Rapport annuel au Parlement sur l’application de la Loi sur la protection des renseignements personnels 2018-2019

Introduction

La Loi sur la protection des renseignements personnels (Loi) a pour objet de compléter la législation canadienne en matière de protection des renseignements personnels relevant des institutions fédérales et de droit d’accès des individus aux renseignements personnels qui les concernent.

Les Canadiens et les Canadiennes attachent de l’importance à la vie privée et à la protection de leurs renseignements personnels. Ils s’attendent à ce que les institutions gouvernementales respectent l’esprit de la Loi et les exigences qu’elle énonce. Le gouvernement du Canada s’est engagé à respecter la vie privée des personnes en ce qui a trait aux renseignements personnels relevant des institutions fédérales. Le gouvernement reconnaît qu’il s’agit là d’un élément essentiel du maintien de la confiance du public à son égard.

Le présent rapport annuel est le sixième que le Centre de la sécurité des télécommunications (CST) a préparé et présenté au Parlement conformément à l’article 72 de la Loi. Il dresse un aperçu des activités de l’organisme et décrit comment le Bureau de l’accès à l’information et de la protection des renseignements personnels (AIPRP) a respecté les obligations qui lui sont imposées par la Loi du 1^er avril 2018 au 31 mars 2019.

Mandat du Centre de la sécurité des télécommunications

Conformément au paragraphe 273.64(1) de la Loi sur la défense nationale, le CST dispose d’un mandat à trois volets :

1. acquérir et utiliser l’information provenant de l’infrastructure mondiale d’information dans le but de fournir des renseignements étrangers, en conformité avec les priorités du gouvernement du Canada en matière de renseignement;
2. fournir des avis, des conseils et des services pour aider à protéger les renseignements électroniques et les infrastructures d’information importantes pour le gouvernement du Canada;
3. fournir une assistance technique et opérationnelle aux organismes fédéraux chargés de l’application de la loi et de la sécurité, dans l’exercice des fonctions que la loi leur confère.

La Loi sur la défense nationale exige que le CST prenne les mesures appropriées pour protéger la vie privée des Canadiens. À titre d’agent indépendant, le commissaire du CST examine ces mesures pour veiller à ce qu’elles respectent les exigences de la Loi sur la défense nationale.

Structure du Bureau de l’accès à l’information et de la protection des renseignements personnels

Le Bureau de l’AIPRP fait partie du Groupe de la divulgation, des politiques et de l’examen qui relève du Secteur des politiques et des communications du CST. En vertu de l’article 73 de la Loi, le ministre de la Défense nationale a délégué tous les pouvoirs au chef adjoint, Politiques et communications ; au directeur général, Divulgation, politiques et examen ; au directeur, Divulgations et communication d’information, ainsi qu’au gestionnaire, Divulgations. Il a également délégué des pouvoirs au superviseur, Opérations liées à l’AIPRP ; et au superviseur, Gouvernance et politiques en matière de protection des renseignements personnels (GPPRP). Une copie de l’ordonnance de délégation des pouvoirs en vertu de la Loi se trouve à l’annexe I du présent rapport.

Le respect de la vie privée des Canadiens est l’une des valeurs cardinales de la culture organisationnelle du CST et demeure d’une importance absolue dans toutes les fonctions de l’ensemble de l’organisme.   Le Bureau de l’AIPRP compte un gestionnaire responsable de douze employés attitrés à temps plein qui travaillent au sein de deux équipes distinctes : l’équipe des Opérations de l’AIPRP et l’équipe de la GPPRP. À la fin de la période visée, les deux équipes étaient respectivement composées d’un superviseur, de quatre analystes et d’un agent de soutien, et d’un superviseur et de deux analystes.

En plus de préparer des rapports pour le Parlement et le Secrétariat du Conseil du Trésor (SCT), le Bureau de l’AIPRP est le représentant délégué du CST auprès du SCT et des représentants du commissaire à la protection de la vie privée et du commissaire à l’information en ce qui a trait à l’application des lois au sein du CST.

