Protéger l’intégrité du système d’accès à l’information de l’Ontario 

Cette année, le problème des personnes qui déposent de multiples appels ou plaintes auprès de notre tribunal a conduit à des modifications importantes de nos processus, dont l’adoption d’une politique sur le nombre maximum de dossiers pouvant être traités. Dans un jugement rendu en 2024, la Cour divisionnaire a rejeté une requête en révision judiciaire déposée par un appelant qui contestait la décision du CIPVP de limiter le nombre de dossiers pouvant être traités à la fois. La cour a jugé que le fait pour le CIPVP de limiter le nombre de dossiers traités constitue une directive administrative qui lui permet d’exercer un contrôle sur ses processus et de bien gérer les ressources limitées dont il dispose. 

LifeLabs

En juin 2020, le CIPVP et le Bureau du commissaire à l’information et à la protection de la vie privée de la Colombie-Britannique (OIPC) ont terminé leur enquête conjointe sur la cyberattaque commise en 2019 contre les systèmes informatiques de LifeLabs. Le CIPVP et l’OIPC ont conclu que LifeLabs n’avait pas respecté ses obligations en vertu de la LPRPS et de la Personal Information Protection Act de la Colombie-Britannique, en omettant notamment de prendre des mesures raisonnables pour protéger les renseignements personnels et les renseignements personnels sur la santé de millions de Canadiennes et de Canadiens. Le CIPVP et l’OIPC ont rendu plusieurs ordonnances en conséquence. L’entreprise s’est conformée à ces ordonnances, mais a déposé une requête en révision judiciaire contestant l’intention du CIPVP et de l’OIPC de publier leur rapport d’enquête conjoint, ces organismes ayant conclu que les renseignements qu’il contenait ne faisaient pas l’objet d’un privilège et n’étaient pas confidentiels. 

En avril 2024, la Cour divisionnaire de l’Ontario a entendu et rejeté la requête en révision judiciaire de LifeLabs. Elle a conclu, entre autres choses, que les dépositaires de renseignements sur la santé ne peuvent pas se soustraire à leurs obligations en vertu de la LPRPS en incluant des faits sur des atteintes à la vie privée dans des documents faisant l’objet d’un privilège. La Cour divisionnaire a également conclu que le CIPVP et l’OIPC avaient le pouvoir de mener une enquête conjointe et de rendre des décisions conjointes à l’issue de cette enquête. En novembre 2024, le rejet par la Cour d’appel de l’Ontario de la demande d’autorisation d’appel de LifeLabs a clos ce long processus judiciaire, permettant ainsi au CIPVP et à l’OIPC de publier enfin leur rapport d’enquête conjoint.

Régie des alcools de l’Ontario PO-4302

La Cour d’appel de l’Ontario a confirmé à l’unanimité une décision du CIPVP ordonnant la divulgation de documents statistiques sur les vols dans les magasins de la LCBO. La cour a ainsi rétabli la décision du CIPVP, qu’elle a jugée raisonnable à tous points de vue.

La Régie des alcools de l’Ontario (LCBO) avait contesté une décision du CIPVP concluant que des documents statistiques faisant état de vols dans certains magasins de la LCBO à Toronto et des statistiques générales pour tous les magasins de la province n’étaient pas soustraits à la divulgation en vertu de l’alinéa 14 (1) e), de l’article 20 (compromettre la santé ou la sécurité), de l’alinéa 14 (1) i) (compromettre la sécurité), de l’alinéa 14 (1) l) (faciliter la perpétration d’un acte illégal) et des alinéas 18 (1) c) et d) (nuire aux intérêts économiques) de la LAIPVP. La majorité des juges de la Cour divisionnaire a infirmé la décision du CIPVP, jugeant que celui-ci n’avait pas appliqué la bonne norme de preuve, et qu’il avait mal évalué la preuve de la LCBO et fourni des motifs inadéquats. Le juge dissident a conclu que le CIPVP avait appliqué la bonne norme de preuve, qu’il avait tiré des conclusions raisonnables en fonction de la preuve et qu’il avait donné des motifs adéquats compte tenu de son obligation, en vertu de la loi, de ne pas révéler dans sa décision les observations confidentielles de la LCBO. La Cour d’appel de l’Ontario a accordé au CIPVP l’autorisation d’interjeter appel du jugement de la majorité. 

PO-4383 et PO-4404-R

L’auteur de la demande a présenté une requête en révision judiciaire de deux décisions du CIPVP concernant le caractère cadéquat d’une recherche de documents menée par le Collège Seneca en réponse à une demande d’accès à des documents concernant un service de conavettage fourni par le collège. L’auteur de la demande a soutenu que l’arbitre du CIPVP n’aurait pas dû accepter un seul affidavit du responsable de la protection de la vie privée du collège au lieu d’exiger que chacun des membres du personnel ayant contribué à la recherche en dépose un.  de la demande, une tierce partie, a présenté une requête en révision judiciaire d’une décision du CIPVP ordonnant la divulgation de documents concernant un contrat avec un hôpital. Elle a contesté la façon dont le CIPVP avait traité des questions procédurales et appliqué le paragraphe 17 (1) de la LAIPVP, selon lequel certains renseignements de tiers n’ont pas à être divulgués.

La Cour divisionnaire de l’Ontario a confirmé la décision du CIPVP selon laquelle l’affidavit détaillé du responsable de la protection de la vie privée contenait des indications suffisantes pour montrer que le collège avec effectué des recherches raisonnables. La cour a également rejeté l’affirmation voulant qu’il y ait eu iniquité procédurale, confirmant que le CIPVP a le pouvoir discrétionnaire,aux termes de son code de procédure, de gérer ses processus d’enquête. Cette décision renforce l’approche qu’emploie le CIPVP pour évaluer le respect des obligations des institutions en matière d’accès à l’information.

