Rapport annuel au Parlement sur l’application de la Loi sur la protection des renseignements personnels 2021-2022

Introduction

La Loi sur la protection des renseignements personnels (ci-après, « la Loi ») a pour objet de compléter la législation canadienne en matière de protection des renseignements personnels relevant des institutions fédérales et de droit d’accès des individus aux renseignements personnels qui les concernent.

Les Canadiens et les Canadiennes attachent de l’importance à la vie privée et à la protection de leurs renseignements personnels. Ils s’attendent à ce que les institutions gouvernementales respectent l’esprit de la Loi et les exigences qu’elle énonce. Le gouvernement du Canada s’est engagé à respecter la vie privée des personnes en ce qui a trait aux renseignements personnels relevant des institutions fédérales. Le gouvernement reconnaît qu’il s’agit là d’un élément essentiel du maintien de la confiance du public à son égard.

Le présent rapport annuel est le neuvième que le Centre de la sécurité des télécommunications (CST) a préparé et qu’il présente au Parlement conformément à l’article 72 de la Loi. Il dresse un aperçu des activités de l’organisme et décrit comment le Bureau de l’accès à l’information et de la protection des renseignements personnels (AIPRP) a respecté les obligations qui lui sont imposées par la Loi du 1er avril 2021 au 31 mars 2022.

Mandat du Centre de la sécurité des télécommunications

Le 1er août 2019, la Loi sur le Centre de la sécurité des télécommunications (Loi sur le CST) est entrée en vigueur dans le cadre du projet de loi C-59 (Loi concernant des questions de sécurité nationale). La Loi sur le CST décrit les cinq aspects du mandat du CST :

• contribuer à protéger et à défendre les cybersystèmes canadiens les plus importants;
• acquérir du renseignement étranger à l’appui des priorités du gouvernement du Canada en matière de renseignement;
• mener des cyberopérations étrangères défensives;
• mener des cyberopérations étrangères actives;
• fournir une assistance technique et opérationnelle aux organismes fédéraux chargés de l’application de la loi et de la sécurité, aux Forces armées canadiennes et au ministère de la Défense nationale.

La Loi sur le CST octroie au CST un ensemble modernisé de pouvoirs et renforce le cadre de responsabilisation en y ajoutant des nouvelles fonctions de surveillance et d’examen.

Structure du Bureau de l’accès à l’information et de la protection des renseignements personnels

Le Bureau de l’AIPRP fait partie du groupe Transparence et communication d’information, lequel relève du secteur Pouvoirs, conformité et transparence du CST. Il s’agit d’un changement par rapport à la période de référence précédente, et il découle de changements organisationnels apportés au sein du CST dans le cadre de l’objectif stratégique de maintenir les normes les plus élevées en matière de conformité, de légalité et de respect de la vie privée des Canadiens. L’arrêté de délégation en vigueur à la fin de 2021-2022 correspond à l’ancienne structure, et une copie se trouve à l’annexe I du présent rapport. En vertu de l’article 73 de la Loi, le ministre de la Défense nationale a délégué tous les pouvoirs au chef adjoint, Politiques et communications; au directeur général, Divulgation, politiques et examen; au directeur, Divulgations et communication d’information; et au gestionnaire, Divulgations. Il a également délégué des pouvoirs limités au superviseur, Opérations liées à l’AIPRP et au superviseur, Gouvernance et politiques en matière de protection des renseignements personnels (GPPRP). L’ordre de délégation est en cours de révision pour tenir compte des changements organisationnels.

Le Bureau de l’AIPRP compte un gestionnaire responsable de treize (13) employés à temps plein qui travaillent dans deux équipes distinctes : Opérations liées à l’AIPRP et Gouvernance et politiques en matière de protection des renseignements personnels (GPPRP). À la fin de la période visée par le présent rapport, l’équipe Opérations liées à l’AIPRP était composée d’un (1) superviseur et de six (6) analystes. L’équipe de la GPPRP était composée quant à elle d’un (1) superviseur, de cinq (5) analystes et de deux (2) étudiants.

En plus de préparer des rapports pour le Parlement et le Secrétariat du Conseil du Trésor (SCT), le Bureau de l’AIPRP agit à titre de mandataire du CST auprès du SCT et des représentants du Commissariat à la protection de la vie privée (CPVP) et du Commissariat à l’information en ce qui a trait à l’application de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels au CST.

