La présente partie vise à évaluer les menaces potentielles et les risques qui pourraient compromettre la confidentialité des renseignements personnels. Elle décrit les mesures de protection qui existent à Statistique Canada, la probabilité qu'une menace devienne réalité et la sévérité des répercussions en ce qui concerne l'atteinte portée à la vie privée et à la protection des renseignements personnels.

Statistique Canada utilise actuellement de nombreuses mesures de protection pour réduire la probabilité qu'une menace devienne réalité; ces mesures de protection sont décrites dans les politiques, les pratiques, les outils et techniques de l'organisme.

Les cotes associées à la probabilité qu'une menace devienne réalité, à la sévérité des répercussions et au risque résiduel se définissent comme suit :

Menace : Un événement indésirable ayant le potentiel de compromettre l'intégrité des renseignements personnels ou la confidentialité des données.

Probabilité de la menace : La probabilité que la menace devienne réalité, compte tenu des mesures de protection en vigueur à Statistique Canada. Une cote numérique est utilisée pour évaluer la probabilité qu'une menace devienne réalité.

• Niveau 1 : La menace peut uniquement se concrétiser lorsque des connaissances très pointues ou des installations spécialisées coûteuses sont utilisées ou par l'effet d'un effort soutenu. Il est peu probable que la menace se concrétise.
• Niveau 2 : Il faut posséder certaines connaissances ou installations spécialisées, ou déployer des efforts spéciaux pour que la menace se concrétise ou pour tirer parti de la situation. Il est assez probable que la menace se concrétise.
• Niveau 3 : La probabilité que la menace devienne réalité est très élevée, et une telle situation peut être le fruit d'un acte intentionnel ou accidentel et nécessiter peu ou pas de connaissances ou d'installations spécialisées. Il est très probable que la menace se concrétise.

Incidence : Les répercussions sur la vie privée d'une personne si une menace se concrétise et si ses renseignements sont compromis. L'importance des répercussions ou le genre de répercussions s'exprime par la gravité des conséquences relatives à la vie privée du répondant.

• Niveau 1 : Préjudice mineur n'ayant causé aucun tort ou embarras à la personne ou lui ayant causé un tort ou un embarras minime.
• Niveau 2 : Préjudice modéré ayant causé un certain tort ou embarras à la personne, mais sans conséquences négatives directes.
• Niveau 3 : Préjudice grave comme un tort ou un embarras permanent qui aura des conséquences négatives directes sur la carrière, la réputation, la situation financière, la sécurité, la santé ou le bien-être de la personne.

Risque résiduel : Une cote numérique est obtenue en évaluant et comparant la probabilité que la menace devienne réalité, compte tenu des répercussions sur la vie privée d'une personne.

Une évaluation générique des facteurs relatifs à la vie privée pour les programmes statistiques de Statistique Canada a été effectuée pour déterminer si des problèmes liés à la protection de la vie privée, à la confidentialité des renseignements personnels et à la sécurité existaient et, le cas échéant, pour faire des recommandations en vue de leur résolution ou de leur atténuation.

Le présent document résume l'évaluation que Statistique Canada a faite de ses programmes statistiques en regard de leurs répercussions sur le respect de la vie privée. L'évaluation inclut un examen des 10 principes de la protection de la vie privée qui s'appliquent à ces programmes. Elle comprend également une évaluation des risques d'atteinte à la vie privée, à la confidentialité et à la sécurité des renseignements fournis par les répondants/participants.

Même si certaines préoccupations liées à la protection des renseignements personnels ont été identifiées comme prévu, les résultats de cette évaluation concluent que les mesures de protection mises en place par Statistique Canada, y compris les mesures de protection additionnelles, et les risques résiduels sont soit négligeables soit suffisamment faibles pour que Statistique Canada accepte de gérer le risque.

Dans certaines situations, un programme statistique pourrait identifier des risques d'atteinte à la vie privée qui n'ont pas été couverts par cette EFVP générique. Les nouveaux risques identifiés pour une activité statistique seront alors évalués dans un supplément à l'EFVP générique ou une EFVP spécifique pourra être effectuée.

