Date : 2023011325

Dossier : T-645-20

T-641-20

T-637-20

Référence : 2023 CF 55

[TRADUCTION FRANÇAISE]

Ottawa (Ontario), le 13 25 janvier 2023

En présence de monsieur le juge Pentney

Dossiers : T-641-20, T-645-20

ENTRE :

PATRICK CAIN

demandeur

et

LE MINISTRE DE LA SANTÉ

défendeur

et

LE COMMISSAIRE À LA PROTECTION DE LA VIE PRIVÉE DU CANADA

intervenant

Dossier : T-637-20

ENTRE :

MOLLY HAYES

demanderesse

et

LE MINISTRE DE LA SANTÉ

défendeur

et

LE COMMISSAIRE À LA PROTECTION DE LA VIE PRIVÉE DU CANADA

intervenant

JUGEMENT ET MOTIFS PUBLICS

(Version confidentielle modifiée publiée le 25 janvier 2023)

I. Introduction

[1] La présente affaire porte sur une question plutôt inhabituelle, à savoir si Santé Canada a eu raison de refuser de divulguer les deuxième et troisième caractères des codes postaux des personnes autorisées à cultiver de la marihuana à des fins médicales en vertu du régime d’octroi de licences qui était en place avant la légalisation, ainsi que le nom de certaines des villes où une telle production a été autorisée.

[2] Il s’agit en fait d’établir un équilibre entre le droit fondamental à la vie privée et le droit d’une personne d’avoir accès aux renseignements détenus par le gouvernement. Plus particulièrement, l’affaire soulève la question de l’approche analytique qu’il convient d’utiliser pour mesurer les risques d’atteinte à la vie privée découlant de la communication de renseignements qui proviennent d’ensembles de données structurés contenant des renseignements personnels.

[3] Le défendeur, le ministère de la Santé du Canada (Santé Canada), a divulgué le premier caractère des codes postaux se rapportant aux licences de production de marihuana à des fins médicales (soit à des fins personnelles, soit à titre de « producteur désigné » pour quelqu’un d’autre), mais a refusé de divulguer plus de renseignements. Il soutient qu’il y a de fortes possibilités que ces données, combinées à d’autres renseignements déjà accessibles, permettent d’identifier des personnes précises.

[4] Toutes les parties à la présente instance conviennent que les renseignements qui pourraient permettre d’identifier une personne détenant une licence de production de marihuana à des fins médicales constituent des renseignements personnels qui ne peuvent être divulgués. L’explication est simple : pour obtenir une licence, ces personnes ont fourni des renseignements sur leur état de santé afin de justifier leur consommation de marihuana à des fins médicales, et les renseignements médicaux comptent parmi les renseignements les plus personnels que l’on puisse imaginer.

[5] Cependant, les parties ne s’entendent pas sur la question de savoir si les renseignements en litige, soit les deuxième et troisième caractères de certains codes postaux et le nom de certaines villes, sont des renseignements personnels. Santé Canada a refusé de divulguer ces renseignements en raison du risque qu’ils puissent être combinés à d’autres renseignements relevant déjà du domaine public afin d’identifier des personnes précises. La commissaire à l’information, qui intervient en faveur des demandeurs, conteste cette décision.

[6] Les parties ne s’entendent pas non plus sur le degré d’efforts que Santé Canada doit déployer pour communiquer de l’information tout en protégeant les renseignements personnels. Santé Canada affirme qu’il ne devrait pas être tenu d’évaluer les centaines de codes postaux contenus dans les ensembles de données concernés afin de déterminer si l’un d’eux présente un risque ou non. La commissaire à l’information n’est pas d’accord et soutient que Santé Canada a déjà créé un code informatique qui permet d’automatiser ce processus.

[7] Le commissaire à la protection de la vie privée est intervenu dans cette affaire, mais a limité ses observations à l’application appropriée des critères juridiques au type d’ensembles de données structurés en cause en l’espèce, et à la question connexe du cadre analytique qu’il convient d’appliquer pour évaluer les risques pour la vie privée associés à la divulgation de données provenant de ces ensembles.

[8] Pour les motifs qui suivent, la demande sera rejetée. Je conclus qu’il était justifié pour Santé Canada de refuser de divulguer plus de renseignements en raison des fortes possibilités que ces ensembles de données permettent d’identifier des personnes précises et que cela mène à une atteinte à la vie privée. Je conclus également que Santé Canada n’était pas tenu d’entreprendre une analyse plus détaillée des risques associés à la divulgation de renseignements supplémentaires, son obligation étant de divulguer autant de renseignements qu’il est raisonnable de le faire, mais d’en prélever les renseignements personnels.

II. Contexte

[9] Les deux demandes réunies ont été déposées par la commissaire à l’information pour le compte des demandeurs en l’instance, David Patrick Cain et Molly Hayes, en vertu du paragraphe 41(1) de la Loi sur l’accès à l’information, LRC 1985, c A-1 [la LAI], lesquels contestent le refus de Santé Canada de divulguer des parties des codes postaux et, dans le cas de de M^me Hayes, le nom des villes associées aux licences de production de marihuana à des fins médicales. Avant d’examiner l’historique procédural des demandes d’accès à l’information déposées par M^me Hayes et M. Cain, j’expliquerai brièvement les codes postaux canadiens, car ils sont essentiels pour bien comprendre l’affaire dont la Cour est saisie.

A. Les codes postaux au Canada

[10] Les codes postaux canadiens contiennent six caractères, divisés en deux groupes de trois. Les trois premiers caractères sont un code de région de tri d’acheminement (RTA), qui désigne les grandes divisions géographiques d’une zone urbaine ou rurale. Les trois derniers caractères sont une unité de distribution locale, qui désigne la plus petite zone de livraison à l’intérieur d’une RTA.

[11] Le premier caractère d’un code postal représente un district postal. Le Québec et l’Ontario, par exemple, sont divisés en trois et cinq districts postaux respectivement. Ces provinces ont une zone urbaine comptant une population suffisamment importante pour avoir un district postal unique représenté par une lettre (« H » pour la région de Montréal et « M » pour Toronto). À titre de comparaison, bien que le Nunavut et les Territoires du Nord-Ouest représentent une grande partie du territoire du Canada, leur population est si petite qu’ils se partagent une seule RTA.

[12] Le deuxième caractère d’une RTA désigne la région comme étant urbaine ou rurale; un zéro désignant une région rurale étendue et tous les autres chiffres désignant des régions urbaines. Le troisième caractère de la RTA représente une région rurale particulière, une ville de taille moyenne ou une section d’une grande ville. Par exemple, les trois premiers caractères du code postal de la Cour fédérale à Ottawa (K1A) indiquent que son adresse postale se trouve au centre-ville d’Ottawa; les trois derniers caractères indiquant l’emplacement avec plus de précision.

[13] Au Canada, une RTA peut désigner une zone urbaine densément peuplée ou une zone rurale à faible densité de population répartie sur un grand territoire. Statistique Canada a publié un document intitulé « Chiffres de population et des logements de 2016 par RTA » selon lequel en 2016, la majorité des RTA comptaient plus de 10 000 habitants. Ce document révèle également une grande disparité entre les chiffres de population, qui vont de zéro à 139 128 habitants.

B. La demande de Molly Hayes (numéro de dossier de la Cour : T-637-20)

[14] En août 2017, M^me Hayes a présenté une demande d’accès à l’information à Santé Canada en vue d’obtenir les renseignements suivants :

[traduction]

La liste des adresses de toutes les personnes au Canada qui détiennent une licence de production de marihuana à des fins personnelles, délivrées en vertu du Règlement sur l’accès au cannabis à des fins médicales, et qui ont été autorisées par Santé Canada à posséder 244 plants intérieurs de marihuana et plus, ou 95 plants extérieurs et plus, et/ou 35 625 grammes ou plus en entrepôt en tout temps (non souligné dans l’original).

[15] Santé Canada a obtenu les renseignements demandés en vertu du régime de réglementation de la possession et de la production de marihuana à des fins médicales en place à l’époque, soit le Règlement sur l’accès au cannabis à des fins médicales, DORS/2016-230 [le RACFM ou le Règlement]. Sous ce régime, il était possible de demander une licence pour cultiver sa propre marihuana à des fins médicales, dans sa résidence ou ailleurs, ou de désigner quelqu’un d’autre pour la cultiver à sa place. Pour obtenir une telle licence, il fallait fournir des renseignements personnels sur l’endroit où la culture aurait lieu, ainsi que des renseignements médicaux justifiant la consommation de marihuana à des fins médicales.

[16] Des règlements antérieurs régissaient ces questions, mais ce régime a maintenant été remplacé par la Loi sur le cannabis, LC 2018, c 16, et le Règlement sur le cannabis, DORS/2018-144.

[17] Santé Canada a répondu à la demande de M^me Hayes le 16 octobre 2017. Le dossier pertinent, créé par la Direction générale des substances contrôlées et du cannabis à partir d’une base de données qu’elle tenait à jour, contient une liste de 575 adresses qui comprennent des numéros de voirie, des noms de rue, des villes et des provinces ainsi que des codes postaux. La Division de l’accès à l’information et de la protection des renseignements personnels (AIPRP) de Santé Canada a conclu que la plupart des renseignements étaient des renseignements personnels et qu’ils étaient donc soustraits à la communication en application de l’article 19 de la LAI. Elle a prélevé des renseignements personnels du dossier et n’a divulgué que le nom des provinces.

[18] Le 31 octobre 2017, M^me Hayes a déposé une plainte auprès du Commissariat à l’information concernant le refus de divulguer les autres renseignements. La commissaire à l’information a convenu avec Santé Canada que l’exemption des renseignements personnels prévue au paragraphe 19(1) s’appliquait aux numéros de voirie, aux noms de rue et aux trois derniers chiffres des codes postaux. Par conséquent, ces renseignements ne devaient pas être divulgués. Cependant, la commissaire a demandé à Santé Canada de déterminer s’il était possible de divulguer d’autres segments des codes postaux ainsi que les noms de ville. Santé Canada a par la suite accepté de divulguer le premier caractère du code postal, mais a refusé de divulguer tout autre renseignement, prétendant qu’il s’agissait de « renseignements personnels », car ils pouvaient permettre d’identifier les personnes autorisées s’ils étaient combinés à d’autres renseignements déjà divulgués. Santé Canada a également affirmé qu’il était déraisonnable de l’obliger à analyser chaque RTA séparément pour déterminer le risque de réidentification. Ce point sera analysé plus en détail ci-après.

[19] La commissaire à l’information a convenu avec Santé Canada que la divulgation du nom des villes ou des RTA complètes entraînait un risque d’identification dans les endroits où la population est peu nombreuse, mais elle n’était pas convaincue qu’un tel risque découlerait de la divulgation du nom des villes ou des RTA des régions plus peuplées. Elle ne souscrivait pas non plus à l’affirmation de Santé Canada selon laquelle il n’était pas raisonnable de lui demander d’analyser chaque RTA pour déterminer laquelle pouvait être divulguée.

C. La demande de M. Cain (numéros de dossier de la Cour : T-641-20 et T-645-20)

[20] En octobre 2017, M. Cain a demandé l’accès aux renseignements suivants :

[traduction]

Un document en format triable (ex. : .txt, .cvs ou .xls) indiquant les trois premiers caractères des codes postaux des producteurs de cannabis à des fins médicales personnelles ou à titre de personnes désignées, ou encore le nombre total de producteurs, classés en fonction des trois premiers caractères de leur code postal et séparés selon qu’ils cultivent du cannabis à des fins personnelles ou qu’ils le font pour quelqu’un d’autre.

Un document en format triable (ex. : .txt, .cvs ou .xls) indiquant les trois premiers caractères des codes postaux des consommateurs inscrits de marihuana à des fins médicales, ou encore le total des consommateurs, classés en fonction des trois premiers caractères de leur code postal.

[21] En réponse à la première demande, la Direction générale des substances contrôlées et du cannabis a créé deux feuilles de calcul contenant des renseignements sur les producteurs de cannabis à des fins médicales personnelles ou à titre de personnes désignées, dans lesquelles étaient indiqués les RTA et le nombre correspondant de producteurs inscrits à des fins personnelles (11 100) et de producteurs inscrits à titre de personnes désignées (673), respectivement.

[22] Quant à la deuxième demande, la Direction générale a fait remarquer que le terme « consommateur inscrit » n’était pas défini dans le régime. Elle a donc plutôt créé une feuille de calcul qui indiquait la province et la RTA des 11 843 personnes qui étaient autorisées à cultiver de la marihuana à des fins médicales ou qui avaient désigné quelqu’un d’autre pour le faire en leur nom.

[23] La Direction de l’AIPRP de Santé Canada a examiné les dossiers et a divulgué le premier caractère d’environ 11 773 RTA en réponse à la première demande, et le premier caractère d’environ 11 842 RTA en réponse à la deuxième. Comme il l’avait fait pour la plainte de M^me Hayes, Santé Canada a refusé de divulguer les deuxième et troisième caractères des RTA en vertu du paragraphe 19(1) de la LAI. M. Cain s’est plaint de la divulgation incomplète à la commissaire à l’information.

[24] Le 7 mai 2020, à la suite d’une enquête sur la plainte de M. Cain, la commissaire à l’information a convenu que la divulgation des RTA peu peuplées entraînait de fortes possibilités d’identification des producteurs et des consommateurs de marihuana, mais elle n’était pas convaincue que c’était le cas pour la plupart des RTA parce que leurs populations étaient plus grandes. Elle a conclu que Santé Canada n’avait pas de raison de refuser de divulguer plus de renseignements parce que le risque d’identification des personnes désignées ne satisfaisait pas au critère juridique, et que son refus d’effectuer l’analyse nécessaire n’était pas justifié.

D. Les décisions définitives de Santé Canada

[25] Le 20 janvier 2020, Santé Canada a répondu aux rapports que la commissaire à l’information a rédigés concernant les plaintes et a indiqué qu’il n’avait pas l’intention de mettre en œuvre les recommandations de la commissaire en ce qui concerne la divulgation des RTA et des villes.

[26] Santé Canada a maintenu sa position selon laquelle les RTA et les villes étaient des renseignements personnels qu’il ne pouvait pas divulguer en application du paragraphe 19(1) de la LAI, et il a expliqué qu’il n’invoquerait pas les exceptions discrétionnaires énumérées au paragraphe 19(2) pour divulguer ces renseignements. Il a déclaré que s’ils étaient divulgués, les deuxième et troisième caractères des RTA et les noms des villes, combinés à d’autres renseignements déjà accessibles (notamment les détails divulgués à la suite de demandes d’accès antérieures), entraîneraient de fortes possibilités que des personnes puissent être identifiées. Il a affirmé qu’en raison de ce risque, les renseignements correspondaient à la définition de « renseignements personnels » et étaient donc soustraits à la divulgation.

[27] Conformément à l’alinéa 42a) de la LAI, la commissaire à l’information a présenté des demandes de contrôle judiciaire à l’encontre des décisions définitives de Santé Canada. Par une ordonnance de la Cour datée du 27 août 2020, les affaires ont été réunies.

[28] Le commissaire à la protection de la vie privée a obtenu l’autorisation d’intervenir dans la présente instance et a eu accès aux renseignements confidentiels qui avaient été déposés. Il a été autorisé à déposer un mémoire des faits et du droit et à présenter des observations orales. Les autres parties ont obtenu le droit de répondre aux deux.

E. Les questions en litige et la norme de contrôle applicable

[29] La présente affaire soulève deux questions :

1. Le ministre est-il autorisé à refuser la divulgation des documents en cause en vertu du paragraphe 19(1) de la LAI, parce qu’ils constituent des renseignements personnels?

2. Le ministre a-t-il eu raison de refuser de prélever d’autres parties des documents conformément à l’article 25 de la LAI?

[30] Les parties s’entendent en grande partie sur les questions ainsi que sur le droit applicable à ces affaires, sauf pour ce qui est d’une question relative à la norme de contrôle. Le débat principal entre les parties, et le point sur lequel l’intervenant met l’accent, concerne l’application des principes juridiques à la situation particulière dont est saisie la Cour, y compris l’approche analytique qu’il convient d’utiliser pour évaluer le risque qu’entraîne la divulgation de renseignements provenant d’ensembles de données structurés, comme les documents que détient Santé Canada sur les licences de production de marihuana à des fins médicales.

