Ce qui se passe vraiment quand un cabinet d'avocats canadien envoie un document non caviardé à la mauvaise partie

L'incident que personne ne consigne correctement

La pratique du droit repose sur les documents, et la divulgation de documents repose sur des humains qui sont fatigués, pressés et qui gèrent simultanément des milliers de dossiers. La divulgation par inadvertance d'un document non caviardé — un document contenant les renseignements personnels d'un client, les renseignements identificatoires d'un tiers ou des renseignements protégés par le secret professionnel de l'avocat — n'est pas un risque hypothétique pour les cabinets d'avocats canadiens. C'est une réalité opérationnelle récurrente.

Ce qui rend cela particulièrement lourd de conséquences dans la pratique canadienne, c'est la nature superposée des conséquences. Un seul document mal adressé peut simultanément déclencher une plainte pour faute professionnelle auprès du barreau provincial, une plainte en vertu de la LPRPDE auprès du Commissariat à la protection de la vie privée, une réclamation de client en dommages-intérêts et — dans un contexte de litige — une requête en radiation ou des sanctions ordonnées par le tribunal. Ce ne sont pas des risques indépendants. Ils s'additionnent les uns aux autres.

Comment surviennent réellement les incidents de divulgation

La mécanique de la divulgation par inadvertance se décline en quelques tendances récurrentes.

Erreurs de production en litige. Lorsqu'une partie produit des documents en réponse à une demande ou à une ordonnance du tribunal, la révision documentaire est censée repérer les documents privilégiés et confidentiels avant qu'ils ne quittent le cabinet. En pratique, les révisions sont effectuées sous la pression du temps par de jeunes avocats ou des stagiaires en droit qui parcourent des milliers de documents. Des communications privilégiées sont produites. Des caviardages censés couvrir des renseignements personnels manquent des métadonnées intégrées, des zones de texte ou des PDF mal rendus où les barres noires ne sont pas réellement opaques.

Transmissions mal adressées. La saisie semi-automatique des courriels a causé plus d'incidents de divulgation juridique que tout autre mécanisme. Un avocat qui rédige un message à l'avocat de la partie adverse commence à taper un nom, sélectionne la mauvaise adresse dans le menu déroulant et envoie une communication confidentielle d'un client à quelqu'un qui n'était pas censé la recevoir. Plus la liste de contacts est longue et plus les noms se ressemblent, plus la probabilité est élevée.

Pièces déposées avec un excès de renseignements personnels. Les documents déposés à titre de pièces dans des procédures judiciaires sont, dans bien des ressorts, des documents publics. Lorsqu'un contrat, un dossier d'emploi ou un rapport médical est déposé comme pièce sans caviarder des renseignements personnels qui n'ont pas à être publics — NAS, dates de naissance, renseignements sur la santé, adresses domiciliaires — ces renseignements deviennent accessibles à quiconque consulte le dossier judiciaire.

Renseignements de tiers dans les dossiers clients. Les clients apportent des documents qui contiennent des renseignements personnels concernant des personnes qui ne sont pas parties à l'affaire — un contrat qui énumère les coordonnées bancaires d'un employé, un document d'affaires qui inclut des données sur des clients, un document familial contenant des renseignements sur des enfants mineurs. Lorsque ces dossiers sont produits ou partagés sans révision, les renseignements personnels de tiers les accompagnent.

La dimension de la déontologie professionnelle

Les barreaux du Canada traitent la divulgation par inadvertance comme une question de déontologie professionnelle. Les obligations pertinentes à la divulgation de documents comprennent la confidentialité, la compétence et la supervision.

L'obligation de confidentialité est la plus directe. Le Code type de déontologie professionnelle, adopté sous diverses formes par les barreaux provinciaux, exige des avocats qu'ils gardent strictement confidentiels les renseignements des clients et qu'ils évitent toute divulgation sans autorisation. Une divulgation par inadvertance n'élimine pas le manquement — elle modifie les obligations de remédiation. Les directives du Barreau de l'Ontario sur la divulgation par inadvertance exigent une notification rapide, une demande de retour ou de destruction des documents et — si le destinataire refuse — éventuellement une requête au tribunal.