Les programmes statistiques de Statistique Canada doivent respecter les normes de l'organisme à la fois pour la sécurité informatique et la sécurité physique. La sécurité physique comprend les contrôles d'accès sur les lieux de travail où les renseignements personnels sont conservés, mis à jour ou utilisés, les cartes d'identité des personnes autorisées et les caméras de surveillance dans les espaces publics. La sécurité informatique comprend les contrôles d'accès physique au serveur pour le personnel autorisé seulement, la protection des mots de passe utilisés pour accéder au serveur et à la base de données ou à l'outil, la configuration et l'utilisation d'un coupe-feu. Pour cette raison, les cotes indiquées dans les grilles d'évaluation de la menace et des risques (EMR) pour un accès non autorisé par un employé de Statistique Canada ou par une personne à l'extérieur de Statistique Canada correspondent à une faible probabilité.

Lorsqu'une atteinte suspectée ou avérée à la sécurité est découverte (même si elle est peu probable), les étapes énumérées ci-dessous sont suivies :

• Notification immédiate de l'agent de sécurité du Bureau (statisticien en chef adjoint du Secteur du recensement, des opérations et des communications) et du coordonnateur de la protection des renseignements personnels du Bureau (directeur, Division de la gestion de l'information). La réponse pourrait inclure une interruption des activités du ou des programmes.
• Une enquête serait menée en collaboration avec la sécurité ministérielle et la sécurité des TI au terme de laquelle des recommandations seraient faites pour empêcher qu'une telle situation ne se reproduise. Les enquêtes permettent de consigner les circonstances qui ont causé l'atteinte à la vie privée, et de déterminer les renseignements qui ont été divulgués, y compris les répercussions et les mesures qui ont été prises pour empêcher qu'une telle situation ne se reproduise.
• Dans le cas d'une « atteinte substantielle à la vie privée », Statistique Canada doit, selon la Directive sur les pratiques relatives à la protection de la vie privée du Secrétariat du Conseil du Trésor (SCT), avertir le Commissariat à la protection de la vie privée (CPVP) et le Secrétariat du Conseil du Trésor (SCT). Les « atteintes substantielles » mettent en jeu les renseignements personnels de nature délicate, atteintes qui pourraient selon toute vraisemblance causer des dommages ou un tort sérieux à la personne.
• Des explications sont fournies aux personnes touchées par la situation ainsi qu'une description des étapes suivies pour supprimer les renseignements qui sont entre les mains de personnes non autorisées. Les personnes seraient également informées qu'elles ont le droit de déposer une plainte auprès du Commissariat à la protection de la vie privée (CPVP). Le nom des personnes dont les renseignements personnels auront été divulgués est communiqué au CPVP et au SCT, y compris les résultats de l'enquête et les mesures prises pour empêcher que la situation ne se reproduise.

Le Protocole est passé en revue régulièrement pour s'assurer que son contenu demeure pertinent. Les rapports d'incidents sont passés en revue régulièrement et les leçons tirées des incidents passés sont incluses dans les politiques, les directives et les pratiques en matière d'enquête.

• Annexe 1 – Info Source : Fichiers de renseignements personnels de Statistique Canada liées aux activités statistiques
• Annexe 2 – Contenu minimal à inclure dans un supplément à l'évaluation générique des facteurs relatifs à la vie privée
• Annexe 3 – Collecte de données à Statistique Canada
• Annexe 4 – Loi sur les déclarations des personnes morales
• Annexe 5 – Modèle générique du processus de production statistique (GSBPM) : (Version 5, décembre 2013)

Introduction

À Statistique Canada, tout employé en fin d’emploi doit remplir l’Avis de départ d’un employé, afin qu’on puisse récupérer les documents, les ouvrages de référence et le matériel qui lui ont été attribués. La mise en ligne du formulaire lui facilite la démarche et aide à régler les points connexes.

Objectif

La version électronique de l’Avis de départ a fait l’objet d’une évaluation des facteurs relatifs à la vie privée. Il s’agissait de cerner les problèmes concernant la protection des renseignements personnels, la confidentialité et la sécurité, puis à recommander les moyens d’y remédier ou de les atténuer.

