Audit interne de la gestion de l’accès à l’information et de la protection des renseignements personnels (AIPRP)

Direction générale de la vérification interne et de la responsabilisation
Le 21 février 2019

I. Renseignements généraux

Introduction

1. L’audit de la gestion de l’accès à l’information et de la protection des renseignements personnels (AIPRP) a été intégré au plan d’audit axé sur les risques 2018-2020 du Ministère, lequel a été examiné par le Comité ministériel de vérification et approuvé par la sous-ministre.
2. Le gouvernement du Canada reconnaît le droit d’accès du public aux documents relevant des institutions gouvernementales comme un élément essentiel de notre régime démocratique. Le processus visant à obtenir des renseignements relevant d’une institution gouvernementale est appelé une demande d’AIPRP et celle-ci est présentée conformément aux dispositions de la Loi sur l’accès à l’information ou de la Loi sur la protection des renseignements personnels.
3. Sous le régime de ces lois, le ministre d’Immigration, Réfugiés et Citoyenneté Canada (IRCC) est responsable de la gestion des demandes d’AIPRP. Le ministre délègue ce pouvoir aux membres de diverses directions d’IRCC afin qu’ils puissent exercer les pouvoirs, les attributions et les fonctions prévus par les deux lois en ce qui concerne les demandes d’AIPRP.

Cadre de fonctionnement

4. À IRCC, la Division de l’AIPRP du Secteur de la gestion ministérielle est responsable de la gestion des demandes d’AIPRP, en collaboration avec les directions du Ministère qui traitent et conservent les dossiers et les renseignements. La Division de l’AIPRP consulte également d’autres organismes et ministères fédéraux dans le cadre du traitement des demandes d’AIPRP, et elle collabore avec le Commissariat à l’information du Canada (CIC) et le Commissariat à la protection de la vie privée du Canada (CVPC) au moment de traiter des plaintes et des enquêtes.
5. La Division de l’AIPRP est composée de trois unités :
   • L’Unité des opérations est responsable de l’exécution des fonctions administratives, ainsi que du traitement et de l’examen de la majorité des demandes d’AIPRP concernant les dossiers des clients;
   • L’Unité des enjeux et des cas complexes est responsable du traitement des dossiers ministériels complexes et de la gestion des plaintes et des enquêtes en collaboration avec le CIC et le CVPC;
   • L’Unité de la protection des renseignements personnels, des politiques et de la gouvernance est responsable d’élaborer des politiques, d’offrir une orientation, de former les intervenants internes et de gérer les atteintes à la vie privée et les plaintes au CVPC à l’égard des pratiques de protection des renseignements personnels du Ministère.
6. IRCC reçoit plus de la moitié des demandes présentées en vertu de la Loi sur l’accès à l’information et 18 % des demandes présentées en vertu de la Loi sur la protection des renseignements personnelspar tous les ministères et organismes fédéraux, ce qui représente une part importante du taux de conformité global du gouvernement du Canada à l’égard des demandes d’AIPRP. En 2016­-2017, IRCC a reçu 50 728 demandes présentées en vertu de la Loi sur l’accès à l’information et 12 605 en vertu de la Loi sur la protection des renseignements personnels. En 2017-2018, IRCC a reçu 64 234 demandes présentées en vertu de la Loi sur l’accès à l’information et 13 368 en vertu de la Loi sur la protection des renseignements personnels. Il s’agit d’une augmentation de 27 % et de 6 %, respectivement.
7. Le nombre de pages de renseignements examinées augmente à mesure que le nombre de demandes continue de s’accroître. En 2017­-2018, IRCC a examiné 4 586 653 pages. Le nombre de documents et leur complexité devraient augmenter à mesure que les volumes d’immigration prennent de l’ampleur.
8. Les deux lois prévoient un délai de réponse de 30 jours civils à compter de la date de réception d’une demande officielle. Il est possible de prolonger le délai pour certains motifs prévus dans les lois. C’est notamment le cas lorsque la demande vise un grand nombre de documents ou exige une recherche approfondie dans un grand nombre de documents et que le respect du délai initial perturberait de manière déraisonnable les activités de l’institution gouvernementale. En 2017-­2018, le taux de conformité d’IRCC (respect des délais prévus par la loi) était de 72 % pour les demandes présentées en vertu de la Loi sur l’accès à l’information et de 59 % pour celles présentées en vertu de la Loi sur la protection des renseignements personnels.
9. Au cours des cinq dernières années, le nombre de demandes d’AIPRP a considérablement augmenté en raison des changements de procédures dans divers secteurs d’activité et d’initiatives telles que l’Opération visant les réfugiés syriens. Le nombre de demandes devrait continuer de croître et franchir le cap des 100 000 d’ici 2020. La figure 1 ci­dessous représente le nombre de demandes reçues au cours des cinq derniers exercices financiers et l’augmentation des volumes prévue pour les trois prochains exercices financiers.

