Centre d'analyse des opérations et déclarations financières du Canada

Cette page Web a été archivée dans le Web

L’information dont il est indiqué qu’elle est archivée est fournie à des fins de référence, de recherche ou de tenue de documents. Elle n’est pas assujettie aux normes Web du gouvernement du Canada et elle n’a pas été modifiée ou mise à jour depuis son archivage. Pour obtenir cette information dans un autre format, veuillez communiquer avec nous.

Article 37 de la Loi sur la protection des renseignements personnels
Article 72 de la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes

RAPPORT FINAL

2009

Points principaux

Le Centre d'analyse des opérations et déclarations financières du Canada (le CANAFE ou le Centre) est un organisme autonome et indépendant des organismes d'application de la loi. Créé en 2001, le Centre a pour mandat de recueillir des renseignements sur les opérations financières et de les analyser, et de communiquer de l'information stratégique afin de faciliter la détection, la prévention et la dissuasion du blanchiment d'argent et du financement des activités terroristes. Le mandat du Centre consiste aussi à protéger les renseignements personnels qui sont sous sa garde.

Les institutions fédérales doivent avoir le pouvoir législatif de recueillir des renseignements personnels pour réaliser leurs programmes et leurs activités. Les vérifications portant sur la protection de la vie privée se fondent sur la loi habilitante d'une organisation pour évaluer sa conformité à la Loi sur la protection des renseignements personnels. Un mandat conféré par la loi est le critère en fonction duquel les pratiques de gestion des renseignements personnels sont évaluées : quelles informations sont recueillies, comment elles sont utilisées, à qui et dans quelles circonstances elles sont communiquées, et à quel moment elles sont détruites. Le mandat législatif du CANAFE découle de la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes (LRPCFAT). C'est en fonction de celle-ci que nous avons évalué la conformité.

Éléments examinés

Le Commissariat à la protection de la vie privée (CPVP) a examiné les politiques, pratiques et procédures, lignes directrices, outils analytiques, évaluations de sécurité, documents de formation et ententes d'échange de renseignements qui étaient pertinents. Nous avons également examiné un échantillonnage exploratoire de tous les types de rapports que reçoit le CANAFE, de même que l'information qu'il communique aux organismes d'application de la loi ainsi qu'aux autres ministères et organismes gouvernementaux.

Même si la sécurité dans les aires publiques et les aires d'accueil des bureaux du Centre faisait partie de nos secteurs d'intérêt, nous avons concentré nos efforts sur les activités d'acquisition (réception et collecte), de traitement et de stockage des renseignements personnels dans les aires opérationnelles et les zones d'accès restreint du CANAFE.

De plus, nous avons évalué le cadre global de gestion de la protection des renseignements personnels du Centre, c'est-à-dire la façon dont il attribue les responsabilités en cette matière, gère les risques qui y sont liés et s'assure de s'acquitter des obligations que lui impose la Loi sur la protection des renseignements personnels.

Importance de l'examen

Les organismes de sécurité et de renseignement ont besoin de renseignements personnels pour remplir leur mission. Cependant, il doit y avoir un équilibre entre la sécurité nationale et les activités d'application de la loi d'une part, et le droit fondamental à la vie privée d'autre part. Ce droit peut englober le contrôle de la collecte, l'utilisation et la communication des renseignements personnels de l'intéressé.

Les entités assujetties à la LRPCFAT (voir l'annexe A) doivent examiner soigneusement les opérations financières des clients et en rendre compte. Ces entités, dont le nombre pourrait atteindre 300 000, transmettent au CANAFE des rapports contenants des renseignements personnels de nature délicate (voir l'annexe B). Les rapports sont soumis sans le consentement des personnes concernées et pourraient ne pas être accessibles en vertu de la Loi sur la protection des renseignements personnels.

Le non-respect des exigences en matière de rapports entraîne des sanctions sévères. Comme les amendes peuvent atteindre 2 millions $ et que les peines de prison vont de six mois à cinq ans, il y a un risque que les entités transmettent plus de renseignements que nécessaire.

Les Canadiennes et Canadiens doivent avoir l'assurance que leurs renseignements personnels sont gérés de manière appropriée dans le cadre de mesures de contrôle bien établies. Bien qu'elle s'applique à tous les ministères, l'obligation de protéger les fonds de renseignements est accentuée pour les organismes tels que le CANAFE.

Constatations

Le CANAFE a une approche rigoureuse et exhaustive à l'égard de la sécurité. Il a intégré des éléments de nombreuses politiques fédérales pertinentes dans son propre cadre de politiques et de gestion de la sécurité. Nous n'avons rien trouvé qui indiquait que la confidentialité des renseignements personnels pouvait être compromise à cause de mesures de sécurité inadéquates une fois qu'ils ont été transmis au CANAFE.

S'assurer que l'accès à l'information est restreint à ceux qui en ont légitimement besoin constitue une précaution essentielle pour protéger les renseignements personnels. Le CANAFE dispose de mesures de contrôle pour s'assurer que l'accès est restreint à ceux qui en ont effectivement besoin.

Nous avons constaté que les pratiques du Centre en matière d'utilisation et de communication sont conformes à la LRPCFAT et à la Loi sur la protection des renseignements personnels. Cependant, il pourrait être utile pour le CANAFE d'établir des critères régissant la communication de renseignements à l'Agence des services frontaliers du Canada et au Centre de la sécurité des télécommunications Canada. Le CANAFE devrait aussi chercher des moyens de s'assurer que l'information qu'il partage avec les organismes étrangers du renseignement financier est protégée adéquatement.

Dans l'exécution de son mandat, le Centre acquiert de l'information de deux manières : il en reçoit et en recueille. Même si nous n'avons rien trouvé qui permettrait de penser que le CANAFE recueille plus de renseignements qu'il n'est autorisé à le faire, nous avons constaté qu'il reçoit et conserve de l'information au-delà de ce que la loi l'autorise à faire. Il faut renforcer les mesures de contrôle actuelles, y compris l'examen préliminaire et le suivi permanent des rapports, de manière à ce que les fonds de renseignements du CANAFE soient pertinents sans être excessifs.

Le CANAFE a la responsabilité de s'assurer que les entités déclarantes se conforment aux obligations que la LRPCFAT leur impose et il a obtenu la collaboration d'un certain nombre de partenaires de réglementation pour l'aider à cet égard. Le Centre n'a pas été en mesure de nous confirmer que les indications que ces partenaires fournissent aux entités déclarantes sont conformes aux exigences de la LRPCFAT.

Même si le Centre a mis en place des éléments d'un cadre de gestion de la protection des renseignements personnels, il y a des lacunes qui doivent être corrigées. Plus précisément, la gouvernance et la reddition de comptes en cette matière ne sont pas clairement définies, le CANAFE n'a pas établi en bonne et due forme un processus de gestion des risques liés à la protection des renseignements personnels, et il n'y a pas de formation portant spécifiquement sur ce sujet pour le personnel. Le renforcement du cadre aidera le CANAFE à respecter les obligations qui lui incombent en vertu de la Loi sur la protection des renseignements personnels.

Le CANAFE nous a fait part de ses réponses. Ces dernières sont indiquées à la suite de chacune des recommandations du rapport.

Introduction

Contexte

1. Le blanchiment d'argent est le processus consistant à dissimuler la source de l'argent ou de biens tirés d'activités criminelles. En 1989, le Canada a mis en vigueur une loi établissant un régime canadien de lutte contre le recyclage des produits de la criminalité et le financement des activités terroristes (RPC/FAT). Cette loi, qui a été modifiée en 2000 et à nouveau en 2006, a fait du Centre d'analyse des opérations et déclarations financières (le CANAFE ou le Centre) l'unité du renseignement financier du Canada.

2. La Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes (LRPCFAT) a pour objet :

de mettre en œuvre des mesures visant à détecter et décourager le recyclage des produits de la criminalité et le financement des activités terroristes et à faciliter les enquêtes et les poursuites;
de fournir aux responsables de l'application de la loi les renseignements leur permettant de priver les criminels du produit de leurs activités illicites, tout en assurant la mise en place des garanties nécessaires à la protection de la vie privée;
d'aider le Canada à remplir ses engagements internationaux dans la lutte contre le crime transnational, particulièrement le recyclage des produits de la criminalité, et la lutte contre les activités terroristes.

3. La Loi exige d'une grande variété d'entités — notamment les banques, les courtiers de change, les sociétés d'assurance-vie et plusieurs autres types d'entreprises et de professionnels (voir l'annexe A) — qu'elles recueillent et conservent des renseignements précis sur leurs clients et les opérations de ceux-ci (voir l'annexe B). Les entités doivent aussi déclarer au Centre certains types d'opérations.

4. La Loi exige également que soient déclarés les mouvements transfrontaliers ou les saisies d'espèces ou d'instruments monétaires d'une valeur égale ou supérieure à 10 000 $ ou d'une valeur équivalente en devises étrangères.

5. Les modifications apportées à la LRPCFAT en 2006 ont augmenté le nombre d'organisations assujetties à la Loi et les types d'opérations qui doivent être scrutées de près et déclarées. Elles ont également permis au CANAFE de communiquer davantage de renseignements aux organismes d'application de la loi et de services de sécurité, ainsi qu'à l'Agence des services frontaliers du Canada (ASFC) et à l'Agence du revenu du Canada (ARC).

Profil de l'entité

6. Le CANAFE est un organisme autonome et indépendant des organismes d'application de la loi et des autres entités auxquels il est autorisé à communiquer des renseignements. Le Centre, qui est entré en service en octobre 2001, recueille, analyse et communique de l'information concernant les cas présumés de recyclage de produits de la criminalité et de financement d'activités terroristes, et d'autres menaces à la sécurité du Canada.

7. En plus de ses fonctions d'analyse et de communication, le CANAFE met en œuvre un programme de conformité dans le cadre duquel il vérifie si les entités déclarantes se conforment aux obligations de la LRPCFAT et des règlements connexes. Le Centre est également chargé de sensibiliser l'opinion publique aux questions liées au blanchiment d'argent.

8. La directrice du CANAFE se rapporte au ministre des Finances. En date du 31 mars 2008, le Centre comptait 319 employés et avait un budget annuel de 52,8 millions $. Des informations supplémentaires sont disponibles sur le site Web du CANAFE au http://www.fintrac-canafe.gc.ca.

