Résumé de l’évaluation des facteurs relatifs à la vie privée (EFVP) : Initiative d’aide transitoire Canada-Ukraine (IATCU)
Institution fédérale responsable
Immigration, Réfugiés et Citoyenneté Canada
Nom du programme/de l’activité
Initiative d’aide transitoire Canada-Ukraine (IATCU)
Autorisation légale
Les renseignements personnels servent à administrer l’Initiative d’aide transitoire Canada-Ukraine (IATCU), une initiative du Programme d’aide à la réinstallation d’IRCC, menée au titre des alinéas 3(2)b), 3(1)a) et 3(1)e) de la Loi sur l’immigration et la protection des réfugiés (LIPR). L’autorisation rattachée à la collecte, à l’utilisation et à la communication de renseignements est prévue aux articles 4 et 5 de la Loi sur le ministère de la Citoyenneté et de l’Immigration (LMCI).
Description du programme/de l’activité
Dans le cadre de la réponse du gouvernement du Canada à l’invasion à grande échelle de l’Ukraine par la Russie, au début de 2022, IRCC a mis en œuvre l’Autorisation de voyage d’urgence Canada-Ukraine (AVUCU) afin de permettre aux étrangers ukrainiens et aux membres de leur famille qui fuient le conflit de venir temporairement au Canada. Par l’intermédiaire de l’AVUCU, les personnes admissibles peuvent être autorisées à rester au Canada pendant trois ans, comparativement à la durée normale de six mois accordée aux visiteurs réguliers.
L’AVUCU est offerte aux Ukrainiens qui se trouvent à l’extérieur du Canada, ainsi qu’à ceux qui sont actuellement au Canada à titre de visiteurs. Au titre de l’AVUCU, les personnes qui se trouvent déjà au Canada peuvent prolonger leur visa de visiteur jusqu’à trois ans de plus. Les personnes qui présentent une demande d’AVUCU peuvent également présenter une demande de permis de travail ouvert ou de permis d’études.
En avril 2022, le premier ministre a annoncé une mesure supplémentaire pour les Ukrainiens : l’Initiative d’aide transitoire Canada-Ukraine (IATCU), un programme visant à offrir un soutien du revenu de courte durée aux Ukrainiens et aux membres de leur famille pour qu’ils soient en mesure de subvenir à leurs besoins de base dès leur arrivée au Canada. Pour ce qui est des personnes dont la demande au titre de l’AVUCU a été approuvée, l’IATCU offre un paiement unique (non imposable) pouvant aller jusqu’à 3 000 $ en guise de soutien financier transitoire.
Les clients de l’AVUCU présentent une demande d’aide financière dans le cadre de l’IATCU auprès de Service Canada. En retour, Service Canada compare les données des demandeurs aux données de l’AVUCU communiquées par IRCC. IRCC communique peu de renseignements – suffisamment pour effectuer une comparaison des données et confirmer qu’un demandeur de l’IATCU est admissible à l’aide financière.
La présente évaluation des facteurs relatifs à la vie privée (EFVP) vise à analyser la communication de renseignements entre IRCC et Service Canada à l’appui de l’IATCU. Les risques relevés dans l’EFVP ont été examinés par la haute direction d’IRCC. En réponse, des activités d’atténuation des risques appropriées ont été approuvées et un plan d’action a été élaboré pour veiller à la mise en œuvre de ces mesures d’atténuation en temps opportun.
