Les sections qui suivent et les informations présentées ci-dessous constituent le contenu minimal d’une évaluation des facteurs relatifs à la vie privée de base (EFVP) pour le projet du Commissariat à la protection de la vie privée (Commissariat). Ce projet vise à mettre en œuvre la suite Microsoft Office 365, un logiciel-service dans le nuage contenant plusieurs applications (services infonuagiques M365).
L’objectif de ce projet de mise en œuvre d’un service infonuagique est la modernisation de la technologie qu’utilise présentement le Commissariat. Il pourra ainsi optimiser ses opérations grâce à des fonctionnalités qui surpassent les capacités des outils qu’il utilise à l’heure actuelle. La mise en œuvre permettra au Commissariat de gérer l’information plus efficacement afin de soutenir la prestation de ses programmes et services. Ce projet correspond aussi aux directives, au guide et à la stratégie d’adoption de l’information en nuage du gouvernement du Canada (GC).
Dirigeants de l’institution – évaluation des facteurs relatifs à la vie privée et projet infonuagique
- Institution du gouvernement du Canada : Commissariat à la protection de la vie privée du Canada
- Représentante gouvernementale responsable de l’évaluation des facteurs relatifs à la vie privée de base : Sue Lajoie, chef de la protection des renseignements personnels
- Chef de l’institution gouvernementale / Déléguée pour l’article 10 de la Loi sur la protection des renseignements personnels : Sue Lajoie, chef de la protection des renseignements personnels
- Cadre supérieur responsable du projet de mise en œuvre de l’infonuagique M365 : Sébastien Delisle-Côté, dirigeant principal de l’information
Nom et description de l’institution gouvernementale
Le Commissariat est un agent du Parlement qui a pour mandat de superviser la protection et la promotion du droit à la vie privée. Ainsi, il veille, entre autres, à ce que les institutions gouvernementales respectent la Loi sur la protection des renseignements personnels lors de la manipulation de ces types de renseignements. De plus, le Commissariat veille au respect de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), la loi fédérale sur la protection des renseignements personnels dans le secteur privé.
Pour remplir son mandat, le Commissariat entreprend plusieurs activités, p. ex. des enquêtes sur des plaintes relatives à la protection de la vie privée, de la recherche, des vérifications, des poursuites en justice, des rapports à l’intention du public et de la sensibilisation du public par des initiatives. En tant qu’institution gouvernementale, le Commissariat est aussi sujet aux dispositions de la Loi sur la protection des renseignements personnels et de la Loi sur l’accès à l’information.
Autorisation légale
En vertu de la Loi sur la protection des renseignements personnels et de la LPRPDE, le Commissariat est autorisé à recevoir des plaintes et à conduire des enquêtes à leur sujet, à procéder à des vérifications et à entreprendre d’autres activités pour protéger et promouvoir le droit des personnes à la vie privée. Conformément à ces lois, le Commissariat a l’autorisation légale de recueillir, d’utiliser et de communiquer des renseignements, dont les renseignements personnels, afin de remplir son mandat.
Le Commissariat a le pouvoir de gérer son infrastructure de technologie de l’information et les renseignements qu’il détient en vertu de l’article 161 de la Loi sur la gestion des finances publiques ainsi que des directives et des politiques applicables du SCT.
Services partagés Canada est autorisé, en vertu des articles 6 et 8 de la Loi sur Services partagés Canada et du décret c.p. 2015-1071 du 16 juillet 2015, à fournir au Commissariat des services relatifs à la technologie de l’information (« TI ») des utilisateurs finaux, des services relatifs aux courriels, des services relatifs aux centres de données, et des services relatifs aux réseaux.
Conformément aux exigences du Conseil du Trésor régissant l’utilisation de services infonuagiques par des institutions gouvernementales, le Commissariat utilise les services de cyberdéfense du Centre canadien pour la cybersécurité (CCC), une division du Centre de la sécurité des télécommunications (CST). La Loi sur le Centre de la sécurité des télécommunications autorise le CST à fournir « des services afin d’aider à protéger […] l’information électronique et les infrastructures de l’information des institutions fédérales »Note de bas de page 1. De plus, le CST est autorisé à mener « des activités dans l’infrastructure mondiale de l’information ou par l’entremise de celle-ci afin d’aider à protéger l’information électronique et les infrastructures de l’information des institutions fédérales »Note de bas de page 2.
Fichiers de renseignements personnels
La Loi sur la protection des renseignements personnels exige que les institutions gouvernementales recensent et décrivent leurs fichiers et catégories de renseignements personnels, en plus de rendre compte de ceux-ci. De cette façon, les institutions indiquent au public et à leurs employés quels renseignements personnels le Commissariat recueille, utilise et retire à l’appui de ses fonctions et de ses activités. M365 stockera certains renseignements détenus par le Commissariat, tels que des renseignements sur les programmes et sur les employés contenant eux-mêmes des renseignements personnels obtenus à l’appui des fonctions et des activités du Commissariat. L’instauration de M365 apportera des modifications en ce qui concerne :
- qui stockera les renseignements personnels détenus pas le Commissariat (il s’agit de Microsoft);
- où les renseignements personnels seront stockés (il s’agit d’un emplacement de stockage externe dans le nuage géré par Microsoft);
- les raisons du traitement des renseignements personnels, puisque Microsoft reconnaît qu’il les utilise pour ses propres besoins.
