Rapport annuel au Parlement 2022–2023 sur l'application de la Loi sur la protection des renseignements personnels

Introduction

Chaque année, conformément à l’article 72 de la Loi sur la protection des renseignements personnels, le responsable de chaque institution du gouvernement du Canada établit un rapport sur la façon dont l’institution a appliqué la Loi et le présente au Parlement.

Le présent rapport annuel au Parlement est présenté sous l’autorité de la ministre du Revenu national. Le rapport décrit la façon dont l’Agence du revenu du Canada (ARC) a appliqué la Loi sur la protection des renseignements personnels et respecté les obligations selon la Loi du 1^er avril 2022 et le 31 mars 2023. De plus, celui-ci traite des nouvelles tendances, de l’exécution des programmes et des secteurs d’intérêt pour l’année à venir.

Loi sur la protection des renseignements personnels

La Loi sur la protection des renseignements personnels protège les renseignements personnels des particuliers en énonçant des exigences strictes quant à la façon dont les institutions fédérales recueillent, conservent, utilisent, procèdent au retrait et à la divulgation de ces renseignements. De plus, elle donne aux particuliers (ou à leurs représentants autorisés) le droit d’accéder (à quelques exceptions près), à leurs renseignements, de les corriger et d’y ajouter des notes.

Les particuliers qui ne sont pas satisfaits de la manière dont une institution traite leurs renseignements personnels ou leur demande en vertu de la Loi sur la protection des renseignements personnels, ont le droit de déposer une plainte auprès du commissariat à la protection de la vie privée du Canada.

Les processus officiels prévus par la Loi sur la protection des renseignements personnels ne remplacent pas d’autres méthodes permettant d’obtenir des renseignements du gouvernement fédéral. L’Agence encourage les particuliers et leurs représentants à obtenir des renseignements des contribuables de façon informelle au moyen de ses voies de communication de libre-service en ligne, comme Mon dossier et Représenter un client. De plus, l’Agence fait la promotion d’autres voies de communication informelles, comme demander des renseignements directement auprès de l’Agence en se servant de ses lignes téléphoniques automatisées et sans frais.

Table des matières

À propos de l’Agence du revenu du Canada

Environnement opérationnel

Programme de gestion de la protection des renseignements personnels

Surveillance de la conformité

Évaluations des facteurs relatifs à la vie privée

Interprétation et explication de l’Annexe A – Rapport statistique

Interprétation et explication de l’Annexe B – Rapport statistique supplémentaire sur la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels

Conclusion

Annexe A – Rapport statistique

Annexe B – Rapport statistique supplémentaire sur la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels

Annexe C – Arrêté sur la délégation

 

ISSN: 2563-3473

À propos de l’Agence du revenu du Canada

L’Agence fait la promotion et s’assure de l’observation des lois et des règlements fiscaux au Canada et joue un rôle important dans le bien-être économique et social des Canadiens. Pour ce faire, elle administre des programmes fiscaux pour le gouvernement du Canada et la plupart des provinces et territoires. Elle administre d’ailleurs divers programmes d’encouragement et de prestations socioéconomiques dans le cadre du régime fiscal. De plus, l’Agence a le pouvoir d’établir des partenariats avec les provinces, les territoires et d’autres organismes gouvernementaux afin d’échanger des renseignements, et pour des frais, elle peut fournir des services supplémentaires à la demande des provinces et des territoires.

La ministre du Revenu national doit rendre compte au Parlement de l’ensemble des activités de l’Agence, y compris l’application et l’exécution de la Loi de l’impôt sur le revenu et de la Loi sur la taxe d’accise.

Le Conseil de direction, lequel a été établi en vertu de la Loi sur l’Agence du revenu du Canada, est composé de 15 administrateurs nommés par le gouverneur en conseil. Chaque province nomme un administrateur, et les territoires nomment à tour de rôle un administrateur. Les quatre autres administrateurs sont le président, le commissaire et deux administrateurs nommés par le gouvernement du Canada. Le Conseil de direction est chargé de la supervision de la structure organisationnelle et de l’administration de l’Agence, et de la gestion de ses ressources, de ses services, de ses biens, de son effectif et de ses contrats. Cela comprend l’élaboration du plan d’entreprise, ainsi que l’approbation du Rapport sur les résultats ministériels de l’Agence et de ses états financiers vérifiés. Dans le cadre de ce mandat, le Conseil apporte une perspective stratégique tournée vers l’avenir à l’administration de l’Agence, favorise l’adoption de saines pratiques de gestion et s’engage à maintenir une prestation de services efficace et efficiente.

À titre de premier dirigeant de l’Agence, le commissaire est responsable de l’application et de l’exécution quotidiennes des lois relatives aux programmes qui relèvent des pouvoirs délégués à la ministre du Revenu national. Le commissaire est appuyé par la commissaire déléguée, et ensemble, ils veillent à ce que la vision de l’Agence oriente les opérations afin que l’Agence puisse être une administration fiscale et des prestations de calibre mondial qui est digne de confiance, juste et au service des gens d’abord. Le commissaire est responsable envers le ou la ministre et doit l’aider et l’aviser en ce qui a trait aux pouvoirs prévus par la loi, aux fonctions et aux responsabilités de son cabinet. Le commissaire est également membre d’office du Conseil et il est responsable de l’administration quotidienne de l’Agence, de la supervision de ses employés et de la mise en œuvre des politiques de gestion.

L’Agence est composée de 14 directions générales fonctionnelles et de 4 bureaux régionaux situés un peu partout au pays :

Directions générales

• Affaires publiques
• Appels 
• Cotisation, prestation, et service
• Finances et administration  
• Informatique
• Politique législative et affaires réglementaires
• Programme de transformation numérique
• Programmes d’observation
• Recouvrements et vérification  
• Ressources humaines
• Sécurité
• Services juridiques
• Service, innovation, et intégration
• Vérification, évaluation et risques

Régions

• Atlantique
• Ontario
• Ouest
• Québec

Chef de la protection des renseignements personnels

La sous-commissaire de la Direction générale des affaires publiques est la chef de la protection des renseignements personnels de l’Agence. Cette dernière a un vaste mandat qui consiste à veiller à la protection des renseignements personnels à l’Agence. Pour remplir ce mandat, la chef :

• contrôle les décisions liées à la protection des renseignements personnels, y compris les évaluations des facteurs relatifs à la vie privée;
• agit comme championne des droits relatifs à la protection des renseignements personnels, ce qui comprend la gestion des atteintes à la vie privée à l’interne, conformément à la loi et aux politiques;
• rend des comptes à la haute direction de l’Agence à chaque quart, sur la gestion de la protection des renseignements personnels à l’Agence.

Conseil exécutif de la sécurité et de la protection des renseignements personnels de l’Agence

Le Conseil exécutif de la sécurité et de la protection des renseignements personnels de l’Agence comprend 14 cadres supérieurs clés. Le chef de la protection des renseignements personnels et l’agent de sécurité de l’agence sont des coprésidents.

Le mandat du Conseil consiste à :

• faciliter une approche horizontale pour superviser les activités de gouvernance, de gestion et d’atténuation des risques liées à la sécurité et à la protection des renseignements personnels à l’Agence;
• agir à titre de comité directeur pour établir l’orientation sur les questions de protection des renseignements personnels et de sécurité;
• recommander des plans d’action aux comités de la haute direction respectifs.

Au cours de la période visée par le rapport, le Conseil s’est réuni trois fois. Certains des problèmes de protection des renseignements personnels qu’il a examinés étaient liés :

• aux approches relatives aux atteintes importantes à la vie privée et aux mises à jour des procédures;
• au renouvellement du suivi de la gestion de la protection des renseignements personnels dans l’ensemble de l’Agence;
• à l’approbation de la stratégie de formation et de sensibilisation sur l’accès à l’information et la protection des renseignements personnels;
• aux exigences en matière d’évaluation des risques liés à la vie privée et à l’utilisation des mécanismes de contrôle de la protection des renseignements personnels;
• aux modifications réglementaires et aux répercussions sur l’Agence.

Comité sur la sécurité et la protection des renseignements personnels des directeurs généraux

Le Comité sur la sécurité et la protection des renseignements personnels des directeurs généraux combine la gouvernance et le contrôle liés à la protection des renseignements personnels et à la sécurité. Le Comité a été formé en juin 2022 et se réunit chaque mois.

Le mandat du Comité consiste à :

• appuyer le Conseil exécutif de la sécurité et de la protection des renseignements personnels de l’Agence;
• assurer la supervision et l’orientation des risques et des enjeux liés à la sécurité et à la protection des renseignements personnels.

Au cours de l’exercice, neuf réunions ont eu lieu. Certains des enjeux liés à la protection des renseignements personnels que le Comité a examinés portaient sur :

• les approches relatives aux atteintes importantes à la vie privée et une mise à jour des procédures;
• le renouvellement du suivi de la gestion de la protection des renseignements personnels dans l’ensemble de l’Agence;
• l’approbation de la stratégie de formation et de sensibilisation sur l’accès à l’information et la protection des renseignements personnels;
• les exigences en matière d’évaluation des risques liés à la vie privée et l’utilisation des mécanismes de contrôle de la protection des renseignements personnels;
• les modifications réglementaires et les répercussions sur l’Agence.

