Rapport annuel sur l’application de la Loi sur la protection des renseignements personnels

Formats substituts

Protection des renseignements personnels et contexte opérationnel d’EDSC

Au cours de la période visée par le rapport, 3 grands facteurs ont influé sur la gestion de la protection des renseignements personnels par EDSC :

• La transformation numérique a continué de changer la façon dont les renseignements personnels sont gérés dans tous les secteurs, y compris au sein du gouvernement. Les personnes s’attendent de plus en plus à interagir avec les institutions fédérales par voie numérique pour des raisons de commodité. Par conséquent, EDSC a continué de se concentrer sur ses importants efforts de transformation pour répondre aux attentes des Canadiens et moderniser les services qu’il offre.
• Le Ministère a continué de s’adapter aux répercussions de la pandémie de COVID-19 en adoptant des processus électroniques et des signatures numériques, et en ajoutant des ressources essentielles aux opérations de l’accès à l’information et de la protection des renseignements personnels (AIPRP). Ces améliorations ont permis de réduire l’arriéré de demandes créé au début de la pandémie.
• Étant donné que l’empreinte d’EDSC est d’ampleur nationale, le Ministère a continué d’utiliser son modèle décentralisé pour traiter les demandes relatives à la protection des renseignements personnels. Par l’entremise de Service Canada, le Ministère a exploité plus de 600 points de service en personne à l’échelle du pays ainsi que des centres d’appels nationaux et régionaux, et a offert des options de services numériques en ligne sur le site Canada.ca. En particulier, les opérations de traitement des demandes reçues en vertu de la Loi sur la protection des renseignements personnels d’EDSC dépendaient des 4 régions du Ministère pour le respect des obligations législatives.

La protection des renseignements personnels dès la conception à EDSC

EDSC gère un des régimes de protection des renseignements personnels les plus robustes du système fédéral, grâce à son code de protection des renseignements personnels, enchâssé dans sa loi habilitante ministérielle, et à des politiques ministérielles qui viennent s’ajouter aux exigences de la présidente du Conseil du Trésor et aux attentes du Commissariat à la protection de la vie privée (CPVP). Un élément clé de l’approche d’EDSC de « protection des renseignements personnels dès la conception » est l’intégration des considérations relatives à la protection des renseignements personnels à toutes ses activités de gestion de projets et à toutes les nouvelles propositions de financement.

Le processus d’évaluation des facteurs relatifs à la vie privée d’EDSC commence par une vérification à l’étape initiale du cycle de vie du projet pour déterminer le type d’examen de la protection des renseignements personnels à effectuer. Le Ministère dispose d’une série d’outils d’évaluation adaptés pour s’assurer que le niveau d’attention requis est accordé à chaque initiative, selon le niveau de sensibilité des renseignements. Des communications actives et régulières avec le CPVP et les spécialistes de la protection des renseignements personnels du Secrétariat du Conseil du Trésor (SCT) permettent de s’assurer que les organismes de surveillance sont bien informés des risques pour la protection des renseignements personnels et de la façon dont ces risques sont atténués dès les premières étapes.

De plus, EDSC assure un suivi actif des incidents d’atteinte à la vie privée et les signale au CPVP et au SCT. Les taux d’atteintes à la vie privée en pourcentage de l’ensemble des transactions demeurent assez faibles, compte tenu du nombre élevé de transactions chaque jour. On surveille de près le lien entre la protection des renseignements personnels et la cybersécurité, afin de préparer le Ministère aux menaces actuelles et futures dans ce domaine.

Demandes en vertu de la Loi sur la protection des renseignements personnels

Pendant la période de rapport 2021 à 2022, les demandes reçues en vertu de la Loi sur la protection des renseignements personnels ont augmenté considérablement : plus de 17 000 demandes ont été reçues et près de 1,5 million de pages ont été traitées. Des progrès considérables ont été réalisés dans l’amélioration du taux de conformité (il est passé de 46 % en 2020 à 2021 à 58 % en 2021 à 2022), mais celui-ci est demeuré inférieur au taux que le Ministère atteignait habituellement au cours des exercices précédant la pandémie. Une mesure corrective a déjà été mise en œuvre afin que l’amélioration du rendement se poursuive dans ce secteur.

Faits saillants et résultats pour 2021 à 2022

• Au cours de cet exercice, un volume record de pages (1 477 256) a été traité aux fins des exceptions et des exclusions, ce qui représente une augmentation de 27 % par rapport à l’exercice précédent. Au total, 1 384 322 pages ont été divulguées, ce qui représente également une augmentation de 28 % par rapport à l’exercice précédent.
• EDSC a reçu 17 695 demandes en vertu de la Loi sur la protection des renseignements personnels, ce qui représente une augmentation par rapport au total de 13 998 de l’exercice précédent. Un nombre record de demandes ont été complétées : le nombre est passé de 12 883 en 2020‑2021 à 17 577 en 2021 à 2022.
• EDSC a effectué ou révisé en profondeur 22 évaluations des facteurs relatifs à la vie privée (EFVP), ce qui représente environ 20 % du nombre total approuvé par toutes les institutions fédérales au cours du dernier exercice.
• Afin de protéger les renseignements personnels lorsqu’ils sont communiqués à d’autres institutions fédérales ou à d’autres administrations, 98 ententes d’échange de renseignements ont été préparées, ce qui représente une augmentation de 58 % par rapport à l’exercice précédent.
• Les examens initiaux de la protection des renseignements personnels visant des programmes, des projets et des logiciels ont plus que doublé, passant de 97 en 2020-2021 à 199 en 2021 à 2022.
• On a également effectué des examens de la protection des renseignements personnels visant les activités d’analyse des politiques, de recherche et d’évaluation du Ministère touchant des renseignements personnels. On a réalisé 23 examens de ce genre au cours du dernier exercice comparativement à 13 en 2020-2021.

Le présent rapport décrit la façon dont EDSC appuie de manière proactive l’utilisation et la protection judicieuses des renseignements personnels dans un des environnements les plus difficiles du gouvernement en ce qui concerne la protection des renseignements personnels. L’aperçu donné par l’ensemble des faits, des chiffres et des renseignements fournis dans le présent rapport montre la responsabilité et la diligence dont les employés d’EDSC font preuve et les efforts qu’ils mettent en œuvre tous les jours afin de maintenir la confiance que les Canadiens ont en eux à titre d’intendants responsables.

Présentation du présent rapport

L’article 72 de la Loi sur la protection des renseignements personnels oblige le responsable d’une institution fédérale à soumettre au Parlement un rapport annuel sur l’application de cette loi à la fin de chaque exercice. Voici le rapport annuel d’EDSC au Parlement sur l’application de la Loi sur la protection des renseignements personnels pour l’exercice 2021 à 2022. EDSC ne présente pas le rapport au nom d’une filiale en propriété exclusive ou d’une institution non opérationnelle.

À propos d’EDSC

EDSC est le ministère du gouvernement du Canada responsable de l’élaboration, de la gestion et de la prestation des programmes et services sociaux. Il a pour mission de bâtir un Canada plus fort et plus inclusif, d’aider les Canadiens à avoir une vie productive et enrichissante, et d’améliorer leur qualité de vie. EDSC compte 2 grandes entités : le Programme du travail et Service Canada.

Le Ministère offre divers programmes et services dont les Canadiens peuvent bénéficier tout au long de leur vie. Il garantit aux aînés un revenu de base, appuie les travailleurs sans emploi, aide les étudiants à financer leurs études postsecondaires, et soutient les parents qui élèvent de jeunes enfants. Le Programme du travail contribue au bien-être social et économique en favorisant la création de milieux de travail sûrs, sains, équitables et inclusifs et des relations de travail coopératives au sein de l’administration fédérale. Chaque année, Service Canada communique avec des millions de Canadiens pour leur offrir un éventail de services et de renseignements gouvernementaux en ligne, au téléphone et en personne.

EDSC est responsable de la conception et de la prestation de certains des programmes et services les mieux connus du gouvernement du Canada, notamment :

• la SV;
• le Régime de pensions du Canada;
• l’assurance-emploi;
• les bourses et prêts d’études canadiens et les prêts canadiens aux apprentis;
• le Programme canadien pour l’épargne-études;
• le Programme de protection des salariés;
• les services de passeport.