Plus particulièrement, l’équipe des Opérations liées à l’AIPRP est responsable des activités suivantes :

• traiter les demandes présentées en vertu de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels;
• répondre aux demandes de consultation émanant d’autres institutions gouvernementales;
• fournir des avis et de l’orientation aux membres de la haute direction et au personnel du CST sur tout dossier lié aux lois et aux politiques en matière d’AIPRP;
• aider le CST à respecter les obligations qui lui incombent en vertu des lois, y compris l’application des règlements, des politiques et des lignes directrices connexes;
• représenter le CST au sein des communautés de pratique de l’AIPRP, comme lors des réunions de la collectivité de l’AIPRP du SCT;
• élaborer les procédures, les guides et les outils de travail en matière d’AIPRP et les mettre en œuvre au sein de l’organisme;
• donner de la formation au personnel du CST sur l’application de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels.

L’équipe de la GPPRP est responsable des activités suivantes :

• fournir des avis et de l’orientation aux membres de la haute direction et au personnel du CST sur tout dossier lié aux lois et aux politiques en matière de protection des renseignements personnels;
• fournir des conseils d’expert et de l’aide en matière de protection de la vie privée aux secteurs d’activités dans le cadre de leurs activités d’évaluation des facteurs relatifs à la vie privée, de gestion des atteintes à la vie privée, de rédaction des énoncés de confidentialité et de tenue des fichiers de renseignements personnels;
• aider le CST à respecter les obligations qui lui incombent en vertu de la Loi, y compris l’application des règlements, des politiques et des lignes directrices connexes;
• représenter le CST au sein des communautés de pratique en matière de protection des renseignements personnels;
• coordonner la mise à jour annuelle de la publication Info Source du CST, qui comprend une description de l’organigramme et des fonds de renseignements de l’organisme;
• élaborer les politiques, procédures, guides et outils de travail en matière de protection des renseignements personnels et les mettre en œuvre au sein de l’organisme;
• donner de la formation au personnel du CST sur l’application de la Loi, et plus particulièrement sur la protection des renseignements personnels.

Principales activités et réalisations

Autres initiatives

En outre, depuis la fin de l’exercice 2018‑2019, le CST a adhéré au service de demandes d’AIPRP en ligne, ce qui lui permet de recevoir directement les demandes qui lui sont adressées en vertu de l’article 12(1). Le service, offert dans un site Web centralisé mis au point par le SCT, permet aux utilisateurs de remplir des demandes d’accès à l’information et de renseignements personnels et de les soumettre à toute institution assujettie à la Loi sur la protection des renseignements personnels. La période visée par le présent rapport comprend une troisième année complète au cours de laquelle le CST a accepté des demandes par le biais du service de demande d’AIPRP en ligne. Le CST a reçu dix-neuf (19) demandes de cette façon, ce qui représente environ 79 % du total des demandes reçues, une légère diminution par rapport aux 91 % reçus par le biais du service de demande d’AIPRP en ligne au cours de la période visée par le rapport antérieur.

En 2021-2022, l’équipe des Opérations liées à l’AIPRP a également collaboré avec les bureaux de première responsabilité du CST pour relever les défis et atténuer les restrictions qui ont été causées par la pandémie de COVID-19 et pour minimiser les répercussions sur la posture opérationnelle régulière. La pandémie a limité l’accès du personnel aux installations et à l’infrastructure du CST, ce qui a restreint l’accès aux renseignements classifiés qui permettent de répondre aux demandes et limité la capacité des analystes de l’AIPRP à examiner les documents classifiés pour traiter ces demandes.

Évaluations des facteurs relatifs à la vie privée

Au cours de la période visée par le rapport de 2021-2022, le CST a continué son travail sur deux évaluations des facteurs relatifs à la vie privée (EFVP) : celle du Programme de consultation et d’orientation (PCO) et celle du Système d’information de la paie et des ressources humaines.

À l’automne 2022, l’équipe de la GPPRP a l’intention de publier sur le site Web du CST des résumés non classifiés des EFVP réalisées jusqu’à maintenant. Le BGPPRP a continué de soutenir l’examen des EFVP effectué par le Centre pour la cybersécurité dans le cadre de l’examen trisannuel du Secrétariat du Conseil du Trésor. Durant l’exercice 2021-2022, six (6) EFVP étaient en cours relativement à diverses activités opérationnelles et organisationnelles.