Canadian Home Healthcare Inc. PO-4413 et PO-4443-R

L’auteure de la demande, une tierce partie, a présenté une requête en révision judiciaire d’une décision du CIPVP ordonnant la divulgation de documents concernant un contrat avec un hôpital. Elle a contesté la façon dont le CIPVP avait traité des questions procédurales et appliqué le paragraphe 17 (1) de la LAIPVP, selon lequel certains renseignements de tiers n’ont pas à être divulgués. La Cour divisionnaire de l’Ontario a rejeté la requête en révision judiciaire, confirmant les processus et le raisonnement du CIPVP. En ce qui concerne l’équité procédurale, la cour a jugé que le CIPVP n’était pas tenu d’informer l’auteure de la demande d’autres arguments qu’elle aurait pu nvoquer. Quoi qu’il en soit, le CIPVP lui avait fait savoir qu’elle pouvait invoquer des exceptions supplémentaires en vertu de la LAIPVP, et elle ne l’a pas fait. La cour a rejeté la requête de l’auteure de la demande réclamant que soit infirmée la jurisprudence établie concernant le paragraphe 17 (1), soulignant que cela porterait gravement atteinte à la transparence des contrats dans le secteur public, ce qui est contraire à l’intention de la LAIPVP.

MO-4447 et MO 4461-R

L’auteur de la demande a présenté une requête en révision judiciaire de deux décisions du CIPVP concernant l’accès à des documents que détenait la commissaire à l’intégrité du Toronto District School Board. Il a soutenu que l’arbitre du CIPVP avait conclu à tort que le conseil scolaire n’avait pas la garde ou le contrôle des documents que détenait sa commissaire à l’intégrité. 

La Cour divisionnaire de l’Ontario a confirmé les décisions du CIPVP, estimant que [traduction] « l’examen détaillé et réfléchi de la preuve, des observations et de la loi » qu’avait effectué le CIPVP était raisonnable. Le CIPVP a conclu qu’il serait porté atteinte à l’indépendance et à l’impartialité de la commissaire à l’intégrité, qui revêtaient beaucoup d’importance dans l’exercice de ses fonctions, si le conseil scolaire pouvait prendre le contrôle de ses documents. La cour a également rejeté l’argument de l’auteur de la demande selon lequel il était injuste sur le plan procédural que le CIPVP refuse de combiner ses deux appels en matière d’accès à l’information, affirmant que le CIPVP jouit d’une latitude considérable pour déterminer la conduite de ses propres instances.

Décision 19 en vertu de la LSEJF/Société d’aide à l’enfance de Halton

La Société d’aide à l’enfance de Halton (la « SAE ») a interjeté appel et déposé une requête en révision judiciaire de la Décision 19 en vertu de la LSEJF, dans laquelle le CIPVP avait conclu que la SAE avait l’obligation d’aviser les particuliers après une attaque par rançongiciel. Dans cette décision, l’arbitre a établi que le chiffrement des serveurs de la SAE par un pirate représentait une utilisation non autorisée et une perte de renseignements personnels en vertu de la LSEJF, et a ordonné à la AE de donner un avis public indirect. Elle devait le faire conformément à son obligation expresse de donner un tel avis aux ermes de la LSEJF qui, contrairement à d’autres mécanismes législatifs de protection de la vie privée, ne comporte pas de seuil de risque minimum.

La SAE a soutenu que cette décision était erronée, affirmant que, lors de l’attaque par rançongiciel, le pirate n’avait pas consulté, manipulé, copié ou exfiltré de renseignements personnels. La SAE a également soutenu que seuls les supports de données avaient été chiffrés, que les données n’avaient pas été irrémédiablement perdues, et que des copies de ces données demeuraient accessibles. Le 1er mai 2025, la Cour divisionnaire de l’Ontario a entendu la requête en révision judiciaire de la société d’aide à l’enfance et a réservé sa décision.

Décision 253 en vertu de la LPRPS/Hospital for Sick Children

Le Hospital for Sick Children (SickKids) a déposé une requête en révision judiciaire de la Décision 253 en vertu de la LPRPS, dans laquelle le CIPVP a conclu que l’hôpital avait l’obligation d’aviser les particuliers d’une attaque par rançongiciel. L’arbitre a établi que le chiffrement des serveurs de l’hôpital par le pirate représentait une utilisation non autorisée et une perte de renseignements personnels sur la santé en vertu de la LPRPS, mais elle n’a pas rendu d’ordonnance l’obligeant à donner un avis supplémentaire, car cela était inutile. Comme dans le cas de la LSEJF, l’obligation de donner un avis d’atteinte à la vie privée aux particuliers en vertu de la LPRPS n’est pas assujettie à un seuil de risque minimum.

SickKids a soutenu que cette décision était déraisonnable, affirmant que, lors de l’attaque par rançongiciel, le pirate n’avait pas consulté, manipulé, copié ou exfiltré de renseignements personnels. L’hôpital a également soutenu que seuls les supports de données avaient été chiffrés, que les données n’avaient pas été irrémédiablement perdues, et que des copies de ces données demeuraient accessibles. Il a affirmé également que la décision confond à tort les définitions d’utilisation et de perte. Le 1er mai 2025, la Cour divisionnaire de l’Ontario a entendu la requête en révision judiciaire de Sick Kids et a réservé sa décision.