Direction de l’accès à l’information et protection des renseignements personnels

La Direction de l’accès à l’information et de la protection des renseignements personnels (AIPRP) aide l’Agence à respecter les exigences de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels. Pour remplir ce mandat, la Direction de
l’AIPRP :

• répond aux demandes et aux questions selon la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels;
• répond aux demandes de consultation, aux plaintes et aux demandes de divulgation informelle;
• conseille et oriente les employés de l’Agence concernant la gestion et la protection adéquates des renseignements personnels relevant de l’Agence;
• examine et, s’il y a lieu, publie les renseignements à divulguer de façon proactive, y compris les titres des notes d’information et les documents du Comité;
• donne des séances de formation et d’information sur l’AIPRP;
• coordonne le processus d’évaluation des facteurs relatifs à la vie privée au sein de l’Agence, notamment donner des conseils éclairés aux employés de l’Agence concernant les répercussions sur la protection de la vie privée et les façons d’éviter et d’atténuer les risques;
• intervient lors d’atteintes à la vie privée et gère les demandes de renseignements et les plaintes liées à la protection des renseignements personnels;
• assure la liaison avec le Secrétariat du Conseil du Trésor du Canada et les commissariats à l’information et à la protection de la vie privée du Canada concernant les plaintes, les enquêtes et les exigences législatives ainsi qu’en matière de politiques;
• respecte les obligations de l’Agence en matière de planification et d’établissement de rapports, par exemple en ce qui concerne les rapports annuels de l’Agence au Parlement sur l’application de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels.

Le directeur général de la Direction de l’AIPRP a les pleins pouvoirs délégués par la ministre du Revenu national selon la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels. De plus, le directeur général :

• gère et coordonne le programme d’AIPRP;
• dirige les initiatives de planification stratégique et de développement;
• appuie le sous-commissaire de la Direction générale des affaires publiques et le chef de la protection des renseignements personnels de l’Agence dans son rôle de gouvernance de l’AIPRP.

La Direction de l’AIPRP appuie trois fonctions principales : le traitement, la gestion de la protection des renseignements personnels et l’amélioration globale de la direction. La Direction a des employés à Ottawa, à Montréal et à Vancouver. Au cours de l’exercice 2022–2023, un équivalent de 196 employés à temps plein et 18 consultants ont appliqué la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels.

Délégation de responsabilités en vertu de la Loi sur la protection des renseignements personnels

En tant que responsable de l’Agence, la ministre du Revenu national est responsable de la manière dont l’Agence applique la Loi sur la protection des renseignements personnels, le Règlement sur la protection des renseignements personnels et les politiques connexes du Secrétariat du Conseil du Trésor du Canada, et s’y conforme. Selon le paragraphe 73(1) de la Loi, la ministre peut déléguer la totalité ou une partie de ses pouvoirs, tâches et fonctions liés à la Loi à un ou à plusieurs représentants de l’Agence.

Le 15 mai 2020, l’honorable Diane Lebouthillier, ministre du Revenu national, a signé l’arrêté sur la délégation de l’Agence qui est actuellement en vigueur pour la Loi sur la protection des renseignements personnels. Le document énonce les dispositions particulières de la Loi et de son règlement selon lesquelles la ministre a délégué ses attributions à divers postes au sein de l’Agence.

Le directeur général, les directeurs, les directeurs adjoints, les gestionnaires et les examinateurs de la Direction de l’AIPRP approuvent les réponses aux demandes en vertu de la Loi sur la protection des renseignements personnels. Des délégations sont aussi accordées au commissaire, à la commissaire délégué ainsi qu’à la sous-commissaire de la Direction générale des affaires publiques et chef de la protection des renseignements personnels.

Pour consulter l’arrêté sur la délégation et le calendrier, lisez l’Annexe C – Arrêté sur la délégation. 

Environnement opérationnel

En tant qu’administrateur en chef des lois fiscales fédérales, provinciales et territoriales, l’Agence possède un des plus grands dépôts de renseignements personnels de la fonction publique du Canada. De plus, elle recueille et gère les renseignements personnels de ses effectifs qui comptent plus de 52 000 personnes. Les Canadiens font confiance à l’Agence en lui confiant leurs renseignements personnels et l’Agence prend très au sérieux la protection de ces renseignements. Pour ce faire, au cours de l’exercice, l’Agence a amélioré ses procédures de vérification de l’identité et d’autorisation et a mis en œuvre sa stratégie de formation et de sensibilisation sur l’accès à l’information et la protection des renseignements personnels.

La Direction de l’AIPRP traite un des volumes de pages et de demandes parmi les plus élevés de toutes les institutions fédérales. D’après les plus récentes statistiques du Secrétariat du Conseil du Trésor du Canada, l’Agence, en 2021–2022, a traité le quatrième volume de pages en importance de l’ensemble des institutions fédérales répondant aux demandes selon les dispositions de la Loi sur la protection des renseignements personnels et s’est classée au quatrième rang des institutions fédérales recevant le plus grand nombre de demandes.

Les volumes de demandes sont à un niveau record, exerçant une pression sur le personnel pour accroître la production, réduire les retards accumulés et améliorer l’observation.

Le nombre de demandes reçues par l’Agence en vertu de la Loi sur la protection des renseignements personnels en 2022–2023 (11 572) était plus élevé de 32 % qu’en 2021–2022 (8 763). Le nombre de demandes traitées (10 960) était supérieur de 28 % à celui de 2021–2022 (8 558). Une grande partie des demandes visent à obtenir des renseignements fiscaux personnels qui sont accessibles en utilisant les voies en libre-service de l’Agence. Le volume de ces types de demandes a augmenté de 174 % depuis l’exercice 2018–2019. Au cours de la période visée par le rapport, ces demandes représentaient 78 % de toutes les demandes reçues.

Au-delà des volumes importants de pages et de demandes, l’Agence continue de répondre à des demandes très complexes. Les plaintes et les consultations représentent également une charge de travail importante pour la Direction de l’AIPRP.

Pour traiter le volume important de demandes, au cours de l’exercice, l’Agence a continué de mettre en œuvre de nombreuses initiatives Lean afin de moderniser les processus et la technologie dans le but d’améliorer la productivité et l’efficacité du programme d’AIPRP. Pour en savoir plus, consultez la section Initiatives d’amélioration continue.

Au cours de cette période visée par le rapport, les activités de l’Agence n’ont pas été touchées par la pandémie de COVID-19. Le Secrétariat du Conseil du Trésor du Canada exige que les institutions fournissent des statistiques spécifiques sur l’incidence de la pandémie de COVID-19 sur les opérations, consultez l'Annexe B – Rapport statistique supplémentaire sur la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels.

Le tableau suivant montre les tendances en matière des demandes reçues selon la Loi sur la protection des renseignements personnels au cours des cinq dernières années.

Tendances des demandes relatives à la Loi sur la protection des renseignements personnels

Initiatives d’amélioration continue

En 2022–2023, les principaux changements apportés pour améliorer la productivité et l’efficacité au sein de la Direction de l’AIPRP comprenaient la mise en œuvre des initiatives suivantes :

Initiative de demande de niveau 1

La Direction de l’AIPRP reçoit régulièrement des demandes de renseignements fiscaux qui ne nécessitent pas de rédactions (demandes de niveau 1) et qui sont disponibles par d’autres voies. Bien que ces demandes ne soient pas complexes, elles représentent un volume important de travail pour la Direction de l’AIPRP. Tout au long de l’exercice, la Direction de l’AIPRP a travaillé sur un plan visant à réacheminer ces demandes vers des voies plus efficaces, comme Mon dossier et Représenter un client. Le plan sera mis en œuvre en 2023–2024. En réacheminant ces types de demandes aux voies de service existantes à l’extérieur du programme d’AIPRP, l’Agence sera en mesure de se concentrer sur la fourniture de réponses en temps opportun aux demandes d’AIPRP pour les renseignements qui ne sont pas facilement accessibles par d’autres moyens.

Plan d’élimination des retards accumulés

La Direction de l’AIPRP a travaillé assidûment à éliminer son inventaire des retards accumulés tout en équilibrant l’exigence de répondre à temps à une charge de travail en constante augmentation des demandes reçues en vertu de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels, ainsi que d’autres inventaires connexes, comme les dossiers de consultation et les plaintes. À l’automne 2021, la Direction de l’AIPRP a mis en place un plan d’élimination des retards accumulés pour traiter les retards accumulés.

Principales réalisations

• La première phase consistait à fermer toutes les demandes tardives que l’Agence a reçues avant le 31 mars 2019 (186 demandes). Cette phase a été achevée le 30 septembre 2022.
• La phase 2 se concentrait sur la clôture des 108 demandes tardives reçues entre avril 2019 et mars 2020. Cette phase a été achevée le 31 mars 2023.

La phase 3 est en cours et se concentre sur la fermeture des 189 demandes tardives reçues entre le 1^er avril 2020 et le 31 mars 2021. L’Agence vise à achever cette phase d’ici le 31 décembre 2023. Répondre aux demandeurs en temps opportun et éliminer les retards accumulés demeurent un objectif continu.

