Sommaire de l’évaluation des facteurs relatifs à la vie privée sur la Loi canadienne anti-pourriel

Le Commissariat peut obtenir des renseignements personnels concernant des individus auprès :

1. du Centre de notification des pourriels, soit des données liées à de l’information qui lui a été transmise par voie électronique au moyen du formulaire de notification d’Industrie Canada à l’intention des consommateurs, ou d’un service de transfert de courriels, de source de données tierces ou de « pots de miel »;
2. des individus qui communiquent de l’information directement en présentant au Commissariat un formulaire de plainte en vertu de la LPRPDE du Commissariat;
3. ou des organisations qui communiquent directement au Commissariat de l’information alléguant une contravention à la LCAP, à l’article 5 de la LPRPDE, concernant une collecte ou une utilisation décrite au paragraphe 7.1(2) ou 7.1(3) de la LPRPDE, comme il est prévu à l’article 56 de la LCAP.

Le Commissariat ne devrait pas utiliser cette information pour prendre des décisions administratives à l’égard des personnes qui ont transmis de l’information ou signalé un incident au Centre de notification des pourriels ou au Commissariat.

Les renseignements personnels recueillis par le Commissariat dans le cadre de ses activités d’application de la LCAP - plus précisément ceux se rapportant à des cibles ou à des mis en cause potentiels - peuvent plutôt servir à des fins administratives (p. ex. pour prendre des décisions qui touchent directement une personne identifiable).

En général, le Commissariat utilise ces renseignements personnels aux fins de la conformité, des enquêtes liées à la réglementation et de l’application de la loi (niveau de risque 3 - SCT). Toutefois, en raison de la nature des pourriels et des menaces électroniques visés par le mandat d’application de la LCAP dont est investi le Commissariat, par exemple l’utilisation de maliciels pour recueillir ou utiliser sans le consentement de l’intéressé des renseignements personnels le concernant, certaines enquêtes pourraient révéler un comportement potentiellement criminel de la part de mis en cause.

Par conséquent, les renseignements personnels peuvent être utilisés pour faire enquête sur d’éventuelles contraventions à la LCAP ayant des conséquences sur le plan administratif, civil ou criminel (niveau de risque 4 - SCT). Il est peu probable que des mesures soient prises contre une personne qui transmet de l’information, mais celle-ci pourrait être appelée à témoigner ou à agir à l’appui de mesures d’application de la loi ou de poursuites judiciaires.

L’utilisation de renseignements personnels aux fins d’enquête et toute communication subséquente de renseignements personnels à des autorités chargées de l’application de la loi ou bien à des organisations ou à des États étrangers doivent être conformes aux dispositions de la LCAP ainsi qu’aux autres lois et aux politiques du gouvernement du Canada^{Note de bas de page 2}.

Les activités d’application de la LCAP menées par le Commissariat ne nécessitent pas la collecte, l’utilisation ou la communication de renseignements personnels sensibles.

Les renseignements personnels recueillis par le Commissariat auprès du Centre de notification des pourriels sont tirés des informations ou signalements transmis et se limitent généralement au nom et aux coordonnées de l’intéressé et à l’information pertinente directement associée à un incident ou à un acte répréhensible allégué. Une fois combinés, ces renseignements personnels ne sont pas considérés comme sensibles. En fait, des mesures ont été prises pour prévenir la collecte de renseignements personnels sensibles au moyen du formulaire de notification d’Industrie Canada.

Dans certains cas, les personnes qui transmettent de l’information ou signalent un incident peuvent fournir les renseignements qu’ils jugent utiles pour leur intervention. Ces renseignements, seuls ou combinés avec d’autres informations permettant d’identifier un individu, peuvent être sensibles, par exemple une adresse IP, une adresse de courriel et un exemple de pourriel associé à une maladie, à un traitement ou à un service médical.

En outre, le Commissariat s’attachera à aiguiller vers le site Web d’Industrie Canada les personnes qui veulent lui faire part directement de préoccupations concernant des pourriels et d’autres menaces électroniques, où elles seront invitées à remplir le formulaire de notification d’Industrie Canada à l’intention des consommateurs, mais il est possible que certaines personnes soumettent tout de même en ligne un formulaire de plainte en vertu de la LPRPDE relativement à des questions concernant la LCAP. Ce formulaire renferme des renseignements personnels, voire dans certains cas des renseignements personnels sensibles, même si le Commissariat n’a pas demandé leur communication.

