Lettre au Comité permanent de l’accès à l’information, de la protection des renseignements personnels et de l’éthique au sujet de l’étude sur les atteintes à la vie privée survenues à l’Agence du revenu du Canada

Le 20 décembre 2024

PAR COURRIEL

John Brassard, député
Président
Comité permanent de l’accès à l’information, de la protection des renseignements personnels et de l’éthique
Chambre des Communes
131, rue Queen, 6e étage
Ottawa (Ontario) K1A 0A6

Monsieur le Président,

La présente donne suite à ma comparution devant le Comité permanent de l’accès à l’information, de la protection des renseignements personnels et de l’éthique du 5 décembre 2024 au sujet de l’étude sur les atteintes à la vie privée survenues à l’Agence du revenu du Canada (ARC). Durant ma comparution, on m’a prié de fournir au Comité des précisions concernant les niveaux d’assurance qui guident les ministères dans le choix des pratiques d’assurance de l’identité et d’assurance du justificatif, ainsi que les descriptions des préjudices associés à chaque niveau, comme indiqué dans le Rapport spécial au Parlement de février 2024 présenté par le Commissariat, intitulé Enquête sur la communication et la modification non autorisées de renseignements personnels détenus par l’Agence du revenu du Canada et Emploi et Développement social Canada découlant de cyberattaques.

Comme je l’ai précisé pendant mon témoignage, il s’agit d’une méthodologie utilisée par le gouvernement du Canada, conformément à la Ligne directrice sur la définition des exigences en matière d’authentification du Secrétariat du Conseil du Trésor du Canada (SCT), dont les sections pertinentes sont jointes en annexe pour en faciliter la consultation.

L’évaluation du niveau approprié d’assurance de l’identité consiste à déterminer le niveau de confiance requis avec lequel on peut affirmer qu’une personne qui demande un nouveau compte, un nouveau service ou de nouveaux justificatifs est bien celle qu’elle prétend être. L’évaluation du niveau approprié d’assurance du justificatif (qui suit l’étape de vérification initiale de l’identité) consiste à déterminer le niveau de confiance requis avec lequel on peut affirmer qu’une personne a conservé le contrôle sur un justificatif qui lui a été confié et que ce justificatif n’a pas été compromis.

Les Lignes directrices sur la définition des exigences en matière d’authentification (ci-jointes) définissent quatre « niveaux d’assurance », en tenant compte des préjudices qui découleraient d’une compromission, afin de permettre aux ministères d’établir les pratiques en matière d’assurance de l’identité et d’assurance du justificatif. En ce qui concerne les préjudices financiers potentiels, les exemples donnés pour le niveau 2 sont décrits comme ceux dont les incidences sur la situation financière d’un particulier sont inexistantes ou négligeables, et pour le niveau 3, ils sont décrits comme ceux ayant des incidences majeures sur la situation financière d’un particulier. En ce qui concerne la détresse psychologique, les exemples pour le niveau 2 visent les cas qui ne requièrent pas de traitement de la part du personnel chargé des premiers soins ou d’un professionnel de la santé, tandis qu’au niveau 3, il s’agit des cas qui requièrent un certain type de traitement (premiers soins ou autre).

La Ligne directrice sur l’assurance de l’identité précise les exigences minimales requises pour établir l’identité d’une personne selon le niveau d’assurance.

Selon les lignes directrices du gouvernement du Canada^{Note de bas de page 1}, le niveau 2 d’assurance du justificatif n’exige qu’une authentification à un facteur (par exemple « quelque chose que l’on connaît » – comme des mots de passe), tandis que le niveau 3 exige une authentification multifacteur (AMF)^{Note de bas de page 2} (par exemple une combinaison de « quelque chose que l’on connaît » et de « quelque chose que l’on possède » – comme un code à usage unique envoyé à un numéro de téléphone inscrit au compte de l’utilisateur).   

Dans le rapport d’enquête que nous avons publié en février 2024, nous avons indiqué que l’enquête a révélé que l’ARC avait évalué le niveau d’assurance pour l’ensemble des services en ligne touchés comme étant de niveau 2 et qu’il n’était donc pas nécessaire d’exiger l’AMF pour accéder au portail et aux services de l’ARC. Étant donné les préjudices graves auxquels sont exposés les titulaires des comptes de l’ARC compromis – notamment des pertes financières et de la détresse psychologique –, nous avons conclu que le niveau 3 d’assurance pour l’identité et les justificatifs était justifié.