Fichiers de renseignements personnels
- IRCC PPU 065 (Aide à la réinstallation)
- IRCC PPU 068 (Contrôle des mouvements migratoires et gestion de la sécurité)
Résumé de la détermination et de la catégorisation des risques
Vous trouverez ci-dessous le tableau de détermination et de catégorisation des risques correspondant à cette initiative.
| a) Type de programme ou d’activité | Échelle de risque |
|---|---|
| Programme ou activité qui n’exige pas la prise d’une décision concernant une personne identifiable | Case à cocher : décoché ☐ 1 |
| Administration d’un programme ou d’une activité et de services | Case à cocher : coché ☒ 2 |
| Conformité ou enquêtes réglementaires et exécution de la réglementation | Case à cocher : décoché ☐ 3 |
| Programme ou activité qui nécessite la prise d’une décision concernant une personne identifiable | Case à cocher : décoché ☐ 4 |
| Enquête criminelle et application de la loi, ou sécurité nationale | Case à cocher : décoché ☐ 5 |
| b) Type de renseignements personnels recueillis et contexte | Échelle de risque |
|---|---|
| Seulement des renseignements personnels, qui ne sont pas de nature délicate selon le contexte, recueillis directement auprès de la personne ou fournis avec son consentement aux fins de divulgation dans le cadre d’un programme autorisé | Case à cocher : coché ☒ 1 |
| Des renseignements personnels transmis par la personne, avec son consentement pour l’utilisation de renseignements détenus par une autre source, pourvu que les renseignements ne soient pas de nature délicate dans le contexte après la collecte | Case à cocher : décoché ☐ 2 |
| Des renseignements personnels sur les mineurs, les personnes juridiquement incapables ou un représentant agissant au nom de la personne concernée | Case à cocher : décoché ☐ 3 |
| Le numéro d’assurance sociale, des renseignements médicaux et financiers ou d’autres renseignements personnels qui sont de nature délicate ou dont le contexte les entourant est de nature délicate | Case à cocher : décoché ☐ 4 |
| Des renseignements personnels de nature délicate, dont les profils détaillés, les allégations ou les soupçons, les échantillons de substances corporelles, ou des renseignements personnels dont le contexte est de nature particulièrement délicate | Case à cocher : décoché ☐ 5 |
| c) Participation des partenaires et du secteur privé au programme ou à l’activité | Échelle de risque |
|---|---|
| Au sein de l’institution (que ce soit pour un seul ou pour plusieurs programmes ou activités au sein d’une même institution) | Case à cocher : décoché ☐ 1 |
| Avec d’autres institutions fédérales | Case à cocher : coché ☒ 2 |
| Avec d’autres institutions ou avec une combinaison des gouvernements fédéral, provinciaux, territoriaux et municipaux | Case à cocher : décoché ☐ 3 |
| Avec des organisations du secteur privé | Case à cocher : décoché ☐ 4 |
| Avec des organisations internationales ou des gouvernements étrangers | Case à cocher : décoché ☐ 5 |
| d) Durée du programme ou de l’activité | Échelle de risque |
|---|---|
| Programme ponctuel ou activité ponctuelle | Case à cocher : décoché ☐ 1 |
| Programme ou activité à court terme | Case à cocher : coché ☒ 2 |
| Programme ou activité à long terme | Case à cocher : décoché ☐ 5 |
| e) Personnes concernées par le programme | Échelle de risque |
|---|---|
| Les renseignements personnels utilisés dans le cadre du programme à des fins administratives internes touchent certains employés | Case à cocher : décoché ☐ 1 |
| Les renseignements personnels utilisés dans le cadre du programme à des fins administratives internes touchent tous les employés | Case à cocher : décoché ☐ 2 |
| Les renseignements personnels utilisés dans le cadre du programme à des fins administratives externes touchent certaines personnes en particulier | Case à cocher : coché ☒ 4 |
| Les renseignements personnels utilisés dans le cadre du programme à des fins administratives externes touchent toutes les personnes | Case à cocher : décoché ☐ 5 |
| f) Technologie et vie privée (une réponse affirmative indique la présence possible de préoccupations et de risques relatifs à la vie privée qui devront être évalués et, au besoin, atténués). | Échelle de risque |
