Audit interne horizontal de la protection des renseignements personnels dans les petits ministères

Les responsabilités en matière de vie privée ont été adéquatement déléguées dans la plupart des ministères.

En vertu de l'article 73 de la Loi sur la protection des renseignements personnels, le responsable d'une institution fédérale peut, par arrêté, déléguer certaines de ses attributions à des employés, comme le prévoit l'annexe B de la Politique sur la protection de la vie privée. Cet arrêté, qui doit être signé par le responsable actuel du ministère, permet aux employés en question de s'acquitter légalement des fonctions qui leurs sont déléguées.

La plupart des ministères examinés possédaient des pouvoirs de délégation qui reflétaient la réalité des rôles et des responsabilités au sein du ministère, pouvoirs pour lesquels le responsable actuel du ministère a apposé sa signature. Deux ministères ont des arrêtés de délégation périmés, ce qui peut indiquer que les discussions nécessaires sur la gestion de la vie privée ne se produisent pas avec le responsable de ministère. Dans l'un et l'autre cas, des changements apportés au niveau des responsables de ministère ainsi que des réorganisations suggèrent que les arrêtés de délégation doivent être réexaminé et révisé et les rôles et responsabilités désuets doivent être abordés.

La connaissance des rôles et des responsabilités liés à l'application de la Loi sur la protection des renseignements personnels variait selon les ministères.

Aux termes de la politique, les ministères devraient avoir des rôles et des responsabilités définis en matière de prise de décisions et de gestion de l'application de la Loi sur la protection des renseignements personnels et de ses règlements connexes. Des rôles et des responsabilités clairement définis, doublés d'une formation et d'outils comme des procédures formelles ou des modèles, permettent aux employés de mieux connaître les exigences en matière de vie privée et augmentent la probabilité que ces exigences soient respectées.

Dans les ministères étudiés, la responsabilité de l'application de la Loi sur la protection des renseignements personnels a été attribuée différemment d'un ministère à l'autre. Dans certains ministères, la responsabilité des questions de vie privée relevait de la fonction des services ministériels; dans d'autres, elle relevait plutôt de la fonction de gestion et de technologie de l'information. Dans tous les ministères examinés, la responsabilité de l'application de la Loi sur la protection des renseignements personnels était combinée à la responsabilité de l'application de la Loi sur l'accès à l'information.

La représentation de la vie privée au niveau de la haute direction différait également selon les ministères étudiés. Dans certains d'entre eux, le représentant chargé des questions de vie privée se trouvait à un niveau qui lui donnait accès au forum des cadres supérieurs, ce qui était susceptible d'augmenter l'attention accordée aux questions de vie privée au sein du ministère. Dans un ministère, le directeur général de la Direction générale de la gestion intégrée était le champion en matière de gestion de l'information et de protection de la vie privée. Ce rôle accroît la probabilité que les questions relatives à la vie privée reçoivent une attention appropriée et soient intégrées dans toutes les fonctions du ministère.

La plupart des ministères étudiés avaient étayé les rôles et responsabilités des employés qui exerçaient la responsabilité fonctionnelle qui leur était conférée par la loi. Ces rôles et responsabilités se trouvaient généralement dans les descriptions de travail. Dans certains ministères, les spécialistes fonctionnels ont dû reconnaître leurs responsabilités déléguées par écrit. Dans certains ministères, la confirmation que des employés avaient discutée de leurs responsabilités prévues par la Loi sur la protection des renseignements personnels avec leur superviseur était intégrée dans les formulaires d'évaluation du rendement.

Dans un ministère, les rôles et responsabilités des employés n'étaient pas clairement documentés et compris par les employés. Ce ministère a été réorganisé et des réductions de personnel ont été effectuées sans que les nouveaux rôles et les nouvelles responsabilités sur l'application de la Loi sur la protection des renseignements personnels aient été officiellement communiqués. Le fait de définir et d'étayer clairement les rôles et responsabilités des employés signifie que ceux-ci connaissent les attentes à leur égard, ce qui fait augmenter la probabilité qu'ils respectent les lois ainsi que les politiques et directives connexes.