[31] Le droit est clair en ce qui concerne la norme de contrôle qui s’applique à la première question. Aux termes de l’article 44.1 de la LAI, les recours en révision prévus à l’article 41 sont entendus de novo, comme une nouvelle affaire. Selon ce principe, la Cour « se met à la place » du ministre pour déterminer si le refus de divulguer est autorisé en vertu de la loi (Suncor Energy Inc. c Office Canada-Terre-Neuve-et-Labrador des hydrocarbures extracôtiers, 2021 CF 138 [Suncor Energy] au para 64). En réalité, cela signifie que la Cour « doit tirer sa propre conclusion sur la question de savoir si les renseignements personnels en question sont soustraits à la communication, conformément au paragraphe 19(1), c.-à-d. qu’elle doit déterminer si l’exception obligatoire a été correctement appliquée » (Canada (Commissaire à l’information) c Canada (Sécurité publique et Protection civile), 2019 CF 1279 [Sécurité publique] au para 40). Il incombe à Santé Canada d’établir qu’il était autorisé à refuser de divulguer les renseignements. Les parties s’entendent sur ces points.

[32] En ce qui concerne la deuxième question, cependant, les opinions divergent. Il ressort de la jurisprudence que l’exercice, par un ministre, du pouvoir discrétionnaire conféré au paragraphe 19(2) peut faire l’objet d’un contrôle selon la norme de la décision raisonnable (voir, par exemple, 3430901 Canada Inc. c Canada (Ministre de l’Industrie), 2001 CAF 254, [2002] 1 CF 421 [Telezone]; Sécurité publique, au para 41). Se fondant sur les paragraphes 18 et 19 de la décision Attaran c Canada (Défense nationale), 2011 CF 664 [Attaran], le défendeur soutient que la même approche devrait être adoptée pour examiner sa décision de ne prélever aucun renseignement dans les documents qu’il détient comme le prévoit l’article 25 de la LAI.

[33] La commissaire à l’information ne souscrit pas à cette position et affirme que selon l’article 25 de la LAI, il est obligatoire de procéder à un prélèvement et que cette décision devrait donc être examinée dans le cadre du pouvoir de révision de novo prévu à l’article 44.1. Selon elle, le ministre n’a pas le droit de refuser de divulguer les parties d’un document dépourvues de renseignements à protéger si le prélèvement ne pose pas de problèmes sérieux. Par conséquent, la Cour devrait tirer sa propre conclusion concernant la question de savoir si l’article 25 a été correctement appliqué aux documents en question. La commissaire à l’information soutient que la décision Attaran ne devrait pas être suivie parce qu’elle a été infirmée par la jurisprudence plus récente.

[34] Il semble que cette question précise n’a pas été examinée depuis l’affaire Attaran. La principale question à cet égard est de savoir quel est le degré d’efforts requis pour respecter l’obligation prévue à l’article 25. Il faut ensuite se demander si le refus de Santé Canada de prélever des renseignements des documents et d’en divulguer davantage est conforme à la norme juridique applicable.

[35] Les faits qui suivent ne sont pas contestés : (i) certaines parties des documents qui répondent aux demandes contiennent des renseignements personnels; (ii) Santé Canada a exercé le pouvoir que lui confère l’article 25 de prélever certaines parties des documents et a divulgué le premier caractère des codes postaux pertinents. Les arguments en l’espèce portent sur la question de savoir si Santé Canada est tenu d’entreprendre un examen plus rigoureux et si d’autres renseignements doivent être divulgués.

[36] À la lumière de ce qui précède, il est clair qu’au moins une partie des documents en question contient des renseignements personnels (p. ex., l’adresse du domicile des consommateurs autorisés ou les RTA complètes des zones très peu peuplées) et par conséquent, Santé Canada avait le droit de refuser de divulguer cette partie des documents. Personne ne remet cela en question. Le seul argument porte sur la question de savoir si d’autres renseignements auraient dû être divulgués. À ce sujet, le débat porte sur la question de savoir si le type d’« analyse mosaïque » (ou analyse de couplage) qu’il conviendrait d’effectuer pour évaluer les risques particuliers associés à la divulgation du nom de certaines villes et des deuxième et troisième lettres de chaque RTA va au-delà de ce que la loi exige de la part d’une institution fédérale.

[37] À certains égards, les faits de l’affaire Attaran sont semblables à ceux de l’espèce dans la mesure où les documents contenaient des renseignements personnels, l’institution fédérale avait divulgué certaines parties des documents demandés, et le débat concernait la question de savoir si le refus de l’institution fédérale de divulguer davantage de détails était justifié. L’analyse du juge Barnes sur ce point vaut la peine d’être citée en entier :

[18] Je conviens que la question de savoir si on a envisagé un prélèvement doit être appréciée selon la norme de la décision correcte (voir 3430901 Canada Inc. c. Canada (Ministre de l’Industrie), 2001 CAF 254, [2002] 1 CF 421, au paragraphe 39 [Telezone]). Je ne suis toutefois pas d’accord que l’application de cette obligation à la preuve doive être jugée selon la même norme. À mon avis, déterminer si les photographies peuvent être caviardées est un exercice qui requiert un certain jugement professionnel et, par conséquent, la norme de la décision raisonnable s’applique. Nonobstant l’obligation de la Cour de faire preuve de déférence à l’égard de l’approche adoptée par le décideur à l’égard du caviardage, je suis convaincu que la norme de la décision raisonnable est suffisamment efficace pour régler les cas où le gouvernement s’y est livré de façon manifestement exagérée et injustifiée.

[19] L’article 49 de LAI vise le contrôle judiciaire des décisions de refus de communication fondées, entre autres, sur l’article 19 de cette Loi. Dans l’arrêt Canada (Commissaire à l’information) c. Canada (Commissaire de la Gendarmerie royale du Canada), 2003 CSC 8, [2003] 1 RCS 66, la Cour suprême du Canada a analysé en détail la norme de contrôle au regard de cette disposition et a conclu que la décision de ce qui constituait un « renseignement personnel » en vertu de l’article 19 la LAI devait être examinée selon la norme de la décision correcte et que le fardeau de la preuve sur ce point incombait au gouvernement. Après avoir conclu que le décideur avait correctement exercé ce pouvoir, la cour a conclu que le pouvoir de révision de novo était « épuisé ». À mon avis, cela signifie que, dans l’appréciation d’un éventuel caviardage de document, autorisé par l’article 25 de la LAI, ou dans la pondération du droit à la protection de la vie privée et de l’intérêt public, autorisée par le sous‑alinéa 8(2)m)(i) de la Loi sur la protection des renseignements personnels, le pouvoir discrétionnaire du décideur est susceptible de contrôle selon la norme de la décision raisonnable (voir Attaran c. Canada, 2009 CF 339, 342 FTR 82, par. 28 à 32, et Telezone, précité, par. 47). Il s’ensuit que les décisions du défendeur de ne pas caviarder les photographies des détenus et de refuser de communiquer les photographies pour des raisons d’intérêt public sont susceptibles de contrôle selon la norme de la décision raisonnable.

[38] Selon cette approche, la conséquence inexorable du fait que le défendeur était autorisé à refuser de divulguer au moins une partie des documents en question, et du fait qu’il s’est précisément demandé quelles parties pouvaient être prélevées, est que le pouvoir de révision de novo est épuisé et que la question de savoir si d’autres renseignements devraient être divulgués doit être examinée selon la norme de la décision raisonnable.

[39] La question fondamentale est de savoir si l’arrêt Merck Frosst Canada Ltée c Canada (Santé), 2012 CSC 3 [Merck Frosst], de la Cour suprême du Canada a eu une incidence sur la décision Attaran.

[40] Dans l’arrêt Merck Frosst, la Cour suprême du Canada a énoncé les principes clés qui régissent l’application de l’article 25 :

[237] Selon l’art. 25, il faut essentiellement relever les parties du document soustrait à la communication qui peuvent, elles, être communiquées et dont « le prélèvement […] ne pose pas de problèmes sérieux ». J’estime que cet exercice comporte une analyse sémantique ainsi qu’une analyse des coûts et des avantages. D’une part, l’analyse sémantique vise à établir si ce qu’il reste après que les renseignements soustraits à la divulgation ont été retranchés du document en cause a un sens. Dans la négative, il n’est pas raisonnable de procéder au prélèvement. Comme l’a dit la Cour d’appel fédérale dans Blank c. Canada (Ministre de l’Environnement), 2007 CAF 289 (CanLII), au par. 7, « les passages qui ne sont pas protégés doivent toujours être communiqués si cela est utile ». D’autre part, l’analyse des coûts et des avantages sert à déterminer si les avantages qu’il y a à prélever et divulguer les renseignements restants à la suite du processus d’expurgation justifient les efforts déployés par l’institution fédérale en vue d’expurger le document en cause. Même si le texte prélevé n’est pas complètement dénué de sens, le prélèvement n’est raisonnable que si la divulgation des passages du document n’ayant pas été retranchés remplissait raisonnablement les objectifs de la Loi. Dans les cas où il ne reste que « [d]es bribes de renseignements pouvant être divulgués » à la suite du prélèvement, la divulgation de ces renseignements ne remplit pas l’objet de la Loi, et le prélèvement n’est pas raisonnable : Canada (Commissaire à l’information) c. Canada (Solliciteur général), [1988] 3 C.F. 551 (1^re inst.), p. 558-559; SNC‑Lavalin Inc., par. 48. Comme l’a dit le juge en chef adjoint Jerome dans Bande indienne de Montana c. Canada (Ministre des Affaires indiennes et du Nord canadien), [1989] 1 C.F. 143 (1^re inst.) :

Si l’on se conformait à l’article 25, il en résulterait la communication d’un document complètement censuré, laissant voir tout au plus deux ou trois lignes. Sorties de leur contexte, ces informations seraient inutiles. Le travail de prélèvement nécessaire de la part du Ministère n’est pas raisonnablement proportionné à la qualité de l’accès qui s’ensuivrait. [Je souligne; p. 160‑161.]

[238] Cela dit, il ne faut pas perdre de vue l’objet de l’art. 25, qui vise à faciliter l’accès au plus de renseignements possible tout en donnant effet aux exceptions précises et limitées prévues à la Loi : Ontario (Sûreté et Sécurité publique), par. 67.

[41] La Cour a conclu que le rôle d’un juge siégeant en révision était « de décider si le responsable de l’institution avait appliqué correctement l’art. 25 » (Merck Frosst, au para 232).

[42] Compte tenu de l’arrêt Merck Frosst, je suis convaincu que la question du degré d’efforts requis pour satisfaire à l’obligation de prélèvement prévue à l’article 25 devrait être traitée dans le cadre de la révision de novo plutôt que comme une décision discrétionnaire. Le libellé de la disposition et la place que celle-ci occupe dans la LAI appuient ce point de vue. À mon avis, l’analyse de la norme de contrôle qui a été effectuée dans la décision Attaran a été infirmée par l’arrêt Merck Frosst de la Cour suprême, par lequel je suis lié. Je suivrai donc les directives de la Cour suprême et je procéderai à une révision de novo de la décision du défendeur concernant le caviardage afin de déterminer s’il a correctement appliqué l’article 25.

[43] Cette approche est également conforme à la nature de la révision exigée par la LAI. Le paragraphe 48(1) établit la charge de la preuve dans les recours prévus à l’article 41, charge qui consiste à établir le « bien-fondé du refus de communication totale ou partielle d’un document » [non souligné dans l’original]. Ce principe est reflété dans l’article 49, qui énonce les pouvoirs de la Cour. Selon l’interprétation de l’article 25 adoptée dans les arrêts Dagg c Canada (Ministre des Finances), 1997 CanLII 358 (CSC), [1997] 2 RCS 403 [Dagg], et Merck Frosst, l’institution fédérale n’est pas « autorisée » à refuser de divulguer une partie d’un document dans la mesure où il est raisonnablement possible de la séparer du reste du document conformément à l’article 25.

[44] Par souci de clarté, à mon avis, il s’agit d’un processus en deux étapes. Premièrement, la cour de révision doit déterminer si l’institution fédérale s’est acquittée de son obligation d’envisager de prélever des parties du document comme le prévoit l’article 25. Si cela n’a pas été fait, la cour de révision doit le faire dans le cadre de sa révision de novo. Elle l’a d’ailleurs fait dans de nombreuses décisions antérieures et, dans certaines d’entre elles, elle a ordonné que des parties de documents soient divulguées comme l’exige l’article 25 (voir, par exemple, Concord Premium Meats Ltd. c Canada (Agence d’inspection des aliments), 2020 CF 1166 [Concord]).

[45] Deuxièmement, la cour doit évaluer de novo s’il est raisonnable de ne divulguer qu’une partie du document. L’analyse de cette question repose sur un certain nombre de considérations énoncées dans la jurisprudence. Le juge en chef adjoint Jerome a décrit ce principe directeur de façon très directe : « Des bribes de renseignements pouvant être divulgués, extraites de passages par ailleurs protégés ne peuvent être prélevées sans poser de problèmes sérieux » (Canada (Commissaire à l’information) c Canada (Solliciteur général), [1988] 3 CF 551 (1^re inst.), à la p 559, citée avec approbation dans Merck Frosst, au para 237).

[46] Comme je l’expliquerai ci‑après, le nœud du litige en l’espèce concerne la deuxième étape, parce que le défendeur affirme que le fait de l’obliger à entreprendre une analyse plus détaillée des risques de réidentification va au‑delà de ce qui est raisonnable, selon l’article 25.

III. Analyse

[47] Les parties reconnaissent qu’il s’agit d’une première pour la Cour, car aucune des affaires dont elle a été saisie auparavant ne traitait des questions précises soulevées en l’espèce. Avant d’examiner ces questions précises, il convient d’établir le cadre juridique qui s’applique.

A. Le cadre juridique applicable

[48] Les principaux éléments du cadre juridique qui régit la présente instance ont été résumés par le juge McHaffie aux paragraphes 25 à 37 de la décision Sécurité publique, et il n’est pas nécessaire de les répéter en détail. Les points les plus pertinents en l’espèce sont les suivants :

• L’accès à l’information et la protection de la vie privée sont reconnus comme étant des droits fondamentaux. La LAI et la Loi sur la protection des renseignements personnels (la LPRP) sont décrites comme des lois quasi constitutionnelles en raison des droits qu’elles cherchent à protéger : Canada (Commissaire à l’information) c Canada (Ministre de la Défense nationale), 2011 CSC 25 au para 40; HJ Heinz du Canada Ltée c Canada (Procureur général), 2006 CSC 13 [Heinz] au para 28;

• La LAI énonce le principe général selon lequel le public a un droit d’accès à l’information contenue dans les documents de l’administration fédérale, ce qui accroît la responsabilité et la transparence du gouvernement et favorise une société ouverte et démocratique : Merck Frosst, aux para 1, 21-22;

• La protection de la vie privée est également une valeur fondamentale enchâssée dans la Charte canadienne des droits et libertés (par exemple, l’article 8 garantit une protection contre les fouilles, les perquisitions et les saisies abusives) ainsi que dans la LPRP. La LPRP interdit la divulgation des « renseignements personnels », qui sont définis de manière non exhaustive et non restrictive. La définition générale est la suivante : renseignements personnels Les renseignements, quels que soient leur forme et leur support, concernant un individu identifiable (non souligné dans l’original);

• La LAI et la LPRP doivent être interprétées ensemble, et puisqu’elles contiennent une exception expresse soustrayant les renseignements personnels à la communication, le droit à la vie privée doit « l’emporter » sur le droit à l’accès à l’information dans la mesure où une telle information est visée par la définition de « renseignements personnels » : voir Dagg, au para 48; Heinz, au para 28;

• La définition de « renseignements personnels » à l’article 3 de la LIPRP est « indéniablement large » et « délibérément large »; elle vise « tout renseignement sur une personne donnée, sous la réserve d’exceptions précises » (Dagg, aux para 65, 68-69);

• Le paragraphe 19(1) de la LAI prévoit une exception obligatoire au droit d’accès à l’information pour les renseignements personnels, tels qu’ils sont définis à l’article 3 de la LIPR :

 

• Au paragraphe 34 de la décision Gordon c Canada (Santé), 2008 CF 258 [Gordon], le juge Gibson a énoncé le critère permettant de déterminer si les renseignements concernent un individu identifiable :

Les renseignements seront des renseignements concernant un individu identifiable lorsqu’il y a de fortes possibilités que l’individu puisse être identifié par l’utilisation de ces renseignements, seuls ou en combinaison avec des renseignements d’autres sources.