Figure 1 : Nombre de demandes d’AIPRP reçues et prévues par IRCC

• Version texte : Figure 1 : Nombre de demandes d’AIPRP reçues et prévues par IRCC

  Exercice financier	Nombre de demandes d’AIPRP reçues (en vertu des deux lois)
  2013-14	39 242
  2014-15	47 844
  2015-16	56 952
  2016-17	63 333
  2018-19	94 439
  2019-20	109 284
  2020-21	124 130

Source : Rapports annuels au Parlement de l’AIPRP d’IRCC pour 2013-2014, 2014­-2015, 2015­-2016, 2016­-2017 et 2017-­2018. Les données des exercices financiers 2018-­2019, 2019-­2020 et 2020-­2021 sont des prévisions.

II. Objectif, portée et méthode de l’audit

Objectif et portée d’audit

10. L’audit avait pour objectif d’évaluer l’efficacité du cadre de gouvernance et de contrôle actuel relativement à la gestion des demandes d’AIPRP au Ministère afin de veiller au respect des exigences prévues par les lois, le Conseil du Trésor et le Ministère.
11. L’audit portait sur le cadre de gouvernance (par exemple, les rôles et responsabilités, le leadership et les obligations redditionnelles), les capacités d’établissement de rapports et de surveillance, la gestion des ressources, la conformité et l’efficacité opérationnelle du processus de gestion de l’AIPRP au Ministère. L’audit ne visait pas les exigences de la Loi sur la protection des renseignements personnels applicables aux évaluations des facteurs relatifs à la vie privée, aux atteintes à la vie privée ou aux plaintes au CVPC à l’égard des pratiques de protection des renseignements personnels du Ministère.
12. L’audit portait sur la période allant du 1^er avril 2016 au 30 juin 2018.

Méthodologie

13. Les procédures d’audit suivantes ont été appliquées :
    • Examen des documents législatifs et stratégiques applicables;
    • Examen des principaux documents à l’appui et des renseignements généraux pertinents;
    • Entrevues auprès du personnel clé et des principaux intervenants du Ministère et d’autres ministères et organismes fédéraux;
    • Révision structurée des processus, procédures et systèmes clés liés à la gestion de l’AIPRP;
    • Atelier avec des membres clés de la direction de la Division de l’AIPRP;
    • Essais et analyse d’un échantillon de dossiers d’AIPRP et de plaintes reçues.

Énoncé de conformité

14. Le présent audit a été planifié et mené conformément au Cadre de référence international des pratiques professionnelles de l’Institut des vérificateurs internes, comme en font foi les résultats du programme d’assurance et d’amélioration de la qualité de la Direction générale de la vérification interne et de la responsabilisation.

III. Constatations et recommandations de l’audit

Structure de gouvernance, rôles et responsabilités

15. Le Ministère a établi une structure de gouvernance, des rôles et des responsabilités, ainsi que des obligations redditionnelles pour la gestion des demandes d’AIPRP. Il y a en place une délégation des pouvoirs signée par le ministre d’IRCC qui permet aux agents du Ministère de s’acquitter de tâches et de fonctions prévues par les lois conformément au barème de délégation établi.
16. La Division de l’AIPRP compte une centaine d’employés responsables de l’application de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels à l’échelle d’IRCC. De plus, des agents de liaison affectés à d’autres directions générales d’IRCC aident la Division de l’AIPRP en menant des recherches de renseignements, en recueillant des documents, ainsi qu’en offrant des recommandations et des propositions de passages à caviarder contenant des renseignements de nature délicate. Il y a deux agents de liaison à temps plein et 32 agents à temps partiel. Ces derniers constituent le principal soutien des fonctions liées à l’AIPRP à l’extérieur de la Division. Ils assument cependant d’autres responsabilités dans le cadre de leurs fonctions courantes.
17. La Division de l’AIPRP a élaboré des lignes directrices pour les demandes de clients et les demandes complexes, notamment des guides sur les processus de bout en bout. Les employés d’IRCC peuvent également trouver des lignes directrices sur le site intranet du Ministère. Les lignes directrices destinées aux employés d’IRCC sont revues régulièrement, mais elles n’ont pas fait l’objet de révisions importantes sur l’intranet depuis 2014; par conséquent, il est possible que certains documents ne soient plus à jour ou exacts et que les processus et procédures de traitement de demandes soient mal compris à l’extérieur de la Division de l’AIPRP.

