Bureau du vérificateur général du CanadaRapport annuel sur l’application de la Loi sur la protection des renseignements personnels — 2023‑2024

Introduction

La Loi sur la protection des renseignements personnels donne aux Canadiennes et aux Canadiens le droit d’avoir accès à l’information les concernant qui est détenue par le Bureau du vérificateur général du Canada (BVG), sous réserve de certaines exceptions particulières et limitées. Elle protège aussi la vie privée des citoyennes et des citoyens en leur permettant d’exercer un important contrôle sur la collecte, l’utilisation et la divulgation de leurs renseignements personnels et en empêchant d’autres personnes d’y avoir accès.

L’article 72 de la Loi stipule que la ou le responsable de toute institution fédérale doit préparer un rapport annuel sur l’application de la Loi au sein de son institution et présenter ce rapport au Parlement.

Le présent rapport annuel sur l’application de la Loi sur la protection des renseignements personnels au BVG décrit la manière dont nous nous sommes acquittés de nos responsabilités aux termes de cette loi pendant l’exercice 2023‑2024.

Qui nous sommes

Le BVG audite les activités du gouvernement fédéral et fournit au Parlement, de manière indépendante, de l’information, des avis et une assurance sur la gestion fédérale des fonds publics.

Notre principale activité est l’audit législatif. Nous réalisons :

• des audits de performance des organismes fédéraux;
• des audits annuels des états financiers du gouvernement;
• des examens spéciaux des sociétés d’État et des audits annuels de leurs états financiers;
• des audits des gouvernements du Nunavut, du Yukon et des Territoires du Nord‑Ouest.

Depuis 1995, le BVG a également un mandat précis en matière d’environnement et de développement durable, qui est exercé par le commissaire à l’environnement et au développement durable au nom de la vérificatrice générale du Canada. La Loi fédérale sur le développement durable et la Loi sur la responsabilité en matière de carboneutralité confèrent aussi au commissaire la responsabilité d’examiner et de surveiller les stratégies de développement durable du gouvernement du Canada et la mise en place de mesures pour l’atténuation des changements climatiques.

Équipe de l’accès à l’information et de la protection des renseignements personnels

Le coordonnateur de l’accès à l’information et de la protection des renseignements personnels (AIPRP) est membre de l’équipe des Services juridiques, de l’AIPRP et des politiques, qui est dirigée par l’avocate générale principale du BVG. Le coordonnateur de l’AIPRP à temps plein est appuyé par une ou un analyste de l’AIPRP, une ou un parajuriste, une avocate ou un avocat et du personnel administratif, au besoin. Les principales activités de l’équipe de l’AIPRP comprenaient les suivantes :

• surveiller la conformité aux lois, aux procédures et aux politiques pertinentes en matière d’AIPRP;
• traiter les demandes présentées au titre de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels;
• définir et mettre en œuvre les politiques, procédures et lignes directrices pour veiller à ce que le BVG respecte la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels;
• faire connaître la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels au sein du BVG pour veiller à ce que les membres du personnel soient au fait de leurs responsabilités;
• établir des rapports annuels destinés au Parlement, d’autres rapports prévus par les lois et d’autres documents que les organismes centraux pourraient exiger;
• traiter, au nom du BVG, avec le Secrétariat du Conseil du Trésor du Canada, la commissaire à l’information du Canada, le commissaire à la protection de la vie privée du Canada et les autres organisations fédérales de questions concernant la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels;
• aider le BVG à respecter ses engagements en matière d’ouverture et de transparence grâce à la divulgation proactive et à la communication non officielle de l’information.

Rendement en 2023‑2024

Au cours de la période visée par le rapport, soit du 1er avril 2023 au 31 mars 2024, le BVG n’a reçu aucune demande officielle de communication de renseignements personnels en vertu de la Loi sur la protection des renseignements personnels. Cependant, le BVG a reçu de nombreuses demandes d’accès à des renseignements personnels au titre de la Loi sur l’accès à l’information et un grand nombre de demandes informelles d’accès à des renseignements personnels.

Le BVG n’a reçu aucune plainte au cours de la période visée par le rapport.

Tendances

Tout au long de l’exercice, le BVG répond à de multiples demandes de personnes qui cherchent une rétroaction, des conseils ou des avis informels afin de savoir si elles devraient soumettre une demande officielle d’accès à leurs renseignements personnels, soit au BVG, soit à une autre organisation.

Le BVG a traité et achevé en tout cinq demandes officielles de communication de renseignements personnels au cours des quatre périodes de rapport précédentes, y compris la période visée par le présent rapport.

Chaque année, le BVG répond à de multiples demandes de communication de renseignements personnels ou les réachemine, car de nombreuses personnes croient que le BVG détient leurs renseignements personnels ou qu’il a recueilli leurs renseignements personnels dans le cadre d’audits. De plus, de nombreuses personnes croient que le BVG devrait auditer l’objet de leurs griefs contre le gouvernement fédéral. Bien que ces demandes ne soient pas traitées comme des demandes officielles de communication de renseignements, les efforts déployés pour répondre aux préoccupations des personnes et déterminer quel ministère, le cas échéant, devrait recevoir leur demande exigent souvent beaucoup de temps.

