Renseignements échangés en vertu du protocole d'entente conclu avec la Commission de la santé, de la sécurité et de l'indemnisation des accidents au travail du Nouveau-Brunswick
Rapport final
Direction générale de la vérification et de l'évaluation de l'entreprise
Juin 2011
Table des matières
Sommaire
Contexte : L’Agence du revenu du Canada (ARC) conclut des protocoles d’entente (PE) et d’autres accords avec des ministères et organismes fédéraux, provinciaux et territoriaux en vue d’améliorer l’efficience et l’efficacité de l’exécution des programmes. Lorsque l’ARC échange des renseignements avec ces entités, les exigences de la politique et les exigences prévues par la loi liées à l’utilisation et à la sécurité des renseignements sont incluses dans le PE.
La présente vérification traite des renseignements qu’a reçus l’ARC en vertu du PE conclu avec la Commission de la santé, de la sécurité et de l’indemnisation des accidents au travail du Nouveau-Brunswick (Travail sécuritaire NB [Note 1]) qui a été signé et qui est entré en vigueur le 20 décembre 2007. En échangeant des renseignements, les deux parties sont en mesure de comparer les inscriptions des entreprises et de cerner les employeurs qui ne se conforment pas aux lois de Travail sécuritaire NB et de l’ARC.
Objectif : L’objectif de la présente vérification consistait à s’assurer que l’utilisation des renseignements reçus par l’ARC, leur communication et leur sécurité sont conformes aux modalités établies dans le PE.
La présente vérification traitait des renseignements provenant de Travail sécuritaire NB qu’a reçus l’ARC d’octobre 2008 à septembre 2010.
La vérification a été menée conformément aux Normes internationales pour la pratique professionnelle de l’audit interne.
Conclusion : Dans l’ensemble, l’ARC respecte les modalités régissant l’utilisation, la communication et la sécurité des renseignements telles qu’elles sont stipulées dans le PE. Bien que, en général, le risque d’inobservation du PE soit faible, il est possible d’améliorer les mesures de contrôle touchant l’accès et la destruction des renseignements en limitant l’accès en cas de nécessité absolue; en conservant et en détruisant les données échangées dans le respect des limites établies dans le PE; en utilisant le logiciel approuvé pour effacer les données se trouvant sur les serveurs; en tenant des registres adéquats sur les renseignements détruits.
Plan d’action : La Section des opportunités de partenariat, de la Direction générale des services aux contribuables et de la gestion des créances, et l’équipe responsable du Système de retenues sur la paie, de comptabilisation et de recouvrements, de la Direction générale de l’informatique, souscrivent aux recommandations et se sont engagées, dans leurs plans d’action, à améliorer les contrôles touchant l’accès aux renseignements et leur destruction.
Introduction
L’Agence du revenu du Canada (ARC) conclut des protocoles d’entente (PE) et d’autres accords avec des ministères et organismes fédéraux, provinciaux et territoriaux en vue d’améliorer l’efficience et l’efficacité de l’exécution des programmes. Le PE conclu avec la Commission de la santé, de la sécurité et de l’indemnisation des accidents au travail du Nouveau-Brunswick (Travail sécuritaire NB [Note 2]) a été signé et est entré en vigueur le 20 décembre 2007.
L’ARC et Travail sécuritaire NB font affaire avec des entreprises qui sont tenues, en vertu de leurs lois respectives [Note 3], de s’inscrire auprès des deux organismes et de rendre compte à ces derniers. En vue d’améliorer la conformité avec leurs lois respectives, le présent PE a été élaboré afin d’aider à cerner les entreprises non conformes au Nouveau-Brunswick. En échangeant des renseignements, les deux parties sont en mesure de comparer les inscriptions des entreprises et de déterminer celles qui ne sont pas inscrites et qui ne rendent pas compte comme elles le doivent.