Description

La version électronique de l’Avis de départ s’ajoute au Système de demande d’accès aux données, dans le Portail des systèmes administratifs de Statistique Canada. Elle vise à alléger le fardeau de l’employé qui, jusque-là, devait se rendre d’un service à l’autre du Bureau pour obtenir onze signatures. La démarche était fastidieuse et chronophage et souvent, même après le départ, il fallait obtenir les signatures manquantes et régler les points en suspens.

À son départ, l’employé doit aussi répondre à un questionnaire de fin d’emploi et il n’est pas rare qu’il s’y soustrait par manque de temps. Le questionnaire est maintenant accessible en ligne.

La version électronique de l’Avis de départ permet à l’employé d’amorcer plus tôt la collecte des signatures dans les services visés. On pourra ainsi mieux gérer la récupération ou la réaffectation des documents, des ouvrages de référence et du matériel qu’il a en main. La nouvelle démarche devrait même faire augmenter le taux de réponse au questionnaire de fin d’emploi.

Conclusion

L’évaluation des facteurs relatifs à la vie privée n’a révélé aucun risque qui ne puisse être géré à l’aide des mesures de protection actuelles ou d’autres mesures rattachées à la mise en ligne de l’Avis de départ de l’employé.

Introduction

Au Canada, le Recensement de la population est réalisé tous les cinq ans. Il permet d'obtenir un portrait de la population en nous renseignant sur sa taille et sa répartition géographique ainsi que sur ses caractéristiques démographiques, socioculturelles et socioéconomiques. Les données recueillies sont généralement utilisées par tous les ordres de gouvernement pour la planification de politiques et l'administration de programmes. Les estimations démographiques fondées sur les chiffres du recensement servent à calculer le montant des paiements de transfert effectués entre les divers ordres de gouvernement. Les données agrégées du recensement sont aussi utilisées par le secteur privé, les spécialistes et le grand public.

Statistique Canada mènera le Recensement de la population le 16 mai 2006.

Objectifs

Dans le cadre du Recensement de la population de 2006, nous avons procédé à une évaluation des facteurs relatifs à la vie privée afin de déterminer s'il y avait des risques en ce qui a trait à la vie privée, à la confidentialité et à la sécurité associés au recensement et, le cas échéant, de formuler des recommandations pour les éviter ou les réduire.

Description

Le Recensement de la population de 2006 permettra de recueillir des renseignements sociodémographiques détaillés sur les personnes et les ménages au moyen d'un questionnaire complet, lequel est rempli par environ 1 ménage sur 5; le questionnaire abrégé, qui contient des questions de base sur les caractéristiques démographiques, sera envoyé aux autres ménages canadiens. En vertu des dispositions de la Loi sur la statistique, il obligatoire de remplir ces deux questionnaires.

D'importantes modifications sont apportées au processus de collecte et de saisie des données en vue du Recensement de 2006. Celui-ci fera appel à une approche plus centralisée et automatisée que par le passé, et les répondants auront la possibilité de remplir leur questionnaire en ligne plutôt que de retourner par la poste la copie papier. Les questionnaires qui sont retournés par la poste seront convertis en images numériques et leurs données seront enregistrées à un seul centre de traitement des données à l'aide d'un logiciel de reconnaissance optique de caractères avant d'être contrôlées et codées. Par conséquent, les agents recenseurs de la région ne verront plus les formulaires remplis et, dans l'ensemble, moins de personnes manipuleront les données des répondants. Ces modifications permettront d'améliorer la protection, la confidentialité et la sécurité des renseignements personnels fournis par les répondants.

Statistique Canada a procédé à un examen de l'ensemble du processus du recensement et réalisé une évaluation des menaces et des risques associés aux diverses méthodes de collecte et de traitement qui seront utilisées dans le cadre du Recensement de 2006. Toutefois, certains des changements apportés en 2006 ont fait l'objet d'un examen plus approfondi : le recours à Internet pour les besoins de la collecte des données du recensement; l'option de demander l'autorisation de consulter les documents fiscaux; l'acquisition de matériel, de logiciels et de services d'impression des questionnaires auprès du secteur privé pour le Recensement de 2006; la saisie; l'utilisation et la conservation des noms et des adresses ainsi que les répercussions de la loi permettant l'archivage et, ultérieurement, la diffusion des dossiers du recensement.

