Résumé de l’évaluation des facteurs relatifs à la vie privée

Programme d’aide aux athlètes (PAA)

1. À propos du programme

Les sports et l’activité physique contribuent grandement à la santé, à la vie sociale, aux capacités linguistiques, à l’économie et à la diversité culturelle des Canadiens. Le Programme d’aide aux athlètes (PAA) est un programme de subventions du gouvernement fédéral qui fournit de l’aide financière directe aux athlètes canadiens de haut niveau. Cette aide comprend des allocations de subsistance et d’entraînement ainsi que le paiement des frais de scolarité et un soutien supplémentaire dans des situations particulières. Le PAA est l’un des trois programmes de Sport Canada administrés par la direction générale de Sport Canada du ministère du Patrimoine canadien qui vise à soutenir le développement des athlètes canadiens et à renforcer la compétitivité du Canada dans le cadre des compétitions sportives internationales.

2. Collecte des renseignements personnels

Pour traiter une demande de financement dans le cadre du PAA, Patrimoine canadien doit recueillir, utiliser et transmettre les renseignements personnels des athlètes admissibles. Les renseignements servent également à des fins administratives et à la gestion du programme. Des renseignements personnels pourraient être recueillis auprès des athlètes admissibles ainsi que de leurs parents, tuteurs ou entraîneurs. Bien que Patrimoine canadien recueille et utilise des renseignements personnels seulement à des fins administratives (p. ex. pour prendre une décision à l’égard d’une personne identifiable), le Ministère a décidé de réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) visant le PAA.

3. Portée de l’évaluation des facteurs relatifs à la vie privée (EFVP)

Patrimoine canadien figure dans l’annexe de la Loi sur la protection des renseignements personnels et est assujetti aux politiques et aux directives sur la protection des renseignements personnels du gouvernement du Canada. Conformément à la Politique sur la protection de la vie privée du Secrétariat du Conseil du Trésor, toute institution fédérale assujettie à la Loi sur la protection des renseignements personnels doit réaliser une évaluation des facteurs relatifs à la vie privée liés à l’élaboration ou à la conception d’un programme ou d’un service qui utilise des renseignements personnels. La réalisation d’une EFVP est aussi requise au moment d’apporter d’importants changements à un programme ou à un service existant.

Bien que le PAA ait été créé avant la date d’entrée en vigueur de la Politique sur la protection de la vie privée du gouvernement du Canada, Patrimoine canadien a pris la décision en 2020 d’inclure un nouveau système de gestion de l’information en vue de soutenir le programme. Puisque Patrimoine canadien a l’intention de continuer à recueillir, à utiliser et à transmettre des renseignements personnels dans le cadre de l’administration du PAA, le Ministère a décidé de réaliser une EFVP de base pour s’assurer que les risques en matière de vie privée liés au programme et à son nouveau système de soutien soient adéquatement atténués, le cas échéant. La direction était de l’avis qu’une EFVP visant le nouveau système et, surtout, les activités sous-jacentes du PAA, serait une bonne occasion d’examiner et d’évaluer la meilleure façon de traiter les renseignements personnels des demandeurs au programme et des participants.

L’EFVP a été réalisée sous la direction de la Direction générale du dirigeant principal de l’information du Ministère (Transformation opérationnelle stratégique) et en consultation avec les représentants du PAA. Les groupes responsables de l’accès à l’information et de la protection des renseignements personnels, de la technologie de l’information et de la gestion de l’information du Ministère ont été mobilisés au fur et à mesure des besoins.

Conformément à sa portée en tant qu’EFVP de base, l’évaluation comprenait un examen de haut niveau du PAA, tel qu’il était administré au moment de rédiger le présent rapport. Un examen du processus d’inscription des demandeurs au PAA et une évaluation des usages approuvés des renseignements personnels recueillis des athlètes admissibles ont été réalisés. Un examen du nouveau système d’information de gestion du PAA (SIGPAA) et de ses premières étapes de conception (p. ex. validation de principe) a aussi été réalisé. Cela comprenait une évaluation des besoins opérationnels, des flux de travail prévus et de la fonctionnalité de base du système.

L’EFVP ne comprenait pas une évaluation des contrôles informatiques et des réglages généraux de confidentialité du nouveau système. Les questions touchant la sécurité des TI liées au SIGPAA et d’autres applications et bases de données de soutien ont été examinées en majeure partie au moyen du processus d’évaluation de la sécurité et d’autorisation de Patrimoine canadien. Une EFVP distincte a été préparée par Patrimoine canadien pour le portail virtuel Mon PCH.

4. Analyse de protection de la vie privée

Selon l’EFVP, les risques d’atteinte à la vie privée découlant du PAA et de la première version du SIGPAA sont modérés à faibles. Dans le cadre du programme, seul un nombre limité de données personnelles sont recueillies, et la plupart sont de nature non sensible. Ces données sont recueillies directement auprès des personnes auxquelles elles appartiennent et sont uniquement utilisées aux fins de gestion et d’administration du programme (p. ex. il n’y a pas d’utilisation secondaire des renseignements des athlètes).