Objet de la vérification

9. La vérification portait principalement sur la façon dont le CANAFE gère les renseignements personnels, aussi bien en sa qualité d'unité du renseignement financier que lorsqu'il mène les activités relatives à la conformité que lui impose la LRPCFAT.

10. Notre objectif était de déterminer si le CANAFE a mis en place des mesures de contrôle appropriées pour protéger les renseignements personnels, et si les processus et les pratiques qu'il utilise pour gérer ces renseignements se conforment aux articles 4 à 8 de la Loi sur la protection des renseignements personnels.

11. La vérification ne visait pas à évaluer l'efficacité ou le caractère intrusif du régime canadien de RPC/FAT.

12. Nous avons examiné la gestion des renseignements personnels que le CANAFE acquiert, utilise et communique en vertu de la LRPCFAT. Nous n'avons pas examiné la façon dont le Centre traite les renseignements personnels de ses propres employés. Nous n'avons pas non plus évalué les cadres de contrôle mis en place par les entités déclarantes pour gérer leurs fonds de renseignements personnels.

13. La section Au sujet de la vérification du présent rapport contient des renseignements sur l'objectif, les critères et la portée de la vérification ainsi que la méthode utilisée.

Observations et recommandations

Protection des fonds de renseignements

14. Assurer la sécurité des renseignements personnels constitue un élément clé pour satisfaire aux exigences de la Loi sur la protection des renseignements personnels. Il doit y avoir des mesures et des contrôles appropriés pour garantir que les données personnelles ne sont pas être utilisées, communiquées, modifiées ou détruites sans autorisation.

15. La Politique du gouvernement sur la sécurité (PGS), qui prévoit des mesures pour protéger et préserver la confidentialité et l'intégrité des fonds gouvernementaux, y compris des renseignements personnels, établit les exigences de base (obligatoires) en matière de sécurité. Les ministères et organismes fédéraux sont tenus d'effectuer leur propre évaluation pour déterminer si des mesures de protection allant au-delà des exigences de base sont nécessaires. La PGS préconise aussi la surveillance continue des menaces potentielles afin que des mesures de sécurité adéquates soient maintenues.

16. Nous avons constaté que le CANAFE a institué une infrastructure de sécurité à plusieurs niveaux pour protéger ses fonds de renseignements personnels. La sécurité administrative et organisationnelle, la sécurité du personnel, la sécurité physique et la sécurité de la technologie de l'information sont toutes des volets du programme de sécurité intégré du Centre.

L'infrastructure de la sécurité physique est solide

17. Diverses mesures régissent le contrôle des installations et des fonds de renseignements du CANAFE : gardes, caméras de sécurité, systèmes d'alarme de détection d'intrusion, etc. Au nombre des mesures utilisées pour limiter l'accès aux zones opérationnelles ainsi qu'aux zones de sécurité et de haute sécurité du Centre, mentionnons les cartes de contrôle électronique d'accès, les coffres de sécurité et les chambres fortes. Le bureau des documents, la section d'analyse des renseignements financiers, le serveur de TI et les salles de réseautage du CANAFE sont situés dans les zones de haute sécurité.

18. Le CANAFE a embauché des tiers pour effectuer une évaluation de la sécurité physique et une évaluation de la menace et des risques (EMR), ce qui a permis de déceler des possibilités d'amélioration. Nous sommes satisfaits que les problèmes relevés lors de ces évaluations ont été réglés. Cependant, les documents faisant état des mesures prises pour remédier aux lacunes n'étaient pas joints aux rapports d'évaluation pertinents, et les rapports omettaient de confirmer que les recommandations et les constatations avaient été analysées et acceptées par la haute direction.

Recommandation : Le CANAFE devrait s'assurer que toutes les mesures prises pour donner suite aux observations formulées dans les EMR ou les évaluations de la sécurité soient jointes au dossier. De plus, la direction devrait, en signant le document pertinent, reconnaitre et accepter officiellement les risques indiqués dans ces évaluations.

Réponse du Centre. Le CANAFE accueille favorablement cette recommandation. Des mesures ont été prises pour faire en sorte que les EMR et les évaluations de la sécurité fassent état des interventions visant à donner suite aux observations, et que les autorisations officielles soient sollicitées.

19. Les mesures relatives à la sécurité physique sont complétées par la politique en matière de rangement du bureau et les inspections de sécurité courantes du Centre. Tous les employés ont la responsabilité de s'assurer que les renseignements sont stockés de manière appropriée en-dehors des heures de travail. Toute infraction est signalée à l'agent de sécurité du ministère, et les détails de l'infraction figurent dans le dossier de sécurité de l'employé.

20. Les ministères et organismes gouvernementaux sont tenus de gérer le risque de communication non autorisée des renseignements en établissant un système de classification/protection. Nous avons examiné les cas où l'information était conservée sur format papier; dans tous les cas, nous avons constaté que les documents étaient conservés conformément aux exigences de la PGS.

L'enquête sur la sécurité du personnel est menée conformément à la Politique du gouvernement sur la sécurité

21. La PGS exige que tous les employés et contractuels se soumettent à une enquête de sécurité correspondant au niveau de sécurité de l'information ou des fonds auxquels ils auront accès. Tous les employés du CANAFE doivent obtenir une habilitation de niveau secret avant le début de leur emploi. Un processus d'habilitation pour obtenir la cote de sécurité de niveau très secret est enclenché une fois que l'employé a commencé à travailler. Ce niveau d'habilitation doit être maintenu comme condition d'emploi. Les contractuels à court terme, les employés temporaires et les étudiants doivent avoir au minimum une habilitation de sécurité de niveau secret.

22. Le CANAFE a établi des procédures concernant l'entrée en fonction et le départ afin de gérer et de contrôler les biens assignés au personnel, et cela vise également l'accès aux systèmes. Dans le cadre de nos vérifications, nous avons examiné un échantillon des dossiers de sécurité d'employés actuellement en service et d'anciens employés. Au terme de notre examen, nous pouvons conclure que les enquêtes de sécurité sur le personnel et les processus de cessation d'emploi sont menés conformément à la politique prescrite.

Une gestion globale de la sécurité des TI est exercée

23. La sécurité des technologies de l'information (TI) est le processus de prévention et de détection de l'utilisation non autorisée des systèmes informatiques. Les nouvelles technologies présentent de nouvelles menaces qui peuvent mettre en péril la confidentialité et l'intégrité des renseignements personnels.

24. Pour prévenir l'accès non autorisé à toute partie d'un système informatique quelle qu'elle soit, les organisations doivent protéger leurs données en utilisant des dispositifs appropriés, comme des pare-feux, des systèmes de détection des intrusions, des connexions chiffrées et des réseaux distincts. Les systèmes de TI devraient également être soumis à une surveillance continue ainsi qu'à des évaluations et à des mises à l'épreuve régulières de la vulnérabilité.

25. Nous avons constaté que le CANAFE est, à bien des égards, un exemple pour les autres organisations, car il a su mettre en place un cadre global de la gestion de la sécurité qui correspond aux pratiques exemplaires de l'industrie. Quelques composantes clés sont décrites brièvement ci-dessous.

26. Certification et accréditation. La norme de gestion de la sécurité des technologies de l'information établie par le Secrétariat du Conseil du Trésor exige que les ministères certifient et accréditent leurs systèmes de TI avant d'approuver leur mise en service. La certification permet de vérifier que les exigences de sécurité fondamentales concernant un système de TI particulier sont appliquées et renforcées au besoin de manière à garantir l'intégrité et la confidentialité de l'information, et que les mesures de contrôle et de protection fonctionnent comme prévu. L'accréditation signifie que la direction a autorisé la mise en service du système et qu'elle accepte les risques résiduels.

27. Même s'il a été mis en place très récemment, nous avons constaté que le cadre de certification et d'accréditation du Centre est clairement défini et qu'il est appuyé par une solide stratégie de mise en œuvre. Au moment où nous avons terminé notre analyse, le processus d'homologation et d'accréditation était terminé pour un système et le processus visant un deuxième système était en cours.

28. Sécurisation des applications et des systèmes de TI. L'architecture de sécurité d'un système de TI fait référence à l'ordinateur central, à ses serveurs, aux liaisons informatiques, aux pare-feux et aux zones de sécurité définies qui doivent protéger le système et son contenu contre les attaques de l'extérieur.

29. Nous avons constaté que l'architecture de sécurité des applications et des systèmes du CANAFE comporte plusieurs types de protection à chaque niveau critique et qu'il y a un contrôle central de l'accès entre les zones contrôlées. De plus, l'architecture de réseau du Centre est conçue de telle façon que le réseau ministériel et le réseau d'analyse sont complètement distincts; aucune connectivité de croisement n'est possible entre les deux.

30. À tous les niveaux de ses réseaux, le CANAFE applique les pratiques exemplaires en matière de sécurité. Pour des raisons de sécurité, nous ne pouvons donner de détails précis dans le présent rapport; nous sommes convaincus qu'il y a des contrôles de sécurité adéquats, incluant (sans s'y limiter) l'utilisation du cryptage et des pare-feux, la séparation des réseaux et l'isolement de la connectivité externe.

31. Il est important de vérifier la sécurité des réseaux régulièrement pour déceler d'éventuelles vulnérabilités ou faiblesses sur le plan de la configuration. Les EMR et les évaluations de la vulnérabilité mettent en lumière les faiblesses qui pourraient compromettre la sécurité. Les tests de pénétration déterminent si les mesures de contrôle établies peuvent être contournées pour exploiter les vulnérabilités.

32. Un certain nombre d'évaluations de la vulnérabilité et de tests de pénétration des zones de réseau accessibles de l'extérieur ont été effectués par des tiers, entre autres le Centre de la sécurité des télécommunications Canada (CSTC). Ces tests ont confirmé que les réseaux du CANAFE sont sécuritaires. Nous sommes satisfaits que le Centre dispose des outils de mise à l'épreuve appropriés et qu'il effectue régulièrement des évaluations de la vulnérabilité et des tests de pénétration.

