Rapport annuel au Parlement sur l’application de la Loi sur la protection des renseignements personnels 2017-2018

Introduction

La Loi sur la protection des renseignements personnels a pour objet de compléter la législation canadienne en matière de protection des renseignements personnels relevant des institutions fédérales et de droit d’accès des individus aux renseignements personnels qui les concernent.

Les Canadiens et Canadiennes attachent de l’importance à la vie privée et à la protection de leurs renseignements personnels. Ils s’attendent à ce que les institutions fédérales respectent l’esprit et les exigences de la Loi sur la protection des renseignements personnels. Le gouvernement du Canada s’est engagé à respecter la vie privée des personnes en ce qui a trait aux renseignements personnels relevant des institutions fédérales. Le gouvernement reconnaît qu’il s’agit là d’un élément essentiel du maintien de la confiance du public à son égard.

Le présent rapport annuel est le cinquième que le Centre de la sécurité des télécommunications (CST) a préparé et présenté au Parlement conformément à l’article 72 de la Loi. Il dresse un aperçu des activités de l’organisme et décrit comment le Bureau de l’accès à l’information et de la protection des renseignements personnels (AIPRP) a rempli ses obligations en vertu de la Loi sur la protection des renseignements personnels du 1er avril 2017 au 31 mars 2018.

Mandat du Centre de la sécurité des télécommunications

Conformément au paragraphe 273.64(1) de la Loi sur la défense nationale, le CST dispose d’un mandat à trois volets :

• acquérir et utiliser l’information provenant de l’infrastructure mondiale d’information dans le but de fournir des renseignements étrangers, en conformité avec les priorités du gouvernement du Canada en matière de renseignement;
• fournir des avis, des conseils et des services pour aider à protéger les renseignements électroniques et les infrastructures d’information importantes pour le gouvernement du Canada;
• fournir une assistance technique et opérationnelle aux organismes fédéraux chargés de l’application de la loi et de la sécurité, dans l’exercice des fonctions que la loi leur confère.

La Loi sur la défense nationale exige que le CST prenne les mesures appropriées pour protéger la vie privée des Canadiens. À titre d’agent indépendant, le commissaire du CST examine ces mesures pour veiller à ce qu’elles respectent les exigences de la Loi.

Structure du Bureau de l’accès à l’information et de la protection des renseignements personnels

Le Bureau de l’AIPRP fait partie du Groupe de la divulgation, des politiques et de l’examen qui relève du Secteur des politiques et des communications du CST. Le ministre de la Défense nationale a délégué tous les pouvoirs en vertu de l’article 73 de la Loi sur la protection des renseignements personnels au chef adjoint, Politiques et communications (coordinateur de l’AIPRP et chef de la protection des renseignements personnels pour le CST), et la plupart des pouvoirs au directeur, Divulgation, politiques et examen, ainsi qu’au gestionnaire, Gestion des divulgations (anciennement gestionnaire, AIPRP). Une copie de l’ordonnance de délégation de pouvoirs qui énonce les responsabilités en vertu de la Loi se trouve à l’annexe I du présent rapport.

Le respect de la vie privée des Canadiens est l’une des valeurs cardinales de la culture organisationnelle du CST et demeure d’une importance absolue dans toutes les fonctions de l’ensemble de l’organisme. Le Bureau de l’AIPRP compte un gestionnaire responsable de sept employés à temps plein qui travaillent au sein de deux équipes distinctes : l’équipe des Opérations liées à l’AIPRP et l’équipe de la Gouvernance et des politiques en matière de protection des renseignements personnels (GPPRP). L’équipe des Opérations liées à l’AIPRP se compose d’un superviseur, de deux analystes et d’un agent de soutien. L’équipe de la GPPRP comprend un superviseur et deux analystes.