(non souligné dans l’original)

• Dans la décision Sécurité publique, le juge McHaffie a défini l’expression « fortes possibilités » ainsi :

[…] une possibilité qui dépasse une spéculation ou une « simple possibilité », sans être « plus susceptible de se produire que l’inverse » (c.-à-d. qui ne doit pas être « probable » selon la prépondérance des probabilités). L’application d’une telle norme reconnaît l’importance de l’accès à l’information, car elle ne soustrait pas l’information à la communication au motif de simples possibilités hypothétiques, en même temps qu’elle respecte l’importance des droits à la vie privée et la nature intrinsèquement prospective de l’analyse, du fait qu’elle n’exige pas un degré de preuve excessivement élevé portant que des renseignements personnels pourraient être communiqués.

[49] Les parties ne contestent pas qu’il s’agit du cadre juridique applicable. Par contre, ils ne s’entendent pas sur son application aux faits de l’espèce, lesquels nous examinerons maintenant.

[50] À cette étape, il convient de rappeler quelles sont les demandes en cause et ce qui demeure en litige. Dans sa demande, M^me Hayes veut obtenir les adresses de tous les détenteurs d’une licence à des fins personnelles qui produisent des quantités relativement importantes de marihuana (244 plants intérieurs ou plus, ou 95 plants extérieurs ou plus, et/ou 35 625 grammes en entreposage). M. Cain demande quant à lui un document en format triable qui indique les RTA des producteurs à des fins personnelles ou des producteurs désignés, ainsi que des renseignements semblables sur les « consommateurs inscrits », expression qui, selon l’interprétation de Santé Canada, renvoie aux producteurs à des fins personnelles ou aux producteurs désignés.

[51] Pour ce qui est de la question de savoir ce qui demeure en litige, la commissaire à l’information accepte que certaines parties des documents en cause ne devraient pas être divulguées parce qu’elles contiennent des renseignements personnels; notamment les adresses complètes et certaines RTA associées à des zones peu peuplées. Santé Canada a accepté de divulguer le premier caractère des RTA contenues dans les documents. Par conséquent, aucun de ces points n’est en litige.

[52] Toutefois, la commissaire à l’information ne souscrit pas à l’affirmation de Santé Canada selon laquelle les deuxième et troisième caractères des autres RTA et le nom des villes devraient être soustraits à la communication parce qu’il y a de fortes possibilités que ces données, si elles sont combinées à d’autres renseignements déjà accessibles, permettent d’identifier des individus.

[53] La commissaire à l’information ne souscrit pas non plus à l’affirmation de Santé Canada selon laquelle il serait déraisonnable de lui demander d’examiner chaque RTA pour déterminer le risque associé à la divulgation des deuxième et troisième caractères. Ce point sera examiné ci-après, dans le cadre de la deuxième question.

[54] Le litige au centre de l’espèce porte sur la question de savoir si les deuxième et troisième caractères des RTA dont la population est plus élevée ainsi que le nom des villes devraient être soustraits à la communication parce qu’il y a de « fortes possibilités » que ces données puissent être combinées à d’autres renseignements pour identifier des individus précis. L’approche à utiliser pour évaluer les risques liés à ce qu’on appelle les « ensembles de données structurés » et la méthode d’évaluation de ces risques sont également liées à la question en litige. Les parties et l’intervenant ont présenté des observations sur cette question, que j’examinerai ci-dessous.

B. Le ministre est-il autorisé à refuser la communication des documents en cause en vertu du paragraphe 19(1) de la LAI, parce qu’ils constituent des renseignements personnels?

[55] Il incombe à Santé Canada d’établir qu’il était autorisé à refuser la communication des documents, et il est donc approprié de commencer par sa position, même s’il s’agit techniquement du défendeur dans la présente instance. Je résumerai ensuite la position des demandeurs et examinerai les observations de l’intervenant.

(1) Les arguments de Santé Canada

[56] Santé Canada soutient qu’il a respecté le critère établi dans la décision Gordon en démontrant qu’il existe de fortes possibilités que la divulgation des renseignements contestés permette d’identifier des individus, parce que ces renseignements pourraient être combinés à d’autres renseignements déjà accessibles. Il a déposé deux affidavits et un rapport d’expert en preuve. Ces éléments sont décrits en détail ci-dessous, car ils constituent la majeure partie de la preuve dont la Cour est saisie dans le cadre de la présente révision de novo.

(a) L’affidavit Garrah

[57] Santé Canada a présenté un affidavit souscrit par M^me Joanne Garrah, directrice par intérim de la Direction des licences et de l’accès à des fins médicales de la Direction générale des substances contrôlées et du cannabis. Cette dernière décrit l’évolution du régime de réglementation du cannabis à des fins médicales, le type de renseignements qu’une personne doit fournir pour obtenir une licence, ainsi que les renseignements que Santé Canada publie sur son site Web à ce sujet.

[58] Il n’est pas nécessaire d’examiner en détail l’historique de la réglementation de la marihuana à des fins médicales; les aspects pertinents du régime de réglementation en place au moment des demandes d’AIPRP en l’espèce ont déjà été décrits précédemment.

[59] L’affidavit énonce les renseignements qu’une personne devait fournir pour s’inscrire comme consommateur de cannabis à des fins médicales, notamment son nom, son adresse, sa date de naissance et son sexe, son adresse complète, son numéro de téléphone et son adresse électronique, l’adresse complète du site où la production de cannabis aurait lieu, si le cannabis serait cultivé à l’intérieur ou à l’extérieur (et, en cas de production extérieure, si l’endroit est situé près d’une école, d’un terrain de jeu ou d’un autre endroit fréquenté par des personnes de moins de 18 ans), et si la personne le cultiverait elle-même ou désignerait quelqu’un d’autre pour le faire. De plus, il fallait obtenir auprès d’un médecin un document précisant la quantité de cannabis prescrite pour la consommation quotidienne.

[60] Le formulaire d’inscription comprenait un avis de confidentialité qui expliquait ceci : (i) la Loi sur la protection des renseignements personnels régit l’utilisation des renseignements personnels fournis; (ii) les renseignements « pourraient être divulgués à des entités d’application de la loi pour confirmer votre possession et production légales de cannabis. […] »; (iii) « [d]ans certaines circonstances, vos renseignements personnels pourraient être divulgués sans votre consentement conformément au paragraphe 8(2) de la Loi sur la protection des renseignements personnels ». Les droits protégés par cette loi y étaient également énoncés.

[61] L’affidavit décrit également les types de renseignements que Santé Canada a recueillis et publiés sur son site Web, par exemple des mises à jour mensuelles sur la quantité de cannabis vendue à des fins médicales; le nombre de producteurs à des fins personnelles ou de producteurs désignés inscrits par province; le nombre de demandes traitées chaque mois; et des renseignements sur le cannabis à des fins médicales à l’intention des professionnels de la santé.

(b) L’affidavit MacAndrew-Donnelly

[62] Santé Canada a également présenté un affidavit de M^me Cassie MacAndrew-Donnelly, chef d’équipe à la Division de l’AIPRP de Santé Canada, qui a participé au traitement de toutes les demandes d’AIPRP concernant les licences de production de marihuana à des fins médicales depuis 2010. Elle a également traité les demandes d’AIPRP concernant les RTA et la marihuana à des fins médicales depuis que Santé Canada a commencé à en recevoir en 2011.

[63] L’affidavit présente l’historique de traitement des trois demandes d’AIPRP sous-jacentes à la présente affaire, puis décrit les autres renseignements qui sont accessibles et qui sous-tendent le refus de Santé Canada de communiquer les documents. Il y est fait mention de trois autres sources d’information : les données que Santé Canada publie sur son site Web concernant la marihuana à des fins médicales; d’autres sources de données publiques sur les populations, y compris les données du Recensement de 2016 et le rapport de Statistique Canada intitulé « Chiffres de population et des logements par RTA »; ainsi que d’autres renseignements accessibles au public, y compris des données publiées en réponse à de nombreuses demandes antérieures d’AIPRP au sujet des inscriptions pour la production et la consommation de marihuana à des fins médicales.

[64] Les demandes d’AIPRP et les communications décrites dans l’affidavit couvrent une période allant d’avril 2012 à janvier 2020 (c.-à-d. après les demandes de M^me Hayes et de M. Cain, un point qui sera examiné plus loin). L’affidavit indique qu’un large éventail de demandes ont été présentées, dont certaines visent des données nationales et d’autres visent des villes particulières. Plusieurs des premières demandes visaient à obtenir de l’information classée par RTA, comme la demande d’avril 2012, époque où la RTA des collectivités de 6 200 habitants ou plus était divulguée. Ce seuil a été choisi parce qu’il correspondait à la population moyenne d’une RTA à l’époque. Les renseignements divulgués comprenaient le type de licence, l’état de santé (les conditions rares ayant été retirées), la posologie et la date de délivrance de la licence. Dans une communication faite en 2014, certains renseignements sur les détenteurs d’une licence de production de marihuana à des fins médicales avaient été fournis, notamment l’année de naissance, la posologie, le sexe, l’état de santé (les conditions rares ayant été retirées) et la province (sans la ville). En novembre 2015, de l’information a été divulguée sur les RTA des collectivités de 60 000 habitants ou plus, notamment sur l’état de santé de la personne (les conditions rares ayant été retirées), la posologie, la province, le type de licence et l’année de délivrance.

[65] L’auteure de l’affidavit explique les préoccupations que suscite l’« effet mosaïque » créé par une telle divulgation de renseignements :

[traduction]

La Division d’AIPRP de Santé Canada est préoccupée par le fait que, d’après ce que l’on peut voir des dossiers faisant actuellement l’objet d’une plainte et des nouveaux dossiers déposés, les demandeurs essaient de recueillir de plus en plus de renseignements au fil du temps afin de mieux définir le profil des détenteurs d’une licence de production de marihuana à des fins médicales au Canada à l’aide des points de données qui ont déjà été communiqués. Des efforts ont été déployés par le passé pour recueillir, relier et publier des renseignements sur les détenteurs d’une licence de production de marihuana à des fins médicales. L’établissement d’un lien entre tous ces dossiers pourrait permettre d’identifier une personne si l’on divulguait plus que le premier caractère de la RTA.

[66] Un exemple de ces [traduction] « efforts déployés par le passé » est la carte interactive du Canada qui a été publiée sur Internet et qui affiche les RTA où des demandes de licence de production de marihuana à des fins médicales ont été présentées entre 2001 et 2007. L’auteure de l’affidavit indique que [TRADUCTION] « la carte utilise un dégradé de couleurs selon lequel plus la zone est foncée, plus le nombre de licences de production de marihuana à des fins médicales est élevé ». Elle décrit ensuite les résultats de son exploration des éléments interactifs sur la carte. Par exemple, lorsqu’elle cliquait sur le nom d’une ville, une carte de cette ville s’affichait, divisée par RTA, et lorsqu’elle cliquait sur une RTA en particulier, le nombre de licences de production de marihuana à des fins médicales demandées dans cette région s’affichait, ainsi que les conditions médicales des patients associés à cette licence. Un article du Edmonton Journal au sujet de la carte interactive fournissait un lien vers une base de données qui permettait aux utilisateurs de faire des recherches par conditions médicales, par code postal, par spécialité médicale, par dose quotidienne et par entreposage autorisé de marihuana.

[67] L’affidavit explique également l’évolution de l’approche de Santé Canada à l’égard des réponses fournies aux demandes d’AIPRP liées aux licences de production de marihuana à des fins médicales, et ses préoccupations croissantes au sujet du risque de réidentification :

[traduction]

Au moment de la première demande d’accès à l’information sur la marihuana à des fins médicales (A-2011-000945), la Division d’AIPRP de Santé Canada avait établi que la population moyenne dans les RTA du Canada était d’environ 6 200 personnes. Il a été décidé que les renseignements sur toute collectivité de moins de 6 200 habitants seraient soustraits à la communication, car s’ils étaient combinés avec les autres renseignements personnels communiqués, il y avait un risque d’identification. Cette demande a donné lieu à la création de la carte interactive décrite ci-dessus.

Au moment de la deuxième demande en 2014 (A-2014-000167), la Division de l’AIPRP de Santé Canada s’acquittait de son obligation de prêter assistance et de communiquer le plus de renseignements possible sans risquer une atteinte à la vie privée, tout en tenant compte de la première communication faite à la suite de la demande A-2011-00945. Les renseignements accessibles au public concernant les profils des détenteurs de licence et l’effet mosaïque ne constituaient pas un risque à l’époque.

Au moment de la troisième demande en 2015 (A-2015-000332), la Division d’AIPRP de Santé Canada a commencé à reconnaître qu’il y avait de plus en plus de renseignements accessibles au public concernant les détenteurs de licence de production de cannabis à des fins médicales. Compte tenu de la superposition des renseignements demandés, notamment le nombre de licences par RTA, et compte tenu des autres renseignements qui avaient déjà été communiqués, comme le sexe, l’état de santé, l’âge et la posologie, il est devenu évident que des liens pouvaient être établis, surtout si vous viviez dans cette RTA. Il a été décidé de ne pas divulguer les RTA des collectivités comptant moins de 60 000 habitants (au lieu du seuil précédent de 6 200 habitants), car il était trop risqué de pouvoir identifier un individu dans les petites collectivités si on combinait cette information aux renseignements déjà communiqués.

C’est également à ce moment-là qu’un demandeur, en 2015, a indiqué à Santé Canada que la « carte interactive qu’un collègue avait créée avec les données reçues [dans le cadre d’une demande d’accès antérieure] » était un exemple du type de renseignement qu’il voulait. C’est à ce moment-là que la Division d’AIPRP de Santé Canada a commencé à s’inquiéter de la quantité de renseignements divulgués et de ce qu’on pouvait en faire avec le temps.

[68] Une partie des préoccupations de Santé Canada tient à la taille de certaines RTA :

[traduction]

Les tableaux Chiffres de population et des logements par RTA de 2016 de Statistique Canada révèlent que 25 régions géographiques (représentées par les RTA) ont une population de moins de 100 personnes, tandis que 20 régions géographiques ont une population de 25 personnes ou moins. Par exemple, la RTA de la région géographique E2R compte […] cinq maisons d’habitation privées et une population de 10 personnes. La RTA de la région géographique GIA compte une maison d’habitation privée et une population d’une seule personne.

[69] Dans une certaine RTA à |||||||||||||||||||||||, le nombre de consommateurs inscrits est le même que le nombre de producteurs à des fins personnelles, et il n’y a pas de producteurs désignés à cet endroit. Cela signifie que toute personne que l’on sait produire de la marihuana en vertu d’une licence le fait pour sa propre consommation à des fins médicales. Cette région compte ||||||||||||||||||||||||||, ce qui, selon l’auteure de l’affidavit, augmente la probabilité qu’une personne autorisée à produire de la marihuana à des fins médicales soit identifiée.

[70] De même, dans une communication faite en réponse à une demande d’AIPRP précédemment, il est indiqué qu’une personne détient une licence donnant droit à une limite quotidienne de plus de 100 g — cette personne a une licence de production à des fins personnelles et est autorisée à posséder de grandes quantités. Il est également indiqué que la personne est un homme, né en 1984, qui souffre d’arthrite sévère. L’auteure de l’affidavit déclare que la divulgation des trois caractères de la RTA préciserait la zone où cette personne vit, ce qui augmenterait la probabilité que celle-ci puisse être identifiée.

[71] Enfin, l’affidavit décrit la raison pour laquelle Santé Canada n’a pas prélevé certains renseignements. Une explication plus détaillée est donnée dans la deuxième partie de la décision.

