Adoption du numéro d'entreprise du gouvernement du Canada: Résumé du service Web de validation

La Direction des déclarations des entreprises de la Direction générale de cotisation‚ de prestation et de service

Aperçu et lancement de l’évaluation des facteurs relatifs à la vie privée (EFVP)

Institution fédérale
Agence du revenu du Canada

Fonctionnaire responsable de l’EFVP
Frank Vermaeten
Sous-commissaire
Direction générale de cotisation, de prestation et de service

Responsable de l’institution fédérale ou délégué aux fins de l’article 10 de la Loi sur la protection des renseignements personnels
Marie-Claude Juneau
Coordonnatrice, Accès à l’information et protection des renseignements personnels

Nom du programme ou de l’activité de l’institution fédérale
Services fiscaux et traitement des déclarations : Nous offrons aux contribuables les renseignements exacts et opportuns dont ils ont besoin pour observer les lois fiscales du Canada et contribuer à la modernisation de nos services, y compris l’expansion de nos services numériques, afin qu’il soit plus facile pour eux de respecter leurs obligations fiscales. En plus de gérer le programme des déclarations des particuliers, nous inscrivons les entreprises pour leur attribuer un numéro d’entreprise, et administrons les programmes des déclarations T2 et T3, le Programme de la TPS/TVH, le Programme de l’accise et d’autres programmes de prélèvements. Nous aidons les entreprises et les particuliers à observer volontairement les lois fiscales du Canada en traitant leurs renseignements et leurs paiements de la façon la plus rapide et la plus précise possible et en les informant des résultats de leur cotisation ou de leur nouvelle cotisation. Nous encourageons aussi les contribuables et leurs représentants qui souhaitent corriger des renseignements inexacts ou incomplets et payer leur juste part à utiliser la divulgation volontaire, qui est un processus traité par l’Agence.

Description de la catégorie de document et du fichier de renseignements personnels
Catégories de documents spécifiques à l’institution ou ordinaire :
ARC ABSB 227
Description des FRP spécifiques à l’institution ou ordinaire :
ARC PPU 223

Autorisation légale pour le programme ou l’activité

Les renseignements personnels sont recueillis en vertu de l’article 221 de la Loi de l’impôt sur le revenu et de la partie IX de la Loi sur la taxe d’accise.

Les paragraphes 241(4)l) de la Loi de l’impôt sur le revenu (LIR) et 295(5)j) de la Loi sur la taxe d’accise (LTA) permettent à l’Agence du revenu du Canada (ARC) de divulguer le NE et les renseignements d’identification de l’entreprise à une entité gouvernementale pourvu que :

• les renseignements soient fournis uniquement en vue de l’application ou de l’exécution d’une loi fédérale ou provinciale ou d’un règlement d’une municipalité du Canada ou d’un texte législatif d’un gouvernement autochtone.

Le numéro d’entreprise est utilisé comme identificateur du programme, de l’activité ou du service qui a été offert.

Résumé du projet, de l’initiative ou des modifications

En octobre 2013, le Comité de sous-ministres sur les services et la fédération de l’identité a approuvé l’adoption obligatoire du numéro d’entreprise (NE) comme identificateur commun pour toute entreprise du gouvernement du Canada (GC). Le but est de permettre aux entreprises d’utiliser un seul numéro lorsqu’ils font affaire avec les programmes destinés au secteur public et les différents ordres gouvernementaux au Canada. Ainsi, les entreprises pourront s’inscrire aux programmes participants au NE au moyen d’un service continu. En tant qu’identificateur commun, le NE améliorera les services offerts aux entreprises, normalisera la collecte et l’échange de données, et éliminera la collecte de données redondante. En tant que Bureau de première responsabilité, Innovation, Sciences et Développement économique Canada (ISDE) a attribué à l’ARC la tâche de fournir la solution technique pour cette initiative. L’ARC a mis à profit le système actuel du NE pour fournir un service Web de validation qui permettra aux ministères du gouvernement fédéral d’adopter le NE comme identificateur commun. À ce jour, on a déterminé 95 ministères fédéraux (295 programmes associés) qui pourraient utiliser le NE.

L’approbation mentionnée ci-dessus a été énoncée dans le budget de 2015. Par la suite, après que le Comité consultatif sur la gestion de la fonction publique (CCGFP) de 2017 a approuvé les conditions d’utilisation pour l’adoption du NE9 par le gouvernement du Canada, le Secrétariat du Conseil du Trésor a intégré l’adoption du NE dans le Cadre de responsabilisation de gestion (CRG) pour tous les administrateurs généraux. Par conséquent, cela signifie maintenant que tout autre ministère du gouvernement énuméré dans la Loi sur la gestion des finances publiques (LGFP) doit adopter et utiliser le NE comme identificateur commun.