Plus particulièrement, l’équipe des Opérations liées à l’AIPRP est responsable des activités suivantes :

• traiter les demandes présentées en vertu de la Loi et de la Loi sur l’accès à l’information;
• répondre aux demandes de consultation provenant d’autres institutions gouvernementales;
• fournir des avis et des conseils aux membres de la haute direction et du personnel du CST sur les enjeux liés aux lois et aux politiques en matière d’AIPRP;
• aider le CST à respecter les obligations qui lui sont imposées par les lois, y compris l’application des règlements, des politiques et des lignes directrices connexes;
• représenter le CST au sein des communautés de pratique de l’AIPRP, comme lors des réunions de la collectivité de l’AIPRP du SCT;
• élaborer les procédures, les guides et les outils de travail en matière d’AIPRP et les mettre en œuvre au sein de l’organisme;
• fournir de la formation au personnel du CST sur l’application de la Loi et de la Loi sur l’accès à l’information.

L’équipe de la GPPRP est responsable des activités suivantes :

• fournir des avis et des conseils aux membres de la haute direction et du personnel du CST sur les enjeux liés aux lois et aux politiques en matière de protection des renseignements personnels;
• fournir des conseils d’expert et de l’aide en matière de protection de la vie privée aux secteurs d’activités dans le cadre de leurs activités d’évaluation des facteurs relatifs à la vie privée, de gestion des atteintes à la vie privée, de rédaction des énoncés de confidentialité et de tenue des fichiers de renseignements personnels;
• aider le CST à respecter les obligations qui lui sont imposées par la Loi, y compris l’application des règlements, des politiques et des lignes directrices connexes;
• représenter le CST au sein des communautés de pratique en matière de protection des renseignements personnels;
• coordonner la mise à jour annuelle de la publication Info Source du CST, qui comprend une description de l’organigramme et des fonds de renseignements de l’organisme;
• élaborer les procédures, les guides et les outils de travail internes en matière de protection des renseignements personnels et les mettre en œuvre au sein de l’organisme;
• fournir de la formation au personnel du CST sur l’application de la Loi, mais surtout sur la protection des renseignements personnels.

Principales activités et réalisations

Sensibilisation et formation

La formation offerte au CST sur la protection des renseignements personnels vise à sensibiliser tous les employés de leurs responsabilités en matière de gestion des renseignements personnels lorsqu’ils mènent des activités liées ou non liées à la mission de l’organisme. En 2018-2019, le Bureau de l’AIPRP a tenu 19 séances complètes de sensibilisation à la protection de la vie privée, auxquelles 499 employés ont assisté. Le CST continuera de tenir son engagement envers la formation et le perfectionnement de ses employés en offrant d’autres séances en 2019-2020.

Parmi les autres activités éducatives connexes qui ont eu lieu en 2018-2019, citons la Semaine de la sensibilisation à la protection des renseignements personnels au CST du 7 au 11 mai 2018. La Semaine permet à l’équipe de la GPPRP de sensibiliser les employés à leurs responsabilités en matière de protection des renseignements personnels et de les informer des diverses ressources à leur disposition, notamment l’équipe de la GPPRP et les formations sur la protection des renseignements personnels.

Ensemble, ces efforts ont permis d’accroître la sensibilisation à l’échelle de l’organisme. Conséquemment, un plus grand nombre de gestionnaires de programme et d’intervenants ont consulté l’équipe des Opérations liées à l’AIPRP et l’équipe de la GPPRP pour obtenir des conseils sur les politiques et les procédures du CST relatives à la protection de la vie privée et sur les pratiques exemplaires à adopter en matière de gestion des renseignements personnels. Plusieurs nouvelles activités de sensibilisation à la protection des renseignements personnels devraient voir le jour en 2019-2020, dont le lancement d’une formation interne en ligne.

