Rapport annuel sur l’application de la Loi sur la protection des renseignements personnels 2023 à 2024

Présentation du présent rapport

L’article 72 de la Loi sur la protection des renseignements personnels oblige le responsable d’une institution fédérale à soumettre au Parlement un rapport annuel sur l’application de cette Loi à la fin de chaque exercice. Le présent document est le rapport annuel sur l’application de la Loi sur la protection des renseignements personnels au cours de l’exercice 2023 à 2024 déposé au Parlement par EDSC.

EDSC ne fait pas rapport au nom de filiales en propriété exclusive ni d’institutions non opérationnelles.

À propos d’EDSC

Le ministère de l’Emploi et du Développement social, qu’on appelle communément EDSC, est le ministère du gouvernement du Canada responsable de l’élaboration, de la gestion et de la prestation des programmes et services sociaux. Il a pour mission de bâtir un Canada plus fort et plus inclusif, d’aider les Canadiens à faire les bons choix afin que leur vie soit productive et gratifiante, et d’améliorer leur qualité de vie. Les principales responsabilités d’EDSC sont les suivantes :

• Développement social : Améliorer l’inclusion et les possibilités de participation des Canadiens dans leurs collectivités;
• Régimes de pensions et prestations : Aider les Canadiens à conserver un revenu à la retraite et verser une aide financière aux conjoints survivants, aux personnes en situation de handicap et à leur famille`;
• Apprentissage, développement des compétences et emploi : Aider les Canadiens à accéder aux études postsecondaires, à obtenir les compétences et la formation nécessaires pour participer à un marché du travail en évolution et offrir un soutien aux personnes qui sont temporairement sans emploi;
• Conditions et relations de travail : Promouvoir des conditions de travail sûres, saines, équitables et inclusives ainsi que des relations de travail axées sur la collaboration;
• Diffusion d’information et prestation de services au nom d’autres ministères : Fournir de l’information au public sur les programmes du gouvernement du Canada et offrir des services au nom d’autres ministères et partenaires.

La structure organisationnelle d’EDSC compte 3 grandes entités:

• Emploi et Développement social Canada conçoit et gère des programmes à l’intention de Canadiens de tous âges comme les aînés qui ont une sécurité du revenu de base, fournit un soutien aux chômeurs, aide les étudiants à financer leurs études postsecondaires et appuie les parents qui élèvent de jeunes enfants;
• Le Programme du travail contribue au bien-être social et économique en favorisant des environnements de travail sûrs, sains, équitables et inclusifs et des milieux de travail axés sur la collaboration qui relèvent de la compétence fédérale. Il fournit également des services de médiation en relations de travail, établit des conditions de travail minimales, fait la promotion du travail décent et favorise le respect des normes internationales du travail;
• Service Canada offre aux Canadiens un point d’accès unique à une vaste gamme de services et de prestations du gouvernement. En octobre 2022, il avait un réseau de 598 points de service en personne partout au pays, y compris 318 Centres Service Canada, 247 sites de services mobiles et 17 bureaux de passeport autonomes. Il exploitait 28 centres d’appels et 47 autres centres des opérations dans 5 régions canadiennes. En plus d’offrir des services en personne, Service Canada répond aux besoins des Canadiens en ligne sur le site Canada.ca et par l’entremise de MDSC, de la ligne téléphonique « 1 800 O-Canada » et de son réseau de centres d’appels.

Le Ministère est responsable de la conception et de la prestation de nombreux importants programmes et services fédéraux, dont les suivants :

• Programme de la Sécurité de la vieillesse;
• Régime de pensions du Canada;
• Assurance-emploi;
• Programme du numéro d’assurance sociale;
• Programme canadien pour l’épargne-invalidité;
• Programme canadien d’aide financière aux étudiants;
• Prêt canadien aux apprentis;
• Programme canadien pour l’épargne-études;
• Programme de protection des salariés;
• Services de passeport.

Ces programmes et services, ainsi que bien d’autres, comptent parmi les plus importants et les plus connus offerts par le gouvernement du Canada.

EDSC est dirigé par 5 ministres, appuyés par 5 sous-ministres responsables de ses activités quotidiennes, de son budget et de l’élaboration de ses programmes.

Comptant plus de 41 000 employés, EDSC est l’un des plus importants ministères du gouvernement fédéral. Il dessert l’ensemble du pays, et 73 % de ses employés travaillent à l’extérieur de la région de la capitale nationale.

Secrétariat ministériel et chef de la protection des renseignements personnels d’EDSC

La Direction générale du Secrétariat ministériel est responsable de la publication et de la supervision de la politique de gestion de la protection des renseignements personnels du Ministère. Ses tâches consistent aussi à formuler des conseils et des directives en la matière, et à traiter les demandes de renseignements personnels reçues par EDSC dans la région de la capitale nationale. Ces activités sont menées par la Division des opérations de l’AIPRP de la Direction générale, avec le soutien fonctionnel des 4 directions générales régionales d’EDSC et de la Division de la gestion de la protection des renseignements personnels (DGPRP) (voir la figure 1).

La secrétaire ministérielle dirige la Direction générale et est la chef de la protection des renseignements personnels (CPRP) désignée d’EDSC. La CPRP est l’autorité fonctionnelle du Ministère pour toutes les questions relatives à la protection des renseignements personnels, y compris le traitement des demandes reçues à cet égard et la gestion des renseignements personnels. La CPRP formule des conseils stratégiques sur la politique de protection des renseignements personnels et assure la prestation du programme de gestion de la protection des renseignements personnels d’EDSC, ce qui inclut la détermination de la conformité aux obligations législatives, aux politiques et aux normes, ainsi que la tenue de formations sur la protection des renseignements personnels et d’évaluations des risques en la matière. Tous ces éléments sont essentiels à la mise en œuvre d’une approche fondée sur le respect de la vie privée dès la conception.