En plus de préparer des rapports pour le Parlement et le Secrétariat du Conseil du Trésor (SCT), le Bureau de l’AIPRP représente le CST en vertu des pouvoirs qui lui sont conférés auprès du SCT et des représentants du commissaire à la protection de la vie privée et du commissaire à l’information en ce qui a trait à l’application des lois au sein du CST.

Plus particulièrement, l’équipe des Opérations liées à l’AIPRP est responsable des activités suivantes :

• traiter les demandes présentées en vertu de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels;
• répondre aux demandes de consultation provenant d’autres institutions gouvernementales
• fournir des conseils et une orientation aux membres de la haute direction et du personnel du CST sur les enjeux liés aux lois et aux politiques en matière d’AIPRP;
• fournir des conseils et une orientation aux membres de la haute direction et du personnel du CST sur les enjeux liés aux lois et aux politiques en matière d’AIPRP;
• aider le CST à respecter ses obligations en vertu des lois, y compris l’application des règlements, politiques et lignes directrices connexes;
• représenter le CST au sein des communautés de pratique de l’AIPRP, comme lors des réunions de la collectivité de l’AIPRP du SCT;
• représenter le CST au sein des communautés de pratique de l’AIPRP, comme lors des réunions de la collectivité de l’AIPRP du SCT;
• coordonner la mise à jour annuelle de la publication Info Source du CST, qui comprend une description de l’organigramme et des fonds de renseignements de l’organisme;
• préparer les rapports annuels au Parlement, ainsi que les rapports statistiques annuels au SCT;
• élaborer les procédures, guides et outils de travail en matière d’AIPRP et les mettre en oeuvre au sein de l’organisme;
• fournir de la formation au personnel du CST sur l’application de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels.

L’équipe de la GPPRP est responsable des activités suivantes :

• fournir des conseils et une orientation aux membres de la haute direction et du personnel du CST sur les enjeux liés aux lois et aux politiques en matière de protection des renseignements personnels;
• fournir des conseils d’expert et de l’aide en matière de protection de la vie privée aux secteurs d’activités pour les évaluations des facteurs relatifs à la vie privée, la gestion des atteintes à la vie privée, la rédaction des énoncés de confidentialité et la tenue des fichiers de renseignements personnels;
• aider le CST à respecter ses obligations en vertu de la Loi sur la protection des renseignements personnels, y compris l’application des règlements, politiques et lignes directrices connexes;
• représenter le CST au sein des communautés de pratique en matière de protection des renseignements personnels;
• coordonner la mise à jour annuelle de la publication Info Source du CST, qui comprend une description de l’organigramme et des fonds de renseignements de l’organisme;
• élaborer l’ébauche des procédures, guides et outils de travail internes en matière de protection des renseignements personnels et les mettre en oeuvre au sein de l’organisme;
• fournir de la formation au personnel du CST sur l’application de la Loi sur la protection des renseignements personnels en mettant l’accent sur la protection des renseignements personnels.

Principales activités et réalisations

Études et formation

La formation offerte au CST sur la protection des renseignements personnels permet de s’assurer que tous les employés connaissent leurs responsabilités en matière de gestion des renseignements personnels lorsqu’ils mènent des activités liées ou non liées à la mission de l’organisme. En 2017-2018, le Bureau de l’AIPRP a tenu huit séances détaillées de sensibilisation à la protection de la vie privée, auxquelles 170 employés ont assisté. Le CST continuera de tenir son engagement envers la formation et le perfectionnement de ses employés en offrant des séances supplémentaires en 2018-2019.

Le Bureau de l’AIPRP a également mis en oeuvre d’autres initiatives éducatives en 2017-2018, notamment la Semaine de la sensibilisation à la protection des renseignements personnels au CST du 15 au 21 mai 2017. Cet événement a permis au Bureau de l’AIPRP de sensibiliser les employés davantage au sujet de leurs responsabilités lorsqu’il est question de renseignements personnels et au sujet des ressources dont ils disposent, notamment, le Bureau de la gouvernance et des politiques en matière de renseignements personnels et les ateliers de sensibilisation à la protection des renseignements personnels.