Lorsque le Commissariat a besoin de recueillir des renseignements supplémentaires dans le cadre de ses activités d’application de la loi, cette information est recueillie directement auprès de l’intéressé ou, avec son consentement, par un partenaire du secteur fédéral, international ou privé. Dans ses communications, le Commissariat décourage fortement la transmission d’information non pertinente et potentiellement sensible, notamment par son site Web public.

Le Commissariat ne devrait pas utiliser à des fins secondaires les renseignements personnels des individus qui font part de préoccupations concernant des pourriels et d’autres menaces électroniques.

Les activités d’application de la LCAP menées par le Commissariat donnent lieu à la communication de renseignements personnels aux autres organismes chargés de l’application de cette loi, soit le CRTC et le Bureau de la concurrence.

Outre les activités d’application de la LPRPDE indépendantes menées par le Commissariat, l’article 57 de la LCAP exige que les trois organismes chargés de son application se consultent mutuellement afin d’assurer une réglementation efficace.

En vertu des paragraphes 58(3) et 59(3), le commissaire à la protection de la vie privée peut communiquer des renseignements au CRTC et au Bureau de la concurrence et utiliser les renseignements que ces derniers lui fournissent, aux fins d’application de la loi.

Pour faciliter cette communication, le Commissariat a conclu avec le CRTC et le Bureau de la concurrence un protocole d’entente sur la coopération, la coordination et l’échange d’information^{Note de bas de page 3}.

En vertu de l’article 60 de la LCAP, le Commissariat peut communiquer ces renseignements au gouvernement d’un État étranger (s’il s’agit d’information pertinente pour une enquête ou une procédure concernant une contravention aux lois de cet État qui est essentiellement similaire à des agissements interdits par la loi canadienne). En vertu du même article, des renseignements peuvent être communiqués à une organisation ou à un État étranger lorsque cela est nécessaire pour obtenir auprès de cette organisation ou de cet État des renseignements pouvant être pertinents pour une enquête canadienne. La communication de ces renseignements doit faire l’objet d’une entente écrite.

Le Commissariat peut continuer de communiquer des renseignements à d’autres organismes provinciaux et internationaux chargés de l’application des lois de protection de la vie privée en vertu d’un accord sur l’échange de renseignements ou d’une entente écrite, comme l’autorisent les articles 23 et 23.1 de la LPRPDE.

Toute communication de renseignements doit également être conforme aux exigences en matière de traitement des renseignements personnels énoncées dans la Loi sur la protection des renseignements personnels.

Les articles 1 à 7, 9 à 46, 52 à 54, 56 à 67 et 69 à 82 de la LCAP entreront en vigueur le 1er juillet 2014. L’article 8 entrera en vigueur le 15 janvier 2015 et les articles 47 à 51 et 55, le 1er juillet 2017.

Les activités d’application de la LCAP devraient se poursuivre pendant une période indéterminée, sans date limite, conformément à la Loi et à ses règlements d’application.

Malgré ce qui précède, la poursuite des activités d’application de la LCAP menées par le Commissariat pendant une période indéterminée ne devrait pas présenter un risque élevé d’atteinte à la vie privée des personnes.

Les renseignements personnels recueillis par le Commissariat auprès d’individus par l’intermédiaire du Centre de notification des pourriels ou dans le cadre de ses propres activités d’application de la loi se limiteront, dans la mesure du possible, à l’information nécessaire pour les fins visées. Le Commissariat détruira ou dépersonnalisera ces renseignements conformément à sa propre politique en matière de conservation et de destruction des renseignements.

Les activités d’application de la LCAP peuvent toucher certaines personnes pour des fins administratives externes.

Après l’entrée en vigueur de la LCAP le 1er juillet 2014, le Commissariat extraira régulièrement des renseignements de la base de données sur les pourriels du Centre de notification des pourriels. En raison de la nature de son mandat d’application de la loi en matière d’enquêtes sur la collecte ou l’utilisation non autorisée de renseignements personnels résultant de la collecte d’adresses, de l’utilisation de maliciels et d’autres menaces électroniques, certains renseignements extraits de cette base de données par le Commissariat pourraient renfermer un contenu malveillant.