33. Modifications à la TI. La gestion du changement dans l'environnement de TI repose sur l'élaboration de procédures, de mesures de contrôle, de technologies et de logiciels pour modifier le matériel et les logiciels de TI. Nous avons constaté que le CANAFE a mis en place un cadre de gestion du changement bien défini et contrôlé, qui applique les pratiques exemplaires de l'industrie dans le domaine de l'intégration des changements à la TI.

34. Contrôle de l'accès aux données. L'accès contrôlé à un système de TI et à ses éléments de données constitue une mesure de protection clé parce qu'il restreint l'utilisation et la communication de renseignements personnels à ceux qui en ont effectivement besoin.

35. Une méthode efficace pour atténuer le risque que les données soient compromises — utilisées, communiquées, modifiées ou supprimées de manière inappropriée — est de limiter les droits d'accès au système. C'est ce qu'on désigne habituellement sous le nom d'« accès en fonction des rôles ». Nous avons constaté que le CANAFE veille à ce que seuls ceux qui ont légitimement besoin de l'information, en raison des nécessités du service, y aient accès, et uniquement au niveau requis par leur rôle, et à ce que cet accès soit contrôlé par l'authentification de l'utilisateur.

36. La consignation des activités des utilisateurs est essentielle pour déterminer si les droits d'accès ont été exercés de manière appropriée, conformément au principe du besoin de connaître. Nous avons examiné les pratiques de consignation pour tous les systèmes. Bien que nous ayons constaté que les procédures varient entre les différents éléments, la journalisation complète des activités des utilisateurs est saisie. En outre, l'intégrité des fichiers de journalisation est assurée grâce à des mesures de sécurité et de contrôle appropriées.

Respect du Code de pratiques équitables en matière de renseignements

37. La Loi sur la protection des renseignements personnels adopte l'approche du cycle de vie pour la gestion des renseignements personnels. Les articles 4 à 8, désignés sous le nom de « Code de pratiques équitables en matière de renseignements », imposent des limites à la collecte de renseignements personnels et à la façon dont l'information, une fois recueillie, peut être utilisée et communiquée. Ils établissent un équilibre entre les besoins légitimes de collecte et d'utilisation de nombreux programmes fédéraux et le droit d'avoir des attentes raisonnables quant à la protection de la vie privée.

38. Dans le contexte fédéral, l'article 4 de la Loi sur la protection des renseignements personnels établit les critères pour la collecte de renseignements personnels par les institutions fédérales. Cette collecte doit avoir un lien direct avec un programme ou une activité de l'institution.

39. La LRPCFAT autorise le CANAFE à recevoir de l'information de personnes, d'entités déclarantes et d'autres sources. Elle permet également au Centre de recueillir de l'information qu'il considère pertinente pour les activités de blanchiment d'argent et de financement des activités terroristes, ainsi que l'information dont il a besoin pour s'acquitter de son mandat de vérification.

L'acquisition de renseignements dépasse la compétence législative

40. La partie 1 de la LRPCFAT impose aux particuliers et aux entités déclarantes (voir l'annexe A) de soumettre au CANAFE :

une déclaration d'opérations importantes en espèces (DOIE) pour les opérations de 10 000 $ ou plus;
une déclaration de télévirements (DT) pour les opérations de 10 000 $ ou plus;
une déclaration d'opérations douteuses (DOD) ou une déclaration de tentative d'opérations douteuses liées à une infraction de blanchiment d'argent ou de financement d'activités terroristes, peu importe le montant de l'opération ou de la tentative d'opération;
une Déclaration de biens appartenant à un groupe terroriste, par laquelle une entité déclarante signale qu'elle a des biens en sa possession ou à sa disposition qui sont reconnus appartenir à un terroriste ou à un groupe terroriste, ou transmet des informations sur toute opération, réelle ou projetée, mettant en cause ces biens, peu importe leur valeur.

41. Aux termes de la partie 2 de la Loi, les particuliers et les entités doivent déclarer à l'Agence des services frontaliers du Canada (ASFC) l'importation ou l'exportation d'espèces ou d'effets d'une valeur de 10 000 $ ou plus. Ces opérations sont signalées au CANAFE au moyen de la Déclaration de mouvements transfrontaliers d'espèces et d'effets. L'ASFC est également tenue de remplir la Déclaration de saisie des douanes lorsque la valeur des espèces ou des effets saisis est de 10 000 $ ou plus.

42. Le Centre reçoit aussi des renseignements fournis de plein gré concernant des opérations présumées de blanchiment d'argent ou de financement d'activités terroristes. Ces rapports, désignés sous le nom de Déclaration de renseignements transmis volontairement (DRTV), proviennent de diverses sources, y compris du grand public, de la GRC, du Service canadien du renseignement de sécurité (SCRS), des organismes provinciaux et municipaux d'application de la loi et des unités étrangères du renseignement financier.

43. En plus de l'information qu'il reçoit, le CANAFE peut recueillir des renseignements provenant des bases de données des organismes d'application de la loi ou de sécurité nationale qui œuvrent à l'échelle fédérale ou provinciale, lorsqu'il existe une entente régissant cet accès. Le Centre est actuellement lié par un protocole d'entente à la GRC, au Centre d'information de la police canadienne et à l'Organized Crime Agency de la Colombie-Britannique.

44. Déclarations visant des opérations d'une valeur inférieure au seuil établi. Les DOIE et les DT constituent la plus grande partie des fonds de renseignements du CANAFE. Les données factuelles que l'on trouve dans ces rapports sont exigées par règlement et elles contiennent des renseignements personnels exhaustifs.

45. La LRPCFAT prévoit que, pour ces rapports, le seuil de déclaration est de 10 000 $ ou plus lors d'une seule opération, ou deux opérations ou plus qui sont chacune d'un montant inférieur à 10 000 $ mais totalisent 10 000 $ ou davantage à l'intérieur d'une période de 24 heures, ces opérations étant effectuées par une même personne ou entité, ou en leur nom.

46. Nous avons extrait un échantillon aléatoire de déclarations dans le cadre de notre vérification, et nous avons constaté que, dans 17 % des cas, les montants faisant l'objet d'une déclaration étaient inférieurs au seuil établi. Nous avons demandé au Centre de fournir des éléments de preuve justifiant l'inclusion de ces déclarations dans la base de données. Dans certains cas, le Centre n'a pas été en mesure de le faire.

47. Nous avons également vu des cas où un casino signalait des opérations impliquant le déboursement de 10 000 $ ou plus en remplissant une DOIE. Bien que les casinos soient tenus de conserver la trace de tels déboursements, l'obligation de signaler les opérations au CANAFE n'est entrée en vigueur que le 28 septembre 2009. En outre, nous avons vu un certain nombre de déclarations de mouvements transfrontaliers d'espèces et d'effets pour des opérations d'une valeur inférieure au seuil de 10 000 $.

48. En résumé, nous avons constaté que le CANAFE a reçu des renseignements financiers qui ne correspondaient pas au seuil établi et qui, par conséquent, n'auraient pas dû être déclarés. Compte tenu de la taille de notre échantillon, nous ne pouvons établir la quantité de déclarations de ce genre dans l'ensemble des fonds de renseignements du Centre.

49. Absence de « motifs raisonnables d'avoir des soupçons ». Les entités assujetties à la LRPCFAT sont tenues de soumettre une déclaration d'opérations douteuses (DOD) lorsqu'il y a des motifs raisonnables de croire qu'une opération est liée au recyclage des produits de la criminalité ou au financement d'activités terroristes. À compter du 23 juin 2008, cette obligation s'applique que l'opération soit réalisée ou simplement tentée. En plus des renseignements sur les personnes concernées, les DOD contiennent des informations sur les circonstances qui ont amené l'entité à remplir la déclaration.

50. Le seuil légal des « motifs raisonnables d'avoir des soupçons » n'est pas défini dans la LRPCFAT. Selon la description contenue dans la politique du CANAFE, ce seuil se situe à un niveau de soupçon au-dessus du « simple soupçon » et en-dessous de la « croyance raisonnable ». Nous avons constaté que bien que les DOD soient examinées et classées par ordre d'importance lorsqu'elles sont reçues, elles ne sont pas analysées pour savoir s'il y a un motif raisonnable de soupçonner le recyclage de produits de la criminalité ou le financement d'activités terroristes.

51. Parmi les dossiers qui figuraient dans notre échantillon, nous avons constaté qu'un certain nombre n'étaient pas étayés par des « motifs raisonnables d'avoir des soupçons » concernant le recyclage de produits de la criminalité ou le financement d'activités terroristes. Cela donne à penser que les entités déclarantes pourraient ne pas savoir exactement quelles sont leurs obligations en matière de déclaration, ou qu'elles manquent à leurs obligations lorsqu'il existe un doute, et considèrent ainsi que le respect de la vie privée est un aspect secondaire. La pièce A fournit des exemples de ce genre de dossiers.

Pièce A

Une entité déclarante a soumis plusieurs rapports en précisant qu’elle « adoptait une approche conservatrice en présentant cette information sous forme de [Déclaration d’opérations douteuses] parce qu’il n’y a aucun motif de soupçonner que cette opération est liée à la perpétration d’une infraction de recyclage des produits de la criminalité, mais il n’existe pas de preuve montrant que l’opération est légitime. » [traduction]
Un homme a déposé dans une institution financière une somme en espèces d’une valeur inférieure au seuil de déclaration de 10 000 $. Questionné sur la provenance des fonds, il a déclaré qu’il avait acheté de la marchandise au Canada et l’avait revendue à l’étranger. Il était dit dans la déclaration que, bien que les mouvements sur le compte semblaient normaux, celle‑ci avait été remplie pour s’assurer que la personne concernée se conforme à toutes les exigences fiscales. Rien n’indiquait que l’opération était liée à un cas présumé de blanchiment d’argent ou de financement d’activités terroristes.
Une personne a déposé un chèque du gouvernement d’un montant inférieur à 300 $ puis a retiré le montant dans son entier. L’institution financière a rempli une Déclaration d’opérations douteuses concernant cette opération, mais n’a pas indiqué pourquoi elle était considérée comme suspecte.

52. Nous avons aussi examiné un échantillon de déclarations de renseignements transmis volontairement (DRTV). Lorsqu'il les reçoit, le CANAFE examine ces documents pour déterminer s'ils relèvent de son mandat. Les documents qui n'ont pas trait au mandat du Centre sont conservés mais ne sont pas rendus disponibles aux fins d'analyse. Malgré ce tri, nous avons trouvé dans la base de données du CANAFE des DRTV qui ne faisaient pas état de soupçons de recyclage des produits de la criminalité ou de financement d'activités terroristes. La pièce B en donne des exemples.