Ensemble, ces efforts ont permis d’accroître la sensibilisation à l’échelle de l’organisme et cela a donné lieu à une augmentation du nombre de gestionnaires de programme et d’intervenants ayant consulté le Bureau de l’AIPRP et le Bureau de la gouvernance et des politiques en matière de renseignements personnels du CST en vue d’obtenir de l’orientation sur les politiques et procédures du CST relatives à la protection de la vie privée et sur les pratiques exemplaires à adopter en matière de gestion des renseignements personnels. Le Bureau de l’AIPRP a prévu de nombreuses nouvelles initiatives en vue de promouvoir la protection des renseignements personnels en 2018-2019.

Politiques et procédures institutionnelles sur la protection des renseignements personnels

La série de politiques sur la protection des renseignements personnels du CST comprend la Politique sur la protection des renseignements personnels servant à des fins administratives au CST qui a été promulguée en 2016. Cette politique de large portée définit les obligations du CST en matière de gestion et de protection des renseignements personnels dans le cadre de ses fonctions organisationnelles, conformément à la Loi sur la protection des renseignements personnels, ses règlements et les politiques connexes du Secrétariat du Conseil du Trésor (SCT). La Politique en matière d’atteinte à la vie privée dans le cadre des activités non liées à la mission définit les obligations du CST dans l’éventualité d’une atteinte à la vie privée dans le cadre d’activités non liées à la mission. Le CST n’a apporté aucun changement à la série de politiques sur la protection des renseignements personnels pendant la période visée par le présent rapport.

Le Bureau de la gouvernance et des politiques en matière de renseignements personnels a mis Access Pro Case Management en oeuvre comme système de gestion des cas. Le système permet au Bureau de la gouvernance et des politiques de créer des cas, de faire le suivi des cas et de compléter les cas en cours, notamment, les analyses des besoins en matière de vie privée (ABVP), les évaluations des facteurs relatifs à la vie privée (EFVP), les demandes liées au respect de la vie privée, et d’autres projets.

En particulier, l’équipe de la GPPRP a retravaillé les documents portant sur les atteintes à la vie privée pour simplifier son processus d’enquête interne relatif aux atteintes à la vie privée. La GPPRP compte mettre le formulaire d’ABVP à jour à la lumière des rétroactions des clients du CST, afin d’améliorer les principes liés à protection des renseignements personnels.

Autres initiatives

Le CST a procédé au lancement officiel du site Web du Bureau de la gouvernance et des politiques en matière de renseignements personnels pendant la Semaine de sensibilisation à la protection des renseignements personnels. Le site Web permet aux employés de s’informer au sujet de l’obligation de rendre des comptes, des responsabilités et des activités en matière de renseignements personnels. Les employés du CST peuvent accéder aux ressources et outils importants sur le site pour appuyer l’élaboration d’énoncés de confidentialité, d’analyses des besoins en matière de vie privée, d’évaluations des facteurs relatifs à la vie privée, d’enquêtes sur une atteinte à la vie privée, de fichiers de renseignements personnels et pour demander de suivre la formation de sensibilisation à la protection des renseignements personnels.

L’équipe des Opérations liées à l’AIPRP a mis en oeuvre une initiative avec ses bureaux de première responsabilité (BPR) afin d’améliorer la rapidité et l’efficience du traitement des demandes en donnant au Bureau de l’AIPRP la responsabilité d’effectuer l’évaluation initiale des documents. La surveillance de l’efficacité de cette initiative se poursuivra au cours du prochain exercice.

Évaluations des facteurs relatifs à la vie privée

Le Bureau de la gouvernance et des politiques en matière de protection des renseignements personnels rédige actuellement des résumés au sujet des évaluations des facteurs relatifs à la vie privée qui ont été effectuées jusqu’à présent dans le but de les publier en 2018-2019.