En ce qui concerne le lancement de l'option Internet permettant de remplir le questionnaire du recensement en ligne, Statistique Canada, de concert avec la Voie de communication protégée du gouvernement, a développé un système ayant un niveau de sécurité beaucoup plus élevé que celui habituellement mis en place pour effectuer les transactions commerciales (y compris les opérations financières). Bien que l'utilisation d'Internet entraîne des risques inhérents, le recours à la Voie de communication protégée et aux mesures de protection intégrées dans l'application du recensement réduisent considérablement ces risques, de sorte qu'il est possible d'offrir une option en ligne sécuritaire et efficace permettant de répondre au recensement.

L'autre option lancée à l'occasion du Recensement de 2006 est celle offerte aux répondants qui auront le choix entre consentir de façon explicite à ce que Statistique Canada obtienne des renseignements sur leur revenu à partir des fichiers d'impôt ou fournir cette information dans le questionnaire du recensement. Ce questionnaire est conçu de façon à encourager la personne qui le remplit à consulter chaque déclarant afin d'avoir ou non son autorisation. Cette option permet non seulement de réduire le fardeau du répondant mais aussi d'atténuer les risques d'entrave à la vie privée, puisque les données sur le revenu qui sont de nature délicate n'apparaîtront pas sur le questionnaire du recensement.

La nouvelle méthodologie adoptée pour le Recensement de 2006 a nécessité d'importants investissements pour l'élaboration de matériel et de logiciels. Les travaux de développement des systèmes pour l'application Internet, les centres d'appels et le Centre de traitement des données ont été impartis dans le cadre d'un processus d'acquisition transparent et concurrentiel. Afin de dissiper les inquiétudes suscitées par le fait que des entrepreneurs du secteur privé pourraient avoir accès aux renseignements personnels des Canadiens, des mesures de sécurité rigoureuses ont été mises en place en vue de s'assurer que les entrepreneurs n'aient jamais en leur possession des renseignements confidentiels. Tous les travaux de collecte et de traitement des données du recensement seront réalisés exclusivement par des employés de Statistique Canada dans des locaux de l'organisme qui ne seront connectés à aucun réseau extérieur. Néanmoins, les entrepreneurs devront obtenir l'habilitation de sécurité requise et prêter le serment professionnel prévu dans la Loi sur la statistique (s'ils divulguent des renseignements confidentiels, ils sont donc passibles de sanctions). En outre, ces entrepreneurs sont toujours supervisés directement par des employés de Statistique Canada. Enfin, Statistique Canada procède à trois évaluations indépendantes liées sur la sécurité informatique afin de valider davantage la sécurité des systèmes élaborés par l'entrepreneur. Toutes ces mesures permettent d'atténuer le risque pour la sécurité des renseignements personnels associé à l'impartition des travaux.

Grâce à la saisie automatisée des données à partir d'images, il est possible de numériser à peu de frais les noms et les adresses figurant sur les questionnaires du recensement. L'accessibilité des noms et adresses en format électronique permet d'améliorer l'efficacité des activités de collecte, de traitement et d'évaluation. Toutefois, mis à part les enregistrements retenus pour l'archivage, les noms seront conservés dans les fichiers du recensement pendant une période limitée. Des mesures de contrôle rigoureuses ont été mises en œuvre afin de restreindre l'accès aux données identifiables (comme les noms et adresses), réduisant ainsi le risque de divulgation ou d'utilisation abusive de données identifiables.

En juin 2005, le Parlement a adopté une modification à la Loi sur la statistique qui autorise Bibliothèque et Archives Canada à diffuser les renseignements recueillis après 92 ans. Dans le cas du Recensement de 2006 et des recensements subséquents, seuls les renseignements concernant les personnes ayant donné de façon explicite leur consentement seront diffusés 92 ans suivant la tenue d'un recensement. Le libellé du Recensement de 2006 est conçu de telle façon que chaque personne peut décider elle-même si elle consent à ce que ses renseignements personnels soient diffusés.

