Résumé de l’évaluation des facteurs relatifs à la vie privée (EFVP) : Administration et vérification des lettres d’acceptation et des lettres d’attestation provinciales ou territoriales

Institution fédérale responsable

Immigration, Réfugiés et Citoyenneté Canada (IRCC)

Nom du programme/de l’activité

Administration et vérification des lettres d’acceptation et des lettres d’attestation provinciales ou territoriales

Autorisation légale

Les autorisations pertinentes comprennent ce qui suit :

Description du programme ou de l’activité

À la fin de 2023 et au début de 2024, le gouvernement du Canada a annoncé de nouvelles mesures pour appuyer une croissance durable de la population et mieux protéger les étudiants étrangers contre les acteurs malveillants. Ces mesures visent à stabiliser le nombre d’étudiants étrangers qui arrivent au pays. Pour ce faire, Immigration, Refugiés et Citoyenneté Canada (IRCC) a établi un plafond pour les demandes de permis d’études. Il a également mis en œuvre les lettres d’attestation provinciales ou territoriales (LAP/LAT) et leurs procédures de vérification, ainsi que la vérification des lettres d’acceptation (LA) des établissements d’enseignement désignés (EED).

Afin d’aider à s’assurer que les LAP/LAT délivrées par les provinces et les territoires (PT) sont valides et conformes aux plafonds fédéraux, les LAP/LAT incluses dans les demandes de permis d’études seront vérifiées directement auprès des PT qui les ont délivrées. IRCC communiquera également de l’information limitée sur les demandes de permis d’études aux PT afin de soutenir le suivi et la gestion appropriés des plafonds liés à la réception. L’information provenant des LAP/LAT pourra aussi être utilisée, sous forme agrégée, aux fins d’évaluation, d’élaboration de politiques, de production de rapports sur les programmes et d’assurance de la qualité.

De nouvelles mesures exigeront que tous les établissements d’enseignement désignés postsecondaires vérifient l’authenticité de chaque lettre d’acceptation avant l’évaluation des demandes de permis d’études. Ces mesures exigent également qu’IRCC communique de l’information limitée sur les demandeurs de permis d’études aux EED afin de permettre la vérification des LA. Dans le cadre des nouvelles ententes de diffusion de l’information, les EED pourront aussi transmettre de l’information limitée sur les étudiants demandeurs à leurs gouvernements provinciaux et territoriaux respectifs pour soutenir l’administration et la gestion des places liées aux plafonds.

Fichiers de renseignements personnels

Étudiants étrangers (PPU 051)

Résumé de la détermination et de la catégorisation des risques

Vous trouverez ci-dessous le tableau de détermination et de catégorisation des risques correspondant à cette initiative.

a) Type de programme ou d’activité	Échelle de risque
Programme ou activité qui ne nécessite pas la prise d’une décision concernant une personne identifiable	Case à cocher : décoché☐ 1
Administration des programmes, des activités ou des services	Case à cocher : décoché☐ 2
Conformité ou enquêtes réglementaires et exécution de la réglementation	Case à cocher : coché☒ 3
Programme ou activité qui nécessite la prise d’une décision concernant une personne identifiable	Case à cocher : décoché☐ 4
Enquête criminelle et application de la loi ou sécurité nationale	Case à cocher : décoché☐ 5

b) Type de renseignements personnels recueillis et contexte	Échelle de risque
Seulement des renseignements personnels, qui ne sont pas de nature délicate selon le contexte, recueillis directement auprès de la personne ou fournis avec son consentement aux fins de divulgation dans le cadre d’un programme autorisé	Case à cocher : décoché☐ 1
Renseignements personnels transmis par la personne avec le consentement lié à l’utilisation de renseignements détenus par une autre source pour autant que les renseignements ne soient pas de nature délicate après la collecte	Case à cocher : décoché☐ 2
Des renseignements personnels sur des mineurs, des personnes juridiquement incapables ou un représentant agissant au nom de la personne concernée	Case à cocher : décoché☐ 3
Le numéro d’assurance sociale, des renseignements médicaux et financiers ou d’autres renseignements personnels qui sont de nature délicate ou dont le contexte les entourant est de nature délicate.	Case à cocher : coché☒ 4
Des renseignements personnels de nature délicate, y compris des profils détaillés, des allégations ou des soupçons, des échantillons de substances corporelles, ou encore le contexte des renseignements personnels, sont de nature particulièrement délicate	Case à cocher : décoché☐ 5