Zone de dépôt sécurisée

La Direction de l’AIPRP a collaboré avec la Direction générale de l’informatique pour se joindre au projet pilote pour la zone de dépôt sécurisée. La zone de dépôt sécurisée fournit un point de livraison unique, normalisé et sécurisé pour la transmission ponctuelle des documents. Ce projet s’harmonisait avec les priorités du gouvernement du Canada visant à accroître les options numériques pour les clients externes et à répondre à leurs besoins numériques.

Projet de modernisation du système de gestion des cas d’AIPRP

Au cours de la période visée par le rapport, la Direction de l'AIPRP a travaillé sur la mise en œuvre du système de gestion des cas de l’AIPRP qui sera lancé en 2024–2025. La solution maintiendra la capacité de l'ARC à traiter les demandes d'AIPRP au-delà de la durée de vie de son système vieillissant, tout en réduisant le temps de traitement et le travail administratif.

Système de demande d'AIPRP en ligne

La Direction de l'AIPRP s'est préparée pour l'intégration au début de 2023–2024 au système de demande d'AIPRP en ligne, qui est construit par le Secrétariat du Conseil du Trésor du Canada. Le système offre aux demandeurs d'AIPRP un portail pour soumettre leurs demandes, suivre la progression de leur demande et recevoir des réponses. Cette solution améliore la communication bidirectionnelle avec les demandeurs, réduisant ainsi les délais de traitement des demandes et les délais de réception et d'envoi des informations relatives aux demandes d'AIPRP.

Projet de migration des télécopies électroniques

Le projet de migration des télécopies électroniques a fourni une nouvelle solution afin de permettre à la Direction de l’AIPRP de convertir les télécopies entrantes en documents PDF numériques. Cette solution Lean facilite le traitement à distance de la correspondance.

Tableau de bord de l’assurance de la qualité de l’AIPRP

Le tableau de bord de l’assurance de la qualité de l’AIPRP a été élaboré afin de cerner les tendances dans le traitement des dossiers et de combler les lacunes dans les processus opérationnels. Il aide aussi à déterminer les exigences en matière de formation.

Centre d’expertise Lean

La Direction de l’AIPRP a mis en œuvre un centre d’expertise Lean qui enseigne les principes Lean au sein de la Direction de l’AIPRP. Plusieurs équipes ont mené des ateliers sur l’approche Lean afin d’analyser les processus opérationnels existants et de cerner les points à améliorer. À la suite de ces ateliers, les améliorations apportées aux processus ont contribué à :

• mieux outiller les gestionnaires dans leurs fonctions;
• obtenir une meilleure qualité des dossiers grâce à l’ajout de points de contrôle de la qualité;
• déterminer les besoins en matière de formation et d’apprentissage des employés;
• améliorer les contrôles et l’établissement de rapports.

Ces efforts, ainsi que l’encadrement continu en matière de leadership, ont été essentiels à l’établissement d’une culture d’amélioration continue.

Ressources humaines

En 2022–2023, la Direction de l’AIPRP a lancé six processus de sélection allant du niveau SP-06^{Note de bas de page 1}  et au niveau MG-06^{Note de bas de page 2} , ce qui a donné lieu à des bassins de candidats qualifiés. L’Agence a également participé et recruté dans le cadre du processus de sélection du bureau de perfectionnement des collectivités de l’AIPRP lancé par le Secrétariat du Conseil du Trésor du Canada.

La Direction de l’AIPRP s’est engagée à promouvoir le modèle de bureau unique en recrutant les personnes les plus qualifiées, peu importe où elles se trouvent physiquement au Canada. Elle appuie également pleinement la création d’un environnement de travail respectueux, inclusif et diversifié.

 

La Direction de l’AIPRP s’est engagée à promouvoir le modèle de bureau unique en recrutant les personnes les plus qualifiées, peu importe où elles se trouvent physiquement au Canada. Elle appuie également pleinement la création d’un environnement de travail respectueux, inclusif et diversifié.

Examen de la vulnérabilité en matière de protection des renseignements personnels

Au début de l’exercice 2022–2023, il restait deux recommandations à suivre dans le cadre de l’examen de la vulnérabilité en matière de protection des renseignements personnels qui a été achevé en mars 2021. Les objectifs de l’examen consistaient à cerner les principaux risques en matière de protection des renseignements personnels; à évaluer ces risques; à déterminer les contrôles et les activités d’atténuation; à mettre à l’essai certains contrôles en place; et à formuler des recommandations pour remédier aux lacunes en matière de contrôles.

Les recommandations suivantes ont été réalisées au cours de l’exercice :

Recommandation 4 : La Direction générale des affaires publiques doit établir un processus officiel d’assurance de la qualité pour les dossiers d’AIPRP afin d’assurer la qualité et l’uniformité de l’application des procédures.

Statut : En juin 2022, la Direction de l’AIPRP a mis en œuvre le programme d’assurance de la qualité de l’AIPRP. Grâce aux examens trimestriels, elle surveille et rend compte de ce qui suit :

• les renseignements sur les clients et les renseignements personnels ont été protégés en tout temps;
• tous les documents pertinents ont été reçus;
• les demandes d’AIPRP ont été traitées dans les délais prescrits par la loi;
• les exceptions et les exclusions ont été appliquées de façon appropriée;
• l’indemnité de départ a été envisagée;
• les consultations ont été menées en temps opportun;
• les principes de « l’obligation d’aider » ont été respectés.

Les constatations trimestrielles, y compris les pratiques exemplaires et les possibilités d’amélioration, ont été consignées et communiquées à la Direction.

Recommandation 14 : La Direction générale des affaires publiques doit mettre à jour les procédures pour vérifier les renseignements sur la livraison avant d’envoyer les réponses de l’AIPRP et communiquer régulièrement ces mises à jour aux employés.

Statut : En août 2022, la Direction de l’AIPRP a révisé le manuel des procédures afin d’inclure la confirmation mise à jour des procédures traitées et de communiquer le changement aux équipes de traitement.

Formation

La Direction de l’AIPRP s’engage à promouvoir et à offrir une formation sur l’AIPRP aux employés de l’Agence. Cette formation varie selon les besoins des employés. Par exemple, les employés qui ont peu ou pas de connaissances sur le sujet sont encouragés à suivre le cours « Principes fondamentaux de l’accès à l’information et de la protection des renseignements personnels » de l’École de la fonction publique du Canada. Les experts en la matière sont invités à suivre une formation plus ciblée, par exemple sur la façon de communiquer des recommandations complètes en réponse aux demandes. La formation sur la gestion de la protection des renseignements personnels est également offerte tout au long de l’année.

La Direction générale des services juridiques de l’Agence offre également une formation liée à la Loi sur l’accès à l’information et à la Loi sur la protection des renseignements personnels.

En 2022–2023, l’Agence a continué d’offrir sa série de 10 modules Web qui consiste en une formation technique spécialisée aux employés de la Direction de l’AIPRP.

Au cours de la période visée par le rapport, les employés de la direction ont participé à la formation sur la protection des renseignements personnels offerte par l’Association internationale des professionnels de la protection de la vie privée. Plusieurs employés de la direction ont participé à la formation de l’Association afin de maintenir leur certification auprès de l’Association à titre de professionnels de la protection de la vie privée et de gestionnaire agréé de la protection des renseignements personnels.

La Direction de l’AIPRP tient également des réunions régulières sur l’examen technique. Ces réunions permettent la communication et la consultation entre les équipes des opérations, des politiques et du soutien opérationnel au sein de la Direction. Les réunions ont pour objectif de maintenir un forum pour faire part des changements apportés aux politiques et aux processus, des initiatives Lean et des améliorations apportées au système de gestion des cas d’AIPRP, ainsi que de fournir des outils supplémentaires.

Au cours de la période visée par le rapport, la Direction de l’AIPRP a offert les séances de formation et d’information techniques suivantes :

• une formation personnalisée sur la protection des renseignements personnels à plus de 800 employés de la Direction générale des ressources humaines;
• 30 produits de sensibilisation sur la protection des renseignements personnels dans InfoZone;
• 16 séances d’information sur l’AIPRP à 3 750 participants;
• 4 téléconférences à 650 participants.

Dans le cadre de la stratégie de formation et de sensibilisation concernant la protection des renseignements personnels et l’accès à l’information à l’échelle de l’Agence, la formation obligatoire sur l’AIPRP est mise en œuvre pour tous les employés de l’Agence au cours de l’exercice 2023–2024. Cela appuie les nouvelles exigences de la politique du Secrétariat du Conseil du Trésor du Canada qui stipulent que tous les employés du gouvernement fédéral doivent recevoir une formation sur leurs obligations liées à la Loi sur l’accès à l’information et à la Loi sur la protection des renseignements personnels. Au besoin, cette formation sera appuyée par des séances d’information pour tous les employés de l’Agence.

Sensibilisation

Chaque année, l’Agence célèbre la Semaine de la protection des données, une initiative internationale qui fait la promotion de la sensibilisation aux effets de la technologie sur les droits à la vie privée et à l’importance de valoriser et de protéger les renseignements personnels.