Formation et sensibilisation

Le BVG exige que tous les membres de son personnel suivent une formation obligatoire sur l’accès à l’information et la protection des renseignements (AIPRP), à savoir un cours en ligne à rythme libre offert par l’École de la fonction publique du Canada.

Tous les nouveaux membres du personnel du BVG doivent terminer cette formation dans les trois mois suivant leur date d’entrée en fonction.

Pendant la période visée par le rapport, 115 membres du personnel ont suivi cette formation.

Le coordonnateur de l’AIPRP donne régulièrement des conseils et des séances d’information au personnel du BVG sur le traitement des demandes d’AIPRP. De plus, des renseignements sont accessibles sur le site Web interne du BVG pour aider à sensibiliser le personnel aux questions relatives à la protection de la vie privée, comme la collecte, la conservation, l’utilisation et la divulgation de renseignements personnels.

Politiques, lignes directrices et procédures

Pour aider les membres du personnel à repérer et à atténuer les atteintes à la vie privée, le BVG a rédigé au cours de la période visée par le rapport et, depuis, publié à l’interne un protocole en cas d’atteinte à la vie privée qui contient des liens vers des ressources utiles du Commissariat à la protection de la vie privée du Canada et du Secrétariat du Conseil du Trésor du Canada.

Initiatives et projets visant à améliorer la protection des renseignements personnels

Le BVG a entrepris un dialogue avec des parties prenantes externes et planifie l’achat d’une solution logicielle de traitement des demandes. Nous prévoyons à l’heure actuelle utiliser une plateforme hébergée par Services partagés Canada, comme d’autres organismes fédéraux.

Le BVG poursuit son projet d’anonymisation à plus large échelle des renseignements personnels contenus dans les documents d’audit.

Plaintes et enquêtes

Au cours de la période visée par le rapport, le BVG n’a reçu aucune plainte au titre de la Loi sur la protection des renseignements personnels et n’a fait l’objet d’aucune enquête à cet égard.

Atteintes substantielles à la vie privée

Une atteinte substantielle à la vie privée s’est produite au cours de la période visée par le rapport. Le BVG a été avisé d’une atteinte à la vie privée à Services globaux de relogement Brookfield le 20 octobre 2023. L’atteinte a touché tous les ministères fédéraux qui avaient fait appel à Services globaux de relogement Brookfield depuis 2001 pour la réinstallation d’employés. Le BVG a avisé par courriel les membres du personnel potentiellement touchés, sauf les personnes en congé prolongé, qui avaient quitté le BVG ou dont les coordonnées n’étaient pas disponibles. Les membres du personnel potentiellement touchés qui en ont fait la demande ont reçu un code d’activation pour se prévaloir des services de surveillance du crédit et de protection contre le vol d’identité d’Equifax. Le BVG en a avisé le Commissariat à la protection de la vie privée du Canada et le Secrétariat du Conseil du Trésor du Canada, comme recommandé par les deux entités dans des communications à l’échelle du gouvernement.

Évaluations terminées des facteurs relatifs à la vie privée

Mise à niveau du système Retain

Le BVG a mis en œuvre la version 7 du logiciel organisationnel Retain pour continuer à planifier efficacement les ressources d’audit, à définir et à stocker des renseignements complets sur les compétences, à produire divers rapports et à permettre la consultation en temps réel des calendriers d’audit au moyen d’un navigateur Web standard. La nouvelle version du logiciel Retain comprend plusieurs caractéristiques et commodités, notamment l’utilisation de certains renseignements personnels, qui sont utilisés à des fins de planification des audits et qui ne seront pas communiqués à l’extérieur du BVG.

Système de gestion de l’apprentissage – évaluation modifiée

Le système de gestion de l’apprentissage a remplacé l’outil de perfectionnement professionnel et d’apprentissage, la Solution de gestion de l’apprentissage et Campus BVG. Le nouveau système combine des formations internes et externes avec la gestion et la surveillance de la conformité. Il utilise surtout des renseignements non personnels sur les employées et employés, mais aussi certains renseignements personnels de ces personnes. Dans le cadre du nouveau système, certaines données sont également stockées dans le nuage.

L’évaluation des facteurs relatifs à la vie privée terminée au cours de l’exercice 2022‑2023 a été modifiée au cours de l’exercice 2023‑2024 en raison de la mise à jour des formations offertes sur le Campus BVG et de certains sondages et questionnaires proposés aux membres du personnel.

Évaluations préliminaires (non officielles)

Pour tous les projets nouveaux ou modifiés, le BVG a mis en place un processus obligatoire qui exige de remplir une liste de contrôle pour l’évaluation préliminaire des facteurs relatifs à la vie privée. Ce document permet de veiller à ce que les éléments relatifs aux renseignements personnels soient pris en compte avant et pendant la réalisation du projet.