Activités de contrôle et de surveillance

18. La Division de l’AIPRP produit un rapport hebdomadaire destiné à la haute direction qui indique le nombre de demandes reçues et traitées et le taux actuel de conformité aux deux lois. Elle prépare également des rapports de façon ponctuelle, à la demande de la haute direction. Le processus requis pour générer ces renseignements prend beaucoup de temps en raison des fonctionnalités limitées du système actuel, qui exige la production manuelle des rapports.
19. Les renseignements présentés à la haute direction à sa demande ne sont pas tous adéquats du point de vue de l’utilité, de la portée et de l’exhaustivité. Par exemple, les renseignements fournis chaque semaine à la haute direction ne comprennent pas les tâches liées aux dossiers de cas et les dossiers ayant moins de 50 jours de retard, alors que ceux­-ci sont tout de même considérés comme étant en retard aux termes des lois. L’ajout de ces renseignements ferait augmenter le nombre déclaré de tâches en retard et fournirait des renseignements plus pertinents à la haute direction.
20. La haute direction surveille les indicateurs de rendement clés comme le nombre de demandes traitées, le nombre de plaintes reçues et le taux de conformité aux lois. Les rapports et les exposés présentés à la direction en 2017 et en 2018 font ressortir des difficultés opérationnelles et la nécessité d’obtenir un financement supplémentaire et de moderniser les technologies liées à l’AIPRP.
21. Dans l’ensemble, le Ministère ne mène pas suffisamment de discussions et d’initiatives stratégiques à grande échelle sur l’amélioration des processus afin d’orienter la gestion du processus d’AIPRP et de surmonter les difficultés opérationnelles. Un projet ministériel de transformation de l’AIPRP est en cours, mais cette initiative en est encore à ses débuts.

Cadre de contrôle

22. Des mesures de contrôle et des procédures sont en place afin de veiller à ce que les demandes soient traitées conformément aux exigences liées aux délais, à l’exhaustivité et à la justification des cas de non-divulgation. Les demandes sont entrées dans le système de gestion des données liées à l’AIPRP et les jours alloués pour les traiter sont automatiquement calculés et surveillés. Des mesures de contrôle sont également en place à des fins de suivi, de surveillance et de signalement des cas de non-conformités. Cependant, en raison de priorités divergentes, de pressions opérationnelles et de la charge de travail importante du Secteur des opérations en ce qui concerne le traitement des visas et de la Division de l’AIPRP, il y a des retards dans le traitement et des répercussions sur la capacité de la Division de respecter les exigences législatives.
23. Dans l’ensemble, le Ministère respecte les dispositions législatives selon lesquelles les demandes doivent être traitées dans un délai de 30 jours et dans le délai prévu lorsqu’une prolongation a été autorisée. Entre juin 2017 et juin 2018, 72 % des demandes présentées en vertu de la Loi sur l’accès à l’information ont été traitées à temps. En 2017­-2018, il y a aussi eu un arriéré de 5 096 dossiers liés à la Loi sur l’accès à l’information et de 1 516 dossiers liés à la Loi sur la protection des renseignements personnels. Le nombre considérable de dossiers dans l’arriéré oblige la Division de l’AIPRP à traiter ces dossiers tout en s’efforçant de respecter les normes de traitement établies pour les nouveaux dossiers.

Figure 2 : Arriéré de dossiers en 2018

• Version texte : Figure 2 : Arriéré de dossiers en 2018

  Mois	jan-18	fév-18	mars-18	avr-18	mai-18	juin-18	juil-18
  Dossiers dans l’arriéré	8 857	7 875	6 612	7 312	7 872	7 198	6 932
  Dossiers dans l’arriéré fermés	2 367	2 114	3 511	1 855	1 225	1 646	1 977

Source : Données de la Division de l’AIPRP et rapport d’analyse pour la semaine 17 (du 21 au 27 juillet 2018).