Division des opérations de l’accès à l’information et de la protection des renseignements personnels

La Division des opérations de l’AIPRP applique la Loi sur l’accès à l’information et les éléments de la Loi sur la protection des renseignements personnels concernant les demandes reçues en vertu de cette loi pour EDSC. Elle dirige et conseille le traitement de toutes les demandes d’EDSC reçues en vertu de la Loi sur l’accès à l’information, procède à l’examen ligne par ligne des documents demandés en vertu des lois, et fournit des séances de formation et de sensibilisation aux employés du Ministère sur l’application de ces lois. Le directeur de la Division est le coordonnateur désigné de l’AIPRP pour EDSC.

La responsabilité du traitement des demandes relatives à la Loi sur la protection des renseignements personnels au sein d’EDSC est partagée entre la Division des opérations de l’AIPRP et les 4 directions régionales du Ministère : Atlantique, Ontario, Québec, et Ouest et Territoires. La Division des opérations de l’AIPRP a comme tâche de coordonner les activités d’AIPRP dans les directions générales et les bureaux régionaux d’EDSC, ce qui englobe les activités suivantes :

• répondre aux demandes reçues en vertu de la Loi sur l’accès à l’information;
• répondre à certaines demandes reçues en vertu de la Loi sur la protection des renseignements personnels;
• fournir une orientation fonctionnelle aux régions en ce qui concerne les volets des opérations et de la présentation de rapports de la fonction de protection des renseignements personnels;
• offrir aux employés des séances de formation générale et personnalisée sur l’application des 2 lois.

La Division examine également les publications effectuées conformément au principe du gouvernement ouvert pour s’assurer qu’elles respectent la Loi sur la protection des renseignements personnels.

La Division des opérations de l’AIPRP est composée d’une unité de réception des demandes d’accès à l’information et de protection des renseignements personnels et d’équipes chargées du traitement de ces demandes. À la fin de l’exercice 2023 à 2024, la Division des opérations de l’AIPRP comptait environ 28 employés.

Version textuelle de la figure 1

TL’image représente le rapport hiérarchique direct entre la Secrétaire ministérielle et Chef de la protection des renseignements personnels et les divisions des opérations de l’AIPRP et de la gestion de la protection des renseignements personnels. Il existe une direction fonctionnelle entre la Secrétaire ministérielle et Chef de la protection des renseignements personnels et les bureaux régionaux d’AIPRP (Région de l’Ouest et des Territoires, Région de l’Ontario, Région du Québec et Région de l’Atlantique).

Opérations régionales de protection des renseignements personnels

Les directions générales régionales jouent un rôle clé à l’appui des responsabilités du Ministère en ce qui concerne l’application de la Loi sur la protection des renseignements personnels. Au cours de l’exercice 2023 à 2024, environ 65 employés des régions étaient chargés de traiter les dossiers d’AIPRP. Dans chaque région, un réseau d’agents de liaison et de gestionnaires appuie le traitement des demandes reçues en vertu de la Loi sur la protection des renseignements personnels, et fournit une orientation et des conseils directement aux secteurs de programme tout en assurant la coordination avec la Division des opérations de l’AIPRP.

Division de la gestion de la protection des renseignements personnels (DGPRP)

La DGPRP est le centre d’expertise d’EDSC en matière de politiques de protection des renseignements personnels, et le centre de liaison du Ministère pour les conseils d’expert en matière de protection des renseignements personnels. Elle dirige les travaux de mise en œuvre horizontale des politiques et initiatives ministérielles en matière de protection des renseignements personnels, effectue des évaluations des risques et fournit des consignes sur la conformité en matière de protection des renseignements personnels. Ce faisant, la Division adopte des approches axées sur la protection de la vie privée dès la conception qui intègrent les considérations relatives à la protection des renseignements personnels dès les premiers stades des nouveaux programmes et projets et des nouvelles initiatives. La DGPRP examine également les ententes d’échange de renseignements proposées et les ébauches de contrats. La Division répond aux demandes de documents provenant des tribunaux et des organismes d’application de la loi, gère les divulgations de renseignements dans l’intérêt public, joue un rôle clé dans la gestion et la prévention des atteintes à la vie privée, et appuie les activités de formation et de sensibilisation à la protection des renseignements personnels. En tant que
centre d’expertise du Ministère en matière de protection des renseignements personnels, la DGPRP fournit des conseils analytiques et stratégiques sur la politique de protection des renseignements personnels au CPRP et aux cadres supérieurs d’EDSC.

La Division est organisée en 4 groupes fonctionnels, soit une unité d’évaluation des risques et de politique de protection des renseignements personnels, une unité de services consultatifs et de conformité en matière de protection des renseignements personnels, une unité de divulgations législatives et de gestion des incidents, et une très petite équipe de planification et de conseils stratégiques. À la fin de l’exercice 2023 à 2024, la DGPRP comptait 37 employés. De plus, 3 consultants ont été embauchés pour occuper des postes à temps partiel au cours de la période visée par le rapport.

