Source: http://www.assnat.qc.ca/fr/travaux-parlementaires/commissions/cfp-42-1/journal-debats/CFP-190820.html
Timestamp: 2019-09-16 00:09:25+00:00

Document:
Le mardi 20 août 2019 - Vol. 45 N° 32
Le Président (M. Allaire) : Alors, à l'ordre, s'il vous plaît! Alors, je répète, à l'ordre, s'il vous plaît! Ayant constaté le quorum, je déclare la séance de la Commission des finances publiques ouverte. Je demande à tous et à toutes de prendre vos appareils électroniques et prendre le temps de les fermer, s'il vous plaît, ou de les mettre à la... d'éteindre votre sonnerie, en fait. Merci.
La commission est réunie afin de pouvoir débuter l'étude détaillée du projet de loi n° 14, la Loi favorisant la transformation numérique de l'administration publique.
La Secrétaire : Oui, M. le Président. Alors, M. Chassin (Saint-Jérôme) est remplacé par M. Tremblay (Dubuc); M. Émond (Richelieu) est remplacé par Mme Tardif (Laviolette—Saint-Maurice); M. Simard (Montmorency) est remplacé par M. Tardif (Rivière-du-Loup—Témiscouata); et M. Leitão (Robert-Baldwin) est remplacé par Mme Anglade (Saint-Henri—Sainte-Anne).
Le Président (M. Allaire) : Merci, Mme la secrétaire.
Alors, si vous vous souvenez, lors de l'ajournement de nos travaux le 14 juin dernier, les discussions portaient sur l'article 3. Le député de La Pinière avait posé une question au ministre, qui avait répondu à la question. Alors, à ce stade-ci, est-ce qu'il y a d'autres interventions concernant l'article 3?
M. Barrette : L'article 3?
Le Président (M. Allaire) : Oui.
M. Barrette : Bien sûr, je vais avoir une collègue... est-ce que vous...
Le Président (M. Allaire) : ...lors de l'ajournement de nos travaux, le 14 juin dernier, les discussions portaient sur l'article 3, puis le député de La Pinière avait posé une question au ministre, qui avait répondu à la question. Alors, à ce stade-ci, est-ce qu'il y a d'autres interventions concernant l'article 3?
M. Barrette : Bien sûr. Je vais avoir une... Collègue, est-ce que vous aviez une intervention?
Le Président (M. Allaire) : Non, la parole était à vous... au député de La Pinière. Donc, si vous voulez continuer.
M. Barrette : Oui. Je vais avoir quelques interventions, M. le Président, dans quelques instants, le temps que j'ouvre... Oui, voulez-vous relire l'article 3?
M. Barrette : Bien, envoyez donc.
Le Président (M. Allaire) : Oui, je pense que ce serait un bon début pour nous remémorer un peu où on était rendus.
M. Caire : Si les collègues sont d'accord, effectivement, se remettre dans le bain tranquillement, pas vite.
Le Président (M. Allaire) : Allez-y, M. le ministre.
M. Caire : Donc, article 3 :
3. Un organisme public que peut désigner le gouvernement utilise et
communique à toute personne ou à tout organisme les renseignements
personnels qu'il détient dès lors que cette utilisation ou cette communication
est nécessaire à la réalisation d'un projet en ressources informationnelles
d'intérêt gouvernemental.
Le gouvernement peut également confier à un organisme public toute fonction ou toute responsabilité liée à la réalisation d'un tel projet et pourvoir à sa rémunération.
Un décret pris en application du présent article entre en vigueur le jour de
sa publication à la Gazette officielle du Québec ou à une date ultérieure qui y
Le présent article s'applique malgré toute disposition inconciliable d'une loi, dans la mesure où cette disposition est expressément mentionnée au décret pris en application du présent article.
Le Président (M. Allaire) : Si vous me permettez, M. le ministre, je vous inviterais même à relire vos commentaires, je pense que ça mettrait bien la table pour ce qui s'en vient.
