Notifications erronées de mise en quarantaine provenant d’ArriveCAN

Plainte en vertu de la Loi sur la protection des renseignements personnels

Le 29 mai 2023

---

---

Description

À partir du 28 juin 2022, environ 10 200 utilisateurs d’appareils Apple ont reçu de l’application ArriveCAN des notifications erronées dans lesquelles on leur demandait de se mettre en quarantaine, en application des mesures d’urgence imposées durant la pandémie du COVID-19. Ces notifications étaient causées par une défaillance de la version 3.0 d’ArriveCAN qui n’avait pas été détectée avant son lancement et qui générait des renseignements inexacts sur le statut d’exemption de quarantaine des voyageurs concernés. En raison de la conception du système, les inexactitudes n’ont pas été corrigées par les agents de contrôle à la frontière. La défaillance a été corrigée trois semaines plus tard, et les personnes touchées ont été informées une semaine après. Nous avons conclu que l’Agence des services frontaliers du Canada (ASFC) n’a pas pris toutes les mesures raisonnables pour assurer l’exactitude des renseignements personnels qu’elle a utilisés à des fins administratives, comme l’exige le paragraphe 6(2) de la Loi sur la protection des renseignements personnels (la Loi). L’ASFC a refusé de corriger les renseignements inexacts et sensibles qu’elle détient toujours sur les voyageurs touchés en ce qui concerne leur statut de quarantaine, malgré notre recommandation en ce sens.

Points à retenir

• La disposition de la Loi relative à l’exactitude s’applique aux renseignements que les institutions produisent ou obtiennent au sujet d’une personne, y compris les données produites par des processus automatisés, algorithmiques, actuariels ou statistiques.
• Le paragraphe 6(2) de la Loi prévoit un degré élevé de diligence raisonnable pour garantir l’exactitude des renseignements personnels lorsqu'une décision administrative qui utilise ces renseignements peut avoir des répercussions importantes pour les individus.
• Pour garantir l’exactitude des renseignements générés au moyen de processus automatisés, les institutions doivent notamment prendre les mesures suivantes :
  • La mise à l’essai rigoureuse des versions avant leur lancement pour prévenir les problèmes qui pourraient entraîner les répercussions les plus négatives qui soient pour tous les utilisateurs.
  • Une intervention humaine efficace en ce qui concerne les décisions qui ont une incidence importante sur les personnes.
  • La prise de mesures correctives et de recours efficaces et opportuns pour les personnes.

---

Rapport de conclusions

Aperçu

Dans la foulée de la pandémie de COVID-19, 80 décrets d’urgence ont été pris par la gouverneure en conseil en vertu de la Loi sur la mise en quarantaine entre le 3 février 2020 et le 30 septembre 2022. L’objectif de ces décrets d’urgence était d’empêcher l’introduction et la propagation de la COVID-19 au Canada en soumettant les voyageurs à certaines exigences avant et après leur entrée au pays. Afin de déterminer les exigences d’entrée applicables pour un voyageur donné et de veiller à ce que celles-ci soient respectées, l’Agence des services frontaliers du Canada (ASFC) et l’Agence de la santé publique du Canada (ASPC) ont recueilli les renseignements personnels des personnes qui entraient au Canada, et ce, principalement par l’intermédiaire des applications mobile et Web ArriveCAN (ArriveCAN).

Le 28 juin 2022, la version 3.0 d’ArriveCAN a été lancée. Une erreur dans cette version a fait en sorte qu’environ 10 000 utilisateurs d’appareils Apple recevaient des notifications erronées de mise en quarantaine, malgré le fait qu’ils étaient entièrement vaccinés et qu’ils respectaient toutes les conditions de l’exemption de quarantaine à cet égard. L’ASFC a déclaré avoir décelé l’erreur le 14 juillet 2022 et l’avoir corrigée le 20 juillet 2022.

Étant donné que les renseignements et les instructions produits par ArriveCAN étaient inexacts pour certains utilisateurs d’appareils Apple, la partie plaignante soutient que l’ASFC n’aurait pas pris toutes les mesures raisonnables pour veiller à ce que les renseignements personnels utilisés pour déterminer les exigences de mise en quarantaine applicables à une personne soient aussi exacts que possible.

Enfin, le Commissariat estime que l’ASFC n’a pas respecté les exigences de la Loi sur la protection des renseignements personnels (la Loi), car elle n’a pas pris toutes les mesures raisonnables pour assurer l’exactitude des renseignements qu’elle a utilisés dans le cadre d’un processus décisionnel administratif. Par conséquent, le Commissariat conclut que l’ASFC ne s’est pas acquittée de ses obligations prévues au paragraphe 6(2) de la Loi et que la présente plainte est fondée.