Pour l’exercice 2021 à 2022, les dépenses prévues d’EDSC au titre des programmes et des services ont totalisé 101,7 milliards de dollars. De cette somme, 100 milliards de dollars ont été affectés à des programmes législatifs de paiements, de subventions et de contributions profitant directement aux Canadiens.

Secrétariat ministériel et chef de la protection des renseignements personnels d’EDSC

La direction générale du Secrétariat ministériel est responsable de la publication et de la gestion de la politique de gestion de la protection des renseignements personnels à EDSC, de la prestation de conseils et de directives en la matière et, dans la région de la capitale nationale, du traitement des demandes reçues en vertu de la Loi sur la protection des renseignements personnels. Ces activités sont exécutées par la Division de l’AIPRP de la Direction générale et par la Division de la gestion de la protection des renseignements personnels (DGPRP), avec le soutien fonctionnel des 4 directions générales régionales d’EDSC.

Le secrétaire ministériel dirige la Direction générale et est le chef de la protection des renseignements personnels (CPRP) désigné d’EDSC. Le CPRP est l’autorité fonctionnelle du Ministère sur toutes les questions de protection des renseignements personnels et dirige la gestion de la protection des renseignements personnels au Ministère. Les responsabilités du CPRP comprennent la prestation de conseils stratégiques sur la politique de protection des renseignements personnels et le maintien du programme de gestion de la protection des renseignements personnels d’EDSC, y compris la tenue d’évaluations des risques en matière de protection des renseignements personnels, la surveillance de la conformité aux obligations législatives, aux politiques et aux normes pertinentes en matière de protection des renseignements personnels et la prestation d’une formation sur la protection des renseignements personnels.

Division des opérations de l’accès à l’information et de la protection des renseignements personnels

La Division des opérations de l’AIPRP applique la Loi sur l’accès à l’information et les éléments de la Loi sur la protection des renseignements personnels concernant les demandes reçues en vertu de cette loi pour EDSC. Le directeur de la Division est le coordonnateur désigné de l’AIPRP pour le Ministère. À EDSC, la responsabilité du traitement des demandes reçues en vertu de la Loi sur la protection des renseignements personnels est partagée entre la Division des opérations de l’AIPRP et les 4 directions générales régionales du Ministère : l’Atlantique, l’Ontario, le Québec et l’Ouest.

La Division des opérations de l’AIPRP est chargée de coordonner les activités d’AIPRP des directions générales et des régions d’EDSC. Ses responsabilités sont, entre autres, les suivantes :

• répondre aux demandes reçues en vertu de la Loi sur l’accès à l’information;
• répondre à certaines demandes particulières reçues en vertu de la Loi sur la protection des renseignements personnels;
• fournir une orientation fonctionnelle aux régions en ce qui concerne les volets des opérations et de la présentation de rapports de la fonction de protection des renseignements personnels;
• offrir aux employés des séances de formation générales et personnalisées sur l’application des 2 lois.

En outre, la Division examine les publications du gouvernement ouvert pour s’assurer que les pratiques de traitement des renseignements personnels sont conformes à la Loi.

La Division des opérations de l’AIPRP est composée d’une unité de réception, de plusieurs équipes de traitement des demandes liées à l’AIPRP et d’une petite unité des opérations et des politiques en matière de divulgation proactive. Au cours de l’exercice 2021 à 2022, la Division comptait environ 45 employés.

Opérations régionales de protection des renseignements personnels

Les Directions générales régionales jouent un rôle important dans l’exécution des responsabilités du Ministère en vertu de la Loi sur la protection des renseignements personnels. Au cours de l’exercice 2021 à 2022, environ 74 employés dans les régions étaient chargés de traiter les dossiers d’AIPRP. Dans les directions générales de chaque région, un réseau d’agents de liaison et de gestionnaires appuie le traitement des demandes reçues en vertu de la Loi sur la protection des renseignements personnels, et fournit une orientation et des conseils spécialisés directement aux secteurs de programme, tout en travaillant en collaboration horizontale avec l’orientation de la Division des opérations de l’AIPRP.

Division de la gestion de la protection des renseignements personnels

La DGPRP est le centre d’expertise d’EDSC en matière de politiques de protection des renseignements personnels et le centre de liaison du Ministère pour les conseils en matière de protection des renseignements personnels. La DGPRP dirige la mise en œuvre transversale des politiques et initiatives ministérielles en matière de protection des renseignements personnels, effectue des analyses des risques, y compris des EFVP, et fournit une orientation sur la conformité en matière de protection des renseignements personnels aux programmes et services d’EDSC, ce qui consiste notamment à contribuer à la préparation de contrats et d’ententes d’échange de renseignements. La Division répond aux demandes de documents provenant des tribunaux et des organismes d’application de la loi, gère les divulgations de renseignements dans l’intérêt public, joue un rôle clé dans la gestion et la prévention des atteintes à la vie privée, et appuie les activités de formation et de sensibilisation à la protection des renseignements personnels. De plus, la DGPRP fournit des conseils analytiques et stratégiques sur la politique de protection des renseignements personnels a CPRP et aux cadres supérieurs d’EDSC.

La Division est organisée en 4 groupes fonctionnels, soit une unité de gestion des risques et de politique de protection des renseignements personnels, une unité de services consultatifs et de conformité en matière de protection des renseignements personnels, une unité de divulgations législatives et de gestion des incidents, et une petite équipe de planification et de conseils stratégiques. Au cours de l’exercice 2021-2022, la DGPRP comptait 44 employés.

Entente de services avec l’Organisation canadienne d’élaboration de normes d’accessibilité

EDSC a conclu un protocole d’entente pour la prestation de services d’accès à l’information et de protection des renseignements personnels avec l’Organisation canadienne d’élaboration de normes d’accessibilité, un établissement ministériel indépendant qui relève du portefeuille du Ministère. L’Organisation canadienne d’élaboration de normes d’accessibilité a été mise sur pied en vertu de la Loi canadienne sur l’accessibilité et a pour mandat de contribuer à créer un Canada sans obstacle au plus tard le 1er janvier 2040.

Dans le cadre du protocole d’entente, EDSC assure la prestation de services de traitement des demandes reçues en vertu de la Loi sur la protection des renseignements personnels, offre des conseils et des statistiques pour les rapports annuels, exécute des fonctions de liaison, et offre de la formation. De plus, EDSC fournit des analyses et des conseils pour les EFVP, les ententes d’échanges de renseignements, les divulgations, la passation de marchés, la conformité aux lois et aux politiques, et la gestion des incidents de sécurité.

Cadre juridique pour la protection des renseignements personnels

EDSC exerce ses activités dans un des régimes de protection des renseignements personnels les plus complexes du gouvernement. Ses obligations légales sont établies dans la Loi sur la protection des renseignements personnels et dans les dispositions sur la protection des renseignements personnels de la Loi sur le ministère de l’Emploi et du Développement social (LMEDS). De plus, étant donné les nombreux efforts de collaboration auxquels EDSC participe pour exécuter des programmes et offrir des services d’envergure nationale, l’interopérabilité juridique avec les organisations du gouvernement du Canada, les provinces et les territoires et les administrations municipales est toujours une exigence importante.

La Loi sur la protection des renseignements personnels est la loi fédérale qui protège les renseignements personnels des Canadiens, des résidents permanents et des personnes présentes au Canada qui sont détenus par les institutions du secteur public fédéral. Découlant de la Charte des droits et libertés, cette loi est un élément fondamental de la préservation des intérêts des personnes au Canada en matière de protection des renseignements personnels. Elle présente un ensemble de règles pour la gestion des renseignements personnels par le gouvernement, en fournissant un cadre sur la façon dont les institutions fédérales peuvent recueillir, utiliser, conserver et divulguer les renseignements personnels.

La collecte et l’utilisation de renseignements personnels par les institutions fédérales sont fondées sur une autorité ou une autorisation légale. Les institutions fédérales peuvent seulement recueillir ou utiliser des renseignements personnels ayant un lien suffisamment direct avec les activités et programmes autorisés par la loi.