|---|---|
L’activité ou le programme, nouveau ou ayant subi des modifications importantes, comprend-il la mise en œuvre d’un nouveau système électronique ou l’utilisation d’une technologie émergente afin de créer, de collecter ou de traiter des renseignements personnels dans le but de soutenir le programme ou l’activité? Remarque : Limitée à l’utilisation des Services dirigés de transfert sécurisé de fichiers (SGTSF) dirigés par Services partagés Canada (SPC) à des fins de communication de données avec Emploi et Développement social Canada (EDSC)/Service Canada. |
Case à cocher : coché ☒ Oui Case à cocher : décoché ☐ Non |
L’activité ou le programme, nouveau ou ayant subi des modifications importantes, requiert-il des modifications aux anciens systèmes informatiques? Remarque : Les modifications apportées au Système mondial de gestion des cas (SMGC) se limitent aux éléments de données ajoutés à la liste de valeurs de certains champs de données (code de programme spécial, remarques). |
Case à cocher : coché ☒ Oui Case à cocher : décoché ☐ Non |
Questions propres aux technologies et à la protection de la vie privée L’activité ou le programme, nouveau ou ayant subi des modifications importantes, comprend-il la mise en œuvre de nouvelles technologies ou l’une ou plusieurs des activités suivantes : Case à cocher : décoché ☐ Méthodes améliorées de détermination et de jumelage Remarque : Les modifications apportées au Système mondial de gestion des cas (SMGC) se limitent aux éléments de données ajoutés à la liste de valeurs de certains champs de données (code de programme spécial, remarques). |
Case à cocher : coché ☒ Oui Case à cocher : décoché ☐ Non |
| g) Transmission des renseignements personnels | Échelle de risque |
|---|---|
| Les renseignements personnels sont utilisés dans un système fermé (c.-à-d. qu’il n’y a pas de connexion à Internet, à l’intranet ou à tout autre système, et que la circulation des documents papier est contrôlée). | Case à cocher : décoché ☐ 1 |
| Les renseignements personnels sont utilisés au sein d’un système connecté à au moins un autre système. | Case à cocher : coché ☒ 2 |
| Les renseignements personnels sont transférés sur un dispositif portable (p. ex., clé USB, disquette, ordinateur portable) ou sur un autre support ou encore imprimés. | Case à cocher : décoché ☐ 3 |
| Les renseignements personnels sont transmis à l’aide de technologies sans fil. | Case à cocher : décoché ☐ 4 |
| Les renseignements personnels sont transmis par l’intermédiaire d’un service en nuage. | Case à cocher : décoché ☐ 5 |
Résumé des risques et des stratégies d’atténuation
La présente EFVP porte sur les 4 risques qui suivent et propose des stratégies d’atténuation.
Risque 1
Il y a un risque qu’IRCC et EDSC/Service Canada ne fournissent pas un avis adéquat, comme l’exigent l’article 5 de la Loi sur la protection des renseignements personnels (LPRP) et l’article 6.2.9 de la Directive sur les pratiques relative à la protection de la vie privée du Secrétariat du Conseil du Trésor (SCT), concernant la communication par IRCC de l’identificateur unique de client (IUC), de la date de naissance et du numéro du document IMM1442 à EDSC/Service Canada aux fins de l’évaluation de l’admissibilité à l’IATCU. Le portail de demande en ligne de l’AVUCU dirigé par IRCC n’avise pas les demandeurs d’une telle communication, et le portail de demande en ligne de l’IATCU dirigé par EDSC/Service Canada n’avise pas non plus les utilisateurs d’une telle collecte indirecte de renseignements par EDSC/Service Canada.
Remarque : À la lumière de l’examen de l’ébauche de la présente EFVP, EDSC/Service Canada se sont engagés à apporter des modifications à leur énoncé de confidentialité afin qu’il mentionne les renseignements recueillis auprès d’IRCC.
Stratégie d’atténuation
Il est recommandé qu’IRCC tienne compte de ce faible risque et décide s’il est nécessaire d’apporter des modifications aux énoncés de confidentialité respectifs des organisations. En supposant qu’EDSC/Service Canada apportent les changements prévus à l’énoncé de confidentialité sur leur portail en ligne de l’IATCU, il est recommandé qu’IRCC n’apporte aucun changement à son énoncé de confidentialité relatif à l’AVUCU.