Pour conclure, je tiens à mentionner qu’après avoir déposé le Rapport spécial au Parlement de février 2024 concernant cette affaire, le Commissariat a publié en mars 2024 un bulletin intitulé Principaux points à retenir de l’enquête du Commissariat à la protection de la vie privée du Canada sur la cyberattaque touchant le service CléGC et l’Agence du revenu du Canada. Ce document vise à transmettre les leçons apprises, les pratiques exemplaires ainsi que d’autres renseignements importants sur la protection de la vie privée tirés de l’enquête et à les communiquer aux spécialistes du domaine au sein du secteur public fédéral.

J’espère que ces renseignements seront utiles aux membres du Comité. N’hésitez pas à communiquer avec moi si vous avez des questions ou si vous souhaitez obtenir d’autres précisions.

Je vous prie d’agréer, Monsieur le Président, l’expression de mes sentiments distingués.

(Document original signé par)

Le Commissaire,
Philippe Dufresne

p. j.

c. c. : Nancy Vohl
Greffière du Comité

---

Annexe A (tiré de la ligne directrice sur la définition des exigences en matière d’authentification du SCT)

Tableau 1 : Cadre de niveau d’assurance

Niveau	Assurance de l’identité	Assurance du justificatif
4	Un niveau de confiance très élevé est requis pour assurer qu’une personne est celle qu’elle prétend être. Une atteinte à l’intégrité risquerait vraisemblablement de causer un préjudice sérieux à catastrophique.	Un niveau de confiance très élevé est requis pour assurer qu’une personne a conservé le contrôle sur un justificatif qui lui a été émis et que le justificatif n’a pas été compromis. Une atteinte à l’intégrité risquerait vraisemblablement de causer un préjudice sérieux à catastrophique.
3	Un niveau de confiance élevé est requis pour assurer qu’une personne est celle qu’elle prétend être. Une atteinte à l’intégrité risquerait vraisemblablement de causer un préjudice modéré à sérieux.	Un niveau de confiance élevé est requis pour assurer qu’une personne a conservé le contrôle sur un justificatif qui lui a été émis et que le justificatif n’a pas été compromis. Une atteinte à l’intégrité risquerait vraisemblablement de causer un préjudice modéré à sérieux.
2	Un certain niveau de confiance est requis pour assurer qu’une personne est celle qu’elle prétend être. Une atteinte à l’intégrité risquerait vraisemblablement de causer un préjudice minime à modéré.	Un certain niveau de confiance est requis pour assurer qu’une personne a conservé le contrôle sur un justificatif qui lui a été émis et que le justificatif n’a pas été compromis. Une atteinte à l’intégrité risquerait vraisemblablement de causer un préjudice minime à modéré.
1	Un faible niveau de confiance est requis pour assurer qu’une personne est celle qu’elle prétend être. Une atteinte à l’intégrité risquerait vraisemblablement de causer un préjudice minime à nul.	Un faible niveau de confiance est requis pour assurer qu’une personne a conservé le contrôle sur un justificatif qui lui a été émis et que le justificatif n’a pas été compromis. Une atteinte à l’intégrité risquerait vraisemblablement de causer un préjudice minime à nul.

Annexe B (tiré de la ligne directrice sur la définition des exigences en matière d’authentification du SCT)