Les renseignements personnels détenus par une institution fédérale ne peuvent pas être divulgués sans le consentement de la personne concernée, sauf dans des circonstances particulières. Cela comprend les utilisations conformes au but de la collecte initiale, lorsqu’elle est autorisée par la loi fédérale, visant à assurer la conformité avec des instruments juridiques, comme les assignations à comparaître et les ordonnances judiciaires, dans les cas où il y a un avantage évident pour la personne et ceux où l’intérêt public l’emporte sur toute violation de la vie privée. Fait important, la Loi accorde aux personnes le droit de demander l’accès à leurs propres renseignements personnels détenus par une institution fédérale et celui de demander une correction à leurs renseignements s’ils sont inexacts.

La Loi sur la protection des renseignements personnels a également créé le CPVP du Canada, un agent indépendant du Parlement qui veille au respect de son application. Le commissaire à la protection de la vie privée a le pouvoir de recevoir des plaintes et de faire enquête, y compris dans les cas où la demande d’accès aux renseignements personnels d’une personne a été refusée par une institution fédérale.

L’application de la Loi par les institutions fédérales, y compris EDSC, est complétée par des politiques et des directives émises par le président du Conseil du Trésor ou un délégué autorisé.

En plus de la Loi sur la protection des renseignements personnels, EDSC assure la gestion des renseignements personnels conformément aux obligations législatives prévues dans sa loi habilitante. La LMEDS décrit les règles qui s’appliquent aux renseignements personnels détenus par EDSC, et son application se fait de concert avec la Loi sur la protection des renseignements personnels. La LMEDS, qui est plus rigoureuse que la Loi sur la protection des renseignements personnels, stipule les exigences relatives à ce qui suit :

• rendre accessibles les renseignements personnels, y compris les divulgations d’intérêt public;
• rendre accessibles les renseignements contenus dans le Registre d’assurance sociale;
• utiliser les renseignements personnels à des fins d’analyse des politiques internes, de recherche et d’évaluation;
• rendre accessibles les renseignements personnels à des fins de recherche ou d’analyse statistique.

Lorsque le Ministère fournit des services au public au nom d’autres institutions et administrations fédérales, ou lorsqu’il offre certains services pour le gouvernement du Canada, c’est le régime de protection des renseignements personnels du partenaire, habituellement la Loi sur la protection des renseignements personnels pour les partenaires fédéraux, qui s’applique plutôt que la LMEDS.

Arrêté sur la délégation en vertu de la Loi sur la protection des renseignements personnels

L’article 73 de la Loi sur la protection des renseignements personnels habilite le responsable d’une institution à déléguer aux employés de l’institution les pouvoirs, les attributions ou les fonctions que lui confère cette loi, généralement par un arrêté sur la délégation. Cet instrument indique les pouvoirs, les attributions et les fonctions d’application de la Loi qui ont été délégués par le responsable de l’institution et précise à qui ils ont été délégués.

L’annexe A présente une copie de l’arrêté sur la délégation en vertu de la Loi sur la protection des renseignements personnels qui a été approuvé par la ministre de l’Emploi, du Développement de la main-d’œuvre et de l’Inclusion des personnes en situation de handicap.

Politique ministérielle sur la gestion de la protection des renseignements personnels

La Politique ministérielle sur la gestion de la protection des renseignements personnels soutient un régime de protection des renseignements personnels solide pour la protection et l’utilisation judicieuse des renseignements personnels par EDSC. En complément des politiques, directives et normes du SCT, cette politique ministérielle codifie les exigences relatives à la gestion et à la protection des renseignements personnels, énonce des principes clairs et universels pour la politique de protection des renseignements personnels, et précise les rôles et responsabilités en matière de gestion des renseignements personnels, y compris les obligations redditionnelles et les responsabilités fonctionnelles distinctes en ce qui concerne la protection des renseignements personnels. Cette politique établit le Cadre de gestion de la protection des renseignements personnels d’EDSC, décrit ci-après, désigne la fonction de CPRP et établit les mécanismes de gouvernance de la protection des renseignements personnels du Ministère.

Parmi les résultats escomptés de l’application de la Politique ministérielle sur la gestion de la protection des renseignements personnels figurent la saine gestion et la protection des renseignements personnels par le Ministère, les pratiques rigoureuses de repérage, d’évaluation et de gestion des risques pesant sur les renseignements personnels, et l’établissement de responsabilités claires, accompagnées de mécanismes et de structures de gouvernance efficaces, pour protéger et gérer les renseignements personnels dont EDSC doit assurer l’intendance.

Cadre de gestion de la protection des renseignements personnels

Le Cadre de gestion de la protection des renseignements personnels d’EDSC promeut une approche proactive dans ce domaine, en favorisant l’intégration des pratiques de protection des renseignements personnels à la conception des programmes, des systèmes et des processus opérationnels. Le Cadre comprend 5 éléments :

• Gouvernance et responsabilisation : Les rôles et responsabilités en matière de protection des renseignements personnels sont clairement définis;
• Intendance des renseignements personnels : Des mesures appropriées de protection des renseignements personnels sont mises en œuvre pour bien gérer les renseignements personnels tout au long de leur cycle de vie;
• Assurance de la conformité : Des processus et des pratiques officiels sont en place afin d’assurer le respect des précisions, des politiques, des normes et des lois en matière de protection des renseignements personnels;
• Gestion efficace des risques : Des activités structurées et coordonnées d’identification et d’évaluation des risques sont menées pour réduire la probabilité que des incidents négatifs se produisent et limiter les répercussions de ces derniers, le cas échéant;
• Culture, formation et sensibilisation : Des activités de formation et de sensibilisation relatives à la protection des renseignements personnels soutiennent un organisme qui est conscient de cet enjeu et qui accorde de l’importance à la protection et à l’intendance des renseignements personnels.

Le Cadre est un élément fondamental, clair et concis, de l’établissement et du fonctionnement d’un programme complet de protection des renseignements personnels pour le Ministère.

Gouvernance de la protection des renseignements personnels à EDSC

EDSC est composé de comités qui viennent appuyer la gouvernance de la protection des renseignements personnels, la surveillance des risques et la prise de décisions. Pour la période visée par le rapport, le principal organe de gouvernance du Ministère en matière de protection des renseignements personnels était le Comité sur les données et la protection des renseignements personnels, qui était coprésidé par le CPRP et le dirigeant principal des données. Le comité a pour mandat de superviser l’intendance et la gestion des données ainsi que la protection des renseignements personnels dans l’ensemble du Ministère. Le Comité appuie l’intégration de la gestion des données, de la protection des renseignements personnels et de la cybersécurité; supervise les processus de gestion des risques d’EDSC en ce qui a trait aux renseignements personnels; et favorise la création d’une culture ministérielle qui reconnaît que la protection des renseignements personnels est une valeur organisationnelle fondamentale et essentielle au maintien de la confiance du public.

Le Comité relève du Comité de gestion ministérielle (CGM) des sous-ministres adjoints. Le CGM a la responsabilité de surveiller le programme de gestion du Ministère, y compris la mise en œuvre des mesures de sécurité d’EDSC. Présidé par le sous-ministre délégué, le CGM est composé des chefs des Directions générales et des régions, ainsi que des hauts dirigeants des principales activités fonctionnelles du Ministère.

Évaluations et examens de la protection des renseignements personnels

Conformément à la Directive sur l’EFVP du Conseil du Trésor, EDSC est tenu d’effectuer une EFVP avant d’établir tout nouveau programme ou programme modifié de façon importante ou toute activité demandant l’utilisation administrative de renseignements personnels. Les EFVP servent à cerner et à évaluer les risques pour la protection des renseignements personnels et à élaborer des plans pour réduire ou éliminer ces risques. Parmi les institutions fédérales, EDSC est un innovateur pour ce qui est des méthodes utilisées pour mener les évaluations de la protection des renseignements personnels. Par exemple, la DGPRP s’appuie sur une série d’approches qu’elle a élaborées, y compris des EFVP, des analyses de la protection des renseignements personnels (une sorte d’« EFVP simplifiée »), des analyses de la protection des renseignements personnels pour les solutions de technologie de l’information (APRPSTI) et des protocoles de protection des renseignements personnels, afin d’adapter l’évaluation la plus appropriée à chaque projet ou initiative d’EDSC. Au cours des 2 derniers exercices, ces instruments ont permis à EDSC de demeurer un ministère de premier plan pour la réalisation d’EFVP.