Risque 2
Il y a un risque qu’IRCC contrevienne à la Loi sur l’immigration et la protection des réfugiés (LIPR), à la Loi sur le ministère de la Citoyenneté et de l’Immigration (LMCI) et à la Loi sur la protection des renseignements personnels (LPRP) en communiquant à EDSC/Service Canada le numéro d’IUC, la date de naissance et le numéro du document IMM1442 des personnes qui n’ont pas encore présenté de demande d’aide financière dans le cadre de l’IATCU à EDSC/Service Canada et qui pourraient ne jamais en présenter une. Il s’agit d’un risque de communication excessive par IRCC et de collecte excessive par EDSC/Service Canada.
Stratégie d’atténuation
La capacité d’identifier une personne qui n’a pas présenté de demande en fonction des éléments de données communiqués par IRCC a été évaluée comme étant faible. Comme l’intention de l’IATCU est de fournir une aide financière urgente, le Ministère a évalué le risque de communication excessive par rapport à l’urgence de verser les prestations afin d’éclairer la prise de décision. Il est recommandé qu’IRCC admette le risque en raison des facteurs suivants : d’autres solutions de jumelage de données exigeant qu’EDSC/Service Canada recherchent une correspondance des données après examen de la demande de chaque personne ont été envisagées, IRCC s’est engagé à communiquer le moins de renseignements personnels possible pour réduire le risque juridique, l’identification d’un client précis serait impossible à moins que la personne qui reçoit les renseignements possède déjà de tels renseignements lui permettant d’établir un lien avec un client précis, et le Ministère s’est engagé à supprimer toutes les données non jumelées d’ici décembre 2024. EDSC/Service Canada déterminera, d’ici juin 2024, quelles personnes n’ont pas encore présenté de demande à l’égard de l’IATCU et supprimera leur IUC, leur date de naissance et le numéro de leur document IMM1442. Il est recommandé qu’IRCC obtienne une confirmation d’EDSC/Service Canada lorsque toutes les données sur les personnes qui n’ont pas présenté de demande au titre de l’IATCU auront été supprimées.
Risque 3
Les données sont transmises de façon sécuritaire d’une partie à l’autre. Cependant, le volume de renseignements personnels transférés à EDSC aux fins de la prestation de l’IATCU et la fréquence de ces transferts présentent un risque d’atteinte à la sécurité et à la vie privée en cas d’ingérence dans le système.
Stratégie d’atténuation
Il est recommandé qu’IRCC admette que ce risque est faible, puisque toutes les évaluations de sécurité nécessaires pour chaque système utilisé dans le cadre de la prestation de l’IATCU ont été effectuées lorsque les systèmes ont été introduits pour la première fois par le ministère responsable. De plus, les renseignements personnels contenus dans le dossier font en sorte qu’il est impossible d’identifier un client précis, à moins que la personne qui reçoit l’information possède déjà ces renseignements lui permettant d’établir un lien avec un client précis.
Risque 4
Il y a un risque que les fichiers de renseignements personnels (FRP) CIC PPU 065 (Aide à la réinstallation) et CIC PPU 068 (Contrôle des mouvements migratoires et gestion de la sécurité) ne soient pas mis à jour.
Stratégie d’atténuation
Il est recommandé qu’IRCC examine et mette à jour les FRP pour tenir compte des renseignements personnels qui peuvent être recueillis auprès de fournisseurs de services ou d’institutions fédérales ou qui peuvent leur être communiqués afin d’appuyer la réalisation des objectifs du programme.
Conclusion
IRCC a admis l’existence des risques cernés dans la présente EFVP. Certaines des stratégies d’atténuation ont été mises en œuvre, tandis que d’autres le seront d’ici juin 2024.
Détails de la page
- Date de modification :