(c) Le rapport d’expert

[72] Santé Canada a retenu les services d’un expert, le D^r Khaled El Emam, qui a déposé un rapport intitulé « Privacy Risk Assessment for Data Releases about Registered Users and Producers of Cannabis in Canada » (Évaluation des risques relatifs à la protection de la vie privée : publication de données sur les consommateurs inscrits et les producteurs de cannabis au Canada). L’objectif du rapport est expliqué ainsi dans le résumé :

[traduction]

[…] définir un cadre pour évaluer le risque de réidentification découlant de la communication de données sur les consommateurs et les producteurs de cannabis inscrits. Ce cadre définit la portée des risques qui devraient être [évalués et] les hypothèses nécessaires, ainsi que la méthodologie à suivre pour évaluer ces risques.

[73] L’expert affirme que [traduction] « le risque réel de réidentification dépend des hypothèses que l’on est prêt à faire au sujet des adversaires possibles [c’est-à-dire ceux qui pourraient chercher à utiliser les données] et de ce qu’ils savent […] ». Le rapport examine deux hypothèses : une « permissive » selon laquelle l’adversaire ne sait pas qui fait partie de l’ensemble de données, et une « conservatrice » selon laquelle l’adversaire sait qui fait partie de l’ensemble de données ou sait qu’une personne en particulier en fait partie. Après avoir expliqué certains éléments fondamentaux du fonctionnement de ces évaluations des risques, l’expert applique ensuite sa méthodologie aux deux réponses fournies à M. Cain pour montrer les risques associés à la divulgation des trois caractères de la RTA. Cette partie du rapport est examinée dans la section « Analyse » plus loin dans les présents motifs.

[74] D’entrée de jeu, deux points du rapport doivent être soulignés. Premièrement, l’expert utilise le terme « adversaire » d’une façon quelque peu inhabituelle; il ne s’agit pas d’un rival ou d’un ennemi (selon le sens habituel du terme), mais simplement d’une personne qui peut tenter d’utiliser les données qui sont divulguées, quelle que soit sa motivation. Il explique que le terme « adversaire » est le terme généralement utilisé dans la littérature sur le sujet, et il l’utilise afin d’éviter une confusion que l’introduction d’une nouvelle terminologie risquerait d’entraîner (voir, par exemple : Commissaire à l’information et à la protection de la vie privée de l’Ontario, De-identification Guidelines for Structured Data, juin 2016, à la p 2). J’utiliserai ce terme de la même façon et pour les mêmes raisons.

[75] Deuxièmement, l’expert souligne que tous les renseignements provenant des ensembles de données qui sont communiqués deviendront effectivement publics parce qu’aucun contrôle supplémentaire ne pourra être imposé une fois qu’ils seront communiqués. L’exemple le plus évident est la carte interactive décrite plus tôt : une fois que l’ensemble de données sur lequel la carte est fondée a été communiqué, les gens étaient libres de le partager, de le combiner avec d’autres renseignements et de le rendre public, et Santé Canada n’avait aucun moyen pratique d’empêcher ou de limiter cela.

[76] En ce qui concerne les éléments contextuels mentionnés dans le rapport, l’expert offre une description de certains concepts fondamentaux utilisés dans le modèle qu’il applique. Il est utile de les examiner brièvement pour mieux comprendre les observations des parties et l’analyse qui suit.

[77] L’expert part du principe selon lequel [traduction] « [l]orsque les données sont communiquées à la suite d’une demande d’accès à l’information, le modèle de risque qu’il convient d’utiliser est celui du risque maximal […] Selon ce modèle, on estime le risque de chaque document dans un ensemble de données, puis la valeur de risque qui est la plus élevée est attribuée à l’ensemble de données. Par conséquent, le risque de l’ensemble de données est égal à la valeur du document qui présente le risque le plus élevé dans l’ensemble de données ». Il en est ainsi parce qu’une fois que l’ensemble de données est communiqué, aucun contrôle supplémentaire ne peut être exercé sur l’utilisation des données pour gérer les risques liés à la protection des renseignements personnels.

[78] La méthodologie de l’expert repose sur plusieurs concepts clés, qui sont résumés ci-dessous :

• La population représentée désigne le sous-ensemble de la population totale qui peut, de façon réaliste, faire partie de l’ensemble de données. En l’espèce, le point de départ est la population de chaque RTA dans les ensembles de données. La taille de ce groupe dépend également de la question de savoir si nous supposons que l’adversaire connaît quelqu’un qui fait partie de l’ensemble de données ou non;

• Les quasi-identifiants sont les variables de l’ensemble de données que l’adversaire pourrait connaître, p. ex. l’âge, le sexe, l’état de santé, le code postal ou la RTA;

• Nouvelle information — le risque de divulgation ne concerne que l’information que l’adversaire n’avait pas déjà. Si l’adversaire connaît déjà les renseignements pertinents, même s’ils peuvent techniquement être considérés comme des renseignements personnels, la divulgation de ces données particulières n’entraîne pas un risque important;

• La classe d’équivalence désigne la taille du groupe qui a les mêmes valeurs que les quasi-identifiants. Si l’adversaire sait qui fait partie de l’ensemble de données, la taille de la classe d’équivalence peut être calculée à partir de l’ensemble de données. Si l’adversaire ne sait pas qui fait partie de l’ensemble de données, la taille de la classe d’équivalence doit être calculée à partir de la population pertinente; p. ex. le nombre d’hommes vivant dans une RTA particulière. La probabilité de divulgation est évaluée en combinant tous les quasi-identifiants pertinents, car c’est ainsi qu’un adversaire est susceptible d’utiliser les données;

• Le seuil de divulgation de l’identité désigne le [traduction] « seuil qui peut être utilisé pour évaluer si le risque de divulgation de l’identité est raisonnablement faible [et] est fondé sur la taille de la classe d’équivalence ». En ce qui concerne la divulgation de données publiques, le seuil habituellement utilisé pour déterminer si le groupe est trop petit est de 11, de sorte que si un groupe compte moins de 11 personnes, le risque d’identification est jugé trop élevé. D’autres seuils peuvent être utilisés, mais 11 est la norme utilisée par Santé Canada pour communiquer publiquement des données d’essais cliniques.

[79] Le dernier point qu’il convient de mentionner en l’espèce est que la méthodologie de l’expert est fondée sur l’hypothèse selon laquelle, à la lumière des données qui ont été communiquées dans le cadre de demandes d’AIPRP antérieures, les quasi-identifiants pertinents pour les communications en litige dans la présente affaire sont l’année de naissance ou la tranche d’âge et le sexe, ainsi que la RTA et la ville.

[80] Dans son rapport, l’expert applique ensuite ces concepts à l’ensemble de données visé par la demande de M. Cain et conclut que, bien qu’un certain nombre de RTA présentent un risque élevé si deux ou trois caractères de la RTA sont communiqués, il n’y a pas de RTA à risque élevé si seul le premier caractère est communiqué. Les autres parties remettent en question certaines des conclusions de l’expert. J’examinerai donc cette partie du rapport plus en détail ci‑dessous. Voilà qui a permis de préparer le terrain pour l’examen des observations de Santé Canada.

(d) Les observations de Santé Canada

[81] Santé Canada soutient qu’il a respecté le critère établi dans la décision Gordon parce que la preuve démontre qu’il y a de fortes possibilités d’identification lorsque plusieurs caractères de la RTA et le nom des villes pertinentes sont combinés à d’autres renseignements déjà accessibles. Il fait valoir que le fait de se concentrer uniquement sur la taille de la population, comme la commissaire à l’information le demande, est trop simpliste et ne tient pas compte des risques réels qui existent en raison de la disponibilité d’autres renseignements et de la motivation évidente de certains demandeurs à combiner ces données.

[82] Le défendeur fonde sa position sur l’idée d’« effet mosaïque » — les données peuvent être combinées pour révéler ce qu’un élément à lui seul ne pourrait révéler. Il renvoie aux données déjà communiquées sur les licences de production de marihuana à des fins médicales, y compris l’état de santé, la posologie, le type de licence et la date de délivrance, l’année de naissance et le sexe de la personne autorisée. Santé Canada s’appuie également sur d’autres demandes d’accès à l’information reçues à la suite des demandes de M. Cain et de M^me Hayes. Selon lui, elles démontrent également que les éléments d’information qui pourraient être combinés pour identifier quelqu’un sont de plus en plus nombreux.

[83] En ce qui concerne la motivation, Santé Canada soutient que la tendance des demandes, combinée à la création de la carte interactive, démontre un effort concerté pour recueillir, associer et publier des renseignements sur les licences de production de marihuana à des fins médicales. Il souligne que les utilisateurs pourraient effectuer une recherche sur le site où est publiée la carte en fonction de l’état de santé, du code postal, de la spécialité du médecin, de la dose quotidienne ou des quantités autorisées pour l’entreposage.

[84] En ce qui concerne les deuxième et troisième caractères des RTA, Santé Canada fait référence au rapport de Statistique Canada qui est accessible au public et qui montre que certaines RTA sont peu peuplées, et que les résidents se connaissent probablement. Le défendeur invoque un exemple particulier tiré de la preuve : une RTA compte autant de producteurs à des fins personnelles que de consommateurs inscrits, mais aucun producteur désigné. Il soutient que la communication de données supplémentaires sur cette RTA permettrait à n’importe qui se trouvant dans cette région et sachant que quelqu’un détient un permis de confirmer que cette personne cultive de la marihuana pour son usage personnel afin de traiter un problème de santé. Ces données pourraient également être combinées à d’autres données accessibles au public pour obtenir d’autres renseignements personnels.

[85] Santé Canada indique également que des facteurs visuels et olfactifs (odeur) associés à la production de cannabis peuvent être combinés à d’autres données probantes pour identifier des personnes. Il renvoie à un article de journal concernant des plaintes déposées par des voisins en raison de l’odeur provenant d’une maison où de la marihuana aurait été cultivée en vertu d’une licence de production à des fins médicales.

[86] Compte tenu de tout cela, Santé Canada affirme qu’il ne peut pas se fier en toute sécurité à la taille de la population comme seul moyen de gérer le risque d’identification des personnes autorisées. À cet égard, les faits de la présente affaire sont semblables à ceux de l’affaire Gordon, où la Cour a conclu que le fait de combiner les renseignements publics avec les renseignements supplémentaires contenus dans les données publiées entraînait de fortes possibilités que des renseignements personnels soient révélés.

[87] Santé Canada s’appuie sur les conclusions du rapport d’expert, en particulier sur les risques qui découlent de l’« hypothèse conservatrice » selon laquelle une personne qui cherche à identifier quelqu’un sait que la personne fait partie de l’ensemble de données. L’analyse contenue dans le rapport d’expert montre que, plus on révèle de caractères de la RTA, plus le risque de réidentification augmente, et que ce risque augmente encore si l’âge et le sexe sont également communiqués. Compte tenu de la nature hautement personnelle des renseignements en question et de son obligation de protéger ces données, Santé Canada soutient que son refus de divulguer plus de renseignements est justifié.

(2) Les observations des demandeurs

[88] La commissaire à l’information soutient que Santé Canada ne s’est pas acquitté du fardeau qui lui incombait de démontrer qu’il était autorisé à refuser de communiquer d’autres renseignements en vertu du paragraphe 19(1) de la LAI. Elle fait valoir que la preuve indique une « simple » possibilité, et non de fortes possibilités d’identification.

[89] La commissaire à l’information affirme que la population est la variable clé, comme en fait foi l’utilisation antérieure par Santé Canada des seuils de population pour déterminer s’il faut divulguer des documents. Elle soutient que le recours à ce facteur a été approuvé par la Cour suprême du Canada dans une affaire où le commissaire à l’information et à la protection de la vie privée de l’Ontario avait ordonné la divulgation du nombre de délinquants sexuels inscrits pour toutes les RTA de l’Ontario : Ontario (Sécurité communautaire et Services correctionnels) c Ontario (Commissaire à l’information et à la protection de la vie privée), 2014 CSC 31 [Sécurité communautaire].

[90] La commissaire soutient que les éléments de preuve invoqués par Santé Canada sont spéculatifs et insuffisants pour démontrer qu’il y a de fortes possibilités de réidentification. Le seul élément de preuve relatif aux neuf communications faites en réponse à des demandes d’AIPRP et qui sont invoqués comme éléments centraux des renseignements qui pourraient être combinés est la description générale contenue dans l’affidavit MacAndrew-Donnelly. Bien que cela se rapproche davantage du critère, la commissaire à l’information soutient que cet affidavit ne suffit pas. Il ne contient que quatre pages d’une communication faite en 2014, mais cet exemple constitue une valeur aberrante compte tenu de la taille de la RTA en question. Sans un accès aux renseignements divulgués en réponse à ces demandes antérieures — dont Santé Canada possède des copies — les demandeurs soutiennent que le document est inadéquat.

[91] En ce qui concerne le rapport de l’expert, la commissaire à l’information formule deux observations importantes : premièrement, Santé Canada n’a pas demandé à l’expert d’établir des liens précis pour démontrer ce qu’il était possible d’obtenir comme information et, deuxièmement, le rapport montre que les risques de repersonnalisation ne sont pas importants pour bon nombre des RTA. D’autres problèmes découlent de la méthodologie de l’expert parce que les ensembles de données produits en réponse à la demande de M. Cain sont incomplets (ils ne comprennent pas les personnes autorisées en vertu d’un régime antérieur, le Règlement sur l’accès à la marihuana à des fins médicales, DORS/2001-277). De plus, les ensembles de données sont désuets, et la commissaire à l’information souligne que les données montrent que beaucoup plus de gens sont maintenant en mesure de cultiver de la marihuana à des fins personnelles. Par conséquent, le risque de divulgation de l’information est réduit parce qu’il serait encore plus difficile de relier un endroit en particulier à une licence antérieure de production de marihuana à des fins médicales.

[92] Les demandeurs affirment également que Santé Canada ne peut pas s’appuyer sur les renseignements publiés sur son site Web parce que les pages du site Web n’ont pas été déposées en preuve ni sur des indicateurs visuels ou olfactifs parce qu’il n’a pas tenu compte du nombre de cultures illégales au Canada. De plus, des facteurs visuels ou olfactifs à un endroit donné ne veulent pas dire qu’il est possible de relier la culture à une personne précise, car les personnes peuvent être autorisées à cultiver à un autre endroit et peuvent désigner quelqu’un d’autre pour le faire à leur place. Il se peut aussi qu’il s’agisse d’une installation de culture illégale, bien que Santé Canada n’ait fourni aucune preuve de la prévalence de cette pratique. De même, la commissaire à l’information conteste le fait que Santé Canada s’appuie sur des demandes subséquentes d’accès à l’information, parce que les documents qui s’y rapportent n’étaient pas déjà rendus publics. Si Santé Canada peut démontrer qu’au moins une de ces communications entraîne de fortes possibilités de repersonnalisation, il pourrait justifier un refus à un moment donné dans l’avenir.

[93] En fin de compte, pour la commissaire à l’information, Santé Canada était tenu de fournir des éléments de preuve démontrant des liens réels, et comme il ne l’a pas fait, il ne s’est pas acquitté du fardeau qui lui incombait d’établir l’existence de fortes possibilités de repersonnalisation.

(3) La position de l’intervenant

[94] Le commissaire à la protection de la vie privée n’a pas pris position sur les faits, mais a plutôt axé ses observations sur les facteurs permettant d’évaluer si la divulgation complète de la RTA satisfait au critère des fortes possibilités, et, dans l’affirmative, dans quelle mesure l’article 25 de la LAI exigeait des caviardages ou d’autres techniques pour permettre la divulgation de renseignements supplémentaires (voir la partie suivante des présents motifs).

[95] Tout en soulignant l’importance de la définition large des renseignements personnels qui a été confirmée par la jurisprudence, le commissaire à la protection de la vie privée reconnaît que : [traduction] « les innovations technologiques combinées à la prolifération de sources de données publiques ou quasi publiques amplifient la possibilité de repersonnalisation des ensembles de données à moins que des précautions suffisantes ne soient prises » (mémoire de l’intervenant, au para 14).