La plupart des ministères offraient une certaine forme de formation aux spécialistes fonctionnels et aux autres employés, mais certains ministères ne le faisaient pas. Bien que la formation annuelle des spécialistes fonctionnels ne soit pas obligatoire, elle peut favoriser le respect des lois et des politiques et directives connexes. Certains ministères disposaient de solides pratiques pour que le personnel demeure au fait des nouveautés relatives aux questions sur la vie privée. Ces pratiques comprenaient la distribution de bulletins réguliers sur la vie privée à tous les membres du personnel, ainsi que des journées de formation et de sensibilisation en matière de questions sur la vie privée (p. ex. la Journée de la protection des données). Un ministère a également incité un employé à obtenir une certification d'un institut international de protection de la vie privée.

Dans la plupart des ministères, il y avait des outils liés à la protection de la vie privée (p. ex. des procédures et des modèles) présentant divers degrés de formalité. La connaissance et l'utilisation de ces outils par les employés différaient aussi selon les ministères. Dans les quelques ministères où la connaissance et l'utilisation des outils étaient sources de préoccupation, les employés ont mentionné que la diffusion insuffisante des outils ou la confusion des employés quant à leurs rôles et responsabilités était à l'origine de la situation.

Des dispositions relatives à la protection des renseignements personnels étaient généralement comprises dans les marchés conclus avec des organisations du secteur privé et dans les ententes avec d'autres ministères.

La Politique sur la protection de la vie privée prévoit que lorsqu'il est question de renseignements personnels, les ministères sont chargés d'établir des mesures en vue de s'assurer qu'ils répondent aux exigences de la Loi sur la protection des renseignements personnels lorsque des marchés sont conclus avec des organisations du secteur privé, ou lorsque des ententes ou des arrangements sont conclus avec des organisations du secteur public.

Si l'on se fie à un échantillon des marchés conclus avec des organisations du secteur privé examinés dans lesquels le ministère était l'autorité contractante, les dispositions relatives à la protection des renseignements personnels étaient adéquates pour la plupart des ministères examinés. Des processus et des outils permettant de satisfaire aux exigences de la Loi sur la protection des renseignements personnels étaient offerts aux employés lorsqu'ils concluaient des marchés avec des organisations du secteur privé. Plus particulièrement, Travaux publics et Services gouvernementaux Canada a élaboré des modèles et un Guide des clauses et conditions uniformisées d'achat que doivent utiliser les ministères lorsqu'ils passent un marché avec des organisations du secteur privé.

Selon l'échantillon limité d'ententes avec des organisations du secteur public examiné, la plupart comprenaient des dispositions relatives à la protection des renseignements personnels, conformément à la Politique sur la protection de la vie privée. Les ministères auraient toutefois avantage à établir leurs propres procédures pour veiller à ce que l'on tienne toujours compte de la nécessité de dispositions relatives à la vie privée au moment d'élaborer des ententes interministérielles. Lorsque l'équipe d'audit a choisi un échantillon d'ententes à examiner, elle a constaté que certains ministères ne pouvaient pas produire une liste complète de leurs ententes parce que celles-ci ne faisaient pas l'objet d'un suivi centralisé, ce qui limite la portée des tests d'audit.

Recommandations

1. Les ministères devraient s'assurer que les arrêtés de délégation sont mis à jour et approuvés adéquatement.
2. Les ministères devraient s'assurer que les rôles et responsabilités sont bien étayés et que les employés les connaissent et possèdent les outils nécessaires pour s'acquitter de leurs responsabilités.

Des ÉFVP n'ont pas toujours été menées au besoin ni en temps opportun.

Les ÉFVP aident à s'assurer que les répercussions sur la vie privée sont bien identifiées, évaluées et réglées avant la mise en œuvre d'une activité ou d'un programme nouveau ou substantiellement modifié qui comporte l'utilisation de renseignements personnels. Les ministères doivent mener une ÉFVP pour toute activité ou tout programme nouveau ou substantiellement modifié dans les cas où des renseignements personnels sont utilisés ou censés être utilisés dans le cadre d'un processus décisionnel.