Le rôle de l’ARC en tant que fournisseur de services consiste à offrir un intermédiaire (service Web de validation) pour que les différents ordres gouvernementaux et ministères puissent accéder au système du NE et aux renseignements d’identification de l’entreprise. Bien que les renseignements d’identification de l’entreprise ont été recueillis aux fins de l’impôt, les paragraphes 241(4)l) de la (LIR et 295(5)j) de la LTA stipulent qu’un fonctionnaire de l’ARC peut fournir au représentant d’une entité gouvernementale le NE et les renseignements d’identification de l’entreprise. Les renseignements sont fournis uniquement en vue de l’application ou de l’exécution d’une loi fédérale ou provinciale ou d’un règlement d’une municipalité du Canada ou d’un texte législatif d’un gouvernement autochtone. Le numéro d’entreprise est utilisé comme identificateur du programme, de l’activité ou du service qui a été offert.

Aux fins du présent projet, nous utilisons la définition courante d’entreprise, soit, d’après la common law, les propriétaires uniques, les sociétés de personnes et les sociétés. Le système du NE contient divers autres renseignements non liés aux renseignements d’identification de l’entreprise pour les propriétaires uniques, les sociétés de personnes et les sociétés. Afin de s’assurer que seuls les renseignements d’identification de l’entreprise étaient communiqués, tous les NE dans le système étaient répartis et accompagnés d’un indicateur « oui » ou « non » pour l’entreprise. Cette répartition des données permettait à l’ARC de communiquer les renseignements d’identification de l’entreprise seulement, sans avoir besoin de modifications législatives.

Le service Web de validation du processus est très simple. L’entité gouvernementale obtient le NE et toute autre information nécessaire à l’exécution des programmes auprès du représentant de l’entreprise. Ensuite, elle saisit le NE dans son système, qui est lié au service Web de validation. Le service Web de validation retourne ensuite les éléments de renseignements d’identification de l’entreprise à l’utilisateur pour que ce dernier puisse comparer ou valider les données qu’il a recueillies auprès du représentant d’entreprise, selon les procédures internes. Ce service est seulement offert aux ministères gouvernementaux qui ont adopté l’utilisation des numéros d’entreprise selon les modalités d’utilisation ou, s’il s’agit d’utilisateurs provinciaux, selon un protocole d’entente (PE). De plus, Innovation, Sciences et Développement économique Canada (ISDE) a mené une analyse des renseignements transmis par le service Web de validation et a déterminé que ces renseignements sont accessibles au public au moyen de recherches en ligne, d’annuaires téléphoniques, de cartes professionnelles, du Bureau d’éthique commercial, et bien d’autres sources publiques. Cette analyse a été fournie au Commissariat à la protection de la vie privée, qui a déterminé que le partage de tels renseignements était une initiative à faible risque. Chaque participant fédéral devra respecter la Politique sur la sécurité du gouvernement (PSG) du Conseil du Trésor et les autres politiques applicables lorsqu’il consulte les renseignements sur le NE. Tous les renseignements sur le NE divulgués doivent être diffusés, transmis, manipulés, utilisés, stockés, détruits et protégés conformément à la PSG. De plus, chaque participant accepte qu’il est interdit de divulguer à d’autres les renseignements sur le NE qui leur a été divulgués à l’aide du service Web de validation du NE, à moins qu’une telle divulgation soit expressément autorisée en vertu de la Loi de l’impôt sur le revenu (LIR) ou de la Loi sur la taxe d’accise (LTA).

Chaque participant provincial/territorial devra traiter tous les renseignements sur le NE visualisés conformément aux clauses de sécurité stipulées dans son protocole d’entente.

Dans la portée :
La portée de cette évaluation des facteurs relatifs à la vie privée est d’examiner l’incidence qu’auront les activités associées à l’adoption du numéro d’entreprise du gouvernement du Canada sur les facteurs relatifs à la vie privée.
 