24. Pour garantir l’exhaustivité des réponses aux demandes d’AIPRP, la Division attribue des tâches à toutes les directions générales susceptibles d’être concernées qui pourraient avoir des renseignements concernant une demande en particulier. Ces directions générales sont tenues d’examiner les renseignements et de formuler des recommandations d’exemption accompagnées de la justification requise. En outre, dans le cadre du traitement des demandes, la Division pourrait communiquer avec d’autres institutions gouvernementales, des organismes ou des tiers afin d’obtenir des recommandations d’exemption.
25. Il peut parfois y avoir des désaccords quant à l’interprétation des exemptions prévues par les lois lorsque des directions générales fournissent des renseignements à l’appui de la réponse à une demande. Dans ce cas, la Division de l’AIPRP demande une justification à l’égard de l’applicabilité de l’exemption et tente de s’entendre avec la direction avant de régler le dossier. Toutefois, des incohérences ont été observées par des intervenants au sujet de l’interprétation des lois et du traitement des renseignements par les différents analystes de la Division de l’AIPRP. Il existe des mesures de contrôle, comme la formation, afin d’empêcher cette situation, mais l’amélioration des mesures et des outils liés à la qualité pourrait permettre l’application plus uniforme des lois.
26. De plus, des mesures de contrôle sont en place pour veiller à ce que les renseignements soient protégés adéquatement et à ce que les délégations de pouvoirs soient respectées. En outre, tous les documents des demandes sont conservés (pour une période maximale de deux ans après la fermeture de la demande) aux fins des demandes répétées ou semblables, des plaintes ou des enquêtes subséquentes.
27. Il y a également une séparation des tâches dans chaque dossier examiné. Différentes personnes étaient responsables de l’examen, de l’approbation et de la communication de la réponse à la demande, selon le caractère délicat des documents demandés. L’examen final des renseignements recueillis en réponse à des demandes de nature délicate devrait durer au plus trois jours selon le processus de gestion de l’AIPRP, mais certaines demandes de ce type ont accusé des retards importants, exigeant jusqu’à 47 jours pour obtenir l’autorisation finale préalable à la communication des renseignements.

Plaintes et enquêtes

28. Conformément aux deux lois, les personnes qui présentent une demande d’AIPRP à une institution fédérale et qui sont insatisfaites de la façon dont la demande est traitée peuvent déposer une plainte auprès du CIC ou du CVPC au titre de la loi applicable. Les institutions fédérales sont tenues de collaborer avec les enquêteurs du CIC et du CVPC dans le cadre du traitement des plaintes et de donner suite à toute recommandation d’améliorations possibles qui en découle.
29. Des plaintes peuvent être déposées pour diverses raisons, par exemple :
    • Réponse tardive à la demande (plaintes liées à des retards et à des prolongations);
    • Refus injustifié de communiquer des renseignements (documents manquants ou application inappropriée des exemptions ou des exclusions prévues par la loi);
    • Non-­respect de la langue officielle choisie; ou,
    • Format des renseignements communiqués.
30. En 2017­-2018, IRCC a été avisé que 204 plaintes relatives à l’AIPRP ont été déposées auprès du CIC, ce qui représente 0,35 % de toutes les demandes traitées durant cette période. Six de ces plaintes étaient liées à l’article 35, ce qui a entraîné le déclenchement d’une enquête officielle du CIC, et une autre était liée à l’article 37, qui prévoit la communication de résultats d’enquête et de recommandations au chef de service. Au cours de cette période, la Division de l’AIPRP a traité et conclu 180 enquêtes sur des plaintes. De ce nombre, 52 ont été abandonnées, ont fait l’objet d’un désistement ou ont été jugées non fondées. Les 128 autres plaintes ont été réglées à la satisfaction des plaignants.
31. Le Ministère a également été informé que 23 plaintes liées à la protection des renseignements personnels ont été déposées auprès du CVPC en 2017­-2018, ce qui représente 0,17 % de toutes les demandes traitées durant cette période. Au cours de la même période, la Division de l’AIPRP a traité et conclu 21 enquêtes sur des plaintes, dont quatre ont été jugées non fondées et 17 ont été réglées à la satisfaction des plaignants.

