Résumé de l’évaluation des facteurs relatifs à la vie privée (EFVP) : Hébergement temporaire des demandeurs d’asile pour la quarantaine en raison de la COVID-19
Institution fédérale responsable
Immigration, Réfugiés et Citoyenneté Canada
Nom du programme/de l’activité
Hébergement temporaire des demandeurs d’asile pour la quarantaine en raison de la COVID-19
Autorisation légale
- Loi sur l’immigration et la protection des réfugiés - paragraphes 100(1) et (5)
- Décret - Paragraphes 20(2) et 20(10) et article 25
- Loi sur la mise en quarantaine : Installation de quarantaine - paragraphe 58(1)
Description du programme/de l’activité
Depuis 2020, Immigration, Réfugiés et Citoyenneté Canada (IRCC) fournit un hébergement temporaire aux demandeurs d’asile qui entrent au Canada et qui, autrement, n’auraient nulle part où se loger. Cette mesure a d’abord été mise en œuvre à titre de mesure extraordinaire pendant la pandémie pour les demandeurs d’asile asymptomatiques non vaccinés qui n’avaient pas de plan de quarantaine approprié. Toutefois, elle a été maintenue par la suite en raison des pressions en matière d’hébergement qu’exerce sur les provinces et les municipalités le nombre accru de demandeurs d’asile entrant au Canada. Dans certaines situations, IRCC a accepté des demandeurs d’asile entièrement vaccinés en attendant que les refuges municipaux puissent les accueillir.
La présente évaluation des facteurs relatifs à la vie privée (EFVP) porte sur la collecte par IRCC des renseignements personnels des demandeurs d’asile, d’attestations de vaccination et de résultats des tests de dépistage de la COVID‑19 aux fins de ses activités hôtelières pendant la pandémie. Ces renseignements ont été recueillis pour satisfaire aux exigences en matière de quarantaine lorsqu’IRCC facilitait l’offre d’un hébergement temporaire aux demandeurs d’asile asymptomatiques.
Même si IRCC a collaboré avec d’autres ministères dans le cadre de cette initiative, la présente EFVP porte uniquement sur la participation d’IRCC et des fournisseurs de services qui ont appuyé ces activités.
Fichiers de renseignements personnels
Résumé de la détermination et de la catégorisation des risques
Vous trouverez ci-dessous le tableau de détermination et de catégorisation des risques correspondant à cette initiative.
| a) Type de programme ou d’activité | Échelle de risque |
|---|---|
| Programme ou activité qui ne nécessite pas la prise d’une décision concernant une personne identifiable | Case à cocher : décoché ☐ 1 |
| Administration des programmes, des activités et des services | Case à cocher : décoché ☐ 2 |
| Conformité ou enquêtes réglementaires et exécution de la réglementation | Case à cocher : décoché ☐ 3 |
| Programme ou activité qui nécessite la prise d’une décision concernant une personne identifiable | Case à cocher : coché ☒ 4 |
| Enquête criminelle et application de la loi, ou sécurité nationale | Case à cocher : décoché ☐ 5 |
| b) Type de renseignements personnels recueillis et contexte | Échelle de risque |
|---|---|
| Seuls les renseignements personnels, qui ne sont pas de nature délicate selon le contexte, recueillis directement auprès de la personne ou fournis avec son consentement aux fins de divulgation en vertu d’un programme autorisé. | Case à cocher : décoché ☐ 1 |
| Renseignements personnels fournis par la personne avec le consentement d’utiliser des renseignements détenus par une autre source pour autant que les renseignements ne soient pas de nature délicate après la collecte. | Case à cocher : décoché ☐ 2 |
| Renseignements personnels sur les mineurs, les personnes incapables ou mettant en cause un représentant agissant au nom de la personne concernée. | Case à cocher : décoché ☐ 3 |
| Le numéro d’assurance sociale, les renseignements médicaux et financiers ou d’autres renseignements personnels de nature délicate, ou encore le contexte de ceux-ci est de nature délicate. | Case à cocher : décoché ☐ 4 |
| Renseignements personnels de nature délicate, dont les profils détaillés, les allégations ou les soupçons, les échantillons de substances corporelles, ou le contexte des renseignements personnels de nature particulièrement délicate. | Case à cocher : coché ☒ 5 |
| c) Participation des partenaires et du secteur privé au programme ou à l’activité | Échelle de risque |
|---|---|