M. Caire : Aucun problème. Aucun problème.
Le Président (M. Allaire) : Parfait, merci. Oui? Ça va?
M. Barrette : Pour ceux qui nous écoutent. Moi, ça va, là, mais pour ceux qui nous écoutent.
M. Caire : O.K. D'accord. Donc, le premier alinéa de l'article 3 du projet de loi confère au gouvernement le pouvoir de désigner un organisme public qui aura, dès l'entrée en vigueur du décret le visant, l'obligation d'utiliser et de communiquer des renseignements personnels qu'il détient si cette utilisation ou cette communication est nécessaire à la réalisation d'un projet en ressources informationnelles d'intérêt gouvernemental.
En vertu de la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels, les organismes publics doivent assurer la confidentialité des renseignements personnels qu'ils détiennent et ils ne peuvent les utiliser ou les communiquer que pour les fins prévues par cette loi, ce qui inclut d'autres fins que peut prévoir une autre loi.
Le premier alinéa de cet article prévoit une nouvelle fin compatible, soit la réalisation d'un projet en ressources informationnelles d'intérêt gouvernemental. Ainsi, la règle d'utilisation et de communication prévue à cet alinéa serait appliquée dans le cadre de la réalisation d'un tel projet et en toute matière. Des organismes publics pourraient se partager des renseignements personnels une seule fois, de manière périodique ou en continu, pendant la réalisation du projet.
Le deuxième alinéa de cet article confère au gouvernement le pouvoir de confier à un organisme public toute fonction ou responsabilité liée à la réalisation d'un projet en ressources informationnelles d'intérêt gouvernemental. Un organisme public pourrait, à titre d'exemple, être chargé d'offrir des services numériques intégrés non prévus à sa loi constitutive.
Le troisième alinéa de cet article établit une règle d'entrée en vigueur pour le décret pris en vertu du premier ou du deuxième alinéa de cet article.
Le quatrième alinéa de cet article prévoit une règle qui établit la priorité des dispositions prévues à cet article sur toute autre disposition d'une loi. Cette priorité n'est toutefois pas applicable lorsque la disposition inconciliable est celle d'une loi fondamentale telle que la charte ou celle d'une loi dont la dérogation doit être formulée expressément.
La Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels, article 168, continue donc de s'appliquer, ainsi que la Loi sur les contrats des organismes publics, article 9. Voilà, M. le Président.
Le Président (M. Allaire) : Merci, M. le ministre. Est-ce que, à ce stade-ci, il y a des interventions concernant l'article 3?
M. Barrette : J'en ai quelques-unes.
Le Président (M. Allaire) : Je cède la parole au député de La Pinière.
M. Barrette : Je vais commencer par la première. Alors, je comprends bien les explications, puis évidemment on ne refera pas le débat qu'on a fait à 1 et 2 sur ce que sont les organismes publics, là, mais 3, de la manière qu'il est libellé. Alors, je reprends le texte du premier alinéa : Un organisme public... on s'entend, on avait débattu longuement sur ce qu'est l'organisme public, là, qui est décrit dans l'autre loi, et là on dit : Un organisme public que peut désigner le gouvernement — ça, on a débattu là-dessus, il n'y en a rien d'autre à ajouter, je pense, on a fait le tour — utilise et communique à toute personne et à tout organisme les renseignements personnels qu'il détient... et ainsi de suite, là... à l'intérieur du projet d'intérêt gouvernemental.
Toute personne et tout organisme, comme il n'est pas qualifié, ça veut donc dire toute personne et tout organisme, incluant les non publics, on s'entend là-dessus?
M. Caire : On s'entend là-dessus.
M. Barrette : Alors, j'ai... ma lecture est appropriée, ça signifie donc que, dans le cadre d'un projet d'intérêt gouvernemental, on a établi, dans nos débats précédents, que l'intérêt gouvernemental était défini par «ça nous intéresse», rien de plus. Bon, je ne te dis pas ça négativement...