Pièce B

Le CANAFE a reçu des DRTV d’un détaillant qui a mis en place son propre programme de lutte contre le blanchiment d’argent, dans le cadre duquel toutes les opérations au comptant et les opérations de débit supérieures à 10 000 $ sont signalées. Aucune de ces déclarations n’indique que l’on soupçonne le blanchiment d’argent.
Une personne a converti des devises étrangères dans une entreprise de services monétaires. Lorsqu’on lui a demandé de fournir des renseignements pour se conformer aux exigences de la LRPCFAT en matière de tenue de dossiers, la personne a voulu savoir si cette information serait communiquée à d’autres organismes gouvernementaux fédéraux. Le commis a expliqué que l’information serait conservée par l’entreprise uniquement et qu’on en avait besoin pour se conformer à la réglementation fédérale. Le client a quitté l’établissement sans terminer l’opération. La DRTV contient ce commentaire : « Je ne pense pas que [la personne] recyclait de l’argent mais qu’elle était préoccupée par l’immigration ou l’imposition pour quelque raison. » [traduction]
Une DRTV a été remplie par une personne anonyme qui en avait assez d’entendre une connaissance se vanter du fait que son entreprise payait ses dépenses, même si elle n’avait pas voyagé depuis des années, et qu’elle ne déclarait pas recevoir une indemnité imposable. Il est dit dans la DRTV : « Cet homme devrait payer des impôts comme tout le monde. » [traduction] Il n’y avait aucune mention de soupçon de blanchiment d’argent ou de financement d’activités terroristes.
Une personne a déposé dans une institution financière un chèque émis par un cabinet d’avocats. Au moment de l’opération, l’institution était convaincue que la personne avait fourni des raisons légitimes concernant la provenance des fonds. Cependant, elle a décidé d’informer le CANAFE en raison de l’origine ethnique de la personne et du fait qu’elle avait récemment fait un voyage d’agrément dans un pays particulier.

53. Réception de renseignements superflus. Le CANAFE a publié et diffusé beaucoup de documents pour guider les entités sur ce qu'elles doivent déclarer. Malgré ces indications, nous avons constaté que des renseignements superflus ont été reçus et, fait plus important du point de vue de la protection de la vie privée, conservés par le Centre.

54. Pour respecter les obligations concernant l'identification des clients que leur impose la LRPCFAT, les entités doivent consulter le certificat de naissance, le permis de conduire, le passeport, la fiche d'établissement, la carte de résident permanent ou d'autres documents semblables.

55. Les lignes directrices du CANAFE précisent que la carte santé provinciale d'une personne peut servir de pièce d'identité, mais seulement si les lois provinciales ou territoriales ne l'interdisent pas. De plus, même si le numéro d'assurance sociale (NAS) peut servir à vérifier l'identité d'un client, ce numéro ne doit être fourni au Centre dans aucun type de déclaration.

56. Pourtant, certaines des déclarations que nous avons examinées contenaient à la fois le NAS et la carte santé. Nous avons également constaté que des DRTV et des DOD, bien qu'elles aient été en rapport avec le mandat du CANAFE, contenaient des renseignements superflus, comme l'indique la pièce C.

Pièce C

Une source a fourni des renseignements médicaux concernant l’objet de la déclaration et fait des allégations sans lien avec le blanchiment d’argent ou le financement d’activités terroristes.
Une déclaration contenant des allégations de fraude relatives à une personne qui avait omis de déclarer ses revenus a été remplie. Elle contenait des renseignements personnels sur la fille de la personne visée. Ces renseignements n’avaient aucun lien avec le cas sous enquête.
Une institution financière a rempli une déclaration d’opérations douteuses qui contenait un commentaire de nature très subjective.

Le contrôle des déclarations n'est pas adéquat

57. La politique du Secrétariat du Conseil du Trésor sur la collecte de renseignements personnels exige que les fonds de renseignements personnels que détiennent les institutions fédérales soient gérés conformément au principe de la limitation de la collecte. Compte tenu du volume et de la sensibilité des renseignements que le CANAFE reçoit et recueille, nous nous attendons à ce que les renseignements soient pertinents et non excessifs.

58. Le système de présentation de déclarations sur le Web du Centre explique, champ par champ, la façon de remplir des déclarations par voie électronique, indique les erreurs et avertit l'utilisateur si des données obligatoires n'ont pas été entrées. Les champs obligatoires comprennent la date, l'heure, le montant de l'opération, par qui elle a été effectuée, à quel endroit et de quelle façon. S'il y a lieu, les déclarations sont renvoyées à l'auteur pour que des corrections y soient apportées. Les déclarations de renseignements transmis volontairement (DRTV) sont analysées par un employé à leur réception.

59. À l'exception des DRTV, les processus de contrôle du CANAFE ont été conçus principalement pour assurer la qualité des données — c'est-à-dire que tous les champs obligatoires des rapports sont remplis. Ils ne visent pas à vérifier si les renseignements sont utiles au mandat du Centre ou si leur collecte est excessive.

60. L'absence d'un tel processus est une lacune qui mérite notre attention. La vérification et le suivi de façon régulière des nouvelles déclarations fourniraient au CANAFE un outil efficace qui l'aiderait à respecter ses obligations en matière de protection de la vie privée, ainsi que des données utiles à ses activités de sensibilisation et de vérification.

Recommandation : Le CANAFE devrait travailler de concert avec les entités déclarantes afin de s'assurer qu'il n'obtient pas de renseignements personnels (1) qu'il n'est pas autorisé à recevoir en vertu de la loi et (2) dont il n'a pas besoin ou n'utilise pas. À cette fin, le CANAFE devrait continuer d'améliorer le processus de contrôle initial des déclarations et d'élaborer un programme complémentaire de suivi et d'examen réguliers.

Réponse du Centre. Le CANAFE est d'accord avec cette recommandation et a déjà pris des mesures en vue de restreindre l'information qu'il reçoit des entités déclarantes :

Depuis février 2006, le CANAFE a amélioré la façon de valider les déclarations transmises au Centre à l'aide d'un nouveau système de production de déclarations visant à atténuer le risque de recevoir des renseignements qui n'auraient pas dû être envoyés;
Le nouveau formulaire de déclaration relative aux déboursements de casinos est assorti d'un système de contrôle initial amélioré qui permettra d'éviter l'entrée de ce type de renseignements dans la base de données du Centre;
De plus, le CANAFE révise et met à jour régulièrement les directives à l'intention des entités déclarantes (ED). Ces directives sont une source d'information pour ces dernières qui leur permettent de mieux connaître leurs obligations en vertu de la Loi. Elles énumèrent les renseignements qui doivent être envoyés au CANAFE et ceux qui ne le doivent pas.

Le Centre entreprendra prochainement un examen de ses formulaires de déclaration afin d'évaluer la valeur analytique des données recueillies et de réduire le fardeau administratif des entités déclarantes. Le CANAFE juge que cet exercice, en plus des mesures déjà prises, réduira efficacement la quantité de renseignements envoyés au Centre par erreur.

Il n'existe pas de mécanisme pour confirmer l'appartenance à un groupe terroriste

61. Une déclaration de biens appartenant à un groupe terroriste (DBAGT) doit être remplie lorsqu'une entité déclarante sait ou croit avoir en sa possession des biens qui appartiennent à un terroriste ou à un groupe terroriste ou qui sont sous le contrôle de ces derniers. À cette fin, le CANAFE propose aux entités déclarantes de consulter la liste des « entités inscrites » sur le site de Sécurité publique Canada ou le lien « Financement des activités terroristes » sur le site Web du Bureau du surintendant des institutions financières.

62. Une fois que l'appartenance à un groupe terroriste est établie, les entités déclarantes doivent en aviser la GRC et le SCRS. Dans l'éventualité où une entité n'est pas certaine si elle a affaire à un terroriste ou à un groupe terroriste, elle doit soumettre une déclaration d'opérations douteuses (DOD) peu importe si l'opération a été terminée ou non.

63. Nous avons examiné toutes les DBAGT afin de déterminer dans quelle mesure les personnes ou entités mentionnées dans les déclarations étaient en fait des personnes ou des entités inscrites. Nous avons constaté que près de la moitié des déclarations ont été produites en raison d'une « correspondance possible » avec les listes d'entités terroristes inscrites.

64. Même si le CANAFE essaie de vérifier l'appartenance d'une personne à un groupe terroriste, cela demeure difficile à confirmer puisque les renseignements personnels essentiels, comme la date de naissance, ne figurent pas dans la DBAGT. Si l'identité ne peut pas être confirmée, le Centre ne poursuit pas son analyse, mais les renseignements restent dans la base de données du CANAFE. La pratique habituelle est de conserver les DBAGT et les DOD, peu importe si l'appartenance à un groupe terroriste est confirmée ou soupçonnée.

65. En tant que gardien de ces déclarations, le CANAFE devrait limiter la réception et la conservation des DBGAT et des DOD aux situations où l'identité de la personne a été vérifiée.

Recommandation : Le CANAFE devrait consulter ses partenaires du renseignement pour faire en sorte que, dans la mesure du possible, l'appartenance à un groupe terroriste est confirmée avant que ces données soient conservées et utilisées à des fins d'analyse.

Réponse du Centre. Le CANAFE accueille cette recommandation. Dans la mesure du possible, le Centre communiquera avec ses partenaires du renseignement afin d'explorer de nouvelles façons d'atténuer le risque associé à la conservation de renseignements après que l'appartenance des personnes concernées à un groupe terroriste a été infirmée.

Les pratiques liées à l'utilisation et à la communication de renseignements sont conformes à la loi

66. Les articles 7 et 8 de la Loi sur la protection des renseignements personnels régissent l'utilisation et la communication des renseignements personnels. En général, les renseignements personnels relevant d'une institution fédérale ne peuvent servir qu'aux fins auxquelles ils ont été recueillis ou à des usages compatibles avec ces fins. La Loi limite également les circonstances dans lesquelles des renseignements personnels peuvent être communiqués sans le consentement de la personne concernée. Le pouvoir du CANAFE d'utiliser et de communiquer des renseignements est énoncé dans les articles 55 à 65.1 de la LRPCFAT.