[96] Le commissaire à la protection de la vie privée soutient que la question est nouvelle et que les cas antérieurs sont d’une utilité limitée. En particulier, on devrait faire preuve de prudence avec l’arrêt Sécurité communautaire de la Cour suprême du Canada, car les faits sous-jacents et le dossier de preuve étaient considérablement différents de ceux de la présente instance. Plus précisément, dans cette affaire, la preuve liée au risque de repersonnalisation se limitait à des articles de journaux et à une recherche universitaire générique, et rien n’indique que la Cour ait été saisie d’une preuve d’expert au sujet des classes d’équivalence ou de renseignements sur les communications antérieures faites à la suite de demandes d’AIPRP.

[97] En ce qui concerne le rapport d’expert, le commissaire à la protection de la vie privée appuie l’utilisation de classes d’équivalence comme mesure du risque de repersonnalisation pour le type d’ensemble de données dans en l’espèce : [TRADUCTION] « Elles fournissent, entre autres, un cadre d’analyse objectif, transparent et logique fondé sur la notion de risque et conforme aux pratiques généralement reconnues d’évaluation des risques de repersonnalisation » (mémoire de l’intervenant, au para 21). Bien qu’une analyse des classes d’équivalence ne soit pas toujours nécessaire, le commissaire à la protection de la vie privée affirme [traduction] « [qu’elle] est particulièrement utile pour les ensembles de données structurés contenant des renseignements de nature délicate, surtout lorsqu’il peut y avoir une motivation à identifier des personnes » (mémoire de l’intervenant, au para 22). Même si le risque de repersonnalisation ne sera jamais éliminé, le commissaire à la protection de la vie privée est d’avis que l’analyse de la classe d’équivalence, combinée à un critère de l’« intrus motivé », est une méthodologie appropriée pour évaluer l’ampleur du risque et déterminer si le critère des fortes possibilités a été respecté.

[98] Le commissaire à la protection de la vie privée a également appuyé l’utilisation d’autres « quasi-identifiants » comme variables pertinentes pour évaluer les risques associés à l’effet mosaïque. Le nombre de quasi-identifiants dépend à la fois du type de renseignements disponibles et de leur pertinence pour le type de mosaïque qui est préoccupant. L’idée de base est que plus l’adversaire a de renseignements, plus le risque de repersonnalisation est grand. Par conséquent, une augmentation du nombre de variables à prendre en considération mène à une augmentation correspondante du risque qu’une combinaison restreinte de valeurs puisse entraîner l’identification d’une personne donnée.

[99] Le commissaire à la protection de la vie privée soutient que le caractère persuasif de cette preuve dépend de la mesure dans laquelle les données pertinentes peuvent être liées à d’autres renseignements. Par exemple, si la population visée a beaucoup changé au fil du temps, ou si les ensembles de données comprennent des variables différentes et non comparables, la possibilité de lier des données antérieures à des renseignements plus récents est réduite.

[100] En ce qui concerne la question de la « connaissance de la réponse » (c.‑à‑d. si l’adversaire sait qu’une personne fait partie de l’ensemble de données), le commissaire à la protection de la vie privée soutient que cette hypothèse ne tient que s’il existe [traduction] « un scénario plausible qui permettrait à un ou plusieurs adversaires de déduire qu’une personne fait partie de l’ensemble de données » (mémoire de l’intervenant, au para 38). Il pourrait s’agir d’un « voisin curieux » qui se fonde sur une observation personnelle et d’autres renseignements disponibles. L’analyse devrait également tenir compte des multiples adversaires, car une fois les données rendues publiques, il n’y a aucune restriction quant à leur diffusion ultérieure. Toutefois, la vraisemblance d’une telle hypothèse diminue s’il y a trop de variables de confusion, de sorte qu’il ne serait pas raisonnable de conclure qu’il est possible d’identifier quelqu’un.

IV. Examen

[101] Bien que la question soulevée en l’espèce n’ait encore jamais été examinée, les principes généraux qui orientent l’analyse sont bien établis et méritent d’être répétés.

[102] Premièrement, l’accès à l’information est un droit fondamental, essentiel à la santé de notre démocratie et à l’amélioration de la qualité de l’administration publique au Canada, ce qui, à son tour, renforce la confiance du public envers les institutions gouvernementales. Il y a de nombreuses raisons légitimes de s’enquérir de la façon dont fonctionne le régime de délivrance de licences de production de marihuana à des fins médicales, et il faut présumer qu’une plus grande sensibilisation du public à ces questions est une bonne chose.

[103] Deuxièmement, la protection de la vie privée est aussi une valeur sacrée; le droit à la vie privée bénéficie d’une protection constitutionnelle et législative en raison de son importance pour la dignité individuelle. La protection des renseignements personnels est un élément essentiel de la dignité de la personne, et elle repose sur le droit de chacun de choisir s’il convient de partager leurs renseignements personnels, quand le faire et comment le faire. Il y a de nombreuses raisons légitimes pour lesquelles une personne pourrait ne pas vouloir que les autres sachent qu’elle consomme de la marihuana à des fins médicales, et Santé Canada avait raison de se préoccuper de la protection des renseignements qu’il détenait à ce sujet.

[104] Troisièmement, le critère des « fortes possibilités » établi dans la décision Gordon constitue encore aujourd’hui le critère faisant autorité qui, selon toutes les parties, doit orienter l’analyse. Il en est ainsi parce que la décision Gordon reconnaît que des renseignements qui ne sont pas intrinsèquement personnels peuvent être combinés à d’autres données disponibles et entraîner un risque grave, où la mosaïque créée par de tels efforts de combinaison pourrait mener à l’identification d’une personne en particulier. Je conviens qu’il s’agit du critère applicable en l’espèce.

[105] L’application de ces principes aux faits de l’espèce nous amène au cœur de la question. Santé Canada a-t-il démontré que la divulgation des deuxième et troisième caractères des RTA pertinentes ou des noms des villes entraîne de fortes possibilités de réidentification?

[106] Un certain nombre de considérations m’amènent à conclure que Santé Canada s’est acquitté de son fardeau.

[107] Premièrement, il me semble que le type de renseignements personnels en question est une préoccupation centrale dans ce genre d’analyse. Les organismes gouvernementaux détiennent toutes sortes de renseignements concernant des individus, et bien que tous les renseignements qui sont considérés comme étant « personnels » au sens de la définition législative méritent d’être protégés, il faut reconnaître que la divulgation de certains types de renseignements personnels particulièrement sensibles peut avoir des conséquences particulièrement dévastatrices. Les renseignements sur l’état de santé d’une personne doivent figurer très haut sur une telle liste : il s’agit de l’un des renseignements les plus intimes que nous possédons, et la décision de les communiquer ou non, et dans l’affirmative, dans quelle mesure, peut être un choix déchirant qui a des conséquences importantes pour la personne, sa famille et ses amis.

[108] Par conséquent, les risques liés à la divulgation de tels renseignements intimes doivent être réduits dans toute la mesure du possible. Cela ne veut pas dire que Santé Canada ou toute autre entité gouvernementale peut garantir que ces renseignements ne seront jamais divulgués; le droit ne demande pas un type de certitude qui ne peut être obtenu de façon réaliste. Toutefois, cette approche appuie l’affirmation de Santé Canada selon laquelle il a adopté une approche de divulgation bien modérée, et elle est pertinente pour l’examen du rapport de l’expert, dont il est question ci‑après. À ce sujet, il y a lieu de souligner que Santé Canada avait l’obligation d’essayer d’empêcher la divulgation des renseignements personnels de chacun. Même si le Ministère détenait des milliers de documents, l’obligation visait chacune des personnes à qui ils se rapportaient.

[109] Ensuite, je juge que l’existence de la carte interactive et les préoccupations légitimes de Santé Canada au sujet de ce qui avait été fait avec les renseignements communiqués antérieurement sont des facteurs importants à prendre en considération pour déterminer si la divulgation des renseignements demandés par les demandeurs entraînait un risque sérieux de réidentification. Il n’est peut-être pas toujours essentiel de fournir des exemples concrets de la motivation qu’ont certaines personnes à combiner des renseignements, ou encore de la faisabilité de tels efforts. Toutefois, l’existence d’éléments de preuve démontrant que des liens ont déjà été établis entre des éléments d’information pertinents disparates et que les résultats ont été rendus publics est un facteur pertinent à prendre en considération dans l’application du critère des fortes possibilités. Il y a lieu de présumer que les renseignements déjà communiqués sont toujours disponibles, même si le site Web n’est plus accessible en ligne.

[110] Même si je reconnais qu’il était légitime et approprié pour Santé Canada de s’appuyer sur des communications antérieures, je ne suis pas convaincu que le fait qu’il ait fait mention des demandes d’AIPRP subséquentes soit une considération légitime, parce que rien ne prouvait quels renseignements supplémentaires avaient été communiqués dans l’intervalle, le cas échéant, à la suite de ces demandes. Il vaut la peine de décortiquer ce point.

[111] Comme il a été mentionné précédemment, l’affidavit MacAndrew-Donnelly résumait les renseignements qui avaient déjà été divulgués à l’époque où M. Cain et M^me Hayes ont été présenté leurs demandes. À mon avis, il s’agissait d’une considération pertinente et appropriée dans le cadre de l’évaluation de l’effet mosaïque, parce que ces renseignements étaient déjà publics.

[112] Toutefois, l’affidavit fait également mention des demandes subséquentes présentées après les demandes de M. Cain et de M^me Hayes, et le dossier n’indique pas clairement si d’autres renseignements ont été divulgués en réponse à ces demandes, soit avant le refus définitif de Santé Canada, soit entre ce moment-là et l’audition de la présente affaire. En l’absence de cette preuve, je souscris aux observations de la commissaire à l’information et du commissaire à la protection de la vie privée selon lesquelles les répercussions de toute divulgation future étaient simplement hypothétiques au moment du refus de Santé Canada, et elles le demeurent aux fins de ma révision de novo. Le fait qu’une mosaïque plus complète puisse être créée par des divulgations futures est à la fois vrai et non pertinent, parce que Santé Canada a l’obligation permanente d’évaluer les risques et, si à un moment donné, il conclut que l’accumulation de renseignements communiqués a créé un risque sérieux, il pourrait refuser de divulguer l’information qui a fait pencher la balance. On ne peut invoquer un risque potentiel qui pourrait être atténué par des décisions qui relèvent de Santé Canada pour justifier le refus en cause en l’espèce.

[113] En ce qui concerne les éléments de preuve de Santé Canada, bien que je sois d’accord en principe avec la commissaire à l’information lorsqu’elle affirme que Santé Canada aurait pu et aurait dû déposer plus de renseignements pour démontrer le contenu des communications antérieures, je suis convaincu que les détails énoncés dans l’affidavit MacAndrew-Donnelly (mis à part les références aux communications subséquentes) sont suffisants pour démontrer le type de renseignements qui pourraient constituer les éléments constitutifs de la mosaïque des renseignements concernant des personnes précises autorisées à produire de la marihuana à des fins médicales. À ce sujet, il est important de noter que l’auteure de l’affidavit a participé personnellement au traitement de toutes les demandes antérieures d’AIPRP et qu’elle était donc en mesure de décrire en détail les renseignements contenus dans les documents qui ont été communiqués.

[114] L’affidavit indique que des renseignements supplémentaires sur les licences de production de marihuana à des fins médicales ont été communiqués progressivement, de même que des détails sur les personnes à qui elles ont été délivrées, y compris leur état de santé, leur année de naissance, leur sexe, le type de licence délivrée et la posologie. Deux grandes questions ont été soulevées au sujet de ces renseignements.

[115] Premièrement, la commissaire à l’information s’est demandé si les données étaient comparables d’une communication à l’autre, parce que s’il y a des différences importantes entre les divers ensembles de données, le risque d’une correspondance exacte serait réduit ou éliminé. À cet égard, il y a lieu de se questionner sur l’exhaustivité des données, parce qu’il est reconnu que certaines des données pertinentes demandées par M. Cain se trouvaient dans une base de données distincte et n’ont donc pas été incluses. Ce qu’il faut retenir, c’est que la base de données précédente contenait beaucoup plus de données que celle utilisée pour répondre à la demande de M. Cain.

[116] Deuxièmement, la commissaire à l’information a fait valoir que les données recueillies en réponse aux deux demandes n’étaient plus exactes compte tenu du temps qui s’était écoulé, et en particulier de l’augmentation importante du nombre de Canadiens qui peuvent cultiver de la marihuana depuis la légalisation. Elle a avancé que, dans le cadre de la révision de novo, la Cour devait tenir compte de l’évolution de la situation après les premiers refus de Santé Canada, ce qui comprenait la preuve que beaucoup plus de gens cultivent maintenant de la marihuana à des fins personnelles. Cela réduisait les chances que le fait de savoir qu’une personne cultive de la marihuana crée un risque important d’identification des producteurs autorisés à cultiver de la marihuana à des fins médicales.

[117] Deux grandes questions se posent à ce sujet. Premièrement, les données sont-elles comparables? Même s’il avait été préférable d’avoir des éléments de preuve provenant d’un ou de plusieurs déposants de Santé Canada ou de l’expert, à mon avis, une conclusion raisonnable peut être tirée des éléments de preuve versés au dossier. Les documents sont tous liés au régime de délivrance de licences de production de marihuana à des fins médicales, et il est clair que Santé Canada a exigé que les demandeurs de licence fournissent une preuve d’un problème de santé pour justifier leur besoin de consommer de la marihuana à des fins médicales en vertu de tous les différents régimes de réglementation. Il est raisonnable d’en déduire que les problèmes de santé qui justifiaient l’octroi d’une licence en vertu d’un régime antérieur justifieraient probablement la prorogation de la licence sous le régime suivant, et ainsi de suite. Il est également raisonnable de déduire que la grande majorité des personnes qui étaient motivées à demander une licence en vertu d’un régime antérieur voudraient probablement la garder, dans la mesure où de nouvelles exigences ont été mises en place dans le cadre des régimes subséquents. Cela est d’autant plus vrai que M^me Hayes a demandé à obtenir des renseignements sur les producteurs de grandes quantités, soit un sous-ensemble du groupe plus important de personnes autorisées et de producteurs désignés. Pour pouvoir obtenir une licence autorisant la production d’une grande quantité de marihuana à des fins médicales, la personne doit présenter une preuve d’un problème de santé, ce qui fait qu’il est plus probable qu’improbable qu’elle cherche à faire prolonger l’autorisation nécessaire. Je suis convaincu que dans les circonstances particulières de la présente affaire, si on examine la question d’un point de vue pratique, les éléments de preuve montrent que les ensembles de données sont probablement largement comparables.

[118] À cet égard, il est important d’ajouter que même si les ensembles de données ne sont pas entièrement comparables, il est raisonnable de déduire qu’il y a un degré important de continuité dans la population autorisée faisant partie de ces ensembles de données. L’élément clé n’est pas que les données sont statistiquement comparables aux fins d’une recherche scientifique ou en sciences sociales. La question est plutôt de savoir s’il est possible de combiner ces données pour identifier des personnes en particulier. Du point de vue de la protection des renseignements personnels, je suis convaincu que les ensembles de données sont suffisamment comparables pour servir de fondement à l’évaluation du risque de création d’une mosaïque de renseignements.

[119] Je suis également convaincu que même si l’ensemble de données produit en réponse à la demande de M. Cain n’était pas complet, la preuve ne démontre pas que l’absence de données sur les consommateurs autorisés sous le régime précédent réduirait considérablement le risque de réidentification. Pour les raisons énoncées dans les paragraphes précédents, il est probable que bon nombre, sinon la plupart, des détenteurs de licence en vertu du règlement antérieur sont inclus dans les données du RACFM qui sont pertinentes en l’espèce. Je note également qu’au cours de l’enquête, la commissaire à l’information a accepté l’explication donnée par Santé Canada pour justifier sa décision de ne pas inclure les données précédentes dans sa réponse à la demande de M. Cain. Encore une fois, le fait que les ensembles de données ne soient pas exactement comparables pourrait poser problème pour un statisticien ou un spécialiste des sciences sociales, mais cela n’empêche pas un utilisateur motivé de chercher à identifier une personne qui a obtenu une licence de production à des fins personnelles ou en tant que producteur désigné en vertu du régime de licence de production de marihuana à des fins médicales.