Pendant la période de 2017-2018 visée par le présent rapport, le CST a mené une évaluation des facteurs relatifs à la vie privée par rapport à CERRID2. Ce dernier est le système de gestion électronique des documents (SGEAD) classifiés et non classifiés du CST. Grâce au système CERRID2, les utilisateurs autorisés peuvent enregistrer, trouver, mettre en commun et protéger des documents par l’entremise de règles administratives, de rôles et d’authentification de contrôles basés sur l’accès.

Outre les EFVP, l’équipe de la GPPRP a reçu 43 analyses de besoins en matière de vie privée et en a terminé 42 au cours de la période de 2017-2018 visée par le présent rapport sur les activités et les systèmes que le CST envisage de mettre en oeuvre afin d’appuyer ses programmes.

Rapport statistique sur l’application de la Loi sur la protection des renseignements personnels

Nombre de demandes officielles

Au cours de la période visée, le CST a reçu 10 demandes en vertu de la Loi sur la protection des renseignements personnels. De plus, le CST a traité cinq demandes restées en suspens au cours de l’exercice précédent, ce qui porte le nombre total de demandes à traiter à 15. Il s’agit d’une diminution par rapport à l’exercice précédent, où 23 nouvelles demandes avaient été reçues. À la fin de l’exercice 2017-2018, le CST avait complété huit demandes et en avait reporté sept à l’exercice 2018-2019.

Disposition des demandes complétées

Le CST a complété huit demandes au cours de la période visée. De ce nombre, quatre demandes ont donné lieu à la communication partielle de documents. Aucun document n’existait dans un cas, et deux demandes ont été abandonnées par le demandeur. Dans un cas, le CST a refusé de confirmer ou de nier l’existence de documents. Cela s’explique par le fait que les demandes concernent des documents se trouvant dans des fichiers de renseignements inconsultables (CST PPU 040) qui renferment des renseignements personnels liés aux fichiers du CST concernant le renseignement étranger. Aucune demande n’a entraîné une divulgation complète des renseignements demandés.

Description détaillée - Tableau : 1

Tableau : Disposition des demandes complétées

Disposition	Nombre de demandes
	2013-2014	2014-2015	2015-2016	2016-2017	2017-2018
Communication partielle	10	7	7	6	4
Exception totale	8	0	0	0	0
Aucun document n'existe	39	10	3	8	1
Demande abandonée	10	5	5	2	2
Ni confirmée ni niée	0	2	1	6	1

Ne pas confirmer ou nier l’existence d’un document

Le paragraphe 16(2) de la Loi précise que les institutions ne sont pas obligées de faire état de l’existence d’un document. Lorsqu’elles avisent un demandeur qu’elles invoquent cette disposition, les institutions doivent aussi indiquer l’article de la Loi sur lequel un refus pourrait raisonnablement se fonder si le document existait. Le paragraphe 16(2) a été élaboré pour résoudre les situations dans lesquelles la simple confirmation de l’existence (ou la non-existence) d’un document pourrait révéler de l’information autrement protégée en vertu de la Loi. On recommande de limiter l’application du paragraphe 16(2) aux cas où le fait de confirmer ou de nier l’existence d’un document risquerait de causer préjudice aux relations étrangères du Canada, à la défense du Canada, aux activités d’application de la loi et à la sécurité des individus, ainsi que de divulguer des renseignements personnels. Le paragraphe 16(2) a été invoqué à une seule occasion au cours de l’exercice 2017-2018.

Délai de traitement

Au cours de l’exercice 2017-2018, sept demandes parmi celles qui ont été complétées ont été closes dans les délais impartis par la loi. L’efficacité du traitement des demandes faites en vertu de la Loi s’est accrue depuis que le CST a reçu cette responsabilité en 2013. En général, les demandes reçues en 2017-2018 étaient moins complexes que celles reçues au cours des années précédentes.