Travail sécuritaire NB communique les renseignements sur ses clients à l’ARC. La Section des opportunités de partenariat (SOP), de la Direction générale des services aux contribuables et de la gestion des créances (DGSCGC), reçoit ces renseignements, en conserve une copie et demande à l’équipe responsable du Système de retenues sur la paie, de comptabilisation et de recouvrements (PAYDAC) de la Direction générale de l’informatique (DGI) d’effectuer une comparaison avec les bases de données [Note 4] de l’ARC. En effectuant cette comparaison, les entreprises non inscrites sont cernées tant pour Travail sécuritaire NB que pour l’ARC, et deux rapports sont produits. Un des rapports est envoyé à Travail sécuritaire NB et l’autre rapport est envoyé à l’équipe du Programme d’identification des inscrits (PII) au Centre fiscal de Summerside (CFS). L’équipe du PII envoie des lettres aux entreprises qui ont été dévoilées pour ne pas être inscrites, répond à leurs questions, les aide à déterminer les exigences liées à l’inscription et les informe de leurs obligations en matière de déclaration en vertu des diverses lois régies par l’ARC.
Conformément au PE, un échange de renseignements entre l’ARC et Travail sécuritaire NB a eu lieu à l’automne 2008.
Objectif de la vérification
L’objectif de la présente vérification consistait à s’assurer que l’utilisation des renseignements reçus par l’ARC, leur communication et leur sécurité sont conformes aux modalités établies dans le PE.
La vérification a été menée à la DGSCGC, à la DGI, à la Direction générale des finances et de l’administration et à la Direction générale de la stratégie et de l’intégration situées à l’Administration centrale et au CFS dans la région de l’Atlantique. La phase d’examen de la vérification s’est déroulée de juin à novembre 2010.
La vérification a été menée conformément aux Normes internationales pour la pratique professionnelle de l’audit interne.
Constatations, recommandations et plans d’action
1.0 Observation des politiques, des plans, des procédures, des lois et des règlements
1.1 Utilisation des renseignements de Travail sécuritaire NB
Selon le PE, les renseignements de Travail sécuritaire NB doivent être utilisés par l’ARC uniquement aux fins d’administration et d’application de la Loi de l'impôt sur le revenu (LIR), de la Loi sur la taxe d'accise (LTA), du Régime de pensions du Canada (RPC) et de la Loi sur l'assurance-emploi (LAE). Les employés doivent être informés de l’utilisation envisagée de ces renseignements ainsi que comprendre leur responsabilité de veiller à la sécurité des données.
Les efforts suivants ont été déployés auprès du personnel pour lui communiquer ses responsabilités en ce qui concerne la sécurité des renseignements : rappeler au personnel de revoir et d’approuver annuellement le Code de déontologie et de conduite; offrir de la formation sur la sécurité des renseignements aux employés travaillant avec des renseignements de Travail sécuritaire NB; envoyer périodiquement des rappels des bureaux locaux, régionaux et nationaux et des directions générales sur l’importance de veiller à la sécurité des renseignements.
Les résultats des sondages de vérification ont permis de confirmer que le personnel ayant accès aux renseignements de Travail sécuritaire NB connaissait les dispositions de l’article 241 et du paragraphe 239(2.2) de la LIR et des articles 295 et 328 de la LTA. De plus, le personnel a convenu, en accusant réception, de veiller à la sécurité des renseignements confidentiels.
Rien ne démontre que les renseignements de Travail sécuritaire NB ont été utilisés à d’autres fins que celles prévues. Selon les entrevues menées avec la gestion et le personnel, les renseignements n’ont été utilisés que pour cerner les entreprises qui ne s’étaient pas inscrites auprès de l’ARC ou de Travail sécuritaire NB.
1.2 Accès aux renseignements provenant de Travail sécuritaire NB
L’accès aux renseignements provenant de Travail sécuritaire NB doit respecter les politiques de l’ARC et n’être accordé qu’en cas de nécessité absolue pour administrer et appliquer la LIR, la LTA, le RPC et la LAE. Le PE stipule que l’accès aux renseignements convenus ne devrait être accordé qu’aux employés ou aux entrepreneurs autorisés qui en ont besoin dans le cadre de leur travail, mais seulement lors de l’exécution du travail en question.