67. Nous avons examiné un échantillon de dossiers, y compris des rapports d'analyse accompagnant les recommandations sur la communication de renseignements. Rien ne laisse entendre que les renseignements personnels ont servi à des fins autres que celles pour lesquelles ils ont été recueillis ou à des usages non compatibles avec ces fins. De plus, nous avons établi que la communication de renseignements s'effectue dans des circonstances strictement contrôlées et conformément à la LRPCFAT.

Les critères concernant certains types de communications doivent être officialisés

68. Si le CANAFE a des motifs raisonnables de soupçonner que des renseignements désignés (voir l'annexe B) seraient utiles à des fins d'enquête ou de poursuite relativement à une infraction de recyclage de produits de la criminalité ou à une infraction de financement des activités terroristes, il doit communiquer les renseignements aux forces policières compétentes. S'il a des motifs raisonnables de soupçonner que des renseignements désignés se rapporteraient à des menaces envers la sécurité du Canada, le CANAFE doit communiquer ces renseignements au Service canadien du renseignement de sécurité.

69. De plus, le Centre doit communiquer des renseignements désignés à l'Agence des services frontaliers du Canada (ASFC), au Centre de la sécurité des télécommunications Canada (CSTC) et à l'Agence du revenu du Canada (ARC) dans les différentes circonstances prévues par la Loi. Le Centre doit d'abord avoir des motifs raisonnables de soupçonner que les renseignements seraient utiles à des fins d'enquête ou de poursuite relativement à une infraction de recyclage de produits de la criminalité ou à une infraction de financement des activités terroristes, puis déterminer si les renseignements en question répondent aux critères énumérés au paragraphe 55(3) de la LRPCFAT. Par exemple, pour communiquer des renseignements à l'ASFC, le Centre doit également établir que ceux-ci :

se rapportent à une infraction qui consiste dans la contrebande — ou la tentative de contrebande — de marchandises passibles de droits ou à une infraction qui a trait à des marchandises dont l'importation est prohibée, contrôlée ou réglementée en vertu de la Loi sur les douanes;
sont utiles pour établir si une personne est visée aux articles 34 à 42 de la Loi sur l'immigration et la protection des réfugiés ou se rapportent à une infraction prévue aux articles 117 à 119, 126 et 127 de cette Loi;
se rapportent à une infraction, consommée ou non, d'évasion fiscale — y compris le non-paiement de droits — définie par une loi fédérale dont l'application relève de l'ASFC.

70. S'il est vrai que le CANAFE travaille avec l'ARC en vue d'établir des indicateurs officiels pour l'identification d'opérations pouvant se rapporter à une infraction d'évasion fiscale ou à une telle tentative, il importe de souligner qu'il n'existe aucun critère écrit énonçant les circonstances dans lesquelles la communication de renseignements à l'ASFC ou à la CSTC est nécessaire. L'absence de tels critères fait en sorte qu'il est difficile de retracer les raisons de la communication de renseignements et augmente le risque d'une communication involontaire.

Recommandation : Le CANAFE devrait établir une série de critères par écrit permettant de déterminer si le seuil des communications à l'ASFC et à la CSTC a été atteint.

Réponse du Centre. Le CANAFE est d'accord avec cette recommandation.

Les accords d'échange de renseignements ne contiennent pas certaines dispositions clés

71. Le CANAFE peut, en vertu de l'article 56.1 de la LRPCFAT, communiquer des renseignements désignés à des États étrangers ou à des organisations internationales ayant des pouvoirs et des responsabilités similaires aux siennes.

72. La LRPCFAT stipule qu'un accord écrit doit avoir été conclu entre les parties pour qu'un tel échange de renseignements soit permis. Les accords doivent préciser que les renseignements seront traités de manière confidentielle, ne seront pas autrement communiqués sans le consentement du Centre et ne seront utilisés qu'aux fins prévues dans l'accord.

73. Nous avons examiné les 47 protocoles d'entente entre le CANAFE et ses homologues étrangers. S'il est vrai que les ententes comprenaient les éléments prévus dans la LRPCFAT, nous estimons qu'elles ne contiennent pas certaines dispositions clés, notamment, une disposition obligeant les deux parties à aviser l'autre s'il y a eu atteinte à la protection des renseignements personnels et une sur la réalisation de vérifications.

74. Un protocole d'entente établit les modalités de l'accord d'échange, mais il ne garantit pas nécessairement que les risques associés à l'accord ont été cernés et atténués. Les vérifications régulières le font. En plus de fournir une certaine assurance que les parties respectent l'accord dans les faits, elles permettent de vérifier que des mesures de sécurité appropriées en vue de protéger les renseignements personnels ont été mises en œuvre.

75. Comme il a été mentionné dans le rapport de vérification de l'Agence des services frontaliers du Canada en 2006, une garantie réciproque ou mutuelle concernant la protection des renseignements personnels est importante non seulement pour les renseignements sur les Canadiens échangés avec les gouvernements étrangers, mais aussi pour les ressortissants étrangers dont les renseignements personnels sont communiqués au Canada^{Note de bas de page 1}.

Recommandation : Le CANAFE devrait s'assurer que tous les accords portant sur l'échange de renseignements comprennent l'exigence pour les deux parties d'aviser l'autre advenant un accès, un usage ou une communication non autorisés concernant des renseignements personnels échangés dans le cadre du protocole d'entente. De plus, le Centre devrait mettre en œuvre un mécanisme lui donnant l'assurance que le traitement des données effectué par ses partenaires étrangers en matière de renseignement financier respecte les conditions de ses accords portant sur l'échange de renseignements.

Réponse du Centre. Le CANAFE effectue des examens périodiques des activités de protection des renseignements de ses partenaires de protocoles d'ententes au moyen de visites bilatérales et en sollicitant les commentaires d'autres partenaires nationaux sur toute préoccupation qu'ils auraient concernant la protection des renseignements dans une administration donnée. Le CANAFE consulte également ses homologues canadiens (Affaires étrangères et Commerce international Canada, SCRS, GRC et ministère des Finances) afin de guider son travail dans ce domaine. Ces renseignements sont envoyés aux analystes du CANAFE afin qu'ils soient au courant de tout sujet délicat qui devrait être pris en considération avant la prise d'une décision relative au pouvoir discrétionnaire du Centre de communiquer des renseignements à un partenaire d'un protocole d'entente.

Les pratiques actuelles contreviennent au principe de limitation de la conservation des renseignements

76. La LRPCFAT prévoit les périodes pour lesquelles les déclarations reçues par le CANAFE sont conservées. La période de conservation était de cinq ans pour les déclarations non communiquées et de huit ans pour les déclarations communiquées. Toutefois, des modifications, qui sont entrées en vigueur le 10 février 2007, prévoient que toutes les déclarations seront conservées pour une période minimale de dix ans.

77. Les déclarations non communiquées reçues du 31 octobre 2001 au 9 février 2002 étaient assujetties à la période de conservation initiale de cinq ans. Par conséquent, ces déclarations sont devenues « inactives » en février 2007, ce qui les rendait inaccessibles à des fins d'analyse. Le Centre nous a informés que ces déclarations ont été éliminées en mai 2007, et il nous a fourni des documents à l'appui. Nos tests confirment que ces déclarations ont été supprimées de la base de données.

78. Il est essentiel pour assurer la protection de la vie privée que les renseignements personnels soient obtenus uniquement lorsqu'il y a un besoin légitime et autorisé. Aux termes de la Loi sur la protection des renseignements personnels, la collecte doit être nécessaire au fonctionnement d'un programme ou d'une activité. La pertinence est déterminée en fonction de l'autorisation législative. Comme il a été mentionné, le CANAFE a reçu des renseignements autres que ceux permis par la LRPCFAT, dont :

des déclarations d'opérations financières qui ne respectent pas le seuil de 10 000 $;
des déclarations d'opérations douteuses et des déclarations de renseignements transmis volontairement qui n'établissent pas de motifs raisonnables de soupçonner des activités de recyclage de produits de criminalité ou de financement d'activités terroristes;
des renseignements non pertinents, y compris le numéro d'assurance sociale et le numéro de carte santé, lorsque cette collecte est interdite par des lois provinciales.

La quantité de déclarations de ce genre présentes dans les dossiers du CANAFE est inconnue.

79. Par extension, toute collecte de renseignements personnels autres que ceux prévus par la loi va à l'encontre du principe de limitation de la conservation des renseignements. Il s'agit d'un risque non négligeable pour la protection de la vie privée, car on rend susceptibles de communication ou d'utilisation des renseignements qui n'auraient jamais dû être obtenus.

Recommandation : Afin de se conformer à la LRPCFAT et à la Loi sur la protection des renseignements personnels, le CANAFE devrait supprimer de ses dossiers de façon permanente tous les renseignements qu'il ne pouvait recevoir en vertu d'une autorisation législative.

Réponse du Centre. Comme il a été mentionné dans notre réponse suite du paragraphe 60, le CANAFE a pris des mesures concrètes afin de restreindre la quantité de renseignements qui n'auraient pas dû nous être envoyés. Les renseignements reçus avant la mise en œuvre de ces changements et les renseignements que le CANAFE n'a pas réussi à filtrer sont toujours dans notre base de données. Nous accueillons favorablement la recommandation du CPVP quant à l'élimination de ces dossiers. Le Centre reconnait qu'il est important que sa base de données ne contienne que les renseignements qu'il a l'autorisation de conserver. C'est pourquoi nous continuerons à explorer et à élaborer de nouvelles façons d'atteindre cet objectif.

Le retrait de renseignements non pertinents présents dans la base de données du CANAFE est difficile sur le plan technique. Le Centre élabore en ce moment une stratégie et un plan de travail afin de progresser dans ce domaine aussi rapidement que possible. De plus, les résultats du prochain exercice d'évaluation de la qualité des données devraient appuyer ce travail en favorisant l'élaboration de façons de cerner les renseignements qui devraient être supprimés. Sachant que ce travail pourrait être long à réaliser et exige beaucoup de ressources, le CANAFE est persuadé que les risques associés à un usage ou à une communication non autorisés de tels renseignements, que ce soit au moyen des processus du Centre ou à la suite d'une intrusion, sont atténués de manière appropriée par les politiques et les procédures du CANAFE et par ses systèmes de TI hautement sécurisés, comme le Commissariat le reconnaît dans le présent rapport.

