Résumé de la mise à jour sur l’évaluation des facteurs relatifs à la vie privée pour le Système de suivi pour l’attestation à la vaccination du gouvernement du Canada (SSAV GC)

Description du programme ou de l’activité

Le 6 octobre 2021, le Conseil du Trésor (CT) a publié la Politique sur la vaccination contre la COVID-19 applicable à l’administration publique centrale, y compris à la Gendarmerie royale du Canada (ci-après la Politique sur la vaccination), selon laquelle les employés de l’administration publique centrale (APC), y compris les membres et les réservistes de la Gendarmerie royale du Canada (GRC), doivent se faire vacciner contre la COVID-19.

Selon la Politique sur la vaccination, les employés fédéraux au sein de l’APC doivent confirmer leur statut vaccinal dans le Système de suivi pour l’attestation à la vaccination du gouvernement du Canada (SSAV‑GC). Le SSAV-GC a été élaboré expressément pour recueillir et conserver les données requises pour faire le suivi du statut vaccinal des employés.

Tous les employés doivent confirmer leur statut vaccinal, peu importe s’ils travaillent sur place, à distance ou à l’extérieur, à moins d’être admissibles à des mesures d’adaptation en raison d’une contre-indication médicale certifiée, de la religion, ou d’un autre motif de distinction illicite prévu par la Loi canadienne sur les droits de la personne(LCDP).

Le SSAV-GC permet aux employés qui ne sont pas en mesure de se faire vacciner en raison d’une contre‑indication médicale, de leur religion ou d’un autre motif de distinction illicite prévu par la LCDP de demander des mesures d’adaptation et aux gestionnaires de consigner la décision. Les institutions fédérales conservent les documents à l’appui, comme les déclarations médicales ou de croyance religieuse ailleurs que dans le SSAV-GC.

Ces personnes à qui l’obligation de prendre des mesures d’adaptation s’applique et les personnes partiellement vaccinées peuvent être tenues de se soumettre à un dépistage pour déterminer si elles ont été infectées par la COVID-19. Un protocole de dépistage a été élaboré par Santé Canada pour fournir des directives sur la fréquence ainsi que des procédures. Un autre système, la Solution d’attestation de dépistage rapide (SADR), a été mis au point par le Secrétariat du Conseil du Trésor du Canada (SCT) afin de consigner et de faire le suivi des renseignements liés au dépistage de la COVID-19.

Les personnes qui refusent de se faire vacciner ou de communiquer leur statut vaccinal et celles qui, par ailleurs, ne bénéficient d’aucune mesure d’adaptation risquent d’être mises en congé sans solde (CSS).

Selon la Politique sur la vaccination, les employés doivent fournir des renseignements exacts et véridiques sur la vaccination pour tous les aspects de la politique et la détermination des mesures d’adaptation afin de faire en sorte que les employés soient pleinement vaccinés. Tout manquement à cette obligation pourrait constituer une violation du Code de valeurs et d’éthique du secteur public et entraîner des mesures disciplinaires. De plus, afin de veiller à ce qu’aucune fausse attestation ne soit fournie et d’assurer l’exactitude des attestations, les institutions fédérales procèderont à la vérification des attestations de vaccination des employés. Le SSAV-GC est utilisé pour consigner le résultat de cette vérification.

Personnes nommées par le gouverneur en conseil

Les nominations par le gouverneur en conseil sont faites par le gouverneur en conseil, c’est-à-dire le gouverneur général sur l’avis du Cabinet. Un décret est l’instrument légal qui, une fois signé par le gouverneur général, entraîne l’entrée en vigueur d’une nomination.

La Politique sur la vaccination ne s’applique pas aux personnes nommées par le gouverneur en conseil, étant donné que le Conseil du Trésor n’est pas leur employeur. Cependant, en raison de modifications apportées aux modalités applicables aux personnes nommées par le gouverneur en conseil(modalités du gouverneur en conseil), les personnes nommées par le gouverneur en conseil doivent, à moins que des mesures d’adaptation soient prises en fonction d’une contre-indication médicale, de leur religion ou de tout autre motif de distinction illicite, se conformer aux exigences de vaccination contre la COVID-19 qui s’appliquent à l’institution à laquelle elles sont nommées, de sorte que les exigences liées à la vaccination énoncées dans la Politique sur la vaccination s’appliquent également aux personnes nommées par le gouverneur en conseil au sein de l’APC.

Par conséquent, certaines personnes nommées par le gouverneur en conseil au sein de l’APC utilisent le SSAV-GC pour leur attestation de vaccination (ou un processus de formulaire papier) et le SADR pour le dépistage (au besoin), suivant le même processus que les employés de l’APC. Par contre, la plupart des personnes nommées à une institution ne faisant pas partie de l’APC adhèrent aux processus propres à l’institution en ce qui concerne l’attestation et le dépistage rapide (au besoin).