Pendant l’exercice 2021 à 2022, EDSC a produit 19 EFVP, un record ministériel, et a préparé des addendas importants pour 3 autres. Des copies des rapports ont été fournies au SCT et au CPVP. L’exécution d’EFVP comportant des délais serrés a permis d’effectuer des paiements urgents qui ont contribué à atténuer les pressions financières subies par de nombreux Canadiens en raison de la pandémie de COVID-19. Des renseignements sur ces évaluations se trouvent à l’annexe B du présent rapport et à le site Web d’EDSC concernant les EFVP.

EDSC a également effectué des examens de la protection des renseignements personnels visant les activités d’analyse des politiques, de recherche et d’évaluation du Ministère touchant des renseignements personnels. Il a réalisé 23 examens de ce genre au cours du dernier exercice comparativement à 13 en 2020-2021.

Au titre de ses responsabilités en matière de protection des renseignements personnels, EDSC vérifie que les dispositions prises pour rendre des renseignements personnels accessibles à d’autres institutions fédérales, d’autres administrations ou des fournisseurs de services sont conformes aux lois et aux politiques. De plus, la DGPRP vérifie qu’elle dispose des modalités nécessaires pour la protection et la gestion appropriée des renseignements personnels. Au cours du dernier exercice, 98 ententes d’échange de renseignements et 122 instruments d’approvisionnement ont été examinés en détail, ce qui représente des augmentations importantes de 58 % et 122 %, respectivement, par rapport à 2020-2021.

Cette croissance de la demande de services internes de protection des renseignements personnels a été largement observée. Par exemple, en 2021 à 2022, le nombre d’examens initiaux de programmes, de projets et d’applications logicielles a plus que doublé pour atteindre 199. Les demandes de renseignements généraux relatives à la protection des renseignements personnels provenant de clients internes ont augmenté du tiers, pour un total de 221, et 88 avis et consentements relatifs à la protection des renseignements personnels ont été préparés, comparés à 57 au cours de l’exercice précédent.

Modernisation de l’AIPRP

EDSC a poursuivi son initiative de modernisation de l’AIPRP en mettant en œuvre des solutions numériques, alors qu’il continuait sa transition vers un environnement de bureau en grande partie sans papier. Au cours du dernier exercice, l’initiative de modernisation s’est concentrée sur la normalisation des processus et des procédures à l’échelle du modèle décentralisé d’AIPRP du Ministère, afin de favoriser des gains d’efficacité supplémentaires dans le traitement des demandes reçues en vertu de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels. Il s’agit d’un exercice de renouvellement qui, une fois terminé, devrait améliorer l’efficacité opérationnelle. Ces travaux ont continué d’être considérés comme hautement prioritaires en raison de la pandémie de COVID-19, et le Ministère traite maintenant la plupart des demandes dans un environnement numérique.

Processus d’approbation en matière de protection des renseignements personnels

Au cours du dernier exercice, les auditeurs internes d’EDSC ont effectué une évaluation consultative de la mise en œuvre, en 2019, du processus modifié d’évaluation et d’approbation des EFVP. Les modifications visaient à accroître l’efficacité des EFVP par la délégation, au CPRP et au directeur de la DGPRP, des pouvoirs d’approbation pour les éléments courants, ordinaires et à faible risque, tandis que le sous-ministre a conservé le pouvoir d’approuver les évaluations pour les initiatives à risque élevé.

L’équipe d’audit a conclu que les nouveaux pouvoirs d’approbation étaient conformes à la Loi sur la protection des renseignements personnels et qu’aucune modification majeure n’avait été apportée au processus des EFVP. De plus, l’équipe a constaté que le temps requis pour obtenir l’approbation d’une EFVP avait diminué considérablement alors que la qualité du résultat final demeurait élevée. Dans le cadre des entrevues avec le personnel clé et de l’analyse des documents, on n’a identifié aucun risque résiduel découlant des modifications apportées au processus d’approbation. L’équipe d’audit a également constaté que, compte tenu de l’efficacité du nouveau processus d’approbation, il était possible de revoir le mandat du Comité sur les données et la protection des renseignements personnels concernant la gouvernance des EFVP.

Modernisation du versement des prestations

Le programme de modernisation du versement des prestations (MVP), un programme de transformation à grande échelle, a été conçu pour améliorer l’expérience client pour un grand nombre des plus importants programmes de prestations du Canada, grâce à une plateforme technologique moderne, à un traitement rationalisé, à de nouveaux services numériques et à des capacités améliorées de gestion des services. L’équipe de gestion de la protection des renseignements personnels d’EDSC travaille en étroite collaboration aux projets de transformation des services du Ministère, y compris le programme de MVP où une stratégie à plusieurs volets est appliquée.

EDSC met en œuvre une approche de « protection des renseignements personnels dès la conception », ayant affecté des ressources dédiées au programme. Des conseils sur la protection des renseignements personnels sont intégrés à la conception du programme de MVP dans son ensemble, tandis que des analyses détaillées de la protection des renseignements personnels et des évaluations des risques sont effectuées pour chaque composante de projet. L’utilisation des renseignements personnels aux fins d’analyses et de recherches sur les politiques liées au programme est examinée avant d’être autorisée. De plus, les spécialistes de la protection des renseignements personnels aident le programme à élaborer une stratégie de protection des renseignements personnels à long terme visant la gestion des renseignements personnels qui permettra aux clients de faire valoir plus activement leurs droits en matière de protection des renseignements personnels et renforcera la confiance globale du public dans la prestation des services d’EDSC.

Risques stratégiques

EDSC a mis à jour son profil de risque stratégique en matière de protection des renseignements personnels, afin de relever et de cibler les menaces les plus importantes pour la gestion et la protection des renseignements personnels qu’il détient. D’importants progrès ont été accomplis dans la mise en œuvre de pratiques efficaces pour la garde de renseignements personnels à titre de partie intégrante des opérations. La gestion du risque comprend la surveillance d’un contexte qui se transforme rapidement et qui englobe la cybersécurité, la gestion de l’information, les contrats et les ententes relatives aux renseignements.

Feuille de route de la gestion de la protection des renseignements personnels

En 2018, EDSC a présenté un plan stratégique pluriannuel, ou feuille de route, en réponse à l’évolution rapide de l’environnement de protection des renseignements personnels et à l’appui de ses propres initiatives de transformation et d’innovation. La mise en œuvre de la feuille de route a permis de renforcer les pratiques de gestion des risques, de réviser les mécanismes de gouvernance de la protection des renseignements personnels, d’optimiser les processus d’approbation, et de renforcer les activités de gestion des incidents et les processus de divulgation des instruments juridiques. En raison de la pandémie de COVID-19, il a fallu reporter certaines activités prévues aux années futures.

Compte tenu du succès de la première feuille de route triennale de la gestion de la protection des renseignements personnels, on a élaboré une nouvelle feuille de route. Ce plan mis à jour établit des mesures visant à renforcer davantage les processus de gestion de la protection des renseignements personnels, à améliorer la collaboration avec les partenaires de la DGPRP pour la sécurité et la gestion de l’information, à appuyer les priorités stratégiques d’EDSC, et à moderniser les pratiques de protection des renseignements personnels du Ministère, alors qu’il recherche des innovations technologiques et méthodologiques dans l’utilisation des renseignements personnels.

Nouveau pouvoir lié au NAS : paiement unique pour les aînés plus âgés

Conformément à la Directive sur le numéro d’assurance sociale, la ministre des Aînés a demandé et obtenu le pouvoir nécessaire pour un nouvel usage compatible du NAS recueilli aux fins de l’administration du paiement unique pour les aînés plus âgés et le programme de la SV. Les renseignements relatifs au NAS compris dans la base de données de la SV ont permis à EDSC d’identifier les personnes admissibles au paiement unique. Comme le programme n’avait pas de processus de demande, l’utilisation du NAS était le seul moyen disponible pour valider l’admissibilité d’un bénéficiaire et le montant qui lui était payable.

Demandes et consultations : volume total

Au cours de l’exercice 2021 à 2022, le nombre de demandes reçues par EDSC en vertu de la Loi sur la protection des renseignements personnels a connu une augmentation importante de 26 %, passant de 13 998 en 2020-2021 à 17 695. À l’inverse, le nombre de demandes de consultation liées à la Loi sur la protection des renseignements personnels a continué de diminuer, chutant de 73 % par rapport au total de 11 de l’exercice précédent.