Politiques et procédures institutionnelles sur la protection des renseignements personnels

La série de politiques sur la protection des renseignements personnels du CST comprend la Politique sur la protection des renseignements personnels servant à des fins administratives au CST. Cette politique de large portée définit les obligations du CST en matière de gestion et de protection des renseignements personnels dans le cadre de ses fonctions organisationnelles, conformément à la Loi, à ses règlements et aux politiques connexes du SCT. La Politique en matière d’atteinte à la vie privée dans le cadre des activités non liées à la mission définit les obligations du CST dans l’éventualité d’une atteinte à la vie privée dans le cadre d’activités non liées à la mission. Le CST n’a apporté aucun changement à la série de politiques sur la protection des renseignements personnels pendant la période visée.

En 2018-2019, l’équipe de la GPPRP s’est fondée sur la rétroaction reçue des clients du CST pour actualiser le formulaire d’analyse des besoins en matière de vie privée. L’objectif était de simplifier le processus d’évaluation liée à la vie privée lors de la mise sur pied de nouveaux services ou programmes.

De plus, depuis la fin de l’exercice 2018-2019, le CST offre le service de demandes d’AIPRP en ligne, ce qui lui permet de recevoir directement les demandes qui lui sont adressées en vertu de l’article 12(1) de la Loi. Le service, offert dans un site Web centralisé mis au point par le SCT, permet aux utilisateurs de remplir des demandes d’accès à l’information et de renseignements personnels et de les soumettre à tout établissement assujetti à la Loi.  

Autres projets

Le site Web interne du Bureau de la GPPRP offre aux employés de l’information sur l’obligation de rendre des comptes, les responsabilités et les activités liées aux renseignements personnels. Les employés peuvent accéder aux ressources et outils importants sur le site pour demander à suivre la formation de sensibilisation à la protection des renseignements personnels et pour les aider à produire des énoncés de confidentialité, des analyses des besoins en matière de vie privée, des évaluations des facteurs relatifs à la vie privée, des enquêtes sur une atteinte à la vie privée et des fichiers de renseignements personnels.

L’équipe des Opérations liées à l’AIPRP, en collaboration avec ses bureaux de première responsabilité (BPR), a mis en œuvre un projet visant à accélérer et à rendre plus efficace le traitement des demandes en chargeant le Bureau de l’AIPRP de l’évaluation initiale des documents. L’efficacité de ce projet continuera d’être évaluée au cours du prochain exercice.

Évaluations des facteurs relatifs à la vie privée

Le Bureau de la GPPRP rédige actuellement des résumés des évaluations des facteurs relatifs à la vie privée qui ont été effectuées jusqu’à présent dans le but de les publier en ligne.

Au cours de la période visée par le rapport de 2018-2019, le CST a continué son travail sur huit évaluations des facteurs relatifs à la vie privée.

Au cours de la même période, le Bureau de la GPPRP a reçu 63 analyses des besoins en matière de la vie privée. Ces analyses permettent d’évaluer les activités et les systèmes auxquels le CST s’intéresse pour soutenir ses programmes du point de vue de la protection de la vie privée. Pendant la période visée, le Bureau de la GPPRP a terminé l’examen de 73 analyses des besoins en matière de la vie privée qu’il a reçues au cours des périodes visées par les rapports de 2016-2017, 2017-2018 et 2018-2019.

Rapport statistique sur l’application de la Loi sur la protection des renseignements personnels

Nombre de demandes officielles

Au cours de la période visée, le CST a reçu 12 demandes qui lui ont été adressées en vertu du paragraphe 12(1) de la Loi. De plus, sept demandes étaient restées en suspens à la fin de l’exercice précédent, ce qui veut dire que le CST avait 19 demandes à traiter. Il s’agit d’une augmentation par rapport à l’année dernière, où seulement dix nouvelles demandes avaient été reçues. À la fin de l’exercice 2018-2019, le CST avait fermé huit demandes et en avait reporté 11 à l’exercice 2019‑2020.