Conclusion

Cette évaluation permet de conclure que les risques relatifs à la vie privée associés au Recensement de la population de 2006 étaient négligeables, atténués par les mesures de protection existantes ou ont été écartés grâce à la mise en œuvre de mesures de protection additionnelles.

Introduction

Statistique Canada a élaboré un système générique de suivi pour faciliter les envois de documents imprimés servant à la collecte des données d’enquête aux bureaux régionaux ainsi qu’aux divers intervieweurs sur le terrain à leur adresse à domicile.

Objectif

Une évaluation des facteurs relatifs à la vie privée a été réalisée pour le Service générique de suivi de Statistique Canada a afin de déterminer si celui-ci pose des problèmes de protection de la vie privée, de confidentialité et de sécurité et, le cas échéant, de formuler des recommandations en vue de leur résolution ou leur atténuation.

Description

Le Service générique de suivi remplacera de nombreux autres systèmes utilisés actuellement par les divisions spécialisées et les bureaux régionaux et offrira une plateforme uniforme pour la création, le remplissage, l’envoi et la réception des documents d’enquête (questionnaires en blanc, manuels de formation, fournitures, etc.), en temps opportun et d’une manière sécuritaire et rentable.

Les risques associés au suivi et à l’envoi des documents d’enquête ont toujours été relativement faibles. Toutefois, le passage de plusieurs systèmes de suivi à un seul système générique de suivi devrait réduire encore les risques. Le Service générique de suivi sera doté d’un ensemble normalisé de procédures pour le contrôle de l’accès ainsi que d’une fonctionnalité plus robuste. En outre, si des problèmes se posent en ce qui concerne la livraison d’un envoi (p. ex., adresse inexacte, erreur du service de livraison), le Service générique de suivi affichera des avertissements ou des indicateurs cohérents afin que les procédures de recherche et d’avis puissent être mises en œuvre plus tôt.

Conclusion

La présente évaluation des facteurs relatifs à la vie privée n’a pas permis de déterminer des risques relatifs à la vie privée qui ne peuvent être gérés à l’aide des mesures de protection existantes ou d’autres mesures élaborées plus particulièrement aux fins de la mise en œuvre du Service générique de suivi.

Introduction

L’Enquête canadienne sur les mesures de la santé (ECMS) a été conçue initialement comme étude ponctuelle dans le cadre de l’Initiative du Carnet de route de l’information sur la santé du gouvernement fédéral. Grâce au financement permanent maintenant en place, l’ECMS deviendra une enquête continue en 2010-2011. Le cycle 2 de l’ECMS (2009-2010), toutefois, est mené durant la période de transition d’étude ponctuelle à programme permanent; il s’agit pratiquement d’une reprise de l’enquête initiale (cycle 1).

Objectifs

Une évaluation des facteurs relatifs à la vie privée a été réalisée pour le cycle 2 de l’ECMS, afin de déterminer si celui-ci pose des nouveaux problèmes de protection de la vie privée, de confidentialité et de sécurité et, le cas échéant, de formuler des recommandations en vue de leur résolution ou leur atténuation.

Description

L’ECMS recueillera des renseignements qui permettront d’évaluer la portée des problèmes de santé dans la population canadienne, comme les maladies chroniques (p. ex., diabète et maladie cardiovasculaire), les maladies infectieuses, les problèmes liés aux caractéristiques du mode de vie (p. ex., activité physique et nutrition) et ceux liés à l’exposition à des contaminants environnementaux. L’enquête offrira aussi un moyen d’explorer les nouveaux dossiers de santé publique ainsi que de nouvelles techniques de mesure.

