Demandes d’accès à l’information sous la Loi 25 : transparence légitime ou nouvelle forme d’abus?

Une précision s’impose toutefois : la « Loi 25 » n’a pas créé un régime unique de demandes adressées indistinctement aux entreprises publiques et privées. Elle a modernisé deux cadres distincts qui existaient déjà. D’une part, les entreprises privées doivent donner suite aux demandes d’accès que peuvent leur soumettre des personnes physiques concernant leurs propres renseignements personnels; elles doivent répondre à ces demandes avec diligence au plus tard dans les 30 jours. D’autre part, les organismes publics sont aussi assujettis à un droit général d’accès à leurs documents, sous réserve des restrictions prévues par la loi. Le délai ordinaire est de 20 jours avec une prolongation possible de 10 jours selon les conditions prescrites. Confondre ces régimes peut occasionner des erreurs, notamment au niveau du calcul du délai applicable.³

Cette distinction étant faite, il convient de préciser la portée du droit d’accès. Dans le secteur privé, une personne physique peut demander la confirmation de l’existence d’un dossier, la communication des renseignements personnels qui la concernent et, selon le cas, leur rectification. Ce droit ne vise que les renseignements personnels la concernant et ne constitue pas un droit général d’inspection de tous les documents de l’entreprise. Une demande doit donc être examinée en fonction de son objet et de son contexte. En effet, les renseignements concernés peuvent se trouver dans les extraits d’un courriel, d’un rapport, d’un enregistrement ou d’un système d’information sans que l’intégralité du document soit nécessairement communicable. Par ailleurs, bien que l’accès soit en principe gratuit, des frais raisonnables de transcription, de reproduction ou de transmission peuvent être exigibles.⁴

Le droit d’accès comporte néanmoins des limites. L’organisation doit notamment protéger les renseignements personnels de tiers. Selon les circonstances, d’autres restrictions peuvent s’appliquer à des renseignements susceptibles de nuire à un tiers, de nuire à une enquête, de compromettre la sécurité de l’organisation (en révélant, par exemple, des secrets commerciaux ou autres données confidentielles), ou d’être protégés par le secret professionnel de l’avocat. Certaines restrictions sont obligatoires, tandis que d’autres sont discrétionnaires. Le cas échéant, elles doivent toutes être appliquées avec précision et reposer sur des motifs justifiables. Un refus ne peut donc être fondé uniquement sur la lourdeur administrative, une préoccupation commerciale ou le fait que la demande provient d’un client mécontent.⁵

Une réponse juridiquement défendable doit être écrite et transmise dans le délai applicable. Elle doit expliquer les motifs de tout refus, indiquer les dispositions législatives invoquées et informer la personne de son recours devant la Commission d’accès à l’information (CAI). Dans le secteur privé, ce recours prend la forme d’une demande d’examen de mésentente; dans le secteur public, il s’agit d’une demande de révision. Le recours doit généralement être exercé dans les 30 jours du refus ou de l’expiration du délai de réponse. Pour satisfaire à ces exigences, l’organisation saisie par une demande devrait appliquer un processus constant comportant les étapes suivantes⁶ :

1. Demande écrite. Inviter le demandeur à formuler sa demande par écrit permet d’en confirmer l’objet, la portée et la date de réception. Cette trace écrite facilite le calcul du délai applicable et le suivi du dossier.
2. Centraliser. Acheminer toute demande au responsable de la protection des renseignements personnels (ou RPRP), consigner la date de réception et calculer l’échéance. Les coordonnées de ce responsable doivent d’ailleurs être publiées sur le site web de l’organisation ou autrement accessibles.⁷
3. Vérifier l’identité du demandeur. Obtenir une preuve d’identité proportionnée au risque (il ne faut pas exposer l’organisation à un incident de confidentialité).
4. Qualifier et circonscrire. Déterminer le régime applicable (privé ou public), les droits exercés, le délai applicable, les systèmes d’information visés et la portée de la demande. Dans certains cas, une discussion avec le demandeur peut réduire considérablement la recherche sans porter atteinte à ses droits (mais elle doit être documentée).
5. Préserver et rechercher méthodiquement. Si applicable, il faut suspendre toute destruction pertinente, documenter les mots-clés, les systèmes d’information consultés et les résultats. Une recherche doit être raisonnable mais aussi être démontrable.
6. Réviser avant communication. Éliminer les doublons, isoler les renseignements personnels du demandeur, caviarder les renseignements de tiers et soumettre les cas sensibles à une analyse juridique. Conserver une copie conforme de ce qui est transmis au demandeur.
7. Répondre clairement. Confirmer ce qui est accordé, expliquer chaque demande non-satisfaite ou refus, citer les fondements légaux, et présenter les recours (utiliser un moyen de communication sécurisé).
8. Conclure et classer. Consigner dans un registre les demandes reçues, les décisions rendues et leurs motifs. L’analyse périodique de ce registre permet de repérer les problèmes récurrents, notamment une gouvernance documentaire déficiente, une conservation excessive ou des systèmes mal indexés, de corriger le processus et d’identifier les demandes répétitives susceptibles de présenter un caractère abusif.