Convention de services avec Normes d’accessibilité Canada (NAC)

EDSC a conclu un protocole d’entente pour la prestation de services d’AIPRP avec NAC, un organisme ministériel indépendant faisant partie du portefeuille du Ministère. NAC, qui a été mis sur pied en vertu de la Loi canadienne sur l’accessibilité, a pour mandat de créer un Canada sans obstacle au plus tard le 1er janvier 2040. Les services de protection des renseignements personnels fournis comprennent des services de traitement des demandes, des conseils et des statistiques en vue de la préparation des rapports annuels, des fonctions de liaison et de la formation. Au besoin, le Ministère fournit des analyses et formule des conseils en ce qui touche les évaluations des facteurs relatifs à la vie privée (EFVP), les ententes d’échange de renseignements, les divulgations, la passation de marchés, la conformité aux lois et aux politiques, et assure la gestion des incidents de sécurité relatifs à des renseignements personnels.

Cadre juridique pour la protection des renseignements personnels

EDSC exerce ses activités dans l’un des régimes de protection des renseignements personnels les plus complexes du gouvernement fédéral. Par conséquent, il doit appliquer efficacement une myriade de lois et de politiques sur la protection des renseignements personnels et doit pouvoir s’y retrouver dans celles-ci. Ses obligations légales sont établies dans la Loi sur la protection des renseignements personnels et dans les dispositions sur la protection des renseignements personnels de la Loi sur le ministère de l’Emploi et du Développement social (LMEDS). De plus, étant donné les nombreux efforts de collaboration auxquels EDSC participe pour exécuter des programmes et offrir des services d’envergure nationale, l’interopérabilité juridique avec les organisations du gouvernement du Canada, les provinces et les territoires ainsi que les administrations municipales est toujours une exigence importante.

La Loi sur la protection des renseignements personnels est la loi fédérale qui protège les renseignements personnels relevant des institutions du secteur public fédéral. Cette Loi, qui s’inscrit dans la foulée de la Charte canadienne des droits et libertés, est un élément fondamental en vue de préserver les intérêts des personnes au Canada au chapitre de la protection des renseignements personnels. Elle énonce les règles applicables à la gestion des renseignements personnels par le gouvernement en fournissant un cadre qui établit les exigences que doivent respecter les institutions fédérales quant à la façon dont elles peuvent recueillir, utiliser, conserver et divulguer des renseignements personnels.

La collecte et l’utilisation de renseignements personnels par les institutions fédérales sont fondées sur une autorité ou une autorisation légale. Les institutions fédérales peuvent seulement recueillir ou utiliser des renseignements personnels ayant un lien suffisamment direct avec les activités et programmes autorisés par la loi.

Les renseignements personnels détenus par une institution fédérale ne peuvent pas être divulgués sans le consentement de la personne concernée, sauf dans des circonstances particulières. Cela comprend les utilisations conformes au but de la collecte initiale autorisée par la loi fédérale qui vise à assurer la conformité avec des instruments juridiques, comme les assignations à comparaître et les ordonnances judiciaires, dans les cas où il y a un avantage évident pour la personne et dans ceux où l’intérêt public l’emporte sur toute violation de la vie privée. Fait important, la Loi accorde aux personnes le droit de demander l’accès à leurs renseignements personnels détenus par une institution fédérale et celui de demander l’apport de corrections à leurs renseignements lorsque ceux-ci sont inexacts. En outre, la Loi sur la protection des renseignements personnels confère au commissaire à la protection de la vie privée le titre d’agent indépendant du Parlement dont la responsabilité consiste à superviser la mise en œuvre de la Loi et qui a le pouvoir de recevoir les plaintes et d’enquêter sur celles-ci.

Il existe aussi des politiques et des directives qui sont établies par le président du Conseil du Trésor ou par un représentant autorisé et qui servent d’outils complémentaires pour assurer l’application de la Loi par les institutions fédérales, dont EDSC.

En plus de respecter la Loi sur la protection des renseignements personnels, EDSC doit assurer la gestion des renseignements personnels conformément aux obligations énoncées dans sa loi habilitante. La LMEDS établit les règles applicables aux renseignements personnels détenus par EDSC, et elle est mise en application de concert avec la Loi sur la protection des renseignements personnels. La LMEDS énonce les exigences suivantes :

• rendre des renseignements personnels accessibles à d’autres institutions fédérales, à des autorités provinciales et territoriales ou à des partenaires internationaux à des fins d’application et d’intégrité;
• rendre des renseignements personnels accessibles dans l’intérêt public et à des fins d’exécution de la loi;
• rendre accessibles les renseignements contenus dans le Registre d’assurance sociale;
• utiliser les renseignements personnels à des fins d’analyse stratégique interne, de recherche et d’évaluation;
• rendre accessibles les renseignements personnels à des fins de recherche ou d’analyse statistique.

Lorsque le Ministère fournit des services au public au nom d’autres institutions et administrations fédérales, ou lorsqu’il offre certains services pour le gouvernement du Canada, c’est le régime de protection des renseignements personnels du partenaire – habituellement la Loi sur la protection des renseignements personnels, qui s’appliquera, plutôt que la LMEDS.

Arrêté sur la délégation en vertu de la Loi sur la protection des renseignements personnels

L’article 73 de la Loi sur la protection des renseignements personnels autorise le responsable d’une institution à déléguer à des employés de l’institution les pouvoirs, devoirs et fonctions que lui confère cette loi, généralement par arrêté. Cet instrument attribue les pouvoirs, devoirs et fonctions d’application de la Loi qui ont été délégués par le responsable de l’institution et précise à qui ils ont été délégués.