M. Caire : ...je m'excuse.
M. Barrette : «ça nous intéresse» étant le gouvernement...
M. Caire : ...on s'entend là-dessus.
M. Barrette : Alors, ma lecture est appropriée. Ça signifie donc que, dans le cadre d'un projet d'intérêt gouvernemental, on a établi, dans nos débats précédents, que l'intérêt gouvernemental était défini par ça nous intéresse, rien de plus. Je ne te dis pas ça négativement.
M. Caire : Juste... Oui. Je m'excuse.
M. Barrette : Ça nous intéresse étant un gouvernement.
M. Barrette : Bon, l'intérêt gouvernemental est défini par rien d'autre que c'est ça qu'on veut faire, puis on le fait. On a débattu là-dessus.
M. Caire : Oui. Mais, si tu te souviens... pardon, excusez-moi, si vous... M. le Président, si vous vous souvenez bien, on avait quand même dit qu'à travers la réglementation il y avait des critères qui étaient établis auxquels on pourrait donner un caractère plus formel. J'en conviens.
M. Barrette : Je ne veux pas refaire le débat.
M. Barrette : Parce que ça serait une utilisation abusive de notre temps parlementaire. Mais, disons que je le simplifie, là, je comprends et j'admets que je le simplifie. Mais l'intérêt gouvernemental, la définition de ça est relativement large.
M. Caire : Large, oui.
M. Barrette : On va dire ça comme ça, M. le Président.
Par contre, c'est encore plus large quand on dit que l'organisme public désigné, c'est correct, je ne conteste pas ça. On ne critique même pas ça parce qu'à un moment donné ce sont des projets dits d'intérêts gouvernementaux, mais à quelque part expérimentaux dans le bon sens du terme. On essaie de voir ce qu'on peut faire, puis c'est ça la modernisation à laquelle on veut tous arriver, puis je suis d'accord avec ça. Je l'ai déjà dit précédemment à plusieurs reprises, c'est un projet de loi avec le fond duquel je suis en accord.
Bon, maintenant, arrive la forme, et là, on est dans la forme. Alors, l'organisme public que peut désigner le gouvernement — on l'a débattu, on s'entend là-dessus — utilise et communique, à toute personne ou à tout organisme, les renseignements personnels qu'il détient dans le cadre desdits projets d'intérêts gouvernementaux. Ça, ça veut dire que le gouvernement va potentiellement et même je dirais techniquement, et sans balises autres que la sécurité des renseignements personnels, donner à n'importe qui, puis là je ne dis pas ça méchamment, là, c'est ouvert et c'est à l'extérieur du gouvernement. Ma lecture est correcte, là?
M. Caire : Là-dessus, je vais... le cadre est quand même plus restreint que ça.
M. Barrette : Je comprends. Les mots ayant un sens.
M. Caire : Oui, oui, mais ce que je veux dire, c'est que les mots ayant un sens...
M. Barrette : M. le Président, si M. le ministre me le permet, je vais le laisser répondre avec plaisir.
M. Caire : Oui, bien sûr. Non, non, mais allez-y, je m'excuse.
M. Barrette : ...parce que c'est là que va être l'objet de notre débat de ce matin puis peut-être de toute la journée, on a restreint les organismes qui peuvent être autorisés à participer à l'intérieur de règles qui vont être définies clairement, mais qui le sont toutes... mais qu'elles sont toutes sous l'égide de la Commission d'accès à l'information, la sécurité des renseignements personnels, et ainsi de suite. Mais on est restrictifs dans la détermination des organismes qui peuvent transmettre des données, mais on est totalement ouvert, puis là le ministre va certainement me dire qu'il va y avoir des règles, mais il reste au moins que le texte qui est là, et c'est là ou j'en viens, là, ouvre la porte à la transmission de données personnelles à toute personne et/ou organismes extra gouvernementaux, pas paragouvernementaux, extra, à l'extérieur, quelqu'un, quelconque organisation. Et je ne les qualifie pas, là, je suis sur le principe, la lecture, l'interprétation de ce libellé-là. Là, je promets au ministre de ne pas l'interrompre.