En général, les ministères examinés ont des mandats précis et durables. Les programmes nouveaux ou substantiellement modifiés sont donc rares. Cependant, lorsque des ÉFVP étaient nécessaires, nous avons découvert que les ministères ne les ont pas toujours remplies avant la mise en œuvre d'une nouvelle initiative. Dans certains cas, les ÉFVP ont été réalisées après la mise en place du programme ou du système. Dans d'autres cas, l'ÉFVP a été entreprise avant la mise en place de l'initiative, mais n'a pas été achevée ou approuvée avant le lancement de l'initiative. Dans certains cas, aucune ÉFVP n'a été réalisée pour de nouveaux programmes et des remaniements majeurs de programmes.

Le Secrétariat a établi une liste de contrôle dont les ministères peuvent se servir pour déterminer si une ÉFVP est nécessaire. Bien que la plupart des ministères aient adopté cette liste ou élaboré une liste similaire, peu de ministères avaient documenté qu'ils l'utilisaient, notamment dans les cas où une ÉFVP était nécessaire ou envisagée.

L'absence d'une ÉFVP complétée peut occasionner le risque qu'une initiative soit mise en œuvre sans examen approfondi de son impact potentiel sur les renseignements personnels détenus par le ministère.

Les FRP sont gérés conformément à la loi et à la politique.

La Loi sur la protection des renseignements personnels définit un FRP comme « un ensemble ou groupement de renseignements personnels ». En vertu de la Loi, les responsables des institutions fédérales doivent identifier et décrire leurs FRP dans Info Source et en faire rapport^{Voir la note en bas de page 4}. Les ministères doivent également s'assurer qu'ils possèdent l'autorisation légale de demander, de recueillir et d'utiliser des renseignements personnels.

Au cours de la période visée, les FRP dans les ministères échantillonnés étaient généralement statiques, ce qui reflétait la stabilité du mandat et des programmes des ministères. Tous les ministères avaient établi l'autorisation légale pour leurs FRP. Tous les ministères de l'échantillon disposaient de procédures informelles de gestion des FRP, avec le soutien du Secrétariat dans son rôle de surveillance.

Recommandations

3. Les ministères devraient veiller à ce que les ÉFVP soient envisagées et réalisées adéquatement dans le cadre de l'élaboration d'activités et de programmes nouveaux ou substantiellement modifiés.

Constatation 3 : Pratiques de gestion

De solides pratiques de gestion font en sorte que les renseignements personnels contrôlés par les institutions fédérales sont bien protégés.

Cet audit a examiné si les ministères disposent de pratiques et de contrôles efficaces pour veiller à la protection et au traitement adéquats des renseignements personnels. Plus précisément, l'audit a examiné les contrôles qui entourent les renseignements à des fins non administratives, des droits d'accès, des avis de confidentialité et des atteintes.

Les ministères disposent généralement de pratiques adéquates de collecte, d'utilisation et de divulgation de renseignements personnels à des fins non administratives.

En vertu de la Politique sur la protection de la vie privée, les ministères sont chargés d'instituer un protocole de protection des renseignements personnels au sein de l'institution fédérale relativement à la collecte, à l'utilisation ou à la divulgation de renseignements personnels à des fins non administratives. Une fin non administrative consiste en l'utilisation de renseignements personnels à une fin qui n'est pas liée à un processus décisionnel qui touche directement la personne, par exemple, la recherche et les statistiques.

Tous les ministères examinés, sauf un, ont établi des protocoles de protection des renseignements personnels relativement à la collecte, à l'utilisation ou à la divulgation de renseignements personnels à des fins non administratives. Avec un protocole, la collecte, l'utilisation et l'élimination de renseignements sont plus susceptibles d'être bien gérés.

Dans tous les ministères examinés dans cet audit, on avait enlevé toutes les références à des indicateurs personnels des renseignements recueillis à des fins non administratives afin de s'assurer que les renseignements étaient anonymes ou groupés. Les renseignements personnels sont ainsi plus susceptibles d'être protégés de façon adéquate.