Rapport statistique sur l’application de la Loi sur la protection des renseignements personnels

Nombre de demandes officielles

Au cours de la période visée par le présent rapport, le CST a reçu 22 demandes en vertu du paragraphe 12(1) de la Loi sur la protection des renseignements personnels, ce qui représente une diminution par rapport à l’exercice précédent au cours duquel il avait reçu 23 nouvelles demandes. De plus, 19 demandes étaient restées en suspens à la fin de l’exercice précédent, ce qui veut dire que le CST avait, au total, 41 demandes à traiter. À la fin de l’exercice 2021-2022, le CST a fermé 16 demandes et en a reporté 25 à l’exercice 2022‑2023.

 

Description détaillée - Tableau 1

Demandes reçues

Disposition	Nombre de demandes
	2017 à 2018	2018 à 2019	2019 à 2020	2020 à 2021	2021 à 2022
Vie privée	10	12	36	23	22
Consultation - vie privée	2	1	1	0	2

Règlement des demandes traitées

Le CST a clos 16 demandes au cours de la période visée par le présent rapport. De ce nombre, huit (8) (50 %) ont donné lieu à une divulgation partielle de documents. Il n’y a eu aucune divulgation complète et six (6) demandes ont été abandonnées par le demandeur. Dans deux cas, le CST a refusé de confirmer ou de nier l’existence des documents. Cela s’explique par le fait que les demandes concernent des documents qui, s’ils existent, se trouvent dans des fichiers de renseignements inconsultables (CST PPU 040), lesquels renferment des documents sur les dossiers de renseignement étranger du CST. Aucune demande n’a fait l’objet d’une exception ou d’une exclusion totale de documents.

 

Description détaillée - Tableau 2

Demandes closes

Disposition	Nombre de demandes
	2017 à 2018	2018 à 2019	2019 à 2020	2020 à 2021	2021 à 2022
Vie privée	8	8	28	28	16
Consultation - vie privée	2	1	1	0	2

 

Description détaillée - Tableau 3

Disposition des demandes traitées

Disposition	Nombre de demandes
	2017 à 2018	2018 à 2019	2019 à 2020	2020 à 2021	2021 à 2022
Communication totale	0%	0%	0%	0%	0%
Communication partielle	50%	50%	61%	57%	50%
Exception totale	0%	0%	4%	0%	0%
Exclusion totale	0%	0%	0%	0%	0%
Aucun document n'existe	13%	0%	7%	0%	0%
Demande abandonnée	25%	25%	11%	9%	38%
Ni confirmée ni ninfirmé	13%	25%	18%	35%	13%

Dispense de divulgation de l’existence d’un document

Le paragraphe 16(2) de la Loi précise que les institutions ne sont pas tenues de faire état de l’existence d’un document. Ce paragraphe est invoqué lorsque la simple confirmation de l’existence (ou de la non‑existence) d’un document pourrait révéler de l’information autrement protégée en vertu de la Loi. On recommande de limiter l’application du paragraphe 16(2) aux cas où le fait de confirmer ou de nier l’existence d’un document causerait un préjudice aux relations étrangères du Canada, à la défense du Canada, aux activités d’application de la loi ou à la sécurité des personnes. Lorsqu’elles avisent un demandeur qu’elles invoquent cette disposition, les institutions doivent aussi indiquer l’article de la Loi sur lequel un refus pourrait raisonnablement se fonder si le document existait. Le paragraphe 16(2) a été invoqué à deux occasions au cours de l’exercice 2021‑2022.

Délai de traitement

Au cours de l’exercice 2021-2022, neuf (9) des demandes de renseignements personnels traitées ont été fermées dans le délai prescrit de 30 jours, ce qui représente 56 % de toutes les demandes de renseignements personnels traitées. En général, les demandes reçues en 2021-2022 portaient sur des renseignements de nature très délicate, ce qui a compliqué leur traitement. Le CST a traité au total 1 340 pages en 2021-2022, comparativement à 10 870 pages au cours de la période visée par le rapport antérieur.