Après la détection de l’erreur, l’ASFC a mis en place des essais élargis pour les versions d’ArriveCAN et a fait observer qu’elle continuerait à adopter des procédures d’essai plus souples pour des situations comme la pandémie, où le rythme auquel les exigences opérationnelles et les versions changent entraînerait des délais d’essai serrés. L’ASFC n’était pas d’accord avec notre conclusion selon laquelle elle avait omis de prendre toutes les mesures raisonnables pour assurer l’exactitude des renseignements. Elle a également refusé de mettre en œuvre notre recommandation visant à corriger les renseignements inexacts et sensibles qu’elle détenait au sujet des voyageurs touchés par rapport à la mise en quarantaine. Nous exhortons l’ASFC à revoir sa position sur son refus de corriger les données erronées découlant de l’erreur d’ArriveCAN et à prendre toutes les mesures nécessaires dans l’éventualité où elle déciderait d’aller de l’avant avec des outils semblables à l’avenir.

Contexte

1. Entre le 3 février 2020^{Note de bas de page 1} et le 30 septembre 2022^{Note de bas de page 2}, 80 décrets d’urgence (décrets d’urgence ou décrets) ont été pris en vertu de l’article 58 de la Loi sur la mise en quarantaine. Les décrets d’urgence ont été pris par la gouverneure en conseil, sur recommandation du ministre de la Santé, et imposaient des conditions aux personnes entrant au Canada afin de réduire le risque d’importation et de propagation de la maladie à coronavirus 2019 (COVID-19).
2. Le dernier décret d’urgence^{Note de bas de page 3}, qui a été pris le 25 juin 2022 et qui était en vigueur pendant les événements dont il est question en l’espèce, prévoyait notamment :
   • que toute personne communique les renseignements concernant son statut vaccinal contre la COVID-19^{Note de bas de page 4} et les autres renseignements prescrits au moyen de l’application mobile ou Web ArriveCAN^{Note de bas de page 5};
   • que toute personne qui n’a pas été entièrement vaccinée subisse un test de dépistage de la COVID-19 avant son entrée au pays^{Note de bas de page 6}, à son entrée au pays et après son entrée au pays^{Note de bas de page 7} ainsi que se mettre en quarantaine pendant une période 14 jours^{Note de bas de page 8};
   • que toute personne qui a été entièrement vaccinée fournisse sa preuve de vaccination contre la COVID-19 (preuve de vaccination ou certificat de vaccination). Les personnes qualifiées comme entièrement vaccinées étaient exemptées de la quarantaine de 14 jours.
3. Selon les renseignements soumis par les voyageurs, ArriveCAN déterminait si ceux qui entraient au pays étaient exemptés de l’obligation de se mettre en quarantaine. La décision s’appuyait sur les renseignements fournis directement par les utilisateurs (p. ex. la date de naissance) ainsi que sur les renseignements générés automatiquement par ArriveCAN (p. ex. la validité de la preuve de vaccination^{Note de bas de page 9}). Si ArriveCAN i) avait déterminé qu’un voyageur arrivant par avion était tenu de se mettre en quarantaine ou ii) n’arrivait pas à déterminer si celui-ci était exempté (p. ex. si l’authenticité de la preuve de vaccination n’a pas pu être vérifiée), un agent de l’ASFC examinait les renseignements soumis par le voyageur dans ArriveCAN à son arrivée au point d’entrée (p. ex. un aéroport international). Aux points d’entrée terrestres (p. ex. aux postes frontaliers le long de la frontière canado-américaine), tous les renseignements soumis dans ArriveCAN étaient examinés par un agent de l’ASFC.
4. Les renseignements soumis dans ArriveCAN étaient accessibles aux agents de l’ASFC par l’intermédiaire de l’application de bureau permettant la recherche des contacts (application de recherche des contacts ContactTrace), un système de gestion de l’information et des cas conçu expressément pour l’administration des décrets d’urgence. Après avoir examiné les renseignements soumis par un voyageur, l’agent de l’ASFC apporte des changements au dossier de celui-ci si nécessaire, en fonction de la validation ou du rejet des pièces justificatives du voyageur (p. ex. preuve de vaccination, attestation d’exemption médicale). Les obligations visant le voyageur après son entrée au pays lui seraient alors communiquées. Par exemple, si un voyageur n’était pas entièrement vacciné ou si sa preuve de vaccination était rejetée, un agent de l’ASFC lui demandait de subir un test de dépistage et de se mettre en quarantaine.
5. Le 28 juin 2022, la version 3.0 d’ArriveCAN a été lancée. Dans cette itération de l’application, les voyageurs utilisant la version iOS d’ArriveCAN (c.-à-d. la version d’ArriveCAN destinée aux appareils mobiles Apple) qui avaient sauvegardé leur formulaire après avoir sélectionné les voyageurs prenant part à un voyage et qui y sont revenus plus tard pour le remplir et le soumettre avaient par erreur leur valeur « quarantine_exempted » définie comme « false » par ArriveCAN. Le Commissariat souligne que cette valeur était déterminée par l’application ArriveCAN et ne constituait donc pas un champ de données rempli par l’utilisateur lui-même.
6. Lorsqu’ils entraient au Canada et que les renseignements soumis dans ArriveCAN étaient examinés par un agent de l’ASFC, les voyageurs touchés par cette erreur apparaissaient néanmoins comme étant entièrement vaccinés et exemptés des obligations de mise en quarantaine dans l’application de recherche des contacts ContactTrace. Cela s’explique par le fait que cette application n’utilisait pas la valeur « quarantine_exempted » d’ArriveCAN et effectuait plutôt sa propre évaluation des obligations visant le voyageur après son entrée au pays. Les personnes touchées par l’erreur n’avaient donc pas reçu de la part des agents de l’ASFC l’instruction de se mettre en quarantaine lorsqu’elles ont traversé la frontière.
7. ArriveCAN envoyait des notifications automatiques et des courriels aux utilisateurs dont la valeur « quarantine_exempted » était définie comme « false » (c.-à-d. tous les voyageurs touchés par l’erreur) après qu’ils soient entrés au Canada. Dans ceux-ci, on leur demandait de se mettre en quarantaine et de rendre compte de leur état de santé, sans quoi ils risquaient de recevoir des amendes pouvant aller jusqu’à 5 000 $. Les personnes qui ne répondaient pas à ces notifications pouvaient alors recevoir des appels pour la vérification de la conformité de la part des représentants de l’ASPC. Ces derniers croyaient que les personnes touchées étaient tenues de se mettre en quarantaine, car les données transférées à l’ASPC comportaient la valeur « quarantine_exempted » définie par erreur.
8. Finalement, l’ASFC a déclaré qu’elle avait relevé cette erreur le 14 juillet 2022 et qu’elle avait publié une mise à jour d’ArriveCAN le 20 juillet 2022^{Note de bas de page 10} et que cette version ne contenait plus l’erreur.
9. Par conséquent, du 28 juin au 20 juillet 2022, environ 10 200^{Note de bas de page 11} utilisateurs d’appareils Apple ont reçu des instructions erronées de mise en quarantaine, et ce, directement d’ArriveCAN par l’entremise d’une notification et par un courriel générés par l’application.
10. L’ASFC a déclaré que, pendant la période précédant l’erreur en question^{Note de bas de page 12}, les voyageurs entièrement vaccinés ayant reçu des notifications erronées et ayant par la suite appelé les lignes de soutien destinées à ArriveCAN ou à la COVID-19 pour obtenir des directives ont reçu l’instruction de :
    • ne pas répondre aux notifications;
    • mettre à jour ArriveCAN pour obtenir la version la plus récente;
    • répondre à l’appel pour la vérification de la conformité qu’ils recevraient et d’expliquer leur situation à l’agent de santé publique^{Note de bas de page 13}.
11. L’ASPC a informé les voyageurs touchés par courriel le 26 juillet 2022 (et de nouveau le 4 août 2022) d’ignorer les avis erronés de mises en quarantaine qu’ils avaient reçus et a confirmé que les voyageurs n’étaient pas tenus de se mettre en quarantaine.

