(Quatorze heures trente-cinq
minutes)
Le Président (M.
Bachand) : À l'ordre, s'il vous plaît! Bon
après-midi. Ayant constaté le quorum, je déclare la séance de la Commission des
institutions ouverte.
Je souligne que cette séance se déroulera à la
fois dans la salle Louis-Joseph-Papineau, où je me trouve, et dans la salle
Louis-Hippolyte-La Fontaine. La commission est réunie afin de poursuivre
l'étude détaillée du projet de loi n° 64, Loi modernisant
des dispositions législatives en matière de protection des renseignements
personnels.
Mais, avant de débuter, Mme la secrétaire, y
a-t-il des remplacements?
La
Secrétaire : Oui, M. le Président : M. Birnbaum
(D'Arcy-McGee) est remplacé par M. Barrette (La Pinière); M. Fontecilla (Laurier-Dorion), par
M. Nadeau-Dubois (Gouin); Mme Hivon (Joliette), par M. Ouellet
(René-Lévesque).
Étude détaillée (suite)
Le Président (M.
Bachand) : Merci beaucoup. Lors de l'ajournement de nos travaux
hier, les discussions portaient sur l'article 1 amendé du projet de loi.
Je vous rappelle qu'il a été convenu de suspendre un amendement proposé par le
député de LaFontaine sur cet article. Intervention, maintenant, sur
l'article 1 du projet. M. le député de LaFontaine, s'il vous plaît.
M. Tanguay : Je peux y aller,
M. le Président. J'ai pris le temps de la réflexion hier. Puis le ministre le
conçoit, puis je suis content, puis on a une belle collaboration, je dirais ça
de même, du ministre, là, tu sais, qui ne s'offusque pas du fait qu'on revienne
à la charge, parce qu'évidemment on l'a vu, il l'a vu, l'article 1 est
assez fondamental. Et les autres articles
après, je veux dire, ils ne sont pas aussi volumineux et aussi à conséquence
que le 1. Autrement dit, ce n'est pas vrai qu'on va passer autant de
temps sur chacun des articles, là, puis il l'a vu, le ministre, puis il ne nous
en fait pas le reproche. On n'est pas là pour faire du temps, on est là pour
comprendre.
Hier... Puis peut-être que ça vient de là, un
premier commentaire, s'il eût été utile de justifier l'amendement suspendu
d'abondance, je pense que les dernières conversations que l'on a, depuis son
dépôt et sa suspension des dernières heures, font la preuve par a plus b que «et
en est imputable» est d'autant plus important, parce qu'on semble, par les
commentaires, démontrer, bien, la puck, elle arrête sur le bureau de qui.
Alors, le fait d'avoir suspendu l'amendement, je pense que ça nourrit aussi la
réflexion du ministre.
Les articles nouveaux, 8 et 8.1... puis
j'aimerais ça que le ministre, là, me suive bien, bien, bien comme il faut,
puis ce n'est pas un reproche, là, je veux dire, ce n'est pas moi qui va donner
des leçons de légistique à personne, surtout pas par celles et ceux au
ministère, puis qui l'accompagnent, qui ont fait ça bien avant moi
probablement, mais l'article 8 et 8.1 sont... je vais le dire de même, ça
part très fort puis, après ça, ça se désagrège, ça se délite, ça se décompose.
Je vais vous dire pourquoi. Je le résume, là, puis j'ai pris le temps de les
lire puis je me suis fait des annotations. On dit, première phrase de 8, on
dit : «La personne [avec] la plus haute autorité au sein [de l'organisme]
public veille à y assurer le respect et la mise en oeuvre de la présente loi.»
Une fois qu'on a dit ça, M. le Président, là, on
pourrait — je
ne dis pas qu'il faut faire ça — on pourrait arrêter en ajoutant notre
amendement, «et en est imputable», puis dire, bien, il y a quelqu'un qui est au
bat. Puis hier, puis je suis certain que ça va résonner auprès du ministre, je
me suis fait la réflexion, c'est analogue, ça, dans le contexte de la pandémie,
ce qui s'est passé dans nos CHSLD, ce qui s'est passé auprès des CIUSSS, et
tout ça, ce qui s'est passé, donc, dans nos
CHSLD, puis qu'il n'y avait pas personne de responsable. À un moment donné, le
ministre, il a dit : Là, là,
c'est assez, il y en a un qui va répondre puis qui va être responsable, parce
que là c'était la responsabilité... C'est le système communiste, M. le
Président, il ne fonctionne pas parce que, quand c'est la responsabilité de
tout le monde, c'est la responsabilité de personne.
Alors, la puck, elle arrête là, c'est lui qui
est responsable, puis on avait bien fait de dire à ce moment-là : Bien, il va y avoir du monde de responsable puis
ils vont répondre au ministre. Alors, première affirmation, haute autorité
responsable, imputable, on précise après,
dans le même paragraphe, dans le même alinéa, il y a une fonction double,il
est responsable de l'accès aux documents et
responsable de la protection. Ça, il peut le déléguer... ces deux fonctions-là,
il peut les déléguer, on l'a fait ajouter avec l'amendement du collègue de
Gouin, mais la personne qui se verra déléguer cela aura l'autonomie pour remplir
ses fonctions.
À 8.1, on dit : «Au sein d'un organisme
public — c'est
notre cas, là, puis c'est un peu superfétatoire de dire ça, parce que c'est la
loi sur les organismes publics, peu importe — un comité sur l'accès à
l'information et la protection des renseignements personnels est chargé». Donc,
ma compréhension, c'est qu'il va y avoir un comité, ce n'est pas une option. Il
doit, et il y aura un comité, et ce comité-là est chargé de soutenir la haute
autorité de ses responsabilités. À date, ça tient la route, M. le Président.
• (14 h 40) •
Après
ça, le comité, on vient dire plus bas : «le comité relève de la personne»,
c'est le deuxième alinéa de 8.1, la
dernière phrase de 8.1, après «directeur général», le comité «se compose [du]
responsable de l'accès aux documents» qui, dans bien des cas, pourra
être une fonction non déléguée, donc théorique, la personne, elle n'existe pas,
c'est le haut responsable.
Après ça, on dit : Le comité, donc, est
composé de la personne responsable de l'accès aux documents. Si d'aventure
telle fonction plus haute a été déléguée à un tiers, le comité est ensuite
composé de la personne responsable de la protection des renseignements
personnels. Si d'aventure cette personne-là existe parce que la plus haute
autorité lui a délégué à cette autre personne-là cette responsabilité-là, mais,
à date, si elle n'a pas été déléguée, le comité, à date, c'est zéro plus zéro.
On continue : «...et de toute autre personne dont [l'exercice] est
[requis], incluant...», et c'est là où, dans
la pièce de théâtre — puis ce
n'est pas péjoratif, c'est juste illustratif — il y a deux personnages qui arrivent,
on ne sait pas qui ils sont, on ne sait pas c'est quoi le lien de parenté avec
le monde dans la pièce de théâtre, mais ils passent sur le stage puis ils s'en
vont. Dans la mouture actuelle de la loi puis dans la mouture du 64, ils n'ont
pas de ligne. Ils n'ont pas rien à dire dans la pièce de théâtre. Ils passent
puis ils s'en vont. C'est qui ça? Puis ils vont compléter la composition d'un
comité qui pourrait à date être zéro plus zéro. Qui serait qui?
Donc, le cas
échéant, le responsable de la sécurité de l'information — ah! un nouveau personnage — qu'est-ce que ça mange en hiver? Et le responsable de la gestion
documentaire, qu'est-ce que ça mange en hiver? Ces deux autres
comédiens-là pourraient... Donc, question de compréhension, c'est pour ça que
je reviens à mon commentaire initial, quand ça commence, la plus haute autorité
est responsable de l'application de cette loi-là et en est imputable. Après ça,
il peut déléguer les deux fonctions, mais, nécessairement, obligatoirement, il
va avoir un comité pour l'aider, mais le comité pour l'aider, ça va être deux
responsables qui pourraient ne pas exister et deux personnages qui n'ont pas de
ligne de texte dans le projet de loi. Est-ce que... donc, question de
compréhension, à quel endroit c'est marqué dans la loi actuelle? Parce qu'on ne
vient pas réformer complètement la loi actuelle. Dans la loi actuelle sur
l'accès aux documents des organismes publics, à quel endroit c'est marqué,
l'obligation de créer le poste de responsable de la sécurité de l'information
et le responsable de la gestion documentaire? À quel endroit c'est marqué là ou
dans le projet de loi n° 64? Si ce n'est pas une obligation, ça va être
qui, le comité?
Le Président
(M. Bachand) : M. le ministre, s'il vous plaît.
M. Caire : Bien,
je vais reprendre... je vais remarcher dans les traces de mon collègue. D'abord,
je reçois très positivement le fait que, suite à nos discussions d'hier, les collègues
admettent que le premier paragraphe, je pense, établit assez clairement qu'il y
a une responsabilité et que ce n'est pas... c'est formalisé, dans la loi, que
le plus haut dirigeant a une responsabilité et qu'il doit l'exercer.
Bon, là, le collègue nous amène, M. le
Président, sur la notion de responsable de l'accès à l'information, responsable
de la protection des renseignements. Pour ce qui est du... puis là, je vais juste
faire une parenthèse, je vais y revenir, parce qu'on va aller direct sur la
question du comité. Il faut comprendre, comme je l'ai dit au député de
LaFontaine, que le comité et ses prérogatives existent, mais sous forme
réglementaire. Donc, ce qu'on prend, c'est les responsabilités. On ne les crée
pas, bien, parce que je n'aime pas le mot «inventer», là, on ne les crée pas,
mais on prend ce qui est prévu au règlement puis on le formalise dans la loi.
Donc, on donne une existence juridique au
comité qui avait une existence réglementaire. Donc, évidemment, le règlement
devra être modifié pour, évidemment, la substance du comité qui a été...
qui a une forme juridique.
Le Président
(M. Bachand) : Oui, M. le député de LaFontaine...
M. Tanguay : À la
décharge, pour être parfaitement honnête intellectuellement, il y a deux
articles qui viennent donner des responsabilités au comité, des articles
nouveaux, 63.3 et 63.5.
M. Caire : Oui,
oui, oui, j'y arrive.
M. Tanguay : O.K., pardon.
M. Caire : J'y
arrive. Mais ce que je voulais dire, c'est que, sur la forme du comité, on
prend... et les prérogatives... on prend ce qui est dans le comité et on lui
donne une forme juridique. Le collègue le souligne à raison, il y a différents
articles qui font ça dans le projet de loi. Il y a différents articles qui font
ça dans le projet de loi, mais ce que je veux dire, essentiellement, c'est que,
ce qu'on a transposé dans ces articles-là du projet de loi existait, mais sous
forme réglementaire. On voulait le formaliser législativement, d'une part.
D'autre part, même chose pour la question des
responsables, parce que, comme je l'ai dit au collègue, le responsable de
l'accès à l'information, responsable de la protection des renseignements personnels,
ne sont pas des fonctions qu'on crée, elles étaient prévues dans l'ancienne
mouture de la loi, et cette délégation-là aussi, nous reprenons la même
formule. Donc, ce qui existait va continuer d'exister, et donc la réponse du
collègue se trouve dans l'expérience de l'application de la loi des
39 dernières années.
Puis je le dis sans flagornerie, là, j'espère
que le collègue, là, le comprend, là, ce que je veux dire, c'est que, dans cet
élément-là, on est dans la continuité, dans l'élément du responsable de l'accès
à l'information et dans celui du responsable de la protection des
renseignements personnels, on est dans la continuité de ce qui se passe dans
l'administration publique depuis que la loi a été adoptée.
Les
éléments nouveaux, et là-dessus on pourra, puis je le signale au passage au
collègue, discuter de son amendement, là,
j'ai reçu l'avis de nos juristes, mais ce qu'on amène de nouveau, c'est de
formaliser la responsabilité du plus haut dirigeant par rapport à l'application
et le respect de la loi. Puis ces interrogations sont légitimes, M. le
Président, là, puis ce que je veux dire, c'est : Responsable de l'accès à
l'information, responsable de la protection des renseignements personnels, ce
qui existe continue d'exister. Ce qui est nouveau, c'est la notion de... le
premier dirigeant est formellement
responsable du respect et de l'application de la loi. Ça, c'est les éléments
qui sont nouveaux.
Le comité, même
chose, existait sous forme réglementaire. Donc, on prend ce qui existe sous
forme réglementaire et on lui donne une forme juridique, donc législative.
Le
Président (M. Bachand) : M. le député de LaFontaine, oui.
M. Tanguay :
À quel endroit... Donc, ce que le ministre... puis il me détrompera si j'ai mal
compris son point, dans la pratique, le haut dirigeant, en vertu du règlement
régime actuel, va déléguer à un responsable, tantôt l'accès aux documents,
tantôt la protection des renseignements. Dans la pratique, ça se fait. À quel
endroit dans la loi va-t-il... peut-être qu'il va me dire : Non, je ne le
fais pas, peut-être impose-t-il la création de ces deux postes importants là
pour des organismes assez larges, là, assez gros, là?
M.
Caire :
Je ne suis pas sûr que je...
M. Tanguay :
Est-ce que la... de créer ces deux postes-là?
M.
Caire :
Est-ce que la loi lui donne l'obligation de créer ces postes-là? Je veux
juste... Je vais m'en référer à Me Deschênes, parce que ma compréhension, c'est
que, non, il n'a pas l'obligation de... parce que la loi dit qu'il peut le faire, qu'il n'a pas... Donc, s'il peut,
ce n'est pas «doit». Maintenant, je vais juste vérifier avec Me Deschênes,
parce que, comme je vous dis, dans le fond, ce volet-là de la loi n'a pas
changé. Donc, ce qui existait dans les 39 dernières années continue à
s'appliquer avec la nouvelle loi.
Maintenant, là, je ne
sais pas, il y a-tu un élément ailleurs qui formalise ça? Avec le consentement
de la commission, M. le Président, je laisserais
Me Miville-Deschênes...
Le
Président (M. Bachand) : Est-ce qu'il y a consentement?
M. Tanguay :
Consentement ouvert pour le reste de la séance.
Le
Président (M. Bachand) : Pour le reste de la séance, merci.
Me Miville-Deschênes, oui.
M. Miville-Deschênes (Jean-Philippe) : On parle du responsable de la sécurité et de la
gestion documentaire? De l'accès...
M. Tanguay :
Non. En amont, le responsable de l'accès aux documents et à la protection des
renseignements personnels.
M.
Miville-Deschênes (Jean-Philippe) : Bien, en fait, le responsable,
c'est automatiquement la plus haute autorité, sous réserve de délégation.
M.
Caire :
Il a-tu l'obligation de le déléguer?
M.
Miville-Deschênes (Jean-Philippe) : Non, il n'y a pas d'obligation de
déléguer. Automatiquement, la personne ayant la plus haute autorité est
responsable et il peut la déléguer.
M. Tanguay :
Connaissez-vous, ou non, la pratique de ce qui se vit, dans le régime actuel,
pour la plupart des organismes publics? Est-ce que telle délégation se fait
quasi systématiquement?
M.
Miville-Deschênes (Jean-Philippe) : Dans les ministères, c'est tous
les ministères qui ont délégué. Et c'est assez... je dirais que c'est
majoritaire, la majorité des organismes publics vont déléguer cette
fonction-là.
• (14 h 50) •
M. Tanguay :
Question : Pourquoi — je
n'ai pas pensé à la philosophie, derrière ça, puis à la ligne de parti, puis
tout ça, je réfléchis tout haut — pourquoi ne pas formaliser, dans des
organismes qui comptent des dizaines, des centaines, peut-être même des
milliers d'employés, puis de l'information, en veux-tu, en voilà, pourquoi
ne pas formaliser la création de ces deux postes-là? Donc, formaliser, sous ma
première phrase... Tu es haut responsable, tu es responsable de tout, puis, si
ça foire, à quelque part, c'est toi qui es au bat, mais de formaliser la
création de ces deux postes-là, parce que,
théoriquement, ils pourraient ne pas être créés, mais c'est la moitié de mon
comité, comprenez-vous? Plus tard...
M.
Caire : Oui. Bien,
j'aime la discussion, M. le Président. J'essaie une réponse, puis je
demanderai à Me Miville-Deschênes de me corriger, comme il se doit, le cas
échéant. Moi, la... et je me suis fait cette réflexion-là, M. le
Président, c'est pour ça que je partage tout à fait l'interrogation de mon
collègue. Et la réponse que je me suis donnée à moi-même dans cette pratique illégale
du droit que le député de La Pinière et moi partageons, je me suis dit que, si on mettait qu'il doit déléguer la
fonction, est-ce qu'on ne vient pas, justement, d'attaquer sa notion
d'imputabilité du fait qu'on
l'oublie... On lui dit : Tu dois faire appliquer la loi, mais, en même
temps, voici comment tu dois la faire appliquer. Mais j'essaie une
réponse, là.
M. Tanguay : Je vous dirais,
à ce moment-là, puis je ne l'aborderais pas sous la forme de délégation, mais
je l'aborderais sous la forme : tu es responsable et tu dois créer deux
postes qui relèvent de toi. Tu dois créer, dans le contexte de ta responsabilité, en vertu de cette loi-là, puis comme haut
dirigeant, tu as plein, plein d'autres responsabilités, mais là-dedans,
tu es responsable et tu dois créer ces deux postes-là.
Mais là, une fois que j'ai dit ça, une fois que
j'ai dit ça, je vous amène une solution puis je vous ramène un problème. On dit
que ça, c'est applicable, puis on pourra me dire en vertu de quoi, parce que
j'ai regardé la loi, là, ça doit être dans le Code des professions, c'est
applicable aux ordres professionnels. Bon, ce n'est pas dans les premiers
articles de la loi, ça doit être, j'imagine, dans le Code des professions, qui
vient dire : En passant, les ordres professionnels, par fiction, sont des
organismes publics. Parce que les ordres professionnels ne sont pas nommés en
vertu de la Loi sur la fonction publique puis d'autres
critères, puis tout ça.
Mais, une fois que j'ai dit ça, je vous apporte
une solution puis on va dire : Ah, on va faire ça, puis on va faire du
mur-à-mur. Il y a des ordres professionnels, tous aussi respectables que les
avocats, M. le Président, puis que les médecins, puis tout ça. L'Ordre des
audioprothésistes, ils ont 476 membres puis six employés. Comprenez-vous?
Puis, je suis sûr que le ministre participe de ça. On ne va pas commencer à six
de se dire : bien, à toutes les fois qu'on
se voit à la machine à café, on est le comité, on est le haut dirigeant, on est
tout... puis là on va dire : La lourdeur, la paperasserie, en
veux-tu, en voilà.
M.
Caire : Une des
demandes qu'il ne justifierait probablement pas.
M. Tanguay : La Chambre des
huissiers, qui est un ordre professionnel, là, vous allez être triste parce que
le comité, je ne sais pas s'il va y avoir quorum, mais ils ont quatre employés.
Alors, tu sais, c'est ça.
M.
Caire : Oui. Bien,
M. le Président, si le député...
Le Président (M.
Bachand) : Juste une minute. Je trouve ça fort intéressant, la
discussion, mais juste penser aux techniciens et puis aux gens qui nous
écoutent, tout simplement, mais...
Une voix : ...
Le Président (M.
Bachand) : C'est bon, O.K. M. le ministre, pardon.
M.
Caire : Mais, on
jase là. Moi, d'abord, je reviens sur mon point, puis, avec le consentement, je
laisserai Me Miville-Deschênes dire que j'ai raison...
M. Tanguay : Sinon, il n'y a
pas de consentement.
M.
Caire : ...sinon il
n'y a pas de consentement. Non, non, mais j'ai compris ça avec les avocats,
hein? Tu dis : Bon, bien, il faut que ça donne ça puis arrange-toi pour
que ça atterrisse là. Non, c'est une joke.
Il me corrigera si je me trompe, mais,
justement... deux choses, en fait, pour le collègue de LaFontaine. D'une part,
justement, parce qu'on lui dit qu'il doit s'assurer... assurer le respect et la
mise en oeuvre de la loi, dans le fond, de lui mettre l'obligation de créer ces
postes-là. J'émets l'hypothèse, qui pourra être invalidée ou validée par
Me Miville-Deschênes, que ça viendrait attaquer le fait que c'est lui, la
plus haute autorité et qu'il doit assumer cette fonction-là. Et donc, à partir
de là, il a une latitude pour organiser la façon dont ça doit se faire, d'autre
part.
J'ai envie de dire au collègue : Pourquoi
on réparerait ce qui n'est pas brisé? Dans le sens où, puis les collègues
pourront nous corriger, j'ai le sentiment qu'on a, dans notre administration
publique, un traitement de l'accès à l'information et de la protection des
renseignements personnels qui, somme toute, fonctionne. Il y a des... Non, mais
j'entends le député de La Pinière puis j'ai vécu les mêmes frustrations, mais,
ce que je veux dire, c'est : Ne jetons
pas le bébé avec l'eau du bain. Il y
a des choses à améliorer, j'en suis. Je fais des propositions aux collègues
pour les améliorer. On en discutera. Mais, d'emblée, d'autorité, il y a un
responsable de l'accès à l'information qui est nommé dans nos ministères et
organismes et il y a un responsable de la protection des renseignements
personnels. Il arrive que ce sont une seule et même personne... que c'est une
seule et même personne qui accumule les deux... qui cumule, voyons, je vais le
dire comme du monde, qui cumule les deux fonctions.
Et le collègue soulève un bon point parce que le
mieux est l'ennemi du bien. Si on se mettait à formaliser ces choses-là... Il y
a des organismes pour qui cette souplesse-là, elle est importante, et elle
permet justement à des plus petits organismes, qui n'auraient vraisemblablement
pas un volume de demande qui le justifierait, peut-être, de dire : Bien,
là, je suis obligé de nommer ça, je suis obligé de faire ci, je suis obligé de
faire ça, par la loi.
Je vais faire un parallèle avec le municipal. On
oblige à avoir au minimum six conseillers, mais là il y a des municipalités de
250 habitants. Tu as l'impression qu'il y a plus de conseillers que
d'habitants, là. Tu sais, mais la loi oblige six
conseillers, alors... Bien, moi... puis je ne juge pas, je ne ferme pas la
porte, là, mais je dis juste : Tu sais, cette disposition-là, on la
reconduit, on ne la crée pas. Il y a effectivement une célérité dans le
traitement des réponses qui mérite d'être améliorée, j'en suis, mais ce n'est
pas en formalisant ou en venant encadrer ça... Parce que, de toute façon, ils
vont nommer des protections... des responsables. Dans les deux cas, ils vont le
faire. La pratique du terrain nous démontre qu'ils le font.