Description détaillée - Tableau : 1

Tableau : Demandes reçues

Disposition	Nombre de demandes
	2014-2015	2015-2016	2016-2017	2017-2018	2018-2019
Vie privée	28	10	23	10	12
Consultation - vie privée	2	2	1	2	1

Disposition des demandes traitées

Le CST a traité huit demandes au cours de la période visée. De ce nombre, quatre demandes ont donné lieu à la communication partielle de documents et deux demandes ont été abandonnées par le demandeur. Le CST n’a pas reçu de demandes pour lesquelles il n’existait aucun document, et dans deux cas, il a refusé de confirmer ou de nier l’existence des documents. Cela s’explique par le fait que les demandes concernent des documents qui, s’ils existent, se trouvent dans des fichiers de renseignements inconsultables (CST PPU 040) qui renferment des renseignements personnels liés aux fichiers du CST concernant le renseignement étranger. Aucune demande n’a entraîné une divulgation complète des renseignements demandés.

Description détaillée - Tableau : 2

Tableau : Demandes closes

Disposition	Nombre de demandes
	2014-2015	2015-2016	2016-2017	2017-2018	2018-2019
Vie privée	24	16	22	8	8
Consultation - vie privée	2	2	1	2	1

Description détaillée - Tableau : 3

Tableau : Disposition des demandes traitées

Disposition	Nombre de demandes
	2014-2015	2015-2016	2016-2017	2017-2018	2018-2019
Communication totale	0	0	0	0	0
Communication partielle	7	7	6	4	4
Exception totale	0	0	0	0	0
Aucun document n'existe	10	3	8	1	0
Demande abandonnée	5	5	2	2	2
Ni confirmée ni ninfirmé	2	1	6	1	2

Ne pas confirmer ou nier l’existence d’un document

Le paragraphe 16(2) de la Loi précise que les institutions ne sont pas obligées de faire état de l’existence d’un document. Ce paragraphe est invoqué lorsque la simple confirmation de l’existence (ou la non‑existence) d’un document pourrait révéler de l’information autrement protégée en vertu de la Loi. On recommande de limiter l’application du paragraphe 16(2) aux cas où le fait de confirmer ou de nier l’existence d’un document risquerait de divulguer des renseignements personnels ainsi que de causer préjudice aux relations étrangères du Canada, à la défense du Canada, aux activités d’application de la loi et à la sécurité des individus. Lorsqu’elles avisent un demandeur qu’elles invoquent cette disposition, les institutions doivent aussi indiquer l’article de la Loi sur lequel un refus pourrait raisonnablement se fonder si le document existait. Le paragraphe 16(2) a été invoqué à deux occasions au cours de 2018‑2019.

Délai de traitement

Six des demandes closes au cours de l’exercice 2018-2019 l’ont été dans les délais impartis par la loi. L’efficacité du traitement des demandes faites en vertu de la Loi est stable depuis que le CST a reçu cette responsabilité en 2013. En raison du caractère sensible de l’information en cause et du volume des dossiers visés, les demandes reçues en 2018-2019 étaient généralement plus complexes que celles reçues au cours des exercices précédents.

Description détaillée - Tableau : 4

Tableau : Délai de traitement

Délai de traitement	Nombre de demandes
	2014-2015	2015-2016	2016-2017	2017-2018	2018-2019
Moins de 30 jours	18	12	22	7	6
De 31 à 60 jours	1	0	0	0	1
De 61 à 120 jours	1	2	0	1	0
De 121 à 180 jours	0	0	0	0	0
De 181 à 365 jours	1	1	0	0	1
Plus de 365 jours	3	1	0	0	0

Exceptions concernant la communication de renseignements

Les exceptions les plus courantes appliquées au CST se rapportaient aux articles 21 et 26 de la Loi. L’article 21 a été invoqué dans les quatre demandes ayant donné lieu à une communication partielle afin de protéger des renseignements qui risqueraient raisonnablement de causer préjudice à la défense du Canada, tandis que l’article 26 a été invoqué à deux reprises pour protéger des renseignements sur un autre individu que celui qui a fait la demande. L’application de ces deux exceptions est comparable à celle des années précédentes.

