Résumé de l’évaluation des facteurs relatifs à la vie privée pour le Système de consultation en ligne sur la réglementation (SCLR)

Introduction

Le présent document résume les résultats d’une évaluation des facteurs relatifs à la vie privée (EFVP) réalisée pour le Système de consultation en ligne sur la réglementation (SCLR) du Secteur des affaires réglementaires, Secrétariat du Conseil du Trésor du Canada (SCT).

Pourquoi fallait-il réaliser une EFPV?

Cette EFVP a été réalisée parce que la nouvelle solution centralisée proposée du gouvernement du Canada visant la consultation des intervenants sur la réglementation, le SCLR, vise la collecte de renseignements personnels et sera utilisée par tous les ministères et organismes de réglementation.

Objectifs de l’EFVP

Voici les trois objectifs de l’EFVP :

• assurer une saine gestion des renseignements personnels;
• veiller à ce que le système ne recueille pas plus d’informations que nécessaire;
• veiller à ce que les politiques et les mesures préventives qui s’imposent soient mises en place pour protéger les renseignements personnels recueillis.

La portée de cette EFVP s’étend à l’évaluation des commentaires du site Web de la Gazette du Canada afin de déterminer la façon dont ils ont été traités par les organismes de réglementation du SCLR et validés pour être affichés sur le site Web public de la Gazette du Canada.

Résumé des risques recensés dans le cadre de l’EFVP

Voici ce qu’a révélé l’EFVP :

• tous les renseignements personnels seront conservés dans un environnement Protégé B;
• le nombre d’utilisateurs du système sera limité et étroitement surveillé;
• tous les utilisateurs sont tenus d’attester qu’ils ont suivi une formation appropriée en matière de protection des renseignements personnels;
• tous les intervenants qui souhaitent transmettre des commentaires sont tenus de reconnaître que leurs commentaires seront publiés en ligne avant de les transmettre.

En outre, le type de renseignements personnels recueillis par le SCLR ne présente pas de risque élevé. Il s’agit uniquement de noms, de coordonnées et de certaines adresses.

Conformément à la Directive sur l’évaluation des facteurs relatifs à la vie privée, l’EFVP comprenait une section Détermination et catégorisation des secteurs de risque dûment remplie.

Risques cernés

L’EFVP a révélé huit risques : deux faibles, six moyens et aucun élevé. Elle a également déterminé neuf stratégies d’atténuation des risques.

Ce résultat est attribuable au type de données transmises, qui présente un faible risque, au stockage des données dans des environnements Protégé B, et aux mesures de contrôle prises à l’égard des utilisateurs du système et aux exigences en matière de formation auxquelles ils sont assujettis.

Risques cernés

1. Il y a un risque que les ministères et organismes qui utilisent le SCLR ne l’utilisent pas en tenant compte de l’importance de protéger les renseignements personnels. La recommandation correspondante est de mettre en place des conditions d’utilisation du SCLR que tous les employés du gouvernement qui utilisent le système accepteraient de respecter avant d’obtenir un compte. Les conditions d’utilisation comprennent un engagement à suivre une formation sur la protection de la vie privée, à prendre connaissance des politiques et à reconnaître leur responsabilité de protéger la vie privée des utilisateurs.
2. Il y a un risque que le SCLR soit déployé avant que les utilisateurs aient suivi la formation demandée ou aient pris connaissance des politiques pertinentes. La recommandation est d’élaborer une formation et des politiques avant le lancement. Des documents de formation et de communication ont été élaborés et distribués depuis que l’EFVP a été menée à bien en mars 2021.
3. Il y a un risque que les utilisateurs publient des renseignements personnels dans la Gazette du Canada. Les organismes de réglementation reçoivent une formation et des documents d’orientation sur la façon de repérer et de caviarder les renseignements personnels dans les commentaires transmis au SCLR. Les intervenants qui transmettent des commentaires sur le SCLR sont tenus de reconnaître les conditions d’utilisation, selon lesquelles aucun renseignement personnel ne doit être transmis.
4. Il y a un risque que les rapports créés dans le SCLR contiennent de l’information d’identification et que des extraits soient téléversés vers d’autres systèmes. L’extraction par défaut a été modifiée pour ne plus inclure de renseignements personnels.
5. Il y a un risque que les documents à l’appui ne soient pas appariés avec les bons commentaires. Ce risque a été atténué en conseillant aux organismes de réglementation de sauvegarder les documents à l’appui avec l’information d’identification de la personne qui a fourni les commentaires dans le nom du fichier.
6. Il y a un risque que les ministères qui ont accès à l’arrière-plan du système conservent l’information plus longtemps que nécessaire pour se conformer à la loi en matière de protection des renseignements personnels. Ce risque a été atténué grâce à l’élaboration d’un plan d’élimination des commentaires du système en consultation avec l’équipe chargée de la gestion de l’information du ministère. L’engagement à l’égard de l’élimination des renseignements personnels fait également partie des conditions d’utilisation du SCLR.
7. Il y a un risque que le SCLR soit déployé avant qu’une évaluation de la sécurité ne soit effectuée et l’autorisation connexe, obtenue. L’évaluation de sécurité a été effectuée et l’autorisation a été obtenue avant le lancement du premier règlement visant l’utilisation du SCLR le 31 mars 2021.
8. Il y a un risque que l’énoncé de confidentialité du SCLR ne soit pas transparent et qu’il ne mentionne pas de fichier de renseignements personnels (FRP). L’énoncé de confidentialité a été mis à jour pour y ajouter un FRP avant le lancement du premier règlement visant l’utilisation du SCLR.