M. Tanguay : Je reprends
l'analogie de ne pas jeter le bébé avec l'eau du bain. C'est ce qu'on dit.
Grosse organisation, là, cinq chapeaux, cinq personnages, le haut responsable
un, responsable deux, puis les deux autres responsables, documentaire puis
informatique. Ça, ce n'est pas de trop parce qu'ils sont 8 000. Mais que le ministre
me suive. Quand il dit : Il ne faut pas jeter le bébé avec l'eau du bain,
il a fait un choix, puis c'est ça, ma compréhension du projet de loi, à 8.1, il
a fait un choix d'imposer le comité.
M.
Caire : Bien, je
peux-tu me permettre...
M. Tanguay : Pour mes
huissiers...
M.
Caire : ...puis
pour le bien de la conversation, je veux juste, quand même, souligner au collègue
que le gouvernement peut exclure des organismes, là. Donc, on a cette
disposition-là qui existe.
M. Tanguay : Ah, bien, là!
Là, jasons-en. Sur quoi vous allez vous baser?
M.
Caire : 8.1,
deuxième alinéa...
M. Tanguay : Oui, à la fin,
par règlement.
M.
Caire : Oui. «Un règlement
du gouvernement peut exclure un organisme public de l'obligation de former [un]
comité ou [de] modifier les obligations d'un organisme en fonction de critères
qu'il définit.»
M. Tanguay : O.K. Ça, est-ce
que c'est de droit nouveau?
M.
Caire : Oui, parce
que la formalisation...
M. Tanguay : Dans la loi,
c'est nouveau.
M.
Caire : Oui. Oui,
parce que le comité n'existait pas dans la loi, il existait par règlement.
M. Tanguay : Là, on l'impose
à tout le monde, sauf exception.
M.
Caire : Oui.
M. Tanguay : Sur quoi va se
baser le ministre pour exclure? Bon, mes huissiers, ils sont quatre, ils vont
être exclus. Je vois la directrice générale, ici, de l'ordre des
audiothérapistes, ils sont six employés, ils vont être exclus. Un autre
organisme, ils sont 12, un autre organisme, ils sont 15. Il va tirer la ligne
où? Sachant que ce qui est marqué dans la loi... Mon point... Qu'est-ce que...
Je ne dis pas que je suis pour, je suis contre, je questionne l'imposition. Vous
allez avoir un comité dans la loi. Surtout que le ministre, je fais du pouce
sur ce qu'il dit, il dit que, dans la pratique, les gens... Tu as une haute
autorité, tu es responsable de ça et de ça, tu peux déléguer puis tu dois avoir
un comité, sauf exception. Moi, je dirais : Tu es... Puis on reviendra,
là, ce que je disais, là... Comme on dit, il y a une phrase en droit qui dit — c'était
sans préjudice de l'argumentaire de mon collègue sur... «veille à faciliter
l'exercice». Alors, on ne vient pas d'évacuer ce volet-là. C'était sans
préjudice à «veille à faciliter l'exercice». Mais de l'imposer dans la loi, je
me questionne là-dessus, surtout que, dans l'interprétation, puis je reviens
là-dessus, on l'impose. On dit : On ne veut pas jeter le bébé avec l'eau
du bain, mais on a le même bébé, le même bain, la même quantité d'eau, mais on
vient mettre dans le bain un comité, puis là le bain déborde. Ça fait que le
bébé n'est pas jeté avec l'eau du bain, mais le bébé a moins d'eau dans le
bain. On lui impose un comité.
Alors, le ministre, je ne sais pas sur quel
critère il va dire : La ligne dans le sable, elle est là. Moi, je me disais : Revenons à la fondamentale. C'est un des premiers articles. Pas sûr que j'imposerais le comité. Et, si
d'aventure le ministre, parce qu'il n'est pas infaillible, il met la
ligne de façon trop conservatrice, il va peut-être occasionner bien du trouble
à des organismes qui vont passer peut-être plus de casse-tête à essayer de se
conformer à cette loi-là que de protéger réellement les renseignements, premier
élément.
Deuxième élément, j'aimerais ça l'entendre sur
on fait quoi avec les personnages, fin du deuxième alinéa, un responsable de la
sécurité de l'information puis un responsable de la gestion du documentaire. On
leur donne-tu des lignes de texte dans notre pièce de théâtre? Est-ce qu'on les
impose? Est-ce qu'ils ne font que passer? Est-ce que c'est facultatif? C'est
des questions excessivement importantes parce qu'on veut imposer des
responsabilités puis identifier des responsables. Sinon, si c'est une option
aux organismes... Parce qu'on dit dans la loi... Dans le texte de loi, on
impose le comité, mais on dit : «...le cas échéant, le responsable de la
sécurité [puis] le responsable de la gestion». Ça veut
dire que le cas pourrait ne pas être échéant puis il pourrait ne pas être créé.
On veut-tu, oui ou non, les créer, les postes?
• (15 heures) •
Puis je reviens avec mon cas du gros, gros
organisme. Bien là, ça pourrait être justifié de l'imposer, mais dans les
petites municipalités, même, puis les petits ordres, bien non. Puis je conclus
là-dessus, pourquoi dire : Ah! bien, on
devrait-tu l'imposer, pas l'imposer? Ce n'est pas juste ça. C'est le signal
qu'on envoie et c'est sur l'importance d'avoir des répondants de ça. À
la limite, je revire ça de bord, à la limite, j'aurais dit : Il y a un
haut responsable, puis le responsable peut déléguer tout ou partie de ses
fonctions, mais il y a quatre critères sur lesquels il va être évalué, c'est
mes quatre personnages qui, jusqu'à date, n'ont pas de texte. Comprenez-vous?
Mais le haut dirigeant, c'est... La plus haute
autorité, il est au bat et il répond de l'accès aux documents, de la protection
des renseignements, de la sécurité de l'information et de la gestion
documentaire, fonctions qu'il peut, en tout
ou partie, déléguer. Une fois que j'ai dit ça, le ministre
n'a pas besoin de dire : Toi, tu es out, toi, tu es out, toi, tu es out,
puis, vous autres, vous faites tout. C'est la bonne pratique de l'organisme.
Puis trompe-toi pas dans tes quatre fonctions; si tu n'as pas délégué
puis tu l'as échappé, ou si tu as délégué à la mauvaise personne, c'est toi qui
en réponds. Il me semble que ça serait une économie souple, tu sais.
M. Caire : Je
pense, M. le Président, que le député de LaFontaine et moi, on peut se
rencontrer à quelque part au centre. Je lui explique le cheminement. Je pense
que le comité... D'abord, le comité, comme je le répète, puis c'est quand même
important de le répéter, le comité, ce n'est pas quelque chose que nous
inventons. On lui donne une forme juridique. Donc, ce comité-là, d'emblée, on a
jugé qu'il était important d'en avoir un. Et là, aujourd'hui, on en arrive à la
conclusion que c'est tellement important d'en avoir un qu'on veut lui donner
une existence juridique et non simplement réglementaire. Donc, on comprend cet
élément-là, on comprend l'idée de l'obliger. Mais où je rejoins le député de LaFontaine,
puis c'est juste que le verre est-tu à moitié vide ou à moitié plein, c'est que
tu l'obliges, «sauf si». Démontre-moi, puis là on parle de critères,
démontre-moi que ce comité-là, dans ton cas à toi, c'est excessif. Parce que, d'entrée
de jeu, on pourrait penser que si c'est laissé à la bonne volonté des uns et
des autres, compte tenu du fait qu'il y a une nature contraignante à
l'existence du comité, la tendance serait plutôt à ne pas le faire qu'à le
faire. Et nous, ce qu'on dit, ce que le législateur veut dire à ces organismes,
si les collègues sont d'accord, c'est que ce comité-là, c'est important de s'en
doter. Il a une utilité, il a une responsabilité, puis on juge que c'est à ce
point important qu'on veut même augmenter son statut en lui donnant une vie
juridique. Donc, tu dois en avoir un, «sauf si». Puis là, effectivement, on
peut comprendre que le gros bon sens s'applique à un organisme qui... Puis là,
je ne veux pas rentrer dans la définition des critères, je pense que c'est
quelque chose qui serait fait éventuellement par nos équipes, puis que la CAI
participerait à... Bon, tu sais, il y a un exercice, là, qui n'est pas
simplement : le ministre, tout seul dans son coin, là... Je pense que mon
collègue a participé à ce genre d'exercice là, il sait de quoi je parle, mais
où on dit : Bon, bien oui, c'est vrai, ces organismes-là, la balance des
inconvénients fait en sorte que ce n'est pas une bonne idée qu'il y ait un
comité. Et c'est pour ça qu'on ouvre cette porte-là à dire : Bien, on peut
vous exclure.
Mais l'idée maîtresse du législateur, c'est de
dire, je pense, c'est de dire : Ce comité-là, ce n'est pas un luxe, ce
n'est pas... excusez l'anglicisme, là, mais ce n'est pas un «nice to
have». Il doit être en place parce que, là, on parle de la protection de nos
renseignements personnels, puis tout ce que la refonte vise à faire, c'est de
dire : Écoutez, là, c'est important, la protection des renseignements
personnels, puis ça a potentiellement été pris à la légère. Puis là, je
comprends qu'il y a un volet accès à l'information aussi, là, évidemment,
parallèlement, mais là, comme me le faisait aimablement remarquer le député de
La Pinière, le 64 touche essentiellement, pour ne pas dire exclusivement, la
protection des renseignements personnels, puis on aura sans doute ce genre de
questionnement là sur le volet accès à l'information, donc, je me permets
d'ouvrir plus largement. Mais ce n'est pas un luxe, ce n'est pas quelque chose
auquel on devrait penser à un moment donné dans... Vous devez en avoir un. Vous
devez en avoir un. Démontrez-nous que ça n'a pas d'utilité, démontrez-nous que
la balance des inconvénients... Puis, quand je dis «démontrez-nous»,
c'est : on va établir des critères, on s'entend, ce n'est pas... je ne
parle pas nécessairement de cas par cas. Donc, démontrez-nous que ce n'est pas
utile, que la balance des inconvénients fait que c'est plus nuisible qu'utile.
Puis, oui, il y a une possibilité, c'est cette porte-là qu'on ouvre avec :
On peut exclure l'organisme de le faire, parce que, là, le gros bon sens, c'est
que, oui, effectivement...
Et, bon, mon collègue est un parlementaire
d'expérience, il comprend que le législateur, nous comprenons tous que le
législateur ne peut pas mettre dans la loi ou prévoir dans la loi tous les cas
de figure qui se présenteront. Il faut se donner, à quelque part, une certaine
flexibilité, dont la finalité n'est pas de réouvrir la loi à chaque fois. Donc,
c'est... D'où l'idée de le faire par règlement, qui a quand même... On comprend
qu'un règlement, ça a quand même une portée, ça a quand même un poids, une
force, mais en même temps on a une souplesse de dire : Bon, bien, quand on
pourra établir un certain nombre de cas de figure, où on comprend parfaitement
que la balance des inconvénients fait que cette idée-là n'est pas une... c'est
une fausse bonne idée, bien, on pourra les exclure. Mais, d'entrée de jeu,
l'intention du législateur, c'est de dire à nos organismes publics, de quelque
nature : Vous devez avoir ce comité-là, c'est
important. La protection des renseignements personnels, c'est extrêmement
sérieux et ça doit être pris au sérieux.
M. Tanguay : M. le
Président, il y a plusieurs chemins pour aller à Rome, puis je pense
effectivement qu'on pourrait... Puis je crois déceler une ouverture, pour le
ministre, pour un éventuel amendement. Moi, ce que j'aurais proposé, mais je
comprends qu'on ne s'enligne pas pour aller là, ce que j'aurais proposé,
j'aurais dit : Il y a un haut responsable, que ce soit un organisme ou que
ce soit un organisme... peu importe la taille, il y a un haut responsable, responsable de ces quatre fonctions là, mes quatre
personnages qui n'ont pas de texte dans ma pièce de théâtre. Il est responsable de ça et il peut — là,
vous allez dire que c'est de la légistique, mais quand même, ça a un impact — déléguer
tout ou partie de ses fonctions. Et je
pourrais même laisser dans l'article le fait d'imposer un choix de comité.
C'est là où je modifie mon idée, c'est-à-dire le choix, oui, d'imposer
le comité, sauf exception.
Alors, ce que je ferais, il y aurait
deux choses, puis je le propose au ministre, je dirais : La plus
haute autorité et responsable de ces quatre fonctions là peut déléguer tout ou
partie. Je ne parlerais pas de... Ah! puis en passant, le responsable de ci, le responsable de ça, papi,
papa, ces quatre personnages là vont constituer le comité. Moi, je
dirais : Peut déléguer tout ou partie, et il doit avoir un comité
qui, le cas échéant, mettrait, autour de la même table, ces quatre personnages
là, le cas échéant ou, selon la délégation, ces personnes-là et d'autres. Puis
j'avais une question : Est-ce qu'il peut s'adjoindre des tiers à
l'extérieur de l'organisme? Ça, c'est une autre question.
Et à la fin, là, c'est une question d'approche,
puis il faut être juridique aussi dans notre affaire, je ne voudrais pas être à
la place du ministre, de faire un règlement d'application générale qui aurait,
à sa première lecture, déjà réponse à toutes les questions. Autrement dit,
mettez tous vos critères puis, à la fin, on passe la machine. À la fin, c'est
oui ou c'est non, puis la machine a décidé. Je ne voudrais pas être celui qui
devrait inventer cette machine-là qui serait le règlement.
Moi, le dernier alinéa, une fois que j'ai dit
ça, ça serait mon deuxième amendement. Plutôt que de dire : Le règlement
du gouvernement qui va prévoir tous les cas d'espèce, on rentre les critères
dans la machine, puis ça sort vert ou rouge
à l'autre bout, moi, je dirais : Le ministre peut, peut-être en fonction
de critères objectifs d'un règlement, peut
permettre à un organisme qui en fait la démonstration de ne pas... Moi, je lui
donnerais ce pouvoir-là à la lumière de critères... Puis les critères...
M. Caire : Pour
que je comprenne, M. le Président, là, que je sois capable... Là, dans le fond,
ce que le député de LaFontaine... c'est de proposer... c'est de modifier le
libellé du deuxième alinéa de 8.1, c'est ça?
• (15 h 10) •
M. Tanguay :
C'est-à-dire, bien, pas mal de choses. Puis c'est pour ça que je suis... Au
début, je suis arrivé... Avec la façon dont les deux articles étaient
présentés, moi, j'avais de la misère à savoir c'était quoi, les objectifs, puis comment on les servait bien. J'étais capable de
trouver des objectifs, mais je ne savais pas qu'on les... je ne voyais
pas qu'on les servait bien. Moi, je referais l'écriture de l'article 8 et
8.1. Je reviens là-dessus. Ce que je ferais, donc, à 8, je dirais : De façon plus étayée, le haut responsable est au
bat, il est imputable. Ma première phrase avec l'amendement.
Après ça, je
dirais : Il a quatre fonctions, tati, tati, tata. Deuxième alinéa.
Après ça, je dirais : Il peut — troisième
alinéa — déléguer
tout ou partie de ses fonctions. Puis le quatrième alinéa : Un comité est
imposé à l'organisme puis, le cas échéant, va réunir celles et ceux qui ont eu
des délégations de pouvoir et d'autres personnes. Puis, à la fin, je dirais tout simplement : Le ministre
peut, basé sur un règlement et des critères objectifs, faire droit à une
demande présentée par un organisme pour l'exclure de l'obligation de
créer un comité.
Puis, dans le règlement, il y a des critères qui
seraient objectifs, la nature des renseignements, le nombre d'employés, papi,
papa. Et, à la lumière de ça, le ministre aurait la discrétion de dire : O.K.,
c'est clair, là, c'est clair que la Chambre des huissiers, quatre employés, là,
ils vont passer dans les critères. Ça fait que je referais la nomenclature, parce que, tel que rédigé, ça va
dans tous les sens, puis il y a des personnages qui... Puis, je conclus là-dessus, on... sur l'article de loi, tu
dis : Aie! Ça tient. Mais, dans la vraie vie, je pense que les gens vont
avoir de la... Je le présenterais comme ça. Je l'aurais écrit comme ça.
Le Président
(M. Bachand) : M. le ministre.
M. Caire : Bien,
je vais juste... Parce que, si on regarde, M. le Président, 8.1, là, je suis le
raisonnement du député de LaFontaine, on s'entend, le responsable de l'accès
aux documents et le responsable de la protection des renseignements personnels,
ce sont des fonctions dont on sait que la pratique veut qu'ils sont désignés.
Ils existent. Tous nos organismes gouvernementaux en ont nommé. Donc, ça, d'entrée
de jeu, on sait qu'ils vont faire partie du comité parce qu'ils existent.
Maintenant, le responsable de la sécurité de l'information,
alors, tous les organismes n'en ont pas. Donc, l'idée d'avoir «le cas échéant»,
ça veut dire : Bien, si l'organisme en question s'est doté de cette
fonction-là, d'un responsable de la sécurité et de l'information, il doit faire
partie du comité. Si vous avez... Même chose pour le responsable de la gestion documentaire.
Tous les organismes n'ont pas un responsable de la gestion documentaire.
Certains en ont, certains n'en ont pas. Mais dans le cas où vous en avez un, il
doit être intégré au comité. Donc, c'est de laisser cette idée que... Puis encore
une fois, là, Me Miville-Deschênes, si je dis des niaiseries, vous levez
la main puis vous trouvez une façon de me donner raison. Mais, bref, si ces
fonctions-là n'existent pas, bien, c'est sûr qu'ils ne peuvent pas être membres
du comité, mais si elles existent, si elles ont été créées, on veut qu'ils soient
membres du comité.
Donc, là où je pourrais, à la limite, suivre le
député... Parce que moi, sérieusement, je pense qu'il est bien écrit,
l'article. Je pense qu'il atteint l'objectif, il s'enracine dans la pratique de
ce qu'on a fait par règlement, il s'enracine aussi dans la pratique de ce qui a
été fait dans l'application de la loi initiale. Ça fait que c'est pour ça que
je dis : Tu sais, pourquoi on veut réparer ce qui n'est pas brisé, là?
Mais, par contre...
ou je pourrais dire : Bien, écoutez, moi, je suis ouvert aux suggestions.
Si le député de LaFontaine, dans la façon d'exclure un organisme, pense que
cette formulation-là n'atteint pas la cible, ça, on peut en discuter, là. Mais,
sérieusement, là, je nous invite à vraiment bien réfléchir parce que, dans sa
forme actuelle, moi, je pense qu'il atteint l'objectif,
8.1, même 8, en fait. Parce que j'écoutais mon collègue, puis je pense que 8,
il atteint aussi l'objectif. Je comprends qu'on a eu des divergences d'opinions
sur la sémantique avec mon collègue de La Pinière, mais, sincèrement,
là... Puis par rapport à ce qui se fait dans d'autres lois aussi, puis ça, je
sais que le député de LaFontaine est sensible à ça, puis je ne dis pas que le
député de La Pinière ne l'est pas, là, mais je pense que le député de LaFontaine,
par sa profession, est particulièrement sensible à ce qu'il y ait un équilibre
puis une cohésion entre les différentes législations du Québec. Puis c'est des
formulations qui sont utilisées dans d'autres lois, donc qui permettent d'avoir
une interprétation des lois qui est cohérente.
Ça fait que c'est
pour ça qu'avant de jouer là-dedans, M. le Président, je vous invite à une
certaine prudence parce qu'à mon avis l'article, tel que libellé, je pense
qu'il atteint l'objectif qu'on vise mutuellement. Puis le deuxième alinéa de
8.1 peut... le troisième alinéa, pardon, de 8.1 peut... Bon, moi, je suis
ouvert à des suggestions, si on pense qu'il y a une meilleure façon de faire,
mais l'objectif, puis je pense que ça, le député de LaFontaine a bien compris,
c'est de se donner une latitude, une souplesse d'être capable d'agir en temps
réel avec les réalités qui sont rencontrées sur le terrain sans avoir, évidemment,
à repasser par un processus législatif qui est beaucoup plus lourd, beaucoup
plus contraignant puis qui ne nous permettrait peut-être pas d'avoir l'agilité
dont on a besoin dans les circonstances.
M. Tanguay : Je veux juste que le ministre
atteigne son objectif, d'où mes questions. Le comité, il le considère
important. Il est important, il l'oblige,
sauf exception. On y reviendra. Le comité, il lui crée deux mandats
spécifiques.
À l'article 14,
63.3, nouveau : «Un organisme public doit publier sur son site Internet
des règles encadrant sa gouvernance à l'égard des renseignements personnels.
Ces règles doivent être approuvées par son comité...» Parfait.
Autre fonction, c'est
les deux seules que j'ai trouvées, 63.5, je suis toujours dans l'article 14,
qui est de droit nouveau : «Un organisme public doit procéder à une
évaluation des facteurs relatifs à la vie privée de tout projet de système d'information ou de prestation
électronique de services impliquant la collecte, l'utilisation, la
communication, la conservation ou la destruction de renseignements
personnels.» C'est gros, là, c'est... «Aux fins de cette évaluation,
l'organisme [...] doit consulter, dès le début du projet, son comité sur
l'accès...»
Bon,
fonctions importantes au coeur de ce qu'on veut protéger. On oblige
le comité. Et là j'en suis rendu, quant au niveau de discussion, au
flou, en tout respect, que m'inspire la lecture, tel que rédigé, du 8.1, au
flou — excusez-moi,
je vais retrouver ma bonne mouture... elle est ici — où on dit, le comité,
c'est qui. Ça peut être les deux qui se sont fait déléguer en vertu du deuxième
alinéa de 8, responsables de l'accès aux documents et de la protection. La
plupart l'ont, mais ça se peut que ce soit zéro puis zéro, mais la plupart
l'ont. Mettons qu'ils sont deux. Il l'a délégué à deux. Ça fait que j'ai la
haute autorité plus ces deux délégués. Ils sont trois sur le comité. Puis il
n'est pas sûr qu'il y ait un responsable de la gestion documentaire, puis un
responsable de la sécurité de l'information. On dit... Parce qu'eux autres sont
là le cas échéant. À date, mon comité, c'est trois, puis il y a quand même des
fonctions... on l'impose, puis il y a des fonctions, on vient de les lire,
importantes. «Toute autre personne dont l'expertise est requise». C'est là où
je trouve qu'il y a un flou sur un comité qui est important. Est-ce qu'on ne
voudrait pas, je dis, formaliser un peu plus? Un comité, ça peut-tu être deux
personnes? Ça peut-tu être trois personnes? Ça peut-tu... Ça devrait-tu être
obligatoirement cinq personnes? Ça pourrait-tu faire partie du règlement,
aussi, qui permettrait au ministre de dire : Bien, écoute...