À ce jour, les fichiers de renseignements personnels du Commissariat sont les suivants :
Fichiers de renseignements personnels ordinaires
| Programme/activité |
Numéro FRP |
Titre |
| Services d’acquisitions |
POU 912 |
Marchés de services professionnels |
| Services de communications |
POU 915 |
Communications internes |
| POU 914 |
Communications publiques |
| Services de gestion financière |
POU 931 |
Comptes créditeurs |
| POU 932 |
Comptes débiteurs |
| POU 940 |
Cartes d’achat |
| Services de gestion des ressources humaines |
POE 920 |
Programme de reconnaissance |
| POE 902 |
Dotation |
| POE 903 |
Présences et congés |
| POE 904 |
Rémunération et avantages sociaux |
| POE 918 |
Équité en emploi et diversité |
| POU 908 |
Accueil |
| POU 935 |
Planification des ressources humaines |
| POU 933 |
Plaintes déposées en vertu de la Loi canadienne sur les droits de la personne |
| POE 911 |
Mesures disciplinaires |
| POE 910 |
Griefs |
| POE 919 |
Harcèlement |
| POE 907 |
Santé et de sécurité au travail |
| POU 906 |
Divulgation d’information sur les actes fautifs commis en milieu de travail |
| POE 915 |
Codes de valeurs et d’éthique du secteur public et Code(s) de conduite organisationnel(s) |
| POE 916 |
Aide aux employés |
| POE 908 |
Accidents d’automobile, de bateau, d’embarcation et d’avion |
| POE 906 |
Langues officielles |
| POE 912 |
Programme de gestion du rendement des employés |
| POU 911 |
Demandes d’emploi |
| POE 901 |
Dossier personnel d’un employé |
| POU 934 |
Gestion des talents des cadres supérieurs |
| POU 917 |
Filtrage de sécurité du personnel |
| POU 910 |
Réinstallation |
| POE 905 |
Formation et perfectionnement |
| Services de gestion de l’information |
POU 901 |
Demandes en vertu de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels |
| POU 936 |
Services de bibliothèque |
| Services de technologie de l’information |
POU 905 |
Journaux de contrôle des réseaux électroniques |
| Services de gestion et de surveillance |
POU 938 |
Activités de sensibilisation |
| POU 902 |
Correspondance à la direction |
| POU 942 |
Évaluation |
| POU 941 |
Vérification interne |
| Services du matériel |
POE 908 |
Accidents d’automobile, de bateau, d’embarcation et d’avion |
| Services de voyage et autres services administratifs |
POE 914 |
Stationnement |
| POU 918 |
Nominations par le gouverneur en conseil |
| POU 919 |
Membres de conseils d’administration, de comités et de conseils |
| POU 903 |
Planification de la continuité des activités |
| POU 923 |
Divulgation aux organismes d’enquête |
| POU 908 |
Accueil |
| POU 909 |
Voyages |
| POE 917 |
Cartes d’identification et laissez-passer |
| POU 906 |
Divulgation d’information sur les actes fautifs commis en milieu de travail |
| POU 917 |
Filtrage de sécurité du personnel |
| POU 939 |
Incidents de sécurité et atteintes à la vie privée |
| POU 907 |
Surveillance vidéo, registres de contrôle d’accès des visiteurs et laissez-passer |
Fichiers de renseignements personnels ordinaires
| Programme/activité |
Numéro FRP |
Titre |
| Activités relatives à la conformité |
CPVP PPU 005 |
Plaintes et enquêtes concernant la vie privée |
| CPVP PPU 001 |
Demandes de renseignements concernant la vie privée |
| CPVP PPU 008 |
Commissaire spécial à la protection de la vie privée – plaintes et enquêtes |
| CPVP PPU 004 |
Avis au CPVP – Communications de renseignements dans l’intérêt public |
| CPVP PPU 006 |
Avis au Commissariat en vertu de la LPRPDE lorsque l’accès aux renseignements personnels est refusé |
| Recherche et élaboration des politiques |
CPVP PPU 003 |
Demandes de publications |
Détermination et classification des secteurs de risque
| a) Type de programme ou d’activité |
Échelle de risque |
Applicable |
| Programme ou activité qui ne nécessite pas la prise d’une décision concernant une personne identifiable |
1 |
Oui |
| Administration des programmes, des activités et des services |
2 |
Oui |
| Enquête sur la conformité ou enquête réglementaire, et application de la loi |
3 |
Non |
| Enquête criminelle et application de la loi/sécurité nationale |
4 |
Non |
| b) Type de renseignements personnels recueillis et contexte |
Échelle de risque |
Applicable |
| Seuls les renseignements personnels fournis par la personne – au moment de la collecte – relatifs à un programme autorisé et recueillis directement auprès de la personne ou avec son consentement pour la diffusion pourvu que les renseignements ne soient pas de nature sensible dans le contexte. |
1 |
Oui |