Description textuelle

Année	Volume total de demandes par exercise
2018 à 2019	12 678
2019 à 2020	15 405
2020 à 2021	13 998
2021 à 2022	17 695

Description textuelle

Année	Nombres de demandes
2018 à 2019	38
2019 à 2020	23
2020 à 2021	11
2021 à 2022	3

Le tableau ci-dessous (Tableau 1) présente un résumé des paramètres d’EDSC relatifs aux demandes reçues en vertu de la Loi sur la protection des renseignements personnels, en les comparant sur les 4 derniers exercices.

Total des demandes reçues et traitées

Pendant la période visée par le rapport, le nombre de demandes fermées est passé de 12 883 en 2020-2021 à 17 577 en 2021 à 2022. La reprise à la suite des effets de la pandémie, qui avait provoqué le retard d’un grand nombre de réponses l’exercice précédent, a également commencé pendant la période visée par le rapport. Par conséquent, le Ministère a réussi à fermer un nombre record de demandes au cours de l’exercice, et 17 % de plus que le précédent record, établi en 2019-2020.

Description textuelle

Année	Total – Demandes reçues	Total – Demandes traitées
2018 à 2019	12 678	12 260
2019 à 2020	15 405	15 004
2020 à 2021	13 998	12 883
2021 à 2022	17 695	17 577

Demandes, en fonction du nombre de jours civils nécessaires pour le traitement

Pour la première fois depuis le début de la pandémie, EDSC a traité plus de demandes en vertu de la Loi sur la protection des renseignements personnels qu’il n’en a reçu au cours de la période visée par le rapport. Toutefois, le taux de conformité pour ce qui est de fermer les demandes dans les 30 jours (ou 60 jours après une prorogation) a été plus lent à rebondir, passant de 46 % en 2020 à 2021 à 58 % en 2021 à 2022. Il demeure inférieur aux taux de conformité élevés d’avant la pandémie, qui, en moyenne, étaient de plus de 99 %. À mesure que le Ministère continuera de moderniser la fonction de traitement des demandes reçues en vertu de la Loi sur la protection des renseignements personnels, la normalisation sera une priorité majeure, afin que les Canadiens obtiennent un service fiable et adapté pour chacune de leurs demandes.

Description textuelle

Année	30 jours civils	31 à 60 jours civils	61 jours civils ou plus
2018 à 2019	11 832 (97 %)	370 (2 %)	58 (1 %)
2019 à 2020	14 613 (97 %)	358 (2 %)	33 (1 %)
2020 à 2021	5 029 (39 %)	2 459 (19 %)	5 395 (42 %)
2021 à 2022	8 130 (46 %)	5 009 (29 %)	4 438 (25 %)

Description textuelle

Année	À l'intérieur	Au-delà
2018 à 2019	12 137 (99 %)	123 (1 %)
2019 à 2020	14 949 (99 %)	55 (1 %)
2020 à 2021	5 906 (46 %)	6 977 (54 %)
2021 à 2022	10 190 (58 %)	7 387 (42 %)

Raisons des prorogations

Les institutions peuvent demander une prorogation du délai initial de 30 jours prévu par la loi dans les cas où il est impossible de respecter la date prévue par la loi. Au cours de la période de rapport 2021 à 2022, on a compté 1 048 demandes à grand volume, 1 demande nécessitant une traduction ou le transfert d’un document sur un support de substitution, 1 demande comportant des documents confidentiels du Cabinet, et 19 consultations internes qui devaient être effectuées et ne pouvaient pas raisonnablement être réalisées dans le délai initial de 30 jours. Ces demandes ont amené EDSC à demander 1 069 prorogations. Ce total représente une augmentation de 8 % par rapport à l’exercice 2020 à 2021, au cours duquel EDSC a demandé 990 prorogations.

Surveillance des délais

Les bureaux régionaux d’EDSC gèrent la majorité des demandes reçues en vertu de la Loi sur la protection des renseignements personnels (les demandes de renseignements personnels et les demandes de correction de renseignements personnels) pour le Ministère, et préparent des rapports périodiques sur les nouvelles demandes et la charge de travail ainsi que des mises à jour sur l’état du rendement en ce qui concerne le traitement dans les délais prévus des demandes reçues en vertu de la Loi sur la protection des renseignements personnels. Les bureaux régionaux produisent des rapports sur le rendement sur une base mensuelle, trimestrielle et annuelle.

Nombre de demandes actives en suspens depuis un exercice précédent

À l’occasion, le délai de traitement de demandes reçues en vertu de la Loi sur la protection des renseignements personnels est plus long que celui prévu par la loi.

Pages traitées et divulguées

Au cours de la période visée par le rapport, 1 477 202 pages ont été traitées pour les exceptions et les exclusions, ce qui représente une hausse de 27 % par rapport à l’exercice précédent, où 1 164 618 pages avaient été traitées. Au total, 1 384 322 pages ont été divulguées, ce qui représente également une hausse par rapport à l’exercice précédent, où 1 084 077 pages avaient été divulguées. Le nombre de pages traitées et divulguées au cours de la période visée par le rapport était beaucoup plus élevé qu’au cours de toute période de rapport précédente.

Description textuelle

Année	Pages traitées	Pages divulguées
2018 à 2019	979 247	934 672
2019 à 2020	1 259 755	1 208 351
2020 à 2021	1 164 618	1 084 070
2021 à 2022	1 477 202	1 384 322

Exceptions et exclusions

Comme EDSC détient un des plus importants fonds de renseignements personnels au gouvernement du Canada, l’application d’exceptions et d’exclusions en vertu de la Loi sur la protection des renseignements personnels y est généralement plus fréquente qu’à la plupart des autres institutions fédérales. En 2021 à 2022, le nombre total de demandes qui ont donné lieu à une divulgation complète s’est élevé à 1 880 (11 %). Le nombre de documents qui ont été divulgués en partie s’est élevé à 12 058 (69 %). On a compté 3 235 demandes pour lesquelles aucun document n’existait et 400 demandes abandonnées.

Exceptions

Bien que la Loi sur la protection des renseignements personnels accorde aux personnes un droit d’accès exécutoire à leurs renseignements personnels, il existe des cas où certaines exceptions précises et limitées peuvent être appliquées. L’exception au titre de la Loi sur la protection des renseignements personnels qui a été appliquée le plus fréquemment est celle prévue par l’article 26, qui protège les renseignements personnels au sujet d’une autre personne, selon la définition établie à l’article 3 de la Loi. Cette exception a été invoquée dans 11 986 cas de demandes traitées au cours de l’exercice à . Cela représente une augmentation de 3 358 comparativement à l’exercice précédent.

Exclusions

La Loi sur la protection des renseignements personnels permet d’exclure certains types de renseignements, tels que les documents qui sont déjà accessibles au public (article 69) et les documents confidentiels du Conseil privé du Roi pour le Canada (article 70). Au cours de l’exercice 2021 à 2022, 4 exclusions en vertu de l’article 69.1 ont été appliquées à des renseignements personnels que la Société Radio-Canada recueille, utilise ou divulgue à des fins journalistiques, artistiques ou littéraires et non à d’autres fins.

Demandes de consultation reçues d’autres institutions du gouvernement du Canada et d’autres organismes

Au cours de l’exercice 2021 à 2022, EDSC a reçu 3 demandes de consultation externe, ce qui a nécessité l’examen de 127 pages supplémentaires. Ces demandes provenaient d’institutions du gouvernement du Canada et d’autres organismes.

Le Ministère a fermé 5 demandes de consultation, dont 1 a été traitée dans le délai de 30 jours. Du nombre total de demandes de consultation, 4 ont donné lieu à une recommandation de divulgation complète des documents à l’institution ou à l’organisme.

Demandes de correction des renseignements personnels en vertu de la Loi sur la protection des renseignements personnels

En vertu de la Loi sur la protection des renseignements personnels, toute personne a le droit de demander la correction de renseignements personnels erronés la concernant, qui sont conservés par une institution fédérale, à condition que la personne puisse adéquatement justifier sa demande. Au cours de l’exercice 2021 à 2022, EDSC a accepté 2 demandes de correction et a joint 11 notes à des dossiers.