L’arrêté actuel sur la délégation en vertu de la Loi sur la protection des renseignements personnels, qui a été approuvé par le ministre de l’Emploi, du Développement de la main‑d’œuvre et des Langues officielles en mars 2024, est présenté à l’annexe A.

Politique ministérielle sur la gestion de la protection des renseignements personnels

La Politique ministérielle sur la gestion de la protection des renseignements personnels soutient un régime de protection des renseignements personnels solide aux fins de la protection et de l’utilisation judicieuse des renseignements personnels par EDSC. En complément des politiques, des directives et des normes du SCT, la politique d’EDSC situe ces obligations en matière de protection des renseignements personnels dans le contexte opérationnel du Ministère. Elle codifie les exigences relatives à la gestion et à la protection des renseignements personnels, énonce des principes clairs et universels pour la politique de protection des renseignements personnels, et précise les rôles et les responsabilités en matière de gestion des renseignements personnels, notamment les obligations redditionnelles et les responsabilités fonctionnelles particulières en vigueur. Elle établit également le Cadre de gestion de la protection des renseignements personnels d’EDSC, décrit ci-après, désigne le CPRP et établit les mécanismes de gouvernance de la protection des renseignements personnels du Ministère.

Parmi les résultats attendus de la Politique ministérielle sur la gestion de la protection des renseignements personnels figurent :

• la saine gestion et la protection des renseignements personnels par le Ministère;
• l’adoption de pratiques rigoureuses de repérage, d’évaluation et de gestion des risques pesant sur les renseignements personnels;
• l’établissement de responsabilités claires accompagnées de mécanismes et de structures de gouvernance efficaces pour protéger et gérer les renseignements personnels dont EDSC doit assurer l’intendance.

Cadre de gestion de la protection des renseignements personnels

Le Cadre de gestion de la protection des renseignements personnels d’EDSC promeut une approche proactive concernant la gestion des renseignements personnels, en favorisant l’intégration des pratiques de protection des renseignements personnels à l’ensemble des fonctions ministérielles ainsi que la protection des renseignements personnels dès la conception à l’architecture des programmes, des systèmes et des processus opérationnels. Le Cadre comprend 5 éléments :

• Gouvernance et responsabilisation : Les rôles et responsabilités en matière de protection des renseignements personnels sont clairement définis;
• Intendance des renseignements personnels : Des mesures appropriées de protection des renseignements personnels sont mises en œuvre pour que les renseignements personnels soient bien gérés tout au long de leur cycle de vie;
• Assurance de la conformité : Des pratiques et des processus officiels sont en place afin d’assurer le respect des précisions, des politiques, des normes et des lois en matière de protection des renseignements personnels;
• Gestion efficace des risques : Des activités structurées et coordonnées d’identification et d’évaluation des risques sont menées pour réduire la probabilité que des incidents négatifs se produisent et limiter les répercussions de ces derniers, le cas échéant;
• Culture, formation et sensibilisation : Des activités de formation et de sensibilisation relatives à la protection des renseignements personnels soutiennent un organisme qui est conscient de cet enjeu et qui accorde de l’importance à la protection et à l’intendance des renseignements personnels.

Le Cadre est un élément de base à la fois clair et concis qui sert à établir et à exécuter un programme complet de protection des renseignements personnels au Ministère.

Gouvernance de la protection des renseignements personnels à EDSC

EDSC utilise une structure de comité pour soutenir la gouvernance de la protection de la vie privée, la surveillance des risques et la prise de décisions. Le principal organe de gouvernance du Ministère en matière de protection des renseignements personnels est le Comité des données et de la protection des renseignements personnels (CDPRP), qui est coprésidé par le CPRP et par un directeur général de la Direction générale de la dirigeante principale des données. Le CDPRP a pour mandat d’assurer la surveillance de la gestion des renseignements personnels confiés au Ministère ainsi que de la gestion des ressources de données organisationnelles. Le CDPRP appuie la mise en œuvre et la tenue à jour de la stratégie en matière de données et des programmes de gestion de la protection des renseignements personnels d’EDSC, supervise les processus de gestion du risque au regard de la gestion des données et des renseignements personnels, et appuie l’instauration d’une culture ministérielle conformément à laquelle les données constituent un actif opérationnel qui devrait être maximisé dans le respect du droit à la vie privée des Canadiens.

Le CDPRP relève du Comité de gestion d’entreprise (CGE) des sous-ministres adjoints. Le CGE agit à titre d’organe horizontal de surveillance et de prise de décisions du Ministère en ce qui touche la mise en œuvre des stratégies, des politiques et des lignes directrices et des plans organisationnels liés à la gestion du risque, des données, de l’information, de la technologie et de la sécurité, ainsi que des finances et des ressources organisationnelles.

Évaluations des facteurs relatifs à la vie privée (EFVP) et vérifications de conformité

Conformément à la Directive sur l’EFVP du SCT, EDSC est tenu d’effectuer une EFVP avant d’établir tout nouveau programme ou programme modifié de façon importante ou toute activité demandant l’utilisation administrative de renseignements personnels. Les EFVP servent à cerner et à évaluer les risques pour la protection des renseignements personnels et à élaborer des plans pour réduire ou éliminer ces risques. Parmi les institutions fédérales, EDSC est un innovateur pour ce qui est des méthodes utilisées pour mener les évaluations de la protection des renseignements personnels. Par exemple, pour soutenir son approche de protection des renseignements personnels dès la conception, la DGPRP s’appuie sur un ensemble d’outils qu’elle a mis au point et qui comprend des EFVP exhaustives, des analyses de la protection des renseignements personnels pour les solutions de TI (APRPSTI) et des protocoles de protection des renseignements personnels lorsque ces renseignements sont utilisés à des fins autres qu’administratives. L’APRPSTI est une méthode d’évaluation qui porte sur une solution ou un système de TI et qui sert à cerner les risques liés à la protection des renseignements personnels ainsi qu’à évaluer les répercussions sur la protection des renseignements personnels aux étapes de conception, d’approvisionnement ou d’acquisition de la solution. L’APRPSTI satisfait aux exigences du Ministère et du SCT en ce qui concerne l’exécution des EFVP.