[120] Deuxièmement, quelle est la période pertinente pour la révision de novo de la Cour? Dois-je évaluer l’information qui était publique au moment du refus de Santé Canada, ou dois-je tenir compte des événements subséquents? Ce point est particulièrement important en l’espèce, en raison du temps qui s’est écoulé depuis les demandes initiales et parce que, dans l’intervalle, la légalisation de la marihuana a changé la matrice factuelle sous-jacente. Les demandes d’accès ont été présentées en août et en octobre 2017, Santé Canada a refusé définitivement de divulguer les renseignements le 20 janvier 2020, et l’affaire a été instruite en février 2022. Au cours de cette période, le nombre de personnes qui cultivaient de petites quantités de marihuana à des fins personnelles a continué d’augmenter, tout comme le nombre de personnes inscrites auprès de Santé Canada comme producteurs à des fins personnelles et producteurs désignés (en juin 2020, la dernière catégorie comprenait 33 614 personnes). Ces deux faits sont pertinents pour évaluer le risque que représenterait la communication des renseignements aujourd’hui, mais ils n’étaient peut‑être pas représentatifs du risque à la date du refus de Santé Canada.

[121] À mon avis, lorsque je procède à la révision de novo exigée par la LAI, je dois tenir compte des faits nouveaux plus récents dans la mesure où ils sont pertinents eu égard à la tâche à accomplir; soit déterminer si la divulgation de renseignements supplémentaires tirés des documents entraîne de fortes possibilités de divulgation de renseignements personnels sur une personne donnée. Dans la décision Concord, j’ai conclu que le passage du temps était un facteur pertinent dans l’évaluation du risque de divulgation, bien que dans un contexte complètement différent (aux para 82-85). Je demeure de cet avis.

[122] De la même façon que Santé Canada devait tenir compte de tout fait nouveau pertinent entre la date des demandes d’accès et le moment de sa décision finale (p. ex. si d’autres renseignements étaient devenus publics), j’estime qu’un tribunal qui procède à une révision de novo d’un refus de communiquer un document devrait tenir compte de tout changement pertinent entre la date du refus et la date de l’audition de l’affaire. Sans quoi, cela aurait pour effet de geler artificiellement le temps sans aucune raison et cela serait incompatible avec la nature de novo de la révision indépendante qu’un tribunal est tenu d’effectuer. L’évaluation doit être pratique et tenir compte de tous les éléments de preuve pertinents à la date de l’audience.

[123] Par exemple, si Santé Canada a produit des éléments de preuve lors de l’audience relative aux renseignements communiqués, ou si des efforts ont été déployés pour établir un lien entre les renseignements disponibles après la décision finale concernant les demandes de M. Cain et de M^me Hayes, cela serait pertinent pour l’évaluation des risques que je suis tenu d’entreprendre dans le contexte de la révision de novo. Il en va de même pour les éléments de preuve concernant l’augmentation croissante de la culture de marihuana depuis la légalisation.

[124] Sur ce dernier point, une mise en garde s’impose. Le passage du temps n’efface pas la possibilité que les ensembles de données qui ont déjà été communiqués puissent être combinés avec les RTA complètes et les noms de villes demandés en l’espèce, ce qui entraînerait un risque important que des personnes soient identifiées. En l’absence de preuve contraire, il faut présumer que les renseignements qui ont été divulgués antérieurement sont toujours accessibles et peuvent être combinés à d’autres renseignements plus récents. À cet égard, l’augmentation de la culture de la marihuana est un facteur pertinent, mais il n’est pas déterminant.

[125] Ensuite, je ne suis pas convaincu par l’affirmation de la commissaire à l’information selon laquelle le fait que Santé Canada se fondait auparavant sur les seuils de population indique qu’il devrait appliquer ce critère aux communications dont il est question en l’espèce. Je ne crois pas non plus que la décision Sécurité communautaire soit particulièrement convaincante quant à cette question.

[126] Premièrement, l’affidavit MacAndrew-Donnelly ainsi que les lettres de refus définitif de Santé Canada expliquent pourquoi il a été conclu que les seuils de population ne suffisaient plus pour gérer les risques associés aux communications de renseignements, et je trouve cette justification convaincante. Il ne fait aucun doute que l’obligation d’évaluer les risques d’atteinte à la vie privée est permanente et que Santé Canada devait tenir compte des faits nouveaux qui se sont produits après les communications qu’il a faites. Le type de demandes, leur similitude et leur spécificité, ainsi que l’émergence de la carte interactive sont tous des facteurs qui appuyaient la conclusion de Santé Canada selon laquelle les seuils de population à eux seuls ne suffisaient plus pour protéger les renseignements personnels de nature délicate contenus dans les ensembles de données. Je ne vois aucune erreur dans cette approche.

[127] Deuxièmement, je ne suis pas convaincu que la décision Sécurité communautaire appuie l’utilisation des seuils de population en l’espèce. Chaque affaire doit être évaluée en fonction de ses propres faits et des circonstances générales. Bien que la taille de la population des RTA ait été un facteur important dans l’affaire Sécurité communautaire, plusieurs éléments limitent l’application de ce précédent en l’espèce. Dans cette affaire, il avait été conclu que le document en question ne constituait pas des renseignements personnels (aux para 17, 35, 36 et 64), et cette conclusion n’a pas été contestée lors de l’appel de la décision initiale (au para 22). De plus, il n’y avait aucune preuve de la façon dont le document en question pouvait être recoupé avec d’autres renseignements afin d’identifier une personne (au para 60), et il n’y avait pas de demandes multiples (au para 62). La Cour n’était saisie que « [d’]études générales peu convaincantes au sujet de “l’identifiabilité” », lesquelles ne traitaient pas des faits propres à l’affaire (au para 60).

[128] Pour ces raisons, je ne suis pas convaincu que cette décision appuie une proposition plus générale selon laquelle les seuils de population conviennent à la gestion des risques d’atteinte à la vie privée. Elle appuie plutôt une proposition beaucoup plus limitée qui repose sur la matrice factuelle dont la Cour est saisie, qui est très différente de la preuve au dossier en l’espèce.

[129] J’estime plutôt que les faits de l’affaire Gordon sont plus semblables à ceux de l’affaire qui nous occupe. Cette affaire portait sur une contestation du refus de Santé Canada de divulguer la province liée aux rapports sur les effets indésirables des médicaments qui étaient contenus dans une de ses bases de données. Les fabricants de médicaments étaient tenus de fournir ces renseignements, lesquels étaient complétés par des rapports de professionnels de la santé et des renseignements provenant des consommateurs, qui fournissaient ces renseignements sur une base volontaire. La base de données tenue à jour par Santé Canada contenait environ 100 champs de données actifs, dont 82 avaient été divulgués. Toutefois, Santé Canada a refusé de divulguer des renseignements sur la province où le rapport avait été reçu (qui n’était pas nécessairement la province où l’effet indésirable du médicament s’était réellement produit).

[130] Santé Canada a justifié son refus par le fait que la province constituait un « renseignement personnel » en raison du risque qu’il puisse mener à l’identification de certaines personnes s’il était combiné à des renseignements déjà divulgués. Le commissaire à l’information était d’accord avec Santé Canada sur ce point.

[131] Comme il a été mentionné précédemment, la Cour a établi le critère des « fortes possibilités » dans la décision Gordon, et appliquant ce critère aux faits dont elle était saisie, elle a confirmé le refus de Santé Canada de divulguer les renseignements. Deux éléments sous-tendent la décision de la Cour : premièrement, le fait que certaines provinces et certains territoires ont des populations relativement plus petites; deuxièmement, l’exemple précis d’une affaire où un journaliste de la Société Radio-Canada a communiqué avec une famille pour lui demander si le décès de leur fille était attribuable à un effet indésirable d’un médicament. Le journaliste avait obtenu de l’information dans la base de données sur les effets indésirables des médicaments ainsi que dans la rubrique nécrologique de la personne décédée. Se fondant sur la preuve de Santé Canada, la Cour a conclu, au paragraphe 43, que la communication du champ « province » :

augmenterait considérablement la possibilité que des renseignements concernant un individu identifiable […] puissent tomber entre les mains de personnes cherchant à utiliser la totalité des renseignements divulgués dans la base de données […] parallèlement avec d’autres renseignements publics disponibles, pour identifier des individus « particuliers ».

[132] Il convient de souligner que la Cour n’était pas convaincue que l’absence d’une preuve d’expert ait miné les allégations relatives à la protection de la vie privée, et qu’elle n’a pas non plus accepté l’allégation du demandeur selon laquelle les données n’étaient pas fiables, notamment parce que les effets indésirables des médicaments avaient été sous-déclarés, que la base de données contenait des effets indésirables soupçonnés plutôt que seulement les cas scientifiquement établis, et qu’il pouvait y avoir un décalage entre le moment de la déclaration et l’inclusion dans la base de données. La Cour a conclu que Santé Canada s’était acquitté du fardeau qui lui incombait d’établir qu’il était autorisé à refuser de communiquer le document.

[133] Cela m’amène donc au rapport d’expert. Trois observations s’imposent. Tout d’abord, je ne suis pas convaincu que le fait que Santé Canada n’ait pas demandé à l’expert de procéder à une véritable analyse de couplage à l’aide des données disponibles soit fatal. Un tel élément preuve aurait sans aucun doute été utile dans le cadre de la révision de novo, mais il n’est pas obligatoire et son absence ne diminue pas le poids accordé à l’opinion de l’expert. Cette opinion, combinée aux inférences raisonnables au sujet de la continuité de l’ensemble de données, à l’exemple de la carte interactive et à la nature très sensible de l’information, comble cette lacune. Cependant, à l’avenir, le fait de ne pas effectuer un tel exercice pourrait bien faire pencher la balance en faveur de la divulgation.

[134] Deuxièmement, le fait que l’expert n’ait pas procédé à une analyse des trois ensembles de données produits en réponse aux deux demandes d’accès ne constitue pas non plus une erreur fatale. Dans la mesure où l’avis de l’expert démontre que la divulgation de renseignements supplémentaires entraîne un risque, il suffit pour appuyer une conclusion qui s’applique à tous les ensembles de données, compte tenu de leur similitude et du fait que tous les documents suscitent la même préoccupation en matière de réidentification. En fait, comme l’ensemble de données demandé par M^me Hayes se limite aux licences autorisant de grandes quantités — un sous-ensemble de la base de données complète — la préoccupation au sujet de la réidentification n’en est que plus grande.

[135] Troisièmement, bien que j’accepte bon nombre des observations du commissaire à la protection de la vie privée et que je me fonde sur celles-ci, je ne crois pas que la preuve en l’espèce soit suffisante pour tirer des conclusions plus générales ou pour établir des règles générales, par exemple en ce qui concerne la taille appropriée d’une classe d’équivalence. De telles conclusions devraient être le fruit de consultations réglementaires ou de témoignages d’experts sur ce point précis, et je ne suis pas disposé à faire des déclarations générales fondées sur la preuve dont je dispose. Le rapport de l’expert traitait de la situation dans ce cas particulier, et c’est ainsi que je l’ai traité.

[136] Cela dit, je suis convaincu que le rapport de l’expert est à la fois un élément de preuve très pertinent et convaincant concernant les risques associés à la divulgation des deuxième et troisième caractères des RTA et, par extension, des noms des villes. Il ne fait aucun doute que l’expert possède une expertise très pertinente et que son explication et son analyse étaient à la fois exhaustives et convaincantes. En fait, aucune des parties n’a contesté l’approche analytique recommandée par l’expert — par exemple, la commissaire à l’information a tenté de l’utiliser pour étayer sa position. Le principal différend entre les parties concerne les hypothèses appropriées à formuler, la tolérance au risque à appliquer et le résultat de l’analyse. J’estime que l’approche analytique établie par l’expert convient à l’analyse du risque de divulgation pour les types d’ensembles de données structurés en cause dans la présente affaire.

[137] Comme je l’explique ci-dessous, j’accepte que, dans l’évaluation des risques en l’espèce, il est approprié d’adopter « l’hypothèse conservatrice » recommandée par l’expert, et j’estime que son analyse des risques de divulgation est très convaincante.

[138] Reconnaissant que l’évaluation du risque de réidentification associé à la communication d’un document particulier comporte un certain degré d’incertitude, il faut noter que de tels exercices ne sont pas inconnus en droit, en particulier dans le domaine de l’administration des lois sur l’accès à l’information et la protection des renseignements personnels. L’approche pour l’application du critère des « fortes possibilités », approuvée dans la décision Gordon et récemment confirmée dans la décision Sécurité publique, fournit le cadre pour évaluer l’incertitude associée à l’élément prédictif de l’exercice. Le juge McHaffie a décrit cette approche aux paragraphes 53 et 54 de la décision Sécurité publique et a défini ainsi le critère des « fortes possibilités » établi dans la décision Gordon :

[…] une possibilité qui dépasse une spéculation ou une « simple possibilité », sans être « plus susceptible de se produire que l’inverse » (c.-à-d. qui ne doit pas être « probable » selon la prépondérance des probabilités). L’application d’une telle norme reconnaît l’importance de l’accès à l’information, car elle ne soustrait pas l’information à la communication au motif de simples possibilités hypothétiques, en même temps qu’elle respecte l’importance des droits à la vie privée et la nature intrinsèquement prospective de l’analyse, du fait qu’elle n’exige pas un degré de preuve excessivement élevé portant que des renseignements personnels pourraient être communiqués.

Par ailleurs, il semble inutile, voire impossible, de tenter de subdiviser ou de décortiquer davantage le degré de probabilité qu’une personne puisse être identifiée.

[139] Il est évident que les hypothèses sous-jacentes qui sont utilisées constituent un facteur déterminant essentiel dans l’évaluation du risque, et qu’elles constituent un élément clé pour les parties. Par exemple, l’une des principales hypothèses qui ne fait pas l’unanimité entre les parties est la question de savoir si l’adversaire sait qui fait partie de l’ensemble de données. Comme je l’expliquerai plus loin, il s’agit d’une variable clé dans l’évaluation des risques de l’expert, et elle a une incidence importante sur l’issue de l’affaire.

[140] Le rapport de l’expert ne révèle aucune préférence sur ce point, mais dit simplement ceci :

[traduction]

La question de savoir si un adversaire sait que quelqu’un fait partie de l’ensemble de données est une hypothèse importante qui doit être formulée dans une analyse du risque de réidentification parce qu’elle a une incidence sur la façon dont le risque est calculé. Il y a des raisons pour lesquelles chacune de ces hypothèses est raisonnable et, par conséquent, nous formulerons les deux hypothèses et effectuerons l’analyse deux fois, soit une fois pour chaque hypothèse (rapport d’expert, aux pp 7, 971, dossier R.).

[141] La commissaire à l’information soutient que l’opinion de l’expert repose sur l’hypothèse selon laquelle la personne à qui seront divulguées les données connaît la totalité ou la plupart des personnes faisant partie de l’ensemble de données. Elle ajoute qu’il ne s’agit pas d’une approche viable. Selon elle, la personne à qui sont communiquées les données peut connaître quelques-unes des personnes faisant partie de l’ensemble de données, dans le meilleur des cas. De plus, elle mentionne que, selon l’hypothèse de l’expert, il y a 46 cas où la divulgation du premier caractère d’une RTA par Santé Canada a entraîné un risque élevé dans le cadre de la demande de M. Cain, et 25 autres cas dans le cadre de la demande de M^me Hayes. La commissaire à l’information qualifie ces cas de « faux positifs » et soutient qu’ils affaiblissent encore plus cette hypothèse.