Description détaillée - Tableau : 2

Tableau : Délai de traitement

Délai de traitement	Nombre de demandes
	2013-2014	2014-2015	2015-2016	2016-2017	2017-2018
Moins de 30 jours	52	18	12	22	7
De 31 à 60 jours	5	1	0	0	0
De 61 à 120 jours	9	1	2	0	1
De 121 à 180 jours	1	0	0	0	0
De 181 à 365 jours	0	1	1	0	0
Plus de 365 jours	0	3	1	0	0

Exceptions concernant la communication de renseignements

Les exceptions les plus courantes appliquées au CST se rapportaient aux articles 21 et 26 de la Loi sur la protection des renseignements personnels. L’article 21 a été invoqué dans tous les quatre cas de demandes ayant donné lieu à une communication partielle afin de protéger des renseignements qui risqueraient raisonnablement de causer préjudice à la défense du Canada, tandis que l’article 26 a été invoqué à trois reprises pour protéger des renseignements sur un autre individu que celui qui a fait la demande. L’application de ces deux exceptions n’est ni en hausse ni en baisse par rapport aux années précédentes.

Prorogation du délai

Au cours de l’année 2017-2018, un délai a été prorogé pour une demande présentée en vertu de la Loi sur la protection des renseignements personnels conformément à l’alinéa 15(a)i) de la Loi sur la protection des renseignements personnels lié à l’entrave au fonctionnement.

Consultations

Au cours de l’exercice 2017-2018, le CST a reçu deux demandes de consultation. Ces demandes provenaient d’une autre institution gouvernementale, ont été complétées pendant la période visée et contenaient un total de 64 pages. Les deux demandes ont été fermées pendant la période visée par ce rapport. Ce nombre correspond au nombre de demandes de consultation qui ont été reçues au cours de l’exercice précédent.

Communication de renseignements personnels en vertu de l’alinéa 8(2)m)

Le paragraphe 8(2) de la Loi sur la protection des renseignements personnels décrit les circonstances dans lesquelles les renseignements personnels qui relèvent d’une institution gouvernementale peuvent être communiqués sans le consentement de l’individu qu’ils concernent. Ces communications sont discrétionnaires et assujetties aux autres lois fédérales.

Selon l’alinéa 8(2)m), une institution peut communiquer des renseignements personnels à toute autre fin dans les cas où, de l’avis du responsable de l’institution, des raisons d’intérêt public justifieraient nettement une éventuelle violation de la vie privée ou l’individu concerné en tirerait un avantage certain.

Le CST n’a communiqué aucun renseignement personnel en vertu de l’alinéa 8(2)m) au cours de la période visée.

Frais et coûts

Les dépenses totales engagées pour appliquer la Loi sur la protection des renseignements personnels s’élevaient à 358 603 $. Ce chiffre correspond à l’augmentation prévues des dépenses par rapport à l’exercice précédent imputable à la mise sur pied du Bureau de la gouvernance et des politiques en matière de renseignements personnels.

Plaintes, examens judiciaires et vérifications

Les personnes qui sont insatisfaites du traitement de leur demande de communication de renseignements personnels ou qui croient que leurs renseignements personnels ont été incorrectement recueillis, utilisés ou communiqués peuvent déposer une plainte auprès du Commissariat à la protection de la vie privée du Canada.

Le CST a reçu deux plaintes pendant l’exercice visé. Deux dossiers de plaintes existants ont été clos. Une plainte a été réglée au cours de l’enquête connexe, et l’autre a été réglée, mais fait l’objet d’une révision judiciaire en 2017-2018.