Prorogation du délai

Au cours de l’année 2018-2019, le CST a appliqué, conformément à l’alinéa 15(a)i) de la Loi lié à l’entrave au fonctionnement, une prorogation de délai pour une demande présentée en vertu de la Loi.

Consultations

Au cours de l’exercice 2018-2019, le CST a reçu une demande de consultation. Cette demande de deux pages provenait d’une autre institution fédérale et elle a été fermée pendant la période visée. Ce nombre correspond au nombre de demandes de consultation qui ont été reçues au cours des exercices précédents.

Communication de renseignements personnels en vertu de l’alinéa 8(2)m)

Le paragraphe 8(2) de la Loi décrit les circonstances dans lesquelles les renseignements personnels qui relèvent d’une institution gouvernementale peuvent être communiqués sans le consentement de l’individu qu’ils concernent. Ces communications sont discrétionnaires et assujetties aux autres lois fédérales.

Selon l’alinéa 8(2)m), une institution peut communiquer des renseignements personnels à toute autre fin dans les cas où, de l’avis du responsable de l’institution, des raisons d’intérêt public justifieraient nettement une éventuelle violation de la vie privée ou l’individu concerné en tirerait un avantage certain.

Le CST n’a communiqué aucun renseignement personnel en vertu de l’alinéa 8(2)m) au cours de la période visée.

Frais et coûts 

Les dépenses totales engagées pour appliquer la Loi s’élevaient à 388 678 $. Par rapport aux dépenses de l’exercice précédent, ce chiffre représente une augmentation qui est imputable à l’accroissement de l’équipe de la GPPRP.

Plaintes, examens judiciaires et audits

Les personnes qui sont insatisfaites du traitement de leur demande de communication de renseignements personnels ou qui croient que leurs renseignements personnels ont été incorrectement recueillis, utilisés ou communiqués peuvent déposer une plainte auprès du Commissariat à la protection de la vie privée du Canada.

Le CST a reçu deux plaintes pendant l’exercice visé. Une demande de communication de renseignements personnels reportée de 2017-2018 faisait toujours l’objet d’un examen judiciaire en 2018-2019. Aucun dossier de plainte n’a été fermé au cours de la période visée.

De plus, en 2018-2019, l’équipe de l’Audit et de l’évaluation a terminé son audit de la protection de la vie privée qui évaluait la conformité du CST à la Loi. L’audit visait à déterminer dans quelle mesure le CST a élaboré et mis en œuvre efficacement un cadre de politiques et des pratiques administratives pour veiller à la mise en place d’une gouvernance, de contrôles et de processus de gestion de risques suffisants pour protéger et gérer les renseignements personnels.

L’audit a révélé que le CST a accompli des progrès notables en établissant et en exerçant une fonction indépendante d’application de la Loi et qu’il a également établi un cadre de gouvernance lui permettant de surveiller l’application de la Loi au sein de l’organisme. L’audit contenait six recommandations qui allaient permettre au CST de renforcer son cadre d’application de la Loi. Le CST est en train de mettre ces recommandations en œuvre.

Surveillance de la conformité

À l’aide de son logiciel de gestion des cas, le Bureau de l’AIPRP a continué de produire des rapports sur les délais de traitement des demandes. Ces rapports ont été fournis au coordinateur de l’AIPRP du CST tout au long de l’exercice. Le Comité exécutif du CST (composé de membres de la direction de niveaux SM et SMA) est informé chaque semaine de l’état des demandes présentées en vertu de la Loi. Le CST poursuivra ses efforts en vue d’améliorer la rapidité du traitement des demandes en 2019-2020. 

Atteintes substantielles à la vie privée

Au cours de la période visée par le rapport de 2018-2019, le CST a repéré une atteinte de nature administrative qui satisfait au critère d’atteinte substantielle à la vie privée décrit dans les Lignes directrices sur les atteintes à la vie privée du SCT. L’incident impliquait le postage par inadvertance d’information sensible au mauvais destinataire. Le CST a pris les mesures adéquates et a ensuite signalé l’incident au SCT et au Commissariat à la protection de la vie privée comme il se doit.