Analyse

Question : L’ASFC a-t-elle pris toutes les mesures raisonnables pour veiller à ce que les renseignements personnels utilisés aux fins de la prise d’une décision administrative soient aussi exacts que possible?

12. La partie plaignante a critiqué l’existence de l’erreur causée par la version 3.0 de ArriveCAN et son incidence importante sur les droits des voyageurs touchés, qui ont reçu l’instruction de se mettre en quarantaine, qui ne pouvaient pas soumettre de nouveaux renseignements dans ArriveCAN^{Note de bas de page 14} et qui pourraient avoir subi un stress psychologique accru à la suite de la confusion qui en a résulté. La partie plaignante fait remarquer que l’ASFC aurait dû prendre davantage de mesures pour empêcher que cette situation se produise.
13. Le paragraphe 6(2) de la Loi oblige les institutions fédérales de veiller, dans la mesure du possible, à ce que les renseignements personnels qu’elles utilisent à des fins administratives soient à jour, exacts et complets.
14. L’article 3 de la Loi donne les définitions suivantes :
    • renseignements personnels – les renseignements, quels que soient leur forme et leur support, concernant un individu identifiable;
    • fins administratives – la destination de l’usage de renseignements personnels concernant un individu dans le cadre d’une décision le touchant directement.
15. Dans Ewert c. Canada, 2018 CSC 30 (Ewert), la Cour suprême du Canada a interprété l’exigence d’exactitude énoncée au paragraphe 24(1) de la Loi sur le système correctionnel et la mise en liberté sous condition (L.C. 1992, ch. 20) (LSCMLC), une disposition essentiellement similaire au paragraphe 6(2) de la Loi^{Note de bas de page 15}, qui s’applique non seulement à la collecte de renseignements et à la tenue de dossiers, mais aussi aux outils qui analysent les renseignements recueillis et qui produisent de nouveaux renseignements^{Note de bas de page 16}. De plus, le Commissariat à l’information et à la protection de la vie privée de l’Alberta a récemment appliqué Ewert aux lois sur la protection de la vie privée dans Edmonton Police Service (Re), 2021 CanLII 13336 (AB OIPC), aux paragraphes 39 et 40.
16. De même, dans le contexte de la Loi, le Commissariat estime que le paragraphe 6(2) s’applique non seulement aux renseignements recueillis auprès d’une personne, mais aussi aux renseignements générés par une institution au sujet d’une personne. Ces renseignements comprennent les données produites par des processus automatisés, algorithmiques, actuariels ou statistiques, comme c’est le cas de l’évaluation par ArriveCAN du statut d’exemption de quarantaine des voyageurs.