Le Commissariat établira une infrastructure en réseau dotée de mesures de sécurité appropriées.

Le Centre de notification des pourriels est censé être le principal dépôt de renseignements personnels sous le régime de la LCAP.

Le Centre permettra au Commissariat d’avoir accès à des copies de travail de renseignements bruts stockés dans la base de données sur les pourriels et lui fournira des analyses des tendances relatives aux pourriels et d’autres rapports présentant un intérêt.

Seules des personnes désignées au sein du Commissariat ont un accès direct à la base de données sur les pourriels du Centre de notification des pourriels. Un analyste du Centre financé par le Commissariat sera désigné pour répondre à ses besoins en matière d’information.

Le Commissariat extraira des renseignements d’intérêt de la base de données sur les pourriels du Centre de notification des pourriels en utilisant des moyens sécurisés. L’ampleur des renseignements ainsi extraits variera selon des filtres prédéterminés convenus par les deux organisations.

En outre, le Commissariat pourra recevoir des renseignements directement des personnes qui souhaitent transmettre de l’information concernant des pourriels et d’autres menaces électroniques en utilisant le formulaire de plainte en vertu de la LPRPDE du Commissariat. Ces plaintes seront reçues sous forme de lots chiffrés.

Les renseignements personnels recueillis par le Commissariat auprès du Centre de notification des pourriels, aux fins d’analyse et d’une éventuelle enquête sur une contravention à la LCAP, ne sont généralement pas sensibles, car le formulaire de notification d’Industrie Canada a été remanié de manière à limiter la capacité de recueillir ce type de renseignements sensibles.

Bien que la quantité de données de ce genre puisse être élevée, l’incidence sur la vie privée des individus en cas d’atteinte par le Commissariat est considérée comme faible.

Toutefois, l’incidence sur la vie privée des individus peut être plus grande dans certains cas :

1. la personne qui a présenté au Centre de notification des pourriels des informations ou un signalement a fourni des renseignements sensibles même si on lui avait déconseillé de le faire;
2. un petit nombre de personnes peuvent fournir des renseignements personnels sensibles au Commissariat lorsqu’elles font part de leurs préoccupations relatives à la LCAP en remplissant le formulaire de plainte en ligne en vertu de la LPRPDE;
3. ou des renseignements personnels recueillis par le Commissariat sont utilisés dans le contexte d’une enquête ou de poursuites judiciaires en cours au moment de l’atteinte à la sécurité.

En cas d’atteinte à la sécurité des renseignements, le risque pour les personnes qui transmettent de l’information se limitera probablement, dans la plupart des cas, à des inconvénients ou à une situation embarrassante.

Toutefois, il faut reconnaître que l’incidence peut s’avérer pour un petit groupe de personnes une grave atteinte à leur vie privée lorsque des renseignements sensibles sont visés. L’incidence globale sur ces individus et le niveau de risque en découlant doivent être considérés comme modérés et non faibles.

Les renseignements personnels les plus susceptibles d’être recueillis auprès des personnes qui présentent au Centre de notification des pourriels des informations ou un signalement sous le régime de la LCAP ne sont pas considérés comme sensibles. L’incidence sur tout ministère ou organisme en cas d’atteinte à la sécurité est donc considérée comme modérée.

Cette incidence se limite selon toute probabilité à des désagréments pour l’organisation (p. ex. la nécessité de modifier les structures organisationnelles, le processus décisionnel, les responsabilités et les obligations de rendre compte ou l’architecture des activités de programme).

Dans certains cas, selon la nature de l’atteinte et les renseignements personnels perdus, volés, consultés ou corrompus, la réputation de l’institution peut également en souffrir (p. ex. embarras, perte de crédibilité, baisse de la confiance du public et attention accrue portée aux représentants de l’organisation et aux élus). Cette situation a une certaine importance pour le Commissariat en raison de son rôle d’organisme chargé de la réglementation de la conformité aux lois sur la protection des renseignements personnels.