Cadre de gestion de la protection des renseignements personnels

80. Un cadre de gestion de la protection de la vie privée fait référence aux mécanismes de contrôle mis en place pour veiller à ce que les renseignements personnels soient gérés de façon appropriée. Dans des vérifications antérieures, nous avons déterminé que les cadres de gestion de la protection de la vie privée des institutions fédérales ne sont pas tous au même niveau de maturité.

81. Bien qu'un cadre de gestion de la protection de la vie privée n'ait pas encore été établi pour les ministères fédéraux, les principaux éléments sont une gouvernance efficace, une responsabilisation bien définie, un processus visant à gérer les atteintes à la vie privée, la détermination et la gestion des risques d'entrave à la vie privée, la surveillance continue de la conformité et la formation de sensibilisation.

82. Le CANAFE a mis en œuvre diverses politiques visant à gérer les renseignements qu'il détient. Nous avons passé en revue la politique générale de protection des renseignements personnels du Centre, ainsi que ses politiques en matière de gestion de l'information et de sécurité. Nous avons noté des exemples de pratiques adéquates en matière de protection de la vie privée, mais avons également ciblé des possibilités d'amélioration.

La responsabilité envers le respect des exigences en matière de vie privée doit être établie

83. Les principes qui sous-tendent la protection des renseignements personnels sont définis dans la politique de confidentialité du CANAFE. La politique précise que les responsabilités générales relèvent de tous les employés, mais elle ne présente pas d'orientation stratégique globale ni ne traite de la surveillance des activités en matière de respect des exigences relatives à la protection de la vie privée au niveau de la direction. Comme nous l'avons indiqué dans d'autres vérifications, il est important de nommer un responsable de la protection de la vie privée, car ce dernier joue un rôle central en matière de respect de la vie privée et de leadership.

84. Le CANAFE a un poste de responsable de la protection de la vie privée, mais son titulaire n'est pas membre du comité de la haute gestion. Par ailleurs, même si la description de travail inclut une fonction stratégique, elle porte principalement sur la gestion du programme d'AIPRP du Centre, plutôt que sur l'élaboration et la surveillance d'activités en matière de respect de la vie privée dans l'ensemble de l'organisation.

Un processus de gestion des atteintes à la protection des renseignements personnels est en cours d'élaboration

85. Un des éléments clés d'un cadre de gestion de la protection de la vie privée est la capacité de repérer, d'enquêter et de signaler les atteintes à la protection des renseignements personnels relatives à la collecte, à l'utilisation, à la communication ou au retrait présumé. Le Secrétariat du Conseil du Trésor a formulé des conseils pour bien gérer ces atteintes de manière appropriée.

86. En vertu de la politique sur la sécurité du CANAFE, les infractions à la sécurité doivent être signalées au gestionnaire approprié, même s'il n'y a que des soupçons. Les gestionnaires doivent alors évaluer l'incident et en faire rapport à l'agent de sécurité du ministère pour régler le problème, minimiser l'incidence pour toutes les parties touchées et mettre en œuvre des mesures pour limiter les infractions futures.

87. La politique sur la sécurité ne traite pas spécifiquement des infractions à la sécurité qui se traduisent par une atteinte à la vie privée, ni ne définit le rôle du coordonnateur de la protection de la vie privée. Au moment de la vérification, le CANAFE avait commencé à s'attaquer à ce problème. Des lignes directrices ont été élaborées pour définir les rôles et les processus requis dans le but de gérer les incidents touchant des renseignements personnels.

Le processus de gestion des risques d'atteinte à la protection des renseignements personnels doit être officialisé

88. En 2002, le Secrétariat du Conseil du Trésor a instauré la Politique d'évaluation des facteurs relatifs à la vie privée (EFVP) pour veiller à ce que les principes régissant la protection des renseignements personnels soient pris en compte dans tous les programmes et services nouveaux ou considérablement remaniés qui ont une incidence sur la vie privée. La mesure dans laquelle les ministères se conforment à la Politique varie selon le cadre en place pour rendre compte efficacement des activités qui peuvent exiger une analyse de l'incidence sur la vie privée.

89. Nous avons demandé au CANAFE quand et comment il décide de mener une EFVP. Le Centre nous a indiqué que tout changement à la GI/TI déclencherait immédiatement une EFVP, et que des responsables dans l'ensemble de l'organisation font continuellement le suivi pour déterminer s'il y a lieu de procéder à de telles évaluations. Une structure officielle visant à appuyer les objectifs et les exigences de la Politique d'EFVP, dans laquelle on retrouverait des responsabilités et des obligations bien définies, n'a pas encore été mise en œuvre et documentée. Jusqu'à sa mise en place, il est toujours possible que des risques d'atteinte à la vie privée ne soient pas détectés.

La formation de sensibilisation à la protection des renseignements personnels doit être améliorée

90. La conformité à l'esprit et aux exigences de la Loi sur la protection des renseignements personnels dépend grandement de sa compréhension par les personnes responsables du traitement des renseignements personnels. La sensibilisation et la formation sont deux éléments essentiels de l'atteinte des objectifs de la Loi.

91. La formation de sensibilisation à la protection de la vie privée et à la sécurité est offerte dans le cadre du programme d'orientation des employés du CANAFE. Par ailleurs, des documents sur la formation sur la protection de la vie privée peuvent être consultés sur le site intranet du Centre, y compris une vidéo sur l'importance de protéger les renseignements personnels, des fiches d'information sur les demandes de communication de renseignements personnels et des liens vers des sites Web pertinents. Même si les efforts déployés par le Centre sont louables, nous trouvons que le contenu du cours manque de renseignements sur certains éléments, comme des détails suffisants sur les principes fondamentaux de la protection de la vie privée.

92. Bien que le coordonnateur de la protection de la vie privée ait participé aux activités de formation offertes au personnel du domaine de la conformité dans les régions, des séances de sensibilisation portant spécifiquement sur les obligations établies en vertu de la Loi sur la protection des renseignements personnels n'ont pas été données à tous les employés qui traitent les renseignements personnels.

Le Répertoire des renseignements personnels est mis à jour

93. Le droit d'une personne à la vie privée comprend le contrôle sur l'utilisation de ses renseignements personnels. Lorsqu'il y a exception, la personne a le droit de savoir l'usage possible de cette information et les fins possibles de cette utilisation.

94. La Loi sur la protection des renseignements personnels exige que tous les usages et toutes les communications de renseignements personnels soient enregistrés et comptabilisés publiquement dans un répertoire des renseignements personnels. Ce répertoire, Info Source, indique au public quels renseignements personnels sont détenus par le gouvernement, décrit la façon dont ils sont gérés et en facilite l'accès.

95. La version actuelle d'Info Source donne la liste de trois fichiers de renseignements personnels uniques pour le CANAFE, dont deux qui portent sur les ressources humaines et qui n'ont pas été visés par le présent examen. La description du troisième fichier, la Base de données d'analyse du renseignement financier, n'est plus à jour. Par ailleurs, la gestion de renseignements personnels dans le cadre du programme de conformité du Centre n'est pas reflétée dans le répertoire.

96. Bien que le CANAFE n'ait pas encore présenté de comptabilisation complète des renseignements personnels détenus dans Info Source, nous sommes satisfaits qu'il est en train de le faire. En avril 2008, le Centre a remis au Secrétariat du Conseil du Trésor l'ébauche d'un répertoire des renseignements personnels pour la gestion des renseignements personnels recueillis dans le cadre de son mandat de vérification, ainsi qu'une mise à jour de la Base de données d'analyse du renseignement financier.

Recommandation : Pour renforcer son cadre de gestion de la protection de la vie privée, le CANAFE devrait :

nommer un cadre supérieur à titre de responsable de la protection de la vie privée qui agira comme chef de file stratégique en matière de protection de la vie privée et qui surveillera et coordonnera les activités liées à la protection de la vie privée;
veiller à ce que toutes les initiatives et tous les programmes qui exigent une évaluation des facteurs relatifs à la vie privée soient ciblés, enregistrés et comptabilisés;
finaliser et mettre en œuvre des lignes directrices sur les incidents relatifs à la protection de la vie privée pour se conformer aux attentes en matière de signalement des atteintes à la vie privée énoncées par le Secrétariat du Conseil du Trésor;
étendre les initiatives de sensibilisation à la sécurité pour veiller à ce que les employés qui traitent des renseignements personnels ou ont des responsabilités en matière de protection de la vie privée reçoivent une formation particulière sur les principes fondamentaux de la protection de la vie privée et les exigences liées à l'analyse des facteurs relatifs à la vie privée.

Réponse du Centre. Le CANAFE accueille favorablement cette recommandation. Le Centre a déjà pris des mesures pour renforcer sa structure de gestion de la protection de la vie privée, et un membre de son comité de la haute gestion sera nommé responsable de la protection de la vie privée. Par ailleurs, l'équipe chargée de la coordination des demandes d'AIPRP au CANAFE élabore des lignes directrices sur les incidents relatifs à la protection de la vie privée, et met également à jour ses séances de sensibilisation à la protection de la vie privée pour y inclure davantage de renseignements sur la protection de la vie privée à l'intention des employés.

Le mandat de vérification du CANAFE

97. En plus de satisfaire aux exigences imposées par la LRPCFAT en ce qui concerne la vérification de l'identité de clients, la conservation de documents, la détermination quant aux tiers et la présentation de déclarations, les entités déclarantes doivent mettre en œuvre un programme d'assurance de la conformité afin de respecter leurs obligations en vertu de la Loi. Le CANAFE a pour mandat de veiller à ce que les entités déclarantes respectent ces exigences législatives et il remplit ce mandat par divers moyens, y compris en menant des examens de conformité.

98. Nous avons examiné la façon dont le Centre gère les renseignements personnels dans le cadre des examens de conformité qu'il mène sur place, en portant une attention particulière à la façon dont ces renseignements sont recueillis et utilisés. Nous avons également étudié la question du consentement. À cette fin, nous avons choisi un échantillon aléatoire de dossiers qui représentaient divers secteurs d'entités déclarantes.

