Décision fondée exclusivement sur un traitement automatisé

L’ajout de l’article 65.2 à la Loi sur l’accès vise à établir des règles particulières pour les décisions fondées exclusivement sur un traitement automatisé de renseignements personnels (PDF 484 Ko).

Étapes pour déterminer l’application de l’article 65.2 de la Loi sur l’accès :

1. Détecter la présence d’une décision prise à partir de renseignements personnels
   On entend, par décision, « l’action de décider, de prendre position à l’égard d’une situation précise suivant un processus qui peut être plus ou moins élaboré. Par extension, son résultat^{Lire le contenu de la note numéro1} ». Une décision doit donc permettre à l’organisme de prendre une position précise sur une personne et d’avoir un effet sur celle-ci; par exemple, des conséquences juridiques.
2. Conclure que la décision est fondée exclusivement sur un traitement automatisé des renseignements personnels
   Une décision fondée exclusivement sur un traitement automatisé est celle qui a été prise sans aucune intervention humaine; par exemple, un algorithme. Cela signifie qu’aucune personne physique n’a exercé un contrôle important dans la décision. Il faut donc comprendre, par exemple, qu’une intervention humaine mineure, c’est-à-dire qui n’a pas de répercussion réelle sur la décision, intégrée au processus n’a pas pour effet de rendre l’article 65.2 de la Loi sur l’accès inapplicable.   

Voici deux exemples de ce que pourrait être une décision fondée exclusivement sur un traitement automatisé :

• Des renseignements sur la santé de personnes, saisis dans un système qui décide de la priorité d’accès de ces dernières à un médecin de famille;
• Un système automatisé qui calcule et accorde une allocation familiale ou une demande de prêts et bourses à l’aide financière aux études.

Un outil d’aide à la décision permet à un membre d’un organisme public de tenir compte de différents facteurs. Il ne rend aucune décision, puisque celle-ci doit être formulée par le membre du personnel : par exemple, un système automatisé qui ne fait que soumettre un rapport à un membre du personnel d’un organisme public qui prend lui-même la décision d’accorder ou non une subvention.

En plus des informations à fournir lors d’une collecte de renseignements personnels, l’article 65.2 de la Loi sur l’accès prévoit que l’organisme public doit informer la personne concernée (PDF 323 Ko) du fait que ces renseignements personnels sont utilisés pour rendre une décision fondée exclusivement sur un traitement automatisé. Cette information doit être transmise au plus tard au moment où l’organisme public informe cette personne de la décision.

De plus, à la demande de la personne concernée, l’organisme public doit l’informer :

• des renseignements personnels utilisés pour rendre la décision;
• des raisons ainsi que des principaux facteurs et paramètres qui ont mené à la décision;
• de son droit de faire rectifier les renseignements personnels utilisés pour rendre la décision.

Ces éléments visent à permettre à la personne concernée de comprendre la décision. Dans le contexte où une décision serait prise par un membre du personnel de l’organisme public, la personne concernée pourrait, par exemple, demander des explications pour comprendre pourquoi sa demande est refusée. L’objectif de l’article 65.2 de la Loi sur l’accès est d’offrir une transparence similaire dans le contexte d’une décision fondée exclusivement sur un traitement automatisé.

Il faut également informer la personne concernée de la logique derrière la décision, c’est-à-dire des principaux facteurs et paramètres considérés et l’importance de ceux-ci.

En aucun cas cette disposition n’oblige l’organisme public à fournir l’algorithme, le fonctionnement détaillé de celui-ci ou une explication complexe à la personne concernée. Le terme « principaux » implique que la personne concernée ne pourra pas être informée de tous les facteurs et paramètres, et ce, afin que les renseignements industriels, financiers, commerciaux, scientifiques et techniques de l’organisme public soient protégés.

La Loi sur l’accès prévoit que la personne concernée doit avoir l’occasion de présenter ses observations à un membre du personnel de l’organisme public en mesure de réviser la décision. Ce droit à une intervention humaine permet notamment à la personne concernée de faire valoir ses arguments pour contester la décision et, le cas échéant, d’obtenir la révision de celle-ci. Il lui permet également d’obtenir les explications nécessaires quant à la décision prise, en vue de contester celle-ci devant l’instance appropriée, comme une révision administrative ou un tribunal.

Par ailleurs, la personne concernée doit être informée de ce droit, au moment de la décision, et avoir les informations nécessaires pour pouvoir l’exercer, telles les coordonnées pour effectuer la demande.

L’organisme public qui met en place un système de décision fondée exclusivement sur un traitement automatisé de renseignements personnels doit, au préalable, réaliser une évaluation des facteurs relatifs à la vie privée conformément à l’article 63.5 de la Loi sur l’accès.

Avant d’implanter un système de décision fondée exclusivement sur un traitement automatisé de renseignements personnels qui implique l’utilisation d’un algorithme, il est recommandé de procéder à une analyse d’impact. Une telle analyse consiste :

• à évaluer les risques associés à l’utilisation de décisions fondées exclusivement sur un traitement automatisé de renseignements personnels, comme des erreurs ou encore un effet discriminatoire;
• à déterminer les mesures à mettre en place pour atténuer de tels risques.

Cette analyse peut être intégrée à une évaluation des facteurs relatifs à la vie privée.

À ce propos, il est suggéré d’explorer l’outil conçu par le gouvernement du Canada, appelé Évaluation de l’incidence algorithmique .

L’article 72 de la Loi sur l’accès prévoit qu’un organisme public doit veiller à ce que les renseignements personnels qu’il conserve soient à jour, exacts et complets pour servir aux fins pour lesquelles ils sont recueillis ou utilisés. Si les renseignements personnels utilisés lors d’une décision fondée exclusivement sur un traitement automatisé sont inexacts, tout résultat qui en ressort risque d’être erroné.

Note de bas de page numéro 1

Retour à la référence de la note numéro 1

Définition du Dictionnaire de droit québécois et canadien .