Sous-question I : Les renseignements en question sont-ils des renseignements personnels utilisés à des fins administratives?

17. L’information considérée comme étant erronée était le champ de données « quarantine_exempted » d’ArriveCAN, qui était normalement généré à partir de l’évaluation d’ArriveCAN et du calcul d’autres champs de données^{Note de bas de page 17}. Par exemple, si i) la preuve de vaccination du voyageur était considérée comme valide, ii) le voyageur bénéficiait d’une exemption médicale ou iii) le voyageur était un enfant accompagné d’un adulte entièrement vacciné, la valeur attribuée pour « quarantine_exempted » était alors réglée à « true », indiquant ainsi que la personne était exemptée de l’obligation de se mettre en quarantaine. Pour les personnes touchées par l’erreur, le champ de données « quarantine_exempted » n’était jamais calculé correctement et était donc enregistré selon sa valeur par défaut : « false ».
18. Comme ce champ de données porte sur un individu identifiable et est consigné électroniquement dans ArriveCAN et dans le système de gestion de l’information de l’ASFC, il constitue un renseignement personnel au sens de la Loi. Le Commissariat estime que chaque voyageur est un individu identifiable, car les renseignements que celui-ci entre dans ArriveCAN doivent contenir son nom complet, sa date de naissance, son courriel, son numéro de téléphone, l’adresse où il se mettra en quarantaine, les renseignements sur son voyage (p. ex. son numéro de vol), un document de voyage permettant l’identification (p. ex. son numéro de passeport) et une preuve de vaccination. Tous ces renseignements peuvent servir à révéler l’identité du voyageur.
19. L’ASFC a affirmé qu’elle recueillait les renseignements pour que l’ASPC puisse les utiliser à des fins administratives plutôt qu’à ses propres fins. Nous ne contestons pas le fait que l’ASPC a finalement utilisé les renseignements en question à des fins administratives (pour les communications de suivi au sujet de l’application de la loi). Cela étant dit, plusieurs ministères peuvent utiliser les mêmes renseignements pour leurs propres décisions administratives. De plus, à notre avis, l’ASFC a de toute évidence utilisé les renseignements erronés à des fins administratives (il s’agit d’un processus décisionnel qui touche directement les personnes). De façon précise, l’application ArriveCAN s’est servie des renseignements, qui étaient sous la responsabilité de l’ASFC, pour « décider » : i) d’ordonner aux voyageurs concernés de se mettre en quarantaine par l’entremise des notifications et des courriels qu’elle envoyait automatiquement; et ii) d’aviser l’ASPC, aux fins de l’application de la loi, que les personnes étaient tenus de se mettre en quarantaine. Bien qu’elles aient été non intentionnelles et en contradiction avec celles prises par les agents de contrôle de l’ASFC à la frontière, ces décisions ont touché directement les personnes.
20. Pour ces motifs, le Commissariat estime que les renseignements consignés dans le champ de données visé par l’erreur constituaient des renseignements personnels utilisés à des fins administratives par l’ASFC et qu’ils étaient donc assujettis aux exigences d’exactitude prescrites par le paragraphe 6(2) de la Loi.

Sous-question II : L’ASFC a-t-elle pris toutes les mesures raisonnables pour veiller à ce que les renseignements soient aussi exacts, à jour et complets que possible?