c) Participation de partenaires et du secteur privé au programme ou à l’activité	Échelle de risque
Au sein de l’institution (que ce soit pour un seul ou pour plusieurs programmes ou activités au sein d’une même institution)	Case à cocher : décoché☐ 1
Avec d’autres institutions fédérales	Case à cocher : décoché☐ 2
Avec d’autres institutions ou avec une combinaison des gouvernements fédéral, provinciaux, territoriaux et municipaux	Case à cocher : décoché☐ 3
Avec des organisations du secteur privé	Case à cocher : coché☒ 4
Avec des organisations internationales ou des gouvernements étrangers	Case à cocher : décoché☐ 5

d) Durée du programme ou de l’activité	Échelle de risque
Programme ponctuel ou activité ponctuelle	Case à cocher : décoché☐ 1
Programme ou activité à court terme	Case à cocher : décoché☐ 2
Programme ou activité à long terme	Case à cocher : coché☒ 5

e) Personnes visées par le programme	Échelle de risque
Les renseignements personnels utilisés dans le cadre du programme à des fins administratives internes touchent certains employés	Case à cocher : décoché☐ 1
Les renseignements personnels utilisés dans le cadre du programme à des fins administratives internes touchent tous les employés	Case à cocher : décoché☐ 2
Les renseignements personnels utilisés dans le cadre du programme à des fins administratives externes touchent certaines personnes en particulier	Case à cocher : coché☒ 4
Les renseignements personnels utilisés dans le cadre du programme à des fins administratives externes touchent toutes les personnes	Case à cocher : décoché☐ 5

f) Technologie et vie privée (une réponse affirmative indique la présence possible de préoccupations et de risques relatifs à la vie privée qui devront être évalués et, au besoin, atténués).	Échelle de risque
L’activité ou le programme, nouveau ou ayant subi des modifications importantes, comprend-il la mise en œuvre d’un nouveau système électronique ou l’utilisation d’une technologie émergente afin de créer, de collecter ou de traiter des renseignements personnels dans le but de soutenir le programme ou l’activité?	Case à cocher : décoché☐ Oui Case à cocher : coché☒ Non
L’activité ou le programme, nouveau ou ayant subi des modifications importantes, requiert-il des modifications à d’anciens systèmes de TI? Cette activité modifiée nécessite des modifications aux systèmes existants suivants : Modes de réception des demandes de permis d’études Portail client MonCIC; Modifier le texte aux fins de la vérification de la lettre d’acceptation du permis d’études; Élargir les exigences relatives aux documents justificatifs dans MonCIC afin de garantir que la lettre; d’acceptation est toujours déclenchée Portail des représentants autorisés rémunérés; Élargir les exigences en matière de pièces justificatives dans MonCIC afin de garantir que la lettre d’acceptation est toujours déclenchée; IMM1294 : le numéro de l’établissement d’enseignement désigné sur la demande de permis d’études IMM1294 devrait être obligatoire pour les études postsecondaires; Portail IRCC : demande électronique de résident temporaire : modification de la demande de permis d’études afin de faciliter la validation de la lettre d’acceptation. Traitement dans le SMGC Modification de l’activité de vérification du permis d’études; Ajout d’un champ à la demande de permis d’études : numéro d’étudiant; Ajout d’un champ à la demande de permis d’études : date limite de la vérification; Ajout d’un champ à la demande de permis d’études : état de la validation. Portail d’IRCC – mode pour les établissements d’enseignement désignés aux fins de validation de la lettre d’acceptation Nouveau locataire du portail d’IRCC pour les établissements d’enseignement désignés; Authentification à 2 facteurs; Profil du compte : utilisateur EED; Numéro d’EED associé au compte; Nom de famille de l’utilisateur; Prénom de l’utilisateur; Adresse courriel associée au compte; Numéro de téléphone associé au compte; Langue préférée associée au compte. Télécharger les renseignements sur l’étudiant à valider dans Excel; Télécharger les renseignements sur l’étudiant validés dans Excel; Recherche du numéro d’étudiant/nom de l’étudiant, de la date de naissance; Fournir la lettre d’acceptation soumise par l’étudiant; Possibilité d’ajouter des utilisateurs secondaires de l’établissement d’enseignement désigné; Historique des activités du compte; Mot de passe oublié.	Case à cocher : coché☒ Oui Case à cocher : décoché☐ Non
Questions propres aux technologies et à la protection de la vie privée Indiquer si le programme ou l’activité, nouveau ou ayant subi des modifications importantes, comprend la mise en œuvre d’une ou de plusieurs des technologies suivantes : Case à cocher : décoché☐ amélioration des méthodes d’identification et de jumelage Case à cocher : coché☒ méthodes améliorées d’identification et de jumelage Case à cocher : décoché☐ surveillance d’échange inter juridictionnel ou transfrontalier de renseignements personnels Case à cocher : décoché☐ utilisation de la technologie de l’intelligence artificielle pour l’analyse automatisée des renseignements personnels Case à cocher : décoché☐ mise en correspondance des renseignements personnels et les techniques de découverte de connaissances	Case à cocher : décoché☐ Oui Case à cocher : coché☒ Non