En 2023 à 2024, EDSC a réalisé 16 EFVP et préparé d’importantes mises à jour pour 2 autres. Des copies des rapports d’EFVP ont été fournies au SCT et au Commissariat à la protection de la vie privée du Canada (CPVP). Des renseignements sur ces évaluations sont présentés à l’annexe B du présent rapport et sur la page Web de renseignements organisationnels d’EDSC Évaluation des facteurs relatifs à la vie privée.

EDSC a également effectué plusieurs examens des protocoles de protection des renseignements personnels dans le contexte de ses activités d’analyse des politiques, de recherche et d’évaluation. Au cours du dernier exercice, 10 examens de ce genre ont été effectués relativement à des initiatives comportant l’utilisation de renseignements personnels à des fins autres qu’administratives, comparativement à 26 en 2022 à 2023.

La LMEDS et la réglementation connexe établissent des paramètres stricts lorsqu’il s’agit de rendre accessibles des renseignements personnels qui relèvent du Ministère^{Note de bas de page *}. La politique de protection des renseignements personnels d’EDSC exige que toutes les ententes de ce genre conclues avec des institutions fédérales, d’autres paliers de gouvernement et des fournisseurs de services soient vérifiées par la DGPRP. La Division s’assure également que ces instruments sont assortis des modalités nécessaires en ce qui touche l’utilisation, la divulgation, la protection et l’élimination des renseignements personnels. En outre, la mise en œuvre des ententes d’échange de renseignements nécessite l’approbation de la personne à qui sont délégués les pouvoirs appropriés en matière de protection des renseignements personnels aux termes de l’arrêté pris en vertu de la LMEDS, qui est habituellement le CPRP ou le directeur général de la DGPRP. De même, tous les documents d’approvisionnement doivent être examinés par la DGPRP afin de vérifier le respect des exigences législatives et de la politique de protection des renseignements personnels. Au cours du dernier exercice, 61 ententes d’échange de renseignements et 60 instruments d’approvisionnement ont été examinés en détail.

La demande interne pour d’autres types de services liés à la protection des renseignements personnels demeure élevée. Par exemple, les examens initiaux des programmes et des projets, ainsi que l’analyse de la protection des renseignements personnels des applications logicielles, ont généré un volume important de demandes de service. La Division a effectué 206 examens de ce genre en 2023 à 2024. Le nombre de demandes de renseignements généraux touchant les renseignements personnels ainsi que de demandes de service de clients internes a été de 248 au cours de la période visée par le rapport. La DGPRP a également préparé 62 avis de confidentialité et formulaires de consentement.

Modernisation de l’AIPRP

EDSC a préparé le terrain pour moderniser son infrastructure et ses processus d’AIPRP afin de créer un programme d’AIPRP moderne, adapté au numérique et axé sur le client qui peut répondre aux besoins de l’environnement des opérations de protection des renseignements personnels en évolution. Le Ministère a lancé ce programme pour remplacer les anciens systèmes d’AIPRP qui approchent la fin de leur cycle de vie et améliorer le service à la clientèle, le recrutement, la capacité et le maintien en poste du personnel.

Le projet de modernisation comprend 4 volets de programme qui ont pris de l’ampleur en 2023 à 2024 : le renouvellement de la technologie, l’amélioration du service à la clientèle, l’examen et la normalisation des processus, et le renforcement des mesures de transparence. Il est prévu que les avantages de la modernisation seront réalisés au cours des prochains exercices et achevés d’ici 2026.

Au cours de l’exercice 2023 à 2024, des progrès ont été accomplis dans l’établissement de nouvelles procédures qui devraient :

• accroître la clarté et la pertinence de l’information concernant l’AIPRP sur le site Canada.ca afin d’orienter les Canadiens vers les ressources qui leur permettront de trouver leurs renseignements personnels ou d’obtenir de l’assistance pour ce faire;
• aider les clients à soumettre des demandes numériques;
• aider les clients à trouver un moyen efficace d’obtenir leurs renseignements par l’entremise de Mon dossier Service Canada, ce qui réduit le temps et le fardeau requis pour traiter une demande facultative en vertu de la Loi sur la protection des renseignements personnels; et
• ouvrir la voie au renouvellement et aux avancées technologiques grâce à l’instauration, en 2024 à 2025, de la plateforme d’AIPRP en ligne du SCT et du nouveau système de traitement des demandes ATIPXpress.

Programme de Modernisation du versement des prestations (MVP)

Le programme de MVP des prestations transforme la façon dont le gouvernement du Canada verse les prestations en veillant à ce que les Canadiens soient au cœur de ses services. Il offrira une expérience de service de calibre mondial en modernisant la façon dont le gouvernement sert les Canadiens, soit des personnes âgées aux jeunes, des personnes à la recherche d’un emploi aux personnes en situation de handicap.

Dans le cadre du programme de MVP, les Canadiens peuvent compter sur :

• une interface numérique simple et conviviale;
• une authentification unique et une approche « une fois suffit »;
• un accès accru au libre-service;
• une réduction des temps d’attente;
• des applications simplifiées;
• un versement plus rapide des prestations.