 

Description détaillée - Tableau 4

Délai de traitement

Délai de traitement	Nombre de demandes
	2017 à 2018	2018 à 2019	2019 à 2020	2020 à 2021	2021 à 2022
Moins de 30 jours	88%	75%	50%	35%	56%
De 31 à 60 jours	0%	13%	18%	0%	6%
De 61 à 120 jours	13%	0%	14%	9%	19%
De 121 à 180 jours	0%	0%	18%	22%	6%
De 181 à 365 jours	0%	13%	0%	26%	0%
Plus de 365 jours	0%	0%	0%	9%	13%

Exceptions concernant la communication de renseignements

Les exceptions les plus courantes appliquées au CST se rapportaient aux articles 21 et 26 de la Loi sur la protection des renseignements personnels. Des huit (8) demandes qui ont fait l’objet d’une divulgation partielle, c’est l’article 21 qui a été appliqué dans tous les cas pour protéger l’information qui pourrait vraisemblablement porter préjudice à la défense du Canada. L’article 26 a été appliqué dans le traitement de six (6) demandes pour protéger les renseignements d’une personne autre que le demandeur. L’application de ces deux exceptions est comparable à celle des années précédentes.

Prorogation des délais

Au cours de l’exercice 2021-2022, le CST a requis deux prorogations conformément à l’alinéa 15(a)ii) de la Loi sur la protection des renseignements personnels qui concerne la consultation interne.

Consultations

Le CST a reçu deux demandes de consultation de la part de ministères pour un total de 20 pages. Ces deux consultations ont été achevées dans un délai de 30 jours.

Communication de renseignements personnels en vertu de l’alinéa 8(2)(m)

Le paragraphe 8(2) de la Loi sur la protection des renseignements personnels décrit les circonstances dans lesquelles les renseignements personnels qui relèvent d’une institution gouvernementale peuvent être communiqués sans le consentement de l’individu qu’ils concernent. Ces communications sont discrétionnaires et assujetties à toute autre loi fédérale.

Selon l’alinéa 8(2)(m), une institution peut communiquer des renseignements personnels à toute autre fin dans les cas où, de l’avis du responsable de l’institution, des raisons d’intérêt public justifieraient nettement une éventuelle violation de la vie privée ou l’individu concerné en tirerait un avantage certain. Le CST n’a communiqué aucun renseignement personnel en vertu de l’alinéa 8(2)(m) au cours de la période visée.

Frais et coûts

Les dépenses totales engagées pour appliquer la Loi sur la protection des renseignements personnels se sont élevées à 732 324 $. Par rapport aux dépenses de l’exercice précédent, ce chiffre représente une augmentation qui est imputable à l’accroissement de l’équipe de la GPPRP.

Plaintes, examens judiciaires et audits

Les personnes qui sont insatisfaites du traitement de leur demande de communication de renseignements personnels ou qui croient que leurs renseignements personnels ont été incorrectement recueillis, utilisés ou communiqués peuvent déposer une plainte auprès du CPVP.

Il s’agissait de deux plaintes pour cause de retard déposées par la même personne dans deux demandes distinctes. Ces dernières avaient été reçues en avril 2021 et fermées en août de la même année. Comme le CST ne s’est pas conformé aux délais prescrits dans les demandes, le CPVP a jugé qu’elles étaient fondées et résolues.

Les autres plaintes déposées au cours de la période de référence consistaient en une (1) plainte pour cause de retard et deux (2) plantes pour lesquelles les plaignants alléguaient que le CST n’avait pas fourni tous les documents demandés. Le CST a présenté des observations au CPVP au sujet de toutes les plaintes et continuera de collaborer avec le CPVP pour les régler dans un délai convenable.

La deuxième plainte fermée était également une plainte relative à l’exception appliquée. Cette plainte avait été reçue en septembre 2019. Le plaignant a indiqué qu’il n’avait pas reçu les documents à divulguer comme il avait été signalé. Une deuxième série de documents à divulguer a été préparée et fournie au plaignant, et des observations ont été présentées au CPVP en octobre 2019. Par la suite, le CPVP a contesté l’application de l’alinéa 19(1)a) et de l’article 21 sur certaines parties des documents divulgués. Le CST a accepté d’inviter le plaignant à consulter les renseignements sur place conformément à l’alinéa 17(1)a) pour examiner les renseignements qui ont été supprimés en vertu de l’alinéa 19(1)a) et de l’article 21. Par conséquent, le CPVP a jugé que la plainte était fondée et réglée en février 2021.

Le CST continue également de travailler avec le CPVP pour régler les plaintes reçues au cours des périodes visées par un rapport antérieur.

Surveillance de la conformité

À l’aide de son logiciel de gestion des cas, le Bureau de l’AIPRP a continué de produire des rapports sur les délais de traitement des demandes. Ces rapports ont été fournis au coordinateur de l’AIPRP du CST tout au long de l’exercice. Le Comité exécutif du CST (composé de sous-ministres et de sous-ministres adjoints) reçoit un rapport hebdomadaire sur l’état des demandes présentées en vertu de la Loi sur la protection des renseignements personnels.