Plus précisément, on examinera les cas où les renseignements d’identification de l’entreprise correspondent également à des renseignements personnels et qu’ils sont divulgués aux ministères gouvernementaux fédéraux, provinciaux et territoriaux comme étant l’identificateur commun pour l’entreprise par l’entremise du service Web de validation. L’ARC a le pouvoir législatif de divulguer les renseignements fournis uniquement aux fins de l’administration ou de l’exécution d’une loi du Parlement ou d’une province, d’un règlement d’une municipalité au Canada ou d’un texte législatif d’un gouvernement autochtone. Dès la divulgation, il incombe à chaque ministère de mener une EFVP pour s’assurer qu’il utilise adéquatement le programme et qu’il tient compte de la collecte de ces nouveaux renseignements et de son incidence potentielle.

Hors de la portée :
Cette EFVP n’examine pas la collecte initiale des renseignements personnels par l’ARC, ni l’utilisation interne et les autres divulgations de ces renseignements. Ces éléments seront couverts dans une autre révision de l’EFVP de 2005 et seront traités au cours de l’exercice 2017-2018. Toutefois, il convient de noter que cette révision subséquente consistera en un examen régulier de l’EFVP pour valider et améliorer les données selon les exigences actuelles de l’EFVP et que cela ne fait pas partie de cette initiative.

Détermination et classement du risque

A) Type de programme ou d’activité
Exécution des programmes/Activités et services

Niveau de risque pour la vie privée : 2
Détails : Le but est de permettre aux entreprises d’utiliser un seul numéro lorsqu’ils utilisent les programmes destinés au secteur public et les différents ordres gouvernementaux au Canada. Ainsi, les entreprises pourront s’inscrire aux programmes participants au NE au moyen d’un service continu.

B) Type de renseignements personnels en jeu et contexte
Renseignements personnels uniquement, recueillis directement auprès de la personne en question ou avec son consentement pour être communiqués dans le cadre d’un programme autorisé, pourvu que les données ne soient pas de nature délicate dans le contexte.
 
Niveau de risque pour la vie privée : 1
Détails : Les renseignements d’identification de l’entreprise transmis au moyen du service Web de validation sont isolés des entités commerciales définies comme étant propriétaires uniques, sociétés de personnes et sociétés. Les renseignements d’identification de l’entreprise comprennent le numéro d’entreprise, le type d’entreprise, la dénomination sociale, l’adresse commerciale, l’adresse postale, la langue préférée, la description de l’activité commerciale, les renseignements sur le propriétaire, *les renseignements sur l’événement et les renseignements sur la constitution en société, le cas échéant.

• Remarque : Les renseignements sur l’événement incluent les événements qui ont eu lieu et qui ont touché l’entreprise. En voici quelques exemples : l’inscription à un numéro d’entreprise, le décès d’un propriétaire unique, la dissolution volontaire d’une société, la faillite ou proposition de faillite d’une entreprise, la date de création, de faillite ou de constitution en société, le cas échéant.

ISDE, en qualité de Bureau de première responsabilité, a déterminé que tous les renseignements divulgués par l’intermédiaire du service Web de validation sont de niveau « Protégé A ». Selon les modalités d’utilisation, il incombe à chaque ministère d’évaluer et de déterminer le caractère délicat des renseignements aux fins d’utilisation.

Dans le cas d’une entreprise constituée en société, la plupart des renseignements d’identification du NE ne sont pas considérés comme étant des renseignements personnels. Toutefois, il n’en est pas de même pour les sociétés en personnes et les propriétaires uniques.

Les attributs de données comme la dénomination sociale de l’entreprise ainsi que le prénom et le nom du propriétaire (8 % de l’ensemble des données d’identification du NE) révèlent des renseignements concernant un individu identifiable, lesquels, conformément à la Loi sur la protection des renseignements, sont considérés des renseignements personnels. Bien qu’un faible pourcentage des renseignements d’identification de l’entreprise divulgués par le service Web de validation soient des renseignements personnels d’un individu identifiable associé à l’entreprise, cette information serait déjà connue et facilement transmise par l’entremise de cartes professionnelles ou dans le cadre d’activités commerciales avec l’entreprise en question.

C) Partenaires de programme ou d’activité et participation du secteur privé
Avec d’autres gouvernements ou une combinaison des gouvernements fédéral et provinciaux et/ou des administrations municipales.

Niveau de risque pour la vie privée : 3
Détails : Les institutions fédérales qui souhaitent adopter le numéro d’entreprise doivent accepter et signer les modalités d’utilisation (conditions d’utilisation) afin d’avoir accès au service Web de validation du NE. Dans ces modalités d’utilisation, chaque participant accepte d’utiliser le NE comme identificateur d’entreprise commun aux fins de l’administration ou de l’application d’une loi du Parlement, conformément à l’alinéa 241(4)l) et au paragraphe 241(9.2) de la Loi de l’impôt sur le revenu (LIR) et à l’alinéa 295(5)j) et au paragraphe 295(5.01) de la Loi sur la taxe d’accise (LTA). Chaque participant accepte également d’utiliser les renseignements connexes sur l’identité des entreprises conformément aux spécifications opérationnelles et techniques énoncées dans le modèle d’intégration au libre-service.

