Société Radio-Canada (Re), 2025 CI 15
Date : 2025-03-06
Numéro de dossier du Commissariat : 5823-02070
Numéro de la demande d’accès : A-2023-00019
Sommaire
La partie plaignante allègue que la Société Radio-Canada (SRC), en réponse à une demande d’accès, a erronément refusé de communiquer des renseignements en vertu de l’article 17 (sécurité des individus) et du paragraphe 19(1) (renseignements personnels) de la Loi sur l’accès à l’information. La demande visait toutes les communications entre des membres particuliers du personnel de la SRC et de Twitter, depuis le 1er janvier 2018, soit avant que Twitter devienne X. L’allégation s’inscrit dans le cadre de l’alinéa 30(1)a) de la Loi.
Au cours de l’enquête, la SRC a communiqué certains des renseignements qu’elle avait refusé de communiquer en vertu du paragraphe 19(1) et de l’article 17, mais a également appliqué le paragraphe 16(2) (faciliter la perpétration d’une infraction) à certains des autres renseignements dont elle avait déjà refusé la communication en vertu de l’article 17. La Commissaire a conclu que ces renseignements ne satisfaisaient pas aux critères du paragraphe 16(2) ou de l’article 17.
La SRC soutenait que la divulgation du nom et des coordonnées d’un membre de son équipe de la sécurité de l’information faciliterait la perpétration d’une infraction en permettant à des pirates d’accéder aux systèmes informatiques de la SRC. La SRC n’a cependant pas montré en quoi la communication des renseignements pourrait vraisemblablement donner ce résultat. De plus, le nom et les coordonnées du membre du personnel étaient déjà accessibles sur LinkedIn et ailleurs en ligne.
La SRC a également refusé de communiquer les noms et pseudonymes Twitter de plusieurs de ses journalistes visés par des publications en ligne que la SRC considérait comme du harcèlement et dont elle avait demandé la suppression, même si elle a communiqué le contenu des publications en soi durant l’enquête. La SRC soutenait que la divulgation de renseignements permettant d’identifier les journalistes qui dénonçaient le harcèlement en ligne pourrait entraîner des attaques à leur égard, à titre de représailles, ce qui leur causerait des dommages psychologiques.
La Commissaire a conclu que les menaces à la sécurité de personnes visées par l’article 17 peuvent inclure les dommages psychologiques. Elle a néanmoins conclu que, en l’espèce, la SRC n’avait pas montré que le préjudice n’était pas une simple cause de détresse ni abordé l’attente raisonnable que le préjudice se produise si les renseignements sont communiqués.
La Commissaire a ordonné à la SRC de communiquer les renseignements dont la communication avait été refusée en vertu du paragraphe 16(2) et de l’article 17. La SRC a avisé la Commissaire qu’elle donnerait suite à l’ordonnance.
La plainte est fondée.
Plainte
[1] La partie plaignante allègue que la Société Radio-Canada (SRC), en réponse à une demande d’accès, a erronément refusé de communiquer des renseignements en vertu des dispositions suivantes de la Loi sur l’accès à l’information :
- article 17 (sécurité des individus);
- paragraphe 19(1) (renseignements personnels).
[2] L’allégation s’inscrit dans le cadre de l’alinéa 30(1)a) de la Loi.
[3] La demande visait toutes les communications entre des membres particuliers du personnel de la SRC et de Twitter, depuis le 1er janvier 2018.
Enquête
[4] Lorsqu’une institution refuse de communiquer des renseignements en vertu d’une exception, il lui incombe de démontrer que ce refus est justifié.
[5] Au cours de l’enquête, la SRC a décidé d’invoquer aussi le paragraphe 16(2) (faciliter la perpétration d’une infraction) pour refuser de communiquer certains des renseignements dont la communication avait déjà été refusée en vertu de l’article 17.
[6] Le 1er août 2024, la SRC a fait une communication supplémentaire contenant des renseignements dont la communication avait été refusée en vertu de l’article 17 et du paragraphe 19(1) au moment où elle avait répondu à la demande d’accès. La SRC a maintenu son refus de communiquer certains noms de personnes, certaines coordonnées et certains pseudonymes Twitter en vertu du paragraphe 16(2), de l’article 17 et du paragraphe 19(1). La partie plaignante a informé le Commissariat à l’information qu’elle n’était pas satisfaite de la communication supplémentaire et lui a demandé de continuer à enquêter sur les renseignements qui demeurent non communiqués en vertu du paragraphe 16(2) et de l’article 17.