Alors, il y a tout ça
où je trouve qu'il y a un flou puis trop de corde. Moi, M. le Président,
jusqu'à preuve du contraire, la bonne foi de tout le monde est présumée, puis
la compétence de tout le monde est présumée, mais, à un moment donné,
peut-être, dans cinq, 10 ans, là, on va se dire : Aïe! cet
organisme-là, la haute instance, il l'a échappé. Puis savez-vous quoi? Son comité, là, ils étaient trois. Puis il y en a
un qui n'était jamais là. Ils étaient deux. Puis il y avait toutes ces fonctions-là. Vous comprenez? Puis si
son comité... Je ne veux pas ajouter de la lourdeur, je ne suis pas là-dedans,
là, mais si c'est important qu'on le mette dans la loi, il me semble que je
mettrais des personnages avec du texte, puis des personnages...
Et j'avais une autre
question, le cas échéant, et les deux autres, une autre question : «Toute
autre personne dont l'expertise est requise», est-ce que ça pourrait être obligatoirement...
Moi, je pense que je le nommerais, là. Moi,
je l'obligerais. Il y a sûrement, dans l'organisation... peut-être pas un
responsable de la sécurité de l'information, mais il y a sûrement un
responsable, une directrice ou un directeur de l'informatique. Bien, moi, là,
je le nommerais puis je le mettrais sur le
comité. Il y a sûrement un ou une responsable des ressources humaines. Bien, je
le nommerais. Je le mettrais sur le comité puis je demanderais ça. Et je
laisserais la latitude au ministre, pour des organismes qui n'auraient pas, des
organismes publics, de tels responsables ou de tels équivalents de
responsables, l'opportunité de lui
demander : O.K., tu ne feras pas un comité à cinq, tu vas faire un comité
à trois, mais aie telle, telle, telle personne, dans le règlement. Ça,
ça tiendrait la route puis ça ajouterait des précisions.
Puis je conclus
là-dessus, M. le Président. Il me semble que... Mon point, là, je revire ça de
bord puis je résume, je me projette dans 10 ans, dans cinq ans, que
quelqu'un dans l'opposition pose une question puis dise : Aïe! la loi
qu'on avait faite, là, tel organisme, ils étaient trois, ils se réunissaient
une fois par année, puis il y en a un qui n'était
jamais là. Alors, «so long» le comité, puis le chien de garde, puis le poids et
contrepoids. Je trouve qu'il y a trop de
lousse et je ne veux pas que le ministre... Moi, je veux lui donner le pouvoir,
puis c'est pour ça que j'amenderais — je pense que c'est écrit dans le ciel — in fine, le dernier alinéa de 8.1, «Un
règlement du gouvernement peut exclure...», moi, je dirais, il ne faut
pas que le règlement tente de prévoir tous les cas d'espèce, moi, je
donnerais : Le ministre peut, basé sur des critères, ce n'est pas la
rédaction juridique, mais le ministre peut, basé sur des critères établis par règlement du gouvernement, exclure ou dédouaner,
permettre à un organisme assujetti de ne pas former de comité — on vient d'en parler — ou de
modeler la composition du comité sur représentation faite par ledit organisme
auprès du ministre. Moi, je lui donnerais le pouvoir de faire en sorte que ça
tienne la route.
Le Président (M. Bachand) : M. le
ministre.
M. Caire :
Bien, je vais reprendre quelques éléments, puis, pour le reste, on poursuivra
la discussion. Là, je pense qu'il y a des choses intéressantes qui se disent.
Ancré dans la pratique... Puis Me Miville-Deschênes me disait que nos
120 organismes en ont, des comités?
• (15 h 20) •
Une voix :
...
M. Caire :
Ils ont des comités. Donc, ça, c'est un score de 100 %. Donc, dans le
fond, la loi formalise quelque chose qui se retrouve dans la pratique du
terrain. C'est la même chose pour les responsables de l'accès aux documents et
pour les responsables de la protection des renseignements personnels, fonctions
qui ont été... qui sont créées puis qui sont déjà en place dans la pratique.
Donc, l'élément de
ces deux officiers là, appelons-les comme ça, dans la pratique, il se répercute
sur le terrain. Donc, pour cette portion-là, moi, je pense que la crainte du
député, là... Moi, je pense qu'on... On voit que ça fonctionne, puis on voit
que ça marche, puis je pense que le texte de loi reflète ce qui se passe dans
la réalité, ce qui est toujours une bonne chose.
Pour ce qui est
d'autres personnes dont l'expertise est requise, bien, moi, je pense qu'il faut
laisser effectivement... Parce
qu'il peut y avoir des demandes ad
hoc, des demandes ponctuelles, des situations qui nécessitent une expertise dont on a
besoin pour dénouer cette situation-là, mais qui ne nécessitent pas d'avoir
cette expertise-là de façon permanente sur le comité. Je n'ai pas nécessairement
d'exemple précis en tête, M. le Président, mais je suis sûr qu'il y a des collègues qui savent que, tu sais, ça arrive. Woups! Il y a
une situation d'exception. Oui, là, on aurait besoin de
tel... d'un éthicien, on aurait besoin de... je ne sais pas, puis c'est une
expertise dont on voudrait pouvoir bénéficier pour prendre une décision. Donc
ça, pour moi, cette disposition-là, elle est importante.
Je vais faire un peu
de pouce sur ce que le député de LaFontaine a dit parce qu'il dit :
Minimalement, ils n'ont peut-être pas quelqu'un qui est responsable de la
sécurité de l'information, mais ils ont nécessairement quelqu'un qui est
responsable des systèmes d'information. Bien, je vous dirais, M. le Président,
encore là, c'est une seule et même personne parce que, généralement, la
personne... En fait, pas généralement, mais la personne qui est responsable des
systèmes informatiques dans un organisme va avoir la responsabilité de la
sécurité.
Donc,
quand on parle du responsable de la sécurité de l'information, c'est soit...
Puis prenons nos organismes, prenons des cas concrets. Notre DPI au
gouvernement du Québec ou nos DI au gouvernement du Québec sont les gens
qui sont responsables de la sécurité de l'information. Eux ont cette
possibilité-là de déléguer les tâches, mais la responsabilité, elle est
assumée. Donc, de préciser le responsable de la sécurité de l'information, pour
moi, c'est important parce que c'est sûr que s'il n'y en a pas un, s'il n'y a
pas un spécialiste de la cybersécurité, il va y avoir un responsable des
systèmes d'information qui va assumer ce rôle-là. Mais ce qu'on veut, là, c'est
cette personne-là, mais cette personne-là dans son rôle de responsable de la
sécurité des systèmes d'information. C'est l'expertise de sécurité qu'on veut
avoir.
Puis de le libeller
comme ça, ce n'est pas exclusif du fait qu'il puisse aussi être le responsable
de l'informatique, mais ça, puis je sais que le député de LaFontaine est
sensible à ça, mais ça précise que, quand il est sur le comité, c'est à titre
de responsable de la sécurité qu'il agit. Et c'est cette fonction-là qu'on
souhaite voir représentée, même si, plus largement, il peut en assumer d'autres
au sein de l'organisme.
Pour le responsable
de la gestion documentaire, puis je sais qu'on n'a pas abordé la question,
bien, c'est la même chose, dans le fond. C'est que, si cette fonction-là a été
créée au sein de l'organisme, compte tenu de la nature de la fonction, qui est
la gestion des documents, bien, on voudrait d'emblée qu'il y soit. Puis si
cette fonction-là n'a pas été créée, bien, évidemment, on ne peut pas demander
à quelque chose qui n'existe pas de siéger sur un comité.
Donc, je pense que...
Puis c'est pour ça que je dis que je pense que l'article 8.1... En tout
cas, je ne partage pas le point de vue à l'effet qu'il est flou. Je pense qu'au
contraire il essaie d'avoir cette souplesse qui prévoit les différents cas.
Parce qu'une loi, quand elle est trop précise, elle exclut. Quand elle est trop
large, bien, elle ne dit rien. Puis je pense qu'on a trouvé un équilibre qui
était intéressant. Là où je dirais au député qu'on peut poursuivre la
discussion, c'est sur son amendement, où on donne une discrétion au ministre.
Oui, c'est basé sur des critères réglementaires, mais on donne une discrétion
au ministre. Je ne suis pas hostile à l'idée, mais, comme législateurs, est-ce
qu'on veut vraiment faire ça? Je ne sais pas. Là-dessus, je vais écouter les
collègues. Écoutez, je ne renierai pas mon passé, là. J'ai passé 12 ans
dans l'opposition, puis j'ai toujours été un peu frileux à cette discrétion-là,
trop grande discrétion là donnée au ministre. Puis je ne suis pas hostile, là.
Si les collègues veulent faire des suggestions...
Le
Président (M. Bachand) : M. le député de LaFontaine.
M. Tanguay : Première question de compréhension, puis, comme ça, ce
sera dit dans les transcriptions : Quand on dit : Le comité... «et de
toute autre personne dont l'expertise est requise», est-ce que ça veut dire
qu'un organisme pourrait nommer membre de son comité quelqu'un de
l'extérieur, un tiers, un spécialiste? Est-ce qu'il peut le faire?
M. Caire :
Bien, écoutez, la loi ne l'exclut pas. Donc, elle le permet.
M. Tanguay :
Donc, oui.
M. Caire : Oui.
M. Tanguay :
O.K.
M.
Caire :
Me Miville-Deschênes?
M.
Miville-Deschênes (Jean-Philippe) : ...
M. Tanguay :
O.K. Parce qu'effectivement il y a de l'expertise qu'on n'a pas dans la
fonction publique...
M. Caire :
Clairement.
M. Tanguay :
...qu'on peut aller chercher au privé. Puis ce n'est pas un mandat de
45 heures par semaine pendant trois
ans, là. C'est payé à l'heure et tu dis : Wow! on va aller chercher
quelqu'un, donc, c'est... Puis j'imagine qu'on va parler, un moment
donné, des pouvoirs, devoirs et obligations de la Commission d'accès à
l'information.
M. Caire :
Oui.
M. Tanguay :
Puis il va falloir qu'elle donne des bulletins. Puis si ça peut — gardons une note, là — être dans un bulletin
d'interprétation : Vous, organisme public, en passant...
M. Caire :
J'aime ça.
M. Tanguay :
...gênez-vous pas, si vous voulez aller chercher une experte ou un expert en
système informatique qu'on n'a pas au gouvernement du Québec...
M. Caire :
J'aime ça.
M. Tanguay :
...allez-y. Puis on n'a pas besoin de l'engager. On n'a pas besoin de
l'engager, on va payer son mandat.
Je soumets au
ministre et aux personnes qui sont avec lui... Je vous donne un exemple. La Loi
sur la gestion et le contrôle des effectifs des ministères, des organismes et
des réseaux du secteur public, à l'article 10, on me dit qu'il n'est pas en vigueur. Quand même, il a été
rédigé puis il n'est pas en vigueur. Malgré... Écoutez, la... Puis ça se rédige.
Malgré... Puis je suis d'accord avec le ministre, moi, là, je veux dire, puis
mon collègue, quand il était ministre, on lui reprochait d'avoir trop de
pouvoirs, puis je ne suis pas, évidemment, à part. Quelle injustice, quelle
infamie! Mais c'est un réflexe d'opposition. Oui, j'en suis. Puis effectivement
j'ai eu l'occasion de dire : Bien, le ministre a trop de pouvoirs
réglementaires, mais, ici, je pense qu'il faut justement... il faut être
raccord avec la vraie vie, puis il faut atteindre l'objectif. Puis je ne prends pas pour acquis que, peu importe
le parti, que le ministre va être de mauvaise foi. Je pense que le ministre
va être compétent puis de bonne foi.
Alors,
article 10 de la Loi sur la gestion et le contrôle des effectifs des
ministères : «Malgré l'article 3, le Conseil du trésor peut dispenser un organisme public des
obligations prévues aux articles 7 et 8, notamment en raison de sa taille
ou des ressources dont il dispose.» Ça, c'est une suggestion que je vous lance.
Et on pourrait même le dire... Puis moi, puis c'est là où je vais me coller sur mon rôle d'opposition, de ne pas
trop donner de pouvoirs au ministre, je dirais même... notamment en
raison de sa taille et des ressources dont il dispose, je garderais même
l'intention d'avoir un règlement-cadre.
Alors, mettons que
j'avais à le rédiger «live», là, «live», là : Le ministre peut dispenser
un organisme public des obligations relatives au comité prévues au présent
article, notamment ou en vertu du règlement du gouvernement qui prévoira les critères d'analyse, le cas
échéant. Tu sais? Ça fait que les critères objectifs, je les mettrais dans un
règlement. Je ne laisserais pas — ça, là-dessus, je rejoins le commentaire du
ministre — je ne
laisserais pas entièrement à la discrétion du ministre, oui, non, oui,
non, juste en lui disant, dans la loi, la taille, la ressource, le nombre de
ressources, la loi me dit ça, juste sur ces
deux critères là, oui, non, peut-être, je ne sais pas, demain, finalement, non,
finalement, oui. Je lui demanderais de faire un règlement, de mettre des
critères, qui aura notamment ça, mais je dirais : Le ministre peut
dispenser un organisme de son obligation de créer ledit document au présent
article, basé sur les critères prévus au règlement que le gouvernement
adoptera. Ça, je le rédigerais de même, là. On a donné beaucoup d'éléments, là,
pour aller chercher la réponse.
Puis j'avais un
dernier commentaire, à moins que je l'aie fait dans mon enthousiasme, mais
c'est sûr qu'on en aura d'autres... Alors là, je ne sais pas, le ministre, s'il
peut nous dire... Ça lui tente-tu de travailler puis demander à son monde de
travailler en ce sens-là, un amendement comme ça?
M. Caire :
Bon, ça me tente-tu de travailler? Grosse question. Bien, M. le Président, avec
le consentement, je suspendrais quelques minutes. Je vais effectivement aller
chercher l'opinion de mon équipe, puis on verra ce qu'il est possible de faire
pour répondre aux suggestions de mon collègue de LaFontaine.
Le
Président (M. Bachand) : Parfait, j'apprécie.
On suspend quelques
instants. Merci beaucoup.
(Suspension de la séance à 15 h 30)
(Reprise à 15 h 36)
Le Président (M.
Bachand) : À l'ordre, s'il vous plaît! La commission
reprend ses travaux. M. le ministre, s'il vous plaît.
M.
Caire : Oui, merci,
M. le Président. Je vis un moment d'extase, en fait, parce que nos conseillers
juridiques, d'une part, sont unanimes. Le conseil, il est clair et il se
termine par un oui ou par un non, alors me voilà heureux. Tout ça pour dire, M.
le Président, là, je veux juste taquiner les équipes, là, nous allons garder le
libellé tel qu'il est. Et je vais expliquer à mon collègue pour quelle raison.
Ce qu'on me dit, c'est que le problème vient de
comment concilier le côté discrétionnaire attribué au ministre versus
l'application du règlement. Ce qu'on veut, c'est que, par règlement, on exclut
ou on inclut. Puis c'est ça, l'idée. Et donc, s'il y a des nouvelles
exclusions, elles doivent faire l'objet du règlement et non pas de la
discrétion du ministre, à savoir que, si vous rencontrez les critères
d'exclusion, vous êtes exclu, donc le ministre n'a pas à exercer un pouvoir
discrétionnaire. Et, si vous ne rencontrez pas les critères d'exclusion, vous
êtes inclus, et, encore là, le ministre n'a pas vraiment de pouvoir
discrétionnaire à exercer. Donc, le pouvoir discrétionnaire du ministre
viendrait dire que le ministre peut désavouer le règlement en tout ou en
partie. Et ça, je pense que mon collègue de LaFontaine va être d'accord pour
dire qu'on ne le souhaite pas. Puis j'avoue que j'ai été séduit par la
proposition du député de LaFontaine, mais, pour ces raisons-là, il m'a été
suggéré fortement de garder le libellé actuel pour s'assurer que le pouvoir
réglementaire demeurait au niveau du règlement et non pas... et ne devenait pas
un pouvoir discrétionnaire, donc arbitraire.
Le Président (M.
Bachand) : Merci. M. le député de La Pinière, s'il vous
plaît.
M. Barrette : Je ne pensais
pas, M. le Président, arriver à mon sujet, qui est en ligne avec l'intervention
de mon collègue de LaFontaine... Nous donnons le «La» parce que, moi, c'est
La Pinière et puis mon collègue, c'est LaFontaine...
Une voix : ...
M. Barrette : Et là c'est
La Peltrie, alors nous sommes dans le «La». Je ne pensais pas que j'allais
commencer ça directement en lien avec la réponse que le ministre vient de nous
faire. Mon collègue de LaFontaine aurait aimé avoir quelque chose de plus
cartésien, on va dire, et là le ministre me dit que, lui, il... Bien, cartésien
au sens où il y a un point, il y a une échelle, il y a un barème, il y a des
critères objectifs mis dans la loi. Et là le ministre nous dit que sa volonté,
c'est que ce soit discrétionnaire. Ce n'est pas ça qui vient d'être dit, là?
• (15 h 40) •
M.
Caire : En fait,
j'ai dit le contraire, là, j'ai dit qu'il fallait... Bien, je vais...
M. Barrette : Alors, c'est peut-être
moi, M. le Président, qui ai mal compris, alors.
M.
Caire : Oui, oui,
oui. Non, non, c'est que j'ai dit exactement le contraire.
M. Barrette : Ah! O.K.
M.
Caire : Je dis exactement
comme le député de La Pinière, il faut que ce soient des critères
objectifs prévus au règlement et non pas une volonté arbitraire exercée par le ministre.
M. Barrette : Vous comprenez mon
étonnement. Alors, vous m'en voyez, M. le Président, très rassuré, ce qui est
une bonne chose. Sauf que, bon, est-ce qu'actuellement il y a quelque chose,
dans un règlement, qui dit... parle de ça? C'est un règlement à venir?
M.
Caire : Pas à ma
connaissance. Je vais laisser Me Miville-Deschênes... Mais je crois qu'il
n'y a pas de règlement sur l'exclusion puisqu'actuellement c'est déjà un
règlement, mais est-ce que le règlement actuel prévoit les critères qui peuvent
exclure des organismes?
M.
Miville-Deschênes (Jean-Philippe) : Non, mais le règlement actuel s'applique aux 120 organismes gouvernementaux.
M.
Caire :
O.K. Là, c'est parce qu'on l'applique à tous ceux qui sont soumis à la loi de
l'accès à l'information, donc à 3 000 organismes au Québec.
O.K., je comprends.
M. Barrette : Donc, quand on reprend
le mémoire de la FQM, la Fédération québécoise des municipalités, je comprends qu'ils ne se sont pas trompés, la loi
actuelle ne les inclut pas, là, comme organisme public, c'est quelque chose...
M.
Caire : Oui, oui,
oui, la loi... En fait, c'est ça...
M.
Barrette : Pas le projet de loi, là, la loi en vigueur.
M.
Caire : C'est que le règlement actuel, qui oblige à avoir un
comité, actuellement a une portée aux organismes publics du gouvernement
du Québec.
M. Barrette :
C'est ça.
M.
Caire : En le mettant dans la loi, elle s'applique à tous
les organismes au Québec, y compris les municipalités, donc ça les
inclut dans le processus.
M. Barrette :
O.K. Donc, la FQM, au nom des municipalités qu'elle représente, a raison de
soulever le point qui traite de la problématique des petites et moyennes
municipalités. On s'entend là-dessus.
M.
Caire :
Oui.
M. Barrette :
Bon. Et, d'entrée de jeu, ces gens-là souhaitent être exclus. Bien, c'est un
peu la position qu'ils ont...
M.
Caire :
Je l'entends. Ça ne veut pas dire que je la partage, mais je l'entends.
M. Barrette :
Moi, c'est sûr que... Là, je vais citer la FQM, là, dans son mémoire :
«...la FQM recommande d'exclure expressément les petites et moyennes
municipalités ou, à défaut, d'assouplir les obligations à leur égard, pour
éviter qu'elles ne se trouvent en situation de violation de la loi, par manque
de ressources.» Il y a une demande expresse, là, ici, c'est leur mot, ce n'est
pas le mien, là.
M.
Caire :
Oui. Je peux-tu intervenir précisément là-dessus, M. le Président?
Le
Président (M. Bachand) : Oui, allez-y.
M.
Caire :
Parce que... Je donne un exemple. Dans les municipalités, il y a un greffier
qui, généralement, va assumer un certain nombre de fonctions légales. Donc,
d'emblée, exclure toutes les petites municipalités sans autre forme de
considération... Je reviens au point initial que j'ai fait avec le député de LaFontaine.
Ce que le législateur veut dire par sa loi, auquel effectivement seront
soumises les municipalités, petites et grandes, c'est que ce comité-là, il est extrêmement important. Puis on va en rediscuter plus tard, là, dans
d'autres articles, mais le vol de renseignements
personnels, qu'il soit fait auprès d'une petite organisation ou d'une grande organisation,
pour la personne qui se fait voler ses renseignements personnels, a la même
conséquence. Je veux dire, tu ne te fais pas moins voler tes renseignements
personnels parce que ça a été volé dans une petite organisation que par une
grande organisation. Puis je sais que, là-dessus, le député de La Pinière
et moi, on va être en...
C'est pour ça que je dis, d'entrée de jeu, je pense que la prémisse de base, c'est de dire :
Non, c'est important, quitte
à exclure sur la base de certains critères, dont le fait que... Puis je le
disais dans mon exemple, une municipalité de 250 habitants avec six
conseillers, a-t-on besoin de six conseillers, un maire, pour représenter
250 habitants? On peut se poser la question, mais la loi est ainsi faite.
Alors, je pense que
de l'inclure, donc de dire, d'entrée de jeu : Vous devez le faire, marque
le fait que le législateur dit : Attention, là, c'est important, là, on
joue avec les renseignements personnels des gens. Et qu'on soit une petite municipalité
ou une grande municipalité, on a des informations personnelles, on a des informations
financières, on a des informations de toute nature sur nos concitoyens, qui ont
de la valeur et qui doivent être protégées de la même façon. C'est triste, là,
c'est triste, d'une certaine façon, parce que protéger une petite banque d'informations
ou protéger une grosse banque d'informations, généralement c'est à peu près les
mêmes moyens qu'il faut mettre en place, mais, si on se fait voler nos
informations dans une petite banque d'informations, bien, les informations qui
sont volées ne sont pas moins volées.