Ce processus permet également de relever les éléments requis pour la réalisation d’une évaluation officielle des facteurs relatifs à la vie privée, qui sera entreprise si l’évaluation préliminaire en indique le besoin.

Au cours de la période visée par le rapport, le BVG a réalisé 27 évaluations préliminaires.

Divulgations d’intérêt public

Le BVG n’a communiqué aucun renseignement personnel au titre du paragraphe 8(2) au cours de la période visée par le rapport.

Suivi de la conformité

Le BVG utilise un logiciel pour suivre et surveiller les heures consacrées aux activités et aux fonctions liées à la protection des renseignements personnels, y compris la participation du personnel aux séances d’information et de formation connexes.

Comme il est indiqué dans le présent rapport, des évaluations préliminaires des facteurs relatifs à la vie privée sont réalisées lorsque des projets pourraient comprendre la collecte ou l’utilisation d’éléments de renseignements personnels. L’équipe de l’AIPRP utilise un logiciel pour suivre et surveiller ces projets.

Le BVG utilise des libellés standard dans les contrats, ententes et accords, qui comprennent des exigences relatives à la protection et à la communication des renseignements personnels.

Le BVG se conforme aux directives, aux politiques et aux lignes directrices du Conseil du Trésor, le cas échéant. Le Groupe de gestion de l’information et des données du BVG s’assure que toutes les mesures nécessaires sont prises dans les délais recommandés ou prescrits par la loi.

Demandes de correction de renseignements personnels

Aucune demande de correction de renseignements personnels n’a été reçue au cours de la période visée par le rapport.

Annexe : Rapport statistique sur l’application de la Loi sur la protection des renseignements personnels

Rapport statistique sur la Loi sur la protection des renseignements personnels

Nom de l’institution : Bureau du vérificateur général du Canada

Période d’établissement de rapport : 2023‑04‑01 à 2024‑03‑31

Section 1 — Demandes en vertu de la Loi sur la protection des renseignements personnels

1.1 Nombre de demandes reçues

1.2 Mode des demandes

Section 2 — Demandes informelles

2.1 Nombre de demandes informelles

2.2 Mode des demandes informelles

2.3 Délai de traitement pour les demandes informelles

2.4 Pages communiquées informellement

Section 3 — Demandes fermées pendant la période d’établissement de rapport

3.1 Disposition et délai de traitement

3.2 Exceptions

3.3 Exclusions

3.4 Format des documents communiqués

3.5 Complexité

3.5.1 Pages pertinentes traitées et communiquées en formats papier et document électronique et ensemble de données

3.5.2 Pages pertinentes traitées en fonction de l’ampleur des demandes en formats papier, document électronique et ensemble de données par disposition des demandes

3.5.3 Minutes pertinentes traitées et communiquées en format audio

3.5.4 Minutes pertinentes traitées en fonction de l’ampleur des demandes en format audio par disposition des demandes

3.5.5 Minutes pertinentes traitées et communiquées en format vidéo

3.5.6 Minutes pertinentes traitées en fonction de l’ampleur des demandes en format vidéo par disposition des demandes

3.5.7 Autres complexités

3.6 Demandes fermées

3.6.1 Nombre de demandes fermées dans les délais prévus par la Loi

3.7 Présomptions de refus

3.7.1 Motifs du non-respect des délais prévus par la Loi

3.7.2 Demandes fermées au-delà des délais prévus par la Loi (y compris toute prolongation prise)

3.8 Demandes de traduction

Section 4 — Communications en vertu des paragraphes 8(2) et 8(5)

Section 5 — Demandes de correction de renseignements personnels et mentions

Section 6 — Prorogations

6.1 Motifs des prorogations

6.2 Durée des prorogations

Section 7 — Demandes de consultation reçues d’autres institutions et organisations

7.1 Demandes de consultation reçues d’autres institutions du gouvernement du Canada et autres organisations

7.2 Recommandations et délai de traitement pour les demandes de consultation reçues d’autres institutions du gouvernement du Canada

7.3 Recommandations et délai de traitement pour les demandes de consultation reçues d’autres organisations

Section 8 — Délais de traitement des demandes de consultation sur les documents confidentiels du Cabinet

8.1 Demandes auprès des services juridiques

8.2 Demandes auprès du Bureau du Conseil privé

Section 9 — Avis de plaintes et d’enquêtes reçus

Section 10 — Évaluations des facteurs relatifs à la vie privée (ÉFVP) et des Fichiers de renseignements personnels (FRP)

10.1 Évaluations des facteurs relatifs à la vie privée

10.2 Fichiers de renseignements personnels spécifiques à l’institution et centraux

Section 11 — Atteintes à la vie privée

11.1 Atteintes substantielles à la vie privée signalée

11.2 Atteintes à la vie privée signalée non substantielles

Section 12 – Ressources liées à la Loi sur la protection des renseignements personnels

12.1 Coûts répartis

12.2 Ressources humaines