Exemples de préjudice

Catégorie de préjudices	Niveau 1	Niveau 2	Niveau 3	Niveau 4
1. Inconvénients, détresse, perte de situation sociale ou de réputation	Il existe des solutions de rechange comportant peu ou pas de délais, aucun coût additionnel ni aucune dégradation de la qualité du service. Embarras mineur.	Les solutions de rechange sont faciles à trouver. Perte de réputation ou de situation sociale entre les mandants. Perte de confiance ou de fiabilité entre les mandants.	Il n’est pas facile de trouver des solutions de rechange. Perte de réputation ou de situation sociale entre les mandants et d’autres parties (y compris des tiers). Perte de confiance ou de fiabilité entre les mandants et d’autres parties (y compris des tiers).	Il n’y a pas de solution de rechange. Perte permanente et généralisée de réputation ou de situation sociale. Perte permanente et généralisée de confiance ou de fiabilité.
2. Perte financière	Aucune perte financière.	Perte financière dont les incidences sur la situation financière d’un particulier ou d’une organisation sont inexistantes ou négligeables. Incidence budgétaire pouvant nécessiter une réaffectation de fonds, sans financement additionnel.	Perte financière dont les incidences sur la situation financière d’un particulier ou d’une organisation sont majeures. Incidence budgétaire pouvant nécessiter une réaffectation de fonds et du financement additionnel.	Perte financière mettant gravement en péril la situation financière d’un particulier ou d’une organisation. Une restructuration financière peut être nécessaire.
3. Préjudice causé au programme ou à l’intérêt public	Aucune réduction appréciable de l’efficacité d’une fonction primaire d’une organisation. Aucun bien essentiel mis en péril. Aucune perte de confiance de la part du public.	Efficacité d’une fonction primaire d’une organisation réduite de façon perceptible. Aucun bien essentiel mis en péril. Perte de confiance temporaire de la part du public.	Efficacité d’une fonction primaire d’une organisation considérablement réduite. Bien essentiel mis en péril. Perte de confiance à long terme de la part du public.	Incapacité pour une organisation d’exécuter une fonction primaire. Dommages majeurs à un bien essentiel ou perte possible d’un bien essentiel. Perte permanente de la confiance du public.
4. Divulgation non autorisée de renseignements personnels ou commerciaux de nature délicate	Aucune perte de renseignements personnels. Aucune hausse de l’intérêt public et de l’attention des médias.	Perte de renseignements personnels, surveillance, suivi, contrôle, profilage de données ou couplage de données non désirés. Perte de confiance dans l’organisation, relations d’affaires mises en péril ou baisse de la situation concurrentielle. Perte d’avantage concurrentiel.	Possible incapacité de s’acquitter d’obligations juridiques ou contractuelles. Dommages aux relations d’affaires qui nécessitent des recours juridiques.	Perturbation de l’ordre social ou agitation civile. Perte de la continuité opérationnelle. Cessation des relations d’affaires. Volatilité des marchés. Perte de pouvoir (p. ex., en raison de l’intervention d’une partie de l’extérieur).
5. Divulgation non autorisée de renseignements gouvernementaux de nature délicate (renseignements autres que personnels)	Aucune hausse de l’intérêt public et de l’attention des médias.	Perte de confiance du public. Hausse de l’intérêt public et de l’attention des médias. Intégrité de programme réduite.	Surveillance accrue (p. ex., davantage de vérifications, mécanismes d’approbation plus rigoureux). Révocation temporaire de pouvoirs ministériels. Bien essentiel mis en péril.	Perte de continuité de services gouvernementaux essentiels. Érosion ou perte des pouvoirs ministériels. Dommages majeurs à un bien essentiel ou perte possible d’un bien essentiel. Dommages irréversibles à la confiance du public.
6. Infractions civiles ou criminelles	(Toute question comportant une infraction à une loi est évaluée au niveau 2 au minimum.)	Fausses déclarations ou actes fautifs ayant des incidences financières ou juridiques mineures et touchant uniquement le particulier. Infraction ne nécessitant pas habituellement de mesure disciplinaire, d’enquête ou d’exécution. Infraction punissable par procédure sommaire.	Fausses déclarations ou actes fautifs ayant des incidences financières ou juridiques graves et pouvant aussi toucher des tiers (comme les fiduciaires agissant au nom du particulier). Infraction pouvant nécessiter une mesure disciplinaire, d’enquête ou d’exécution. Infraction punissable par mise en accusation (p. ex., un acte criminel).	Fausses déclarations ou observations inexactes par rapport à des services ou opérations où la sécurité et le bien-être du particulier ou d’autres parties touchées peuvent être mis en péril. Infraction nécessitant une mesure disciplinaire, d’enquête ou d’exécution. Infraction pouvant constituer un acte criminel grave (p. ex., le terrorisme).
7. Santé ou sécurité personnelle	(Toute question liée à la santé et à la sécurité est évaluée au niveau 2 au minimum.)	Aucune blessure ni aucune détresse psychologique requérant un traitement de la part du personnel chargé des premiers soins ou d’un professionnel de la santé.	Blessure ou détresse psychologique requérant un traitement de la part du personnel chargé des premiers soins ou d’un professionnel de la santé.	Blessure physique ou détresse psychologique requérant une intervention d’urgence.
8. Intérêt national	(Toute question concernant l’intérêt national est évaluée au niveau 2 au minimum.)	Toute question pouvant causer un inconvénient pour l’intérêt national.	Toute question pouvant raisonnablement causer un préjudice à l’intérêt national.	Toute question pouvant raisonnablement causer un préjudice grave ou exceptionnellement grave à l’intérêt national.