En janvier 2023, l’Agence a célébré la Semaine de la protection des données en organisant un événement virtuel à l’échelle de l’Agence avec la conférencière invitée Elizabeth Denham, ancienne commissaire à l’information du Royaume-Uni et ancienne commissaire à l’information et à la protection de la vie privée de la Colombie-Britannique. La présentation était axée sur les tendances en matière de réglementation de la technologie et sur la façon dont l’innovation peut être promue tout en protégeant la vie privée.

Au cours de la période visée par le rapport, la Direction de l’AIPRP a également créé et publié un document d’information sur la protection des renseignements personnels dès la conception. Le concept de protection des renseignements personnels dès la conception est la pierre angulaire du Cadre de gestion de la protection des renseignements personnels de l’Agence.

La direction a également collaboré à de nombreuses communications internes pour accroître la sensibilisation, y compris l’utilisation de caricatures sur la protection des renseignements personnels publiées sur le site Web du Commissariat à la protection de la vie privée du Canada. De plus, deux profils professionnels ont été publiés sur l’intranet de l’Agence. Les profils décrivent en détail le cheminement de carrière de deux employés de la Direction de l’AIPRP qui sont passionnés par la protection des renseignements personnels et en font la pierre angulaire de leur travail quotidien. Un jeu-questionnaire sur la protection des renseignements personnels a également été publié sur l’intranet de l’Agence.

Tout au long de l’année, la Direction de l’AIPRP a continué de promouvoir la sensibilisation du rôle que joue la protection des renseignements personnels dans le soutien d’une saine gestion de la protection des renseignements personnels, en participant à des comités et groupes de travail, en fournissant des conseils et en communiquant régulièrement avec des employés dans les bureaux de première responsabilité à l’échelle de l’Agence.

Collaboration avec des organismes de surveillance et d’autres organismes

L’Agence continue de travailler en étroite collaboration avec le Commissariat à la protection de la vie privée du Canada, le Secrétariat du Conseil du Trésor du Canada et d’autres organismes pour renforcer la protection de la vie privée à l’Agence.

Au-delà de nombreuses collaborations mentionnées plus tôt dans le présent rapport, en 2022–2023, l’Agence a :

• communiqué fréquemment avec le Commissariat à la protection de la vie privée du Canada afin d’aborder divers sujets, dont les atteintes à la vie privée, les enquêtes sur la protection des renseignements personnels et de nouvelles initiatives, ou modifiées, sur l’utilisation de renseignements personnels;
• travaillé en étroite collaboration avec le Secrétariat du Conseil du Trésor du Canada sur divers éléments, y compris les atteintes à la vie privée, les évaluations de la protection des renseignements personnels, les instruments de politique d’entreprise, le traitement des solutions logicielles pour les demandes d’AIPRP, les mises à jour de l’ensemble des politiques du Secrétariat du Conseil du Trésor du Canada, les avis de mise en œuvre de la protection des renseignements personnels et la mise en œuvre des exigences;
• participé activement aux initiatives lancées par le bureau de perfectionnement des collectivités de l’AIPRP, y compris les processus de formation et de sélection;
• collaboré avec la communauté de l’AIPRP en faisant part des pratiques exemplaires sur les sujets de la sécurité, de la validation de l’ID et de l’authentification des demandeurs d’AIPRP qui cherchent des renseignements propres aux clients;
• coprésidé le Comité interministériel de modernisation de l’AIPRP. Ce comité détermine et met à l’essai des initiatives de modernisation qui ont une incidence sur l’ensemble de la communauté de l’AIPRP, et que d’autres organismes et ministères peuvent utiliser pour améliorer leurs processus et leurs solutions de modernisation;
• continué de travailler avec des ministères fédéraux de manière ponctuelle pour faire part des stratégies et des solutions dans le but de permettre à chaque ministère de traiter le plus grand nombre de demandes d’AIPRP et de promouvoir la protection des renseignements personnels et la transparence;
• collaboré avec d’autres institutions, y compris l’Agence des services frontaliers du Canada et l’École de la fonction publique du Canada, pour le processus d’approbation de la formation d’entreprise obligatoire sur l’AIPRP;
• collaboré avec le Service correctionnel du Canada pour faire part du matériel de formation interne à rythme libre sur l’AIPRP de l’Agence;
• participé au groupe de travail interministériel sur l’examen de la Loi sur la protection des renseignements personnels du ministère de la Justice du Canada.

Programme de gestion de la protection des renseignements personnels

Améliorer le programme de gestion de la protection des renseignements personnels, y compris les politiques, les lignes directrices et les procédures

Le paysage de la protection des renseignements personnels continue d’évoluer considérablement avec les technologies numériques en constante évolution et la prise de décisions automatisée.

En 2022–2023, en consultation avec le Conseil exécutif de la sécurité et de la protection des renseignements personnels de l’Agence, le Comité sur la sécurité et sur la protection des renseignements personnels des directeurs généraux et d’autres cadres supérieurs de l’Agence, l’Agence a continué d’améliorer son cadre de gestion de la protection des renseignements personnels en :

• mettant en œuvre une stratégie de formation et de sensibilisation sur la protection des renseignements personnels à l’échelle de l’Agence;
• mettant à jour les procédures de l’Agence relatives aux atteintes à la vie privée;
• favorisant la mise en œuvre de mécanismes de contrôle de la protection des renseignements personnels dans l’ensemble de l’Agence.

Le cadre de gestion de la protection des renseignements personnels de l’Agence, publié en 2019–2020, est disponible à : canada.ca/fr/agence-revenu/organisation/securite/cadre-de-gestion-de-la-protection-des-renseignements-personnels.

Gestion des atteintes à la vie privée

L’une des pierres angulaires du régime fiscal canadien est la confiance que les Canadiens accordent à l’Agence pour ce qui est de protéger leurs renseignements personnels. L’Agence prend très au sérieux l’intégrité et la protection des renseignements des contribuables et maintient ses contrôles en place afin d’empêcher les atteintes à la vie privée. Malgré l’efficacité de ces contrôles, des atteintes à la vie privée ont parfois lieu. La gestion efficace des atteintes à la vie privée est vitale pour la confiance de la population en l’intégrité du régime fiscal.

L’Agence enquête tous les incidents internes et externes concernant des renseignements potentiellement compromis. Lorsqu’une atteinte à la vie privée se produit, la Direction de l’AIPRP travaille en étroite collaboration avec les intervenants afin de contenir et de gérer l’atteinte à la vie privée, d’évaluer les répercussions sur les personnes touchées, et de déterminer et d’appliquer des mesures correctives afin d’éviter qu’elles se reproduisent.

Lorsque cela est justifié, l’Agence informe et offre des services de protection du crédit pour aider les personnes touchées par une atteinte à la vie privée.

Accès non autorisé ou divulgation par des employés de l’Agence

Cette année, la Direction des affaires internes de l’Agence a informé la Direction de l’AIPRP de 98 incidents d’accès ou de divulgation inappropriés en lien avec les renseignements personnels par des employés de l’Agence.

L’inconduite d’un employé fondée est traitée rapidement et de façon appropriée, et tout incident impliquant une activité criminelle soupçonnée est renvoyé aux autorités compétentes. Tous les employés de l’Agence suivent une formation obligatoire et continue en matière de sécurité qui met en évidence l’importance de la protection des renseignements sur les contribuables. De plus, tous les employés de l’Agence sont assujettis à un Code d’intégrité et de conduite professionnelle strict. Les employés enfreignant le Code peuvent faire face à des mesures disciplinaires pouvant aller jusqu’au congédiement et à un examen de leur cote de sécurité.

Courrier mal acheminé et incidents de sécurité

En 2022–2023, l’Agence a enregistré 904 atteintes à la vie privée en raison du courrier mal acheminé, c’est-à-dire du courrier qui a été mal adressé ou qui a été envoyé par erreur à la mauvaise personne.

Les incidents liés au courrier mal acheminé se produisent seulement dans 0,003 % des 110 millions d’articles de courrier que l’Agence traite chaque année.

De plus, 223 atteintes à la vie privée de l’Agence découlent d’incidents de sécurité, y compris de la perte, du vol ou de la divulgation inappropriée de renseignements personnels.

Identifiants compromis

Au cours des dernières années, l’Agence a constaté une augmentation importante de l’utilisation non autorisée des renseignements des contribuables, ainsi que des tentatives d’obtenir un accès non autorisé. Cette augmentation peut être attribuée au versement des prestations liées à la COVID-19 par l’Agence, et à une augmentation marquée des atteintes externes à la protection des données et des cybermenaces, des personnes malveillantes de l’extérieur ayant tenté de profiter d’un ensemble unique de circonstances.

La grande majorité de ces incidents sont attribuables au fait que de mauvais acteurs utilisent des renseignements personnels obtenus antérieurement pour modifier indirectement les renseignements personnels des particuliers (création non autorisée de renseignements personnels) sans accéder directement aux comptes de l’Agence, par exemple, en utilisant des déclarations papier ou des lignes téléphoniques de demandes de renseignements de l’Agence ou par l’intermédiaire de partenaires de confiance, comme les institutions financières. Dans ces cas, aucun renseignement personnel n’a été consulté au moyen des systèmes de l’Agence.