| Les renseignements personnels fournis par la personne avec le consentement à utiliser les renseignements personnels détenus par une autre source pourvu que les renseignements ne soient pas de nature sensible après la collecte. |
2 |
Oui |
| Le numéro d’assurance sociale, les renseignements personnels médicaux, financiers ou autres de nature sensible ou dont l’utilisation peut s’avérer sensible dans certains contextes; renseignements personnels relatifs à des mineurs ou à des personnes légalement incapables, ou mettant en cause un représentant qui agit au nom de la personne. |
3 |
Oui |
| Renseignements personnels de nature sensible, dont les profils détaillés, les allégations ou les soupçons, et les échantillons de substances corporelles, ou contexte particulièrement sensible lié aux renseignements personnels. |
4 |
Oui |
| c) Participation des partenaires et du secteur privé au programme ou à l’activité |
Échelle de risque |
Applicable |
| Au sein de l’institution (dans le cadre d’un seul programme ou de plusieurs programmes au sein de la même institution) |
1 |
Oui |
| Autres institutions gouvernementales |
2 |
Oui |
| Autre administration publique fédérale, provinciale, territoriale ou municipale ou combinaison de celles-ci |
3 |
Non |
| Organisations du secteur privé, organisations internationales ou gouvernements étrangers |
4 |
Oui |
| d) Durée du programme ou de l’activité |
Échelle de risque |
Applicable |
| Programme ponctuel ou activité ponctuelle |
1 |
Non |
| Programme ou activité de courte durée |
2 |
Non |
| Programme ou activité de longue durée |
3 |
Oui |
| e) Personnes visées par le programme |
Échelle de risque |
Applicable |
| L’utilisation, dans le cadre de ce programme, de renseignements personnels à des fins administratives internes touche certains employés. |
1 |
Non |
| L’utilisation, dans le cadre de ce programme, de renseignements personnels à des fins administratives internes touche tous les employés. |
2 |
Oui |
| L’utilisation, dans le cadre de ce programme, de renseignements personnels à des fins administratives externes touche certaines personnes. |
3 |
Oui |
| L’utilisation, dans le cadre de ce programme, de renseignements personnels à des fins administratives externes touche toutes les personnes |
4 |
Non |
| f) Technologie et vie privée (Une réponse affirmative à l’une ou l’autre des questions suivantes signale un risque d’atteinte à la vie privée sur lequel il faudra se pencher et qui devra, au besoin, être atténué.) |
| Question |
Oui |
Non |
| Est-ce que le programme ou l’activité, de création récente ou ayant subi des modifications importantes, prévoit l’installation d’un nouveau système électronique, logiciel ou programme d’application (y compris les collecticiels ou logiciels de groupe) pour faciliter la création, la collecte ou le traitement des renseignements personnels? |
X |
|
| Est-ce que le programme ou l’activité, de création récente ou ayant subi des modifications importantes, nécessite que des modifications soient apportées aux systèmes de TI existants? |
X |
|
| Est-ce que le programme ou l’activité, de création récente ou ayant subi des modifications importantes, nécessite la mise en œuvre de nouvelles technologies ou d’au moins une des activités suivantes? |
| Méthode d’identification améliorée |
X |
|
| Surveillance |
X |
|
| Techniques d’analyse automatisée des renseignements personnels, de comparaison des renseignements personnels et d’acquisition de connaissances. |
X |
|
| g) Transmission des renseignements personnels |
Échelle de risque |
Applicable |
| Les renseignements personnels sont utilisés à l’intérieur d’un système fermé (c.-à-d. pas de connexion à Internet, à l’intranet ou à un autre système, et diffusion contrôlée des documents papier). |
1 |
Non |
| Les renseignements personnels sont utilisés dans un système qui est connecté à au moins un autre système. |
2 |
Oui |
| Les renseignements personnels sont transférés sur un dispositif portatif (c.à-d. clé USB, disquette, ordinateur portatif) ou sur un autre support, ou sont imprimés. |
3 |
Oui |
| Les renseignements personnels sont transmis à l’aide de technologies sans fil. |
4 |
Oui |
| h) Impact d’une atteinte à la vie privée pour l’individu ou l’employé) |
| Question |
Oui |
Non |
| Risque possible, en cas d’atteinte à la vie privée, de répercussions pour l’individu ou l’employé |
X |
|
| i) Impact d’une atteinte à la vie privée sur l’institution – Commentaire |
| Question |
Oui |
Non |
| Risque possible, en cas d’atteinte à la vie privée, de répercussions pour l’institution. |
X |
|
