il est clair que le document provenait d'AADNC et qu'il a été communiqué de façon inappropriée.

Constatations

29. Nous sommes d'avis qu'AADNC a contrevenu à la Loi de deux façons distinctes. Premièrement, on a distribué au sein du Ministère, à des fonctionnaires n'ayant pas besoin d'en être informés, un document qui renfermait le nom de personnes ayant demandé de l'information en vertu de la LAI. Deuxièmement, le Ministère est responsable de la communication de la liste à La Presse, ce qui contrevient à la Loi. Pour ces raisons, nous concluons que la plainte est fondée.

Recommandations

30. En ce qui concerne le fait que des fonctionnaires n'ayant pas un besoin légitime de savoir ont eu accès à des renseignements personnels, nous recommandons qu'AADNC examine ses politiques et procédures concernant le traitement des demandes d'accès à l'information afin de s'assurer que les mécanismes appropriés existent et que le principe du besoin de savoir est appliqué. Nous demandons que, dans les six mois suivant la réception de ce rapport, AADNC rende compte des mesures prises.