Les institutions provinciales qui souhaitent adopter le NE doivent accepter et signer un protocole d’adoption du NE. Dans ces modalités d’utilisation, chaque participant accepte d’utiliser le NE comme identificateur d’entreprise commun aux fins de l’administration ou de l’application d’une loi du Parlement, conformément à l’alinéa 241(4)l) et au paragraphe 241(9.2) de la Loi de l’impôt sur le revenu (LIR) et à l’alinéa 295(5)j) et au paragraphe 295(5.01) de la Loi sur la taxe d’accise (LTA).

Voici les deux critères qui permettent à l’ARC de transmettre les renseignements d’identification de l’entreprise avec les autres ministères et les provinces :

1. l’utilisation du NE comme identificateur commun;
2. l’application ou l’exécution d’une loi fédérale ou provinciale ou d’un règlement d’une municipalité ou d’un gouvernement autochtone.

D) Durée du programme ou de l’activité
Il s’agit d’un programme à long terme.

Niveau de risque pour la vie privée : 3
Détails : Le NE a été désigné par le gouvernement du Canada comme étant l’identificateur commun pour les entreprises au sein du gouvernement du Canada; il sera également utilisé par les provinces pour les mêmes fins. Ce programme à long terme n’a pas de date d’élimination progressive précise.

E) Public cible du programme
Le programme touche certains particuliers à des fins administratives externes.

Niveau de risque pour la vie privée : 3
Détails : Les renseignements d’identification de l’entreprise transmis au moyen du service Web de validation comprennent des renseignements personnels liés aux particuliers identifiables associés à l’entreprise. Toutefois, l’utilisation du service Web de validation est prévue pour les programmes d’entreprise. Ces programmes auront une incidence sur l’entreprise, et non sur les particuliers. En tant qu’identificateur commun, le NE améliorera les services offerts aux entreprises, normalisera la collecte et l’échange de données, et éliminera la collecte de données redondante.
F) Technologie et vie privée
Est-ce que le nouveau programme ou le programme modifié ou l’activité consiste à mettre en œuvre un nouveau système électronique, un logiciel ou un programme d’application, y compris un collecticiel (ou logiciel de groupe) afin d’appuyer le programme ou l’activité en ce qui concerne la création, la collecte ou la manipulation des renseignements personnels?
Risque pour la vie privée : Oui

Est-ce que le programme (nouveau ou modifié) ou l’activité (nouvelle ou modifiée) demande des améliorations aux systèmes ou services en place de la technologie de l’information?
Risque pour la vie privée : Oui

Le programme (nouveau ou modifié) ou l’activité (nouvelle ou modifiée) comprend la mise en œuvre d’une ou de plusieurs des technologies suivantes :
Méthode d’identification améliorée : Cela comprend la technologie biométrique (comme la reconnaissance faciale, l’analyse de la démarche, la lecture de l’iris, l’analyse des empreintes digitales, l’empreinte vocale et l’identification par radiofréquence), ainsi que la technologie « E-ZPass », les nouvelles cartes d’identité, y compris les cartes à bande magnétique et les « cartes intelligentes » qui sont dotées d’une antenne ou d’une plage de contact reliée à un microprocesseur et à une puce de mémoire ou à une puce de mémoire dotée d’une logique non programmable.
Risque pour la vie privée : Non
Détails : Aucun

Utilisation de la surveillance : Cela comprend les technologies de surveillance, comme les dispositifs d’enregistrement audio ou vidéo, l’imagerie thermique, les dispositifs de reconnaissance, l’identification par radiofréquence, la surveillance ou l’interception secrète, la surveillance assistée par ordinateur, y compris les pistes de vérification et la surveillance par satellite.
Risque pour la vie privée : Non
Détails : Aucun