M. Caire : Non, c'est correct. Mais la réponse va être relativement brève, M. le Président, parce que, si on continue la lecture, puis j'entends le commentaire de mon collègue, mais si on continue la lecture de l'article, M. le député de La Pinière, ça vous dit «dès lors». Parce que, oui, c'est «communique à toute personne ou à tout organisme les renseignements personnels qu'il détient dès lors que cette utilisation ou cette communication est nécessaire à la réalisation d'un projet en ressources informationnelles d'intérêt gouvernemental», donc.
Puis on avait eu... souvenez-vous, on avait eu un peu ce débat-là où on se disait : Est-ce que des entreprises privées, des consultants pourraient être inclus dans la transmission des renseignements? La réponse à cette question-là est oui dès lors qu'ils sont partie prenante de la réalisation, et donc, à ce moment-là, ils sont contractuellement liés à des obligations qui sont les mêmes que les organismes publics. Et donc ce n'est pas... il ne faut pas lire, dans cet article-là : Dans le cadre d'un projet, je vais diffuser l'information à des entités qui ne seraient pas liées à la réalisation d'un projet. Je ne sais pas si mon explication est claire. Donc, ce n'est pas toute personne selon mon bon plaisir. C'est toute personne qui est partie prenante à la réalisation du projet et toute...
M. Caire : ...à des entités qui ne seraient pas liées à la réalisation d'un projet. Je ne sais pas si mon explication est claire. Donc, ce n'est pas toute personne, selon mon bon plaisir, c'est toute personne qui est partie prenante à la réalisation du projet et toute personne qui a besoin de cette information-là, donc pour qui l'information est nécessaire à la réalisation du projet.
Donc, à la limite, on pourrait même dire que, si l'information que je détiens n'est pas nécessaire au volet que vous êtes en train de réaliser, je ne peux pas vous communiquer cette information-là. Donc, quand on lit l'article dans sa globalité, c'est beaucoup plus restrictif par ce que c'est ceux qui doivent avoir l'information dans le cadre de la réalisation du projet, et ces gens-là sont soit des membres d'un organisme public, donc encadrés évidemment, soit des entreprises, des sous-contractants, des entreprises privées, mais qui, contractuellement, vont répondre aux mêmes obligations légales que les organismes publics. Puis je ne sais pas si Me Bacon veut... un supplément d'information évidemment, à moins que ma réponse satisfasse le député de La Pinière et mon collègue de René-Lévesque.
Le Président (M. Allaire) : Merci, M. le ministre. Est-ce que vous voulez que Mme Bacon intervienne?
M. Barrette : Ce n'est pas nécessaire, je pense que c'est clair. Mon objectif, à cette étape-ci de l'étude de l'article 3, est atteint, je voulais qu'on établisse ça. Et je vais répondre d'une façon tout à fait objective, neutre et non qualifiée au commentaire qu'a fait le ministre, il a dit : Ce ne sera pas sous mon bon vouloir. Bien non, ça va être, selon son bon vouloir, parce que les projets d'intérêt gouvernementaux sont au bon vouloir du ministre, du gouvernement. Ce n'est pas une critique, je ne fais que statuer les choses qui sont dites pour qu'elles soient claires pour nous, les parlementaires, et pour ceux qui nous écoutent.
