Droit à la portabilité

L’ajout d’un nouvel alinéa à l’article 84 de la Loi sur l’accès permet à toute personne d’obtenir, dans un format technologique structuré et couramment utilisé, un renseignement personnel informatisé qu’elle a fourni ou de demander que celui-ci soit transmis à une autre personne ou à un organisme dans ce même format.

Le troisième alinéa de l’article 63.5 de la Loi sur l’accès mentionne, quant à lui, qu’un organisme public doit s’assurer que tout projet d’acquisition, de développement et de refonte de système d’information ou de prestation électronique de services impliquant des renseignements personnels permet la mise en œuvre de ce nouveau droit. Les projets visés par cet article devront donc permettre qu’un renseignement personnel informatisé recueilli auprès de la personne concernée puisse être communiqué à cette dernière dans un format technologique structuré et couramment utilisé.

Le droit à la portabilité permet à toute personne d’obtenir la communication, dans un format technologique structuré et couramment utilisé, des renseignements personnels informatisés qu’elle a fournis à un organisme public, par exemple lors d’une prestation électronique de services. Une personne peut demander l’accès à ses renseignements personnels pour son propre usage dans le but, notamment, de conserver ces derniers sur un espace de stockage privé ou encore de les communiquer à un tiers de son choix. Par ailleurs, à la demande de la personne concernée, les renseignements peuvent aussi être communiqués à toute personne ou à tout organisme autorisé par la Loi à les recueillir. 

Le droit à la portabilité est limité aux renseignements personnels informatisés recueillis auprès d’une personne. Ainsi, les renseignements personnels recueillis en format papier ne sont pas visés par ce droit.

La notion de « renseignement personnel informatisé » vise les renseignements personnels que la personne a fournis directement à un organisme public, comme ceux qu’elle aurait déposés dans son dossier électronique. Cela vise également les renseignements personnels recueillis indirectement auprès de la personne, par exemple ceux qui sont générés par son activité, comme un historique des livres empruntés, des achats ou des déplacements.

Les renseignements personnels créés ou inférés à partir des renseignements personnels de la personne concernée ne sont pas visées, car ils ne sont pas recueillis auprès de la personne. Il peut s’agir, par exemple, d’un profil d’utilisateur créé à partir de l’analyse de ses activités sur le Web.

Le droit à la portabilité peut s’exercer à condition qu’il ne soulève pas de difficultés pratiques sérieuses. De telles difficultés peuvent, par exemple, résulter :

• des coûts importants pour donner suite à une demande;
• de la complexité que nécessite le transfert.

Un organisme public qui invoque un tel motif doit être en mesure de fournir les justifications nécessaires lors d’une demande de révision devant la Commission d’accès à l’information.

Un organisme public a l’obligation de vérifier que le tiers est en droit de recueillir de tels renseignements personnels. Pour ce faire, il doit tenir compte, selon le cas :

• des exigences de l’article 37 du Code civil du Québec;
• des articles 4 et 5 de la Loi sur la protection des renseignements personnels dans le secteur privé;
• de l’article 64 de la Loi sur l’accès.

L’article 37 du Code civil du Québec mentionne notamment que toute personne qui constitue un dossier sur une autre personne doit avoir un intérêt sérieux et légitime à le faire et qu’elle ne peut recueillir que les renseignements pertinents à l’objet déclaré du dossier. Les articles 4 et 5 de la Loi sur la protection des renseignements personnels dans le secteur privé, avec les modifications qui y sont effectuées, précisent que toute personne qui exploite une entreprise doit :

• avoir un intérêt sérieux et légitime pour recueillir des renseignements personnels;
• avant la collecte, déterminer les fins de celle-ci et qu’elle ne doit recueillir que les renseignements nécessaires aux fins déterminées avant la collecte.

Enfin, en vertu de l’article 64 de la Loi sur l’accès, un organisme public doit uniquement recueillir un renseignement personnel si cela est nécessaire à l’exercice de ses attributions ou à la mise en œuvre d’un programme dont il a la gestion.

Un organisme public n’a pas l’obligation légale de vérifier la qualité des renseignements personnels avant de donner suite à chaque demande.

Toutefois, il faut se rappeler que l’article 72 de la Loi sur l’accès oblige un organisme public à veiller à ce que les renseignements personnels qu’il conserve soient à jour, exacts et complets pour servir aux fins pour lesquelles ils sont recueillis ou utilisés.

L’exercice du droit à la portabilité n’influence pas le délai de conservation d’un renseignement personnel approuvé par Bibliothèque et Archives nationales du Québec.

D’ailleurs, le délai de conservation d’un renseignement personnel détenu par un organisme public n’a pas à être prolongé pour faciliter l’application du droit à la portabilité. Ce droit n’exige pas non plus d’un organisme public qu’il détruise les renseignements personnels transmis au tiers avant la date prévue au calendrier de conservation.

Un organisme public doit communiquer les renseignements personnels dans un format technologique structuré et couramment utilisé. Un format est dit « structuré et couramment utilisé » lorsque des applications logicielles d’usage courant peuvent facilement reconnaître et extraire les informations qui y sont contenues.

Si la personne demande un format particulier, l’organisme public doit en tenir compte, sauf si ce choix soulève des difficultés pratiques sérieuses.

Un organisme public doit privilégier des formats adaptés aux renseignements demandés, ouverts et interopérables. De manière générale, des formats ouverts de type CSV, XML ou JSON sont adaptés à la portabilité. En revanche, un format difficile à traiter, comme une image, un PDF ou un format dont l’utilisation implique l’acquisition d’un logiciel ou d’une licence payante, n’est pas considéré comme étant un format technologique structuré et couramment utilisé.

Les dispositions en lien avec le droit d’accès aux renseignements personnels prévues à la Loi sur l’accès s’appliquent également au droit à la portabilité. Ainsi, la personne responsable de la protection des renseignements personnels doit donner suite à une demande avec diligence, au plus tard dans les 20 jours après la date de la réception, sous réserve de l’article 98 de la Loi sur l’accès. Lorsque la personne responsable de la protection des renseignements personnels refuse l’accès, elle doit en expliquer les raisons à la personne concernée et indiquer la disposition de la Loi sur laquelle ce refus s’appuie, conformément à l’article 100. 

Par ailleurs, si la demande est manifestement abusive, l’organisme public pourra demander à la Commission d’accès à l’information de ne pas en tenir compte, comme le permet l’article 137.1.

Tout nouveau projet d’acquisition, de développement et de refonte de système d’information ou de prestation électronique de services qui implique des renseignements personnels d’un organisme public doit permettre qu’un renseignement personnel informatisé recueilli auprès de la personne concernée soit communiqué à cette dernière dans un format technologique structuré et couramment utilisé. Pour ce faire, un organisme peut, par exemple, offrir une fonctionnalité de téléchargement des renseignements personnels à la personne concernée. Une telle fonctionnalité a pour avantage de faciliter la vie des citoyennes et des citoyens, en plus de réduire le nombre de demandes d’accès auxquelles un organisme public doit répondre.