Description du processus de consultation des intervenants sur la réglementation

Depuis toujours, les ministères et organismes de réglementation utilisent la Gazette du Canada, le journal officiel du gouvernement du Canada, pour afficher les projets de règlement en vue d’obtenir les commentaires du public.

Après des consultations initiales avec les intervenants et les partenaires, les règlements sont rédigés et publiés dans la partie I de la Gazette du Canada, après quoi un avis est publié sur le site Web de la Gazette du Canada pour obtenir d’autres commentaires et des documents à l’appui de ces règlements.

Les intervenants et le public soumettent alors volontairement des commentaires et des documents à l’appui (visant environ 80 projets de règlement par an) directement aux organismes de réglementation par courriel, télécopie ou la poste.

Enfin, les organismes de réglementation peuvent publier un rapport « Ce que nous avons entendu » résumant les commentaires reçus. Toutefois, ils ne publient pas les commentaires textuels.

Ce processus historique manque de transparence, car les intervenants ne sont pas en mesure de voir quels commentaires ont été transmis. Les États-Unis, le Mexique et plusieurs autres pays permettent de publier les commentaires en ligne, ce qui favorise une plus grande transparence.

Par conséquent, le gouvernement du Canada a annoncé dans le budget de 2018 qu’il avait l’intention de poursuivre son « programme en matière de réglementation (…), le but étant de rendre le système de réglementation canadien plus agile, transparent et réceptif pour que les entreprises du pays puissent explorer et concrétiser les possibilités au bénéfice de tous les Canadiens ». L’annonce comprenait un investissement visant « le développement d’un système de réglementation en ligne (…) pour faire participer les Canadiens à la réglementation pour améliorer la transparence et l’efficience du processus décisionnel [processus global d’élaboration des règles] ».

De plus, au cours des négociations trilatérales sur l’Accord Canada-États-Unis-Mexique (ACEUM), le Canada a convenu que la publication des commentaires sur la réglementation rendrait le processus réglementaire canadien plus transparent, responsable et prévisible. Cela permettrait de jeter les bases d’approches réglementaires compatibles et d’éliminer les exigences réglementaires lourdes, redondantes ou divergentes pour les citoyens et les entreprises de toute l’Amérique du Nord. Par conséquent, dans le cadre de l’ACEUM, le Canada s’est engagé à créer un site Web unique et accessible qui favorise l’élaboration transparente des règlements.

Par conséquent, le Secteur des affaires réglementaires du SCT et la Direction de la Gazette du Canada de Services publics et Approvisionnement Canada (SPAC) ont collaboré à l’élaboration d’une solution.

La solution

Premièrement, une solution « frontale » a été conçue pour le site Web de la Gazette du Canada afin de permettre aux particuliers, à l’industrie et aux autres intervenants de transmettre des commentaires directement aux organismes de réglementation par le biais du site Web, sans avoir à ouvrir une session ou à créer un compte d’utilisateur.

Ensuite, une fois les commentaires soumis, un système dorsal, le Système de consultation en ligne sur la réglementation (SCLR), recueillera et organisera les commentaires pour les organismes de réglementation canadiens. Les commentaires seront examinés pour s’assurer qu’ils sont conformes aux conditions d’utilisation de la Gazette du Canada en ce qui concerne les renseignements personnels, les propos haineux et d’autres préoccupations, lesquelles sont fondées sur les conditions d’utilisation que l’on retrouve sur tous les sites Web du gouvernement du Canada. L’accès aux commentaires sera limité principalement aux employés chargés des modifications réglementaires.

Enfin, une fois les commentaires approuvés aux fins de publication, le SCLR les transmet au site Web de la Gazette du Canada pour qu’ils soient examinés par le public.

Les commentaires affichés sur le site Web peuvent être caviardés et dépersonnalisés. Les intervenants doivent reconnaître que leurs commentaires seront affichés et qu’ils sont responsables du contenu de leurs commentaires.

Les personnes peuvent soumettre leurs commentaires de façon anonyme. Elles peuvent aussi fournir leurs coordonnées pour que les organismes de réglementation puissent faire un suivi auprès d’elles. Toutefois, quels que soient les renseignements personnels divulgués avec leurs commentaires, seuls les commentaires caviardés et la date de soumission des commentaires sont affichés sur le site Web de la Gazette du Canada. Contrairement aux utilisateurs individuels, les noms des organisations seront publiés avec leurs commentaires.

Les organismes de réglementation évaluent les commentaires pour s’assurer que l’information sensible n’est pas publiée, comme les renseignements personnels, les discours haineux et les renseignements commerciaux confidentiels. Au besoin, les organismes de réglementation peuvent aviser les personnes qui ont fourni des commentaires lorsque leurs commentaires sont modifiés.