Utilisation de l’analyse automatisée des renseignements personnels, de la mise en correspondance des renseignements personnels et des techniques de découverte des connaissances : Afin de respecter la Directive sur l’évaluation des facteurs relatifs à la vie privée, les institutions fédérales doivent cerner les activités qui comprennent l’utilisation d’une technologie automatisée pour analyser, créer, comparer, évaluer ou extraire des éléments des renseignements personnels. De telles activités comprendraient le rapprochement de renseignements personnels, le couplage de dossiers, l’exploration et la comparaison de renseignements personnels, la découverte de connaissances, de même que le filtrage ou l’analyse de renseignements personnels. Ce genre d’activités consiste à recourir à une certaine forme d’intelligence artificielle ou d’apprentissage automatique pour découvrir des connaissances (renseignements), des tendances ou des modèles ou pour prédire des comportements.
Risque pour la vie privée : Oui
Détails : Voici les deux critères qui permettent à l’ARC de transmettre les renseignements d’identification de l’entreprise avec les autres ministères et les provinces :

1. l’utilisation du NE comme identificateur commun;
2. l’application ou l’exécution d’une loi fédérale ou provinciale.

Le rapprochement des données sera effectué entre l’ARC et les autres ministères du gouvernement, en ce sens que les autres ministères doivent fournir le NE à l’Agence afin que le service Web de validation de l’ARC puisse retourner une réponse (divulgation) avec les renseignements d’identification de l’entreprise associés au NE en question.

G) Transmission des renseignements personnels
Les renseignements personnels sont utilisés dans un système qui est relié à au moins un autre système.
Niveau de risque pour la vie privée : 2
Détails : Le service Web de validation permettra la transmission de renseignements aux utilisateurs fédéraux et provinciaux. Il incombe à l’ARC de trouver une solution technique permettant à chaque ministère d’établir un lien avec le service Web de validation au moyen d’un processus asynchrone, soit le protocole d’accès simplifié aux objets (SOAP) en langage de balisage extensible (XML). Ce service automatisé effectue une recherche dans la base de données des NE de l’ARC pour l’entreprise faisant l’objet d’une enquête, en plus de fournir une réponse, y compris le NE et les renseignements d’identification de l’entreprise, permettant ainsi aux partenaires de valider les NE.

Pour assurer la transmission sécuritaire de l’information, les  renseignements d’identification de l’entreprise seront chiffrés à l’aide de certificats d’infrastructure à clés publiques (ICP) du gouvernement du Canada. Les services de TI de l’ARC attribueront un nom d’utilisateur et un mot de passe uniques à chacun des utilisateurs de NE pour accéder au service Web de validation. Les ICP du gouvernement du Canada agissent comme une clé numérique reconnue (utilisateur de NE) par le système du NE de l’ARC donnant accès au système de sécurité (pare-feu). Les employés individuels n’ont pas accès à cette clé. Étant donné ses capacités de vérification, l’ARC vérifiera l’accès au niveau des autres ministères. Il incombe à chacun des autres ministères (utilisateur de NE) de vérifier l’accès au niveau des employés en utilisant les noms d’utilisateur et les mots de passe uniques ayant des rôles et des droits d’accès connexes en vertu de la politique du Secrétariat du Conseil du Trésor, selon laquelle l’accès des employés n’est accordé que selon le principe de connaissance sélective. Selon les modalités d’utilisation, chaque participant doit respecter la Politique sur la sécurité du gouvernement (PSG) du Conseil du Trésor et les autres politiques applicables lorsqu’il consulte les renseignements sur le NE. Tous les renseignements sur le NE divulgués doivent être diffusés, transmis, manipulés, utilisés, stockés, détruits et protégés conformément à la PSG. De plus, chaque participant accepte qu’il est interdit de divulguer à d’autres les renseignements sur le NE qui leur a été divulgués à l’aide du service Web de validation du NE, à moins qu’une telle divulgation soit expressément autorisée en vertu de la Loi de l’impôt sur le revenu (LIR) ou de la Loi sur la taxe d’accise (LTA).

H) Risque possible pour le particulier ou l’employé
Détails : Les renseignements d’identification de l’entreprise transmis au moyen du service Web de validation peuvent comprendre des renseignements personnels liés aux particuliers associés à l’entreprise. Ces renseignements sont également accessibles au public grâce à diverses autres sources (p. ex., le Bureau d’éthique commerciale). Ainsi, cet échange de renseignements est considéré comme une initiative à faible risque.
Si ces renseignements sont divulgués ou compris accidentellement ou délibérément, cela pourrait causer de l’embarras, une incidence négative sur la réputation (renseignements sur la faillite), des répercussions financières et une perturbation des fonctions opérationnelles.

I) Risque possible pour l’institution
Détails : Si ces renseignements devaient être accidentellement ou délibérément divulgués ou compromis, cela pourrait vraisemblablement causer un embarras pour l’ARC et entraîner une perte de crédibilité et une baisse de la confiance du public.