Sélection de la langue

Logo du Commissariat Commissariat à la protection de la vie privée du Canada

Recherche

Le défaut de publication d’une description du fichier de renseignements personnels pour le Programme d’incitatifs pour les véhicules zéro émission contrevient à la Loi sur la protection des renseignements personnels

Plainte déposée en vertu de la Loi sur la protection des renseignements personnels

Le 23 février 2023

Description

Une personne a présenté de nombreuses préoccupations liées à la collecte de ses renseignements personnels dans le cadre du Programme d’incitatifs pour les véhicules zéro émission (iVZE), notamment une allégation à l’effet que les renseignements personnels recueillis ne se trouvaient pas dans une description du fichier de renseignements personnels (FRP) accessible au public comme l’exige la Loi sur la protection des renseignements personnels (la Loi). Dans la présente situation, Transports Canada n’a soumis une description du FRP au Secrétariat du Conseil du Trésor (SCT) aux fins d’approbation que 19 mois après le lancement du programme. Au moment où nous avons envoyé notre rapport de conclusions final, soit 25 mois après la soumission de la description, le SCT n’avait toujours pas approuvé cette dernière. Subséquemment, Transport Canada a confirmé que la description a depuis été approuvée et publiée sur son site Web, tel qu’il était requis avant le lancement du programme.

Points à retenir

  • La transparence à l’égard du public concernant la collecte et le traitement des renseignements personnels est l’une des principales exigences de la Loi.
  • Conformément aux articles 10 et 11 de la Loi, il incombe aux institutions fédérales qui administrent des programmes et au SCT, en partenariat, de veiller à ce que les descriptions des FRP accessibles au public soient à jour et publiées en temps opportun.

Résumé de la plainte

Contexte

Une personne s’est plainte de la collecte, de l’utilisation et de la communication des renseignements personnels dans le cadre de l’administration du programme iVZE de Transport Canada. Entre autres, le plaignant a indiqué que l’avis de confidentialité du programme iVZE de Transport Canada redirigeait le public vers le FRP d’un autre programme inactif n’ayant aucun lien avec celui faisant l’objet de sa plainte.

Enquête

Le programme iVZE a été lancé en mai 2019 et est administré par Transport Canada. L’objectif de ce programme est d’encourager le public à utiliser des véhicules zéro émission afin de réduire les émissions de gaz à effet de serre liées au transport.

Lorsqu’il est allé chercher un véhicule acheté par son employeur chez un concessionnaire d’automobiles local, le plaignant a rempli le « Formulaire de consentement du consommateur pour le programme iVZE ». Le plaignant a soulevé des préoccupations au sujet du formulaire de consentement et de l’administration du programme. La confusion du plaignant découlait en partie du fait que, dans le formulaire, Transport Canada renvoyait à un FRP qui décrivait un service désuet n’ayant aucun lien avec le programme iVZE.

Après avoir consulté le FRP pour le Programme de remise écoAuto, qui ne contenait aucun renseignement lié au programme iVZE, le plaignant était d’avis qu’il n’avait pas été adéquatement informé de la façon dont Transport Canada recueille, stocke et utilise ses renseignements personnels. Le plaignant avait aussi consulté les sites Web de Transport Canada et du Conseil canadien des administrateurs en transport motorisé (CCATM), mais n’avait pas été en mesure de trouver d’autres détails sur la manière dont ses renseignements personnels sont utilisés.

L’article 10 de la Loi exige que « [le] responsable d’une institution fédérale veille à ce que soient versés dans des FRP tous les renseignements personnels qui relèvent de son institution et qui ont été, sont ou peuvent être utilisés à des fins administratives ». C’est le cas des renseignements recueillis dans le cadre de ce programme. Le paragraphe 71(4) de la Loi indique que la création d’un nouveau FRP et toute modification importante à un FRP existant doivent être approuvés par le Conseil du Trésor, alors que l’article 11 précise qu’il incombe au Conseil du Trésor de faire publier, selon une périodicité au moins annuelle, un répertoire de tous les FRP décrivant les FRP et les différents éléments requis, et ce, pour toutes les institutions fédérales.

Pour satisfaire à ces exigences, la Directive sur l’évaluation des facteurs relatifs à la vie privée du SCT exige que les institutions : (i) obtiennent l’approbation du SCT pour créer un nouveau FRP ou faire des modifications importantes à un FRP existant avant de mettre en œuvre ou de modifié un programme ou une activitéNote de bas de page 1 et (ii) identifient, décrivent et rendent compte de leurs FRPNote de bas de page 2. L’Info Source Exigences relatives à la publication décentralisée précise que, lorsqu’un FRP propre à une institution est élaboré et par la suite enregistré par le SCT, l’institution doit inclure la description de ce FRP dans le chapitre approprié du répertoire des renseignements personnels publié en ligne. Cela découle du fait que, en pratique, le répertoire des renseignements personnels est décentralisé, chaque institution ayant sa propre page Web énumérant tous ses FRP. De plus, ces répertoires sont publiés et mis à jour régulièrement, des modifications y étant apportées dès que le SCT les approuve.