Donc, j'aurais
tendance à dire : Écoutez, il faut, oui, le critère du nombre, de la
taille, oui, mais éventuellement, là, moi, je vais mettre la balle en jeu, le
critère de l'importance de la donnée qui est colligée devra aussi être pris en
compte. Et c'est pour ça que d'exclure d'entrée de jeu, ça veut dire que,
nonobstant l'importance de l'information que vous colligez sur les gens, compte
tenu que vous êtes une petite organisation, on va vous exclure. Je ne suis pas
sûr que j'aime ça.
Le
Président (M. Bachand) : M. le député de La Pinière,
s'il vous plaît.
M. Barrette :
M. le Président, je vais certainement amuser le ministre, parce qu'hier je lui
ai dit que la majorité de ses interventions... pas ses interventions, mais des
exemples qu'il prenait étaient du côté de l'accès à l'information plutôt que de
la protection des renseignements personnels. Et là, actuellement...
Une voix :
...
M. Barrette :
Non, c'est l'accès à l'information. Et je m'explique, M. le Président,
mais les deux vont ensemble de toute
façon, au bout de la ligne. Les deux vont ensemble, au bout de la ligne, parce
que la loi met les deux ensemble. Ça, c'est la première chose en partant.
La problématique ne se vit pas de la même
manière dépendamment de la grosseur des organisations. Puis la FQM, elle a
exprimé ce souhait-là expressément mais avec un exemple de conflit d'intérêts,
de conflit d'intérêts pour ce qui est de l'information, en ce sens que... Bien,
quand on prend l'exemple du... Puis je vais citer l'exemple de la FQM : «Par exemple, le directeur général et
l'inspecteur municipal qui siégeraient sur le comité sur l'accès à
l'information et à la protection
[...] portant sur le travail qu'ils ont effectué dans le cadre de leur rôle de
fonctionnaire, se [trouveraient] en
situation de conflit d'intérêts.» Un gère les contrats, un gère des situations
contractuelles de services donnés. Ils sont... Ils peuvent être parties
prenantes l'un et l'autre sur un sujet donné.
M.
Caire : Si et
seulement si la plus haute autorité décide de les désigner comme ou responsable
de l'accès à l'information ou responsable de la protection des renseignements
personnels.
M. Barrette : C'est vrai.
M.
Caire : Ceci étant
dit, on peut présumer que la plus haute autorité... on doit présumer que la
plus haute autorité, qui, soit dit en passant, grâce aux nouvelles dispositions
de l'article 8, veille à assurer le respect et la mise en oeuvre de la
présente loi, devrait prémunir les officiers chargés de l'appliquer du conflit
d'intérêts et donc de se mettre dans une situation où ils ne pourront ni
respecter la loi ou la mettre en oeuvre. Je dis ça, je ne dis rien.
M. Barrette : Bien, au
contraire, je pense qu'il faut le dire beaucoup parce que la FQM, ce qu'elle
dit, c'est que, quand vous êtes une petite et/ou une moyenne municipalité, les
ressources étant en petit nombre, souvent les gens vont cumulé des fonctions ou
auront des fonctions peut-être nominativement semblables mais avec une portée
plus grande, puis, à la fin, il y a des gens qui... ça va s'entrecroiser en
quelque part. Eux, ils voient ce problème-là.
Je comprends et je n'ai pas, évidemment... je ne
débattrai pas de l'argument du ministre selon lequel, qu'on soit dans une petite ou une grande organisation, les renseignements personnels, ça doit avoir la même protection.
Là-dessus, on s'entend complètement, il n'y a pas de doute. Moi, l'enjeu
que je vois ou, plutôt, le sujet que je tente de débattre actuellement, c'est
la problématique des petites organisations.
Dans les faits, actuellement, on s'entend, les
municipalités n'étaient pas assujetties à ça, elles n'étaient pas dans
l'application de la loi actuelle. Là, elles s'y retrouvent, donc il va survenir
obligatoirement des situations plus difficiles.
Et la difficulté vient du fait qu'on n'a pas beaucoup de staff puis, à un
moment donné, les gens se chevauchent. Se chevauchant, il y a des
conflits de fonctions ou d'intérêts dépendamment de quoi on parle. Et c'est
là-dessus qu'à un moment donné le ministre, lui, va devoir déterminer s'il
l'exclut ou s'il ne l'exclut pas. Et aujourd'hui, dans la loi, on n'aura pas les paramètres sur lesquels le
ministre devra se baser pour procéder à une exclusion ou décréter une
exclusion.
• (15 h 50) •
Alors, au début du débat, dans l'échange qu'on a
eu aujourd'hui avec mon collègue de LaFontaine, le ministre nous disait que
c'était important pour lui de formaliser, de mettre ça dans la loi, là,
formellement, là, ces principes-là. Il me semble que la même chose devrait
s'appliquer pour les critères d'exclusion. On le sait, là, un règlement, pour
les parlementaires et pour le grand public, puis là j'inclus les organisations,
c'est un peu une boîte à surprise au moment de l'étude du projet de loi. On ne
le sait pas, là, ce qu'il va y avoir au bout de ça, on ne le sait pas. Ça va-tu
être assez? Ce ne sera-tu pas assez? Et là on ne met pas au moins même une
ébauche très générale de paramètres qui vont mener à une exclusion.
Et, M. le Président, comprenez-moi, là, je ne
conteste pas la pertinence et l'utilité de la chose, au contraire, mais là n'y
aurait-il pas lieu de réfléchir à ce qu'on mettra comme critères pour permettre
une exclusion — qu'on
ne souhaite pas, hein? On s'entend que, dans un monde idéal, tout le monde le
fait.
M.
Caire : J'entends,
j'entends, j'entends.
M. Barrette : Si la non-protection
ou, donc, le vol de données personnelles fait aussi mal dans une petite organisation
que dans une grande, et c'est le cas, bien, on devrait avoir des règlements,
là, ou des règles qui font que ce sera possible partout. Puis, pour exclure, il
faut avoir des maudites bonnes raisons, puis là peut-être qu'il faudrait avoir quelque
chose de bien clair dans la loi pour le permettre.
M.
Caire : Bien, en
fait, M... Avez-vous fini? O.K. En fait, moi, je vais reprendre le début de
l'argumentaire du député de La Pinière, fort intéressant, ceci étant, parce
que c'est vrai que c'est du droit nouveau pour les... Il peut y avoir des municipalités, là, plus précisément... C'est du droit nouveau, mais les
municipalités vivent une réalité nouvelle.
Alors, les
municipalités, aujourd'hui, M. le Président, sont victimes de cyberattaques.
Certaines ont été victimes de rançongiciels. Ça veut dire quoi? Ça veut
dire qu'il y a un virus malveillant qui s'installe dans les banques
d'informations, qui encryptent l'information — et je sais que le député de
La Pinière sait de quoi je parle, mais pour les gens qui nous
écoutent... — et
là les pirates informatiques exigent une rançon contre quoi ils vont
permettre... ils vont donner la clé de
désencryption. Ça aussi, les municipalités, on en a quelques-unes au Québec qui
ont été victimes de ça.
Donc, de toute façon, il y a une nouvelle
réalité qui frappe toutes les organisations qui sont sur la Toile, qui vivent
dans l'univers numérique. C'est cette nécessaire protection dont on doit
entourer nos systèmes d'information, c'est cette sécurité-là dont on doit se doter.
Donc, la loi, dans le fond, vient formaliser un pan, un pan de ces actions-là
qui sont apposées pour assurer la sécurité des systèmes d'information.
Et c'est dans ce sens-là où je dis... Puis je
sais que le député de La Pinière est d'accord avec moi là-dessus, c'est
dans ce sens-là où je dis : Ces petites organisations là, je comprends
qu'il y a des moyens limités, je l'entends, je
le sais, mais ça ne les met pas moins à risque. Si ça se trouve, M. le
Président, elles sont peut-être même plus à risque parce que, si nous, on sait qu'elles ont des
moyens limités, il y a des bonnes chances qu'il y en a d'autres qui le savent.
Et, comme ces organisations-là collectent
des informations personnelles, des renseignements personnels, puis je vais
aller plus loin, collectent des renseignements personnels sensibles sur
leurs concitoyens, bien, ça devient intéressant, ça devient attractif.
Or, si on mettait dans la loi un critère formel,
puis là je sais que ce n'est pas ce que le député de La Pinière a dit, là, je paraphrase, O.K., si on mettait dans
la loi un critère d'exclusion formel basé sur le nombre d'habitants, ou sur le
budget de la municipalité, ou sur tout autre critère numérique, à l'exclusion
de cette réalité incontournable que ces organisations-là doivent être
cyberprotégées, doivent traiter les demandes d'accès aux renseignements
personnels, ou aux demandes d'accès en général mais les renseignements
personnels, avec la même responsabilité que n'importe quelle autre organisation
eut égard à sa taille, bien, moi, je pense qu'on tire à côté de la cible.
Donc, si tant est qu'il y a des choses à faire,
et je dis bien si tant est qu'il y a des choses à faire, c'est plus au niveau de
comment nous pouvons les accompagner que comment on peut les exclure de le
faire. Je pense que c'est bien plus ça qui est la piste de solution que
de dire : Bien, écoutez, compte tenu du fait de vos moyens, de la taille
de la municipalité, on va avoir un petit lousse sur la façon dont vous allez
protéger, traiter l'accès aux renseignements personnels. Je pense que ce n'est pas ça, la voie qu'on doit
suivre. Je pense qu'on doit plutôt dire à nos municipalités : Écoutez,
on comprend ça, là, on comprend la réalité, là, puis on peut devenir des
partenaires, on comprend que la loi a des impacts, mais on peut devenir des
partenaires pour vous aider, vous accompagner.
Puis je donne un exemple à mon collègue de La Pinière.
Le service québécois d'identité numérique sur lequel
on travaille va permettre d'offrir une identité numérique, donc il va
permettre d'identifier et d'authentifier chaque citoyen. Et cette
identité numérique là ne sera pas restreinte au périmètre gouvernemental, là,
les municipalités pourront s'en servir si
elles le souhaitent. Et ça, c'est tout un service qui normalement coûterait quand même assez cher à mettre en place et qui est
une prémisse de sécurité. Pourquoi? Parce que ça vous permet d'identifier et
d'authentifier le citoyen
qui va consommer vos services numériques en protégeant, justement, ces transactions-là
puis en protégeant ces renseignements personnels puis les renseignements
qui l'identifient. Donc, c'est un pan important qu'on est en train de
développer, qui n'a rien à voir avec la loi actuelle, là. Bien, oui, parce que,
pour aller de l'avant avec ce projet-là, la loi actuelle va nous donner les
outils, là, mais, je veux dire, au sens où on est, comme gouvernement, puis je l'ai dit, puis je le répète, très ouvert à
dire à nos municipalités : Aie! On est conscients, là, puis, si on
peut faire ce genre...
Puis d'ailleurs, je le dis d'entrée de jeu, là,
nous sommes en discussion avec la FQM et avec l'UMQ. Donc, il y a déjà des collaborations
dans ce sens-là, là, je tiens à le dire, mais c'est plutôt ça, à mon avis, qui
est la voie qu'on doit suivre que de dire à ces organisations-là : On vous
dédouane d'avoir le même niveau de responsabilité nonobstant le fait que les
données que vous conservez, les renseignements personnels que vous conservez
ont la même valeur attractive pour des gens
malintentionnés. Moi, je ne suis pas à l'aise d'aller là, je ne suis pas à
l'aise d'aller là.
Le Président (M.
Bachand) : M. le député de La Pinière.
M. Barrette : Encore une fois, là,
mon intervention vise... J'ai fait mon intervention en... Je fais mon
intervention à partir des propos de la FQM, O.K.? La FQM, elle, là, voit des
problèmes parce que peu de ressources, chevauchements. Ils sont plus, dans leur
intervention, du côté des conflits d'intérêts potentiels par une plus petite
équipe. Puis l'exemple qu'ils donnent, c'est ça, là, c'est des petites équipes
qui auraient à traiter des demandes d'accès à l'information par des officiers
qui auraient été parties prenantes de certaines décisions. Pour eux autres...
Puis je le comprends, leur point, peut-être que leur exemple n'est pas parfait,
mais je comprends le potentiel d'une situation qui va faire en sorte que
certaines informations pourraient circuler alors qu'elles ne devraient pas le
faire. Ça, c'est leur intervention.
De l'autre côté, là, qui est la protection, pour
moi, c'est une autre chose. Ce n'est pas simple, cette affaire-là, parce que,
dans une grosse organisation comme un ministère, c'est sûr, là, que la
protection de la donnée, ce n'est pas nécessairement la même personne ou les
mêmes personnes qui vont faire l'accès à l'information. Ce n'est pas
nécessairement la même chose. La protection de la donnée, c'est une chose;
l'accès à l'information, c'est une autre chose. Oui, ça se connecte en quelque
part, on s'entend là-dessus, mais ce n'est pas exactement la... on peut séparer
certaines tâches.
D'ailleurs, en matière de sécurité de
l'information, c'est souvent ça qui est préconisé, qu'on sépare des tâches de
façon à ce que quelqu'un n'ait pas un pouvoir sur tout, ce n'est peut-être pas
un pouvoir pouvoir mais un pouvoir d'accès à tout, hein? Dans les principes de
sécurité informatique, on segmente. Alors là, plus on est petit et moins on
segmente, donc plus il y a du chevauchement, alors plus il peut y avoir des
problèmes d'un bord ou de l'autre, accès, conflits d'intérêts, protection ou un
mélange de l'ensemble. C'est un problème. C'est un peu ça, l'essence de la FQM.
• (16 heures) •
Maintenant,
si on les exclut, bien là, on ne sait pas c'est quoi, les critères. Puis là je
vais reprendre exactement, à ce moment-là, l'argument du ministre comme
quoi se faire voler ses données dans une petite organisation, ça fait aussi mal que dans une grosse. Ça ne résout pas le problème.
Ça fait que, donc, l'exclusion, par définition, peut mener à des problèmes en
partant. Parce qu'on ne veut pas qu'il y ait une exclusion, dans les faits, là,
dans la réalité, on voudrait qu'il n'y ait jamais d'exclusion pour qu'il y ait
toujours l'application de la loi de façon responsable, dans le sens : Il y
a quelqu'un d'imputable.
Je vais poser une
autre question pour essayer de cerner ce que j'essaie de cerner. Est-ce qu'au
sens de la loi les personnes qui auront à faire partie du comité doivent faire
partie de l'organisation? Est-ce que ça doit être des membres de
l'organisation, des employés? Est-ce que ça doit être ça?
M.
Caire :
Bon, c'est-à-dire que, dans les postes délégués, oui. Parce que, tu sais, la
loi, dans le fond, ce qu'elle dit, là, c'est que le ministre peut déléguer à un
membre de l'organisme public, donc oui. Par contre, puis là c'est ce que je
disais au député de LaFontaine, là, quand on parle de «toute autre personne
dont l'expertise est requise», ça n'exclut pas, la loi n'exclut pas que ces
gens-là doivent être de... peuvent être de l'extérieur. Donc, ce qu'elle
n'exclut pas, par défaut, elle le permet.
M. Barrette :
Alors, est-ce qu'une petite municipalité pourrait sous-traiter ces fonctions-là
tel que la loi serait adoptée, là?
M.
Caire :
Bon, dans le cas d'une petite municipalité, puis là je ne veux pas embarquer
dans les Affaires municipales, là, c'est ma
collègue députée de Chicoutimi qui fait ça avec brio, mais, dans le cas des
petites municipalités existe le
concept de municipalité régionale de comté. Est-ce qu'une municipalité
régionale de comté pourrait assumer ces fonctions-là? Je ne le sais pas.
Je vais être bien honnête, là, M. le député de La Pinière, là, je ne vous
inventerai pas une réponse, là, je ne le sais pas. Je ne sais pas si
Me Miville-Deschênes a une réponse à vous fournir, je... Il me fait signe
que non. Donc, je vais lui éviter l'humiliation d'avoir à le dire au micro.
Mais, M. le député, je ne le sais pas. Je ne le sais pas.
Est-ce
que c'est le genre de chose qu'on pourrait regarder pour s'assurer d'avoir le
meilleur des deux mondes, à savoir que ces fonctions-là soient assumées
sans qu'elles soient mal assumées ou que l'organisation soit exclue, donc pas
assumées du tout? Bien, moi, je ne serais pas hostile à regarder des pistes de
solution, là. Tu sais, c'est la finalité qui compte.
M. Barrette :
Bon, à partir, M. le Président, du moment où c'est la finalité qui compte, là,
la réponse qu'on me fait, est-ce que... je ne le sais pas ou ça ne se peut pas?
M.
Caire :
Je ne le sais pas.
M. Barrette :
Alors...
M.
Caire :
Je ne pense pas que ça ne se puisse pas parce que le principe de la MRC, c'est
d'assumer régionalement des fonctions qui sont propres à chaque organisation
mais qui, individuellement, coûteraient plus cher à mettre en place que si on
les assume collectivement.
M. Barrette :
Bien là...
M.
Caire :
Me faites-vous signe parce que vous voulez prendre la parole, Me Miville-Deschênes?
Bon, ça, ça veut dire : M. le ministre, vous êtes en train de dire des
niaiseries, laissez-moi corriger la situation. Avec votre consentement, M. le
Président...
Le
Président (M. Bachand) : Bien, le consentement est bon pour
toute la séance, M. le ministre.
M. Barrette :
...on voudrait que le ministre continue à dire des niaiseries.
M.
Caire :
Mais ça, je fais mieux ça à micro fermé, M. le député de La Pinière.
Le
Président (M. Bachand) : Le consentement avait été donné.
Me Miville-Deschênes, s'il vous plaît.
M.
Miville-Deschênes (Jean-Philippe) : Oui. Bien, je vais être bref, là.
L'article 172 de la Loi sur l'accès permet à un organisme de... En fait,
il dit : «Les obligations qu'impose la présente loi à un organisme [...]
peuvent être assumées par un autre organisme public [par] une entente approuvée
par la commission.» Donc, il y a toujours moyen, là, entre des organismes
publics, de transférer certaines obligations ou de les regrouper dans le cas,
exemple, d'une municipalité régionale de comté, là.
M. Barrette :
O.K. Donc, c'est... Donc, bien, est-ce que, là, il y a une collision entre ce
qui est écrit dans 8.1, à savoir qu'on délègue à quelqu'un de l'organisation?
Est-ce qu'il y a un amendement à faire là?
M.
Caire :
Bien, ce que je comprends de ce que Me Miville-Deschênes nous dit, c'est
que la loi, donc la présente loi n° 64, qui prévoit
l'article 8.1...
M. Barrette :
Oui, mais on la change, là.
M.
Caire : Non, non,
mais c'est ça. 64, on la change, mais on la change pour dire qu'il faut créer
un comité, mais plus tard, là. Ce que Me Miville-Deschênes dit, c'est que,
quand on va étudier l'article 12, on va donner la possibilité à cette
organisation-là de déléguer les responsabilités de... bien, les fonctions.
Donc...
M. Miville-Deschênes (Jean-Philippe) :
...
M.
Caire : C'est ça.
C'est dans la loi qu'elle pourra donc, par interprétation, là, puis, encore une
fois, là, vous me faites signe... Par interprétation, les petites municipalités
pourraient demander à la MRC de mettre ces organisations-là en place.
M. Barrette : O.K., donc, ça veut
dire qu'il n'y aura jamais de raison d'exclure une petite municipalité?
M.
Caire : Bien,
c'est... Vite de même, là, je n'en vois pas. Je n'en vois pas. Puis...
Une voix : ...
M.
Caire : Si je peux
juste compléter...
Le Président (M.
Bachand) : Oui, allez-y, M. le ministre.
M.
Caire : Puis ça
nous ramène à ce qu'on disait, à savoir que la notion de les exclure par
règlement existe, qu'éventuellement ces règlements-là devront être définis,
mais que, dans l'esprit de la loi... Puis c'est important, M. le Président, parce qu'encore une fois nos
débats peuvent servir à interpréter la loi. Donc, l'esprit de la loi est plutôt
d'inclure que d'exclure.
M. Barrette : Je vais aller au bout
de mon raisonnement, là. Alors, si on considère, particulièrement sur le plan de la protection des renseignements
personnels, que le niveau de protection
doit être du même niveau pour un petit que pour un grand, dans une
petite comme dans une grande organisation, le législateur devrait s'assurer qu'il
n'y ait jamais d'exclusion, et, sur l'argumentaire de la FQM, qui voit des problèmes
avec la petitesse de son organisation, bien, la loi devrait plutôt prévoir
qu'elle fasse affaire... un peu comme dans un audit. Le parallèle que je fais,
c'est un audit. On fait faire des audits par...
Petit ou grand, là, c'est quelqu'un de l'extérieur de l'organisation qui vient faire
ça. Là, ici, pour ce qui est de la
gestion de la protection des renseignements, la MRC pourrait toujours, normalement, avoir une organisation qui fait ça. Là, on aurait en plus, par rapport à la municipalité, du personnel plus indépendant encore. Même chose pour l'accès à
l'information. Alors donc, n'y aurait-il pas lieu, dans ce texte de loi là, de faire
en sorte que... Regardez, là, vous ne pouvez pas, là. Ce n'est pas que vous
allez avoir des exclusions, là. Si vous êtes petits, organisez-vous avec vos
MRC pour le faire. Là, on a un problème qui nous est posé par la FQM. Parfait.
La FQM voudrait des exclusions. Imparfait. Nous, on pourrait répondre dans la
loi.
D'ailleurs, on pourrait abolir cette phrase-là parce
que, normalement, il devrait y avoir toujours moyen de moyenner. Dans les organismes
publics qui sont actuellement assujettis à ça, je n'ai jamais entendu, moi,
puis le ministre me corrigera, ou les juristes, de circonstances où un
organisme se sentait la justification d'être exclu de la loi actuelle. Je n'ai jamais
entendu ça. Peut-être que je me trompe. Je n'ai pas la connaissance absolue du
réseau des organismes publics.
Là, aujourd'hui, on pourra jouer dans un nouveau
territoire, celui des municipalités. Ils viennent nous voir puis ils nous
disent : Oui, mais, regardez, ta, ta, nous, les petits, on n'est pas assez
nombreux. O.K., parfait, mais vous êtes dans une MRC. Dans une MRC, l'union
faisant la force, par le nombre, vous pouvez le faire. N'y aurait-il pas lieu, à
ce moment-là, d'enlever la phrase qui dit qu'il pourrait y avoir une exclusion
pour s'assurer que les organisations s'organisent pour arriver à destination? Parce
que ça fait mal chez les petits autant que chez les gros.
M.
Caire : Bien, M. le
Président, la tentation est là.