Paragraphe 16(2) : faciliter la perpétration d’une infraction
[7] Le paragraphe 16(2) permet aux institutions de refuser de communiquer des renseignements dont la divulgation risquerait vraisemblablement de faciliter la perpétration d’une infraction.
[8] Pour invoquer cette exception, les institutions doivent démontrer ce qui suit :
- la divulgation des renseignements (par exemple, des renseignements sur les méthodes ou les techniques criminelles, ou des détails techniques sur les armes, comme le prévoient les alinéas 16(2)a) à c)), pourrait faciliter la perpétration d’une infraction;
- il y a une attente raisonnable que ce préjudice puisse être causé; l’attente doit être bien au-delà d’une simple possibilité.
[9] Lorsque ces critères sont satisfaits, les institutions doivent alors exercer raisonnablement leur pouvoir discrétionnaire pour décider de communiquer ou non les renseignements.
L’information satisfait-elle aux critères de l’exception?
[10] Au cours de l’enquête, la SRC a invoqué le paragraphe 16(2) pour refuser de communiquer le nom et les coordonnées d’un membre du personnel désigné de la SRC à chaque page des documents pertinents sur laquelle ils figuraient. La communication de ces renseignements a aussi été refusée en vertu de l’article 17.
[11] La SRC affirmait que la divulgation de ces renseignements faciliterait la perpétration d’une infraction contre plusieurs de ses systèmes critiques ainsi que contre les méthodes employées pour protéger ceux-ci. Cette affirmation de la SRC s’appuyait sur le fait que ce membre du personnel jouait un rôle précis dans l’équipe de la sécurité de l’information et son centre de gestion des données, et qu’il avait accès au système de technologie critique et à la passerelle de sécurité. La compromission de cette passerelle au moyen du compte de ce membre du personnel pourrait permettre à quelqu’un d’obtenir un accès administratif au système critique et de le saboter, ou de perturber la transmission de courriels à l’ensemble de l’organisation.
[12] La SRC a ajouté qu’en raison des menaces constantes à la cybersécurité visant ses ressources au quotidien, elle doit les protéger du mieux qu’elle peut en refusant de communiquer ces renseignements.
[13] De l’avis de la SRC, le fait de connaître l’identité de ce membre du personnel en particulier faciliterait les attaques contre ses systèmes de TI. Bien que la preuve présentée par la SRC démontre que de telles attaques sont effectivement perpétrées, pour les motifs qui suivent, je conclus que la SRC n’a pas démontré de lien clair et direct entre la communication des renseignements et le préjudice allégué, comme il était nécessaire de le faire.
[14] En premier lieu, la SRC n’a pas clairement expliqué comment une personne possédant les renseignements en cause pourrait les utiliser pour accéder à son compte dans le système de la SRC et perpétrer une infraction.
[15] De plus, le nom ou les coordonnées de plusieurs autres membres du personnel de la SRC sont divulgués dans les documents pertinents. Il demeure difficile de voir en quoi les comptes des membres du personnel auxquels se rapportent les renseignements personnels seraient visés par les menaces décrites par la SRC ou en quoi le compte de la personne à laquelle se rapportent les renseignements en cause serait particulièrement vulnérable aux menaces par rapport aux comptes d’autres membres du personnel.
[16] Enfin, au cours de l’enquête, le Commissariat a signalé à la SRC que certains des renseignements concernant ce membre du personnel étaient accessibles sur des plateformes en ligne comme LinkedIn ou RocketReach. Il semble qu’il n’ait pas été interdit à cet employé de communiquer ces renseignements. Ce fait ne semble pas concorder avec l’affirmation de la SRC que ces mêmes renseignements rendaient ses systèmes de TI plus vulnérables aux attaques. Dans ses observations, la SRC n’est pas démontré que le préjudice est raisonnablement susceptible de se produire.
[17] Compte tenu de ce qui précède, je conclus que les renseignements ne satisfont pas aux critères du paragraphe 16(2).
[18] Puisque les renseignements ne satisfont pas aux critères du paragraphe 16(2), j’ai aussi examiné si la SRC avait correctement appliqué l’article 17 relativement à ces mêmes renseignements.
Article 17 : sécurité des individus
[19] L’article 17 permet aux institutions de refuser de communiquer des documents contenant des renseignements dont la divulgation risquerait vraisemblablement de nuire à la sécurité des individus.