Cependant, nous avons déterminé que, malgré ces obligations, Transport Canada n’a soumis au SCT une description à jour du FRP que 19 mois après le lancement du programme iVZE. De plus, neuf mois plus tard, le SCT n’avait pas fourni de commentaires à Transport Canada ni accordé son approbation en raison de l’arriéré de demandes qu’il devait approuver. Puisque le Commissariat avait alors déjà démarré son enquête, Transport Canada et le SCT ont entamé des discussions en vue de prioriser l’examen et l’approbation de la description. Toutefois, malgré le travail effectué par Transport Canada et le SCT entre-temps, la description du FRP pour le programme iVZE n’avait toujours pas été publiée au moment où nous avons achevé notre rapport de conclusions près de quatre ans après le lancement du programme.

Toutes les parties ont reconnu que les omissions de Transport Canada expliquent l’indisponibilité de l’information relative au FRP du programme iVZE pendant les 19 premiers mois de son existence. Par contre, le SCT, qui est responsable d’approuver la création des nouveaux FRP et de publier leurs descriptions au répertoire des renseignements personnels, a contribué au problème en omettant de donner suite à la demande d’approbation du FRP de Transport Canada et de publier le FRP dans un délai raisonnable.

Pour remédier à l’infraction, nous avons recommandé que Transport Canada et le SCT travaillent ensemble pour finaliser, approuver et publier la description du FRP pour le programme iVZE et que le SCT envisage : (i) d’élaborer et mettre en œuvre une norme de service raisonnable concernant l’approbation de la création de nouveaux FRP ou de la modification importante d’un FRP existant; et (ii) de déléguer aux institutions fédérales une partie de ses responsabilités liées aux FRP.

Nous constatons que, si le processus d’approbation n’est pas assez rapide, l’ensemble du régime relatif aux FRP prévu par la Loi risque de devenir inexploitable, ce qui limiterait : (i) la capacité des institutions fédérales à traiter les renseignements personnels de manière responsable et imputable; et (ii) la disponibilité des renseignements importants auxquels le public doit avoir accès et qui permet de garantir la transparence concernant les renseignements personnels détenus et utilisés par les institutions fédérales.

Par la suite, Transport Canada a confirmé avoir publié un FRP pour le programme iVZE.

Le SCT a indiqué qu’il n’acceptait pas de mettre en œuvre nos recommandations, indiquant que la portée et la complexité des demandes d’enregistrement et de modification des FRP varient énormément. Cependant, il a souligné que de nombreuses améliorations opérationnelles devraient être apportées à son processus d’approbation des FRP, incluant ce qui suit :

  • ajouter un processus de triage pour les demandes liées aux FRP des institutions;
  • maintenir une communication active avec les institutions afin de les aviser lorsque le SCT a débuté l’examen, et de fournir la date d’achèvement prévue de l’examen;
  • tirer parti de l’automatisation et utiliser des outils de gestion des cas modernes;
  • mettre en place des normes internes pour les examens liés aux demandes d’enregistrement de nouveaux FRP ou de FRP ayant subi des modifications importantes.

Le SCT a informé le Commissariat que, grâce à ces modifications, aux processus d’examen simplifiés ainsi qu’aux réaffectations ciblées et temporaires des ressources, il était en bonne voie de traiter toutes ses demandes d’enregistrement et de modification en attente d’ici la fin de l’exercice financier 2022-2023. Par la suite, il a confirmé qu’en date du 31 mars 2023, il avait examiné tous les FRP soumis plus de 12 mois auparavant. Le SCT a indiqué qu’il allait s’efforcer de traiter régulièrement les nouvelles demandes d’enregistrement des FRP.

Nous comprenons que de nombreuses institutions fédérales ont de la difficulté à éviter et à réduire les arriérés dans la prestation de leurs services. Dans l’ensemble, nous sommes heureux de savoir que les plans du SCT priorisent son engagement à réduire son arriéré de demandes d’enregistrement et de modification des FRP et à examiner les nouvelles demandes liées aux FRP en temps opportun. Nous tenons à souligner que nous accordons une grande importance à la réduction de l’arriéré et nous en remettons au SCT afin de préciser la façon dont il réduira les retards de traitement des FRP.

À la suite de l’enquête, le Commissariat a reçu des mises à jour du SCT concernant l’efficacité de l’approche qu’il propose pour réduire l’arriéré du traitement des demandes d’approbation de FRP et pour diminuer les délais d’examen de ces demandes. Des efforts soutenus en la matière permettront d’éviter les situations où des renseignements personnels sont recueillis par des institutions fédérales avant qu’une description du FRP soit mise à la disposition du public, comme nous l’avons vu dans le présent cas.

Date de modification :