De plus, le programme de MVP mettra à niveau la technologie, atténuera sensiblement le risque de cybermenaces et de sécurité et réduira la fraude, les erreurs et les retards.

Pour faire en sorte que les principes de la protection des renseignements personnels dès la conception soient présents dans l’élaboration et la mise en œuvre de la MVP, EDSC a affecté d’importantes ressources en matière de protection des renseignements personnels dans le cadre d’une étroite collaboration avec l’équipe de projet. Des conseils en matière de protection des renseignements personnels sont intégrés à la conception de la MVP, tandis que des analyses détaillées de la protection des renseignements personnels et des évaluations du risque sont effectuées pour chaque composante de projet. Les résultats de ces travaux sont compilés dans un « cahier de la protection des renseignements personnels », qui est continuellement mis à jour à mesure que de nouvelles capacités et d’autres programmes sont intégrés.

Nouvelle Directive sur la gestion des atteintes à la vie privée

En octobre 2022, le SCT a publié sa Politique sur la protection de la vie privée et sa Directive sur les pratiques relatives à la protection de la vie privée révisées, qui ont apporté d’importants changements aux exigences en matière de planification d’urgence et d’intervention en cas d’atteinte à la vie privée pour les institutions fédérales. Ces changements comprennent ce qui suit : des procédures obligatoires lorsqu’il y a atteinte à la vie privée; un nouveau seuil et un nouveau délai pour aviser le SCT et le CPVP des atteintes substantielles à la vie privée; le fait que les cadres supérieurs responsables de la protection de la vie privée doivent collaborer aux enquêtes de sécurité; l’établissement du rôle consultatif du SCT dans les cas d’atteinte substantielle à plusieurs institutions; le fait que les ententes d’échange de renseignements et les contrats doivent comprendre une disposition selon laquelle toutes les parties seront avisées en cas d’atteinte à la vie privée; une formation obligatoire sur la gestion des atteintes à la vie privée pour tous les employés.

EDSC a lancé un examen de ses propres politiques et procédures en matière d’atteinte à la vie privée pour s’assurer qu’elles étaient harmonisées et qu’elles comprenaient un effort de collaboration entre la Division de la gestion de la protection des renseignements personnels, la Sécurité ministérielle, la cybersécurité et la sécurité de la TI en vue de réviser les processus et de modifier les rôles et les responsabilités. La Directive sur la gestion des atteintes à la vie privée qui en découle a codifié la mise en œuvre par le Ministère des exigences stratégiques du SCT. La Directive a établi la gouvernance et la responsabilité d’EDSC en matière de gestion des atteintes à la vie privée à l’échelle du Ministère, que l’atteinte découle d’une activité d’EDSC ou d’un service imparti à une autre organisation. Elle stipule également que les atteintes à la vie privée doivent être maîtrisées et atténuées en temps opportun, que les personnes touchées et les organismes de surveillance appropriés sont rapidement avisés, et que les pratiques d’EDSC concernant le traitement des renseignements personnels sont examinées et modifiées pour corriger les vulnérabilités qui sont révélées lorsque des incidents se produisent.

Pouvoirs liés au numéro d’assurance sociale (NAS)

La LMEDS a été modifiée en 2023 à 2024 par l’ajout de l’article 8.1, qui confère au ministre de l’Emploi et du Développement social le pouvoir de recueillir et d’utiliser des NAS aux fins de l’application ou de l’exécution d’une loi, d’un programme ou d’une activité qui relève du ministre. Le NAS est un renseignement personnel de nature délicate – sa collecte et son utilisation sont considérées comme particulièrement intrusives pour la vie privée des personnes et nécessitent une attention particulière. Il s’agit d’un identificateur unique qui est géré conformément à la LMEDS et à la Loi sur la protection des renseignements personnels, ainsi qu’aux politiques et directives en matière de protection des renseignements personnels du SCT et d’EDSC.

Pour chaque nouvelle collecte ou utilisation de renseignements sur le NAS effectuée dans le cadre d’une activité ou d’un programme ministériel, une évaluation spéciale de la protection des renseignements personnels sera effectuée afin d’examiner, entre autres facteurs :

• le caractère raisonnable de l’utilisation et de la collecte proposées en s’attardant à la nécessité, à l’efficacité, à la proportionnalité et à la minimisation de l’intrusion;
• sa gestion et son utilisation, y compris les divulgations;
• les rôles et les responsabilités.

Le CPVP sera consulté pendant ce processus. L’évaluation pourrait déterminer des conditions particulières relatives à l’utilisation proposée des renseignements sur le NAS dans le cadre d’une activité d’EDSC, ou déclencher une évaluation plus vaste des facteurs relatifs à la vie privée.

Arrêtés sur la délégation mis à jour

EDSC a pour pratique de modifier les arrêtés sur la délégation en vertu de la Loi sur la protection des renseignements personnels et de la partie 4 de la LMEDS lorsque les circonstances exigent l’apport de changements à une ou plusieurs délégations. Le ministre a approuvé des arrêtés sur la délégation actualisés pour ces 2 lois au cours de l’exercice. Les modifications ont mis à jour des titres de postes et établi les pouvoirs associés aux responsabilités attribuées aux nouveaux fonctionnaires désignés pour l’application de la Loi sur la protection des renseignements personnels et la partie 4 de la LMEDS. De plus, la mise en œuvre de la modernisation des systèmes et processus d’AIPRP d’EDSC a nécessité des ajustements aux arrêtés sur la délégation en vertu de la Loi sur la protection des renseignements personnels. En ce qui concerne la LMEDS, l’arrêté mis à jour a désigné des fonctionnaires des unités des demandes régionales d’EDSC qui sont chargés de rendre accessibles des renseignements personnels aux députés fédéraux qui, en vertu du paragraphe 33(2) de la Loi, font des demandes de renseignements au nom de particuliers au sujet de demandes, de prestations ou d’autres formes d’aide dans le cadre d’un programme.