M. Barrette : Qui nous
délivrerait du mal.
M.
Caire : Oui... Mais, en fait, non, parce que...
Là, on discute des municipalités. Bon, les... Puis je pense que
Me Miville-Deschênes, là, a clairement établi que la loi donnait cette flexibilité-là,
par délégation, de s'organiser, même si la
taille de l'organisation, normalement, amène des problèmes. Donc, dans le cas
des municipalités, il y
a cette solution potentielle.
Puis là je ne veux pas dire que c'est la solution, parce qu'on n'est vraiment
pas dans le domaine de la loi, là, mais cette possibilité-là de déléguer, par
exemple, et je dis bien «par exemple», à une MRC ou à un autre tiers qui
pourrait remplir ce mandat en lieu et place de la municipalité.
Maintenant, l'idée de l'exclusion, il faut
comprendre qu'on s'adresse... On passe, là, à 3 000 organismes qui
sont touchés par la loi. Est-ce que, pour les...
Une voix : ...
M.
Caire : ...non, mais organismes de tous genres, là. Là, on
parle des municipalités, mais on parle des ordres professionnels, on va parler
des commissions scolaires, on va parler, bon, des centres de... Je ne sais pas.
On va parler d'à peu près tout ce qui...
• (16 h 10) •
Une voix :
...
M.
Caire :
Surtout le lieutenant-gouverneur, surtout. Bon, partez-moi pas là-dessus. Et
donc ce que le député de La Pinière amène, c'est enlever cette possibilité-là
que le législateur, dans son omnipotence, aurait pu oublier un cas où la solution qui se présente est d'exclure
l'organisme pour des raisons que je ne peux pas élaborer ici, M. le Président,
parce que je n'ai pas d'exemple à proposer au député de La Pinière,
simplement une mince expérience comme législateur où il arrive toujours des cas
d'exception à l'exception à l'exception qu'on n'avait jamais prévus puis qui
finissent par rebondir parce que, dans l'espace public, on se rend compte que
la loi, qui se veut juste et qui se veut au bénéfice de la majorité, a
peut-être, dans ce cas très, très, très précis là, causé plus de tort que de
bien. Cette possibilité-là qu'il y a dans la
loi pourrait faire en sorte que le gouvernement, au lieu de dire : Bien,
désolé, je ne peux rien faire, c'est la loi ou, oui, éventuellement, il
faudra se pencher sur cette question et proposer des amendements à la loi,
pourrait dire, toujours dans l'hypothèse de ce que j'avance, pourrait
dire : Bien, c'est vrai, on va régler le problème, on va adopter un
règlement et nous allons exclure l'organisation, et le problème est réglé.
Donc, je pense que
d'avoir cette soupape de sécurité là n'est pas une mauvaise chose, toujours
dans la prémisse de base qu'il faut d'abord et avant tout trouver des solutions
et favoriser l'inclusion. Puis c'est un petit peu ce que je disais tantôt au
député de LaFontaine quand... Le député de LaFontaine disait : Bien,
est-ce qu'on ne devrait pas plutôt exclure d'emblée puis inclure selon certains
critères? Bien, c'est là où moi, je dis : Bien non, je pense qu'il faut
inclure à la loi puis trouver des solutions pour garder l'inclusion à la loi.
Puis, si on se trouve vraiment, là, devant le cas que personne n'a vu venir,
bien, il y aura cette soupape de sécurité là qui pourra permettre au
gouvernement de dire : O.K., vous autres, là, on a reviré ça de tous les
bords, de tous les côtés puis on consent que la solution, c'est de vous exclure
à cette obligation-là.
Le
Président (M. Bachand) : M. le député de La Pinière, oui?
Parce que j'ai le député de LaFontaine aussi sur le même sujet.
M. Barrette :
...mon collègue, dont j'ai vu le marqueur prendre de l'altitude, va vouloir
prendre la parole, je pense, là.
Le
Président (M. Bachand) : Oui, M. le député de LaFontaine.
M. Tanguay :
Ah! non, non. Vas-y, vas-y, vas-y.
M. Barrette :
Je vais juste aller un pas plus loin, là. Le pas plus loin est le suivant, puis
je vais faire un parallèle, un
parallèle dont je discutais précédemment avec mon collègue de
La Pinière... de LaFontaine, pardon. Dans le secteur de la langue
française, l'office de la langue française veille à ce que la loi soit
appliquée, puis on sait qu'elle n'est pas
appliquée dans certaines circonstances, nombre d'employés, et ainsi de suite.
Ça va? Ça, ça a été dessiné comme ça, ça a été pensé comme ça. Ça a été
pensé dans le but d'évidemment favoriser l'utilisation du français sur le
territoire du Québec, mais on a choisi de ne pas l'appliquer dans certaines
circonstances, O.K.?
Or,
dans la protection des renseignements personnels, on fait l'inverse à mon sens.
On veut avoir une protection partout,
partout. On ne souhaite pas avoir, dans les organismes publics, pour ce qui
nous intéresse actuellement, à la case départ,
des situations de non-protection, je pense. Et ça, je pense qu'on va être
d'accord là-dessus. Les renseignements personnels, on veut qu'ils soient
protégés dans ce qui est public et dans d'autres organisations. Là, on est dans
le chapitre des organismes publics. C'est là
où on est. Si les individus veulent distribuer à tout vent sur Internet
eux-mêmes leurs renseignements personnels, grand bien leur fasse, là.
Ils sont libres, là. Mais nous, on fait des règlements, des lois pour faire en
sorte que, lorsque l'information personnelle se retrouve en quelque part dans
une organisation, en franchissant la porte de l'organisation, qu'on franchisse
la porte physiquement, sur papier ou électroniquement, quand elle arrive là,
l'information, elle est protégée.
C'est une dynamique
qui est différente de celle de la langue française, où, au départ, on a choisi
de ne pas l'appliquer dans un sous-segment de la société. Là, aujourd'hui, dans
le débat actuel, on souhaite, c'est ma compréhension, avoir une protection tout
le temps, partout, lorsqu'on est dans un organisme x, dans le cas présent, public. Alors, évidemment que, chez moi, ce
n'est pas «fair» puis ça ne peut pas faire autrement que susciter un certain
inconfort si je prévois que je vais en exclure et si je prévois que je vais en
exclure sans en connaître les raisons.
La FQM, quand elle me
dit ce qu'elle nous dit, bien là, moi, je lui réponds spontanément : Bien,
regarde, on va mettre quelque chose dans la loi qui va faire que tu es dedans,
puis tu vas devoir t'organiser, puis tu vas arriver à destination comme tout le
monde. Dans une autre organisation publique, là... j'essaie d'imaginer une organisation
publique que je ne connais pas là, l'association québécoise des camps de
vacances, bien oui, vous autres aussi, là, vous allez les protéger.
Alors, comment allier
les deux? C'est mon interrogation. Alors, à partir du moment où je le permets,
l'exclusion, et qu'en plus je ne connais pas les critères, ça me met un peu mal
à l'aise. Pourquoi? Parce que ça fait aussi mal un renseignement personnel volé
dans une petite organisation, une coop par exemple, que dans une grande
organisation financière comme Desjardins.
M.
Caire :
Et puis une coop qui pourrait avoir mes informations bancaires, par exemple.
M. Barrette : Par exemple.
M.
Caire : Non, non,
mais, M. le Président, je ne peux pas être plus clair, là. Le député de
La Pinière, il prêche à un converti, là. C'est moi qui ai dit que j'étais
bien mal à l'aise à répondre à la demande de la FQM parce qu'effectivement...
Je pense que le député de La Pinière et moi, là, on tient le même
discours.
La nuance, la subtile nuance que j'apporte,
c'est que je me dis : Une loi ne peut pas... Puis je pense que, dans l'histoire, là, de notre démocratie, là, on
pourrait trouver de très nombreux exemples de lois où il y a toujours, toujours,
toujours cette exception-là qui passe en dessous du radar, là, et qui fait...
et qui arrive dans l'espace public, et qui devient une espèce de victime
collatérale de la bonne intention du législateur. Puis je pense qu'ici, là, on
est tous, sans exception, bien intentionnés et on est tous, sans exception,
dans une pensée où on souhaite mettre en place la loi la plus juste et la plus efficace possible, mais, malgré toute notre
bonne intention, et on sait que l'enfer en est pavé, bien, je pense
qu'il faut qu'on accepte qu'il va arriver une situation, là, d'ici les
39 prochaines années, où on va revoir la loi d'accès à l'information, il
va arriver une situation où une bonne loi aura pu produire un mauvais effet.
Alors, moi, dans le fond... Puis je comprends ce
que le député de La Pinière dit, là, je veux dire, j'ai été dans sa
position puis j'avais les mêmes réflexes, les mêmes interrogations, mais, dans
un contexte de bienveillance et dans un contexte où moi, je vous dis, là, comme
ministre responsable de l'Accès à l'information puis de la Protection des renseignements personnels, là, je suis dans une logique d'inclure, mais
j'accepte qu'il est possible que cette logique-là puisse créer des victimes,
puis je dis «victimes» au sens large, là, et donc que d'avoir cette possibilité-là
de redresser un tort, je pense que ce n'est pas trop demander. Je pense
que cette exigence-là, elle n'est pas déraisonnable. Puis je dis «exigence»... Je pense que cette proposition-là... J'aime mieux «proposition» qu'«exigence», M. le Président, là, compte tenu des excellentes discussions que
nous avons. Je pense que cette proposition-là, elle n'est pas déraisonnable.
Le Président (M.
Bachand) : M. le député de La Pinière.
M. Barrette : Bien là, je ne suis
pas dans la déraisonnabilité, là, je ne suis pas là-dedans, là, je suis d'abord
dans le principe. Je dirais même que 1, là, qui est 8, 8.1, là, c'est quelque
chose qui demande à mettre en place des structures. Le résultat qui est recherché
par 8, 8.1, là, c'est quelque chose qui est en place puis qui fait ce que la
loi prévoit. Ça ne va pas plus loin que ça, là. L'argument, là, basé sur le
manque de ressources, on peut le contourner.
Je vais le prendre d'un autre angle. Est-ce que,
du côté du ministre et de son équipe de légistes, on a imaginé des situations... Souvent, on fait ça, hein : Oui, mais...
puis là on met une porte ouverte dans la loi. Est-ce que vous avez
imaginé, dans votre équipe, des situations qui menaient à une exclusion?
• (16 h 20) •
M.
Caire : ...M. le
Président, la réponse à ça, c'est non.
M. Barrette : Donc, c'est une
provision dans la loi qui est une espèce de soupape qu'on met souvent dans les
lois.
M.
Caire : Absolument.
M. Barrette : C'est juste ça.
M.
Caire : C'est juste
ça.
M. Barrette : Bon. Basée
exclusivement sur le fait que ça se peut que quelque chose arrive, que...
M.
Caire : Basée sur
le fait qu'on est conscients que l'application de la loi maintenant vise
3 000 organismes publics de tailles, de
natures, de fonctions, de missions qui sont extrêmement différentes les
unes les autres, avec des réalités différentes,
dans des situations géographiques qui peuvent être tout à fait différentes, dans des réalités numériques qui sont différentes, dans des réalités numériques de
maturité, notamment, qui sont vraiment différentes. Donc, il y a
3 000 scénarios différents qui sont couverts par la même loi.
M. Barrette : Et même ça, là, ça ne vous a pas permis d'arriver
à au moins une ébauche de paramètres ouvrant à l'exclusion, rien.
M.
Caire : Bien, M. le
Président, je vais quand même être d'une totale honnêteté, là, on n'a pas
planché pendant des nuits et des nuits à essayer de voir qui exactement,
justement, M. le Président, parce qu'au final cette disposition-là nous
dit : Bien, écoutez, là, si jamais on en a échappé un, là, bien, à la
limite, on aura toujours cette clause-là de
la loi, ce pouvoir-là de la loi qui nous permettra de régler la situation, mais
nous sommes dans une dynamique où nous sommes... Et puis, non, je suis
convaincu que ce comité-là vaut la peine d'être mis en place, vaut la peine
qu'on lui donne une existence juridique. Je pense qu'au niveau de ce qui s'est
passé de façon réglementaire, on a suffisamment
de matière pour se dire, O.K., je pense que ça a son utilité, suffisamment pour
qu'on veuille le mettre dans la loi. Nous avons l'humilité d'admettre
qu'il y a des cas que, même si on y passait des nuits et des nuits, on pourrait
les échapper, et donc
que cette soupape-là, pour reprendre l'expression du député de La Pinière,
cette soupape de sécurité là, elle peut faire oeuvre utile, puis c'est
une disposition qui existe effectivement dans plusieurs autres lois.
Donc,
on ne crée pas un précédent, on réplique ce qui a déjà été fait dans de très
nombreuses lois, là, au Québec, justement parce que le législateur est
conscient, puis nous sommes conscients, comme législateurs,
devrais-je dire, que... Et ça se peut qu'on échappe des situations,
là, puis il n'y a rien de malintentionné ou de malveillant, mais une loi ne
peut pas tout prévoir, et c'est pour ça qu'elle doit avoir quand même une
certaine souplesse, une certaine flexibilité puis
qu'elle doit permettre, je pense, ce genre d'intervention là, parce qu'on... la loi, on veut qu'elle soit juste, là, puis, la loi, on veut
qu'elle soit au service des citoyens, et pas l'inverse.
Le
Président (M. Bachand) : M. le député de La Pinière.
M.
Barrette : Oui. J'exprime un
minimum de déception parce que je pense qu'on pouvait être un petit peu plus agressifs dans la
rédaction de la loi. Moi, j'aurais...
M.
Caire :
À quel niveau? À quel niveau, M. le député?
M.
Barrette : Au niveau de
l'exclusion. Moi, personnellement, là, j'aurais préféré un texte qui dit :
Vous êtes tous dedans, là, puis il va falloir des raisons spécifiques
pour vous exclure de l'ordre a, b, c.
M.
Caire : Je veux
juste comprendre. Ce que le député de... Ce que vous me dites, M. le député de La Pinière, ce n'est pas que vous ne voulez pas qu'il
y ait d'exclusion, vous dites... vous voulez que l'exclusion soit à ce point
paramétrée qu'on a vraiment la garantie qu'il n'y avait aucune solution
potentielle.
M. Barrette :
Exactement. Je comprends l'argumentaire du législateur selon lequel... par
lequel on ne peut pas tout prévoir. On pourra même appeler ça une solution de
confort, puis j'irais même jusqu'à dire de sécurité législative, parce que, si
on se retrouve dans une situation où la cour dirait : Bien, vous avez fait
une mauvaise loi parce que vous avez demandé quelque chose d'impossible, puis
je déclare votre loi invalide... Bon, on ne veut pas ça. Mais là ce que je...
Donc, je comprends,
là, puis, même si je souhaite, quand on légifère, qu'on pense à tout, je
comprends qu'on ne pense pas à tout. Mais là, à l'autre bout, là, la phrase,
c'est qu'on n'a pas pensé non plus à mettre des critères, puis les critères,
eux autres, ils vont être probablement soft, et ça, je trouve ça... Et là je
vois déjà, là, je vois... Bien, ils vont être soft?
M.
Caire :
Bien, soft, ça...
M. Barrette :
O.K. M. le Président, je prête des intentions. Je retire mes paroles.
M.
Caire :
Non, non, non. Mais je ne pense pas...
M. Barrette :
C'est même une insulte envers le ministre actuel, qui, lui, en général...
M.
Caire :
Bien... Non, mais, je veux dire, avec ce que j'ai dit...
M. Barrette :
Il l'a pris personnel.
Le
Président (M. Bachand) : S'il vous plaît!
M.
Caire :
Avec ce que j'ai dit au micro, M. le député de La Pinière, je pense que
j'ai été assez clair sur le fait... Mais, si je peux me permettre, je comprends
ce que le député de La Pinière dit, mais là on s'en va à l'autre bout du spectre, où on va créer une obligation
de démontrer que tout a été fait et qu'il n'est pas possible de se conformer
à la loi dans tous les scénarios, et là on va imposer à une petite organisation
qui n'a pas la capacité administrative de mettre en place un comité de monter
un dossier pour faire la démonstration qu'elle n'a pas la capacité... Ça fait
que, je ne sais pas, là, il y a comme une charge administrative.
M. le Président, moi,
puis probablement que les oreilles du député de La Pinière vont saigner,
là, bien, je pense qu'à un moment donné il faut faire confiance aussi au
gouvernement dans l'application de la loi, tel que voulu par le législateur,
lorsque ce genre de mesure là est mise en place.
Je vais inverser le
processus en disant : Mais est-ce qu'on a des cas, dans les autres lois où
le gouvernement avait le pouvoir d'exclure des organisations de l'application
de la loi, où le gouvernement a visiblement abusé de ce pouvoir-là ou l'a
utilisé avec une légèreté incompatible avec sa responsabilité? Je ne pense pas.
Je n'ai pas... Puis j'ai été dans l'opposition quelques années puis je peux
vous dire que, dans l'opposition, j'avais du temps pour chercher ce genre de
situation là. Et je peux assurer le député de La Pinière que, quand
j'étais dans l'opposition, si j'avais trouvé des exemples de ça, je me serais
fait un devoir de signaler la situation à mes collègues ministres de la façon
la plus appropriée possible, et ce n'est pas arrivé. Donc, ça ne veut pas dire
que ce n'est pas arrivé parce que je n'en ai pas trouvé, mais là j'en ai
cherché, puis là je peux lui dire que j'en ai cherché, puis j'en ai passé, des
heures et des heures à en chercher.
M. Barrette :
Bon, j'ai fait mon point, M. le Président. Je pense que le ministre comprend
mon point.
M.
Caire : Oui.
M. Barrette : Je vais aller à
l'autre bout, par exemple, du spectre de cette affaire-là, du spectre de 8.1.
Alors, on vient de parler, là, des petits, et là de la constitution du comité,
et ainsi de suite. Toute mon intervention est basée sur le propos du ministre,
qui a dit aujourd'hui, puis je pense qu'il l'a dit hier, mais il l'a dit plus
clairement aujourd'hui, ce n'est pas un
reproche, que, là, aujourd'hui, on essaie de formaliser des choses, plus que
jamais. Peut-être pas autant qu'on voudrait, mais certainement plus que
jamais. Bon. Bien, certainement... Les mots ont été prononcés, puis c'est
correct.
• (16 h 30) •
Je me serais attendu, là, à ce qu'il y ait, dans
la constitution des... Il y a une obligation ici, là, pour la plus haute
autorité, de mettre en place des comités, O.K.? Et, quand on regarde les
organismes publics, là... Et c'est le sens, c'est l'opportunité de mon propos,
j'ai pris l'opportunité de la FQM, qui, elle, a fait valoir que, quand on est
petit, on n'est pas grand ni gros, on est petit puis on ne peut peut-être pas
tout faire pour exercer dans la loi. Il n'y a pas une phrase, dans la loi, que
j'ai vue, là... pas dans la loi, mais dans 8 et 8.1, il n'y a pas une phrase
qui fait référence à l'obligation d'avoir de
la compétence, encore moins, encore moins, encore moins de s'assurer que la compétence soit contemporaine.
Et là je m'explique, et ça revient encore à Desjardins.
Là, puis je vais donner un exemple bien simple, la plus haute autorité a la responsabilité de veiller à ce que la loi soit
appliquée, ta, ta, ta, puis, si elle ne le fait pas elle-même, l'autorité, elle
doit le... elle peut le déléguer, ta, ta, ta. Correct. C'est correct, mais où est-ce
est-il dit dans la loi que, pour
certains éléments de l'application de la loi, le comité doit être composé d'au
minimum... d'au moins une personne qui a minimalement une compétence
identifiée contemporaine? Il n'y a pas ça.
Si on est pour formaliser, là, ça devrait être
là. La phrase que je viens de dire, là, ça peut être une autre phrase, ça n'a pas d'importance, mais ça devrait
être là, M. le Président. Et je vais aller aussi loin que de dire, par...
pas analogie mais en parallèle de ce que je viens de discuter dans
l'angle «les FQM trop petits», bien, peut-être même qu'on devrait stratifier ça puis dire : Quand vous arrivez à telle
grosseur, tel volume, tel «whatever», là, vous devez avoir, dans votre
comité, un officier qui a telle, telle compétence.
Je vais faire le parallèle, M. le Président,
avec un sujet que le ministre connaît très bien puisqu'il est l'auteur de la loi, qu'il l'a fait promulguer. Lorsqu'on a
eu à traiter de la première loi avec le ministre, hein, on se rappelle
que cette loi-là, là, nous amenait, c'était probablement dans cette loi-là, de
mémoire, à l'application d'un catalogue d'appel d'offres, hein? On se
rappelle, là, que... Bon. Et le ministre, quand il fait son catalogue, là, il
fait une espèce d'appel d'intérêts, disons qu'il fait, comment dirais-je, une
initiative, une construction nouvelle qui est un mélange d'appels d'intérêts,
d'appels d'offres. On va dire que c'est une patente nouvelle qui amène des gens
à se qualifier. Je vois le ministre sourire, parce qu'on a souri ensemble, on s'est
ostinés là-dessus. Alors, des gens qui se qualifient puis, après, on
fait les achats de gré à gré, comme ça que ça marche. Et le ministre, lui,
quand il faisait... qu'il a décidé de faire ça,
sa loi a été adoptée, ça lui permettait de sortir du cadre — j'allais
dire le carcan, mais ce n'est pas fin,
je sais, ça lui ferait trop
plaisir que je dise ça — de
l'environnement régulier de la chose, mais le ministre, à juste titre, à juste
titre, a exigé des gens qui se présentaient
au banquet de prouver qu'elles avaient les qualifications. Il avait raison
là-dessus. Bon, sur d'autres aspects,
il peut avoir eu tort, là, mais on ne fera pas la psychanalyse de nos oppositions,
mais il avait raison d'exiger des compétences.
Alors, moi,
il me semble que, dans la loi, à 8 et 8.1, ça devrait... et je suis prêt à
aller jusqu'à dire, à partir d'un seuil de grosseur d'organisation,
de volume de données, de «whatever», les gens, là, qui s'occupent de ça doivent
avoir une compétence contemporaine en matière de gestion de la sécurité des
données personnelles. C'est joli, quand même, hein?
M.
Caire : Oui, c'est
très beau. D'abord, M. le Président, je vais saluer la cohérence et la
constance du député de La Pinière, parce qu'effectivement ces thèmes-là,
on les a abordés dans le projet de loi n° 14, on les a abordés dans le
projet de loi n° 37, et je reconnais la signature du député de
La Pinière.