21. Étant donné les conséquences importantes des décrets d’urgence sur les droits et la mobilité des voyageurs qui arrivaient au pays, nous sommes d’avis qu’un degré élevé de diligence raisonnable s’imposait au titre du paragraphe 6(2) de la Loi afin d’assurer l’exactitude des renseignements qui figuraient dans ArriveCAN et qui ont servi dans les décisions administratives liées aux décrets.
22. Un certain nombre de mesures ont été prescrites par les exigences politiques ou recommandées comme pratiques exemplaires dans les directives générales, lesquelles sont utiles pour évaluer les mesures raisonnables que les institutions doivent prendre pour veiller à ce que les renseignements générés par les processus automatisés soient exacts, à jour et complets. Ces mesures comprennent notamment ce qui suit :
    1. une supervision et une surveillance passives des résultats du système, en particulier pour détecter les résultats anormaux^{Note de bas de page 18};
    2. la possibilité d’une intervention humaine^{Note de bas de page 19};
    3. la possibilité pour les voyageurs d’accéder aux renseignements utilisés pour la prise de décision, et de contester ou de signaler des renseignements inexacts^{Note de bas de page 20};
    4. la traçabilité, l’explicabilité et la consignation des renseignements et des décisions^{Note de bas de page 21};
    5. une mise à l’essai et une évaluation indépendante du système avant sa mise en œuvre^{Note de bas de page 22}.
23. Dans les observations qu’elle a transmises au Commissariat, l’ASFC a indiqué qu’elle avait pris les mesures suivantes pour assurer l’exactitude de tels renseignements :
    1. les personnes qui n’ont pas été officiellement évaluées par ArriveCAN comme étant exemptées de l’obligation de se mettre en quarantaine ont fait l’objet d’une vérification par un agent de l’ASFC (c.-à-d. un intervenant humain), qui examinait leurs renseignements soumis dans ArriveCAN et vérifiait si le voyageur était effectivement tenu de se mettre en quarantaine;
    2. l’ASFC a réalisé plus de 1 800 scénarios d’essai pour la version d’ArriveCAN contenant la défectuosité (c.-à-d. la version 3.0 lancée le 28 juin) avant qu’elle ne soit lancée, et ce, en plus d’avoir réalisé au-delà de 2 700 scénarios d’essai de régression^{Note de bas de page 23};
    3. les voyageurs entièrement vaccinés qui ont reçu des notifications erronées d’ArriveCAN et qui ont appelé les lignes de soutien destinées à ArriveCAN ou à la COVID-19 pour obtenir des conseils ont reçu l’instruction de ne pas répondre aux notifications, de mettre à jour ArriveCAN pour obtenir la version la plus récente et d’expliquer leur situation lors des appels pour la vérification de la conformité qu’ils recevraient;
    4. l’ASFC a résolu l’erreur le 20 juillet 2022, soit 6 jours après la date à laquelle elle a déclaré l’avoir découverte, soit le 14 juillet;
    5. une fois l’erreur résolue, des courriels ont été envoyés aux voyageurs touchés le 26 juillet et le 4 août 2022. Dans ceux-ci, on les informait qu’ils n’étaient pas tenus de se mettre en quarantaine et qu’ils avaient reçu des notifications par erreur.
24. Sans égard à ce qui précède, nous concluons que l’ASFC n’a pas pris les mesures raisonnables ci-dessous pour veiller à l’exactitude des renseignements auxquels elle a eu recours par l’entremise d’ArriveCAN pour prendre des décisions touchant les personnes en question. Plus précisément, ces mesures ont trait : i) à la mise à l’essai rigoureuse des versions avant leur lancement pour prévenir les problèmes qui pourraient entraîner les répercussions les plus négatives qui soient pour tous les utilisateurs; ii) à une intervention humaine efficace en ce qui concerne les décisions ayant une incidence importante sur les personnes; et iii) à la prise de mesures correctives et de recours efficaces et opportuns pour les personnes.

Mise à l’essai rigoureuse des versions avant leur lancement pour prévenir les problèmes qui pourraient entraîner les répercussions les plus négatives qui soient pour tous les utilisateurs

