Agence du revenu du Canada (Re), 2026 CI 48
Date : 2026-03-31
Numéro de dossier du Commissariat : 5824-01584
Numéro de la demande d’accès : A-2024-181402
Sommaire
La partie plaignante allègue que l’Agence du revenu du Canada (ARC), en réponse à une demande d’accès, a erronément refusé de communiquer des renseignements en vertu de l’alinéa 16(2)c) (faciliter la perpétration d’une infraction) de la Loi sur l’accès à l’information. La demande vise une liste téléphonique de la Direction du secteur international et des grandes entreprises de l’administration centrale de l’ARC, indiquant le nom, le titre, le groupe, le niveau et le numéro de téléphone de chaque personne ainsi que le lien hiérarchique. L’allégation s’inscrit dans le cadre de l’alinéa 30(1)a) de la Loi.
La partie plaignante allègue aussi que l’ARC n’a pas effectué une recherche raisonnable de documents en réponse à la demande d’accès. L’allégation s’inscrit dans le cadre de l’alinéa 30(1)a) de la Loi.
Au cours de l’enquête, la partie plaignante a décidé qu’il n’était plus nécessaire que le Commissariat à l’information fasse enquête sur l’allégation concernant la recherche raisonnable.
L’ARC n’a pas démontré qu’elle satisfaisait aux critères de l’alinéa 16(2)c), parce qu’elle n’a pas établi qu’il y a une attente raisonnable qu’un préjudice soit causé si les numéros de téléphone des employés étaient communiqués; autrement dit, les observations reçues n’ont pas fourni de preuve claire et convaincante quant à la probabilité que le préjudice se produise.
La Commissaire à l’information a transmis un rapport dans lequel elle faisait part de son intention d’ordonner à l’ARC de communiquer les numéros de téléphone dont la communication a été refusée en vertu de l’alinéa 16(2)c). L’ARC a avisé la Commissaire qu’elle avait communiqué les numéros de téléphone à la partie plaignante le 11 mars 2026. La plainte est fondée.
Plainte
[1]La partie plaignante allègue que l’Agence du revenu du Canada (ARC), en réponse à une demande d’accès, a erronément refusé de communiquer des renseignements en vertu de l’alinéa 16(2)c) (faciliter la perpétration d’une infraction) de la Loi sur l’accès à l’information. La demande vise une liste téléphonique de la Direction du secteur international et des grandes entreprises de l’administration centrale de l’ARC, indiquant le nom, le titre, le groupe, le niveau et le numéro de téléphone de chaque personne ainsi que le lien hiérarchique. L’allégation s’inscrit dans le cadre de l’alinéa 30(1)a) de la Loi.
[2]La partie plaignante allègue aussi que l’ARC n’a pas effectué une recherche raisonnable de documents en réponse à la demande d’accès. L’allégation s’inscrit dans le cadre de l’alinéa 30(1)a) de la Loi.
[3]Au cours de l’enquête, la partie plaignante a décidé qu’il n’était plus nécessaire que le Commissariat à l’information fasse enquête sur l’allégation concernant la recherche raisonnable.
Enquête
[4]Lorsqu’une institution refuse de communiquer des renseignements en vertu d’une exception, il lui incombe de démontrer que ce refus est justifié.
Paragraphe 16(2) : faciliter la perpétration d’une infraction
[5]Le paragraphe 16(2) permet aux institutions de refuser de communiquer des renseignements dont la divulgation risquerait vraisemblablement de faciliter la perpétration d’une infraction.
[6]Pour invoquer cette exception, les institutions doivent démontrer ce qui suit :
- la divulgation des renseignements (par exemple, des renseignements sur les méthodes ou les techniques criminelles, ou des détails techniques sur les armes, comme le prévoient les alinéas 16(2)a) à c)), pourrait faciliter la perpétration d’une infraction;
- il y a une attente raisonnable que ce préjudice puisse être causé; l’attente doit être bien au-delà d’une simple possibilité.
[7]Lorsque ces critères sont satisfaits, les institutions doivent alors exercer raisonnablement leur pouvoir discrétionnaire pour décider de communiquer ou non les renseignements.
L’information satisfait-elle aux critères de l’exception?
[8]En réponse à la demande d’accès, l’ARC a divulgué un tableau contenant des renseignements tels que le nom de l’employé, la division, le titre du poste, l’adresse de courriel professionnelle et les coordonnées du supérieur de l’employé. L’ARC a refusé de communiquer seulement la colonne contenant les numéros de téléphone des employés.
[9]Le Commissariat a fait savoir à l’ARC qu’au cours d’enquêtes antérieures qu’il a menées, l’ARC avait choisi de divulguer les mêmes renseignements ou des renseignements similaires. L’ARC a répondu que, même si ce type de renseignements a déjà été communiqué, les circonstances ont changé depuis, en raison de la pandémie de COVID-19.
[10]L’ARC a notamment fait remarquer que les employés du gouvernement utilisent désormais des téléphones cellulaires à la place de téléphones filaires. L’ARC a expliqué qu’il existe des risques liés à l’utilisation de téléphones cellulaires qui n’existaient pas avec les téléphones filaires et que la divulgation du numéro de téléphone cellulaire pourrait faciliter le piratage et l’interception de communications privées, et permettre à des individus de commettre différents types d’infractions, notamment l’hameçonnage, un risque de vol d’identité, de la fraude et du harcèlement.
[11]L’ARC a expliqué en détail comment ces infractions pourraient être commises, en faisant référence à une attaque connue sous le nom de système de signalisation numéro 7 (SS7). Cette attaque peut être utilisée par des pirates informatiques pour intercepter les appels téléphoniques, lire les messages textes, suivre la position en temps réel et contourner les codes d’authentification à deux facteurs envoyés par texto.