Et donc, M. le Président, ça m'oblige moi-même à
faire preuve de cohérence, parce qu'il y a un élément qui est fondamental qu'on
ajoute à la loi. Et je sais que le député de La Pinière n'est pas d'accord
avec moi sur le libellé, sur la puissance du libellé, mais moi, je pense qu'il
y a là beaucoup plus d'éléments qu'il n'y paraît.
Je m'explique : «La personne ayant la plus
haute autorité au sein d'un organisme public veille à y assurer le respect et
la mise en oeuvre de la présente loi. Elle exerce la fonction de responsable de
l'accès aux documents et celle de
responsable de la protection des renseignements personnels.» On va au troisième
alinéa : «Lorsqu'elle n'exerce pas elle-même ces fonctions, la
personne ayant la plus haute autorité au sein d'un organisme public veille à en
faciliter l'exercice.» M. le Président, pour moi, on vient de jeter les bases
de ce que le député de La Pinière vient de dire. Et c'est là où... Puis je
le sais, que, philosophiquement, on n'est pas assis à la même table sur cette
question-là, mais je vais reprendre l'argumentaire que j'avais dans 14 et dans
37, à savoir, lorsqu'on donne une tâche, une responsabilité à quelqu'un et
qu'on lui donne un mandat, un objectif, un échéancier... Puis là, M. le
Président, il faut quand même... Le projet de loi n° 64, ça ne paraît
peut-être pas, mais il ne s'arrête pas à l'article 1, il y en aura
d'autres. Ces autres tâches là auront pour effet de préciser comment on doit
protéger les renseignements personnels, quand est-ce qu'on les communique,
quand est-ce qu'on ne peut pas les communiquer, comment on peut les
communiquer, à qui on peut les communiquer, dans quelles circonstances.
Alors,
il y a tout un ensemble de facteurs que la notion de «veille à y assurer le
respect et la mise en oeuvre» vient prescrire. Et, encore une fois, je sais que
le député de La Pinière n'est pas d'accord avec moi, mais «veille», c'est un ordre, ce n'est pas une option, ce n'est
pas quelque chose qu'il fait si ça lui tente. Il veille à ce que ce soit fait.
À partir de là, j'ai
un extrême malaise à dire aux gens comment ils doivent remplir leur mandat. Je
suis de ceux qui pensent que le gouvernement — et ici, le cas échéant, le
législateur, qui donne un mandat — devrait en fixer les contours, les
échéances, les objectifs, les attentes, puis après ça laisser les gens
travailler en assumant qu'ils vont remplir leur mandat avec compétence et donc
de s'entourer des gens qui ont les compétences pour le faire.
Et, à partir de là,
M. le Président, j'ai un extrême malaise, puis le député de La Pinière va
reconnaître mes propos précédents, j'ai un
extrême malaise à dicter aux gens non seulement ce qu'ils doivent faire mais
comment ils doivent le faire. Puis là
je ne suis pas à l'aise avec ça, puis je ne l'étais pas dans 14, je ne l'étais
pas dans 37. Puis, M. le Président, je dois faire preuve, moi aussi, de
cohérence, je ne le suis pas plus dans 64.
Donc, du moment où on
a dit à la plus haute autorité qu'elle doit assurer le respect et la mise en
oeuvre de la loi, dans la mesure où on lui a dit que le cas échéant où elle
délègue, ce qui sera vraisemblablement le cas, elle doit faciliter l'exercice,
donc ça, ça veut dire mettre en place tous les éléments qui vont viser
l'atteinte de l'objectif, moi, je pense qu'on a fait ce qu'on avait à faire,
puis, à partir de là, la plus haute autorité devra prendre les décisions de
nature à ce qu'elle assume ses responsabilités par rapport à ce qui est
prescrit par la loi.
Le
Président (M. Bachand) : M. le député de La Pinière, il
vous reste trois minutes.
M. Barrette :
Alors, M. le Président, je vais en profiter pour vous demander de suspendre car
j'aurai un amendement à déposer.
Le
Président (M. Bachand) : Parfait.
M. Barrette :
Il n'est pas rédigé, laissez-nous quelques minutes pour le rédiger, là.
Le
Président (M. Bachand) : Parfait. Merci beaucoup.
Alors, on va
suspendre quelques instants. Merci.
(Suspension de la séance à
16 h 39)
(Reprise à 16 h 59)
Le
Président (M. Bachand) : À l'ordre, s'il
vous plaît! La commission reprend ses travaux. M. le député de La Pinière,
s'il vous plaît.
M. Barrette :
Oui, M. le Président. Est-ce qu'on est revenus?
Le
Président (M. Bachand) : Oui, on est revenus.
M. Barrette :
Alors donc, je propose l'amendement suivant : À la fin de l'article 8
de la Loi sur l'accès aux documents des
organismes publics et sur la protection des renseignements personnels, proposé
par l'article 1 du projet de loi, ajouter l'alinéa suivant :
«Le gouvernement
établit par règlement — je
pense que j'ai une coquille mais qui a dû être corrigée, sans doute, sur le Greffier, oui, O.K. — les
normes de certifications professionnelles en matière de protection des renseignements
personnels requises au sein des organismes publics.»
• (17 heures) •
Alors, M. le
Président, j'ai essayé de faire quelque chose qui n'était pas exactement le
copier-coller de ce que j'ai déjà fait dans d'autres projets de loi de façon à
soulager le ministre de l'inconfort d'avoir à répéter les mêmes choses, mais je demeure dans l'esprit de la chose.
Et là-dessus je pense que... Puis je vais être, d'emblée, là, M. le Président,
d'entrée de jeu, je vais dire tout de suite au ministre que, s'il souhaite
réécrire l'amendement, il se sente libre de le faire. L'amendement n'a comme objectif
que de s'assurer que, dans l'exercice, dans l'exécution de ce qui est prévu à
la loi, la plus haute autorité ait explicitement la responsabilité de ne pas
juste veiller, mais veiller et faciliter, mais aussi qu'il le fasse d'une façon
la plus contemporaine possible.
Alors, j'aurais pu
arriver puis dire : Voici les certifications a, b, c, d, 1 million,
ISO, 4 milliards, blablabla, parce que ça existe et ça change constamment,
ces affaires-là. Alors, je dis : Mettons ça dans la loi, exigeons de la plus haute autorité qu'elle s'assure qu'on soit
contemporains dans les normes de sécurité. Implicitement, M. le Président, ce texte-là va exiger,
dans une plus grosse organisation, que la personne responsable ne soit pas
juste le directeur des services techniques
qui devient directeur de la sécurité, de la protection des renseignements personnels, là. On voit ça, M. le Président, là, on voit
des gens qui... ils étaient directeur de services techniques ou directeur du
support informatique, ils montent dans l'entreprise, ils ont une
promotion, ils finissent V.P. à la protection des renseignements personnels,
mais ils n'ont pas la compétence.
Et la compétence de ces gens-là, le ministre le
sait très bien, ça, normalement, je devrais même arrêter mon intervention là parce qu'il connaît ça, ces gens-là, là, qui ont cette responsabilité-là ont des certifications. Par analogie, pour
ceux qui nous écoutent, là, un vrai, vrai, vrai directeur dans ce secteur-là, par
exemple, c'est l'équivalent des ISO, là, ils ont des formations. Bon, ce n'est
pas des ISO, là, mais c'est pour que les gens voient le parallèle. Moi, je
souhaite qu'il y ait clairement une force dans 8 et 8.1 qui prend en compte ça.
Alors, comme je l'ai dit avant la pause, le ministre,
là, je lui laisse la possibilité, avec le plus grand des plaisirs, puis ça peut
aller dans le règlement, de dire : À partir de telle grosseur d'organisation,
là, on doit avoir telle affaire, parce qu'on ne peut pas exiger ça du petit
village de Saint-Loin-Loin ou de Saint-Petit-Loin qui, lui, n'a pas les ressources.
C'est correct, mais il faut, à mon sens, M. le Président, que la loi prévoie
ça, qu'elle prévoie ça. En général, les voleurs de données personnelles volent
du volume pour faire de l'argent avec le volume. On va retrouver donc ça dans
des plus grandes entreprises, et ces plus grandes entreprises-là doivent, dans
la loi, avoir l'obligation d'avoir du monde compétent là-dedans.
Et je laisse au gouvernement, au ministre, le
loisir, par règlement, de déterminer ce qui est acceptable dans une période
temporelle donnée. Puis un règlement, évidemment, ça se change, parce
qu'évidemment ces normes-là changent périodiquement, mais on vient donner un
levier au ministre de s'assurer qu'il n'y a personne qui va pouvoir lever la
main puis dire : Bien oui, là, j'ai nommé quelqu'un, regardez mon
organigramme, là, il y a quelqu'un qui est là, là, il fait ça. Oui, mais il
est-tu compétent?
Là, le ministre va me dire : Oui, mais,
s'il veille à l'application de la loi, c'est obligé de... Oui et non. C'est
oui, mais ça peut être non, parce que ce n'est pas clair. Quand c'est clair,
c'est quand qu'il y a un règlement qui dit : Au moins, il doit y avoir ça.
Voilà.
Le Président (M.
Bachand) : Interventions? M. le ministre.
M.
Caire : Oui, bien,
M. le Président, je vais décevoir une fois de plus le député de
La Pinière, parce ce débat-là, on l'a eu, puis ça me fait plaisir de
l'avoir encore, là, je n'ai pas de problème, mais... Et là je pense que c'est
vraiment une divergence d'approche.
M. le Président, je lis l'amendement, mais
surtout je lis ce que la loi amène. Puis ça, je le sais, là, que le député de
La Pinière, il juge que ce n'est pas suffisamment fort, mais le premier
alinéa de l'article 8 amène une notion de responsabilité au plus haut
dirigeant de l'organisme dans le respect et la mise en oeuvre de la loi qui lui
font obligation de s'assurer que c'est fait dans les règles de l'art.
Parce que... Puis on retravaillera là-dessus
aussi, là, mais il y a quand même un organisme qui s'appelle la Commission
d'accès à l'information, qui, le jour où la loi n'est pas respectée... Puis,
bien, dans le volet juridictionnel, là, j'ai tendance à penser que ça va assez
bien. Et l'organisme qui va prendre des décisions toutes croches parce que des
gens qui n'ont pas les compétences pour prendre des décisions prendront des
décisions à la hauteur de leur compétence, bien, il y a des mécanismes qui font
en sorte que le résultat, il va être évalué par un tiers neutre, là.
La Commission d'accès à l'information va
dire : Bon, vous n'avez pas donné accès... Puis là on parle de protection
des renseignements personnels. Vous avez donné accès à des renseignements
personnels, ou vous n'avez pas donné accès à des renseignements personnels, ou
vous avez communiqué des renseignements personnels, ou vous n'avez... ou vous avez fait en sorte qu'a découlé de tout ça un
incident de confidentialité. Et toutes ces notions-là qu'on va voir dans
les prochains articles, là, un jour, vont devoir être respectées et mises en
oeuvre, là. Puis il y en a, quelques articles, puis il y a quand même des
choses qui sont assez précises à être respectées et à mettre en oeuvre dans le projet
de loi n° 64 par des gens qui devront avoir les compétences pour le faire
avec compétence.
Donc, moi, je suis de l'école qui pense que,
comme législateur, comme ministre, comme président de société, on a cette
obligation-là, quand on est la plus haute autorité, de fixer les objectifs, de
donner un cadre pour que ça se fasse et de s'assurer que les personnes qui le
font le font avec compétence. Ça fait partie de mes obligations, des
obligations qui me sont faites. Donc, de dire à ce dirigeant-là : Je vais
te dire quoi faire, quand le faire et comment le faire, bien, moi, à la place
du plus haut dirigeant, je dis : O.K., mais je sers à quoi, moi, dans la
patente? Tu sais, je veux dire, si tout est décidé, là, tu sais, je sers à
quoi? Bien, ça, puis je pense que je ne surprends pas le député de La Pinière,
on a eu cette discussion-là, ça, pour moi, ce n'est pas la bonne façon de
gérer. On fixe les objectifs, les échéanciers, on évalue les résultats puis on
agit en conséquence. Et par-dessus ça vient ce tiers-là qui est la Commission d'accès à l'information, qui, elle, va nous donner l'heure juste sur les
résultats obtenus par notre organisation
dans l'obligation qui est faite au plus haut
dirigeant de respecter... de s'assurer au respect et à la mise en oeuvre de la loi.
Donc, pour ces raisons-là, moi, je pense que cet
amendement-là amène ou dépossède le plus haut dirigeant de ce qui doit être sa
prérogative pour assumer ses responsabilités comme le prévoit maintenant la
loi, ce que ne faisait pas la loi d'accès à l'information initiale. C'est quand
même... Nonobstant le fait que le député de La Pinière peut penser que c'est
suffisamment ou pas suffisamment fort, ça reste quand même une obligation qui
n'existait pas dans la mouture précédente qui existe maintenant.
Le Président (M.
Bachand) : Interventions? M. le député de La Pinière.
M. Barrette : M. le Président, là, honnêtement,
là, je vais faire de la peine au ministre, mais là je suis un peu déçu de sa ligne argumentaire. Bon, on sait évidemment, M. le Président, là, je vais
citer l'intervention de l'individu dont on connaît l'incompétence, là,
je dis ça de façon ironique, là, qui est partout dans l'espace public, il est
compétent, là, il est compétent, Steve Waterhouse, qui est venu ici, là, devant
les parlementaires, nous recommander d'exiger des organisations que le... Je le
cite, M. le Président : «Exiger des organisations que le responsable de la
protection des renseignements personnels soit détenteur
d'une certification professionnelle propre au rôle — là, il nomme les
certifications, ils ont un nom, là, c'est comme les ISO, là, mais, dans ce
domaine-là, c'est CISSP 20, M 21, et ainsi de suite — garantissant
que la personne en poste a toutes les connaissances à jour — à jour — pour remplir son mandat, comme exigé
à l'article 37.5 du RGPD 24.»
• (17 h 10) •
Steve Waterhouse, là, que je ne connais pas,
mais il est connu de tout le monde là, et il y a des gens comme ça, sur la
place publique, qui sont... qui deviennent des références dans les débats
publics, dans leurs domaines respectifs, dans son cas, c'est la sécurité
informatique, bon, je pense qu'on peut dire qu'il est qualifié, je pense qu'on
peut dire qu'il est qualifié. Je ne pense pas qu'on peut le qualifier de gérant
d'estrade. Je pense qu'il parle d'autorité. Lui, là, il a fait une intervention
sur un aspect de la loi avec une finalité précise : au moins une personne
qui a une autorité en matière de protection des renseignements personnels... En
fait, plus précisément, la personne devrait avoir une compétence reconnue pour
éviter que le directeur des services techniques, puis là je ne dis pas ça de
façon péjorative envers les directeurs des services techniques, par le biais
des promotions, se retrouve en poste pour lequel il n'a pas la compétence. Ce que je viens de dire est en opposition
complète avec ce que le ministre vient de me répondre.
Je ne propose pas que le gouvernement dise à qui
que ce soit quoi faire et quand le faire, ce n'est pas ça que je dis.
L'amendement ne fait pas ça, l'amendement dit : Dans ce que vous avez à
faire et ferez par les responsabilités qu'on vous donne par le biais de lois,
la loi n° 64, vous devez vous assurer au moins d'une chose.
Aux Olympiques d'hiver, hein, ça s'appelle une figure imposée. Ça existe dans
tous les sports. Il y a des programmes libres, la loi est un programme libre
mais qui est encadrée dans une discipline dans laquelle il y a une figure
imposée, point à la ligne. On ne dit pas...
Je ne propose pas que le gouvernement dise au président de l'entreprise A,
B, C : Bien, voici, là, c'est comme ça que tu vas structurer ton
affaire. Ce n'est pas ça que l'amendement dit. L'amendement dit, là... 8.1 te dit : Il faut que tu fasses ça, la loi
t'oblige à faire ça, mais, dans ça, tu as l'obligation, par règlement,
d'avoir au moins une personne qui a la compétence, qui est... et je la
qualifie, moi, tout simplement de contemporaine. Pourquoi? Parce que
les certifications auxquelles Steve Waterhouse fait référence, elles sont
contemporaines. Vous savez, quand vous êtes certifié, en général, par un
organisme professionnel ou une accréditation a, b, c, d, là, quand vous
avez une certification, vous avez des mises à niveau obligatoires, et ainsi de
suite. C'est par là, c'est par là qu'on s'assure que la compétence est
maintenue.
Alors, l'amendement ne fait pas ce que le ministre
me reproche de vouloir faire, ce n'est pas ça du tout. Je dis, je termine
là-dessus, pour s'assurer que, dans l'équipe, dans la structure, dans la
patente, dans le «whatever» que l'organisation, que la personne qui a la plus
haute autorité va mettre en place, il va au moins, en matière de protection des
renseignements personnels, au moins, y avoir une personne dont la compétence
est reconnue. C'est juste ça. Et je laisse par l'amendement le loisir au
ministre de déterminer quelles sont les compétences reconnues, les
certifications reconnues dans le moment où la question est posée.
Alors, si vous voulez que je sois plus trivial,
je vais l'être. La couleur des murs, la grosseur des bureaux, la couleur du
tapis, là, le nombre de secrétaires et le nombre de lieutenants, là, qu'ils
s'organisent, mais il va y avoir au moins une personne. Et, comme je l'ai dit,
c'est clair que ça, ça doit varier dépendamment de la grosseur et du type de
l'organisation, mais plus on passe un seuil, puis il est absolument fondamental
d'avoir ça.
Alors, je vois mal comment qu'on peut arriver
puis dire que mon amendement va faire en sorte qu'on va dire à la plus haute
autorité : Tu fais ci, tu fais ça, tu peintures tes murs de telle couleur,
puis tu achètes trois bureaux, puis ça va être des chaises fixes, il n'y aura
pas de roulettes. Ce n'est pas ça, là, que ça dit, là, ça dit : Il va y
avoir au moins une personne compétente.
Alors, ce qui est amusant là-dedans, M. le
Président, là, c'est que, dans les lois que le gouvernement passe, et
particulièrement le ministre, il passe des lois, là, où il met des normes pour
l'entrée. Et là, quand qu'on arrive avec une norme pour une personne dans une
organisation pour la protection des renseignements personnels, c'est la fin du
monde. Là, j'ai de la misère à le suivre, là, j'ai vraiment de la misère à le
suivre.
Puis, maintenant qu'il a pu prendre le temps de
réfléchir pendant mon intervention, je vais lui laisser la parole pour qu'il puisse me dire : C'est
vrai, M. le député, vous avez raison, on va le faire, mais je vous
propose, M. le député, de le réécrire, parce que les juristes m'ont dit
que ça devrait être écrit différemment. Je suis prêt.
Le Président (M.
Bachand) : M. le ministre.
M.
Caire : Bon, ma
réponse va être légèrement différente de ce qui est attendu, M. le Président.
D'abord, sur M. Waterhouse, je reconnais pleinement sa compétence, à tel
point qu'il a été membre du comité consultatif qui nous a aidés à élaborer la politique
de cybersécurité. Donc, je m'enorgueillis non seulement d'avoir travaillé, mais
d'avoir pu échanger avec lui sur différents sujets. Et je reconnais d'emblée sa
compétence et je reconnais la pertinence d'une recommandation, quand on parle
de gens qui travaillent en cybersécurité où, effectivement, on est dans un
univers qui est vraiment très particulier.
Replaçons le responsable de l'accès à l'information
et le responsable de la protection des renseignements personnels dans le
contexte de la loi, donc de ce qui sont leurs tâches et du comité qui doit être
mis en place, comité à l'accès d'information
et de protection des renseignements personnels, pour lesquels il est aussi dit
que le responsable de la sécurité de l'information et le responsable de
la gestion documentaire, donc qui sont des gens qui ont des qualifications
particulières, sont, si ces fonctions sont occupées, membres du comité, comité
qui a pour mandat de soutenir les deux responsables précédemment nommés dans
l'exercice de leurs fonctions plus les autres attributions que, de façon anticipée, mon collègue de
LaFontaine nous a lues, à travers l'article 14, qui va, plus tard, définir
d'autres fonctions que celles mentionnées à 8.1, plus
précises. Donc, cette notion-là, de compétence dans des secteurs d'activité
spécifiques, elle est rencontrée.
Maintenant,
sur la fonction, à proprement parler, de gérer l'accès à l'information et/ou la protection des renseignements
personnels en vertu de ce qui est prévu dans la loi, M. le Président, on peut
penser que la plus haute autorité qui délègue
va aller chercher les compétences nécessaires qui, à leur face même, sont juridiques. Et
l'exercice ou la pratique du
terrain... Parce que, comme je l'ai dit, là, ne désincarnons pas notre débat de
ce qui se passe sur le terrain. Ces dispositions-là existent dans la
première mouture qui date quand même d'il y a 39 ans, et on a acquis que
ces positions-là... cette délégation-là,
elle avait lieu dans tous les cas. Et je n'ai pas vraiment fait un recensement,
là, mais, d'après moi, là, le nombre
de personnes qui occupent ces fonctions-là, qui sont inscrites au tableau de
l'ordre du Barreau, ça doit
être assez élevé. On est-tu aux alentours de 100 %,
Me Miville-Deschênes?
M. Miville-Deschênes (Jean-Philippe) :
...
M.
Caire :
Oui, à... Non, mais, dans l'ancienne disposition, là, au niveau des organismes
publics, on peut penser que c'est pas mal le prérequis, M. le Président,
pour interpréter une loi, ce qui est
essentiellement les fonctions qui seront assurées par ces deux
responsables-là dans leurs champs d'activité respectifs.
Alors, M. le Président, de mettre par règlement
que la plus haute autorité devrait spécifiquement nommer un avocat, je lui laisse... je laisse à la plus haute
autorité la possibilité d'évaluer la pertinence de ça. Peut-être en
arrivera-t-il à une autre conclusion, mais ce que je dis au député de La Pinière...
D'abord, n'oublions pas le comité, là, j'ai quand même spécifié qu'il y avait des fonctions qui amenaient... qui
appelaient des compétences spécifiques, donc qui amenaient des
représentants spécifiques.
Et, d'autre part, je pense que la plus haute
autorité étant sujette à la surveillance de la Commission d'accès à
l'information quant aux résultats de ses actions, je veux dire, sans donner des
caractéristiques spécifiques à qui doit être
responsable de l'accès à l'information, qu'est-ce que ça prend comme
compétences pour être responsable de l'accès à l'information, qu'est-ce
que ça prend comme compétences pour être responsable de la protection des
renseignements personnels, bien, on est
ailleurs que dans l'univers de la cybersécurité où on comprend que ça prend des
compétences en informatique, ça prend des compétences logicielles, ça
prend des compétences techniques, c'est clair.