Figure 3 : Plaintes reçues de 2015-­2016 à 2017­-2018

• Version texte : Figure 3: Plaintes reçues de 2015-­2016 à 2017-2018

  	2015-2016	2016-2017	2017-2018
  Plaintes reçues au titre de la Loi sur l’accès à l’information	185	115	204
  Plaintes reçues au titre de la Loi sur la protection des renseignements personnels	14	25	23
  Nombre total de plaintes reçues	199	140	227

Source : Rapports annuels au Parlement de l’AIPRP d’IRCC pour 2015-2016, 2016-2017 et 2017-2018.

Figure 4 : Plaintes réglées au cours des trois derniers exercices financiers

• Version texte : Figure 4 : Plaintes réglées au cours des trois derniers exercices financiers

  	2015-2016	2016-2017	2017-2018
  Plaintes réglées au titre de la Loi sur l’accès à l’information	110	191	180
  Plaintes réglées au titre de la Loi sur la protection des renseignements personnels	17	13	21
  Nombre total de plaintes réglées	127	204	201

Source : Rapports annuels au Parlement de l’AIPRP d’IRCC pour 2015-2016, 2016-2017 et 2017-2018.

32. Le Ministère a récemment mis l’accent sur l’amélioration de sa collaboration et de sa communication avec le CIC et le CVPC au moyen de réunions plus fréquentes et de rapports périodiques. Cette relation renforcée prend de plus en plus d’importance alors que le nombre de demandes d’AIPRP ne cesse de croître et que le Ministère s’efforce de traiter les demandes rapidement.
33. Le suivi et la gestion des plaintes et des enquêtes s’effectuent au moyen du système de gestion des cas d’AIPRP. Il n’y a pas de processus officiel pour le triage des plaintes et des enquêtes. Le personnel de la Division de l’AIPRP compte sur les enquêteurs du CIC ou du CVPC pour repérer et signaler les plaintes prioritaires ou de nature délicate de façon ponctuelle. Le Ministère n’a pas fait l’objet d’un grand nombre de plaintes, mais il pourrait tirer profit d’un processus officiel visant à gérer les plaintes de façon proactive selon leur niveau de priorité.
34. Recommandation 1 : Le sous­-ministre adjoint (SMA) du Secteur de la gestion ministérielle et dirigeant principal des finances (DPF) devrait établir un plan stratégique à long terme afin d’améliorer le processus de gestion des demandes d’AIPRP à la Division de l’AIPRP et au Ministère. Le plan devrait garantir une capacité suffisante, du point de vue du budget et des ressources, pour traiter les dossiers dans les délais prévus par la loi tout en respectant les normes de qualité établies.
35. Recommandation 2 : Le SMA du Secteur de la gestion ministérielle et DPF devrait mettre en œuvre un processus officiel de triage et de gestion des plaintes en fonction de leur degré de priorité pour régler les plaintes rapidement selon une approche axée sur les risques.

IV. Conclusion

36. Dans l’ensemble, le Ministère a en place un cadre de gouvernance et de contrôle à l’appui de la gestion des demandes d’AIPRP; toutefois, des possibilités d’amélioration ont été relevées pour renforcer le cadre actuel en vue de mieux soutenir la gestion des demandes d’AIPRP de manière que le respect des exigences prévues par les lois, le Conseil du Trésor et le Ministère soit assuré.
37. Le Ministère devrait continuer à mettre en œuvre des mesures de contrôle et des procédures afin de protéger comme il se doit les renseignements et de respecter les délégations de pouvoirs. La collaboration continue avec le CIC et le CVPC a également été désignée comme pratique améliorée, et elle est essentielle à la gestion réussie des plaintes officielles relatives à l’AIPRP. Les aspects de la gestion des demandes d’AIPRP pouvant être améliorés comprennent les suivants :
    • L’établissement d’un plan stratégique à long terme afin d’améliorer le processus de gestion des demandes d’AIPRP à la Division de l’AIPRP et au Ministère de façon à garantir une capacité suffisante, du point de vue du budget et des ressources, pour traiter les dossiers dans les délais prévus par la loi tout en respectant les normes de qualité établies;
    • La mise en œuvre d’un processus officiel de triage et de gestion des plaintes en fonction de leur degré de priorité pour régler les plaintes rapidement selon une approche axée sur les risques.

Annexe A – Réponse de la direction