L’équipe de la Vérification et de l’évaluation du CST a continué la vérification de la conformité du CST à la Loi sur la protection des renseignements personnels et au Règlement sur la protection des renseignements personnels. La vérification portait sur la conformité du CST à la Loi sur la protection des renseignements personnels. La vérification a évalué dans quelle mesure le CST a mis en place et mis en oeuvre un cadre de politiques et de pratiques administratives pour veiller à ce qu’une gouvernance, des contrôles et des processus de gestion de risques suffisants soient mis en place pour protéger et gérer les renseignements personnels. Les résultats et recommandations formulées à la suite de cette vérification sont attendus en 2018-2019.

Surveillance de la conformité

À l’aide de son logiciel de gestion des cas, le Bureau de l’AIPRP a continué de produire des rapports sur les délais de traitement des demandes. Ces rapports ont été fournis au coordinateur de l’AIPRP du CST tout au long de l’exercice. Le Comité exécutif du CST (composé de membres de la direction de niveaux SM et SMA) est mis au courant chaque semaine de l’état des demandes présentées en vertu de la Loi sur la protection des renseignements personnels. Le CST poursuivra ses efforts en vue d’améliorer la rapidité du traitement des demandes en 2018-2019.

Atteintes substantielles à la vie privée

Aucune atteinte substantielle à la vie privée n’a été signalée pour l’exercice 2017-2018.

Annexe I : Délégation des pouvoirs

Loi sur la protection des renseignements personnels Arrêté sur la délégation

Conformément à l’article 73 de la Loi sur la protection des renseignements personnels, le ministre de la Défense nationale autorise par la présente la personne occupant le poste de directeur général, Politiques et communications, à exercer tous les pouvoirs et toutes les fonctions du ministre en tant qu’administrateur d’un organisme gouvernemental en vertu de la Loi. Le directeur, Divulgation, politiques et examen, le gestionnaire, Gestion des divulgations, et le superviseur du Bureau de l’AIPRP exerceront tous les pouvoirs et toutes les fonctions en vertu de la Loi, à l’exception notable de la disposition de dérogation fondée sur l’intérêt public en vertu du paragraphe 8(2)m). Le chef du CST et le directeur général, Politiques et communications partagent le pouvoir d’invoquer cette disposition.

Le ministre autorise également :

• la personne occupant le poste de superviseur, Accès à l’information et protection des renseignements personnels, à exercer les fonctions découlant de la Loi sur la protection des renseignements personnels en vertu :
  • de l’article 15 (prorogation des délais imposés par la loi);
  • du paragraphe 8(2) (communisation et utilisation) à l’exception de l’alinéa 8(2)m) (communication fondée sur l’intérêt public);
• la personne occupant le poste de superviseur, Accès à l’information et protection des renseignements personnels, à répondre aux questions reçues en vertu de la Loi sur la protection des renseignements personnels en l’absence de dossier;
• la personne occupant le poste de superviseur, Accès à l’information et protection des renseignements personnels, à répondre aux demandes de consultation des autres ministères et organismes du gouvernement en lien avec des documents traités en vertu de la Loi sur la protection des renseignements personnels.

Cet arrêté de délégation entre en vigueur le 1^er avril 2013 et remplace tous les arrêtés de délégation antérieurs.

Daté dans la ville d’Ottawa, en Ontario, ce 26 jour de mars 2013.

Original signé par
L’honorable Peter MacKay C.P., c.r., député,
Ministre de la Défense nationale

Rapport statistique sur la Loi sur la protection des renseignements personnels

Nom de l’institution : Centre de la sécurité des télécommunications

Période d'établissement de rapport : 2017-04-01 au 2018-03-31

Partie 2 – Demandes fermées pendant la période d'établissement de rapport

2.5 Complexité

2.6 Présomptions de refus

Partie 5 – Prorogations

Partie 6 – Demandes de consultation reçues d’autres institutions et organisations

Partie 7- Délais de traitement des demandes de consultation sur les renseignements confidentiels du Cabinet

Partie 10 - Ressources liées à la Loi sur la protection des renseignements personnels

Nota : Indiquer les valeurs à deux décimales près.