25. L’ASFC a fait valoir qu’il était [traduction] « malheureusement impossible de relever toutes les erreurs probables avant le lancement d’une version et [qu’]il ne s’agi[ssait] pas d’une norme industrielle. Le caractère raisonnable ne peut pas correspondre à la perfection. » Nous sommes d’accord. Cependant, l’ASFC n’a pas démontré que les conditions à la source de l’erreur (utiliser un appareil Apple pour revenir remplir un formulaire sauvegardé après avoir d’abord sélectionné les voyageurs) constituaient un cas limite inhabituel ou imprévisible.
26. Nous nous attendons à ce qu’une institution ayant recours à des systèmes décisionnels automatisés, même ceux qui ne visent qu’à « aider » les décideurs humains, cerne les types de résultats erronés susceptibles d’engendrer les répercussions négatives les plus importantes qui soient sur les personnes concernées et assure une mise à l’essai rigoureuse pour prévenir les erreurs qui pourraient entraîner ces résultats indésirables.
27. L’ASFC a également fait valoir qu’il fallait reconnaître le contexte de l’intervention d’urgence dans lequel l’application ArriveCAN a été élaborée et a évolué au fil du temps. Elle a fait observer que, après avoir lancé la version initiale d’ArriveCAN, elle avait mis au point 177 versions subséquentes dans trois plateformes sur une période de deux ans et demi, en raison de l’évolution constante des exigences liées aux décrets d’urgence émis en application de la Loi sur la mise en quarantaine selon un cycle de renouvellement de 30 ou 60 jours. L’ASFC a précisé qu’elle utilisait les pratiques exemplaires de l’industrie en ce qui concerne la mise à l’essai des systèmes et des applications pour la maintenance de plus de 180 systèmes de technologie de l’information (TI), et que ce régime d’essai englobait de vastes essais de régression approfondis et essais automatisés de sorte que plus de temps puisse être consacré à la mise à l’essai de nouvelles fonctionnalités, et aux essais par paire. Cependant, l’ASFC a ajouté que la nécessité de répondre aux exigences fluctuantes ci-dessus l’avait [traduction] « obligée à faire des compromis sur des pratiques exemplaires établies dans des conditions de travail normales dans le domaine de la TI ».
28. Nous sommes conscients que le début de la pandémie de COVID-19 a entraîné des conditions de travail exceptionnelles sur de nombreux fronts. Par contre, l’incident en question s’est produit bien après le début de la pandémie et plus de deux ans après le lancement d’ArriveCAN. Au cours de la phase initiale d’une crise, une certaine latitude peut s’avérer raisonnable, mais deux ans plus tard, nous nous attendons à ce qu’une institution qui exploite un système qui fonctionne à l’aide d’une application logicielle alloue suffisamment de temps et de ressources à la mise à l’essai de toute version avant son lancement afin de veiller à l’absence d’erreurs qui pourraient avoir des répercussions importantes. L’ASFC n’a pas mentionné que l’erreur en question avait été causée par un changement précis et urgent découlant d’un décret d’urgence émis peu de temps auparavant. De plus, l’erreur ne semble pas s’être produite en raison d’un changement quelconque aux exigences vaccinales pendant la période de lancement de la version 3.0.
29. En outre, le risque que des voyageurs soient informés par erreur au moyen d’ArriveCAN de l’obligation de se mettre en quarantaine même s’ils étaient entièrement vaccinés semble être une question à laquelle l’ASFC avait réfléchi bien avant le lancement de la version 3.0 d’ArriveCAN, le 28 juin 2022. Depuis au moins le 27 avril 2022, sur la page « Contactez-nous » vers laquelle les personnes recevant un avis de mise en quarantaine étaient orientées en cas de problème, l’ASFC a intégré un formulaire que les utilisateurs pouvaient remplir s’ils [traduction] « [étaient] confrontés à des problèmes techniques ou liés à leur compte ou à leur mot de passe sur ArriveCAN [ou] s’ils recevaient des avis de mise en quarantaine ou de signalement de symptômes d’ArriveCAN même s’ils étaient considérés comme entièrement vaccinés à leur arrivée à la frontière ». [Non souligné dans l’original]
30. Dans ce contexte, nous sommes toujours d’avis que l’ASFC n’a pas pris toutes les mesures raisonnables à l’égard des essais avant le lancement pour empêcher que des renseignements personnels inexacts soient utilisés dans la prise de décision touchant les personnes.
31. En réponse à l’erreur, l’ASFC a élargi la portée des essais dans ArriveCAN pour inclure :
    • 100 scénarios d’essai de régression supplémentaires visant à détecter des problèmes liés à la fonction de sauvegarde du formulaire d’ArriveCAN;
    • une capacité d’essai de régression automatisée (c.-à-d. réalisation automatique d’essais de régression à l’aide de cadres d’automatisation et de plateformes logicielles nécessitant un minimum d’intervention humaine);
    • la planification et la réalisation de scénarios d’essai ponctuels lors du lancement de chaque version (c.-à-d. mettre à l’essai la version en place d’ArriveCAN après son lancement);
    • une augmentation du nombre de ressources qui agissent à titre de testeurs.
    L’ASFC a aussi fait observer qu’elle continuerait à adopter des procédures d’essai plus souples pour les situations exceptionnelles comme une pandémie, où le rythme auquel les exigences opérationnelles et les versions changent entraînent des délais d’essai serrés.

Mesures d’intervention humaine efficaces en ce qui concerne les décisions qui ont une incidence importante sur les personnes