Pour faire face à ces demandes d’accès, les organisations devraient instaurer et systématiser dans leur gouvernance un processus triage proportionné à la taille de l’organisation et à la nature des demandes. Une demande simple peut être traitée par l’équipe interne; une demande volumineuse ou complexe devrait être confiée à un responsable dédié. Toute demande litigieuse, récurrente, techniquement complexe ou susceptible de mettre en jeu un privilège juridique devrait être examinée rapidement avec un avocat. Celui-ci ne remplace pas le RPRP : il contribue à définir la portée de la demande, à préserver les privilèges, à évaluer les exceptions applicables, à structurer les communications et à constituer un dossier étoffé en prévision d’une intervention de la CAI.⁸

Cette organisation du travail devient particulièrement importante lorsqu’une demande paraît excessive.

Une demande n’est toutefois pas abusive du seul fait qu’elle est insistante, coûteuse ou embarrassante.

L’abus doit plutôt ressortir d’indices objectifs, notamment un nombre démesuré de demandes, leur répétition ou leur systématisation, le refus de toute clarification, un détournement manifeste de l’objet de la loi ou des effets susceptibles de nuire sérieusement aux activités de l’organisation. En somme, l’analyse doit tenir compte de la portée de la demande, de l’ensemble du contexte, et de la conduite des parties.

L’organisation ne peut décider unilatéralement de ne pas donner suite à une demande déraisonnable. Les lois québécoises prévoient plutôt un mécanisme permettant de demander à la CAI l’autorisation de ne pas tenir compte d’une demande manifestement abusive. La Commission peut également la circonscrire ou prolonger le délai applicable. Dans le secteur public, l’art. 137.1 de la Loi sur l’accès énonce expressément ces pouvoirs. Tant pour les organisations publiques que privées, la CAI met à leur disposition des organisations un processus qui leur permet de ne pas tenir compte d’une demande reçue⁹. Ce faisant, il ne faut pas oublier d’agir à l’intérieur des délais prescrits.

Si un recours devient nécessaire, l’organisation doit pouvoir s’appuyer sur un dossier d’abus bien documenté. Celui-ci devrait contenir une chronologie, chaque demande et réponse, le volume estimé, les doublons, le temps consacré, les systèmes d’information touchés, les communications de clarification, l’effet concret sur les opérations et les solutions offertes. Des affirmations générales sur la charge de travail risquent de ne pas suffire.

Qu’elle soit ordinaire, complexe ou contestée, une demande ne peut être laissée sans suite. Le défaut de répondre dans le délai applicable peut être assimilé à un refus et ouvrir la voie à un recours. Selon la nature du manquement, la CAI peut exercer ses pouvoirs d’enquête et d’ordonnance. La Loi 25 prévoit également des sanctions administratives pécuniaires et des infractions pénales particulièrement sévères. Par ailleurs, une réponse improvisée peut révéler des carences plus générales, comme l’absence de RPRP, une conservation de renseignements personnels excessive, des politiques et règles de gouvernance inadéquates, une sécurité déficiente ou l’incapacité de retracer les données. De telles lacunes peuvent donc accroitre le risque de sanctions pour non-conformité.¹⁰

Le nombre de demandes d’accès peut aussi accroître les risques opérationnels: mobilisation disproportionnée des équipes, duplication des recherches, communication accidentelle de renseignements de tiers, réponses incohérentes, conservation excessive (par peur de supprimer), fatigue décisionnelle et escalade des conflits. À l’inverse, une stratégie excessivement défensive peut transformer un droit de transparence en parcours d’obstacles et attirer plaintes, litiges et atteinte à la réputation.

Le véritable objectif est donc double : rendre l’accès effectif tout en protégeant les intérêts de l’organisation.

Ces enjeux démontrent que le traitement des demandes d’accès peut s’avérer complexe et ne relève pas toujours de l’administration courante. Pour s’y préparer, les organisations doivent disposer d’un RPRP clairement identifié, d’une procédure de traitement des demandes, d’un registre des demandes, de modèles de réponse, d’une cartographie des renseignements personnels qu’elle détient et d’un mécanisme d’escalade.

Dans ce contexte, les entreprises ont intérêt à considérer l’accompagnement d’un avocat pour intégrer les exigences de la Loi 25 à leurs pratiques et répondre efficacement aux demandes d’accès. En appuyant le RPRP et la direction, l’avocat aide à circonscrire les demandes, à appliquer les exceptions pertinentes et à structurer des réponses cohérentes et défendables. Son intervention permet ainsi de gagner du temps, de réduire le fardeau interne et de minimiser les risques de non-conformité, de plainte, de sanction et de litige.¹¹

Pour discuter de la préparation ou de l’amélioration de ce dispositif avec nos avocats, communiquez avec nous au 514 981-9796 ou à info@dubelatreille.ca.