[12]L’ARC a fourni un article de la CBC (en anglais seulement) pour appuyer davantage son affirmation. Cet article explique que des pirates informatiques peuvent espionner un téléphone cellulaire rien qu’avec le numéro de téléphone en accédant au réseau SS7, ce qui pose des risques tels que l’espionnage, la fraude et les atteintes à la vie privée. L’ARC a expliqué que la probabilité d’un préjudice est accrue par le nombre important de numéros de téléphone concernés.
[13]Pour les motifs qui suivent, le Commissariat conclut que l’ARC n’a pas démontré qu’il y a une attente raisonnable que ce préjudice puisse être causé, à savoir une attente bien au-delà d’une simple possibilité. Bien que les observations de l’ARC confirment la possibilité que des numéros de téléphone cellulaire soient utilisés pour commettre certaines infractions, l’ARC n’a pas fourni de preuve claire et convaincante quant à la probabilité que le préjudice se réalise.
[14]Premièrement, l’article démontre que le test a été effectué sur un téléphone non sécurisé, et non sur un appareil du gouvernement du Canada, qui est censé être protégé et conçu pour être aussi sûr que possible. Comme l’a mentionné l’article de la CBC, le chiffrement est un moyen de se protéger contre les attaques SS7.
[15]L’ARC a confirmé que ses téléphones cellulaires sont protégés par des technologies de chiffrement afin d’assurer la sécurité des données entre les appareils et les serveurs. De plus, les employés sont informés des risques de sécurité liés à l’utilisation d’appareils mobiles, notamment ceux associés aux mots de passe, au Wi-Fi, à la recharge, aux logiciels, aux caméras, au clavier et à la prédiction de mots, ainsi qu’à la perte ou au vol.
[16]De plus, le gouvernement du Canada exige que tous les appareils portables soient protégés par un mot de passe ou une méthode biométrique, ce qui augmente la sécurité de ces dispositifs. Le Centre de la sécurité des télécommunications Canada a indiqué qu’il travaille activement à réduire les vulnérabilités du système SS7 en prodiguant des conseils, en élaborant des pratiques exemplaires et en fournissant aux institutions des recommandations concernant la sécurité des appareils mobiles.
[17]Deuxièmement, le Commissariat comprend que les attaques par l’intermédiaire du protocole SS7 sont réalisées en piratant le réseau SS7 lui-même, plutôt que des appareils en particulier. L’utilité des numéros de téléphone cellulaire n’apparaît qu’une fois que la personne mal intentionnée a réussi à compromettre l’infrastructure du réseau. Compte tenu du fait que les renseignements non communiqués n’indiquent pas si les numéros sont de téléphones cellulaires ou de lignes fixes, et qu’une attaque SS7 ne peut être menée qu’à l’aide d’appareils mobiles, le Commissariat est également d’avis qu’il est peu probable qu’un individu utilise cette liste téléphonique pour faciliter une attaque SS7.
[18]Troisièmement, ces vulnérabilités sont connues depuis 2008, mais le gouvernement n’a pas interdit à ses employés d’utiliser des cellulaires. En fait, depuis 2020, l’utilisation de cellulaires par les employés du gouvernement est devenue généralisée. Aucune preuve n’a été présentée pour démontrer que cette pratique a eu des conséquences importantes sur la sécurité.
[19]Finalement, il semble que plusieurs des numéros de téléphone visés par une exception ne soient pas accessibles au public. Interrogée à ce sujet, l’ARC n’a pas été en mesure d’expliquer pourquoi les numéros de téléphone de certains employés étaient affichés dans le GCannuaire. L’ARC a plutôt affirmé que seul un faible nombre des numéros de téléphone étaient accessibles au public et que ce faible pourcentage ne justifiait pas la divulgation du grand nombre restant de numéros de téléphone.
[20]Bien que seuls certains de ces numéros de téléphone portable soient accessibles au public, le fait qu’ils le soient en partie mine l’argument selon lequel la communication du même type de renseignements pour différentes personnes doit être refusée pour éviter de faciliter la perpétration d’une infraction. Le tout met également en doute l’attente raisonnable de préjudice, car aucun préjudice n’a découlé des renseignements accessibles au public.
[21]Compte tenu de ce qui précède, l’ARC n’a pas démontré qu’il y a une attente raisonnable d’un préjudice probable au sens de l’alinéa 16(2)c) qui découlerait directement de la communication des renseignements contestés et qui est bien au-delà de la simple possibilité ou conjecture.
[22]Je conclus que les renseignements ne satisfont pas aux critères du paragraphe 16(2).
Résultat
[23]La plainte est fondée.
Rapport et avis de l’institution
Le 24 février 2026, la Commissaire à l’information a transmis au ministre du Revenu national son rapport dans lequel elle présentait son ordonnance de communiquer les numéros de téléphone dont la communication avait été refusée en vertu du paragraphe 16(2)c).
Après la transmission du rapport de la Commissaire, l’ARC a communiqué les renseignements en cause. Par conséquent, il n’est plus nécessaire pour la Commissaire d’ordonner à l’ARC de le faire.
Révision devant la Cour fédérale
Lorsqu’une allégation dans une plainte s’inscrit dans le cadre de l’alinéa 30(1)a), b), c), d), d.1) ou e) de la Loi, la partie plaignante a le droit d’exercer un recours en révision devant la Cour fédérale. La partie plaignante doit exercer ce recours en révision dans un délai de 35 jours ouvrables suivant la date du présent compte rendu et doit signifier une copie de sa demande de révision aux parties intéressées, conformément à l’article 43.