Mesures d’atténuation des atteintes substantielles à la vie privée

L’Agence aspire à surveiller et à améliorer ses processus et ses systèmes internes afin de protéger davantage les renseignements du contribuable. Cela comprend la surveillance continue de l’accès des employés aux renseignements des contribuables, la limitation des autorisations d’accès des employés aux seuls renseignements nécessaires à l’exécution de leur poste et l’examen régulier de l’accès des employés aux systèmes de l’Agence.

De plus, l’Agence a mis en œuvre des mesures de sécurité supplémentaires afin de protéger les renseignements personnels des Canadiens et de s’assurer qu’ils peuvent utiliser les services en ligne de l’Agence avec confiance et sécurité. Ces mesures comprennent l’utilisation de l’authentification multifactorielle pour les services d’ouverture de session de l’Agence et la révocation proactive des justificatifs d’identité (ID utilisateur et mots de passe) qui peuvent avoir été obtenus par des tiers non autorisés au moyen de diverses sources externes.

La vigilance des Canadiennes et Canadiens pour bien protéger les renseignements de leurs comptes est un atout de sécurité supplémentaire essentiel. L’Agence rappelle à tous les Canadiens de changer leurs mots de passe régulièrement et de surveiller leurs comptes en ligne pour déceler tout signe d’activité suspecte, comme les changements non sollicités aux coordonnées et aux renseignements bancaires, les changements de représentants ou d’administrateurs, ou les déclarations de revenus qui entraînent des remboursements effectués en leurs noms.

Pour obtenir d’autres renseignements, consultez la Partie 11 – Atteintes à la vie privée.

Mise à jour des Renseignements sur les programmes et les fonds de renseignements

Renseignements sur les programmes et les fonds de renseignements fournit des renseignements sur les fonctions, les programmes, les activités et les fonds de renseignements connexes des institutions gouvernementales visées par la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels. Cette ressource offre également des conseils aux particuliers sur la façon dont ils peuvent accéder aux renseignements des institutions gouvernementales afin qu’ils puissent exercer leurs droits en vertu de ces lois.

Chaque institution soumise à la Loi sur l’accès à l’information et à la Loi sur la protection des renseignements personnels doit mettre à jour tous les ans son chapitre dans Info Source au plus tard à la date d’échéance fixée par le Secrétariat du Conseil du Trésor du Canada. Conformément à cette exigence, en juin 2022, l’Agence a publié la mise à jour de son fichier de renseignements personnels et des renseignements sur la catégorie des dossiers. La liste des manuels de la salle de lecture a également été examinée et mise à jour.

Le chapitre des Renseignements sur les programmes et les fonds de renseignements de l’Agence se trouve à : canada.ca/fr/agence-revenu/organisation/a-propos-agence-revenu-canada-arc/acces-a-information-protection-renseignements-personnels-a-agence-revenu-canada/fonds-renseignements-agence-revenu-canada-info-source.

Principaux enjeux et mesures prises à l’égard des plaintes

L’Agence communique régulièrement avec les bureaux des commissaires à l’information et à la protection de la vie privée du Canada afin de simplifier les processus et d’appliquer des méthodes Lean d’amélioration continue pour fermer les dossiers de plaintes dès que possible.

Au cours de la période visée par le rapport, l’Agence a collaboré avec ces bureaux pour simplifier le processus de règlement des plaintes en mettant l’accent sur la résolution des plaintes au tout début du processus de résolution. À cette fin, l’Agence a centralisé le processus de résolution des plaintes. Lorsque l’Agence est tenue d’expliquer les raisons pour lesquelles elle protège certains renseignements, elle travaille en étroite collaboration avec les bureaux respectifs pour préciser les délais.

Surveillance de la conformité

La Direction de l’AIPRP produit plusieurs rapports qui donnent des statistiques clés sur l’inventaire des demandes d’AIPRP de l’Agence. Ces rapports permettent de montrer les demandes actives et fermées, de l’état des demandes ventilées par direction générale et par région, de l’inventaire à reporter, des plaintes et des volumes de présomption de refus.

La direction utilise régulièrement les rapports pour assurer le traitement en temps opportun des demandes d’AIPRP, surveiller les tendances des types de renseignements fréquemment demandés, mesurer le rendement de la direction et cerner les changements de processus nécessaires pour améliorer le rendement et les possibilités de rendre les renseignements disponibles par d’autres moyens. La direction présente ces rapports tous les mois à la haute direction lors de la réunion du Comité de gestion d’entreprise, présidée par le commissaire.

Au cours de la période visée par le rapport, la Direction de l’AIPRP :

• est plus apte à interroger la base de données de l’AIPRP en utilisant le logiciel « Power BI », lequel a permis de récupérer les renseignements de façon plus efficace;
• a élaboré des rapports automatisés directement liés aux données sources, ce qui a considérablement réduit le besoin d’intervenir de façon manuelle et les erreurs possibles, favorisant ainsi des rapports plus fiables et ponctuels;
• a créé de nouveaux tableaux de bord dynamiques et interactifs pour fournir aux intervenants un accès direct et en temps réel aux données et aux statistiques.

Ces améliorations visaient à améliorer l’efficacité, l’exactitude et l’accessibilité des renseignements au sein de l’Agence. En utilisant une technologie de pointe, en automatisant les processus et en fournissant des outils conviviaux, l’Agence a veillé à ce que la direction ait accès aux données et aux statistiques essentielles rapidement et de façon plus fiable.

Évaluations des facteurs relatifs à la vie privée

Conformément à la Directive sur l’évaluation des facteurs relatifs à la vie privée, l’Agence effectue des évaluations des facteurs relatifs à la vie privée lorsque de nouveaux programmes ou services soulèvent des questions relatives à la protection des renseignements personnels. Elle le fait également lorsque les changements apportés aux programmes ou aux services ont une incidence sur la façon dont elle recueille, utilise ou divulgue des renseignements personnels.

Sommaires des évaluations de la protection des renseignements personnels

L’Agence a réalisé sept évaluations des facteurs relatifs à la vie privée au cours de la période visée par le rapport pour 2022–2023.

De plus, l’Agence a examiné un grand nombre d’initiatives visant à évaluer les répercussions possibles sur la vie privée. Cet examen portait sur des documents comme les questionnaires de détermination d’une évaluation des facteurs relatifs à la vie privée, les présentations au Secrétariat du Conseil du Trésor du Canada, les évaluations de la menace et des risques, les applications locales et les ententes de collaboration écrites.

L’Agence publie des résumés des évaluations de la protection des renseignements personnels effectuées sur le Web à  canada.ca/fr/agence-revenu/services/a-propos-agence-revenu-canada-arc/protection-vos-renseignements-personnels/evaluation-facteurs-relatifs-a-vie-privee.

Voici un aperçu des évaluations des facteurs relatifs à la vie privée effectuées par l’Agence au cours de 2022–2023.

Gestion de l’authentification et des justificatifs d’identité V3

Cette évaluation des facteurs relatifs à la vie privée fournit des renseignements liés à la collecte et à l’utilisation des renseignements personnels requis pour accéder aux services et aux applications de programme en ligne sécurisés externes de l’Agence du revenu du Canada, y compris les services d’autres ministères du gouvernement qui utilisent les services d’authentification de l’Agence.

Pour consulter la version intégrale du sommaire de l’évaluation des facteurs relatifs à la vie privée, allez à : canada.ca/fr/agence-revenu/services/a-propos-agence-revenu-canada-arc/protection-vos-renseignements-personnels/evaluation-facteurs-relatifs-a-vie-privee/gestion-authentification-justificatif-identite.

Prestation dentaire canadienne

Cette évaluation des facteurs relatifs à la vie privée vise uniquement l’administration de la prestation dentaire canadienne. Au nom de Santé Canada, l’Agence est responsable de l’administration de la prestation dentaire canadienne jusqu’à ce qu’une solution à long terme soit en place. La prestation dentaire canadienne est un paiement anticipé fondé sur une demande aux Canadiens admissibles dont le revenu familial net rajusté est inférieur à 90 000 $.

Pour consulter la version intégrale du sommaire de l’évaluation des facteurs relatifs à la vie privée, allez à : canada.ca/fr/agence-revenu/services/a-propos-agence-revenu-canada-arc/protection-vos-renseignements-personnels/evaluation-facteurs-relatifs-a-vie-privee/prestation-dentaire-canadienne.

Prestation dentaire canadienne V2

Cette évaluation des facteurs relatifs à la vie privée a été mise à jour pour tenir compte des changements apportés au programme quant à la façon dont l’Agence du revenu du Canada est autorisée à administrer les services et les activités nécessaires en vue d’effectuer le versement des paiements de la prestation dentaire canadienne.

Pour consulter la version intégrale du sommaire de l’évaluation des facteurs relatifs à la vie privée, allez à : canada.ca/fr/agence-revenu/services/a-propos-agence-revenu-canada-arc/protection-vos-renseignements-personnels/evaluation-facteurs-relatifs-a-vie-privee/prestation-dentaire-canadienne-v2.

Programme de gestion des risques internes (Guardian) – Phase 1

Cette évaluation des facteurs relatifs à la vie privée est axée sur la mise en œuvre de la phase 1 du programme Guardian qui comprend la description et l’analyse de la collecte, de l’utilisation, de la divulgation et de la conservation des renseignements personnels. Le programme Guardian vise à créer une approche globale et exhaustive d’assurance continue visant à atténuer les risques internes.