[20] Pour invoquer cette exception, les institutions doivent démontrer ce qui suit :
- la divulgation de ces renseignements pourrait menacer la sécurité ou la santé d’une personne;
- il y a une attente raisonnable que ce préjudice puisse être causé; l’attente doit être bien au-delà d’une simple possibilité.
[21] Lorsque ces critères sont satisfaits, les institutions doivent alors exercer raisonnablement leur pouvoir discrétionnaire pour décider de communiquer ou non les renseignements.
L’information satisfait-elle aux critères de l’exception?
[22] La SRC a invoqué l’article 17 pour refuser de communiquer les noms et pseudonymes Twitter (maintenant X) de plusieurs de ses journalistes ainsi que le titre et les coordonnées de l’un des journalistes.
[23] La SRC a également refusé de communiquer des renseignements concernant un membre du personnel précis qui n’est pas journaliste.
[24] En ce qui a trait aux renseignements concernant les journalistes de la SRC :
[25] Au cours de l’enquête, la SRC a revu son exercice du pouvoir discrétionnaire et a communiqué des parties des documents dont la communication avait été refusée en vertu de l’article 17, dont des publications et des commentaires sur Twitter, les pseudonymes ou photos de profil Twitter de plusieurs personnes ainsi que des URL. Dans ces documents, seule la communication des noms et pseudonymes Twitter des journalistes de la SRC est toujours refusée.
[26] La SRC a affirmé que la communication des renseignements non communiqués pourrait faire en sorte que ces journalistes soient victimes de harcèlement en ligne, ce qui pourrait leur causer un préjudice psychologique et, par conséquent, la communication des renseignements devrait être refusée en vertu de l’article 17. La SRC a fourni des exemples de cas passés de harcèlement pour illustrer cette situation.
[27] La SRC soutenait que la définition de « sécurité » aux fins de l’article 17 inclut le bien-être psychologique autant que physique. La SRC s’est référée à la définition d’un milieu de travail sain et sécuritaire sur le plan psychologique du gouvernement du Canada pour appuyer sa position selon laquelle le bien-être mental d’une personne est autant une question de sécurité en milieu de travail que sa sécurité physique.
[28] Pour ce qui est des renseignements en cause, même si les gazouillis — et par le fait même, le nom des journalistes de la SRC qui y étaient nommés — étaient accessibles au public en ligne à un moment donné, la SRC a expliqué que la communication dans le contexte de ces documents révèlerait que ces gazouillis ont été désignés par les journalistes eux-mêmes ou d’autres membres du personnel de la SRC comme étant des exemples précis de harcèlement en ligne. La SRC soutenait que la divulgation de l’identité de ses journalistes qui signalaient le harcèlement en ligne accroîtrait la probabilité que ces personnes soient harcelées et reçoivent des communications en ligne à titre de représailles, ce qui menacerait leur sécurité.
[29] Cela étant dit, la SRC a décidé de fournir à la partie plaignante une réponse supplémentaire au cours de l’enquête. La communication supplémentaire de la SRC ne cadre pas avec son affirmation selon laquelle la communication de l’identité des journalistes visés par ces gazouillis menace leur sécurité. Le contenu communiqué par la SRC était déjà accessible au public et pouvait permettre de facilement identifier les journalistes impliqués au moyen de leur photo de profil et/ou d’une combinaison d’autres éléments comme la date des publications ou les renseignements contenus dans les commentaires sous ces publications. Les URL communiquées renvoient directement vers les autres renseignements non communiqués. La SRC n’a pas indiqué en quoi la communication supplémentaire cadrait avec la justification de son application de l’article 17.
[30] La SRC a ajouté qu’il y a une tendance quant aux conversations publiques axées sur la sensibilisation au harcèlement en ligne de journalistes qui mènent à encore plus de harcèlement sous forme de commentaires personnels, violents, racistes ou sexistes, et elle a donné au Commissariat des exemples de ce type de comportement.
[31] La SRC a également cité une étude théorique [Magdalena Celuch et al., « Online Harassment and Hate Among Media Professionals: Reactions to One’s Own and Others’ Victimization,», Journalism and Mass Communication Quarterly, Vol. 100(3): (en ligne, le 27 janvier 2023) – en anglais seulement] pour corroborer son affirmation selon laquelle le harcèlement en ligne causait un réel préjudice aux membres de son personnel. Selon la SRC, l’étude démontrait ce qui suit :
- premièrement, que les journalistes et les autres professionnels des médias courent un risque accru d’être victimes de harcèlement en ligne du simple fait de la nature de leur travail;
- deuxièmement, que ce type de harcèlement est encore plus probable quand les journalistes interagissent avec des commentaires ou des commentateurs précis en ligne.