Répercussions opérationnelles de la pandémie de COVID-19

L’importante contribution globale du Ministère aux mesures nationales prises par le gouvernement du Canada pour venir en aide aux Canadiens dès le début de la pandémie de COVID-19, conjuguée aux défis liés à la transition vers le télétravail et au taux de conformité inférieur en matière d’AIPRP au cours de la période de rapport 2020-2021, a entraîné un arriéré important de demandes d’AIPRP. Cet arriéré a été reporté à l’exercice 2021 à 2022.

Pour relever ces défis, au cours de la période de rapport 2021 à 2022, le Ministère a continué d’améliorer son efficacité, en utilisant des processus électroniques et des signatures numériques. De plus, EDSC a affecté des ressources supplémentaires aux opérations de l’AIPRP, ce qui a permis de réduire l’arriéré de demandes.

Formation en ligne sur la protection des renseignements personnels

EDSC dispose d’un programme de formation complet pour accroître la connaissance des pratiques appropriées de gestion des renseignements personnels et la sensibilisation à ces dernières. Tous les employés doivent maintenir une certification valide de gérance de l’information et comportements en milieu de travail (GICMT), un cours qui porte sur la protection et le traitement des renseignements personnels, la sécurité, l’accès à l’information, la gestion de l’information, et les valeurs et l’éthique. Le cours fait partie du programme de formation essentielle du Ministère et est offert en ligne. À la fin de l’exercice 2021 à 2022, 33 453 employés détenaient la certification de GICMT, laquelle est valide pendant 2 ans.

En plus de la certification de GICMT, EDSC a offert, dans son catalogue de formation, d’autres cours en ligne qui concernaient la protection des renseignements personnels. Le cours Protection des renseignements personnels et accès à l’information : c’est l’affaire de tous permet aux employés d’acquérir les connaissances nécessaires pour bien protéger, utiliser et divulguer les renseignements personnels quotidiennement, et leur apprend à prévenir les atteintes à la vie privée, en demandant conseil ou en faisant preuve de bon jugement en temps opportun. Au cours du dernier exercice, 25 370 employés ont suivi le cours.

Les nouveaux employés doivent suivre le cours Bien faire les choses et faire la bonne chose : mettre en action le Code de conduite ministériel, qui comporte une composante importante sur la protection des renseignements personnels. Le cours aide les participants à comprendre comment adopter des comportements éthiques en milieu de travail et utiliser ces connaissances pour les guider dans leur travail et prise de décisions quotidiens, y compris leurs interactions avec les clients et les collègues. Au cours de l’exercice 2021 à 2022, le nombre d’employés qui ont suivi ce cours s’est élevé à 24 861.

Formation et sensibilisation en personne

Tout au long de la période visée par le rapport, le Ministère a continué de fournir aux employés des informations et des directives pratiques, faciles à comprendre et facilement accessibles sur la protection des renseignements personnels, afin de renforcer la mise en application de pratiques appropriées de traitement et de protection des renseignements personnels, et de transmettre des connaissances générales sur les fondements philosophiques et législatifs de la protection des renseignements personnels. Ces activités comprenaient l’organisation de divers événements informatifs portant sur le thème de la protection des renseignements personnels et d’une série de conférences en connaissances spécialisées dans le cadre de la Semaine de sensibilisation à la protection de la vie privée, qui a eu lieu en janvier 2022. Plus de 1 000 personnes ont participé aux diverses activités tenues dans le cadre de cet événement.

En 2021 à 2022, dans l’ensemble, 1 127 employés d’EDSC ont participé à des activités virtuelles de formation et de sensibilisation en matière de protection des renseignements personnels. Cela représente une hausse de 8 fois par rapport à l’exercice précédent (146 personnes en 2020 à 2021). Le Ministère faisait alors la transition vers les opérations en ligne en réponse à la pandémie.

Loi sur la protection des renseignements personnels : Délégation de pouvoirs

En vertu de l'article 73 de la Loi sur la protection des renseignements personnels (la Loi), la ministère de l'Emploi et du Développement social délègue aux titulaires des postes mentionnés à l’annexe ci-après, ainsi qu’aux personnes occupant à titre intérimaire lesdits postes, les attributions dont elle, est, en qualité de responsable d’une institution fédérale, investie par les dispositions de la Loi et du Règlement sur la protection des renseignements personnels (le Règlement) mentionnées à l’annexe en regard de chaque poste.

Signée en date du 12 mars 2020 par l'honorable Carla Qualtrough, Ministre de l'Emploi et du Développement social.

Solution d’analyse et de surveillance du Programme canadien pour l’épargne-études (PCEE)

Le PCEE utilise 2 bases de données interactives : la base de données des rapports (BDR) et la base de données des processus transactionnels en ligne de la Subvention canadienne pour l’épargne-études. La BDR actuelle ne répond pas adéquatement aux besoins en matière d’analyse de données et de mesure du rendement. Par conséquent, le PCEE entend remplacer la BDR par une solution d’analyse et de surveillance.

On a effectué une APRPSTI afin de cerner et d’évaluer les risques pour la protection des renseignements personnels associés à la collecte et au traitement des renseignements personnels découlant de la mise en place d’une nouvelle base de données et du réaménagement des renseignements personnels. On a cerné 1 risque moyen et 2 risques faibles. Les stratégies d’atténuation de ces risques devraient être terminées d’ici juin 2022.

Prestation canadienne d’urgence pour les étudiants (PCUE)

En mai 2020, le gouvernement du Canada a établi la PCUE pour offrir un soutien financier aux étudiants dont le revenu avait été affecté par la pandémie de COVID-19.

On a effectué une EFVP pour cerner les risques d’atteinte à la vie privée pouvant découler de la collecte et de l’utilisation des renseignements personnels des demandeurs de la PCUE. On a relevé 4 risques faibles et 5 problèmes de conformité. Des mesures d’atténuation de ces risques et problèmes sont mises en œuvre et devraient être achevées d’ici le printemps 2022.

Projet pilote sur la participation citoyenne de Service jeunesse Canada

Le projet pilote sur la participation citoyenne est une initiative de Leadership des jeunes de Service jeunesse Canada qui est administré par la Direction générale de l’apprentissage du ministère. Ce projet offrira une expérience virtuelle d’apprentissage et de leadership à 200 jeunes adultes de partout au pays, dont la sélection sera effectuée au moyen du portail Web infonuagique de candidatures d’un tiers. Le portail de candidatures permettra de recueillir et de stocker les renseignements personnels des candidats et de les utiliser pour l’administration des activités.

On a effectué une analyse de la protection des renseignements personnels pour cerner les risques pour la protection des renseignements personnels associés à la collecte et à l’utilisation des renseignements personnels des jeunes candidats. On a cerné 2 risques moyens, 1 risque faible et 2 problèmes de conformité. Les mesures d’atténuation de ces risques devaient être achevées en 2021 à 2022.

Utilisation de la solution de validation simplifiée de l’identité numérique (VSIN) dans le cadre du Programme canadien d’aide financière aux étudiants (PCAFE)

L’utilisation de la solution de VSIN dans le cadre du PCAFE permettra l’authentification multifactorielle en temps réel qui améliorera le Service de cyberauthentification d’entreprise (SCAE) du ministère. Le SCAE fournit des services d’inscription et d’authentification pour le compte du Centre de service national de prêts aux étudiants. La VSIN représentera une autre solution pour les utilisateurs qui ont oublié les réponses à leurs questions de sécurité et dont le compte se retrouve verrouillé.

On a effectué une analyse de la protection des renseignements personnels pour cerner les risques pour la protection des renseignements personnels associés au traitement des renseignements personnels des utilisateurs du PCAFE. On a cerné 3 risques moyens et 1 problème de conformité. Les stratégies d’atténuation de ces risques sont mises en œuvre et devraient être achevées d’ici juillet 2022.

COVID-19 Paiement unique non imposable aux personnes en situation de handicap

En juin 2020, le gouvernement du Canada a fourni un soutien financier pour un paiement unique non imposable pouvant atteindre 600 $ aux personnes en situation de handicap. Les personnes ayant un certificat valide de crédit d’impôt pour personnes handicapées, les bénéficiaires de prestations d’invalidité du Régime de pensions du Canada ou de prestations d’invalidité du Régime de rentes du Québec, et les personnes recevant l’une ou l’autre des 7 prestations d’invalidité d’Anciens combattants Canada ont reçu ce paiement.