32. Lorsqu’un système dépend de décideurs humains pour rendre des décisions finales ayant des répercussions « défavorables », nous nous attendons à ce qu’une « mesure positive » claire de la part d’un décideur humain identifiable soit nécessaire pour mettre en œuvre toutes les mesures découlant de cette décision. En d’autres termes :
    1. le décideur humain devrait prendre une mesure positive (sélectionner une option numérique, signer un formulaire, etc.) afin d’indiquer clairement sa décision;
    2. celle-ci devrait être accompagnée d’un rapport précisant les renseignements auxquels le décideur s’est fié;
    3. cette « mesure positive » devrait être le déclencheur de tout résultat découlant de la décision défavorable (c.-à-d. le système devrait être conçu de sorte que la décision proposée par le système automatisé ne puisse pas déclencher de décision défavorable « par défaut »).
33. À cet égard, il est important de souligner qu’au moment de l’incident, la suite d’outils et de processus utilisés pour appliquer les décrets d’urgence, notamment celui visant ArriveCAN, était conçue pour inclure la prise de décisions par un humain pour toute situation dans laquelle un individu devait se mettre en quarantaine. Il s’agissait là d’une importante caractéristique de conception qui est positive. Le fait qu’un être humain participe à la prise de décisions critiques ayant des répercussions, telle que d’établir si un individu a été correctement identifié comme une personne qui doit se mettre en quarantaine, peut réduire de manière significative les risques associés à la prise de décision automatisée, y compris le risque que les inexactitudes des renseignements personnels introduites par des erreurs de logiciel ne soient pas détectées et corrigées.
34. Cela a été mis en évidence dans l’Évaluation de l’incidence algorithmique^{Note de bas de page 24} effectuée pour ArriveCAN en octobre 2021 par l’ASPC, dans laquelle il est noté ce qui suit : [traduction] « Même si les décisions concernant le droit d’entrer au Canada et les exigences en matière de santé publique après le passage à la frontière peuvent avoir une incidence, les répercussions qui découlent des résultats d’ArriveCAN ne sont pas nécessairement importantes et peuvent être considérées comme étant réversibles. Par exemple, si ArriveCAN n’est pas en mesure de reconnaître la preuve de vaccination d’un voyageur, un agent des services frontaliers peut lui-même inspecter la preuve de vaccination et ainsi décider si la personne peut entrer au Canada et établir les exigences après le passage à la frontière. Dans un tel scénario, les répercussions des résultats de la plateforme sont réversibles et de courte durée ». Ceci a contribué à la conclusion tirée dans l’Évaluation de l’incidence algorithmique selon laquelle la prise de décision automatisée dans ce cas n’était située qu’au niveau 2 sur une échelle de 1 à 4.
35. Toutefois, dans ce cas-ci, différentes décisions prises au stade de la conception ont fait en sorte que, dans le cas des individus touchés par cette erreur, la décision finale (celle qui est communiquée aux individus et à l’ASPC pour la suite des mesures d’application de la loi) n’était pas prise par un agent de contrôle de l’ASFC. Plus particulièrement :
    1. D’abord, alors que l’application ArriveCAN était utilisée pour diriger les individus vers un agent de contrôle de l’ASFC et, par la suite, pour envoyer des avis de quarantaine, l’agent de l’ASFC examinait les renseignements des voyageurs (téléchargés à partir d’ArriveCAN) dans une application distincte : l’application de bureau ContactTrace. Cette application n’affichait pas le champ qui contenait la conclusion erronée d’ArriveCAN selon laquelle les voyageurs touchés devaient se mettre en quarantaine.
    2. Deuxièmement, et plus important encore, les renseignements figurant dans le champ d’exemption de quarantaine dans ArriveCAN (utilisé pour générer les avis de quarantaine erronés) n’ont été mis à jour que dans les cas où l’agent de contrôle de l’ASFC avait modifié un renseignement qui lui était visible dans l’application ContactTrace. Cette situation ne s’est pas produite pour les voyageurs touchés par le présent incident, car les agents de contrôle de l’ASFC qui ont traité ces voyageurs ne savaient pas qu’il fallait effectuer un changement.
36. À notre avis, et en particulier compte tenu du fait que l’ASFC avait pris en considération le risque que des décisions erronées en matière de quarantaine soient communiquées par ArriveCAN aux individus (voir le paragraphe 29), l’ASFC n’a pas pris de mesures adéquates pour assurer l’efficacité de l’intervention humaine afin de confirmer que ces décisions ayant des répercussions importantes soient prises en se fondant sur des renseignements exacts. Elle aurait dû s’assurer que les décision défavorables « prises » par ArriveCAN (lorsque l’application a envoyé des avis de quarantaine aux individus et en a informé l’ASPC) étaient des décisions prises par un décideur humain dans tous les cas.

Correction et redressement efficace et rapide pour les individus

37. Nous nous attendons à ce qu’une institution qui se fie sur des communications automatisées pour transmettre des décisions ayant des répercussions importantes et pouvant avoir un effet préjudiciable immédiat et prolongé dispose de mécanismes solides pour : (i) assurer la surveillance pour éviter les erreurs potentielles, (ii) permettre aux individus de soulever des préoccupations en matière d’exactitude et (iii) corriger rapidement les erreurs.
38. Le fait que les avis erronés redirigeaient les individus à la page « communiquez avec nous » qui leur offrait différentes options de contact, y compris une ligne téléphonique 24 heures sur 24, 7 jours sur 7 de Service Canada et un formulaire précis à remplir pour ceux qui croyaient avoir été avisés par erreur de se mettre en quarantaine alors qu’ils sont entièrement vaccinés, constitue une étape positive en matière de redressement. L’ASFC a déclaré que c’était grâce à ces mécanismes qu’elle avait fini par détecter et corriger l’erreur du logiciel, et qu’elle avait envoyé un courriel à tous les individus touchés le 26 juillet.
39. Cependant, malgré le fait que ces mécanismes étaient en place, il a fallu, selon l’ASFC, plus de deux semaines pour détecter l’erreur et plus de trois semaines pour empêcher que l’erreur n’affecte la prise de décisions à l’égard des nouveaux voyageurs. L’ASFC a fait valoir que, depuis mai 2022 (c.-à-d. bien avant cet incident), les voyageurs qui ont joint un agent par la ligne téléphonique susmentionnée et qui se sont plaints d’avoir reçu un avis de quarantaine erroné d’ArriveCAN, alors qu’ils étaient entièrement vaccinés, se sont fait dire d’ignorer les avis et d’expliquer leur situation à l’agent d’exécution de la loi de l’ASPC au moment où il communiquait avec eux. Cependant, il aura fallu près d’un mois pour qu’un correctif soit envoyé à tous les individus touchés. D’ailleurs, l’ASFC n’a toujours pas corrigé les renseignements erronés dans ses propres fonds de données.
40. Nous sommes conscients que le volume de dossiers de voyageurs traités en une seule journée, et donc, le nombre d’individus qui ont soulevé des préoccupations avec ArriveCAN par l’intermédiaire de ces mécanismes avant et après l’incident, était vraisemblablement très élevé. L’ASFC a également souligné, et nous le reconnaissons, que, puisque l’erreur ne touchait que 0,5 % de l’ensemble des demandes reçues au cours de la période visée, et que les habitudes de voyage étaient changeantes à l’époque, il était peu probable qu’une surveillance passive des demandes permette de détecter l’erreur dont il est question. Toutefois, à notre avis, une situation dans laquelle un nombre appréciable (et vraisemblablement élevé) d’individus se plaignant d’avoir été ordonnés par ArriveCAN de se mettre en quarantaine alors qu’ils étaient entièrement vaccinés aurait dû sonner l’alarme et être résolue en quelques jours, et non en quelque semaines, étant donné les importantes répercussions négatives sur les individus touchés. En outre, nous soulignons que cet incident est survenu plus de deux ans après le début de la pandémie et le lancement d’ArriveCAN, et que nous nous attendions donc à un niveau correspondant de ressources et de maturité sur le plan des mécanismes d’intervention en cas d’incident.
41. Par conséquent, nous concluons que l’ASFC n’a pas pris toutes les mesures raisonnables pour s’assurer que les préoccupations soulevées par les individus touchés au sujet de l’utilisation de renseignements erronés pour prendre des décisions étaient prises en compte et corrigées rapidement et proportionnellement aux répercussions négatives sur les individus déjà touchés et sur ceux qui auraient pu l’être.
42. En conclusion, nous estimons que les trois questions susmentionnées constituent, sur le plan collectif et individuel, un manquement de la part de l’ASFC de prendre toutes les mesures raisonnables pour s’assurer que les renseignements qu’elle a utilisés pour prendre une décision administrative sont exacts, et qu’elle a donc enfreint le paragraphe 6(2) de la Loi. Par conséquent, le Commissariat estime que la plainte en l’espèce est fondée.