Dans le cadre de l’ECMS, des données sont recueillies auprès de plus de 5 000 Canadiens au moyen d’un questionnaire administré aux ménages et de tests basés sur des mesures physiques prises dans un centre d’examen mobile (CEM). Pour le cycle 2, le CEM sera installé à 16 emplacements différents à travers le Canada et restera à chaque emplacement pendant environ six semaines. La collecte des données du cycle 2 commencera en septembre 2009 et se poursuivra pendant 24 mois.

Conclusion

a présente évaluation conclut qu’étant donné les mesures de protection existantes de Statistique Canada ainsi que les organismes consultatifs et de surveillance supplémentaires mis sur pied pour l’ECMS, les risques qui restent sont négligeables ou sont tels que Statistique Canada est prêt à les accepter et à les gérer.

Introduction

Le Portail libre-service des Ressources humaines est réservé aux employés de Statistique Canada et leur assure, à partir du poste de travail, l’accès à une foule de renseignements ayant trait à leur dossier ou au bureau.

Objectif

Le Portail libre-service des RH a fait l’objet d’une évaluation des facteurs relatifs à la vie privée. Il s’agissait de cerner les problèmes concernant la protection des renseignements personnels, la confidentialité et la sécurité, puis à recommander des moyens d’y remédier ou de les atténuer.

Description

Le Portail libre-service des RH, qui s’ajoute à celui des systèmes administratifs de Statistique Canada, permet de gérer plus efficacement la panoplie de renseignements sur le personnel. Son accès est assuré à partir d’un réseau interne sécurisé et il se limite aux détenteurs d’un compte informatique valide.

Jusqu’à l’implantation du Portail des RH, les renseignements clés sur les employés étaient répartis dans bon nombre de dossiers et de bases de données. Pour y accéder, les employés devaient passer par la Direction des ressources humaines. Ainsi, pour faire changer leur adresse domiciliaire ou postale ou les coordonnées de la personne à joindre en cas d’urgence, il leur fallait attendre qu’un agent de la Direction ait donné suite à leur demande.

Grâce au Portail des RH, les employés sont à même de modifier leurs données et d’accéder à d’autres renseignements liés à leur dossier ou au travail.

Conclusion

L’évaluation des facteurs relatifs à la vie privée n’a révélé aucun risque qui ne puisse être géré à l’aide des mesures de protection actuelles ou d’autres mesures d’implantation du Portail libre-service des Ressources humaines.

Résumé

Le Formulaire de rétroaction sur la visualisation des données a été élaboré pour recueillir les commentaires des visiteurs du site Web de Statistique Canada sur les propositions relatives à l’Initiative de visualisation des données, qui vise à trouver de nouvelles façons améliorées de présenter les données sur le site Web. Ce formulaire en ligne permet aux utilisateurs de contribuer à la planification de la visualisation des données de Statistique Canada et aux recherches futures s’y rapportant.

Objectifs

On a mené une évaluation des facteurs relatifs à la vie privée en ce qui a trait au formulaire de rétroaction afin de déterminer si l’application Web posait des problèmes sur les plans de la protection des renseignements personnels, de la confidentialité et de la sécurité et, dans l’affirmative, de faire des recommandations pour les régler ou les atténuer.

Description

Comme c’est généralement le cas avec les formulaires de rétroaction en ligne, on demande aux participants de soumettre des commentaires sur des questions de base particulières. On leur demande également leurs nom, numéro de téléphone, ville et adresse électronique. On pourrait utiliser ces renseignements pour communiquer avec eux concernant d’autres consultations sur les applications Web.

Les participants sont informés, au moyen d’un avis de confidentialité, que Statistique Canada s’engage à ne pas vendre, distribuer, échanger ou transférer leurs renseignements personnels au profit d’autres ministères ou encore d'entreprises, organismes ou particuliers à l'extérieur de Statistique Canada, que ce soit à des fins commerciales ou autres, à moins que la loi ne le prescrive. Les renseignements qu’ils fourniront demeureront confidentiels et serviront uniquement aux fins déterminées.

Conclusion

Dans le cadre de l’évaluation du Formulaire de rétroaction sur la visualisation des données, on n’a décelé aucun risque d’entrave à la vie privée qui ne puisse être géré au moyen des mesures de protection actuelles.