| Au sein de l’institution (que ce soit pour un seul ou pour plusieurs programmes ou activités au sein d’une même institution) | Case à cocher : décoché ☐ 1 |
| Avec d’autres institutions fédérales | Case à cocher : décoché ☐ 2 |
| Avec d’autres institutions ou avec une combinaison des gouvernements fédéral, provinciaux et municipaux | Case à cocher : décoché ☐ 3 |
| Avec des organisations du secteur privé | Case à cocher : coché ☒ 4 |
| Avec des organisations internationales ou des gouvernements étrangers | Case à cocher : décoché ☐ 5 |
| d) Durée du programme ou de l’activité | Échelle de risque |
|---|---|
| Programme ou activité ponctuelle | Case à cocher : décoché ☐ 1 |
| Programme ou activité à court terme | Case à cocher : coché ☒ 2 |
| Programme ou activité à long terme | Case à cocher : décoché ☐ 5 |
| e) Personnes concernées par le programme | Échelle de risque |
|---|---|
| Les renseignements personnels utilisés dans le cadre du programme à des fins administratives internes touchent certains employés. | Case à cocher : décoché ☐ 1 |
| Les renseignements personnels utilisés dans le cadre du programme à des fins administratives internes touchent tous les employés. | Case à cocher : décoché ☐ 2 |
| Les renseignements personnels utilisés dans le cadre du programme à des fins administratives externes touchent certaines personnes. | Case à cocher : coché ☒ 4 |
| Les renseignements personnels utilisés dans le cadre du programme à des fins administratives externes touchent toutes les personnes. | Case à cocher : décoché ☐ 5 |
| f) Technologie et vie privée (Une réponse affirmative indique la présence possible de risques et d’atteintes à la vie privée qui devront être évalués et, si requis, atténués). | Échelle de risque |
|---|---|
| Est-ce que le programme ou l’activité, nouveau ou ayant subi des modifications importantes, comprend la mise en œuvre d’un nouveau système électronique ou l’utilisation d’une technologie émergente afin de créer, de collecter ou de traiter les renseignements personnels dans le but de soutenir le programme ou l’activité? | Case à cocher : décoché ☐ Oui Case à cocher : coché ☒ Non |
| L’activité ou le programme, nouveau ou ayant subi des modifications importantes, requiert-il des modifications aux systèmes hérités des technologies de l’information (TI)? | Case à cocher : décoché ☐ Oui Case à cocher : coché ☒ Non |
Questions propres aux technologies et à la protection de la vie privée Est-ce que le programme ou l’activité, nouveau ou nouvelle ou ayant subi des modifications importantes, implique la mise en œuvre de nouvelles technologies ou d’une ou plusieurs des activités suivantes : amélioration des méthodes d’identification et de comparaison, amélioration des méthodes de collecte de données, usage ou divulgation de renseignements personnels, surveillance, échange entre les gouvernements ou échange transfrontalier de renseignements personnels ou utilisation de la technologie de l’intelligence artificielle pour l’analyse automatisée des renseignements personnels, la comparaison des renseignements personnels et les techniques de découverte des connaissances. Une réponse affirmative à l’une des questions ci-dessus indique la présence possible de risques d’atteinte à la vie privée qui devront être évalués et, si requis, atténués. |
Case à cocher : décoché ☐ Oui Case à cocher : coché ☒ Non |
| g) Transmission des renseignements personnels | Échelle de risque |
|---|---|
| Les renseignements personnels sont utilisés dans un système fermé (c.-à-d. qu’il n’y a pas de connexion à Internet, à l’intranet ou à tout autre système et que la circulation des documents papier est contrôlée). | Case à cocher : décoché ☐ 1 |
| Les renseignements personnels sont utilisés au sein d’un système qui est branché à au moins un autre système. | Case à cocher : décoché ☐ 2 |
| Les renseignements personnels sont transférés sur un dispositif portable (c.-à-d. clé USB, disquette, ordinateur portable), transférés sur un autre support ou imprimés. | Case à cocher : décoché ☐ 3 |
| Les renseignements personnels sont transmis à l’aide de technologies sans fil. | Case à cocher : coché ☒ 4 |
| Les renseignements personnels sont transmis par l’intermédiaire d’un service infonuagique. | Case à cocher : décoché ☐ 5 |
Résumé des risques et des stratégies d’atténuation
La présente EFVP porte sur les 7 risques qui suivent et propose des stratégies d’atténuation.