Pour consulter la version intégrale du sommaire de l’évaluation des facteurs relatifs à la vie privée, allez à : canada.ca/fr/agence-revenu/services/a-propos-agence-revenu-canada-arc/protection-vos-renseignements-personnels/evaluation-facteurs-relatifs-a-vie-privee/programme-gestion-risque-internes-gardien-phase1.

Supplément unique à l’allocation canadienne pour le logement

Cette évaluation des facteurs relatifs à la vie privée concerne l’administration du supplément unique à l’allocation canadienne pour le logement. Le supplément unique consiste en un paiement non imposable de 500 $ visant à offrir un soutien direct aux locataires à faible revenu qui ont du mal à se trouver un logement abordable.

Pour consulter la version intégrale du sommaire de l’évaluation des facteurs relatifs à la vie privée, allez à : canada.ca/fr/agence-revenu/services/a-propos-agence-revenu-canada-arc/protection-vos-renseignements-personnels/evaluation-facteurs-relatifs-a-vie-privee/supplement-unique-allocation-canadienne-pour-logement.

Prestations de la relance économique V2.0

Cette évaluation des facteurs relatifs à la vie privée a été mise à jour pour inclure la prestation canadienne pour les travailleurs en cas de confinement, tenir compte des périodes d’admissibilité prolongées et des processus améliorés de validation de demande pour la prestation canadienne de la relance économique, la prestation canadienne de la relance économique pour proches aidants et la prestation canadienne de maladie pour la relance économique.

Pour consulter la version intégrale du sommaire de l’évaluation des facteurs relatifs à la vie privée, allez à : canada.ca/fr/agence-revenu/services/a-propos-agence-revenu-canada-arc/protection-vos-renseignements-personnels/evaluation-facteurs-relatifs-a-vie-privee/prestations-relance-economique-v2-0.

Politique de vaccination de l’Agence du revenu du Canada

Cette évaluation des facteurs relatifs à la vie privée a permis d’évaluer les risques liés à la vie privée associés à l’opérationnisme de la Politique sur la vaccination contre la COVID-19, de décrire et d’analyser la façon dont un employé soumet une demande de mesures d’adaptation au moyen du libre-service des employés, la façon dont un gestionnaire consigne une décision dans la demande et qui y a accès à l’entrée du portail au moyen d’un accès direct ou d’un rapport.

Pour consulter la version intégrale du sommaire de l’évaluation des facteurs relatifs à la vie privée, allez à : canada.ca/fr/agence-revenu/services/a-propos-agence-revenu-canada-arc/protection-vos-renseignements-personnels/evaluation-facteurs-relatifs-a-vie-privee/politique-vaccination-agence-revenu-canada.

Divulgation d’intérêt public

En 2022–2023, l’Agence n’a fait aucune divulgation en vertu de l’alinéa 8(2)m) de la Loi sur la protection des renseignements personnels et aucun avis écrit en vertu du paragraphe 8(5) n’a été envoyé au Commissariat à la protection de la vie privée.

Interprétation et explication de l’Annexe A – Rapport statistique

L’annexe A présente un rapport statistique sur les activités de l’Agence selon la Loi sur la protection des renseignements personnels pour la période du 1^er avril 2022 au 31 mars 2023. Vous trouverez ci-après des explications et des interprétations concernant les renseignements statistiques, y compris des statistiques supplémentaires sur la protection des renseignements personnels à l’Agence.

Remarques

Les chiffres étant arrondis, certains totaux peuvent être supérieurs à 100 %.

Partie 1 – Demandes en vertu de la Loi sur la protection des renseignements personnels

Au cours de cette période visée par le rapport, l’Agence a reçu 11 572 nouvelles demandes en vertu de la Loi sur la protection des renseignements personnels. Il s’agit d’une augmentation de 2 809 demandes (32 %) par rapport à l’année dernière, où 8 763 demandes avaient été reçues. En comptant les 1 170 demandes reportées de 2021–2022, l’inventaire de l’ARC comprenait 12 742 demandes actives.

Le tableau suivant indique le nombre de demandes que l’Agence a reçues et traitées en vertu de la Loi sur la protection des renseignements personnels, ainsi que le nombre de pages qu’elle a traitées au cours des cinq derniers exercices.

Le tableau suivant présente les voies de communication des 11 572 demandes reçues au cours de la période visée par le rapport pour 2022–2023.

Autres demandes et charge de travail

En plus des 11 572 demandes reçues selon la Loi sur la protection des renseignements personnels, l’Agence a traité un volume important d’autres types de demandes. Ce volume supplémentaire a eu une incidence sur les activités, puisque des ressources devaient être détournées pour permettre la gestion de cette charge de travail. Ces demandes supplémentaires comprenaient les consultations externes et internes, les demandes de renseignements généraux ainsi que les plaintes. Au cours de l’exercice, la direction de l’AIPRP a répondu à 2 630 courriels, et 1 740 demandes de renseignements téléphoniques ont été reçues par l’intermédiaire de la boîte aux lettres des demandes de renseignements généraux et de la ligne téléphonique sans frais.

Partie 2 – Demandes informelles

L’Agence n’a ni reçu ni fermé de demandes informelles en vertu de la Loi sur la protection des renseignements personnels en 2022–2023.

Partie 3 – Demandes fermées au cours de la période visée par le rapport

Le graphique suivant indique les délais de traitement pour les 10 960 demandes fermées en 2022–2023.

Délai de traitement

Pour en savoir plus, consultez le tableau 3,1 à l’Annexe A.

Exceptions

Tel qu’il est énoncé à l’article 18 de la Loi sur la protection des renseignements personnels, une institution peut refuser l’accès à certains renseignements, au besoin. Par exemple, l’Agence peut refuser de donner à un demandeur des renseignements sur une autre personne si cette personne n’a pas donné son consentement. Pour obtenir des renseignements détaillés sur chacune des exemptions qui peuvent être appliquées, consultez l’article 18 de la Loi sur la protection des renseignements personnels.

En 2022–2023, l’Agence a appliqué les exemptions suivantes, en totalité ou en partie, aux 10 960 demandes fermées au cours de la période visée par le rapport:

• article 19 – Renseignements personnels obtenus à titre confidentiel (21 fois)
• article 22 – Application de la loi et enquête (259 fois)
• article 25 – Sécurité des individus (9 demandes)
• article 26 – Renseignements concernant un autre individu (622 fois)
• article 27 – Secret professionnel de l’avocat (64 demandes)

Exclusions

La Loi sur la protection des renseignements personnels ne s’applique pas aux renseignements auxquels le public a déjà accès, comme les publications du gouvernement et les documents dans les bibliothèques et les musées. Les documents confidentiels du Cabinet sont également exclus. En 2022–2023, l’Agence n’a appliqué aucune exclusion pour les renseignements qui étaient accessibles au public ou confidentiels au Cabinet.

Format des documents communiqués

Complexité

Il convient de noter que quatre demandes nécessitaient le traitement de plus de 10 000 pages, et qu’une de ces demandes comprenait le traitement de plus de 45 000 pages.

En plus des dossiers papier, l’Agence traite également les demandes de dossiers audio et vidéo. En 2022–2023, il y a eu sept demandes de dossiers audio, dont quatre nécessitaient un traitement de moins de 60 minutes et trois, un traitement de plus de 120 minutes. D’autres demandes ont été jugées complexes en raison de la nature et du caractère délicat du sujet dont elles traitaient. Consultez les tableaux 3.5.1 à 3.5.7 de l’annexe A pour en savoir plus.

Demandes fermées

La Direction de l’AIPRP a fermé 10 271 demandes (94 %) dans les délais prescrits par la loi. Autrement dit, les réponses ont été fournies dans les 30 jours civils ou dans un délai prolongé. Ce taux d’observation représente une augmentation de 1 % par rapport à 2021–2022 et est le plus élevé pour l’Agence depuis 2013–2014.

Présomptions de refus

Une présomption de refus est une demande fermée après le délai de 30 jours civils, ou après le délai prolongé si une prolongation de délai a été prise.

Des 10 960 demandes fermées au cours de la période visée par le rapport, 689 ont été fermées après la date limite. Cela a donné lieu à un taux de refus présumé de 6 %. 

Demandes de traduction

Les dossiers sont habituellement publiés dans leur langue d’origine. Toutefois, les institutions peuvent traduire les dossiers dans l’une des langues officielles si le demandeur en fait la demande et que l’institution considère qu’une traduction est nécessaire pour permettre à l’individu de comprendre l’information.

L’Agence a reçu et complété une demande de traduction de dossiers en 2022–2023.

Partie 4 – Divulgations en vertu des paragraphes 8(2) et 8(5)

Le paragraphe 8(2) de la Loi prévoit que, sous réserve de dispositions relatives à la confidentialité d’autres lois fédérales, la communication des renseignements personnels est autorisée sans avoir obtenu le consentement des personnes concernées, et ce, dans des circonstances limitées et particulières. Ce serait le cas, par exemple, lorsque des raisons d’intérêt public justifieraient nettement une éventuelle violation de la vie privée. Conformément au paragraphe 8(5), en cas de divulgation en vertu du paragraphe 8(2), l’institution doit envoyer un avis au commissariat à la protection de la vie privée du Canada.