Modernisation de la Loi sur la protection des renseignements personnels

EDSC a collaboré activement avec des fonctionnaires du ministère de la Justice à son initiative de modernisation de la Loi sur la protection des renseignements personnels dans le cadre d’un effort interministériel plus vaste. Ce processus de réforme de la Loi offre à EDSC une occasion unique de communiquer les enjeux et d’échanger des idées en matière d’options. Au cours de l’exercice 2023 à 2024, EDSC a mené, à la demande du ministère de la Justice, une consultation ministérielle interne au sujet de sa vision et de ses propositions pour une Loi sur la protection des renseignements personnels modernisée, dont les résultats seront utilisés aux prochaines étapes du processus.

Surveillance des délais

Étant donné que le Ministère recourt à une approche décentralisée en matière de traitement des demandes de renseignements personnels, il n’effectue actuellement pas de surveillance centralisée du temps requis pour traiter les demandes de renseignements personnels, des limites associées aux consultations entre institutions ou des examens des types de renseignements fréquemment demandés. Les bureaux régionaux d’EDSC gèrent la majorité des demandes reçues en vertu de la Loi sur la protection des renseignements personnels (les demandes de renseignements personnels et les demandes de correction de renseignements personnels) pour le Ministère, et préparent des rapports périodiques sur les nouvelles demandes et la charge de travail ainsi que des mises à jour sur l’état du rendement en ce qui concerne le traitement dans les délais prévus des demandes reçues en vertu de la Loi sur la protection des renseignements personnels. Les bureaux régionaux produisent des rapports sur les rendements mensuels, trimestriels et annuels.

À mesure que le Ministère modernise la fonction de traitement des demandes de renseignements personnels, la normalisation et la surveillance de la conformité deviendront une priorité, de manière que les Canadiens puissent compter sur un traitement fiable et adapté de leurs demandes.

Demandes, en fonction du nombre de jours civils nécessaires pour le traitement

Le taux de respect des délais correspond au pourcentage de demandes traitées dans les délais prévus par la loi, y compris les demandes pour lesquelles le Ministère s’est prévalu d’une prorogation prévue par la loi. Au cours du dernier exercice, le taux de conformité d’EDSC concernant le traitement des demandes dans un délai de 30 jours (ou de 60 jours après une prorogation) a continué de s’améliorer, passant de 71 % en 2022 à 2023 à 74 % en 2023 à 2024.

Version textuelle de la figure 2

Le graphique représente le nombre total de demandes traitées dans les délais prévus à la loi ou au-delà de ceux-ci pour les 4 dernières années.

• 2020 à 2021 : 5 096 demandes traitées dans les délais et 6 977 au-delà
• 2021 à 2022 : 10 190 demandes traitées dans les délais et 7 387 au-delà
• 2022 à 2023 : 15 098 demandes traitées dans les délais et 6 223 au-delà
• 2023 à 2024 : 15 269 demandes traitées dans les délais et 5 504 au-delà

Délais de traitement

Le taux de traitement des demandes dans un délai de 30 jours d’EDSC continue de s’améliorer, atteignant 60 % en 2023 à 2024.

Version textuelle de la figure 3

Le graphique représente le nombre de jours civils de traitement des demandes en vertu de la Loi sur la protection des renseignements personnels pour les 4 dernières années.

2020 à 2021 : 5 029 demandes traitées dans 30 jours civils, 2 459 traitées entre 31 et 60 jours civils et 5 395 demandes traitées en plus de 61 jours civils

2021 à 2022 : 8 130 demandes traitées dans 30 jours civils, 5 009 traitées entre 31 et 60 jours civils et 4 438 demandes traitées en plus de 61 jours civils

2022 à 2023 : 12 257 demandes traitées dans 30 jours civils, 5 694 traitées entre 31 et 60 jours civils et 3 370 demandes traitées en plus de 61 jours civils

2023 à 2024 : 12 410 demandes traitées dans 30 jours civils, 4 421 traitées entre 31 et 60 jours civils et 3 942 demandes traitées en plus de 61 jours civils

Demandes actives

Le 1er avril 2024, on comptait 2 623 demandes actives reportées des périodes de déclaration précédentes, dont 1 788 (68 %) étaient en voie d’être traitées dans les délais prévus par la loi.

Motifs des prorogations

Les institutions peuvent demander une prorogation du délai initial de 30 jours prévu par la loi dans les cas où il est impossible de respecter la date prévue par la loi. La Loi sur la protection des renseignements personnels prévoit des délais pour répondre aux demandes de renseignements personnels et permet des prorogations, jusqu’à concurrence de 30 jours, dans l’un ou l’autre des cas suivants :

• l’observation des délais entraverait de façon sérieuse le fonctionnement de l’institution pour l’une des raisons suivantes :
  • un examen est nécessaire pour déterminer les exemptions ou les exclusions;
  • un grand nombre de pages nécessitent un examen;
  • un grand nombre de demandes;
  • les documents sont difficiles à obtenir;
• il faut procéder à une consultation;
• il faut effectuer une traduction des documents.