Des améliorations doivent être apportées à la gestion des droits d'accès dans certains ministères.

Les ministères sont chargés de limiter l'accès aux renseignements personnels et l'utilisation de ceux-ci par des moyens administratifs, techniques et physiques pour protéger la confidentialité des renseignements et la vie privée d'une personne.

Il a été constaté que la plupart des ministères examinés disposaient de systèmes pour établir et administrer des droits d'accès électronique et des droits d'accès physique. Toutefois, dans certains cas, ces systèmes n'étaient pas toujours gérés de manière à assurer que seules les personnes qui avaient besoin de savoir aient accès aux fichiers renfermant des renseignements personnels. Plus particulièrement, dans certains ministères, les contrôles s'appliquant aux droits d'accès électronique et physique examinés ne garantissaient pas leur respect (p. ex., il existait des procédures permettant ou retirant le droit d'accès, mais rien ne prouvait qu'elles étaient suivies) ou leur mise à jour (ainsi, il n'y avait pas de procédure pour déclencher le retrait du droit d'accès au moment où un employé quitte son poste). En outre, les mesures de protection visant le contrôle de l'accès aux fichiers physiques contenant les renseignements personnels des employés ont été examinés et jugées insuffisantes dans certains ministères puisque l'on ne pouvait pas assurer le suivi des fichiers une fois sortis.

De plus, dans les trois ministères comptant des bureaux régionaux, les droits d'accès étaient gérés de façon plus informelle dans les régions qu'à l'administration centrale. Selon des entrevues et un examen des procédures établies, l'accès à des aires sûres de stockage des fichiers, par exemple, n'était pas toujours surveillé ou restreint.

Les avis de confidentialité peuvent être améliorés.

Les ministères sont chargés d'aviser la personne dont les renseignements personnels sont recueillis de la fin et de l'autorité rattachées à la collecte, aux utilisations ou aux divulgations qui sont cohérentes avec la fin initiale ou qui ne sont pas liées à la fin initiale, à toutes conséquences juridiques ou administratives du refus de fournir des renseignements personnels, et aux droits d'accès, de correction et de protection des renseignements personnels en vertu de la Loi sur la protection des renseignements personnels. Cette notification est donnée dans les avis de confidentialité. Les ministères sont chargés d'adapter l'avis de confidentialité pour une communication écrite ou orale au moment de la collecte. Les avis écrits doivent comprendre une mention du FRP décrit dans Info Source.

Dans la plupart des ministères examinés, les avis de confidentialité étaient suffisants. Toutefois, seuls quelques ministères ont fait mention du FRP connexe dans l'avis de confidentialité. La référence au FRP dans cet avis donne aux personnes qui fournissent des renseignements personnels des renseignements sur les conséquences et les utilisations de leurs renseignements personnels et des précisions sur l'endroit où s'adresser pour demander et obtenir des renseignements sur leurs données personnelles détenues par un ministère.

De même, des avis de confidentialité devraient être inclus dans les formulaires utilisés pour recueillir les numéros d'assurance sociale (NAS) auprès des employés, ou auprès des entrepreneurs conformément à la Loi de l'impôt sur le revenu. Bien que la plupart des ministères respectaient la Directive sur le numéro d'assurance sociale dans son ensemble, certains ministères recueillaient des NAS au moyen de formulaires qui ne contenaient pas d'avis de confidentialité. Comme le NAS constitue un élément clé des renseignements personnels, il importe que les personnes soient informées par un avis de confidentialité de la fin pour laquelle ces renseignements sont recueillis et de l'autorité applicable.

Bien que la plupart des ministères disposent de lignes directrices sur l'atteinte à la vie privée, elles n'étaient pas mises en œuvre de façon cohérente en ce qui concerne la documentation et la déclaration des violations et des mesures correctives.