Au cours de la période visée par ce rapport, l’Agence n’a eu aucune communication de renseignements personnels en application de l’alinéa 8(2)e) et m) ou du paragraphe 8(5) de la Loi sur la protection de la vie privée.

Partie 5 – Demandes de correction de renseignements personnels et de notes

En vertu de la Loi sur la protection des renseignements personnels, toute personne qui estime que ses renseignements personnels contiennent une erreur ou présentent une omission peut demander de les faire corriger. Lorsqu’une demande de correction est refusée, une mention doit accompagner les renseignements pour indiquer qu’une correction a été demandée et refusée.

Au cours de la période visée par le rapport pour 2022–2023, l’Agence n’a reçu aucune demande de correction de renseignements personnels.

Partie 6 – Prolongations

La Loi sur la protection des renseignements fixe les délais obligatoires pour répondre aux demandes de renseignements personnels. La Loi permet des prolongations de délai dans les circonstances suivantes :

• il est établi que le respect du délai initial interférerait avec les activités;
• une consultation doit avoir lieu (p. ex., avec un tiers ou une institution fédérale);
• il est nécessaire de faire traduire les documents ou de les convertir dans un autre format.

Parmi les 10 960 demandes fermées en 2022–2023, l’Agence a eu recours à des prorogations pour 732 (7 %) d’entre elles. Dans 96 % des cas, les prorogations étaient liées à la charge de travail et au fait que le respect du délai initial de 30 jours aurait perturbé de manière déraisonnable les activités de l’Agence. L’Agence a appliqué les prolongations restantes en raison de la nécessité d’avoir recours à des consultations internes et externes, à la traduction et à la conversion des documents en d’autres formats.

Parmi ces 732 prorogations, 5 étaient de 1 à 15 jours, tandis que les 727 autres étaient de 16 à 30 jours.

Partie 7 – Demandes de consultation reçues d’autres institutions et organismes

En 2022–2023, la Direction de l’AIPRP a reçu et fermé une demande de consultation externe provenant d’un autre organisme du gouvernement du Canada. Pour répondre à cette demande, la direction a examiné deux pages.

Consultations internes

En 2022–2023, 252 demandes de consultation interne sur la protection des renseignements personnels ont été traitées, ce qui représente une augmentation de 40 % par rapport à la période précédente visée par le rapport. Pour répondre à ces demandes, la direction a examiné un total de 4 564 pages. Ces demandes sont des examens informels visant le respect des exigences de l’Agence en matière de divulgation informelle et ne sont pas assujettis à la Loi sur la protection des renseignements personnels.

Le tableau qui suit montre les tendances des demandes de consultation interne sur la protection des renseignements personnels qui ont été reçues au cours des cinq dernières années.

Tendances à la consultation interne sur la protection des renseignements personnels

Partie 8 – Délais de traitement des demandes de consultation sur les documents confidentiels du Cabinet

Bien que les documents confidentiels du Cabinet soient exclus de l’application de la Loi sur la protection des renseignements personnels (article 70), les politiques du Secrétariat du Conseil du Trésor du Canada exigent que les organismes et les ministères consultent le personnel de leurs services juridiques pour déterminer si les renseignements demandés devraient être exclus. S’il y a un doute ou si les dossiers contiennent des documents de travail, le conseiller juridique doit consulter le Bureau du conseiller juridique auprès du greffier du Bureau du Conseil privé.

En 2022–2023, l’Agence n’a pas eu à consulter les services juridiques du Bureau du Conseil privé pour les documents confidentiels du Cabinet.

Partie 9 – Plaintes et avis d’enquête reçus

En 2022–2023, l’Agence a reçu 23 plaintes en vertu de la Loi sur la protection des renseignements personnels concernant des demandes de renseignements personnels. Les plaintes reçues étaient liées aux problèmes suivants :

• retard (13)
• non-divulgation (2)
• refus en raison d’une exception (6)
• refus pour des raisons générales (2)

De plus, l’Agence a reçu 39 plaintes destinées au processus de résolution rapide :

• 5 sont devenues une plainte officielle;
• 23 ont été fermées parce que le Commissariat à la protection de la vie privée du Canada a déterminé, dans le cadre du processus de règlement rapide, qu’il n’était pas nécessaire de mener une enquête officielle; 
• 1 a été abandonnée;
• 12 ont été reportées à l’exercice suivant.

Au cours de l’exercice, l’Agence a fermé 26 plaintes, ce qui représente une augmentation de 18 % du nombre de plaintes fermées par rapport à l’exercice précédent. De plus, l’Agence a traité 20 plaintes destinées au processus de résolution rapide.

Le tableau suivant présente le traitement des 26 plaintes fermées au cours de l’exercice.

Répartition des plaintes

De plus, la Direction de l’AIPRP a reçu 10 plaintes à résolution rapide et 7 plaintes officielles liées à la protection des renseignements personnels du Commissariat à la protection de la vie privée du Canada au nom de particuliers. Ces plaintes n’étaient pas liées à des demandes relatives à la Loi sur la protection des renseignements personnels. Les plaintes reçues étaient liées aux problèmes suivants :

• exactitude des renseignements personnels (2)
• collecte non autorisée de renseignements personnels (4)
• utilisation et divulgation non autorisées (11)

Parmi ces plaintes :

• 5 sont en cours;
• 1 a été abandonnée;
• 2 n’étaient pas bien fondées;
• 9 ont été résolus.

Pour obtenir les définitions des catégories de disposition du Commissariat à la protection de la vie privée du Canada, consultez la page : priv.gc.ca/fr/mesures-et-decisions-prises-par-le-commissariat/enquetes/def-cf.

Au cours de l’exercice 2022–2023, aucune plainte n’a été déposée devant la Cour fédérale.

Partie 10 – Évaluations des facteurs relatifs à la vie privée et fichiers de renseignements personnels

Au cours de la période visée par le rapport, l’Agence a envoyé sept évaluations des facteurs relatifs à la vie privée au Commissariat à la protection de la vie privée du Canada et au Secrétariat du Conseil du Trésor du Canada. Les renseignements sur ces évaluations sont décrits dans la section Évaluations de la protection des renseignements personnels du rapport.

Pour toute collecte ou tout regroupement de renseignements personnels sous le contrôle d’une institution du gouvernement du Canada, qui a été utilisé, est utilisé ou est disponible aux fins d’utilisation dans le cadre du programme ou de l’activité d’une institution, un fichier de renseignements personnels doit être créé dans les Renseignements sur les programmes et les fonds de renseignements.

Le fichier de renseignements personnels indique la façon dont les renseignements sont organisés et récupérés (p. ex., le nom d’une personne, un numéro d’identification ou un symbole). Les fichiers de renseignements personnels sont réglementés par l’article 10 de la Loi sur la protection des renseignements personnels. Au cours de l’exercice, il y a eu 98 fichiers de renseignements personnels actifs. Au cours de la même période, deux fichiers ont été créés et deux ont été modifiés.

Partie 11 – Atteintes à la vie privée

L’Agence respecte les instruments de politique du Secrétariat du Conseil du Trésor du Canada pour déterminer quelles atteintes atteignent le seuil d’atteinte à la vie privée nécessitant un avis auprès du Commissariat à la protection de la vie privée du Canada et du Secrétariat du Conseil du Trésor du Canada.

En octobre 2022, le Secrétariat du Conseil du Trésor du Canada a mis à jour ses instruments de politique sur la protection des renseignements personnels, y compris la définition d’une atteinte substantielle à la vie privée, ce qui a entraîné une augmentation du nombre d’atteintes substantielles à la vie privée que l’Agence a signalées au Commissariat à la protection de la vie privée du Canada et au Secrétariat du Conseil du Trésor du Canada.

Cette année, l’Agence a signalé 58 atteintes^{Note de bas de page 3}  à la vie privée importantes aux deux organismes susmentionnés. Parmi celles-ci :

• 13 concernaient l’accès non autorisé ou la divulgation de renseignements sur les contribuables par des employés de l’Agence;
• 3 cas portaient sur du courrier mal acheminé;
• 14 concernaient des incidents de sécurité, y compris la perte et la divulgation inappropriée de renseignements personnels;
• 28 concernaient des justificatifs d’identité d’entreprise compromis, ce qui a entraîné la divulgation de renseignements personnels, comme des renseignements sur les employés.

Partie 12 – Ressources liées à la Loi sur la protection des renseignements personnels

Coûts 

Au cours de l’exercice 2022–2023, il en aura coûté 16 911 722 $ à la Direction de l’AIPRP pour appliquer la Loi sur la protection des renseignements personnels. Cela comprend la somme de 78 386,95 $ octroyée dans le cadre des services de protection du crédit fournis aux personnes touchées par une atteinte à la vie privée. Toutefois, ce montant ne tient pas compte de l’important soutien et des ressources qu’offrent les régions et les directions générales de l’Agence. Consultez le tableau 12.1 de l’annexe A pour en savoir plus.

Ressources humaines

En 2022–2023, l’Agence a consacré l’équivalent de 171 employés à temps plein à l’application de la Loi sur la protection des renseignements personnels. En plus de cela, il y avait neuf consultants et membres du personnel de l’Agence, ainsi que cinq étudiants. Bon nombre des employés appliquent simultanément la Loi sur l’accès à l’information.