Risque 1
Des employés pourraient recueillir, utiliser et divulguer des renseignements personnels à des fins personnelles, au-delà de ce qui est nécessaire et proportionnel à l’autorisation légale.
Stratégie d’atténuation
Des procédures ministérielles énonçant clairement en quoi consistent une collecte, une utilisation et une divulgation appropriées des renseignements personnels sont en place. Dans le cadre de ces procédures, les employés savent qu’ils ne doivent ni utiliser ni divulguer de renseignements personnels sans avoir obtenu un consentement écrit au préalable. Des formations sur l’accès à l’information et la protection des renseignements personnels (AIPRP) ainsi que sur les valeurs et l’éthique sont offertes à l’ensemble du personnel et sont tenues à jour.
La Division de l’AIPRP est consultée régulièrement avant l’utilisation et la divulgation de renseignements personnels à de nouvelles fins ou à un nouveau partenaire.
Risque 2
Il existe un risque qu’IRCC conserve les renseignements plus longtemps que la période pertinente ou nécessaire.
Stratégie d’atténuation
Un calendrier de conservation et d’élimination des renseignements personnels recueillis par IRCC dans le cadre de ses activités hôtelières a été établi.
Risque 3
Les contrats avec les fournisseurs de services ne comprennent pas de dispositions en matière de protection des renseignements personnels.
Stratégie d’atténuation
À l’avenir, dès la signature de nouveaux contrats avec des fournisseurs de services ou le renouvellement d’ententes existantes, des dispositions en matière de protection des renseignements personnels seront insérées dans les contrats.
Risque 4
Il existe un risque que les hôtels utilisent ou divulguent de manière inappropriée des renseignements personnels, ou les conservent pendant une période supérieure à la période convenue.
Stratégie d’atténuation
IRCC ne fournit pas de renseignements personnels aux hôtels. Les hôtels recueillent très peu de renseignements personnels. Les hôtels connaissent les demandeurs d’asile en fonction de leur numéro de chambre uniquement.
Risque 5
Les demandeurs d’asile ne sont peut-être pas informés de l’objet de la collecte de leurs renseignements personnels et ne reçoivent pas d’avis sur la protection des renseignements personnels les informant de leurs droits prévus par la Loi sur la protection des renseignements personnels.
Stratégie d’atténuation
L’entente sur le logement provisoire sera modifiée pour inclure un avis sur la protection des renseignements personnels portant sur la collecte et la communication de renseignements par IRCC. La collecte de renseignements effectuée par l’Agence de la santé publique du Canada (ASPC), l’Agence des services frontaliers du Canada (ASFC) et les fournisseurs de services n’a pas encore été évaluée.
Risque 6
Il existe un risque que les renseignements personnels sont compromis lorsqu’ils sont transmis par voie électronique entre l’ASFC et IRCC.
Stratégie d’atténuation
Le Réseau national étudiera la possibilité d’accepter les courriels chiffrés de l’ASFC dans sa boîte de réception générique.
Risque 7
Les employés d’IRCC peuvent consulter le rapport d’occupation des hôtels alors qu’ils n’ont pas besoin d’accéder aux renseignements personnels qu’il contient.
Stratégie d’atténuation
L’accès est limité aux employés qui en ont besoin pour s’acquitter de leurs responsabilités.
Conclusion
La présente EFVP a permis de cerner plusieurs risques associés à l’initiative en ce qui concerne la collecte, la conservation et l’élimination des renseignements personnels, pour lesquels des stratégies d’atténuation ont été définies et mises en œuvre.
Détails de la page
- Date de modification :