[32] Bien que l’article 17 de la Loi n’ait pas souvent fait l’objet d’actions judiciaires, des dispositions correspondantes de la Loi sur l’accès à l’information et la protection de la vie privée de l’Ontario ont été considérées par les tribunaux, dont la Cour suprême du Canada. Dans l’affaire Ontario (Sécurité communautaire et Services correctionnels) c. Ontario (Commissaire à l’information et à la protection de la vie privée), 2014 CSC 31, la Cour a confirmé que le critère à appliquer à l’égard d’une disposition qui vise à protéger une personne contre un préjudice est le « risque vraisemblable de préjudice probable » prévu dans l’arrêt Merck Frosst Canada Ltée c. Canada (Santé), 2012 CSC 3.
[33] Cette norme a été appliquée par la Cour fédérale dans l’affaire Martin c. Canada (Santé), 2016 CF 796 : « Pour s’appuyer sur l’exception prévue à l’article 17, la partie qui s’oppose à la communication doit être en mesure de faire la démonstration d’un lien direct entre la communication des documents et le préjudice allégué, à l’aide d’éléments de preuve détaillés et convaincants, dans le but d’établir que ces issues sont raisonnablement probables. »
[34] La SRC devait donc démontrer un risque de préjudice qui est bien au-delà de la simple possibilité ou conjecture, mais elle ne devait pas prouver que la communication causera effectivement le préjudice. La preuve doit démontrer qu’il y a entre la divulgation d’une information donnée et le préjudice allégué un lien clair et direct. La peur subjective d’un individu, bien que pertinente, pourrait ne pas suffire pour justifier une exception (voir, par exemple ordonnance PO-2003 du commissaire à l’information et à la protection des renseignements personnels de l’Ontario – en anglais seulement).
[35] En ce qui a trait aux types de préjudice visés par l’article 17, je suis d’accord avec la position de la SRC, à savoir que le préjudice psychologique peut satisfaire aux critères de cette exception. En plus des observations de la SRC, je constate que cette position correspond à celle du Secrétariat du Conseil du Trésor (SCT). Selon le Manuel du SCT : « Les différents types de sécurité personnelle qui peuvent être menacés sont relativement nombreux […] et peuvent comprendre les dommages psychologiques. » Le Manuel précise également que : « Un dommage psychologique n’est pas simplement une cause de détresse. Il implique qu’une divulgation pourrait donner lieu à une maladie mentale ou à un trouble psychologique ou aggraver une condition existante, ou encore pousser une personne au suicide. Par exemple, la divulgation de photographies d’une scène de meurtre particulièrement horrible prises par la police peut menacer la santé mentale de la veuve ou du veuf de la victime qui souffre de dépression même si le meurtre a eu lieu il y a plus de 20 ans. »
[36] Cependant, bien que je sois d’accord que des préjudices psychologiques peuvent être visés par cette exception, le préjudice doit être sérieux et être plus qu’une simple cause de détresse. En l’espèce, la SRC se fonde sur un article théorique se référant à d’autres études sur les répercussions du harcèlement en ligne ainsi que plusieurs sources en ligne au sujet des dommages causés par la cyberintimidation et le harcèlement en ligne.
[37] Après avoir examiné l’étude en question, je note que, bien que celle-ci mette en contexte l’incidence du harcèlement en ligne sur les journalistes, les auteurs eux-mêmes ont signalé qu’il fallait faire preuve de prudence pour ce qui est de faire des généralisations au-delà du contexte finlandais, et qu’il y a d’importantes différences entre les cultures dans la manière dont les journalistes vivent et gèrent le harcèlement en ligne.
[38] Bien que je convienne que la SRC a fourni des éléments de preuve de nature générale montrant que le harcèlement en ligne peut causer des dommages psychologiques graves à certaines personnes, je suis d’avis qu’elle n’a pas abordé la probabilité que ces dommages soient causés dans le cas qui nous occupe. Puisque la SRC n’a fourni aucune autre observation précise, des affirmations générales selon lesquelles un dommage sera causé ne suffisent pas pour justifier l’application de l’article 17.