f) Technologie et vie privée (une réponse affirmative indique la présence possible de préoccupations et de risques relatifs à la vie privée qui devront être évalués et, au besoin, atténués).

Échelle de risque

L’activité ou le programme, nouveau ou ayant subi des modifications importantes, comprend-il la mise en œuvre d’un nouveau système électronique ou l’utilisation d’une technologie émergente afin de créer, de collecter ou de traiter des renseignements personnels dans le but de soutenir le programme ou l’activité?

Case à cocher : décoché☐ Oui
Case à cocher : coché☒ Non

L’activité ou le programme, nouveau ou ayant subi des modifications importantes, requiert-il des modifications à d’anciens systèmes de TI?

Cette activité modifiée nécessite des modifications aux systèmes existants suivants :

Modes de réception des demandes de permis d’études

Portail client MonCIC;

Modifier le texte aux fins de la vérification de la lettre d’acceptation du permis d’études;
Élargir les exigences relatives aux documents justificatifs dans MonCIC afin de garantir que la lettre; d’acceptation est toujours déclenchée

Portail des représentants autorisés rémunérés;

Élargir les exigences en matière de pièces justificatives dans MonCIC afin de garantir que la lettre d’acceptation est toujours déclenchée;

IMM1294 : le numéro de l’établissement d’enseignement désigné sur la demande de permis d’études IMM1294 devrait être obligatoire pour les études postsecondaires;
Portail IRCC : demande électronique de résident temporaire : modification de la demande de permis d’études afin de faciliter la validation de la lettre d’acceptation.

Traitement dans le SMGC

Modification de l’activité de vérification du permis d’études;
Ajout d’un champ à la demande de permis d’études : numéro d’étudiant;
Ajout d’un champ à la demande de permis d’études : date limite de la vérification;
Ajout d’un champ à la demande de permis d’études : état de la validation.

Portail d’IRCC – mode pour les établissements d’enseignement désignés aux fins de validation de la lettre d’acceptation

Nouveau locataire du portail d’IRCC pour les établissements d’enseignement désignés;
Authentification à 2 facteurs;
Profil du compte : utilisateur EED;
- Numéro d’EED associé au compte;
- Nom de famille de l’utilisateur;
- Prénom de l’utilisateur;
- Adresse courriel associée au compte;
- Numéro de téléphone associé au compte;
- Langue préférée associée au compte.
Télécharger les renseignements sur l’étudiant à valider dans Excel;
Télécharger les renseignements sur l’étudiant validés dans Excel;
Recherche du numéro d’étudiant/nom de l’étudiant, de la date de naissance;
Fournir la lettre d’acceptation soumise par l’étudiant;
Possibilité d’ajouter des utilisateurs secondaires de l’établissement d’enseignement désigné;
Historique des activités du compte;
Mot de passe oublié.