Pour s’assurer qu’une personne nommée par le gouverneur en conseil procède selon les modalités du gouverneur en conseil, le Bureau du Conseil privé (BCP) assure le suivi de la conformité aux exigences relatives à l’attestation de vaccination. Si une personne nommée par le gouverneur en conseil ne s’acquitte pas de ses obligations selon les modalités du gouverneur en conseil, le processus organisationnel de longue date du BCP est alors déclenché en vue d’obtenir une décision du gouverneur en conseil quant à la mesure administrative à prendre à l’égard de la personne nommée. Une trousse d’information contenant des détails sur la non-conformité est alors créée et envoyée au Cabinet, ce qui peut donner lieu à l’application d’un décret prévoyant la mise en CSS de l’employé.

Nécessité et portée de l’évaluation des facteurs relatifs à la vie privée

En octobre 2021, le Secrétariat du Conseil du Trésor a approuvé une demande d’exception de la dirigeante principale des ressources humaines (DPRH) visant à présenter cette EFVP et à consigner le nouveau fichier de renseignements personnels (FRP) à l’annexe I, après la mise en œuvre de la Politique sur la vaccination et des pratiques de collecte de renseignements personnels correspondantes. L’exception a été accordée jusqu’au 2 mai 2022.

Essentiellement, cette EFVP prévoit une description et une analyse de la fonctionnalité du SSAV-GC et du SADR et de l’utilisation de ceux-ci par l’APC, de même que par plusieurs institutions ne faisant pas partie de l’APC qui utilisent l’un des deux systèmes ou les deux. L’EFVP, qui est propre à la Politique sur la vaccination, comprend une évaluation de la façon dont le SCT fournit des directives sur les exigences et sur la façon dont les exigences de la politique sont mises en pratique par les utilisateurs du SSAV-GC et du SADR. Elle comprend également une évaluation des exigences de la politique en général.

Cette EFVP porte également sur une évaluation des caractéristiques pertinentes du SSAV-GC et du SADR, comme l’accès de l’utilisateur, les rôles de l’utilisateur, la sécurité, le soutien, les rapports et la conservation. De plus, elle englobe une description et une analyse des fonctionnalités du SSAV-GC et du SADR, de la façon dont ils sont utilisés par les employés, les gestionnaires et les professionnels des ressources humaines.

Le SCT recueille de manière centralisée les renseignements concernant la vaccination et le dépistage dans ces deux systèmes. Il s’agit donc d’une nouvelle collecte de renseignements personnels et par conséquent, il faut réaliser une EFVP aux termes de la section 6.3.1 de la Directive sur l’évaluation des facteurs relatifs à la vie privée du SCT.En outre, l’EFVP a été créée à titre d’évaluation pluri‑institutionnelle, conformément à la section 6.3.7 de cette même directive, en collaboration avec le BCP et après des discussions avec celui-ci. Étant donné que les personnes nommées par le gouverneur en conseil doivent respecter les exigences relatives à la vaccination des institutions auxquelles elles ont été nommées, y compris les données relatives à la personne nommée par le gouverneur en conseil (renseignements sur l’attestation et le dépistage) et les activités connexes du BCP, cette EFVP est considérée comme appropriée et efficace.

Pour le BCP, la portée de cette EFVP se limite à sa collecte de renseignements relatifs à l’attestation de vaccination, ainsi qu’aux directives fournies aux administrateurs généraux concernant les données liées à l’attestation qui doivent être transmises au BCP. Cette EFVP contient également une description sommaire du processus organisationnel du BCP visant à obtenir une décision du gouverneur en conseil quant à la mesure administrative à prendre à l’égard d’une personne nommée, si celle-ci ne s’acquitte pas de ses obligations selon les modalités du gouverneur en conseil. Toutefois, cette EFVP ne porte pas sur ce processus existant et établi.

Puisqu’il s’agit d’une EFVP pluri-institutionnelle entre le SCT et le BCP, elle prévoit des signataires des deux institutions, ce qui témoigne de l’approbation du contenu de l’EFVP puisqu’il concerne leur propre institution. Ainsi, l’approbation de cette EFVP par le BCP se limite au contenu du BCP, ainsi qu’aux risques et recommandations qui ont une incidence sur le BCP. Il en va de même pour le SCT.

Bien que le Secrétariat de dépistage de Santé Canada ne soit pas un signataire de l’EFVP en raison de son rôle dans le dépistage de la COVID-19, ce sont tout de même ses fonctionnaires qui ont examiné cette EFVP.

Conclusions et recommandations pour atténuer les risques pour la protection de la vie privée - SCT

Cette EFVP a permis de cerner 11 risques (sept risques faibles, quatre risques moyens, aucun risque élevé) et de formuler 20 recommandations visant à atténuer les risques. L’un de ces risques s’applique principalement au BCP, un autre au BCP et au SCT, et les neuf qui restent concernent le SCT.