Donc, on résume : Il faut faire ça. Comment on va le faire? C'est ça qui est le débat. Il y a des règles, l'objectif est de faire circuler les données essentiellement à l'intérieur du gouvernement, peut-être avec d'autres. Il y a des projets d'intérêt gouvernementaux qui sont — je ne dis pas ça méchamment — au bon vouloir, il y a un vouloir à quelque part, puis il ne doit sûrement pas être mauvais, il y a un bon vouloir. Et ces projets-là peuvent mettre en cause, amener sur la patinoire des organisations et/ou individus, et l'inverse peu importe, externes qui, bien évidemment, vont être assujettis aux mêmes règles et ils vont signer un contrat, on s'entend là-dessus. Mais sur le principe que des données vont quitter l'État pour aller à l'extérieur, le ministre nous confirme que, oui, dans cette loi-là, ça va potentiellement arriver. Je ne dis pas que ça va arriver nécessairement, mais ça va potentiellement arriver. Les données sortant de l'État, allant chez une personne, ou un groupe de personnes, ou une entreprise qui signeront des contrats garantissant la sécurité des données, bien là, on vient quand même d'augmenter un niveau de risque en termes de, disons, dissémination inappropriée de données, et je m'explique, c'est facile, on n'a qu'à regarder Desjardins. On a, nous l'État, nos façons de faire internes, on contrôle notre structure, on a nos données. Techniquement, on contrôle notre personnel, on a nos logiciels, on a nos protocoles, on a tout ça. Donc, on a notre risque à nous comme État. Je ne lance la pierre à personne, l'objet n'est pas là, l'objet ici, là, est de faire un débat, pour moi, sur la gestion du risque. Alors, nous avons notre risque interne, qui est ce qu'il est, je ne le qualifie pas de petit, moyen ou grand, je dis juste qu'il n'y a pas de risque zéro, ça n'existe pas, bon.
Alors là, on va obligatoirement augmenter notre niveau de risque puisqu'on fait rentrer une autre organisation. Aussi bien... quand bien même ils vont signer des contrats, ils ont leurs risques à eux. Ça, c'est comme en mathématiques : les facteurs d'erreur, ça ne s'additionne pas, ça se multiplie. Ça, c'est un principe... Hein, moi, M. le Président, je dis souvent ça, j'ai élevé mes enfants comme ça, je dis : Les mathématiques, chers enfants, c'est du français écrit autrement. C'est vrai. C'est comme le droit, hein, Me Bacon, c'est du français, mais qui n'a pas toujours la même signification que dans le langage commun, mais c'est les mêmes lettres, c'est les mêmes mots, mais le sens n'est pas toujours le même à cause d'une jurisprudence. Les mathématiques, c'est comme ça.
M. Caire : Il y a moins de chances d'interpréter les mathématiques que le droit, M. le député de La Pinière.
M. Barrette : Ça, c'est vrai...
M. Barrette : ...c'est comme le droit, Me Bacon. C'est du français, mais qui n'a pas toujours la même signification que dans le langage commun. Mais c'est les mêmes lettres, c'est les mêmes mots, mais le sens n'est pas toujours le même à cause d'une jurisprudence. Les mathématiques, c'est comme ça.
M. Barrette : Ça, c'est vrai. Ça, c'est vrai. Mais je fais une analogie mathématique parce qu'elle est tellement appropriée. Alors, on contrôle notre structure, notre environnement. On contrôle nos serveurs, le personnel, nos protocoles, et ainsi de suite, et là on va faire sortir des données ailleurs. Donc, on va... puis je ne dis pas qu'on va le faire tout le temps, mais obligatoirement, là, on vient augmenter le risque, et ça, ça m'inquiète, nonobstant le fait qu'on va faire signer à ces gens-là des protocoles.
Moi, je vais prendre un exemple simple. Puis je ne vais pas les nommer ad nauseam parce que ce n'est pas bon pour eux autres, puis ils ne méritent pas ça, en quelque part. Ce serait arrivé à n'importe qui. Ça peut arriver n'importe où. Alors, l'institution financière qui a vécu un épisode douloureux récemment dans le monde, parce qu'il y en a plusieurs, ils avaient leurs risques et, s'ils étaient ici, en commission parlementaire, ils auraient dit : Écoutez, écoutez, nous autres, là, c'est... la sécurité, là, c'est la chose la plus importante pour nous. Les données, c'est la... on protège ça comme la prunelle de nos yeux. Ça n'arrivera pas. Mais c'est arrivé.