[142] Cet argument ne me convainc pas. Je suis d’accord avec Santé Canada et le commissaire à la protection de la vie privée pour dire que l’analyse de l’expert ne repose pas sur la thèse erronée selon laquelle l’adversaire « connaît la plupart des personnes faisant partie de l’ensemble de données ». Une lecture attentive du rapport de l’expert n’appuie pas cette conclusion. Bien que le rapport fasse référence à une hypothèse selon laquelle [traduction] « un adversaire saurait qui fait partie de l’ensemble de données » (rapport d’expert, à la p 17), il n’est pas raisonnable d’interpréter cela comme signifiant que la personne à qui seront communiquées les données connaît tout le monde dans l’ensemble de données. Dans les premières parties du rapport, il est clair que l’hypothèse retenue est que l’adversaire connaît quelqu’un qui fait partie de l’ensemble de données parce qu’il a une licence ou est un producteur désigné, ou que l’adversaire sait certaines choses qui pourraient être utiles et lui permettre d’identifier une personne susceptible de faire partie de l’ensemble de données (p. ex. la RTA dans laquelle la personne vit, son sexe, son âge ou son état de santé, et/ou le fait qu’elle consomme ou cultive de la marihuana à des fins médicales). Aucun des exemples utilisés par l’expert dans son examen ne fait référence à un adversaire qui connaît tout le monde dans l’ensemble de données. Par conséquent, je rejette l’argument de la commissaire à l’information sur ce point.

[143] Comme je l’ai mentionné précédemment, l’expert ne se prononce pas sur laquelle des deux hypothèses devrait être appliquée en l’espèce, car il conclut [traduction] « [qu’i]l y a des raisons pour lesquelles chacune de ces hypothèses est raisonnable » (rapport d’expert, à la p 7). Dans les circonstances de la présente affaire, j’estime qu’il est plus approprié de supposer qu’un adversaire sait qu’une personne fait partie (ou pourrait faire partie) des ensembles de données pertinents.

[144] Plusieurs facteurs appuient cette conclusion. Premièrement, étant donné la nature très délicate de l’information, il est approprié de chercher à réduire le risque de réidentification dans la mesure du possible, et le fait de présumer que la réponse est connue aide à atteindre cet objectif. Deuxièmement, contrairement à l’affaire Sécurité publique, les autres renseignements qui peuvent être utilisés pour établir des liens ne sont pas tous confidentiels; par exemple, l’emplacement général (ou l’adresse précise) d’une personne, ainsi que son sexe et son groupe d’âge, sont les types de choses que les voisins, les amis ou les membres de la famille peuvent facilement connaître. Il est également vrai que les adversaires peuvent s’être fait dire par la personne (ou pourraient soupçonner) qu’elles consomment de la marihuana, sans pour autant savoir que c’est pour des raisons médicales. Troisièmement, les types de demande et l’existence de la carte interactive montrent une certaine motivation à obtenir plus d’information sur l’administration du régime de licences.

[145] L’expert propose plusieurs exemples qui illustrent cette préoccupation, qu’il décrit (en utilisant la terminologie propre à ce type d’analyse) comme la « direction d’attaque » :

[traduction]

Un adversaire peut attaquer un ensemble de données de deux façons générales. Dans un premier temps, l’adversaire peut connaître quelqu’un dans la population [représentée], et essayer de trouver un dossier correspondant dans l’ensemble de données. Il peut s’agir d’une connaissance de l’adversaire. Par exemple, l’adversaire peut tenter de repersonnaliser le dossier d’un voisin ou d’un collègue. Subsidiairement, l’adversaire peut tenter de repersonnaliser le dossier d’une personne célèbre (p. ex. un politicien ou une personnalité sportive).

Dans un deuxième temps, l’adversaire peut essayer de faire correspondre les dossiers dans les ensembles de données avec des personnes réelles dans la population. Pour y arriver, il faut habituellement créer un registre de la population. L’adversaire peut le faire en utilisant des renseignements accessibles au public, des registres publics ou des médias sociaux, par exemple.

[146] À la lumière de ces considérations, j’estime qu’il est plus approprié d’appliquer l’hypothèse qui protège le mieux la vie privée de la personne, c’est-à-dire que l’adversaire sait qu’une personne fait partie (ou est susceptible de faire partie) de l’ensemble de données. Il pourrait également avoir de l’information sur un ou plusieurs quasi-identifiants. Qu’il s’agisse d’un « voisin curieux » (pour emprunter une expression souvent utilisée dans ce genre de cas), d’un journaliste intéressé ou d’une personne cherchant à identifier les endroits où de grandes quantités de marihuana sont susceptibles d’être produites (pour des raisons sinistres ou à des fins moins graves), il est raisonnable de supposer qu’au moins quelques-uns des destinataires des documents en question possèdent des renseignements pertinents ou sont motivés à en obtenir.

[147] Une deuxième hypothèse qui est remise en question est celle de savoir si l’analyse des risques devrait inclure des quasi-identifiants. Il s’agit de savoir s’il est raisonnable de supposer qu’il est possible d’établir des liens entre les données. L’expert a fait remarquer que les communications précédentes comprenaient des renseignements sur l’année de naissance ou le groupe d’âge et le sexe des personnes autorisées, ainsi que sur la RTA ou la ville où elles demeuraient. Il qualifie ces renseignements de [traduction] « quasi-identifiants déterminants ». La commissaire à l’information soutient que ces données ne devraient pas être prises en compte dans l’analyse des risques parce qu’il n’est pas possible de comparer les ensembles de données utilisés dans les communications antérieures avec les renseignements contenus dans les documents en l’espèce.

[148] Les principales différences entre les ensembles de données comprennent les périodes qu’ils visent et le nombre d’autorisations accordées en vertu des différents régimes de réglementation de la marihuana à des fins médicales. À ce stade-ci, je réitère simplement que je ne suis pas convaincu par cet argument, pour les motifs énoncés aux paragraphes 117 à 119 des présents motifs. Compte tenu des renseignements qui ont déjà été communiqués, il est raisonnable de supposer qu’un adversaire serait en mesure de relier suffisamment de données des communications précédentes aux documents actuels, ce qui augmenterait le risque de réidentification. Le risque est plus élevé pour le sous-ensemble de personnes produisant de grandes quantités. Par conséquent, l’âge (ou les tranches d’âge), le sexe et la RTA ou la ville sont des quasi-identifiants pertinents aux fins de l’analyse.

[149] L’application de ces hypothèses aux données contenues dans les documents mène à la conclusion que si on divulgue plus que le premier caractère de la RTA, cela entraîne un risque inacceptable de violation de la vie privée. Pour reprendre la terminologie de la décision Gordon, confirmée par la décision Sécurité publique, je conclus que Santé Canada a démontré qu’il y avait de « fortes possibilités » de réidentification, car il a présenté des éléments de preuve qui dépassent une spéculation ou une « simple possibilité », même s’ils ne permettent pas de démontrer qu’un tel résultat est « plus susceptible de se produire que l’inverse ». C’est tout ce que la loi exige pour justifier l’application de l’exception fondée sur la catégorie prévue au paragraphe 19(1).

[150] Cette conclusion repose sur la description des communications antérieures contenue dans l’affidavit MacAndrew-Donnelly, la carte interactive et le rapport de l’expert. Il n’est pas nécessaire de répéter l’examen de l’affidavit, mais certains détails du rapport de l’expert méritent d’être approfondis.

[151] L’expert a analysé les ensembles de données en utilisant deux hypothèses, soit celle où un adversaire ne sait pas que quelqu’un fait partie de l’ensemble de données et celle où un adversaire sait qu’une personne fait partie de l’ensemble de données. Comme je l’ai expliqué ci-dessus, j’estime que la deuxième hypothèse s’applique en l’espèce, et je n’examinerai donc pas l’autre hypothèse ni l’analyse correspondante de l’expert. L’expert a conclu que l’année de naissance ou la tranche d’âge, la RTA ou la ville et le sexe étaient des [traduction] « quasi-identifiants déterminants », et j’accepte cette conclusion vu les communications antérieures telles que décrites dans l’affidavit MacAndrew-Donnelly.

[152] L’expert a également identifié 57 RTA qui représentent un risque élevé simplement parce qu’elles [traduction] « comptent peu de gens (moins de 11) selon toute combinaison d’âge et de sexe » (rapport de l’expert, à la p 16). Je reconnais qu’il s’agit d’un critère pertinent, compte tenu de l’analyse de l’expert et du fait que Santé Canada ne publie pas de données semblables dans d’autres situations lorsque le nombre est inférieur à 11.

[153] En ce qui concerne les ensembles de données précis, il est important de souligner que cette partie de l’analyse de l’expert était axée sur la taille de la RTA pertinente et que les autres quasi-identifiants n’ont pas été appliqués. Comme il l’explique :

[traduction]

Veuillez noter que [dans] la présente analyse, nous examinons seulement la géographie et n’avons pas l’âge et le sexe des personnes faisant partie de l’ensemble de données. Si ces quasi-identifiants sont ajoutés, les classes d’équivalence seraient plus petites (et, par conséquent, les niveaux de risque seraient plus élevés). Dans de telles conditions, il y aurait encore plus de documents à risque élevé.

[154] Comme le rapport de l’expert le démontre, même si on ne tient pas compte des quasi-identifiants que sont l’âge et le sexe, la divulgation des trois caractères complets de la RTA ou seulement des deux premiers permet d’identifier un nombre important de régions à risque élevé : plus de 1 000 RTA posent problème si les trois caractères sont dévoilés, tandis que 82 régions présentent un risque élevé si les deux premiers caractères sont dévoilés. Par contre, si on divulgue seulement le premier caractère de la RTA, seulement trois ou quatre régions posent problème.

[155] Concrètement, dans son analyse, l’expert a conclu que si l’adversaire sait que quelqu’un fait partie de l’ensemble de données, 611 des 673 producteurs désignés seraient à risque élevé de réidentification. Pour les producteurs à des fins personnelles, il y aurait 1 011 RTA problématiques : 4 060 personnes sur 11 100 présenteraient un risque élevé dans le cadre de l’une des demandes de M. Cain, tandis que 4 183 personnes sur 11 841 présenteraient un risque élevé dans le cadre de l’autre demande. Il vaut la peine de répéter que si on tenait compte de l’âge et du sexe dans l’analyse, les risques seraient plus élevés que ceux établis par l’expert.

[156] En comparaison, la divulgation du premier caractère entraîne un risque beaucoup plus faible : 20 des 673 producteurs désignés seraient à risque élevé, et 12 producteurs sur 11 100, ou 14 producteurs à des fins personnelles sur 11 841, seraient à risque élevé.

[157] Cela confirme que le fait de divulguer plus que le premier caractère d’une RTA crée un risque beaucoup plus grand de réidentification. Bien que j’accepte la déclaration de la commissaire à l’information selon laquelle le rapport de l’expert tend à indiquer qu’il y a un certain risque associé à la divulgation du premier caractère de la RTA, cela ne veut pas dire qu’il serait justifié de divulguer plus de renseignements si cela a pour effet d’augmenter le risque. Ni la logique ni le bon sens n’appuient une telle approche.

[158] À la lumière de cette analyse, il est également raisonnable de conclure que la divulgation du nom des villes, que d’autres renseignements sur les RTA soient divulgués ou non, augmenterait le risque de réidentification. Les observations et les éléments de preuve présentés par les parties portaient principalement sur les données relatives aux RTA, mais selon la logique, la divulgation du nom des villes entraînerait les mêmes risques, car ils peuvent également être combinés à d’autres renseignements accessibles, notamment le premier caractère de la RTA (qui a déjà été communiqué), et permettre à un adversaire motivé de réduire sa zone de recherche. Le fait que les grandes villes puissent être subdivisées par RTA est également pertinent, comme le démontre l’exemple de la carte interactive.

[159] Pour toutes ces raisons, j’estime que la divulgation du deuxième ou du troisième caractère de la RTA, ou du nom des villes, entraînerait de fortes possibilités de réidentification, et que ces renseignements correspondent donc à la définition de renseignements personnels concernant un individu identifiable. Il s’ensuit que les documents réunis par Santé Canada en réponse aux demandes ne devraient pas être divulgués dans leur forme actuelle.

A. Le ministre a-t-il eu raison de refuser de prélever d’autres parties des documents conformément à l’article 25 de la LAI?

[160] Santé Canada a acquiescé à la demande de la commissaire à l’information de divulguer le premier caractère de la RTA dans les deux demandes, mais a refusé d’entreprendre une analyse plus poussée au motif que cela lui imposerait un fardeau indu qui va au-delà de ce que l’article 25 de la LAI exige. La question dont la Cour est saisie est de savoir s’il s’agit de la bonne approche en vertu de la loi, dans les circonstances particulières de l’espèce.

[161] Certains faits ne sont pas contestés. Toutes les parties conviennent que quelques-uns des renseignements restants devraient être caviardés, notamment la RTA complète ou le nom des villes à faible population. De plus, aucune partie ne fait valoir que Santé Canada peut raisonnablement effectuer le type d’analyse des risques qui serait nécessaire pour identifier les RTA ou les noms de villes à risque élevé ou faible risque sans utiliser un logiciel. Cependant, les parties ont des positions différentes quant à la question de savoir si Santé Canada est tenu de créer et d’utiliser un tel logiciel afin de respecter ses obligations de prélèvement prévues à l’article 25.

(1) La position des parties

[162] La commissaire à l’information soutient que l’article 25 exige que tous les documents qui ne satisfont pas au critère des fortes possibilités doivent être caviardés et communiqués. Le caviardage est obligatoire et non discrétionnaire, et il incombe à Santé Canada de démontrer qu’il est autorisé à refuser la communication. Un caviardage raisonnable, comme l’exige l’article 25, est un caviardage qui ne pose pas de problèmes sérieux, comme l’indique la version française de la disposition : « le prélèvement de ces parties ne pose pas de problèmes sérieux » (soulignement ajouté par les demandeurs).

[163] Selon la commissaire à l’information, Santé Canada peut effectuer une analyse du seuil de population pour chaque RTA, comme il l’a fait pour les communications précédentes. Il faudrait alors procéder à une analyse de chaque RTA, mais il ne serait pas nécessaire de créer un logiciel spécialisé et ce ne serait pas trop difficile à faire. Les documents qui en résulteraient seraient utiles, et prélever ces documents par seuil de population ne poserait pas de « problèmes sérieux ». Subsidiairement, la commissaire à l’information appuie l’affirmation du commissaire à la protection de la vie privée selon laquelle d’autres techniques de dépersonnalisation pourraient être utilisées pour divulguer davantage de renseignements.

[164] Santé Canada soutient qu’il a procédé à un exercice de prélèvement raisonnable conformément aux obligations que lui impose la loi, et que le fait de l’obliger à en faire plus lui imposerait un fardeau indu. Il affirme que tout autre prélèvement l’obligerait à entreprendre une analyse des risques associés à la communication de renseignements supplémentaires pour chaque RTA, ce qui ne peut se faire manuellement en raison de la complexité de la tâche.

[165] En ce qui concerne les seuils de population, comme il en a été question précédemment, Santé Canada soutient que son expérience antérieure a démontré pourquoi l’utilisation de la taille de la population à elle seule n’est plus suffisante pour assurer une protection adéquate de la vie privée. Il souligne que la protection de la vie privée est une considération primordiale lors du prélèvement des renseignements conformément à l’article 25 (Attaran, au para 25). Étant donné que l’utilisation d’un seuil de population ne tiendrait pas compte des autres quasi-identifiants pertinents ou du nombre de personnes dans un ensemble de documents particulier, Santé Canada soutient que ce moyen de gérer le risque de réidentification ne convient plus.

[166] En ce qui concerne l’interprétation de l’article 25, Santé Canada rejette l’importance que la commissaire à l’information accorde à la version française. Il soutient que l’intention du législateur est mise en évidence par les multiples liens entre les mots « severance » et « reasonable » dans la version anglaise de la LAI, où le terme « reasonable » est traduit par « efforts raisonnables ». Santé Canada fait valoir que cela confirme qu’il n’est tenu que de faire des efforts raisonnables. Subsidiairement, il affirme que le rapport de l’expert indique qu’un prélèvement supplémentaire poserait des problèmes sérieux.

[167] Santé Canada soutient que l’analyse des risques d’identification découlant des nombreuses communications de données est excessivement lourde, car elle doit être effectuée séparément pour chaque RTA et devrait être répétée pour chaque demande. Pour réaliser de telles analyses, Santé Canada affirme qu’il [traduction] « devrait acquérir une expertise en analyse des données et de la protection des renseignements personnels, ou créer un logiciel pour assurer une application uniforme et effectuer les calculs nécessaires » (mémoire des faits et du droit du défendeur, au para 111).