Recommandations

43. En ce qui a trait à ce manquement à la Loi, le Commissariat a recommandé que l’ASFC mette à jour, dans les 6 mois suivant la publication du présent rapport, les renseignements inexacts (p. ex. le champ quarantine_exempted) générés par l’erreur, pour toutes les personnes touchées.
44. L’ASFC ne souscrit pas à notre conclusion selon laquelle elle n’a pas pris toutes les mesures raisonnables pour assurer l’exactitude des renseignements utilisés pour prendre une décision administrative, comme l’exige le paragraphe 6(2) de la Loi. En outre, l’ASFC a informé le Commissariat de son refus de mettre en œuvre la recommandation susmentionnée, en déclarant que l’objectif de corriger les renseignements erronés n’était pas clair. Plus précisément, elle a noté que :
    1. les mesures frontalières liées à la COVID-19 avaient pris fin le 1er octobre 2022;
    2. les renseignements n’étaient plus utilisés par l’ASFC à des fins administratives;
    3. les données seraient automatiquement détruites après la période de conservation de deux ans; et
    4. tous les individus touchés avaient déjà été avisés de l’erreur en juillet 2022.
45. Même si nous savons que l’ASFC n’a pas l’intention d’utiliser les renseignements dont il est question, nous nous attendons à ce qu’une institution corrige les renseignements erronés qu’elle détient, en particulier les renseignements sensibles qui ont eu des répercussions négatives dans le passé et qui pourraient en avoir après. En outre, tant qu’ils n’auront pas été corrigés, ces renseignements erronés risquent d’être utilisés par l’ASPC ou d’autres organismes gouvernementaux (s’ils en obtenaient l’accès) pour orienter les analyses des tendances et les activités futures de conformité et d’application de la loi, comme l’imposition d’amendes et les poursuites relatives aux infractions au titre de la Loi sur la mise en quarantaine. Dans un tel contexte, nous exhortons l’ASFC de collaborer avec l’ASPC, ainsi qu’avec toute autre partie externe à laquelle les données d’ArriveCAN ont été communiquées, afin de corriger les renseignements erronés d’ici six mois.

Conclusion

46. Nous avons conclu que l’ASFC n’a pas pris toutes les mesures raisonnables pour assurer l’exactitude des renseignements utilisés pour prendre une décision administrative, comme le prévoient les dispositions relatives à l’exactitude du paragraphe 6(2) de la Loi.
47. Une fois que l’erreur a été détectée, l’ASFC a pris certaines mesures positives de redressement, notamment : (i) procéder à un nombre accru de mises à l’essai pour les versions d’ArriveCAN et (ii) indiquer qu’elle continuera d’adopter des procédures de mise à l’essai plus souples pour des situations comme la pandémie.
48. L’ASFC ne souscrit pas à notre conclusion selon laquelle elle n’a pas pris toutes les mesures raisonnables pour assurer l’exactitude des renseignements. Elle a également refusé de mettre en œuvre notre recommandation de corriger les renseignements inexacts qu’elle détient sur les voyageurs touchés. Par conséquent, le Commissariat conclut que la plainte en l’espèce est fondée et qu’elle n’a pas été résolue.
49. Nous demandons à l’ASFC de revenir sur sa décision selon laquelle elle refuse de corriger les données erronées générées par l’erreur d’ArriveCAN et de mettre en place toutes les mesures nécessaires si elle décide d’utiliser des outils similaires à l’avenir.