Des noms d’utilisateurs et des mots de passe uniques sont assignés pour limiter l’accès aux renseignements contenus dans le système. Les profils des utilisateurs du système ont été gérés pour permettre l’accès aux renseignements de Travail sécuritaire NB. D’ailleurs, seul le personnel devant travailler avec ces données pour les équipes de la SOP et du PII dispose de cet accès. Cependant, même si seulement trois des 24 membres de l’équipe responsable du PAYDAC avaient des tâches liées directement à la manipulation des données de Travail sécuritaire NB, les 24 membres avaient tous accès à l’ordinateur central où se trouvent les données.
Même s’il est peu probable de mettre en péril la sécurité des renseignements confidentiels puisque des mesures de contrôle sont en place pour veiller à ce que les employés soient informés de leurs responsabilités, l’accès aux renseignements de Travail sécuritaire NB ne devrait être accordé qu’en cas de nécessité absolue afin de respecter les modalités du PE et d’observer la Politique de la sécurité de l’ARC.
Recommandation
Le gestionnaire responsable du PAYDAC à la DGI devrait veiller à ce que l’accès aux données de Travail sécuritaire NB ne soit accordé qu’en cas de nécessité absolue aux employés de l’équipe responsable du PAYDAC qui en ont besoin dans le cadre de leur travail.
Plan d’action
Depuis octobre 2010, le gestionnaire veille à ce qu’une seule personne et son remplaçant aient accès aux dossiers.
1.3 Divulgation des renseignements de Travail sécuritaire NB
L’ARC doit obtenir le consentement écrit de Travail sécuritaire NB ou au moins un avis de sa part dès que des renseignements sont divulgués à une tierce partie (p. ex., aux fins d’administration et d’application d’une loi ou sur l’ordonnance d’un tribunal). Pour ce faire, des politiques et des procédures sont en place pour obtenir, au besoin, le consentement en question aux fins de divulgation de renseignements. Selon les résultats obtenus à la suite des entrevues menées auprès de la gestion et du personnel, il n’y a eu aucune demande ou aucun besoin de divulguer des renseignements de Travail sécuritaire NB.
2.0 Protection des renseignements
2.1 Gestion des renseignements de Travail sécuritaire NB
Des mesures de contrôle sont en place pour veiller à ce que les renseignements de Travail sécuritaire NB soient gérés de façon appropriée.
Tous les membres du personnel interviewés ont mentionné avoir reçu la formation sur la sécurité des renseignements confidentiels. Les renseignements étaient conservés en format électronique et n’étaient pas imprimés. Les employés des divisions de la sécurité situés à l’Administration centrale et dans les régions ont confirmé qu’aucun incident lié à la sécurité ne s’est produit en ce qui concerne la perte ou la divulgation non autorisée des renseignements de Travail sécuritaire NB.
2.2 Stockage des renseignements de Travail sécuritaire NB
Les pratiques en matière de sécurité physique doivent être conformes aux dispositions du PE et des politiques et lignes directrices de l’ARC. Habituellement, toutes les composantes du traitement, du stockage et de la transmission des renseignements doivent être protégées dans les bureaux où il existe des mesures de contrôle en matière de sécurité physique. Les serveurs doivent être conservés dans une pièce barrée où seuls les employés autorisés y ont accès. Les supports d’information amovibles, comme les cédéroms, doivent être conservés dans un classeur barré lorsqu’ils ne sont pas utilisés, et les renseignements de Travail sécuritaire NB ne doivent pas se retrouver dans les systèmes informatiques des utilisateurs. Selon les procédés de vérification employés, aucune exception aux mesures de contrôle précitées n’a été signalée.