L'obligation de compétence vise les cabinets qui n'ont pas de systèmes en place pour prévenir les erreurs de divulgation prévisibles. Si votre processus de révision documentaire ne comporte aucune étape de contrôle qualité pour le caviardage, aucune exigence de seconde révision avant la production et aucune procédure de suppression des métadonnées, vous pourriez faire l'objet d'une conclusion selon laquelle la divulgation résulte d'un manquement à la compétence plutôt que d'une simple erreur.

La supervision crée une responsabilité pour les associés et la direction du cabinet. Lorsqu'un jeune avocat ou un membre du personnel commet une erreur de divulgation, la conduite de l'avocat superviseur fait elle aussi l'objet d'un examen. Disposait-il de systèmes adéquats? A-t-il assuré une supervision appropriée? Ces questions importent aux enquêteurs des barreaux et aux tribunaux qui évaluent si un cabinet a agi raisonnablement.

La conséquence sur la relation avec le client

La conséquence professionnelle immédiate d'un incident de divulgation est souvent secondaire par rapport à la conséquence sur la relation avec le client. Les clients qui découvrent que leurs renseignements personnels — ou des renseignements concernant leur affaire juridique — ont été divulgués sans autorisation ont des motifs pour déposer une plainte pour faute professionnelle, une réclamation civile en dommages-intérêts et, dans certains cas, une réclamation pour manquement à l'obligation fiduciaire.

La question des dommages-intérêts est véritablement incertaine. Les tribunaux canadiens ont été réticents à accorder des dommages-intérêts substantiels pour atteinte à la protection des données en l'absence de préjudice financier prouvé, mais la décision de la Cour suprême du Canada dans Douez c. Facebook et le corpus jurisprudentiel émergent sur le délit d'intrusion dans l'intimité changent lentement ce paysage. Plus concrètement, l'atteinte à la réputation découlant de la divulgation d'un secret de client est souvent plus lourde de conséquences qu'une condamnation en dommages-intérêts — et le client que vous perdez à la suite d'un incident de divulgation ne revient pas.

Ce que prévient le caviardage automatisé

Le caviardage manuel — le processus par lequel un stagiaire en droit ou un adjoint juridique parcourt les documents et noircit les renseignements personnels — est sujet aux erreurs lorsqu'il est effectué à grand volume. Le taux d'erreur n'est pas élevé par document, mais lorsqu'on traite des centaines de documents sous la pression du temps, même un taux d'omission de 1 % se traduit par plusieurs incidents de divulgation par année.

La détection automatisée des renseignements personnels change la donne économique. Le passage des documents par la détection avant production signale les catégories de renseignements personnels — NAS, numéros de carte d'assurance maladie, dates de naissance, numéros de comptes financiers — que les réviseurs humains manquent systématiquement, surtout lorsqu'ils sont intégrés dans des formats non standards, qu'ils apparaissent dans les métadonnées plutôt que dans le texte visible ou qu'ils sont répartis dans des documents de plusieurs pages.

La valeur ne réside pas dans le remplacement du jugement juridique quant à ce qui devrait être caviardé. Elle réside dans l'identification systématique de ce qui pourrait devoir être caviardé, de sorte que le jugement juridique s'applique à un portrait complet plutôt qu'au sous-ensemble qu'un réviseur fatigué a remarqué.

Les cabinets d'avocats qui ont mis en œuvre la détection automatisée rapportent le même résultat : ils ne trouvent pas les renseignements qu'ils s'attendaient à y trouver, ils trouvent des renseignements dont personne ne soupçonnait l'existence. C'est là que se loge la responsabilité — dans le NAS à la page 34 d'un ensemble de production de 300 pages que personne n'avait examiné attentivement depuis qu'il avait été remis par un client il y a quatre ans.