Une atteinte à la vie privée consiste en la collecte, l'utilisation, la divulgation, la conservation ou l'élimination inappropriée ou interdite de renseignements personnels. Une atteinte peut résulter d'erreurs commises par inadvertance ou de gestes malicieux d'employés, de tierces parties, de partenaires dans des ententes de partage de l'information ou d'intrus. Aux termes de la Directive sur les pratiques relatives à la protection de la vie privée, les ministères sont chargés d'assurer une protection contre les atteintes au moyen de pratiques efficaces de protection de la vie privée, et par l'établissement d'un plan pour régler les atteintes à la vie privée lorsqu'elles surviennent.

La plupart des ministères examinés avaient élaboré des lignes directrices sur les atteintes à la vie privée. Au cours de la période visée, la moitié des ministères examinés ont subi une atteinte à la vie privée. La nature de ces atteintes variait de l'affichage par mégarde de renseignements personnels individuels sur un site Web ministériel à la communication à une tierce partie de renseignements personnels individuels. Des entrevues réalisées avec des membres du personnel et l'examen des fichiers indiquent que des mesures correctives ont été prises; il existe toutefois des possibilités d'insister sur l'importance de la protection des renseignements personnels et d'améliorer la documentation et la déclaration des atteintes ainsi que des mesures correctives.

Recommandations

4. Les ministères devraient s'assurer que les droits d'accès sont adéquats et efficaces sur le plan de la protection des renseignements personnels.
5. Les ministères devraient s'assurer que les avis de confidentialité respectent la Directive sur les pratiques relatives à la protection de la vie privée et la Directive sur le numéro d'assurance sociale.
6. Les ministères devraient s'assurer que toutes les atteintes à la vie privée sont signalées et gérées adéquatement. Ceci inclus la documentation de l'atteinte et des mesures correctives prises pour la régler.

La surveillance est effectuée de manière informelle.

Les responsables ou leurs délégués sont chargés de surveiller l'observation de la politique liée à l'application de la Loi sur la protection des renseignements personnels. Tous les ministères examinés indiquaient qu'ils exercent une surveillance des questions de vie privée. Compte tenu de leur taille et de leur mandat, les ministères ont indiqué que leur surveillance est essentiellement informelle. Dans certains ministères dont les mandats sont plus vastes, des mécanismes de surveillance plus formels pourraient contribuer à faire diminuer le risque d'inobservation des exigences de la politique et de la loi.

Certains ministères ont indiqué que les coordonnateurs de l'accès à l'information et de la protection des renseignements personnels (AIPRP) qui ont la responsabilité fonctionnelle des questions de vie privée avaient recours à des comités de gestion générale ou à des contacts informels avec leurs collègues d'autres secteurs de l'organisation pour demeurer au courant des changements au ministère qui pourraient avoir des répercussions sur la vie privée. De même, certains ministères ont également indiqué que les rôles et responsabilités multiples du coordonnateur de l'AIPRP (qui occupe souvent le poste de directeur des services ministériels ou un poste équivalent) et la petite taille de leur ministère ont facilité la surveillance de la vie privée au sein de leur organisation.

L'examen de tous les ministères étudiés révélait que, conformément aux exigences de la politique, ils préparent et déposent au Parlement un rapport annuel sur l'application de la Loi. Il est également indiqué que ce rapport annuel est leur seul outil formel de surveillance. Le rapport traite surtout des demandes présentées en vertu de la Loi sur la protection des renseignements personnels. Il ne renferme pas de renseignements sur la surveillance au quotidien ou des renseignements sur les atteintes à la vie privée. Tous les ministères retenus dans l'échantillon se conformaient généralement aux exigences de rapport de la politique (élaboration d'un rapport annuel sur l'application de la Loi sur la protection des renseignements personnels).

Dans deux ministères, les préoccupations relatives à la vie privée constituaient un point permanent de l'ordre du jour des réunions des comités de direction. Cet examen régulier des questions de vie privée permet de s'assurer que la direction dispose d'un mécanisme de surveillance continue des préoccupations relatives à la vie privée.

Recommandations

7. Les ministères devraient évaluer si leurs mécanismes de surveillance conviennent à la taille et à la complexité du mandat du ministère et aux risques associés aux renseignements personnels administrés.