Annexe I : Délégation des pouvoirs

Centre de la sécurité des télécommunications

Arrêté de délégation des pouvoirs – Loi sur la protection des renseignements personnels

Conformément à l’article 73 de la Loi sur la protection des renseignements personnels, le ministre de la Défense nationale autorise par le présent arrêté les titulaires des postes énumérés ci-dessous, ou les personnes qui les occupent de façon intérimaire, à exercer les attributions du ministre de la Défense nationale à titre de responsable du Centre pour la sécurité des télécommunications en vertu des dispositions de la Loi et de ses règlements connexes, tel qu’énoncé ci-dessous pour chaque poste.

• chef, Centre de la sécurité des télécommunications : pouvoir partagé avec le chef adjoint, Politiques et communications, pour l’application de l’alinéa 8(2)m) (communication pour des raisons d’intérêt public).
• chef adjoint, Politiques et communications : pouvoir complet, sauf pour le pouvoir partagé avec le chef, Centre de la sécurité des télécommunications, pour l’application de l’alinéa 8(2)m) (communication pour des raisons d’intérêt public).
• directeur général, Divulgation, politiques et examen : pouvoir complet, sauf pour l’application de l’alinéa 8(2)m) (communication pour des raisons d’intérêt public).
• directeur, Divulgations et communication d’information : pouvoir complet, sauf pour l’application de l’alinéa 8(2)m) (communication pour des raisons d’intérêt public).
• gestionnaire, Divulgations : pouvoir complet, sauf pour l’application de l’alinéa 8(2)m) (communication pour des raisons d’intérêt public).
• superviseur, Opérations liées à l’accès à l’information et à la protection des renseignements personnels : pouvoir lié à l’application du paragraphe 8(2) (usage et communication), sauf de l’alinéa 8(2)m) (communication pour des raisons d’intérêt public), ainsi que pour l’alinéa 14(a) lorsqu’aucun document n’existe (avis) et l’article 15 (prorogation du délai).
• superviseur, Gouvernance et politiques en matière de protection des renseignements personnels : pouvoir lié à l’application du paragraphe 8(2) (usage et communication), sauf de l’alinéa 8(2)m) (communication pour des raisons d’intérêt public).
• gestionnaire, Programme de consultation et d’orientation : pouvoir lié à l’application de l’alinéa 8(2)m) (communication pour des raisons d’intérêt public) lorsqu’il y aurait une obligation de signaler, dans le cadre de ses fonctions officielles, de la violence faite aux enfants conformément à la législation provinciale ou territoriale ou lorsqu’une menace de préjudice planerait sur lui ou sur d’autres personnes.
• conseiller, Programme de consultation et d’orientation : pouvoir lié à l’application de l’alinéa 8(2)m) (communication pour des raisons d’intérêt public) lorsqu’il y aurait une obligation de signaler, dans le cadre de ses fonctions officielles, de la violence faite aux enfants conformément à la législation provinciale ou territoriale ou lorsqu’une menace de préjudice planerait sur lui ou sur d’autres personnes.

Le présent arrêté de délégation des pouvoirs remplace tous les arrêtés antérieurs.

Fait à Ottawa le 26 avril 2018.

L’honorable Harjit S. Sajjan, c.p., OMM, MSM, CD, député

Rapport statistique sur la Loi sur la protection des renseignements personnels

Nom de l’institution : Centre de la sécurité des télécommunications

Période d'établissement de rapport : 2018-04-01 au 2019-03-31

Partie 2 – Demandes fermées pendant la période d'établissement de rapport

2.5 Complexité

2.6 Présomptions de refus

Partie 5 – Prorogations

Partie 6 – Demandes de consultation reçues d’autres institutions et organisations

Partie 7- Délais de traitement des demandes de consultation sur les renseignements confidentiels du Cabinet

Partie 10 - Ressources liées à la Loi sur la protection des renseignements personnels

Nota : Indiquer les valeurs à deux décimales près.