5. Identification et catégorisation des secteurs de risque

A : Type de programme ou d’activité	Échelle de risque
Programme ou activité qui ne nécessitent pas la prise d’une décision concernant un individu identifiable. Les renseignements personnels servent uniquement aux fins de travaux de recherche ou de statistique ou à des évaluations, y compris une liste d’envoi où aucune des décisions prises n’a un effet direct sur une personne identifiable.	Non
Les renseignements personnels sont utilisés pour prendre des décisions qui touchent directement la personne (p. ex. déterminer l’admissibilité à des programmes, y compris procéder à l’authentification pour permettre l’accès à des programmes ou à des services, administrer les paiements de programme, les trop-payés ou le soutien à la clientèle, délivrer ou refuser des permis ou des licences, traiter des appels, etc.).	Oui
Les renseignements personnels sont utilisés pour détecter des fraudes ou enquêter sur d’éventuels abus dans les programmes lorsque les conséquences sont de nature administrative (p. ex. imposition d’une amende, interruption du versement de prestations, vérification de la déclaration de revenu d’un particulier ou déportation d’une personne pour des motifs non liés à la sécurité nationale ni à un acte criminel).	Non
Les renseignements personnels sont utilisés à des fins d’enquête et d’application des lois en matière criminelle (p. ex. décisions pouvant mener à des accusations ou à des peines au criminel ou à la déportation pour des motifs liés à la sécurité nationale ou à un acte criminel).	Non

B : Type de renseignements personnels recueillis et contexte	Échelle de risque
Seules les données fournies directement par l’individu – au moment de la collecte – relatives à un programme autorisé et recueillies directement auprès de l’individu ou avec son consentement pour la communication pour autant que les données ne soient pas de nature délicate dans le contexte. Le contexte dans lequel les renseignements personnels sont recueillis n’est pas de nature particulièrement délicate. Par exemple : pour l’obtention générale de permis ou le renouvellement de documents de voyage ou de documents d’identité.	Oui
Données personnelles fournies par l’individu avec le consentement d’utiliser des données détenues par une autre source pour autant que les données ne soient pas de nature délicate après la collecte.	Non
Le numéro d’assurance sociale, les renseignements médicaux et financiers ou d’autres renseignements personnels de nature délicate, ou encore le contexte de ceux-ci est de nature délicate. Renseignements personnels sur les mineurs, les personnes incapables ou un représentant agissant au nom de l’individu concerné.	Non
Renseignements personnels de nature délicate, dont les profils détaillés, les allégations ou les soupçons, les échantillons de substances corporelles, ou le contexte des renseignements personnels de nature particulièrement délicate.	Non

C : Participation des partenaires et du secteur privé au programme ou à l’activité	Échelle de risque
Au sein de l’institution (que ce soit pour un seul ou pour plusieurs programmes ou activités au sein d’une même institution)	Oui
Avec d’autres institutions fédérales	Non
Avec d’autres institutions ou avec une combinaison des gouvernements fédéral, provinciaux et/ou municipaux	Oui
Avec des gouvernements étrangers, des organisations internationales et/ou des organisations du secteur privé	Oui

D : Durée du programme ou de l’activité	Échelle de risque
Programme ou activité ponctuel : En général, mesure de soutien ponctuelle prenant la forme d’une subvention versée dans le cadre d’un mécanisme de soutien social.	Non
Programme à court terme : Programme ou activité qui vise un objectif à court terme et dont la date d’échéance est fixée.	Non
Programme à long terme : Programme existant qui a été modifié ou dont la date d’échéance n’est pas clairement établie.	Oui

E : Personnes concernées par le programme	Échelle de risque
Le programme touche certains employés à des fins administratives internes.	Non
Le programme touche tous les employés à des fins administratives internes.	Non
Le programme touche certains individus à des fins administratives externes.	Oui
Le programme touche tous les individus à des fins administratives externes.	Non

F : Technologie et vie privée	Échelle de risque
Est-ce que le programme ou l’activité, nouveau ou ayant subi des modifications importantes, comprend la mise en œuvre d’un nouveau système électronique, logiciel ou programme d’application, dont un collecticiel (ou logiciel de groupe), qui sera mis sur pieds afin de créer, collecter ou traiter les renseignements personnels dans le but de soutenir le programme ou l’activité?	Oui
L’activité ou le programme, nouveau ou ayant subi des modifications importantes, requiert-il des modifications aux systèmes hérités des TI?	Non
L’activité ou le programme nouveau ou modifié nécessite-t-il la mise en œuvre de technologies pouvant porter atteinte à la vie privée?	Non

G : Transmission des renseignements personnels	Échelle de risque
Les renseignements personnels sont utilisés au sein d’un système fermé (aucune connexion à Internet, à l’intranet ou à tout autre système. La distribution des documents papier est surveillée).	Non
Les renseignements personnels sont utilisés au sein d’un système qui est branché à au moins un autre système.	Oui
Les renseignements personnels sont transférés à des dispositifs portatifs ou sont imprimés.	Oui
Les renseignements personnels sont transmis à l’aide de technologies sans fil.	Non

I : Risques possibles pour la personne ou l’employé	Échelle de risque
Inconvénient.	Oui
Atteinte à la réputation, embarras.	Oui
Préjudice financier.	Oui
Préjudice physique, y compris des restrictions à la liberté de mouvement et d’association.	Non

H : Risques possibles pour le Ministère	Échelle de risque
Préjudice pour la direction. Nouvel examen des processus, usage d’autres outils, changement de fournisseur ou de partenaire.	Oui
Préjudice pour l’organisation. Changements concernant la structure organisationnelle et décisionnelle de l’organisation, la distribution des responsabilités et l’architecture d’activités de programme, départ d’employés, réaffectation de ressources humaines.	Oui
Préjudice financier. Poursuites, montants supplémentaires requis, réaffectation de ressources financières.	Oui
Atteinte à la réputation, embarras, perte de crédibilité. Diminution de la confiance du public, élus placés sous les projecteurs, résultats stratégiques ministériels compromis, priorités gouvernementales compromises, répercussions sur les secteurs de résultats du gouvernement du Canada.	Non