[39] Concernant les renseignements relatifs au membre du personnel de la SRC qui n’est pas un journaliste :
[40] La SRC a invoqué l’article 17 pour refuser de communiquer les mêmes renseignements auxquels, selon mes conclusions, le paragraphe 16(2) ne s’applique pas.
[41] La SRC a expliqué que, outre les observations générales applicables à chaque personne dont les renseignements n’ont pas été communiqués en vertu de l’article 17, ce membre du personnel joue un rôle sensible dans l’équipe de la sécurité de l’information et au centre de gestion des données de la SRC. Dans le cadre de ce rôle, cette personne traite toutes les demandes de suppression de messages haineux sur les médias sociaux. Selon la SRC, cela accroît la probabilité que cette personne devienne la cible de harcèlement en ligne de la part de personnes dont les messages ont été supprimés ou bloqués des comptes de journalistes, de membres de la haute direction, d’avocats, etc., de CBC/Radio-Canada.
[42] La SRC a aussi expliqué que la décision de refuser de communiquer les renseignements relatifs à ce membre du personnel, même s’ils sont accessibles au public, se fondait sur le fait que la personne elle-même avait demandé à ce qu’ils soient protégés.
[43] La SRC a ajouté qu’il n’était pas déraisonnable d’inférer que les personnes enclines à envoyer des messages haineux et visant à harceler étaient plus susceptibles de diriger leur violence et leurs attaques vers une personne précise qui semble responsable de la suppression de leur message.
[44] Le refus de la SRC de communiquer les renseignements en vertu de l’article 17 ne cadrait toutefois pas avec sa décision de communiquer l’identité d’autres membres de son personnel impliqués dans le signalement et les demandes de suppression de gazouillis. Bien que le Commissaire le lui ait demandé, la SRC n’a pas expliqué pourquoi la sécurité de ces personnes ne serait pas également menacée. Je conclus qu’en l’absence d’une explication convaincante, cela mine l’affirmation de la SRC selon laquelle la communication menacerait vraisemblablement la sécurité de ce membre du personnel, mais pas celle des autres.
[45] De plus, contrairement aux journalistes de la SRC qui participent activement à la préparation et à la présentation de travail journalistique, ce membre du personnel est moins susceptible d’attirer une attention négative, car il n’interagit pas activement avec le public sur les plateformes de médias sociaux dans le cadre de son travail.
[46] La SRC n’a donc pas démontré que la communication de l’identité de ce membre du personnel, dans ce contexte en particulier, pourrait vraisemblablement mener à du harcèlement en ligne.
[47] Compte tenu de ce qui précède, je suis d’avis que la SRC n’a pas démontré en quoi la communication des renseignements relatifs à ce membre du personnel en particulier pourrait vraisemblablement menacer sa sécurité ou sa santé.
[48] Je conclus donc qu’aucun des renseignements en cause ne satisfait aux critères de l’article 17.
Résultat
[49] La plainte est fondée :
- Les renseignements ne satisfont pas aux critères du paragraphe 16(2).
- Les renseignements ne satisfont pas aux critères de l’article 17.
Ordonnances
J’ordonne à la présidente de la Société Radio-Canada de communiquer les renseignements dont la communication avait été refusée en vertu du 16(2) et de l’article 17. Les renseignements qui doivent être communiqués se trouvent aux pages 5, 8 à 10, 13 à 15, 17 à 22, 24 à 26 et 28.
Rapport et avis de l’institution
Le 24 janvier 2025, j’ai transmis à la présidente mon rapport dans lequel je présentais mon ordonnance.
Le 18 février 2025, le directeur, Accès à l’information et protection des renseignements personnels, m’a avisée que la SRC donnerait suite à mon ordonnance.
Révision devant la Cour fédérale
Lorsqu’une allégation dans une plainte s’inscrit dans le cadre de l’alinéa 30(1)a), b), c), d), d.1) ou e) de la Loi, la partie plaignante a le droit d’exercer un recours en révision devant la Cour fédérale. Lorsque la Commissaire à l’information rend une ordonnance, l’institution a également le droit d’exercer un recours en révision. Quiconque exerce un recours en révision doit le faire dans un délai de 35 jours ouvrables suivant la date du présent compte rendu et doit signifier une copie de sa demande de révision aux parties intéressées, conformément à l’article 43. Si personne n’exerce de recours en révision dans ce délai, toute ordonnance rendue prend effet le 36e jour ouvrable suivant la date du présent compte rendu.