À ce moment-là, ce champ d'activité là, on peut penser qu'il peut être un peu plus vaste. Puis la responsabilité qui échoit au plus haut dirigeant et le fait de
la surveillance de la CAI va faire en sorte que je pense qu'on peut... dans ce
contexte-là, on n'a pas besoin d'être aussi... aller aussi loin dans ce qui
relève, à mon avis, de la prérogative du plus haut dirigeant
dans l'application de la loi.
• (17 h 20) •
Le Président (M.
Bachand) : Merci. M. le député.
M. Barrette : ...abasourdi, M. le
Président, que le ministre soit en désaccord avec quelque chose d'aussi simple, abasourdi. Que le ministre
me dise que, dans les organismes pour l'accès à l'information, ce sont des
avocats, là, si j'ai bien compris, c'est ça
qu'il a dit, ce n'est pas de ça que je parle. Je parle de la
protection. Puis il a raison, c'est technique, c'est technique.
Et Waterhouse, là, M. Waterhouse, quand
qu'il est venu dire ça, là, c'est de ça qu'il parle. Et, s'il est venu dire ça sur cet article-là, c'est parce que
ça a une importance. Alors, moi, j'entends le ministre,
essentiellement, prendre les propos de M. Waterhouse,
individu qu'il a en grande estime, qui fait partie de son comité, et là, là, ça
ne serait pas bon, soudainement, parce qu'on
est en étude détaillée. Bien, voyons donc! Ça ne marche pas, là, cette
affaire-là, là.
Il n'y a pas un avocat, je pense... En tout cas,
peut-être qu'il y en a, là, c'est comme la loi, tantôt, il ne faut jamais dire jamais
ni toujours, mais il serait improbable que la plupart des avocats, avec tout le
respect que je leur dois, aient des
compétences informatiques qui leur permettent de déterminer si, dans une organisation, il y a des protocoles en place qui soient
appropriés en termes de protection des renseignements personnels, «as in» ne
pas partir avec sur une clé USB.
Et hier, hier, je l'ai dit, là, ce n'était pas
ici, c'était dans une autre salle, aux États-Unis, là, les entreprises
demandent que les gouvernements légifèrent là-dessus pour que les moins bons de
la classe soient forcés d'avoir des gens comme ça et des protocoles comme ça,
parce que ça a un impact réputationnel et donc économique. Moi, je n'invente
rien, là, puis Steve Waterhouse, il n'invente rien non plus, là. Alors, si lui
fait cette proposition-là, moi, j'en prends absolument fait et cause, parce que
l'industrie elle-même, je l'ai entendu et lu à plusieurs reprises, ils le
veulent. Alors... Puis je vais même aller aussi loin que de dire que la plus
haute autorité d'une organisation, probablement, ne l'a pas, cette
compétence-là. Puis je vais même aller plus loin, M. le Président : probablement,
là, qu'elle ne sait pas de quoi ça retourne, cette compétence-là.
Or, cette compétence-là, aujourd'hui, en matière
de protection des renseignements, la partie, là, technique, la partie «back
store», la partie hardware et les protocoles qui viennent avec, c'est parce qu'il
y a des gens qui l'ont, la compétence, puis il y a des gens qui ne l'ont pas.
Et là on n'est pas du tout, du tout dans la Commission d'accès à l'information
avec un avocat qui va décider si telle information demandée, on peut la donner,
ne pas la donner, parce que ça a une
incidence économique, pas économique. Puis je ne minimise pas ce travail-là, je
dis qu'il y a deux éléments, et l'élément technique, lui, là, on en fait
abstraction. Et, dans cet élément technique là, la loi devrait prévoir
ça, ça.
Et je reviens
encore une fois à la comparution de Desjardins. Ils n'ont jamais répondu à cette
question-là, que j'avais posée, M. le Président, parce que je sais très bien,
comme tous les experts en informatique, tous les Steve Waterhouse du
monde vont vous dire que, quand il y a des fuites, en général, c'est pour cause
de protocoles et d'équipements qui ne sont pas à jour.
Alors, de dire, dans un amendement... puis de rejeter un amendement qui permet
de s'assurer de ça en laissant toute la latitude au ministre d'établir ce qui
est une compétence contemporaine, ça...
Le
Président (M. Bachand) : Merci, M. le député. M. le ministre.
M.
Caire :
Bien, brièvement, M. le Président, je pense qu'on commence à avoir fait le tour
de la question. Le responsable de la
protection des renseignements personnels va essentiellement gérer des demandes
d'accès. J'entends ce que le député de La Pinière dit, là, mais on
ne lui demande pas d'être un spécialiste de la cybersécurité.
D'ailleurs, sur le
comité, c'est là où on dit : S'il y a un responsable de la sécurité, c'est
sur le comité qui va venir et qui va
permettre de conseiller les deux responsables, accès, protection des
renseignements personnels, mais ce n'est pas... Puis, dans
l'application, comme je vous dis, là, ce n'est pas désincarné, notre débat, là,
il y a, dans la première mouture, cette notion
de responsable de l'accès, responsable de la protection des renseignements
personnels. Et, dans les deux cas, ce
sont des responsables qui vont gérer les demandes d'accès, essentiellement,
essentiellement. Puis, encore là, Me Miville-Deschênes a le droit
de cogner à ma fenêtre si jamais je dis... mais essentiellement...
Une voix :
...
M.
Caire :
Non, je pense qu'il va pas mal dire la même chose que moi, puis je n'ai même
pas besoin de... de façon naturelle.
Et donc ce que le
député de La Pinière demande, je l'entends, mais ce n'est pas là que ça
devrait se faire dans ce qu'il veut faire.
Parce que des compétences en matière de cybersécurité, si, un jour, nous
revoyons la loi sur la gestion et la gouvernance des ressources
informationnelles ou la Loi concernant le cadre juridique des technologies de l'information, peut-être aurons-nous l'opportunité
de discuter de ces notions-là, mais, dans la loi d'accès à l'information,
pour ce qu'elle couvre comme spectre
d'application, ce sont essentiellement... ces fonctions-là sont essentiellement
des fonctions qui visent à juger et à déterminer de la pertinence de
poser ou non un geste qui est prescrit dans les articles à venir face à une
demande d'accès à l'information. Alors, ce n'est pas... On ne gravite pas dans
la responsabilité technologique, à ce moment-là.
Le
Président (M. Bachand) : Merci. M. le député de
La Pinière.
M.
Barrette : M. le Président, c'est une loi sur l'accès à l'information
et à la protection des données personnelles, la loi s'adresse aux deux. On ne peut pas tenir un argumentaire, comme
il vient de le faire, basé sur l'accès à l'information.
Alors, moi, comme je
l'ai dit au ministre, M. le Président, s'il trouve qu'il est mal formulé, qu'il
nous fasse une proposition, ça va me faire plaisir, mais le règlement européen
prévoit ça avec raison. Le ministre me dit, là, essentiellement, que... j'ai
quasiment l'intention de dire qu'il me dit que ce n'est pas placé dans le bon
paragraphe. Bien, à ce moment-là, M. le
Président, je m'en vais retirer mon amendement
à la faveur d'un autre puis je vais le mettre dans 8.1, mais ça va être
la même chose.
Mais le ministre, fondamentalement,
M. le Président, à ma grande surprise, ne voit pas l'utilité de mettre ça dans la loi. Moi, je suis étonné de ça. Alors, M. le Président, je vais poser la question comme ça : Est-ce que le ministre souhaite que je mette cette
clause-là à 8.1?
Le
Président (M. Bachand) : M. le ministre.
M.
Caire : Non, parce que...
Puis là je le redis, là, peut-être... probablement que je n'ai pas été clair la première fois. Le responsable de la protection
des renseignements personnels — on
va s'adresser à cette fonction-là très spécifiquement même si les deux
sont concernées — ne
l'est pas dans une perspective où il doit mettre en place une cyberprotection,
ne l'est pas dans la perspective où il doit mettre en place des mesures numériques
pour protéger la donnée. Sa fonction est de s'assurer que, lorsqu'il y a ou non
communication de renseignements personnels, la présente loi est appliquée.
Cette loi-là, je l'ai
dit, elle est technologiquement neutre. Donc, cette fonction-là s'applique que
le document soit un document papier... Et je regarde mes collègues d'en face et
je comprends que le papier aura droit de cité pour encore un certain temps.
Non, bien, par comparaison, je vous dis ça de même, en tout cas.
Une voix :
...
M.
Caire :
Est-ce à dire que mes interventions ne sont pas de qualité? Non, c'est correct.
Non, non, je goûte pleinement l'humour du député de LaFontaine, M. le
Président, soyez sans crainte, et du député de La Pinière, malgré une
certaine persévérance naturelle.
Ceci étant, non, mais
c'est ça, là, que le document soit papier, que le document soit numérique, que
le document soit une cassette vidéo ou le
résultat d'un fax, la loi s'applique, la loi s'applique. Et la personne qui
applique la loi en matière de protection des renseignements personnels
est donc, elle aussi, technologiquement neutre. Donc, M. le Président, lorsqu'il s'agit de matière de
protection dans une perspective technologique, évidemment, évidemment
que certaines compétences technologiques sont requises.
Le
Président (M. Bachand) : M. le député de La Pinière.
• (17 h 30) •
M. Barrette : Alors, M. le
Président, le ministre va m'expliquer, là... Il vient de dire une affaire, là,
pas à l'instant, mais quelques secondes avant, là : Il n'y a pas de mandat
de protection des renseignements personnels? Lui,
il fait le lien entre protection des renseignements personnels dans le cadre de
l'accès à l'information? Il va falloir qu'il nous démêle ça.
M.
Caire : Oui, bien, je vais recommencer. Oui, il y a un
mandat de protection des renseignements
personnels, mais pas dans une perspective technologique, donc il n'est
pas le spécialiste de la cybersécurité de son organisation. Ce n'est pas ça,
son mandat. Il protège les renseignements personnels en étant technologiquement
neutre, et donc en s'assurant que les renseignements personnels sont
utilisés... oui, utilisés, pardon, en cohérence avec la loi, qu'ils sont
communiqués ou non dans le respect de la loi, ou qu'on refuse de les
communiquer dans le respect de la loi, qu'ils sont supprimés ou qu'on refuse de
les supprimer dans le respect de la loi, qu'ils sont archivés dans le respect
de la loi. Alors, c'est toutes ces facettes-là de l'utilisation ou non des
renseignements personnels qui définissent son périmètre
quand on parle de protéger les renseignements personnels, au sens où on
n'envoie pas ça dans l'espace public, puis
«prenez et mangez-en tous», il n'y a pas de problème. Et donc, il va aussi
s'assurer que, si on collecte des renseignements
personnels, on le fait en fonction de ce qui est prévu dans la loi. Alors, tout
ça, là, toutes ces fonctions-là,
elles sont technologiquement neutres, parce que supprimer un
renseignement personnel, là, ça peut être passer un papier à la déchiqueteuse.
Je viens de supprimer un renseignement personnel. Ça peut être de faire
«supprimer» sur un document numérique. Pour le responsable de la protection des
renseignements personnels, la manière n'a pas... non, ce n'est pas... je vais
faire attention à ce que je dis, là.
Une voix : ...
M.
Caire : Oui, oui,
oui, non, je sais, là, le terrain commence à être plus mou un peu. Donc, pour
le responsable de la protection des renseignements personnels, sans égard au
support technologique ou sans égard au support, je devrais dire, qui est
utilisé pour véhiculer, utiliser, communiquer le renseignement personnel, sa
prérogative à lui, c'est de s'assurer que tout ça est fait conformément à la
loi. Dans le comité, quand on dit que le responsable de la sécurité et de
l'information est membre du comité, alors sa fonction à lui, elle est
technologique, son apport à lui, il est technologique. Quand on parle d'une fonction
qui aurait une autre expertise, on peut penser que l'expertise de
M. Waterhouse pourrait être... se faire au bénéfice d'un organisme, que ce
comité-là pourrait s'adjoindre les services de M. Waterhouse, à titre
d'expert dans son domaine, pour les conseiller par rapport à des finalités
précises.
Mais ce qui se passe présentement sur le
terrain... puis Me Miville-Deschênes pourrait vous en parler, puisque, si
j'ai bien compris, il a exercé ces fonctions-là au sein d'un organisme avant de
joindre les rangs du SAIRID, je veux Me Miville-Deschênes pour quelqu'un de
très compétent, mais, technologiquement, je ne suis pas sûr que je lui
confierais mon ordinateur. J'ai dit : Je ne suis pas sûr. Je vais vérifier
avant.
Une voix : ...
M.
Caire : O.K. Bon,
je pense que je ne l'ai pas offensé.
Alors, M. le Président, c'est pour ça qu'il
m'apparaît que l'amendement qui est proposé par le député de La Pinière,
oui, il s'inscrit dans la perspective de ce que j'ai dit, parce que son
argumentaire est en périphérie de ce qu'on fait ici, là. Donc, quand je parle
de traiter de ces questions-là ailleurs, je ne parle pas d'ailleurs, un autre
article ou un autre alinéa, je parle d'une autre tribune. Parce qu'ici on a une
loi générale qui s'applique maintenant à 3 000 organismes publics
très différents pour lesquels il y a une fonction commune, à qui on veut donner
une fonction commune, qui est de s'assurer du respect de la présente loi, dans
les facettes prévues par la loi.
Puis, dans ce sens-là, je réitère, en tout
respect pour mes collègues, je pense que l'article 8 et 8.1 font le travail, remplissent l'objectif. Puis je ne
désespère pas, M. le Président, de convaincre mes collègues qu'on a, à
l'article 1, un article 8 et un article 8.1 qui sont
solides, qui atteignent les cibles et qui mettent les prérogatives au bon
endroit, au bon niveau. Et ça, j'en suis éminemment convaincu.
Le Président (M.
Bachand) : Merci. M. le député de La Pinière.
M. Barrette : Ce que le
ministre vient de dire, dans sa longue réponse, c'est que la loi, elle est
faite pour traiter de la circulation d'information et non de son dépôt.
M.
Caire :
...notamment. La nuance que j'ai faite, c'est que le député de La Pinière
amenait dans l'idée de compétence des notions relatives à ce qu'on appelle la
cybersécurité. Donc, M. Waterhouse est un spécialiste, une personne extrêmement
compétente dans les matières de cybersécurité. Traiter de la cybersécurité
n'est pas l'objet du projet de loi n° 64 et les fonctions qui en découlent
non plus. C'est ça que je dis.
M. Barrette : Le ministre nous dit
encore qu'en d'autres mots, le projet de loi, c'est sur la circulation de la donnée personnelle et non de son dépôt.
Conséquemment, on n'a pas besoin d'avoir quelqu'un de compétent là-dedans.
M.
Caire :
C'est-à-dire que, oui, ça peut être de son dépôt dans la mesure où vous ne
pourriez pas laisser traîner des renseignements personnels et penser que vous
en assurez la protection. Mais, ceci étant dit, ça ne veut pas dire que, pour
autant, je dois avoir un spécialiste en matière de cybersécurité pour gérer les
filières du bureau. Je ne sais pas si la nuance... si mon collègue comprend la
nuance que j'essaie de faire. C'est que, cette loi-là, elle est
technologiquement neutre. Donc, quand on parle de protection, on ne peut pas
d'emblée associer ça à des moyens technologiques. Quand on parle de protection,
on parle d'une responsabilité quant à qui peut y accéder, dans quelles
circonstances et pour faire quoi. Et là, il y a d'autres dispositions,
qu'est-ce que vous faites après, comment vous le faites, ta, ta, ta, à qui vous le communiquez. Et là il y a toutes
sortes de ramifications qui sont possibles sur l'utilisation ou non des
renseignements personnels.
Donc, dans le fond, là, si on a besoin de
circonscrire ça à un mot, c'est l'utilisation des renseignements personnels dans une perspective de les protéger
pour qu'ils ne soient pas utilisés à d'autres fins que celles pour lesquelles les
renseignements personnels ont été collectés.
M. Barrette : M. le Président,
à cette étape-ci, maintenant que la pensée du ministre est plus claire, puis ce
n'est pas une intention, je ne prête pas d'intention pour dire qu'il n'était
pas clair, avant, là, je vais, pour poursuivre le débat, parce que c'est très
important ce qu'il vient de nous dire, ça m'amène à vous demander de suspendre.
Je vais... Non, attendez une minute. Mon collègue va déposer un
sous-amendement.
Le Président (M.
Bachand) : Donc, on va suspendre quelques instants. Merci
beaucoup.
(Suspension de la séance à 17 h 39)
(Reprise à 17 h 49)
Le
Président (M. Bachand) : À
l'ordre, s'il vous plaît! Merci beaucoup. M. le député LaFontaine, s'il
vous plaît.
M. Tanguay : Oui, M. le
Président, j'aimerais déposer le sous-amendement suivant, et qui se lit comme
suit : L'amendement est modifié par l'ajout, à la fin, des mots «lorsque
les données sont entreposées sur support numérique». Voilà, M. le Président.
Le Président (M.
Bachand) : Merci. Je pense que le député de La Pinière
aimerait prendre la parole.
• (17 h 50) •
M. Barrette : Oui. Alors, c'est très
intéressant le débat qu'on a, M. le Président, parce que les dernières phrases
qui ont été... non, peut-être le dernier 10 minutes, qui sont les
dernières phrases qui ont été prononcées par le ministre étaient très
éclairantes sur sa pensée, que je comprends mieux maintenant. Je la comprends
puis je pense qu'on va être capables de se rejoindre.
Alors, le ministre, là, dans les dernières
minutes dont on a... pendant lesquelles on a échangé, a dit que la fonction était technologiquement neutre. Sans
qu'on comprenne exactement ce qu'il voulait dire, mais on le comprend
mieux ou, du moins, moi, je le comprends mieux quand il me dit que ce dont je
pense, c'est de la cybersécurité, et on ne va pas demander à quelqu'un d'avoir
une expertise pour s'assurer de la sécurité d'informations personnelles dans
des classeurs. C'est à peu près ça qui a été dit. Et moi, je lui ai fait
l'amical reproche de dire : Oui, mais donc, cet officier-là, sa fonction, c'est de s'occuper simplement de la
circulation, de la protection des renseignements personnels quand l'information circule entre le dépôt, celui
qui amende, et ainsi de suite, son retour s'il revient. Bon, je comprends ça.
Alors, quand le ministre nous dit : C'est
technologiquement neutre, c'est par opposition à mon argumentaire, qui est
celui de mon amendement; bon, il est maintenant sous-amendé, je comprends le
ministre, là, quand il me dit que c'est
technologiquement neutre. Mais là où je ne le suis pas, M. le Président, c'est
que l'officier, là... Il y a au moins une personne qui doit avoir une
compétence en protection du renseignement lorsqu'il est sur un format physique,
non électronique. Je comprends le ministre
quand il me dit : Oui, mais, là, là, le gars, là, ou la fille, là, il faut
qu'il s'assure que, quand
l'information part de tel bureau, s'en va à telle place, que ça ne soit pas vu
par d'autres personnes, que ça ne puisse
pas être photocopié, que ça ne puisse pas... et ainsi de suite. Je comprends
ça. Ça, c'est la circulation de l'information. Là où on n'est pas d'accord, c'est qu'il n'y a pas d'enjeu de sécurité
qui demande une compétence particulière lorsque la donnée personnelle
est entreposée sur un support numérique. Alors, la loi, elle est
technologiquement neutre, je veux bien, elle
est neutre dans son concept, mais elle n'est pas neutre dans son application.
La personne qui doit s'assurer de la sécurité de la donnée personnelle
doit être capable de s'assurer de sa sécurité aussi lorsque la donnée est
entreposée sur un support numérique.
On comprend que l'organisme public dont les
données sont dans des classeurs tient des gros Rolodex, là, hein, les gros
classeurs avec des poignées de l'ancien temps, là. On comprend que ça, ça se
protège par un gardien de sécurité, puis des
grosses portes, et des grosses serrures, puis, évidemment, des gicleurs, et
ainsi de suite. On comprend ça. Ce n'est pas numérique, il n'y a pas de
cybersécurité là-dedans.
À l'opposé, à partir du moment où la donnée
personnelle est entreposée sur un support numérique, a-t-on vraiment
aujourd'hui les organisations publiques autres qui ne sont pas reliées à
l'Internet? On a-tu vraiment ça? Je pense qu'on peut dire que non. Alors, il y
a donc un enjeu là de sécurité physique. Et là je vais être technique, mais le
ministre, lui, il comprend tout ça, c'est son domaine. C'est sûr que le SAN,
qui est le rack de serveur, il ne peut pas être en
dessous, comme ça, d'un gicleur, mais il doit avoir un gicleur. Ça fait qu'il
doit y avoir un toit par-dessus le SAN, parce que, sans ça, on peut perdre la
donnée, le citoyen peut perdre sa donnée. S'il y avait un feu dans la pièce d'à
côté et tous les gicleurs, eux autres, doivent partir. Ça, c'est physique. Dans
le côté physique, il y a les individus qui circulent à gauche puis à droite.
Ça, c'est de la sécurité informatique. Et, à partir du moment où il y a un lien
Internet, là, on est dans la cybersécurité.
Alors, c'est vrai que
le ministre et moi, on n'a pas parlé pendant un bon bout de temps de la
totalité, là, nos discours n'étaient pas 100 % matchés, mais il n'en reste
pas moins qu'ils sont matchables. Alors, quand le ministre me dit qu'il doit y
avoir... que sa loi, elle est technologiquement neutre, je veux bien, mais on
ne peut pas simplement tenir un discours de sécurité de la circulation de
l'information, on doit aussi parler de la sécurité du dépôt de l'information,
le dépôt physique et/ou numérique. Et, dans le cas numérique, il doit y avoir
quelqu'un qui a la compétence de faire ça.
Alors... et là, je
vais prendre mon propre exemple. Le directeur des services techniques est
parfaitement compétent pour s'assurer de la sécurité d'un gros classeur sur
rail, que le ministre a sûrement déjà vu, là. Quand même, il n'a pas
22 ans, là. Je ne peux pas croire qu'il n'a pas déjà... bien, peut-être
que, dans son esprit, il l'a, mais il a certainement déjà vu ça, là, hein, on a
ça dans les pharmacies, dans les bureaux de professionnels, dans les grandes
entreprises, la patente à roulette, là, pour sauver de l'espace. Ça, là, un directeur
des services techniques à la compétence parfaite, là, pour s'assurer de cette
sécurité-là. Parce que, de quoi on parle? On parle d'une difficulté
physique : incendie, dommage, désastre naturel, serrure personnelle,
autorisation, et ainsi de suite. Mais quand l'entrepôt, lui, est numérique,
numérique, c'est une autre compétence.