On a effectué une EFVP pour cerner les risques d’atteinte à la vie privée découlant de la collecte, de l’utilisation et du traitement des renseignements personnels des clients qui avaient reçu ce paiement. On a cerné 1 risque moyen, 1 risque faible et 2 problèmes de conformité, et les stratégies d’atténuation de ces risques et problèmes sont actuellement mises en œuvre.

COVID-19 Paiement unique non imposable pour les aînés

En juillet 2020, le gouvernement du Canada a fourni un soutien financier pour un paiement unique non imposable aux Canadiens de 65 ans et plus admissibles à la SV. Ces paiements ont été versés pour aider les aînés à assumer les coûts supplémentaires découlant de la pandémie de COVID-19.

Aux fins du paiement unique non imposable pour les aînés lié à la pandémie de COVID-19, on a utilisé des renseignements personnels dans le cadre d’un processus décisionnel afin de déterminer qui était admissible à la Subvention aux aînés liée à la pandémie de COVID-19 et quel était le montant auquel les bénéficiaires admissibles avaient droit. On a effectué une EFVP pour cerner tous risques pour la protection des renseignements personnels découlant de la collecte, de l’utilisation et du traitement des renseignements personnels des clients qui avaient reçu ces paiements. L’EFVP a permis de cerner 2 risques moyens et 2 problèmes de conformité. Les stratégies d’atténuation de ces risques et problèmes de conformité devraient être terminées d’ici juin 2022.

COVID-19 Subvention unique non imposable pour les bénéficiaires du SRG qui ont reçu des prestations liées à la pandémie en 2020 : Versement de paiements aux clients ayant des besoins pressants

Le SRG est offert aux pensionnés à faible revenu de la SV qui vivent au Canada. Le budget de 2021 du gouvernement du Canada prévoyait un soutien financier pour une subvention unique non imposable de 200 $ à verser aux bénéficiaires du SRG ayant des besoins pressants, ou ayant subi la perte ou une réduction de leurs prestations du SRG en raison de la pandémie de COVID-19.

On a effectué une EFVP afin de cerner les risques pour la protection des renseignements personnels découlant de la collecte, de l’utilisation, de la divulgation et du traitement des renseignements personnels des clients ayant reçu ce paiement. L’EFVP a permis de cerner 4 risques moyens et 1 problème de conformité. Les stratégies d’atténuation de ces risques et de ce problème devraient être terminées d’ici le 31 mars 2023.

Portail électronique des curateurs publics pour les demandes de numéro d’assurance sociale (NAS électronique)

L’initiative du Portail électronique des curateurs publics permettra aux curateurs publics partout au Canada de présenter une demande ou de demander une confirmation de NAS, et de demander des renseignements personnels dans le Registre d’assurance sociale, concernant les personnes pour lesquelles ils détiennent une autorisation légale. Des renseignements personnels seront recueillis et utilisés à des fins administratives, comme l’identification et la confirmation de l’identité des clients (les curateurs publics), afin de traiter les demandes de NAS.

On a effectué une APRPSTI afin de cerner les risques pour la protection des renseignements personnels découlant de la collecte et de l’utilisation de renseignements personnels par l’entremise du Portail des curateurs publics, une plateforme de services infonuagiques de tiers. On a cerné 2 risques moyens, 1 risque faible et 2 problèmes de conformité, et les stratégies d’atténuation de ces risques sont actuellement mises en œuvre et devraient être achevées au cours de l’exercice 2021 à 2022.

Projet sur l’efficience de la charge de travail et l’amélioration des processus de l’assurance-emploi

Le Projet sur l’efficience de la charge de travail et l’amélioration des processus de l’assurance-emploi vise à relever les défis liés à la charge de travail en réalisant des gains d’efficience et en améliorant les processus, pour s’assurer que Service Canada répond aux attentes des clients en ce qui concerne le maintien des normes de service de l’assurance‑emploi. De plus, ce travail implique d’améliorer l’expérience du service à la clientèle.

On a effectué une APRPSTI afin de cerner les risques découlant de la tâche du projet consistant à relever les défis actuels liés au système de gestion de la charge de travail de l’assurance-emploi. On a cerné 2 risques moyens et 3 risques faibles, et les stratégies d’atténuation de ces risques sont actuellement mises en œuvre et devraient être achevées d’ici mars 2024.

Programme de renouvellement des services habilitants – maSGE (PeopleSoft)

EDSC a mis à niveau son système de gestion des ressources humaines (PeopleSoft), en passant de la version 9.1 à la version 9.2, afin de tirer parti des plus récentes fonctions comme l’analyse avancée des données, la capacité mobile et des normes d’accessibilité plus rigoureuses.

On a élaboré un addenda à l’EFVP originale afin de cerner les risques pour la protection des renseignements personnels découlant de la collecte de nouveaux renseignements personnels et de l’utilisation accrue des renseignements personnels. On a cerné 2 problèmes de conformité, et les mesures correctives prises pour les régler sont documentées dans l’EFVP.

Passeport eServiceCanada

Service Canada a créé un nouveau portail de demande de renouvellement de passeport en ligne et un système de gestion des cas connexe, qui, ensemble, s’appellent « Passeport eServiceCanada ». Il s’agit d’une nouvelle façon de recueillir les renseignements pour les demandes qui, auparavant, n’étaient recueillis qu’au moyen d’un formulaire papier. Cela permet à Service Canada de continuer à recevoir les demandes de renouvellement de passeport par voie électronique, et a été particulièrement utile à cette fin pendant que les Centres Service Canada étaient fermés.

On a effectué une APRPSTI afin de cerner les risques pour la protection des renseignements personnels découlant de l’utilisation de Passeport eServiceCanada. On a cerné 2 risques moyens et 2 problèmes de conformité, et les stratégies d’atténuation de ces risques et problèmes sont actuellement mises en œuvre.

Échange de renseignements personnels sur les délinquants entre EDSC et Service correctionnel Canada dans le cadre de l’administration de la Prestation d’assurance-emploi d’urgence (PAEU)

Dans la foulée de la Loi sur les mesures d’urgence visant la COVID-19 adoptée par le gouvernement du Canada, on a conçu des mesures pour fournir un soutien du revenu immédiat aux Canadiens et aider à protéger l’économie des répercussions de la pandémie de COVID-19. EDSC est responsable de la gestion et du traitement des paiements dans le cadre du programme de la PAEU. Il doit donc recueillir des renseignements personnels sur les délinquants auprès de Service correctionnel Canada dans les cas soupçonnés d’inadmissibilité ou de trop payé.

Compte tenu du fait qu’il s’agissait d’une initiative urgente liée à la pandémie de COVID-19 et de la nature délicate des renseignements personnels recueillis auprès de Service correctionnel Canada, on a effectué une évaluation de la conformité en matière de protection des renseignements personnels (ECPRP) pour la PAEU. L’ECPRP a porté sur les risques pour la protection des renseignements personnels découlant de la gestion et de la protection des renseignements personnels dans le cadre des activités de collecte, d’utilisation et d’appariement des données visant à déterminer l’admissibilité à la PAEU. Elle a permis de cerner 2 risques moyens et 1 risque faible. Les stratégies d’atténuation de ces risques devaient être achevées en 2021 à 2022.

Solution hébergée des centres de contact (SHCC) : Vague 2

La SHCC est une solution modernisée, gérée centralement et entièrement hébergée pour les centres de contact d’EDSC. La SHCC améliore l’expérience client, en tirant parti de fonctionnalités conformes aux normes de l’industrie, comme l’acheminement infonuagique, le libre-service amélioré, l’intégration de la téléphonie informatique, l’enregistrement des appels et des écrans, la file d’attente virtuelle et la gestion de l’effectif, afin de garantir la prestation de services rapides et efficaces.

On a effectué une APRPSTI afin de cerner et d’évaluer les risques pour la protection des renseignements personnels découlant du changement majeur apporté aux pratiques existantes des centres de contact en matière de protection des renseignements personnels. L’APRPSTI a permis de cerner 1 risque moyen. La mise en œuvre de la stratégie d’atténuation de ce risque était prévue pour le printemps 2022.

Mise en œuvre d’Adobe Target sur le site Canada.ca

Service Canada a appliqué Adobe Target, un logiciel tiers d’analytique Web, aux pages Web du site Canada.ca, afin d’améliorer l’expérience des visiteurs et de maximiser l’efficacité des pages Web pour répondre aux besoins des visiteurs.