Interprétation et explication de l’Annexe B – Rapport statistique supplémentaire sur la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels

Voici un aperçu des tableaux figurant à l’annexe B :

• Tableau 1 : L’Agence était pleinement en mesure de recevoir des demandes d’accès à l’information et de protection des renseignements personnels en 2022–2023.
• Tableaux 2.1 et 2.2 : L’Agence était pleinement en mesure de traiter les dossiers papier et électroniques non classifiés, Protégé B, Secret et Très secret tout au long de la période visée par le rapport pour 2022–2023.
• Tableau 3.1 : À la fin de l’exercice, l’Agence avait 1 286 demandes en suspens en vertu de la Loi sur l’accès à l’information : 705 de ces demandes étaient dans les délais prescrits par la loi, tandis que 581 étaient au-delà des délais prévus par la loi. L’Agence a reçu 302 de ces demandes avant 2022–2023, et elle traitera bon nombre d’entre elles au moyen du plan d’élimination des retards accumulés de l’Agence.
• Tableau 3.2 : À la fin de l’exercice, l’Agence avait 197 plaintes ouvertes auprès du commissaire à l’information du Canada.
• Tableau 4.1 : À la fin de l’exercice, l’Agence avait 1 782 demandes en suspens en vertu de la Loi sur la protection des renseignements personnels : 1 453 de ces demandes étaient dans les délais prescrits par la loi, tandis que 329 étaient au-delà des délais prévus par la loi. L’Agence a reçu 92 de ces demandes avant 2022–2023, et elle traitera bon nombre d’entre elles au moyen du plan d’élimination des retards accumulés de l’Agence.
• Tableau 4.2 : À la fin de l’exercice, l’Agence avait 51 plaintes ouvertes auprès du commissaire à la protection de la vie privée du Canada.
• Tableau 5 : L’Agence a indiqué qu’elle a reçu l’autorisation d’effectuer une nouvelle collecte de numéros d’assurance sociale en 2022–2023.
• Tableau 6 : Au cours de la période visée par le rapport pour 2022–2023, l’Agence a reçu 40 demandes de ressortissants étrangers confirmés en vertu de la Loi sur la protection des renseignements personnels.

Conclusion

Malgré les demandes croissantes à l’égard du programme d’AIPRP et le contexte toujours difficile lié à la protection des renseignements personnels, l’Agence a continué de faire des progrès importants afin de relever les défis liés à la protection des renseignements personnels et au traitement des demandes en vertu de la Loi sur la protection des renseignements personnels. L’Agence a fait ses progrès importants en :

• traitant les demandes d’AIPRP à l’aide de la méthode Lean;
• traitant les retards accumulés au moyen du plan d’élimination des retards accumulés de l’Agence;
• élaborant un plan d’examen de l’assurance de la qualité de l’AIPRP;
• promouvant la protection des renseignements personnels dès la conception dans l’ensemble de l’Agence;
• établissant des rapports sur l’état de la vie privée avec de nouveaux indicateurs de rendement clés;
• mettant en œuvre une stratégie de formation et de sensibilisation sur l’accès à l’information et la protection des renseignements personnels.

En 2023–2024, la Direction de l’AIPRP continuera également de mettre en œuvre le plan d’élimination des retards accumulés en mettant l’accent sur l’achèvement de la phase 3, dont la date d’achèvement prévue est le 31 décembre 2023. Pour ce faire, une autre priorité au cours de l’exercice sera de continuer à élaborer et à mettre en œuvre des solutions novatrices pour répondre aux demandes de renseignements sur les contribuables qui peuvent être fournies par des voies plus efficaces, comme Mon dossier, Mon dossier d’entreprise ou Représenter un client, plutôt qu’en faisant appel à la Loi sur l’accès à l’information ou à la Loi sur la protection des renseignements personnels. 

Annexe A – Rapport statistique

Rapport statistique sur la Loi sur la protection des renseignements personnels

Nom de l’institution : Agence du revenu du Canada

Période visée par le rapport : du 1^er avril 2022 au 31 mars 2023

Partie 1 – Demandes en vertu de la Loi sur la protection des renseignements personnels

1.1 Nombre de demandes

1.2   Mode des demandes

Partie 2 – Demandes informelles

2.1   Nombre de demandes informelles

2.2   Mode des demandes informelles

2.3   Délai de traitement pour les demandes informelles

2.4   Pages communiquées informellement

Partie 3 – Demandes fermées au cours de la période visée par le rapport

3.1   Répartition et délai de traitement

3.2   Exceptions  

3.3   Exclusions

3.4   Format des documents divulgués

3.5    Complexité

3.5.1  Pages pertinentes traitées et divulguées en formats papier et document électroniques

3.5.2   Pages pertinentes traitées et divulguées en fonction de l’ampleur des demandes en formats papier et document électroniques par répartition des demandes

3.5.3  Minutes pertinentes traitées et divulguées en format audio

3.5.4  Minutes pertinentes traitées en format audio en fonction de l’ampleur des demandes par répartition des demandes

3.5.5  Minutes pertinentes traitées et divulguées en format vidéo

3.5.6  Minutes pertinentes traitées en format vidéo en fonction de l’ampleur des demandes par répartition des demandes

3.5.7 Autres complexités

3.6   Demandes fermées

3.6.1  Nombre de demandes fermées dans les délais prévus par la loi 

3.7   Présomptions de refus

3.7.1  Motifs du non-respect des délais prévus par la loi

3.7.2  Demandes fermées au-delà des délais prévus par la loi (y compris toute prolongation prise)

3.8  Demandes de traduction

Partie 4 – Divulgations en vertu des paragraphes 8(2) et 8(5)

Partie 5 – Demandes de correction de renseignements personnels et mentions

Partie 6 – Prolongations

6.1   Motifs des prolongations 

6.2   Durée des prolongations

Partie 7 – Demandes de consultation reçues d’autres institutions et organisations

7.1     Demandes de consultation reçues d’autres institutions du gouvernement du Canada

7.2   Recommandations et délai de traitement pour les demandes de consultation reçues d’autres institutions du gouvernement du Canada

7.3  Recommandations et délai de traitement pour les demandes de consultation reçues d’autres organisations

Partie 8 – Délais de traitement des demandes de consultation sur les documents confidentiels du Cabinet

8.1  Demandes auprès des services juridiques

8.2   Demandes auprès du Bureau du Conseil privé

Partie 9 – Plaintes et avis d’enquête reçus

Partie 10 – Évaluations des facteurs relatifs à la vie privée et fichiers de renseignements personnels

10.1   Évaluations des facteurs relatifs à la vie privée

10.2   Fichiers de renseignements personnels

Partie 11 – Atteintes à la vie privée

11.1   Atteintes substantielles à la vie privée signalées

11.2   Atteintes à la vie privée signalées non-substantielles 

Partie 12 – Ressources liées à la Loi sur la protection des renseignements personnels

12.1   Coûts 

12.2   Ressources humaines

Annexe B – Rapport statistique supplémentaire sur la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels

Partie 1 – Capacité de recevoir des demandes

Partie 2 : Capacité de traiter les dossier sous la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels

Tableau 2.1 Capacité de traiter des documents papiers

Tableau 2.2  Capacité de traiter des documents électroniques

Partie 3 : Demandes ouvertes et plaintes en vertu de la Loi sur l’accès à l’information

Tableau 3.1 Demandes ouvertes en suspens des périodes de rapport précédentes 

Tableau 3.2  Plaintes ouvertes auprès du commissaire à l’information du Canada en suspens des périodes de rapport précédentes

Partie 4 : Demandes ouvertes et plaintes en vertu de la Loi sur la protection des renseignements personnels

Tableau 4.1 Demandes ouvertes en suspens des périodes de rapport précédentes

Tableau 4.2   Plaintes ouvertes auprès du commissaire à la protection de la vie privée du Canada en suspens des périodes de rapport précédentes

Partie 5 : Autorisation reçue pour une nouvelle collecte de numéros d’assurance sociale (NAS)

Partie 6 : Accès universel sous la Loi sur la protection des renseignements personnels

Annexe C – Arrêté sur la délégation

Les postes à l’Agence dont les détenteurs sont autorisés à exercer les attributions de la ministre du Revenu national, en vertu des dispositions de la Loi sur la protection des renseignements personnels et de son règlement, sont les suivants :

Commissaire

• Autorité absolue

Commissaire délégué

• Autorité absolue

Sous-­commissaire, Direction générale des affaires publiques et chef de la protection des renseignements personnels

• Autorité absolue

Directeur général, Direction de l’accès à l’information et de la protection des renseignements personnels, Direction générale des affaires publiques

• Autorité absolue

Directeur, Direction de l’accès à l’information et de la protection des renseignements personnels, Direction générale des affaires publiques

• Autorité absolue

Directeurs adjoints, gestionnaires et réviseurs ou conseillers techniques, Direction de l’accès à l’information et de la protection des renseignements personnels, Direction générale des affaires publiques

• Autorité absolue, à l’exception des alinéas 8(2)j) et m) et du paragraphe 8(5)