[168] Le commissaire à la protection de la vie privée soutient que d’autres techniques de dépersonnalisation peuvent être utilisées comme solution de rechange pour atteindre les objectifs de l’article 25. Il fait remarquer que le terme « severance » (prélèvement) n’est pas défini et que les approches traditionnelles de caviardage peuvent être inefficaces dans le contexte des ensembles de données structurés. Le commissaire à la protection de la vie privée affirme que l’utilisation de techniques de caviardage plus perfectionnées pourrait mieux répondre à l’obligation prévue à l’article 25 de communiquer « les parties dépourvues des renseignements en cause » tout en s’acquittant de l’obligation du ministre de « donner suite à [une] demande de façon précise et complète » aux termes du paragraphe 4(2.1). Il affirme que la technique appropriée dépendrait de la nature de l’ensemble de données structuré et du contexte général, et que l’institution pourrait évaluer la situation avec l’aide d’experts techniques.

[169] En réponse, Santé Canada affirme qu’il ne peut pas manipuler les données comme l’a suggéré le commissaire à la protection de la vie privée, parce que cela contreviendrait au paragraphe 67.1(1) de la LAI, et que le fait de suivre l’approche proposée aurait l’effet pervers de communiquer moins de données que ce qui a en fin de compte été communiqué. Santé Canada renvoie à l’avis de mise en œuvre de la protection des renseignements personnels 2020-03 du Secrétariat du Conseil du Trésor, qui n’exige pas le type de manipulation des ensembles de données que le commissaire à la protection de la vie privée recommande. Cet avis indique que de telles méthodes peuvent être appropriées dans certaines circonstances, notamment qu’il est possible de communiquer de l’information dans le cadre d’audits gouvernementaux, d’évaluations de programme et de rapports statistiques, mais qu’il n’est pas permis de le faire lorsque des documents contiennent des renseignements personnels. L’avis exige plutôt le prélèvement des renseignements personnels (aussi appelé caviardage).

B. Examen

[170] La question fondamentale en l’espèce est de savoir si Santé Canada aurait dû déployer plus d’efforts pour respecter les obligations qui lui incombe au titre de l’article 25. Bien que la jurisprudence contienne quelques indications, en particulier l’arrêt Merck Frosst, cette question précise ne semble pas avoir été examinée dans les décisions antérieures.

[171] L’article 25 de la LAI prévoit ce qui suit :

 

[172] Dans l’arrêt Merck Frosst, la Cour suprême du Canada a confirmé que cette disposition impose une obligation aux institutions fédérales et qu’il incombe à l’institution de justifier pourquoi il n’est pas raisonnable de prélever certains renseignements afin de communiquer une partie d’un document. Pour ce faire, il faut effectuer une analyse sémantique ainsi qu’une analyse des coûts et des avantages.

[173] L’analyse sémantique « vise à établir si ce qu’il reste après que les renseignements soustraits à la divulgation ont été retranchés du document en cause a un sens » (Merck Frosst, au para 237). Cela n’est pas contesté en l’espèce, car il est évident que la divulgation du deuxième ou du troisième caractère de la RTA, plus le nom de certaines villes, fournirait des renseignements utiles.

[174] Les arguments en l’espèce sont axés sur l’aspect coûts-avantages, qui est décrit au paragraphe 237 de l’arrêt Merck Frosst :

D’autre part, l’analyse des coûts et des avantages sert à déterminer si les avantages qu’il y a à prélever et divulguer les renseignements restants à la suite du processus d’expurgation justifient les efforts déployés par l’institution fédérale en vue d’expurger le document en cause. Même si le texte prélevé n’est pas complètement dénué de sens, le prélèvement n’est raisonnable que si la divulgation des passages du document n’ayant pas été retranchés remplissait raisonnablement les objectifs de la Loi.

[175] La Cour suprême a cité avec approbation la déclaration suivante du juge en chef adjoint Jerome dans la décision Bande indienne de Montana c Canada (Ministre des Affaires indiennes et du Nord canadien), 1988 CanLII (CF), [1989] 1 CF 143 (1^re inst) :

Si l’on se conformait à l’article 25, il en résulterait la communication d’un document complètement censuré, laissant voir tout au plus deux ou trois lignes. Sorties de leur contexte, ces informations seraient inutiles. Le travail de prélèvement nécessaire de la part du Ministère n’est pas raisonnablement proportionné à la qualité de l’accès qui s’ensuivrait. [Non souligné dans l’original; aux pp 160‑161.]

[176] Si l’on applique ce critère à la présente affaire, la question est de savoir si « l’effort » requis pour caviarder davantage les documents est « raisonnablement proportionné à la qualité de l’accès qui s’ensuivrait ».

[177] Je ne suis pas convaincu par l’affirmation de la commissaire à l’information selon laquelle la référence à des « problèmes sérieux » dans la version française de l’article 25 établit une norme différente et plus rigoureuse que la version anglaise. Un « prélèvement raisonnable » peut nécessiter de surmonter des problèmes et de déployer des efforts, comme l’indique clairement le critère coûts-avantages établi dans l’arrêt Merck Frosst. Ce n’est que lorsque les efforts sont disproportionnés par rapport à la qualité de l’accès que la divulgation devient déraisonnable. À mon avis, le critère établi dans l’arrêt Merck Frosst s’applique, et il n’est pas nécessaire d’en dire davantage.

[178] Santé Canada soutient qu’il s’est acquitté de ses obligations en divulguant le premier caractère des RTA pertinentes et en envisageant la possibilité de divulguer plus de renseignements. Il soutient que le fait de l’obliger à effectuer le type d’analyse des risques décrit par l’expert pour chacune des 1 000 RTA incluses dans les données en l’espèce constituerait un fardeau déraisonnable.

[179] D’une part, je suis convaincu que le rapport de l’expert fournit à Santé Canada un plan directeur pour la réalisation du type d’analyse nécessaire. Je rejette l’argument de Santé Canada selon lequel il faudrait partir de zéro pour élaborer son approche et effectuer l’analyse des risques requise, puisqu’il peut commencer par le code déjà élaboré et appliqué par son expert. D’autre part, je rejette également l’argument selon lequel Santé Canada peut simplement utiliser le code de l’expert pour effectuer l’analyse de tous les ensembles de données.

[180] Le rapport de l’expert indique que, pour assurer l’uniformité, [traduction] « il faudra mettre au point un logiciel particulier capable d’effectuer les calculs nécessaires puisque l’analyse requise ne peut pas se faire manuellement » (rapport d’expert, à la p 15, dossier R, à la p 979). L’expert décrit le processus à suivre, notamment déterminer les quasi-identifiants (il suppose que l’âge, le sexe et la RTA sont inclus); appliquer l’hypothèse pertinente relative à la connaissance de la réponse (c.-à-d. la personne sait-elle que quelqu’un fait partie de l’ensemble de données?); déterminer si une classe d’équivalence de l’ensemble de données représente plus de 70 % de la population pour la communication d’un ensemble de données particulier (le cas échéant, le risque est trop élevé); veiller à ce que les données soient regroupées de façon appropriée pour gérer les risques; et déterminer si d’autres renseignements disponibles pointent vers d’autres quasi-identifiants. Dans tous les cas, il ne s’agit pas d’un exercice simple.

[181] Pour déterminer si l’effort est raisonnablement proportionné par rapport à la qualité de l’accès, il faut mettre l’accent sur deux points : premièrement, la nature délicate des renseignements donne à penser que l’option la moins risquée devrait être adoptée; deuxièmement, le premier caractère des RTA pertinentes a déjà été divulgué, de sorte que l’emplacement général de la plupart des licences a été révélé. La question est de savoir si un rétrécissement supplémentaire des résultats apporterait des avantages importants, compte tenu des efforts que cela exigerait.

[182] J’estime que le fait d’imposer une telle exigence à Santé Canada, dans le contexte des faits particuliers de la présente affaire, va au-delà de ce que l’article 25 exige.

[183] Tout d’abord, rien ne prouve que Santé Canada possède l’expertise « interne » nécessaire pour s’acquitter de cette tâche. Le fait qu’il ait retenu les services d’un expert externe dans ce dossier indique que ce n’est pas le cas. J’accepte l’affirmation de Santé Canada selon laquelle une expertise en codage informatique n’est pas suffisante. Le type d’analyse requis nécessite également une expertise spécialisée pour effectuer une évaluation des facteurs de risque, y compris les quasi‑identifiants, la taille et la composition de la classe d’équivalence, et les autres renseignements disponibles qui sont pertinents dans le cadre de l’évaluation des risques pour la vie privée.

[184] De plus, le type de considérations techniques énoncées dans le rapport de l’expert suggère que le programme informatique devrait être adapté pour tenir compte des éléments nouvellement divulgués au fil du temps. C’est-à-dire que le programme devrait évoluer pour suivre le rythme des nouveaux risques au fur et à mesure qu’ils sont repérés, à mesure que d’autres communications sont envisagées et que d’autres renseignements émergent au fil du temps — qu’il s’agisse de communications de Santé Canada, d’autres données accessibles au public ou de recherches sur le sujet. Il ne s’agit pas d’un exercice statique.

[185] Enfin, il ne s’agit pas d’une proposition dépourvue de nuances, car Santé Canada a déjà divulgué le premier caractère des RTA pertinentes. Certains renseignements relèvent déjà du domaine public, et dans la mesure où d’autres renseignements pourraient être divulgués, je suis convaincu que cela entraînerait des risques trop élevés pour la vie privée.

[186] Le rapport de l’expert n’appuie pas l’opinion selon laquelle certaines des RTA à risque élevé pourraient être subdivisées davantage sans que cela accroisse le risque, et il vaut la peine de répéter que l’analyse de l’expert ne tenait pas compte de l’âge et du sexe dans les parties pertinentes de l’analyse, mais était plutôt axée uniquement sur la population de la RTA. L’expert désigne l’âge (ou la fourchette d’âge) et le sexe comme des « quasi-identifiants déterminants » en raison des communications antérieures, et il déclare que si l’âge et le sexe sont ajoutés, [traduction] « les classes d’équivalence seraient plus petites (et donc les niveaux de risque seraient plus élevés) » (rapport d’expert, à la p 17).

[187] J’ai déjà conclu que l’âge et le sexe sont des quasi-identifiants pertinents, de sorte que toute analyse plus poussée ne ferait qu’accroître les risques au-delà de leurs niveaux déjà inacceptables. Cela appuie également l’opinion selon laquelle une analyse plus poussée des ensembles de données n’est pas raisonnable.

[188] Pour des raisons semblables, je rejette également l’argument du commissaire à la protection de la vie privée selon lequel Santé Canada devrait appliquer d’autres techniques de dépersonnalisation afin de divulguer davantage de renseignements. J’admets qu’il s’agit d’une approche qui devrait être envisagée par une institution fédérale lorsqu’elle s’acquitte des obligations qui lui incombent au titre de l’article 25. À cet égard, je ne suis pas convaincu par l’argument de Santé Canada selon lequel le paragraphe 67.1(1) de la LAI lui interdit cette approche. Cependant, je ne suis pas convaincu non plus qu’une analyse des autres techniques de dépersonnalisation soit beaucoup moins complexe que l’analyse des risques décrite dans les paragraphes précédents. En fin de compte, Santé Canada aurait besoin de comprendre comment les autres techniques ont permis de réduire suffisamment les risques de réidentification pour être une solution de rechange viable, et vu la complexité d’une telle analyse dans les circonstances de la présente affaire, je suis d’avis que cela va au-delà de ce qui est exigé par l’article 25.

[189] Pour toutes ces raisons, je conclus que Santé Canada n’était pas tenu de prélever d’autres renseignements afin de respecter les obligations de divulgation qui lui incombe au titre de l’article 25.

V. Conclusion

[190] Pour les motifs qui précèdent, la présente demande sera rejetée.

[191] Il faut reconnaître qu’il y a des intérêts importants des deux côtés du débat, comme les parties et l’intervenant l’ont clairement démontré. L’accès aux renseignements concernant l’administration du régime de licences de production de marihuana à des fins médicales soulève une importante question de politique publique, et il y a lieu de présumer qu’une plus grande transparence à cet égard est dans l’intérêt du public. Par contre, il est également dans l’intérêt public de protéger la vie privée des personnes autorisées à cultiver de la marihuana à des fins médicales, ou qui sont désignées pour le faire. De plus, l’approche analytique appropriée pour évaluer les risques d’atteinte à la vie privée découlant de la communication d’ensembles de données structurés est une question nouvelle et importante.

[192] En fin de compte, la jurisprudence, combinée à la preuve produite par Santé Canada, m’amène à conclure que la demande ne peut être accueillie. La Cour suprême du Canada a dit clairement qu’en cas de conflit entre l’accès à l’information et le droit des individus à la vie privée, la vie privée doit prévaloir. C’est aussi l’intention du législateur, comme en témoigne la relation entre la LAI et la LPRP.

[193] Vu la preuve dont je dispose, je suis convaincu que les risques pour la vie privée qui découleraient de toute communication ultérieure des documents sont tout simplement trop grands. La preuve démontre qu’il y a de fortes possibilités que la divulgation de données supplémentaires sur les RTA et/ou les noms des villes expose des renseignements de nature très délicate concernant des individus. Par conséquent, le refus de Santé Canada d’accepter la recommandation de la commissaire à l’information est justifié.

[194] De même, j’estime que la preuve mène à la conclusion que le fait d’exiger que Santé Canada effectue une analyse des risques pour chaque RTA séparément imposerait un fardeau disproportionné par rapport à la qualité de l’accès qui s’ensuivrait.

[195] Aucune des parties n’a demandé de dépens, et comme les parties au litige sont toutes des institutions publiques, et que l’affaire a soulevé des questions nouvelles et importantes, aucuns dépens ne seront adjugés. Chaque partie assumera ses propres dépens.

[196] Enfin, je remercie les avocats des parties et l’intervenant pour la qualité de leurs observations écrites et orales.

[197] Une copie du présent jugement et des présents motifs sera versée dans chacun des dossiers.

[198] Post-scriptum : Une version confidentielle de la décision a été communiquée aux parties parce que le dossier contenait des renseignements confidentiels. La version publique tient compte des observations des parties sur les caviardages et corrections nécessaires.

JUGEMENT dans les dossiers T-641-20, T-645-20 et T-637-20

LA COUR REND LE JUGEMENT suivant :

1. La présente demande est rejetée.

2. Chaque partie assumera ses propres dépens.

3. Une copie du présent jugement et des présents motifs sera versée dans chacun des dossiers de la Cour.

« William F. Pentney »

Traduction certifiée conforme

Mélanie Vézina

COUR FÉDÉRALE

AVOCATS INSCRITS AU DOSSIER

DOSSIERS :	T-641-20, T-645-20, T-637-20
INTITULÉ:	PATRICK CAIN c LE MINISTRE DE LA SANTÉ ET LE COMMISSAIRE À LA PROTECTION DE LA VIE PRIVÉE DU CANADA ET MOLLY HAYES c LE MINISTRE DE LA SANTÉ ET LE COMMISSAIRE À LA PROTECTION DE LA VIE PRIVÉE DU CANADA
LIEU DE L’AUDIENCE :	Ottawa (Ontario)
DATE DE L’AUDIENCE :	LE 7 FÉVRIER 2022
JUGEMENT ET MOTIFS :	LE JUGE PENTNEY
DATE DES MOTIFS :	LE 13 25 JANVIER 2023

COMPARUTIONS :

Aditya Ramachandran	POUR LES DEMANDEURS PATRICK CAIN ET MOLLY HAYES
Sharon Johnston	POUR LE DÉFENDEUR LE MINISTRE DE LA SANTÉ
Regan Morris	POUR L’INTERVENANT LE COMMISSAIRE À LA PROTECTION DE LA VIE PRIVÉE DU CANADA

AVOCATS INSCRITS AU DOSSIER :

Commissariat à l’information du Canada Ottawa (Ontario)	Pour les demandeurs PATRICK CAIN ET MOLLY HAYES
Procureur général du Canada Ottawa (Ontario)	Pour le défendeur LE MINISTRE DE LA SANTÉ
Commissariat à la protection de la vie privée Ottawa (Ontario)	POUR L’INTERVENANT LE COMMISSAIRE À LA PROTECTION DE LA VIE PRIVÉE DU CANADA