Moi, je pense que, l'épisode gouvernemental québécois qui a eu lieu, bien, on attend de voir que la lumière se fasse. Ce n'est peut-être pas si négatif que ça s'est... que ça a été rapporté ou évoqué. Parce que, moi, dans mon expérience, là, puis je l'ai dit précédemment, à la RAMQ, là, ça fait plus de... ça va faire bientôt 50 ans qu'ils gardent la donnée, puis on n'a pas eu ça. Ils doivent faire quelque chose de correct, hein? Puis ça veut dire qu'il y a une structure. Il est possible dans une structure d'être sécuritaire dans le gouvernement, la preuve a été faite, et l'épisode de Revenu Québec est peut-être très véniel et banal. On verra quand ça sortira.
Maintenant, on ne peut pas nier, à mon avis, le fait... Puis je pose la question au ministre : Est-ce qu'il va nier le fait ou réfuter le fait qu'en allant à l'extérieur on multiplie, on augmente le risque, même s'il y a des contrats qui sont signés?
M. Caire : Bien, je vais me permettre peut-être moi aussi une réponse élaborée à la mesure de la question. D'abord...
M. Barrette : ...je prends ça comme un compliment.
M. Caire : Absolument, absolument. Mais je vous retrouve avec beaucoup de plaisir, M. le député de La Pinière, et c'est dit très sincèrement. Ceci étant, je vais juste corriger quelque chose parce que je pense que c'est important de bien situer le contexte. Il n'est pas question... Quand on... Puis pour avoir été moi-même consultant, quand on embauche des consultants, on n'amène pas le projet chez le consultant. On amène le consultant à l'intérieur du projet.
Donc, la circulation des données, on ne vient pas d'ouvrir une fenêtre pour dire : Bon, bien, maintenant, nos données s'en vont chez telle ou telle firme de consultants. Les consultants travaillent dans l'environnement gouvernemental, contractuellement. Bien, écoutez, moi, je l'ai vécu comme ça, là. Je n'en ferai pas un absolu, là, mais honnêtement, de toute façon, c'est la façon dont j'ai... puis l'expérience que j'en ai, puis la façon de travailler, c'est... Puis M. Boivin pourra me corriger si je me trompe parce que je ne voudrais pas induire la commission en erreur, là.
Mais généralement les consultants viennent travailler ici, et, quand il est question de se servir des environnements de développement du gouvernement, bien, le consultant travaille à l'intérieur de cet environnement-là, et il n'y a pas... il n'est pas question d'amener nos données gouvernementales chez des consultants, à plus forte raison si ces données-là ont un certain niveau de sensibilité. On comprend que, si on parle de données ouvertes, on est ailleurs, mais je suis convaincu que le député de La Pinière ne faisait pas référence à des données ouvertes qui sont, de toute façon, publiques.
Ça, c'est un premier élément. Le deuxième élément, oui, effectivement, il y a un élément de risque, mais est-ce que l'élément de risque augmente parce que la personne a le statut de consultant ou l'élément de risque augmente parce qu'on augmente le nombre de personnes qui interviennent dans le projet? Alors, est-ce que ce risque-là est plus grand parce que la personne a un statut de consultant ou le risque est plus grand parce qu'au lieu d'avoir un nombre x de ressources internes on a un nombre y de ressources internes, qui est plus grand, et donc là il y a un facteur multiplicatif de toute façon?
Mais je suis d'accord avec l'énoncé du député de La Pinière. Le risque zéro n'existe pas. Donc, c'est sûr que plus il y a d'intervenants dans un projet, bien, plus il peut y avoir des risques d'erreur. C'est sûr.
Maintenant, pour la réalisation du projet, on comprend que, si on veut que le projet soit un succès... Donc, ça peut aussi multiplier les facteurs de succès dans le sens où, si on va chercher la bonne personne, le bon niveau d'expertise, bien, on vient peut-être de multiplier nos...

References: l'article 3
 l'article 3
 L'article 3
 l'article 3
 l'article 3
 l'article 3
 l'article 3
 l'article 3
 l'article 3