En général, les risques cernés dans cette EFVP sont typiques d’une évaluation pluri-institutionnelle qui porte sur deux nouveaux systèmes et une toute nouvelle collecte de renseignements personnels. En fait, certains risques sont inévitables lorsqu’il est question d’une nouvelle collecte, notamment la nécessité de créer un nouveau FRP et de faire approuver la période de conservation pour la nouvelle collecte. Dans l’ensemble, le tableau du plan d’action ci-dessous énumère les 11 risques et les 20 recommandations; toutefois, il y a un risque auquel il faut porter une attention particulière : déterminer si la collecte de renseignements relatifs à l’attestation est manifestement nécessaire.

Manifestement nécessaire

Cette EFVP fournit une évaluation et un sommaire exhaustifs des implications du terme « manifestement nécessaire ».

La décision de la Cour d’appel fédérale^{Note en bas de page 1} dans l’affaire Le Syndicat des Agents Correctionnels du Canada (appelant) c. le Procureur général du Canada (CAF, A-463-16) précise que l’article 4 de la Loi sur la protection des renseignements personnels ne prévoit pas de test intrinsèque sur la nécessité, mais plutôt l’obligation d’établir un « lien direct et immédiat » entre les renseignements requis et les activités gouvernementales. L’exigence du lien direct et immédiat a été respectée lors des activités de collecte définies dans la Politique sur la vaccination. Par conséquent, il y a conformité avec l’article 4 de la Loi sur la protection des renseignements personnels.

Le terme « manifestement nécessaire » est une exigence politique de la section 6.2.8 de la Directive sur les pratiques relatives à la protection de la vie privée du SCT, qui exige des institutions fédérales qu’elles s’assurent de « limiter la collecte de renseignements personnels à ceux qui sont directement liés et manifestement nécessaires aux programmes ou aux activités de l’institution fédérale ».Évaluer la collecte de renseignements dans le cadre d’un programme par rapport au terme « manifestement nécessaire » permet également de répondre à la demande constante du commissaire à la protection de la vie privée. En fait, dans une lettre de décembre 2021, le Commissariat à la protection de la vie privée demande, entre autres, que le SCT effectue une évaluation de l’aspect manifestement nécessaire de sa collecte de renseignements sur l’attestation de vaccination.

Au moment d’élaborer la Politique sur la vaccination, le SCT s’est efforcé de déterminer la façon dont il pourrait mettre en œuvre le programme de la manière la moins intrusive possible tout en recueillant les renseignements personnels nécessaires pour assurer la conformité à la politique. Chaque élément de données a été évalué afin de déterminer s’il était directement lié la politique et s’il était manifestement nécessaire pour répondre aux exigences de celle-ci. Ainsi, le SCT a pris la décision de recueillir des renseignements relatifs à l’attestation au lieu de demander une preuve de vaccination. Il a été établi que cette collecte aurait pour résultat une collecte moins intrusive des renseignements personnels, tout en assurant la santé et la sécurité des employés s’ils devaient retourner au bureau de façon ponctuelle.

Conclusions et recommandations pour atténuer les risques pour la protection de la vie privée - BCP

Dans le cas des personnes nommées par le gouverneur en conseil qui se conforment à l’exigence de présenter une attestation, le BCP veut recueillir seulement des données statistiques dépersonnalisées. Cependant, en raison d’instructions imprécises du BCP, certaines institutions ont présenté des renseignements sur l’attestation de vaccination permettant d’identifier certaines personnes nommées par le gouverneur en conseil. Le BCP ne conservera pas ces données, mais il devrait transmettre des directives aux administrateurs généraux pour que les prochaines collectes soient appuyées par des instructions claires afin d’éviter une collecte excessive par le BCP.

Compte tenu du fait que des données existantes sur les personnes nommées par le gouverneur en conseil ont déjà été recueillies et que le processus de collecte de données sur une nouvelle personne nommée n’entraîne pas la collecte de renseignements par le BCP, il est probable que ce risque soit limité aux prochaines collectes de données exercées par le BCP, qui sont peu susceptibles d’avoir lieu si aucune modification n’est apportée à la Politique sur la vaccination. Si un tel exercice a lieu, le BCP devrait fournir des directives claires aux administrateurs généraux sur les éléments de données qui doivent être présentés.

Plan d’action

Après la création de la version 1.0 de cette EFVP, les risques et les recommandations liés à la protection de la vie privée contenus dans l’EFVP ont fait l’objet d’un examen par plusieurs cadres supérieurs et experts en la matière au sein du SCT et du BCP. En réponse aux résultats de l’examen, le plan d’action a été créé en vue de fournir une réponse de la direction aux recommandations, ainsi qu’une échéance et le nom d’un responsable en ce qui concerne la réalisation des activités d’atténuation dans les délais établis. Chaque institution fera le suivi des éléments de leur propre plan d’action indépendamment les uns des autres et fera état de leur progression aux cadres supérieurs de leur institution respective.