Alors là, là, le
sous-amendement qui est proposé, M. le Président, ça va dans le sens du ministre.
En ce sens que c'est correct, c'est technologiquement neutre, mais, dans le cas
ou la chose est numérique, on doit avoir une personne
qui a et la compétence de la sécurité physique de l'entrepôt numérique mais
aussi la compétence parce qu'il y aura toujours
un lien Internet, là. Il y en a toujours eu un. Et je renchéris sur le fait que
des gens comme Steve Waterhouse ont sûrement dit sur le comité du
ministre : Tu sais, le problème, là, en technologies de l'information, là,
c'est qu'en général les gens ne sont pas à jour. Alors, moi, ce que je
souhaite, hein, en formalisant cette procédure-là, tel que souhaite le
ministre, qu'on y inclue, pour le formaliser, l'obligation que le ministre,
lui, peut tailler sur mesure dans son règlement, hein, mon amendement, là, il
dit : M. le ministre, là, dans les cas où l'entrepôt est numérique, là,
bien, l'organisation, là, vous devez l'enjoindre à avoir... à s'assurer que les
gens ont les compétences contemporaines requises par mon règlement. Alors,
évidemment qu'on ne demandera pas à l'organisme public qui marche encore en
classeur d'avoir ça, on s'entend, hein? Il y a plein d'autres réglementations
qui permettent de faire... d'assurer la sécurité de ça, mais, par contre,
lorsqu'on est numérique, là, on ne peut pas dire qu'il n'y a pas en plus un
enjeu de cybersécurité, là, ce n'est pas possible, là. Il n'y a pas
d'organisation qui marche avec sa clientèle sans avoir un lien externe
informatique. C'est tout, là, c'est... il me semble que c'est du gros bon sens
de mettre cette force-là.
Je termine là-dessus,
M. le Président, pour ce moment-ci de mon intervention. Desjardins, tout le
monde le sait aujourd'hui, ils n'étaient pas à date. Puis je vous le dis, M. le
ministre, là, M. le Président, là, ils m'appellent, Desjardins, ils sont tannés
que je prenne eux autres comme exemple. Bien, c'est leur problème, mais c'est parce
que c'est un maudit bon exemple, puis je vais m'en servir autant que je vais
vouloir. Mais c'est ça, et c'est une réalité. J'en aurais un autre, exemple, je
prendrais un autre exemple, ça me ferait plaisir.
Alors
là, on se rejoint, il me semble. Alors, je dis simplement... On peut suspendre,
M. le Président, vous savez, j'ai une obligation, là, qui s'en vient, et le
ministre peut réfléchir à la rédaction. Ça s'en vient, parce que...
Le
Président (M. Bachand) : ...petite erreur dans l'écriture du
sous-amendement. Donc, on va suspendre.
M. Barrette :
Ah! mais M. le Président, comme vous me faites plaisir.
Le
Président (M. Bachand) : Non, mais, avant de suspendre, parce
que vous devez quitter, et vu...
M. Barrette :
Mais je vais revenir.
Le
Président (M. Bachand) : O.K., c'est beau.
Ça fait qu'on va suspendre quelques instants?
M. Barrette :
Oui, oui.
Le
Président (M. Bachand) : Parfait, merci, on va suspendre.
Merci.
(Suspension de la séance à
17 h 59)
(Reprise à 18 h 06)
Le
Président (M. Bachand) : À l'ordre, s'il vous plaît! La
commission reprend ses travaux. M. le député de LaFontaine, s'il vous plaît.
M. Tanguay : Oui, M. le
Président. J'aimerais demander à la commission le consentement de retirer mon
sous-amendement afin d'en déposer un nouveau.
Le Président (M. Bachand) :
Consentement?
Des voix :
Consentement.
Le
Président (M. Bachand) : M. le député de LaFontaine, s'il vous
plaît.
M. Tanguay :
Alors, le nouveau sous-amendement se lit comme suit : L'amendement est
modifié, après les mots «au sein des
organismes publics», par l'ajout des mots «lorsque les données sont entreposées
sur support numérique». Voilà, M. le Président.
Le
Président (M. Bachand) : Merci. M. le député de La Pinière
avait parlé. Je ne sais pas si M. le député de LaFontaine... M. le député.
M.
Tanguay : M. le Président, sans aucune surprise, je vous dirai que je fais miens tous les propos prononcés
par le collègue de La Pinière, qui, ma
foi, a su trouver les mots non seulement pour, j'en suis persuadé, convaincre
le ministre de l'à-propos du
sous-amendement, mais, de ce que je comprends, de faire en sorte que, oui, ce
qui est demandé par l'amendement — parce que c'est quand même
mon sous-amendement, alors il faut que je le défende — ce
qui est demandé par l'amendement, c'est
qu'il y ait les ressources professionnelles spécialisées, les ressources...
certifications professionnelles concernant les renseignements
personnels, donc une spécialisation. On dit que cette spécialisation-là ratisse trop large quant aux champs d'application
tangibles de ce que sont les fonctions et responsabilités de la plus haute
autorité. C'est beaucoup plus ségrégué.
Alors, on a repris la balle au bond, je résume ça de même, puis on a ségrégué,
on a rendu plus pointue la nécessité, introduite par l'amendement, de
certifications professionnelles à un contexte... «lorsque les données sont
entreposées sur support numérique». Alors, une fois que j'ai dit ça, M. le
Président, je suis convaincu que le ministre, là, y donnera cours. Merci
beaucoup.
Le
Président (M. Bachand) : Merci. M. le ministre.
M.
Caire :
Bien, M. le Président, au risque de créer une cruelle déception chez mes
collègues, je vais devoir m'inscrire en faux pour plusieurs raisons qui
m'apparaissent toutes aussi valables les unes que les autres.
La première, c'est
que ces volets-là sont déjà couverts... ce volet-là est déjà couvert par
d'autres lois, mais surtout parce que, puis
je vais reprendre l'exemple cher au député de La Pinière, je suis
convaincu que le directeur technique de Desjardins aurait rencontré les
critères de compétence qu'il nous demande d'ajouter à la loi.
Une voix :
...
M.
Caire :
Bien, M. le Président, moi, je serais pas mal prêt à mettre ma main au feu que,
les critères de diplomation et d'expérience,
il les rencontrait tous, j'en suis... Puis je peux challenger le député de
La Pinière là-dessus, là. Le député... Ne mettez pas votre paie
là-dessus, là. Le directeur technologique, le vice-président aux technologies
de chez Desjardins, là, croyez-moi, il n'avait pas un D.E.P., là, alors...
Mais, ceci étant, mais, ceci étant, il est arrivé ce qui est arrivé. Puis, sans égard à la responsabilité de qui que ce
soit, sans vouloir accuser qui que ce soit, je dis juste que ça ne nous
prémunit pas contre les incidents.
Et j'espère qu'il me
pardonnera, M. le Président, parce que je vais vous parler du dirigeant
principal de l'information du Québec, que nous avons nommé cet été,
M. Rodrigue, qui est une personne que j'ai en très, très, très haute
estime, pour lequel la nomination a fait l'objet de mon assentiment. J'en suis
très fier. Je le veux pour extrêmement compétent, dévoué. Il préside à des
chantiers majeurs avec brio, avec intelligence, avec compétence malgré le fait
qu'il soit, puis je dis «malgré le fait», mais il n'y a rien de péjoratif,
notaire de formation.
• (18 h 10) •
Donc, si je dis oui
au député de La Pinière, je viens d'exclure une des personnes les plus
compétentes avec qui j'ai travaillé. Et, de mon jugement, comme étant la plus
haute autorité dans ce domaine-là, de mon jugement qu'il est tout à fait apte à
assumer cette fonction-là, je viens de l'exclure. Je me rends responsable des
décisions de M. Rodrigue, je vais les
assumer et, savez-vous quoi, je dors très bien, je dors très bien. Peut-être,
et je dis bien peut-être, M. le
Président, peut-être que le président de Desjardins, à une certaine époque, ne
pouvait pas en dire autant. Peut-être.
Donc, M. le
Président, à l'un et l'autre de mes collègues, je dis ceci : Le premier
alinéa de l'article 8 nous donne la garantie, quelle que soit sa décision,
que le plus haut dirigeant de l'organisme devra assumer ses décisions, qu'il
relève de son autorité de s'assurer que la loi est mise en oeuvre, qu'elle est
respectée dans toutes ses facettes, que
d'autres lois viennent compléter certaines prérogatives et qu'à ce moment-ci,
je considère... l'amendement ne bonifie pas le projet de loi, ne le
rendra pas meilleur. Et, si ça se trouve, je viens de donner un exemple où la
plus haute autorité aurait les deux mains
attachées et n'aurait pas pu poser le geste à poser parce que la loi le lui
interdit, c'est-à-dire lui interdit d'exercer son jugement à titre de
plus haute autorité.
Donc, non, M. le
Président. Puis là je veux être clair, puis je pense que j'ai démontré, M. le
Président, que j'étais bien ouvert à discuter puis à échanger, puis je n'ai pas
de problème avec ça, mais je veux que les collègues
sachent que, sur cet enjeu-là, puis le député de La Pinière le sait, mon lit
est fait. Je crois à la responsabilité des dirigeants, je crois que les
objectifs doivent être clairs, que les finalités doivent être claires, que les échéanciers
doivent être clairs et qu'entre les deux on doit faire confiance aux gens qu'on
travaille pour nous aider à atteindre nos objectifs dans les échéanciers
requis. Et ça, je l'ai toujours cru, je le crois encore et je le croirai
toujours.
Et je conclurai en disant
que la Commission d'accès à l'information a le mandat de s'assurer que le plus
haut dirigeant a respecté ses obligations. La Commission d'accès à
l'information est un tiers neutre qui agit avec compétence dans l'objectif de
s'assurer que la loi a bel et bien été respectée. Donc, les résultats obtenus
ou non par une organisation seront évalués par une organisation qui jouit du respect
de tous les parlementaires, et, pour moi, c'est amplement suffisant, M. le
Président.
Le Président (M.
Bachand) : Merci beaucoup. Interventions? M. le député de
La Pinière.
M. Barrette : ...absolument. Là, là,
l'argument, là, M. le Président, là, puis, avec tout le respect que je dois au
ministre... Comment peut-il, M. le Président, me donner comme argument, là,
que, si mon amendement était adopté, il y a des gens qui perdraient leurs jobs?
Ce n'est pas ça que l'amendement dit. L'amendement ne dit pas que le
vice-président des technologies de l'information doit avoir une compétence x. L'amendement
dit qu'une personne dans l'organisation doit l'avoir, assez haut placée quand
même, là. Alors, de dire, là, de dire qu'on ne fera pas ça parce que ça
pourrait entraîner un congédiement, une mutation de poste en matière de
renseignements personnels... Voyons donc! Ce n'est pas ça que ça dit, l'amendement.
L'amendement dit : À partir du moment où le 64 est adopté, tel qu'amendé,
lorsque vous êtes dans un organisme public, pour l'article 1, dont les
données sont conservées sur un support électronique, puis, en plus, ouvert à
l'extérieur, vous devez avoir une personne, dans votre patente, là, qui a cette
compétence-là. Bon.
Là, là, je vais peser mes mots, M. le Président,
là, pour ne mettre personne dans l'embarras, ce n'est pas notre rôle, les
parlementaires. J'ai regardé, là, tous les événements nationaux et
internationaux pour lesquels j'ai pu trouver de la donnée, O.K., et j'ai
constaté que les gens qui perdaient leur position à la suite d'un événement de
fuite de données personnelles, ces personnes-là, qui étaient haut placées,
n'avaient pas de compétences technologiques. Elles n'en avaient juste pas.
Alors, l'idée n'est pas de dire que la personne,
M. le Président, qui a le titre de haut dirigeant ait toutes les compétences,
ce n'est pas ça, mais cette personne, dans son organigramme, il doit y avoir
cette compétence-là, il doit l'avoir. Et manifestement, quand on ne l'a pas, ça
peut mener à ce genre de situation là.
C'est toujours le même principe, là. Lorsqu'un
dirigeant, qu'il soit le plus haut ou non, est bilingue dans son domaine, il
sera toujours plus compétent que l'autre qui est analphabète dans le domaine en
question. Je n'ai pas, moi, la prétention de pouvoir compétitionner un simple
programmeur, ce n'est pas mon monde. Dans mon monde, j'ai la prétention d'être
meilleur que d'autres. Vous allez me dire que je suis prétentieux, là, mais, je
veux dire, ce n'est pas un jugement de valeur sur les autres, c'est un état de
fait.
M. le Président, j'aimerais ça qu'on suspende,
pas plus qu'une minute. J'aimerais partager une information avec mes collègues,
que je ne peux pas partager à la caméra.
Le Président (M.
Bachand) : On va suspendre quelques instants. Merci.
(Suspension de la séance à 18 h 16)
(Reprise à 18 h 18)
Le Président (M.
Bachand) : À l'ordre, s'il vous plaît! La
commission reprend ses travaux. M. le ministre, s'il vous plaît.
M.
Caire : Oui, merci,
M. le Président. Moi, j'entends ce que mon collègue de La Pinière dit,
puis, pour moi, c'est évident que la bonne personne à la bonne place donnera
toujours le bon résultat. Malheureusement, il n'y a pas de science exacte. Qui
est la bonne personne à mettre à la bonne place pour avoir les bons résultats?
Et là-dessus c'est là où on ne se rejoint pas, là, puis peut-être qu'on ne se
rejoindra jamais, M. le Président, je ne sais pas.
J'ai, par ailleurs, beaucoup d'éléments où je
suis en communion de pensée avec le député de La Pinière, mais là-dessus
moi, je dis... puis je le sais, que je suis tannant avec ça, là, mais l'alinéa
de l'article 8, il est là. Puis ça, c'est quelque chose qui n'existait
pas. Vous dites maintenant au plus haut dirigeant d'un organisme public, à
partir de la sanction de cette loi-là et de la mise en application, là :
Si jamais il se passe quelque chose de croche dans l'application de la loi, là,
c'est toi qu'on va aller voir, c'est à toi qu'on va parler. Ça, ça n'existait
pas.
On ne peut
pas évaluer la pertinence de la loi actuelle sur des éléments qui se sont
passés dans le... C'est-à-dire, on ne peut pas évaluer la pertinence de
la loi telle que nous la proposons sur ce qui s'est passé dans le contexte de
la loi actuelle, alors que la loi actuelle ne prévoyait pas ces
dispositions-là, ne les prévoyait pas.
• (18 h 20) •
Et là-dessus, M. le Président, il y a d'autres
éléments de la loi... et ça, là-dessus, je sais que le député de La Pinière et moi, on est d'accord, parce que
non seulement il y a maintenant un responsable, mais, en plus, l'organisation
chargée de surveiller que ces organisations-là s'acquittent de leurs tâches
comme il se doit, nous allons repenser ça, nous allons retravailler ça aussi.
Mais cette organisation-là, elle existe, c'est la Commission d'accès à
l'information.
Et, en plus, M. le Président, pour les
organisations qui, de façon administrative ou, plus grave, de façon pénale,
seraient en manquement de la loi, les conséquences sont extrêmement lourdes, ce
qui n'est vraiment, mais vraiment pas le cas actuellement. Et ça, je sais que
le député de La Pinière est d'accord avec moi. Les conséquences à des manquements au devoir de protéger les renseignements
personnels, dans la loi actuelle qui est en vigueur, sont quasi inexistantes.
Dans cette loi-là, si nous l'adoptons, s'il plaît à l'Assemblée nationale de
l'adopter telle quelle, les conséquences seront lourdes, lourdes.
Ce qui m'amène à la notion suivante. Je pense,
et je le dis de façon extrêmement candide, que, dans la société, nous avons
traité les renseignements personnels avec une certaine légèreté, dans
différents aspects. Je pense que certains
éléments de la société ont vu plus rapidement que d'autres le potentiel de
cette information-là, ont cherché à l'exploiter. Je pense que cette
situation-là nous a conduits à d'autres situations qui ont sonné l'alarme
sérieusement, sévèrement.
Je pense qu'aujourd'hui le législateur est
appelé... Puis là-dessus je ne veux pas faire de remontrances au député de LaFontaine, là, loin de moi cette idée,
mais je pense que, oui, il y a urgence d'agir, en tout respect, je pense
qu'il y a urgence d'agir. Je pense que nos
concitoyens s'attendent... qui ont eu des lendemains douloureux, notamment
suite aux événements dont le député... de La Pinière, pardon, fait
référence, mais d'autres événements, tout aussi malheureux, qui ont
impliqué d'autres organisations,avec une même finalité... On a eu des
lendemains douloureux. On a eu des
lendemains, collectivement, extrêmement douloureux et on s'est rendu compte à
quel point le cadre législatif du Québec n'était pas en phase avec la
réalité du Québec.
Et ce que nous faisons ici, qui est un premier
geste mais qui n'est pas le seul, qui n'est pas le seul, ce que nous faisons
ici, c'est d'adapter cette loi générale sur la protection des renseignements
personnels au contexte du XXIe siècle. Et, avec les trois éléments que
nous mettons en place à l'article 1, le plus haut dirigeant qui est
responsable et suivants, la législation qui, maintenant, formalise le comité
sur l'accès à l'information et la protection des renseignements personnels, le
renforcement des pouvoirs est à travailler, là, je ne veux pas présumer de rien...
mais de s'assurer que la CAI a tous les outils en main pour exercer pleinement
son mandat, je vais le dire comme ça, plus des sanctions administratives
pécuniaires et des sanctions pénales qui auront très certainement, dans le cas
des sanctions administratives, l'art de responsabiliser les organismes qui
collecteront et utiliseront des renseignements personnels, leur faire prendre conscience que ce n'est plus un jeu, il
n'y a pas de farce à faire avec les renseignements
personnels que vous collectez, il y a une responsabilité qui vient avec ces
gestes-là, qui est lourde et qui doit être pleinement assumée, et avec les
sanctions pénales, dont l'objectif dissuasif est clair, et avec ce que nous
avons mis dans la loi, je pense que l'effet dissuasif va être rencontré quoi
qu'on en dise, quoi qu'on en dise. Puis j'ai hâte d'entendre les collègues là-dessus, mais, personnellement, je pense que l'effet
dissuasif, il est au rendez-vous. Je pense que ces mesures-là vont faire en sorte que celui qui est responsable de
tout ça et qui devra en répondre va en répondre et va très certainement
le faire avec tout le sérieux que ça mérite maintenant, dans le contexte
actuel.
Donc, pour ces raisons-là, je ne lui dirai pas
comment, mais le message que le législateur lui envoie, c'est que la fête est
finie. Avec les renseignements personnels des Québécois, la fête est finie.
Le Président (M.
Bachand) : M. le député de La Pinière.
M. Barrette : Oui. Alors, on va y
aller par analogie, là, parce que, là, le temps passe. Est-ce que vous pouvez
m'indiquer le temps qu'il me reste...
Le Président (M.
Bachand) : ...à la séance.
M.
Barrette : Non, mais à mon...
Parce que je vais revenir, M. le Président. Il me reste
combien de temps, là?
Le
Président (M. Bachand) :
Bien, avec plaisir, à part de ça. Je vais vous transmettre l'information dans
quelques instants, mais vous pouvez commencer votre exposé.
M. Barrette : O.K. Ce que le
ministre fait, là...
Le Président (M. Bachand) :
Il reste un peu plus que 15 minutes, 15 minutes total.
M. Barrette : O.K. Donc, je vais
pouvoir finir la... J'aurai encore du temps en finissant la séance.
Vous savez, M. le Président, un individu, au
Québec, là... Puis là je fais un parallèle, là, que le ministre va sans aucun
doute trouver boiteux, là, mais il va comprendre où je veux en venir, là. Moi,
M. le Président, là, pour conduire une auto, je dois avoir un permis de
conduire. Bon, heureusement, aujourd'hui, on doit avoir un cours de conduite.
Il fut un temps où ce n'était pas le cas. Ce n'est pas parce qu'on me dit qu'il
me faut un permis que je suis un bon conducteur. Ce n'est pas parce qu'on fait
une loi qui dit «vous devez agir correctement» que vous allez agir correctement.
Ça ne marche pas de même, là. Parce que c'est ça qui est le discours du
ministre, M. le Président.
Le ministre, ce qu'il me
dit, là, il me dit : À un bout, là, je veux, là, qu'il ait peur, parce que
mes sanctions sont énormes. Parfait. Ça, je
suis d'accord avec ça, O.K.? Et le ministre ne veut pas mon amendement parce
que, là, c'est une figure imposée.
C'est trop d'obliger d'avoir une personne compétente, dans une organisation,
que le gouvernement... le ministre va déterminer par règlement.
C'est assez d'avoir une sanction énorme pour amener le dirigeant à tout faire parfaitement.
Oui, mais... O.K., mais est-il possible, a contrario, que l'organisation puisse
dire : Bien, regardez comment que la loi est écrite, là, pour déclencher
la sanction, je n'ai pas besoin d'aller à l'extrême de ce que je devrais faire, j'ai besoin d'aller à un minimum?
Parce que le dirigeant, lui, là, là, c'est ça qu'il va faire. Il va regarder,
là... Puis je ne prête pas d'intention, puis je ne le blâme pas, je parle de la
nature humaine qui s'exerce aussi dans le monde de la
gestion. Est-ce que le dirigeant va aller plus loin que le minimum que la loi
demande? Peut-être que oui, bravo, peut-être que non. Alors, le minimum, il est
où? Il est où? Quand je la regarde, la loi, là, je ne le vois pas, moi, là,
exactement ce qui va déclencher la sanction de je ne sais plus combien de % de
son chiffre d'affaires mondial. Je vois le minimum qu'on peut faire.
Alors, moi, je dis, comme législateurs, pour un
élément, là, un élément qui est crucial, crucial, organisons donc, dans la loi,
pour qu'en termes de sécurité de données personnelles qui sont celles qui sont
l'objet de fuite, celles entreposées sur un support numérique... assurons-nous
donc, là, que les organisations ne puissent pas passer à côté de l'obligation
d'avoir une personne...
Le Président (M.
Bachand) : Merci beaucoup, M. le député.
M. Barrette : Pardon?
Le Président (M.
Bachand) : Merci beaucoup. C'est tout le temps qu'on a.
M. Barrette : ...compétente. Merci,
M. le Président.
Le Président (M.
Bachand) : Alors donc, un point d'information. Vous trouverez
sur Greffier un projet d'amendement du député de René-Lévesque à
l'article 3.
Et, sur ce, compte tenu de l'heure, la commission
ajourne ses travaux sine die. Merci beaucoup.
(Fin de la séance à 18 h 29)