2.3 Destruction des renseignements de Travail sécuritaire NB
Lorsque les renseignements de Travail sécuritaire NB ne sont plus requis, les données doivent être détruites en utilisant les méthodes approuvées prescrites dans le PE et le tout doit être consigné dans un registre. La SOP a publié un communiqué [Note 5] afin de clarifier les exigences touchant la conservation et la destruction des données qui vont comme suit :
- conservation pendant deux ans;
- effacement au moyen de TrueDelete ou de PointSec Media;
- destruction physique des cédéroms (c.-à-d. les couper ou les briser en morceaux)
Les unités de la SOP et l’équipe du PII disposent de mesures de contrôle pour veiller à ce que les données soient détruites dans un délai de deux ans afin d’observer les exigences en matière de conservation.
Aux fins d’observation et d’administration de programmes, les renseignements de Travail sécuritaire NB peuvent être conservés plus de deux ans pour ensuite être retournés à l’organisme ou détruits dès qu’ils ne sont plus requis. L’équipe responsable du PAYDAC écrase les données de Travail sécuritaire NB par les nouvelles données recueillies lors de futurs échanges. Puisqu’aucun échange de données n’est prévu avec Travail sécuritaire NB pendant la période de conservation de deux ans, les données excéderont la limite de conservation étant donné qu’elles demeureront dans l’ordinateur central pendant sept ans avant d’être automatiquement détruites.
Le chapitre 8 de la Politique sur la mise au rebut de documents et de biens de nature délicate du Manuel des finances et de l’administration de l’ARC exige de remplir un certificat de destruction pour détruire des renseignements classifiés. Rien ne prouve qu’un certificat de destruction [Note 6] a été rempli pour consigner l’effacement des dossiers contenus sur les serveurs et la destruction des cédéroms sur lesquels se trouvent les données de Travail sécuritaire NB.
Les données de Travail sécuritaire NB sur le disque partagé du bureau de la SOP situé à l’Administration centrale n’ont pas été effacées au moyen des méthodes approuvées, c’est-à-dire avec TrueDelete ou PointSec Media. Même si la période de conservation n’a pas expiré pendant la conduite de cette vérification, les procédures n’étaient pas en place afin de veiller à l’utilisation des méthodes approuvées pour effacer les données de Travail sécuritaire NB se trouvant sur le disque partagé de la SOP située au CSF et dans l’ordinateur central qu’utilise l’équipe responsable du PAYDAC.
Recommandation
L’équipe responsable du PAYDAC devrait détruire les données de Travail sécuritaire NB dans le délai imparti tel qu’il est précisé dans le communiqué de la SOP.
L’équipe responsable du PAYDAC, le bureau de la SOP situé à l’Administration centrale ainsi que les équipes de la SOP et du PII au CFS devraient s’assurer d’effacer les données se trouvant sur les serveurs au moyen des méthodes appropriées tel qu’il est stipulé dans le PE ou le communiqué de la SOP ainsi que remplir un certificat de destruction afin de faire le suivi de la destruction des données de Travail sécuritaire NB.
Plan d’action
L’équipe responsable du PAYDAC a demandé de faire installer sur l’ordinateur qui traite les dossiers un logiciel qui permet de créer un certificat de destruction. Le logiciel sera installé d’ici mai 2011. Les dossiers seront supprimés après deux ans, comme il est précisé dans le communiqué.
D’ici le 30 septembre 2011, la SOP, de concert avec ses bureaux situés à l’Administration centrale et au CFS, mettra en œuvre un programme de certificats de destruction et mettra à jour ses procédures afin de tenir compte de cette nouvelle exigence.
Conclusion
Dans l’ensemble, l’ARC respecte les modalités régissant l’utilisation, la communication et la sécurité des renseignements telles qu’elles sont stipulées dans le PE. Bien que, en général, le risque d’inobservation du PE soit faible, il est possible d’améliorer les mesures de contrôle touchant l’accès et la destruction des renseignements en limitant l’accès en cas de nécessité absolue; en conservant et en détruisant les données échangées en respectant les limites établies dans le PE; en utilisant le logiciel approuvé pour effacer les données se trouvant sur les serveurs; en tenant des registres adéquats sur les renseignements détruits.
Notes
Détails de la page
- Date de modification :