Atteintes substantielles à la vie privée

Il n’y a eu aucune atteinte substantielle à la vie privée signalée au cours de l’exercice 2021-2022.

Annexe I : Délégation des pouvoirs

Centre de la sécurité des télécommunications

Arrêté de délégation des pouvoirs – Loi sur la protection des renseignements personnels

Conformément à l’article 73 de la Loi sur la protection des renseignements personnels, le ministre de la Défense nationale autorise par le présent arrêté les titulaires des postes énumérés ci‑dessous, ou les personnes qui les occupent de façon intérimaire, à exercer les attributions du ministre de la Défense nationale à titre de responsable du Centre pour la sécurité des télécommunications en vertu des dispositions de la Loi et de ses règlements connexes, tel qu’énoncé ci‑dessous pour chaque poste.

• chef, Centre de la sécurité des télécommunications : pouvoir partagé avec le chef adjoint, Politiques et communications, pour l’application de l’alinéa 8(2)m) (communication pour des raisons d’intérêt public).
• chef adjoint, Politiques et communications : pouvoir complet, sauf pour le pouvoir partagé avec le chef, Centre de la sécurité des télécommunications, pour l’application de l’alinéa 8(2)m) (communication pour des raisons d’intérêt public).
• directeur général, Divulgation, politiques et examen : pouvoir complet, sauf pour l’application de l’alinéa 8(2)m) (communication pour des raisons d’intérêt public).
• directeur, Divulgations et communication d’information : pouvoir complet, sauf pour l’application de l’alinéa 8(2)m) (communication pour des raisons d’intérêt public).
• gestionnaire, Divulgations : pouvoir complet, sauf pour l’application de l’alinéa 8(2)m) (communication pour des raisons d’intérêt public).
• superviseur, Opérations liées à l’accès à l’information et à la protection des renseignements personnels : pouvoir lié à l’application du paragraphe 8(2) (usage et communication), sauf de l’alinéa 8(2)m) (communication pour des raisons d’intérêt public), ainsi que pour l’alinéa 14(a) lorsqu’aucun document n’existe (avis) et l’article 15 (prorogation du délai).
• superviseur, Gouvernance et politiques en matière de protection des renseignements personnels : pouvoir lié à l’application du paragraphe 8(2) (usage et communication), sauf de l’alinéa 8(2)m) (communication pour des raisons d’intérêt public).
• gestionnaire, Programme de consultation et d’orientation : pouvoir lié à l’application de l’alinéa 8(2)m) (communication pour des raisons d’intérêt public) lorsqu’il y aurait une obligation de signaler, dans le cadre de ses fonctions officielles, de la violence faite aux enfants conformément à la législation provinciale ou territoriale ou lorsqu’une menace de préjudice planerait sur lui ou sur d’autres personnes.
• conseiller, Programme de consultation et d’orientation : pouvoir lié à l’application de l’alinéa 8(2)m) (communication pour des raisons d’intérêt public) lorsqu’il y aurait une obligation de signaler, dans le cadre de ses fonctions officielles, de la violence faite aux enfants conformément à la législation provinciale ou territoriale ou lorsqu’une menace de préjudice planerait sur lui ou sur d’autres personnes.

Le présent arrêté de délégation des pouvoirs remplace tous les arrêtés antérieurs.

Fait à Ottawa le 26 avril 2018.

L’honorable Harjit S. Sajjan, c.p., OMM, MSM, CD, député

Rapport statistique sur la Loi sur la protection des renseignements personnels

Nom de l’institution : Centre de la sécurité des télécommunications

Période d'établissement de rapport : 2021-04-01 au 2022‑03‑31

Section 2 – Demandes informelles

Section 3 - Demandes fermées pendant la période d'établissment de rapport

3.5 Complexité

3.6 Demandes fermées

3.7 Présomptions de refus

Section 6 – Prorogations

Section 7 – Demandes de consultation reçues d’autres institutions et organisations

Section 8 - Délais de traitement des demandes de consultation sur les documents renseignements confidentiels du Cabinet

Section 11 - Atteintes à la vie privée

Section 12 - Ressources liées à la Loi sur la protection des renseignements personnels

Remarque : Entrer des valeurs à trois décimales.