En 2023 à 2024, il y a eu 1 302 demandes comportant un grand nombre de pages et 18 demandes nécessitant des consultations internes qui ne pouvaient raisonnablement être traitées dans le délai initial de 30 jours. Ces demandes ont amené EDSC à demander 1 323 prorogations. Ce total est semblable à celui de l’exercice précédent, lorsque le Ministère a demandé 1 304 prorogations.

Demandes de consultation reçues d’autres institutions du gouvernement du Canada et d’autres organismes

EDSC a reçu 3 demandes de consultation externe au cours de l’exercice 2023 à 2024, ce qui a nécessité l’examen de 25 pages. Ces demandes provenaient d’institutions du gouvernement du Canada et d’autres organismes. Le ministère a clos 2 demandes de consultation, chacune ayant été traitée dans un délai de plus de 30 jours. Pour une demande, il a été recommandé de divulguer les documents dans leur intégralité et, pour l’autre, d’effectuer une divulgation partielle. Une demande a été reportée.

Mesures prises à l’égard des demandes traitées

En 2023 à 2024, le nombre de demandes ayant fait l’objet d’une « communication totale » s’est élevé à 4 035, ce qui représente 19,4 % des demandes traitées, comparativement à 2 969 (13,9 %) au cours de l’exercice précédent. Sur les 20 773 demandes traitées au cours du dernier exercice, seulement 5 dossiers ont fait l’objet d’une exception totale, et aucun n’a été exclu.

Formation en ligne sur la protection des renseignements personnels

EDSC dispose d’un programme de formation complet pour accroître la connaissance des pratiques appropriées de gestion des renseignements personnels et la sensibilisation à ces dernières à l’échelle du Ministère. Tous les employés doivent maintenir une certification valide en Gérance de l’information et comportements en milieu de travail (GICMT) (cette certification doit être renouvelée tous les 2 ans); le cours porte sur la protection et le traitement des renseignements personnels, la sécurité, l’accès à l’information, la gestion de l’information ainsi que les valeurs et l’éthique. Ce cours fait partie du programme de formation essentielle du Ministère et est offert en ligne. À la fin de la période visée par le rapport, 19 828 employés avaient obtenu la certification GICMT au cours de l’exercice.

Mis à part la certification GICMT, EDSC propose d’autres cours en ligne sur la protection des renseignements personnels dans son catalogue de formation. Le cours « La protection des renseignements personnels et l’accès à l’information : c’est l’affaire de tous » permet aux employés d’acquérir les connaissances nécessaires pour bien protéger, utiliser et divulguer les renseignements personnels quotidiennement, et leur apprend à prévenir les atteintes à la vie privée, en demandant conseil ou en faisant preuve de bon jugement en temps opportun. Au cours du dernier exercice, 15 586 employés ont suivi le cours.

Les nouveaux employés doivent suivre le cours « Bien faire les choses et faire la bonne chose : mettre en action le Code de conduite ministériel » qui comporte une composante importante sur la protection des renseignements personnels. Le cours aide les participants à comprendre comment adopter des comportements éthiques en milieu de travail et utiliser ces connaissances pour les guider dans leur travail et prise de décisions quotidiens. Au cours de l’exercice 2023 à 2024, le nombre d’employés qui ont suivi ce cours s’est élevé à 16 302.

Formation et sensibilisation en personne et par voie virtuelle

Tout au long de la période visée par le rapport, le Ministère a fourni aux employés des renseignements et des consignes pratiques, faciles à comprendre et facilement accessibles sur la protection des renseignements personnels, afin d’appuyer la mise en application de pratiques appropriées de traitement et de protection des renseignements personnels, et de transmettre des connaissances générales sur les fondements à la fois philosophiques et législatifs de la protection des renseignements personnels. Le point culminant de ces activités a consisté en une série d’événements d’information sur la protection des renseignements personnels et d’activités reposant sur l’approche Savoir actif dans le cadre de la Semaine de sensibilisation à la protection de la vie privée en janvier 2024. À l’appui du traitement des demandes en vertu de la Loi sur la protection des renseignements personnels, une formation spécialisée a été offerte aux principaux intervenants ministériels et au personnel des Opérations de l’AIPRP. Au total, 1 135 employés d’EDSC ont assisté, en personne ou par vidéo, à l’une ou l’autre des 20 séances de formation et de sensibilisation sur la protection des renseignements personnels offertes en 2023 à 2024.

Section 1 Demandes présentées au titre de la Loi sur la protection des renseignements personnels

Section 2 Demandes informelles

Section 3 Demandes fermées pendant la période d’établissement de rapport

Section 4 Disclosures under subsections 8(2) and 8(5)

Section 5 Demandes de correction de renseignements personnels et mentions

Section 6 Prorogations

Section 7 Demandes de consultation reçues d’autres institutions et organisations

Section 8 Délais de traitement des demandes de consultation sur les documents confidentiels du Cabinet

Section 9 Avis de plaintes et d’enquêtes reçus

Section 10 Évaluations des facteurs relatifs à la vie privée et des Fichiers de renseignements personnels

Section 11 Atteintes à la vie privée

Section 12 Ressources liées à la Loi sur la protection des renseignements personnels

Section 1 Demandes ouvertes et plaintes en vertu de la Loi sur l’accès à l’information

Section 2: Demandes ouvertes et plaintes en vertu de la Loi sur la protection des renseignements personnels

Section 3 : Numéro d’assurance social (NAS)

Section 4: Accès universel sous la Loi sur la protection des renseignements personnels