Audit des ententes d’échange de renseignements

1.1 Objectif de l'audit

Cet audit avait pour objectif de fournir à la haute direction une assurance sur les points suivants :

• la mesure dans laquelle les EER sont gérées efficacement;
• la mesure dans laquelle le processus d'EER est géré conformément aux politiques pertinentes du Secrétariat du Conseil du Trésor (SCT).

1.2 Portée

La portée de l'audit comprenait une approche globale de la gestion des EER, couvrant les ententes d'échange de renseignements, Info Source (informations sur les programmes et les fonds de renseignements administratifs) et d'autres éléments liés au processus des EER. Toutes les EER actuellement actives pour un processus ou un programme donné ont été incluses dans la portée. L'audit n'a pas permis d'évaluer ou d'examiner les versions antérieures des EER qui ont été remplacées depuis par des EER actualisées.

1.3 Méthodologie

L'audit a utilisé les méthodes suivantes :

• Revue de documentation et analyses;
• Analyse des données et tour d'horizon;
• Entrevues sur la gestion et les équipes;
• Revue de dossiers.

2.1 Les rôles et responsabilités ne sont pas clairement définis, documentés et délimités pour tous les intervenants concernés

La Politique ministérielle sur la gestion de la protection des renseignements personnels (PMGPRP) définit les responsabilités des intervenants ministériels en ce qui concerne la gestion des EER. Bien que la PMGPRP mentionne le rôle de la Chef de la protection des renseignements en tant qu'autorité fonctionnelle du Ministère pour toutes les questions relatives à la protection des renseignements personnels, ce qui inclut la formulation de conseils faisant autorité et de directives fonctionnelles à l'intention de toutes les directions générales et régions d'EDSC, elle ne délimite pas le rôle de la Chef de la Direction générale de la Dirigeante principale des données (DGDPD) dans le processus d'EER.

Les intervenants ont exprimé une certaine confusion quant aux rôles, aux responsabilités et aux obligations de rendre compte de la Division de la gestion de la protection des renseignements personnels (DGPRP), supervisée par la Chef de la protection des renseignements personnels, et de la DGDPD. De nombreux intervenants et directions générales ont fait part de leur incertitude quant à la participation de la DGPRP et de la DGDPD aux différentes étapes de la création et de la gestion des EER.

Bien que la DGDPD ait exprimé son intérêt pour la mise en place d'activités et d'initiatives liées aux EER au cours des prochaines années, il n'existe actuellement aucune feuille de route ni aucun plan de mise en œuvre détaillé.

2.2 Les documents d'orientation actuels ne sont pas conformes aux nouvelles exigences de la Directive sur les pratiques relatives à la protection de la vie privée du SCT et des documents d'orientation connexes

Le modèle standard d'EER du Ministère utilisé pour l'élaboration de nouvelles EER (un document clé pour la gestion des EER) a été mis à jour pour la dernière fois en 2016. Depuis lors, le SCT a publié un nouveau modèle d'EER au début de 2023 et des orientations actualisées en matière d'EER à la mi-2023. La DGPRP et la DGDPD ont conçu un modèle d'EER et des orientations actualisées, mais ces mises à jour ne sont pas encore terminées. Par conséquent, les orientations et les modèles de soutien actuels du Ministère ne sont pas encore alignés sur les nouvelles orientations du SCT.

La DGPRP a progressivement augmenté le nombre d'orientations relatives aux EER fournies aux propriétaires de programmes d'EER, ce qui inclut diverses présentations sur l'intranet du Ministère. Toutefois, les formations internes ciblées portant expressément sur les EER sont peu nombreuses. La plupart des coordonnateurs de direction générale en matière d'EER interrogés ne connaissent pas les documents d'orientation relatifs aux EER disponibles. Les directions générales ont manifesté un vif intérêt pour une formation générale (et ciblée) accrue, qui pourrait contribuer à atténuer les risques liés à l'échange de renseignements.

2.3 Le Ministère conserve des EER datant de diverses périodes, dont beaucoup ne sont ni régulièrement examinés ni mises à jour, ne comportent pas de date d'expiration et manquent certaines données essentielles, telles que les détails sur les méthodes d'échange

La Directive sur les pratiques relatives à la protection de la vie privée du SCT et les orientations qui s'y rapportent :

• définit les EER comme étant « un protocole d'entente écrit qui définit les modalités selon lesquelles les renseignements personnels sont divulgués entre les parties »;
• précise qu'il convient de mettre en place des EER assorties de garanties appropriées avant toute divulgation de renseignements personnels;
• fournit des renseignements sur les domaines que les EER devraient aborder (c'est-à-dire l'objectif des EAR, la conservation et l'élimination des renseignements, les garanties générales, les périodes d'examen, les dates d'expiration, etc.).

Il a été constaté que de nombreuses EER du Ministère ne contenaient pas de périodes d'examen, de dates d'expiration ou de détails suffisants dans la section relative à la méthode d'échange.

Les récentes mises à jour de la Directive sur les pratiques relatives à la protection de la vie privée du SCT exigent que chaque service mette à la disposition du public des résumés de toutes les EER par le biais d'une mise à jour annuelle de l'« Info Source » en ligne de l'institution. Il existe un risque que le Ministère répertorie les EER expirées (ou inactives et n'ayant plus de raison d'être) sur l'Info Source publique.

2.4 La DGPRP et la DGDPD ne surveillent pas suffisamment les activités d'échange liées aux EER et n'informent pas la gouvernance sur les activités d'échange

Le référentiel d'EER, créé en 2016 et géré par la DGDPD, est le principal outil de gestion des EER du Ministère. La DGDPD est chargée de veiller à son exhaustivité et à sa mise à jour continue. La DGPRP limite son rôle aux activités directement liées à la création des documents relatifs aux EER et ne participe pas activement à la gestion ou à l'exécution des EER après qu'elles ont été conclues et signées par le propriétaire du programme à l'échelon des sous-ministres adjoints.

La plupart des intervenants des directions générales interrogés ont estimé que le référentiel d'EER n'était ni convivial ni particulièrement efficace pour la gestion des EER. En outre, le Ministère ne dispose pas d'une méthode détaillée, cohérente et structurée pour évaluer et noter les degrés de risque des EER, ce qui a une incidence sur la capacité à déterminer les EER qui pourraient nécessiter un examen plus approfondi de la part du Comité des données et de la protection des renseignements personnels (CDPRP).

En outre, il n'existe pas de fonction de contrôle des activités d'échange de renseignements liées aux EER pour confirmer le respect des exigences des EER et des pratiques adéquates de protection de la transmission et de l'accès aux renseignements. En outre, le rôle de surveillance de la CDPRP dans le processus lié aux EER n'est pas défini dans son mandat.