99. Conformément aux principes établis en matière de protection de la vie privée, nous nous attendions à ce que le CANAFE limite la collecte de renseignements personnels à ce qui est nécessaire à l'exécution de son mandat en matière de conformité, qu'il limite l'utilisation de ces renseignements à des fins autorisées par la LRPCFAT et, le cas échéant, qu'il obtienne le consentement de la personne sur laquelle portent les renseignements.

100. Même si nous avons conclu que le CANAFE recueille et utilise les renseignements personnels liés à la conformité pour veiller à ce que les entités déclarantes respectent leurs obligations en vertu de la LRPCFAT, un certain nombre de questions ont été soulevées, lesquelles justifient une attention particulière.

Les pratiques en matière de minimalisme des données ne sont pas observées uniformément

101. Le minimalisme, c'est-à-dire limiter la collecte de renseignements personnels à ce qui est strictement nécessaire à l'atteinte d'un objectif précis, constitue un élément fondamental des dispositions juridiques sur la protection des données. Cette pratique atténue les risques d'atteinte à la protection des renseignements personnels. En termes simples, si les données ne sont pas recueillies, elles ne sont pas à risque.

102. Nous avons étudié un échantillon aléatoire de dossiers d'examen de conformité, la majorité desquels mettaient en évidence des instances de vérification de l'identité de clients, de conservation de documents, de présentation de déclarations et d'autres faiblesses relatives aux pratiques en matière de minimalisme des données. Néanmoins, nous avons trouvé des cas où la conservation de certains types de documents, par exemple ceux qui figurent à la pièce D, n'était pas justifiée.

Pièce D

Lettres destinées à des particuliers comprenant les détails de leur portefeuille de placement;
Listes de membres de coopératives de crédit avec dates de naissance, dates d’ouvertures de comptes, numéros et types de comptes;
Documents ayant trait aux transactions qui n’ont pas à être déclarées qui comprennent le nom et l’adresse des clients ainsi que les sommes et les monnaies en jeu;
Dossiers sur la formation d’employés.

103. Le CANAFE a le pouvoir incontesté de recueillir toute information dont il a besoin afin de remplir son mandat de vérification, exception faite des documents assujettis au secret professionnel de l'avocat. Toutefois, comme il est énoncé ci-dessus, nous avons observé des cas où les dossiers d'examen comprenaient des renseignements personnels très détaillés qui ne semblaient pas être nécessaires à l'établissement de conclusions. Autant que possible, le CANAFE devrait recueillir uniquement les données nécessaires à l'évaluation de la conformité d'une entité à la LRPCFAT, même s'il a le pouvoir juridique d'en recueillir plus.

Recommandation : Conformément aux pratiques exemplaires en matière de protection de la vie privée, nous encourageons le CANAFE à respecter le principe de minimalisme des données dans l'exécution de ses activités de conformité.

Réponse du Centre. Le CANAFE est d'accord avec cette recommandation. Il reconnait l'importance du principe de minimalisme des données. C'est pourquoi il a mis en place des politiques et des procédures précises qui encadrent la conservation de renseignements obtenus au cours d'examens de conformité. Le Centre continuera à renforcer l'importance du respect de ce principe lorsqu'il forme ses agents d'application et lorsqu'il examine et met à jour ses politiques et ses procédures.

Le consentement n'est pas valable

104. Il faut généralement obtenir le consentement afin de recueillir, d'utiliser ou de communiquer des renseignements personnels. Pour que le consentement soit valable, les fins visées doivent être énoncées de façon à ce que la personne puisse bien comprendre de quelle manière les renseignements seront utilisés ou communiqués. Les organismes doivent donc décrire les pratiques proposées en langage clair et informer la personne des conséquences de ne pas accorder son consentement.

105. Le CANAFE est assujetti au pouvoir législatif conféré par la LRPCFAT pour ses activités de collecte de renseignements liées à la conformité et pour toute utilisation ou communication de renseignements personnels connexe. Le consentement n'est pas demandé de la part de parties dont les opérations financières font l'objet de déclarations, ni de la part de particuliers qui agissent en tant que personnes-ressources pour les entités déclarantes.

106. Il y a toutefois une exception. Lorsqu'une entité déclarante se trouve dans une maison d'habitation (lieu de résidence), le CANAFE doit obtenir le consentement avant de procéder à la visite du lieu en vue de mener un examen de conformité. Autrement, il doit obtenir un mandat en vertu du paragraphe 63(2) de la LRPCFAT.

107. Les formulaires de consentement nécessitent, entre autres, le nom, l'adresse et la date de naissance de la personne. Bien que la Loi prévoie une disposition permettant d'annuler le consentement, la possibilité de refuser de consentir et les conséquences d'un tel refus ne sont pas claires. De plus, le formulaire de consentement n'indique ni l'objet de la collecte de la date de naissance, ni l'utilisation qui en sera faite. Il faudrait résoudre cette question afin de pouvoir fournir aux particuliers tous les renseignements qui leur permettront de prendre une décision éclairée.

Recommandation : Le « Formulaire d'autorisation de pénétrer dans une maison d'habitation à des fins d'examen » devrait être modifié afin qu'il indique le pouvoir en vertu duquel l'information est recueillie, l'objet de la collecte et l'utilisation qui sera faite de l'information.

Réponse du Centre. Le CANAFE accueille favorablement cette recommandation et modifiera le « Formulaire d'autorisation de pénétrer dans une maison d'habitation à des fins d'examen » en conformité à la Loi sur la protection des renseignements personnels et au Code de pratiques équitables en matière de renseignements.

Les renseignements personnels en transit risquent d'être interceptés

108. Avant de mener un examen de conformité sur les lieux, le CANAFE exige des copies de certains documents. Cette demande de documents se fait au moyen d'une lettre d'avis d'examen normalisée qui donne pour consigne aux entités déclarantes de fournir certains documents (p. ex. des politiques, des procédures et des documents de formation en matière de conformité), lesquels ne contiennent aucun renseignement personnel. Les entités doivent faire parvenir ces documents au Centre par la poste, par courriel ou par télécopieur.

109. La lettre donne également pour consigne à l'entité déclarante de rendre disponibles certains documents aux fins de vérification par le CANAFE le jour de l'examen. Il s'agit habituellement de documents liés à des opérations financières de plus de 10 000 $, de billets de conversion de devises étrangères, de documents d'information sur des clients et d'autres documents qui peuvent contenir des renseignements personnels. Malgré l'instruction donnée dans la lettre, nous avons trouvé un cas où une entité déclarante avait fait suivre des dossiers sur ses clients au Centre par courriel. Ces dossiers contenaient des noms, des adresses, des numéros d'assurance sociale, des numéros de compte et des informations relatives aux activités bancaires.

110. Le chiffrement est essentiel à la protection de l'information en transit. En l'absence d'instructions contraires précises, les entités déclarantes peuvent faire suivre des renseignements personnels non chiffrés au CANAFE par voie ouverte, courant ainsi le risque d'interception.

Recommandation : Il est recommandé que le CANAFE modifie la lettre d'avis d'examen afin qu'elle informe clairement les entités déclarantes de ne pas faire suivre de documents contenant des renseignements personnels. Au cas où il serait nécessaire de faire suivre ces renseignements, le CANAFE devrait collaborer avec les entités déclarantes pour veiller à ce qu'elles utilisent seulement des méthodes de transmission sécuritaires.

Réponse du Centre. Le CANAFE accueille favorablement cette recommandation et, dans le respect de la Loi sur la protection des renseignements personnels et du Code de pratiques équitables en matière de renseignements, prendra toutes les mesures raisonnables nécessaires pour veiller à ce que les entités déclarantes ne transmettent pas de renseignements personnels au Centre par des méthodes non sécuritaires.

L'exactitude des conseils fournis par les partenaires de réglementation n'a pas été vérifiée

111. Afin d'obtenir de l'aide dans le cadre de ses mesures de vérification, le Centre a conclu des ententes avec 17 organismes de réglementation nationaux et provinciaux. Ces ententes facilitent l'échange :

des résultats d'examens entrepris par les deux parties pour vérifier la conformité à la partie 1 de la LRPCFAT;
des mesures prises par les entités afin de combler les lacunes en matière de conformité.

112. Plusieurs organismes réglementaires ont émis des directives à leurs membres respectifs relativement à la lutte contre le recyclage des produits de la criminalité et le financement des activités terroristes. Nous avons examiné les directives émises par 3 des 17 organismes avec lesquels le CANAFE a conclu un accord d'échange de renseignements. Nous avons trouvé des cas où les directives en question encourageaient la vérification de l'identité de clients, la surveillance et la présentation de déclarations dans une mesure qui dépassait les exigences de la LRPCFAT.

113. L'échange de renseignements concernant la conformité entre des organismes réglementaires permet à ces derniers de remplir leurs mandats respectifs, de minimiser la possibilité de chevauchement éventuel et de réduire le fardeau administratif et réglementaire imposé aux entités déclarantes. Toutefois, la responsabilité de veiller à la conformité à la partie 1 de la LRPCFAT relève au bout du compte du CANAFE. Il incombe donc au Centre de s'assurer que toute directive émise à cet égard ne dépasse pas ce qui est exigé par la Loi.

114. Nous avons demandé au CANAFE de fournir les directives liées à la lutte contre le recyclage des produits de la criminalité et le financement des activités terroristes émises par ses partenaires en matière de conformité. À l'exception de documents provenant de deux organismes nationaux, aucun autre document n'a été trouvé en la possession du Centre. Sans examiner toutes les directives existantes relativement à la LRPCFAT, le CANAFE ne peut pas avoir l'assurance qu'il encourage des pratiques conformes à la Loi.

Recommandation : Le CANAFE devrait analyser toutes les lignes directrices relativement à la LRPCFAT émises par ses partenaires réglementaires fédéraux et provinciaux afin de s'assurer qu'elles n'encouragent pas la vérification de l'identité de clients, la conservation de dossiers et la présentation de déclarations de sorte à dépasser les exigences de la Loi.

Réponse du Centre. Tout en s'assurant de respecter la compétence et les pouvoirs des autres organismes réglementaires, le CANAFE continuera à collaborer avec ses partenaires pour veiller à ce que toute directive émise relativement à la conformité avec la LRPCFAT cadre avec les exigences établies en vertu de la Loi.

