Le 9 novembre 2022, au terme d’une enquête entreprise en vertu de la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (ci-après, la « Loi sur l’accès »), la Commission d’accès à l’information (ci-après, la « CAI ») a rendu une décision portant sur des enjeux liés à l’utilisation d’un système d’intelligence artificielle et sur l’anonymisation des données. Cette décision aborde notamment l’interprétation de certaines dispositions introduites par la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (ci-après, la « Loi 64 », également désignée comme étant la « Loi 25 ») et met la table pour les affaires à venir en lien avec ce nouveau cadre législatif.
Aperçu des faits
Afin de diminuer le décrochage scolaire, un centre de services scolaire (ci-après, l’ « organisme public ») a conclu un partenariat avec la firme Raymond Chabot Grant Thornton (ci-après, « RCGT »), afin de développer un outil algorithmique d’apprentissage automatique (machine learning) capable d’identifier de façon précoce les élèves de 6e année du primaire présentant un risque important de décrochage scolaire. Ce mandat impliquait la communication à RCGT de renseignements personnels dépersonnalisés au sujet d’élèves de l’organisme public, dont les résultats scolaires, le taux d’absentéisme et les mesures disciplinaires. Dans cette décision, la CAI se prononce donc sur la conformité de l’organisme public aux exigences contenues dans la Loi sur l’accès.
Décision de la CAI
La CAI rappelle d’abord l’importante distinction que fait la Loi 64 entre un renseignement personnel dépersonnalisé, qui ne permet plus d’identifier directement la personne concernée[1], et un renseignement personnel anonymisé, qui ne permet plus d’identifier directement ou indirectement cette personne, et ce de manière irréversible[2]. En l’espèce, la CAI est d’avis que les données transmises par l’organisme public constituent des renseignements personnels dépersonnalisés, puisqu’ils concernent des personnes physiques et permettent de les identifier à travers les données recueillies tout au long du cheminement scolaire de l’élève. Par conséquent, ces données demeurent assujetties à la Loi sur l’accès, contrairement aux données anonymisées.
De plus, la Loi sur l’accès prévoit qu’un organisme public ne peut utiliser les renseignements personnels qu’il détient qu’aux fins pour lesquelles ils ont été recueillis, sauf avec le consentement des personnes visées, ou sans leur consentement lorsque l’utilisation de ces renseignements à des fins secondaires a un lien pertinent et direct avec les fins pour lesquelles le renseignement a été recueilli[3]. Dans le cas d’espèce, les élèves et leurs parents n’ont pas été informés de cette utilisation au moment de la collecte de leurs données et ils n’y ont pas consenti. Toutefois, la CAI conclut néanmoins que le développement d’un outil visant à identifier les élèves à risque de décrochage scolaire était compatible avec l’un des objectifs de l’organisme public lors de la cueillette initiale des données, soit d’assurer la réussite scolaire. De plus, cela était justifié au sens de la Politique de la réussite éducative du ministère de l’Éducation du Québec.
En outre, il est intéressant de constater que dans cette affaire, la CAI établit que les indicateurs prédictifs générés par l’outil d’intelligence artificielle en cause constituent de nouveaux renseignements personnels et que leur production équivaut à une collecte de renseignements personnels (et non pas à une utilisation des renseignements personnels déjà détenus). Dès lors, l’organisme public aurait dû informer les personnes concernées sur la collecte effectuée pour le développement de l’outil et adopter des mesures de sécurité proportionnelles à la sensibilité des renseignements générés. De plus, il devra s’assurer de la nécessité de cette collecte en vertu de l’article 64 de la Loi sur l’accès.
Enfin, considérant l’entrée en vigueur imminente de certaines dispositions de la Loi 64, la CAI recommande à l’organisme public de procéder à une évaluation des facteurs relatifs à la vie privée avant de procéder au déploiement de l’outil d’intelligence artificielle.
[1] Loi sur l’accès, art. 65.1 (tel que modifié par la Loi 64).
[2] Loi sur l’accès, art. 73 (tel que modifié par la Loi 64).
[3] Loi sur l’accès, art. 65.1.