On a effectué une APRPSTI afin de cerner et d’évaluer les risques pour la protection des renseignements personnels découlant de la gestion et de la protection des renseignements personnels au moyen du logiciel Adobe Target. L’APRPSTI a permis de cerner 3 risques faibles, 1 risque négligeable et 4 problèmes de conformité. Les stratégies d’atténuation de ces risques et problèmes sont actuellement mises en œuvre.

Rapports annuels de l’employeur concernant les situations comportant des risques (RAESCR) dans le Système intégré du Programme du travail (SIPT)

Le Programme du travail d’EDSC supervise la facilitation de la conformité aux lois du travail et aux normes du travail canadiennes. Chaque année, tous les employeurs sous réglementation fédérale soumettent un RAESCR au ministre du Travail. Le RAESCR consigne le nombre total de décès, d’accidents, de maladies professionnelles et d’autres situations comportant des risques survenus dans un milieu de travail au cours d’une année donnée. Le Programme du travail a mis en place le SIPT pour administrer les RAESCR dans le cadre de la modernisation de son environnement opérationnel.

On a effectué une APRPSTI parmi de multiples analyses de la protection des renseignements personnels réalisées par le Programme du travail pour le SIPT. On a fait l’APRPSTI pour cerner et évaluer les risques et les répercussions en matière de protection des renseignements personnels découlant de la collecte et de l’utilisation de renseignements personnels des employés dans la soumission de RAESCR au moyen du SIPT. On a cerné 1 risque moyen, 2 risques faibles et 2 problèmes de conformité. On a recommandé au programme des stratégies d’atténuation de ces risques et problèmes.

Entente relative au projet d’identité numérique MyAlberta (MADI)

L’entente relative au projet d’identité numérique de confiance MyAlberta permettra aux résidents de l’Alberta de simplifier leur accès à Mon dossier Service Canada en utilisant la MADI, leur justificatif d’identité approuvé par la province, comme identité numérique fiable. Cette entente remplace le projet pilote de MADI.

On a élaboré un addenda à l’EFVP originale (avril 2019) sur le projet pilote afin de cerner les risques pour la protection des renseignements personnels découlant de la collecte et de l’utilisation indirectes de renseignements personnels par EDSC auprès de Service Alberta. On a cerné 1 risque moyen, 1 risque faible et 2 problèmes de conformité. Les stratégies d’atténuation de ces risques devaient être achevées au plus tard en août 2021.

Réception des données sur les entrées et les sorties de l’Agence des services frontaliers du Canada par le Programme de la SV

EDSC reçoit de l’Agence des services frontaliers du Canada des renseignements sur les entrées et les sorties des voyageurs afin d’enquêter sur les cas potentiels de fraude et d’abus touchant le programme de la SV. Ces renseignements sont jumelés avec les données des clients de la SV afin d’identifier les prestataires recevant des prestations non transférables de la SV qui auraient dû déclarer leur absence du Canada.

On a élaboré un addenda à l’EFVP afin de cerner les risques pour la protection des renseignements personnels découlant de la collecte et de l’utilisation de données sur les entrées et les sorties provenant de l’Agence des services frontaliers du Canada, aux fins des activités de jumelage des données, à l’aide du Registre d’assurance sociale. On a cerné 1 risque faible, mais on n’a pas prévu de mesures d’atténuation, puisque ces activités devaient se terminer avant la fin de l’exercice 2021 à 2022.

Commentaires sur le relevé d’emploi (CRE) – Modèle d’intelligence artificielle

Un relevé d’emploi (RE) fournit des renseignements sur les antécédents professionnels. Les renseignements figurant dans le RE servent à déterminer si une personne est admissible à recevoir des prestations d’assurance-emploi, quel sera le montant des prestations et pendant combien de temps elles seront versées. Certains RE en ligne comportent des commentaires en texte libre. L’outil des CRE automatise l’examen du champ des commentaires textuels du RE au moyen de l’apprentissage automatique et confirme ou met à jour le motif de cessation d’emploi dans le RE. De plus, les renseignements contenus dans le champ des commentaires du RE aident à déterminer l’admissibilité aux prestations d’assurance-emploi.

On a effectué une APRPSTI afin de cerner et d’évaluer les risques pour la protection des renseignements personnels découlant de l’automatisation de l’outil des CRE pour l’examen des commentaires dans les RE. L’APRPSTI a permis de cerner 1 risque moyen et 1 problème de conformité. Les stratégies d’atténuation de ce risque et de ce problème de conformité devaient être achevées au cours de l’exercice 2021 à 2022.

Projet de simplification de la réception des enquêtes de sécurité (PSRES)

Le PSRES consiste en un partenariat entre la Direction générale des services d’intégrité d’EDSC et Transports Canada qui vise à aider EDSC à traiter les cotes de sécurité des employés. Avant ce projet, la solution pour les enquêtes de sécurité à EDSC était manuelle. Le PSRES vise à améliorer l’expérience utilisateur en ce qui concerne la réalisation des enquêtes de sécurité par la numérisation et la simplification du processus au moyen d’un portail permettant des soumissions sécurisées par les employés.

On a effectué une APRPSTI afin de cerner et d’évaluer les risques pour la protection des renseignements personnels découlant de la collecte, de l’utilisation et du traitement des renseignements personnels reçus des demandeurs dans le cadre du processus de traitement des demandes d’attestation de sécurité pour le travail. L’APRPSTI a permis de cerner 4 risques pour la protection des renseignements personnels : 1 risque moyen et 3 risques faibles. De plus, on a cerné 3 problèmes de conformité. Les stratégies d’atténuation de ces risques et problèmes devaient être terminées au plus tard en mars 2022.

Service de vérification de la conformité de Service Canada pour l’Agence de la santé publique du Canada (ASPC)

Pendant la pandémie de COVID-19, on a modifié le Service de vérification de la conformité de Service Canada pour l’ASPC afin d’aider l’ASPC à communiquer avec un plus grand nombre de voyageurs. EDSC et Service Canada continuent de fournir des services dans le cadre de la campagne sur le respect de la quarantaine en cas de COVID-19 de l’ASPC, en apportant des modifications à leurs services visant à déterminer si les voyageurs respectent les lignes directrices sur les voyages.

On a effectué une ECPRP afin de cerner et d’évaluer les risques pour la protection des renseignements personnels découlant de la collecte et du traitement des renseignements personnels des voyageurs. L’ECPRP a permis de cerner 1 risque moyen, 2 risques faibles et 2 problèmes de conformité. Les stratégies d’atténuation de ces risques et problèmes devaient être achevées au cours de l’exercice 2021 à 2022.

Solution de validation simplifiée de l’identité numérique

La solution de VSIN fournira une authentification en temps réel qui améliorera le SCAE d’EDSC. Le SCAE fournit des services d’inscription et d’authentification pour Mon dossier Service Canada, et la solution de VSIN offrira aux utilisateurs la possibilité de s’y inscrire ou de s’y connecter en temps réel, en fournissant un second facteur d’authentification numérique.

On a effectué une ECPRP afin de cerner les risques pour la protection des renseignements personnels découlant de la collecte et du traitement des renseignements personnels. On a cerné 3 risques moyens et 3 problèmes de conformité. Les stratégies d’atténuation de ces risques et problèmes devaient être terminées au plus tard le 31 mars 2022.

Paiement supplémentaire pour les aînés plus âgés

Dans le cadre du budget de 2021 du gouvernement du Canada, un paiement unique a été effectué à tous les Canadiens de 65 ans et plus qui satisfaisaient aux exigences relatives au lieu de résidence de la pension de la SV. Le paiement unique visait à répondre aux besoins immédiats des aînés plus âgés jusqu’à ce qu’une augmentation de 10 % de la pension de la SV pour les aînés de 75 ans et plus soit mise en œuvre de façon permanente.

On a effectué une EFVP afin de cerner les risques pour la protection des renseignements personnels découlant de la collecte, de l’utilisation et du traitement des renseignements personnels des clients recevant le paiement. On a cerné 2 risques moyens et 1 problème de conformité. Les stratégies d’atténuation de ces risques et problème de conformité devraient être terminées d’ici juin 2022.