Conclusion

115. La Loi sur la protection des renseignements personnels et la LRPCFAT imposent des obligations au CANAFE quant au respect du droit à la vie privée des Canadiennes et Canadiens en fixant des limites pour la réception, la collecte, l'utilisation et la communication de renseignements personnels.

116. Les cadres de gestion de la protection de la vie privée permettent aux institutions de remplir leurs obligations en la matière. Le CANAFE a élaboré les éléments d'un tel cadre. Toutefois, il doit toujours établir une responsabilisation claire et un leadership stratégique en matière de protection de la vie privée, en plus d'officialiser les processus de gestion du risque et de rehausser la formation et les connaissances relativement à la protection des renseignements personnels.

117. Nous avons trouvé que les renseignements personnels obtenus par le CANAFE sont utilisés exclusivement aux fins pour lesquelles ils ont été acquis. La communication de ces renseignements est étroitement contrôlée et a lieu conformément à la LRPCFAT. Nous concluons donc que les pratiques du Centre en ce qui concerne l'utilisation et la communication de renseignements respectent le droit à la vie privée.

118. Bien que le CANAFE élimine les documents conformément à la LRPCFAT, nous avons remarqué des lacunes en ce qui a trait aux renseignements que le Centre acquiert et conserve. Même si le CANAFE a établi et mis en œuvre des processus en vue de gérer les renseignements personnels, il y a un manque de rigueur quant à l'assurance que son fonds de renseignements soit pertinent sans être excessif. En conséquence, les renseignements que contrôle le Centre dépassent ce qui est permis par la LRPCFAT.

119. Le CANAFE encourage une bonne culture organisationnelle en ce qui concerne les questions de sécurité et de confidentialité et met en œuvre diverses mesures en vue de protéger son fonds de renseignements. Nous n'avons pas trouvé de preuve à l'effet que des renseignements personnels pourraient être compromis à cause de mécanismes de sécurité inadéquats. Cependant, il importe de préciser que la sécurité n'est pas synonyme de protection de la vie privée.

120. Le renforcement de la sécurité est nécessaire à la protection de la vie privée, mais elle ne garantit pas en soi cette protection. Il ne suffit pas que les organismes déclarent avoir traité de la question de la protection de la vie privée en s'assurant que l'information est acquise et rangée en toute sécurité, et seulement utilisée et communiquée à des fins autorisées. Ils doivent en revenir au point le plus évident et se demander s'il était justifié d'obtenir ces renseignements au départ.

121. La commissaire à la protection de la vie privée a déclaré :

Rien ne nous pousse à croire que le CANAFE ne fait pas un excellent travail pour protéger l'information qu'il détient, mais la vie privée est une notion qui comporte davantage que la simple protection des renseignements personnels. La protection de la vie privée, c'est également le fait de veiller à ce que le minimum de renseignements personnels soient recueillis^{Note de bas de page 2}.

122. Afin de respecter pleinement la Loi sur la protection des renseignements personnels, le CANAFE doit prendre des mesures en vue de limiter l'acquisition de renseignements personnels à ce qui est autorisé en vertu de la LRPCFAT.

Au sujet de la vérification

Autorité

L'article 37 de la Loi sur la protection des renseignements personnels confère à la commissaire à la protection de la vie privée l'autorité d'examiner la conformité des institutions fédérales en ce qui concerne la gestion de leurs fonds de renseignements personnels en plus de formuler les recommandations qu'elle juge appropriées.
Conformément au paragraphe 72.(2) de la LRPCFAT, la commissaire à la protection de la vie privée doit mener un examen biennal des mesures prises par le CANAFE afin de protéger les renseignements qu'il reçoit ou qu'il recueille et faire rapport des résultats de l'examen au Parlement.

Objectif

L'objectif de cette vérification était d'évaluer si le CANAFE exerce les contrôles appropriés afin de protéger les renseignements personnels et si ses processus et ses pratiques de gestion de ces renseignements sont conformes aux articles 4 à 8 de la Loi sur la protection des renseignements personnels.

Critères

Les critères utilisés pour mener cette vérification reposent sur les autorisations pertinentes de la Loi sur la protection des renseignements personnels, la LRPCFAT, les politiques du SCT connexes et, le cas échéant, les dix principes relatifs à l'équité dans le traitement de l'information qui figurent à l'annexe 1 de la Loi sur la protection des renseignements personnels et les documents électroniques.

Nous nous attendions à ce que le CANAFE :

dispose de mesures de sécurité appropriées pour veiller à ce que les renseignements personnels soient protégés au cours de leurs cycles complets;
limite la réception, la collecte et l'utilisation de renseignements personnels à ce qui est nécessaire pour exécuter son mandat;
limite la communication de renseignements personnels à ce qui est autorisé en vertu de la LRPCFAT;
conserve et élimine les renseignements personnels conformément aux autorisations en vigueur;
définisse bien les rôles et les responsabilités liés à la protection des renseignements personnels et mette en œuvre des mesures pour veiller à ce que ses obligations en matière de protection de la vie privée soient respectées.

Portée et approche

La vérification comprenait un examen des programmes et des processus de gestion de l'information du CANAFE afin de cerner les domaines où les répercussions sur la vie privée semblaient être considérables.

Nous avons interrogé le personnel du CANAFE et examiné les politiques, les lignes directrices, les outils d'analyse, le matériel de formation, les évaluations de la menace et des risques pour la sécurité physique et la TI, les accords d'échange de renseignements, et les évaluations des facteurs relatifs à la vie privée. Nous avons également étudié les processus d'établissement de déclarations, un échantillon de rapports et la communication de renseignements à des organismes nationaux et des unités d'information stratégique étrangères.

Nous n'avons pas mené d'estimation de la vulnérabilité électronique, ni de test de pénétration de l'environnement de réseau du CANAFE puisque ces activités avaient été menées par le Centre de la sécurité des télécommunications Canada et que les résultats de ces activités figuraient dans les rapports que nous avons étudiés.

Les modifications apportées à la LRPCFAT en décembre 2006 ont augmenté la capacité du CANAFE à s'assurer que les entités déclarantes respectent leurs obligations en vertu de la Loi. Les modifications comprenaient l'établissement d'un système d'enregistrement pour les entreprises de services monétaires et la création d'un régime de sanctions administratives pécuniaires. Puisque ces programmes étaient en cours d'élaboration au moment de la vérification, ils n'ont pas été examinés en détail.

Nous avons mené les activités de vérification au bureau national du CANAFE et aux bureaux régionaux de Toronto et de Vancouver. Le travail lié à la vérification a été achevé en grande partie le 30 mars 2009.

Équipe de la vérification

Directeur général : Steven Morgan

Michael Fagan
Leslie Fournier-Dupelle
Raymond Brault
Kie Delgaty
Bill Wilson

Annexes

Annexe A : Entités déclarantes

Entités financières de toutes les catégories (banques, coopératives de crédit, caisses populaires, etc.)
Sociétés, courtiers ou agents d'assurance-vie
Courtiers en valeurs mobilières, gestionnaires de portefeuille, conseillers en placements autorisés par les provinces
Courtiers de change
Entreprises de services monétaires
Mandataires de Sa Majesté qui acceptent des dépôts ou vendent des mandats
Comptables et cabinets d'expertise comptable, courtiers et agents immobiliers dans le cadre de certaines activités pour le compte de leurs clients, notamment la réception ou le versement de fonds
Casinos (à l'exception de certains casinos temporaires de bienfaisance)
Notaires publics de la Colombie-Britannique (y compris les sociétés de notaires) et négociants en métaux précieux et pierres précieuses
Promoteurs immobiliers

Source : Rapport annuel du CANAFE 2007, p. 20

Annexe B : Renseignements désignés

Les communications du CANAFE consistent en des renseignements désignés concernant des particuliers ou des entités et leurs opérations. Une communication peut comprendre l'un des éléments ou tous les éléments suivants :

le nom des personnes et des entités concernées par les opérations;
l'adresse des personnes et des entités concernées par les opérations;
la date de naissance et la citoyenneté;
le numéro de passeport, de fiche d'établissement ou de carte de résident permanent;
le nom, l'adresse et le type d'entreprise où les opérations ont eu lieu;
la date et l'heure des opérations;
le genre et la valeur des opérations, y compris le montant et le genre d'espèces ou d'effets en cause;
les numéros d'opération, de transit et de compte;
le nom des importateurs ou des exportateurs, dans les cas d'importation ou d'exportation d'espèces ou d'effets.

Le 30 juin 2007, la définition de « renseignements désignés » a été élargie pour inclure :

les opérations suspectes ayant fait l'objet de tentatives;
le numéro de téléphone de l'établissement dans lequel l'opération a été effectuée;
le type de compte visé par une opération financière;
le nom et l'adresse de toutes les personnes autorisées à agir relativement au compte (pouvoir de signature, procuration, etc.);
l'intérêt financier de la personne ou de l'entité concernée au nom de qui l'opération a été complétée;
le nom, l'adresse postale, l'adresse électronique et le numéro de téléphone de chaque partenaire, directeur ou agent d'une entité concernée par des opérations ou d'une entité agissant en son nom et l'adresse et le numéro de téléphone de l'établissement principal d'activités;
les relations entretenues entre les personnes ou les entités concernées pas les opérations – ou personnes ou entités agissant en leur nom – et toute autre personne ou entité;
les détails des casiers judiciaires et accusations portées contre les personnes ou les entités concernées par des opérations ou toute personne ou entité agissant en leur nom;
le nom de la personne ou de l'entité soupçonnée d'avoir dirigé l'opération;
les motifs en vertu desquels une personne ou une entité a fait une déclaration d'opération douteuse;
le nombre et le type de déclarations sur lesquels une communication est fondée;
le nombre et la catégorie de personnes ou d'entités qui ont fait les déclarations;
les indicateurs sur lesquels le CANAFE s'est appuyé pour justifier la communication de renseignements sur une opération de blanchiment d'argent ou de financement d'activités terroristes.

Source : Rapport annuel du CANAFE 2007, p. 13

Supports de substitution

PDF (427 Ko) Accessibilité non vérifiée

Date de modification :: 2009-11-17