Case à cocher : coché☒ Oui
Case à cocher : décoché☐ Non

Questions propres aux technologies et à la protection de la vie privée

Indiquer si le programme ou l’activité, nouveau ou ayant subi des modifications importantes, comprend la mise en œuvre d’une ou de plusieurs des technologies suivantes :

Case à cocher : décoché☐ amélioration des méthodes d’identification et de jumelage

Case à cocher : coché☒ méthodes améliorées d’identification et de jumelage

Case à cocher : décoché☐ surveillance d’échange inter juridictionnel ou transfrontalier de renseignements personnels

Case à cocher : décoché☐ utilisation de la technologie de l’intelligence artificielle pour l’analyse automatisée des renseignements personnels

Case à cocher : décoché☐ mise en correspondance des renseignements personnels et les techniques de découverte de connaissances

Case à cocher : décoché☐ Oui
Case à cocher : coché☒ Non

g) Transmission de renseignements personnels	Échelle de risque
Les renseignements personnels sont utilisés dans un système fermé (c.-à-d. qu’il n’y a pas de connexion à Internet, à l’intranet ou à tout autre système, et que la circulation des documents papier est contrôlée)	Case à cocher : décoché☐ 1
Les renseignements personnels sont utilisés au sein d’un système connecté à au moins un autre système	Case à cocher : décoché☐ 2
Les renseignements personnels sont transférés sur un dispositif portable (p. ex., clé USB, disquette, ordinateur portable) ou sur un autre support ou encore imprimés.	Case à cocher : décoché☐ 3
Les renseignements personnels sont transmis à l’aide de technologies sans fil.	Case à cocher : décoché☐ 4
Les renseignements personnels sont transmis par l’intermédiaire d’un service en nuage.	Case à cocher : coché☒ 5

Résumé des risques et des stratégies d’atténuation

La présente EFVP porte sur les 9 risques qui suivent et propose des stratégies d’atténuation.

Risques

L’EFVP a déterminé les risques suivants liés à l’administration des LA et des LAP/LAT pour les demandes de permis d’études:

La nécessité d’une plus grande transparence concernant le traitement des renseignements personnels;
une responsabilité ambiguë et des limites non définies relatives à la communication de l’information entre IRCC et les PT;
des modalités incomplètes pour le portail des LA et le manque d’ententes d’échange de renseignements (EER) exhaustives avec les EED;
le stockage de renseignements personnels en dehors des systèmes d’enregistrement standards;
des communications par courriel non chiffrées contenant des données de nature sensible;
la divulgation potentielle d’information sur des étudiants à des EED incorrects;
la collecte excessive de renseignements personnels provenant de personnes n’ayant pas fait de demande de permis d’études;
le risque de nouvelle identification sous forme agrégée communiqué aux PT;
la portée limitée de l’EFVP, qui pourrait ne pas tenir compte d’autres facteurs de risque rattachés au programme.

Stratégies d’atténuation

Face à ces risques, IRCC a mis en œuvre un ensemble exhaustif de stratégies d’atténuation, notamment:

la mise à jour du Fichier de renseignements personnels (FRP) et des avis de confidentialité afin d’améliorer la transparence;
l’élaboration de nouvelles ententes d’échange de renseignements avec les PT pour clarifier les responsabilités et établir des limites en matière de traitement des données;
la mise à jour des modalités du portail des LA et la mise en œuvre de nouvelles EER avec les EED;
la révision et la mise à jour des pratiques de gestion de l’information afin de garantir le traitement approprié des données en dehors des systèmes standards;
la mise en œuvre de solutions de chiffrement pour les communications par courriel contenant de l’information sur les clients;
l’adoption de politiques et de procédures garantissant une diffusion exacte de l’information aux EED et un traitement approprié des atteintes possibles;
la limitation de l’utilisation de l’information recueillie et l’inclusion de dispositions dans les EER afin d’aviser les clients de la communication de leur information;
l’application de techniques de suppression des données et l’inclusion de dispositions dans les EER interdisant les tentatives de nouvelle identification;
la réalisation d’une évaluation complète de l’EFVP pour couvrir toutes les activités de programme;

IRCC améliorera les communications publiques concernant l’utilisation de l’information, comptera sur les protocoles d’entente (PE) actuels jusqu’à ce que de nouvelles ententes soient finalisées et collaborera avec la Division de la gestion du Programme de protection des renseignements personnels (DGPPRP) pour les travaux futurs liés à la protection de la vie privée. Ces mesures visent à améliorer la transparence, à renforcer la protection des données, à accroître la responsabilité et à garantir la conformité à la réglementation sur la protection des renseignements personnels dans le cadre de tous les aspects des activités de programme.

Conclusion

Les 9 risques liés à la protection de la vie privée susmentionnés ont été établis de niveau faible à moyen, et les stratégies d’atténuation permettront de s’y attaquer.

Détails de la page

2026-04-09