Le Secrétariat a exercé diverses activités de communication auprès des ministères au besoin.

Conformément à la Politique sur la protection de la vie privée, le Secrétariat assure du leadership et donne des conseils et une orientation en matière de mise en œuvre par le ministère de la Politique sur la protection de la vie privée. Le Secrétariat a une fonction de communication qui présente plus de 50 séances d'information par année aux spécialistes fonctionnels de l'ensemble de la fonction publique fédérale. Le Secrétariat a également publié une Trousse sur la protection des renseignements personnels, qui comprend des documents d'orientation en vue de l'examen des questions de vie privée dans l'attribution de marchés et dans les ententes de partage de renseignements.

Le Secrétariat joue son rôle de surveillance.

La Politique sur la protection de la vie privée exige que le Secrétariat surveille la conformité de tous les aspects de cette politique en analysant et en examinant les rapports destinés au public qui sont exigés en vertu de la Loi sur la protection des renseignements personnels et d'autres renseignements. Le Secrétariat revoit les rapports annuels sur l'application de la Loi et formule des recommandations d'améliorations. De même, le Secrétariat passe en revue les présentations de renseignements sur les FRP de chaque ministère, qui sont alors publiées dans Info Source. Le Secrétariat reçoit également les ÉFVP des ministères et les évalue pour déterminer si elles sont complètes par rapport au modèle de base de l'ÉFVP qui se trouve à l'annexe C de la Directive sur l'évaluation des facteurs relatifs à la vie privée.

Les exigences de présentation des rapports annuels sur l'application de la Loi sur la protection des renseignements personnels n'obligent pas les ministères à produire un rapport sur le nombre d'atteintes à la vie privée subies, ou sur la gestion globale de la protection des renseignements personnels au sein du ministère. On a constaté durant l'audit que la nature précise du rapport peut limiter la collecte de renseignements additionnels sur l'état général de la protection de la vie privée dans l'ensemble du gouvernement, qui pourraient aider le Secrétariat à adapter ses activités de communication et à veiller au respect des exigences relatives aux politiques. À l'heure actuelle, le Secrétariat revoit les rapports annuels et les documents présentés pour Info Source pour assurer l'observation des exigences de rapport obligatoire. Le Secrétariat assure en outre un suivi des améliorations apportées d'une année à l'autre et détermine comment les ministères pourraient s'améliorer sur le plan de leurs exigences de rapport.

Le Cadre de responsabilisation de gestion (CRG) du Secrétariat effectue un examen davantage qualitatif des pratiques ministérielles sur la protection de la vie privée dans le contexte du volet sur la protection de la vie privée de la composante de gestion 12 : Gestion de l'information. Cette composante de gestion ne constitue pas l'un des dix éléments de base du CRG, mais est incluse à l'occasion dans l'exercice ministériel annuel du CRG, ce qui s'est produit pour la dernière fois lors de l'exercice 2006-2007. Les éléments de preuve fournis révélaient que la rétroaction précédente du CRG sur la protection de la vie privée a permis d'améliorer les outils et la gouvernance au sein des ministères.

Le Secrétariat s'est penché sur la politique et sur certaines directives connexes cinq ans après la mise en œuvre de la politique.

La Politique sur la protection de la vie privée est entrée en vigueur le 1er avril 2008. Le Secrétariat a examiné la politique au cours de l'exercice 2012-2013, comme l'exigeait la politique elle-même. Cet examen comprenait une évaluation détaillée du risque. Comme la Politique sur la protection de la vie privée repose surtout sur les exigences législatives énoncées dans la Loi sur la protection des renseignements personnels, qui a elle-même d'abord été adoptée par le Parlement en 1983, la politique a seulement fait l'objet de modifications mineures. Par conséquent, la politique et les directives connexes ne règlent peut-être pas les problèmes liés à la protection de la vie privée qui touchent les progrès technologiques survenus au fil des ans. En conséquence, le Secrétariat pourrait adresser les nouveaux risques au moyen de révisions futures de la politique et en élaborant une orientation supplémentaire.