Rapport annuel sur l’application de la Loi sur la protection des renseignements personnels Emplois et Developpement social Canada 2020 to 2021

Formats substituts

Sommaire exécutif

Emploi et Développement social Canada (EDSC), qui comprend le Programme du travail et Service Canada, travaille à bâtir un Canada plus fort et plus inclusif pour aider les Canadiens à mener une vie productive et gratifiante et pour améliorer leur qualité de vie. Bon nombre des programmes et des services les plus importants et les plus connus du gouvernement fédéral sont offerts par le Ministère dans le cadre de son vaste mandat.

EDSC utilise beaucoup de renseignements personnels et d’autres données afin d’offrir ces programmes et ces services importants aux Canadiens à l’appui de son propre mandat et au nom d’autres institutions fédérales. Par conséquent, EDSC exerce ses activités de collecte, d’utilisation, de conservation et de divulgation, qui sont vastes en termes d’échelle et de portée, dans l’un des régimes de protection des renseignements personnels les plus complexes du gouvernement. Le Ministère prend cette responsabilité au sérieux, et la protection des renseignements personnels des Canadiens et de leurs droits à cet égard demeure une priorité constante.

Comme il s’agit d’une institution fédérale, EDSC est assujetti à la Loi sur l’accès à l’information et à la Loi sur la protection des renseignements personnels. Ces 2 lois obligent le Ministère à soumettre au Parlement un rapport annuel sur l’application de la loi à la fin de chaque exercice. Ces rapports décrivent les principaux faits saillants stratégiques et opérationnels d’EDSC en matière d’accès à l’information et de protection des renseignements personnels au cours de la période visée par les rapports.

La période de rapport 2020 à 2021 a été dominée par la pandémie de COVID-19, au cours de laquelle EDSC a été chargé d’exécuter d’importantes initiatives dans le cadre du Plan d’intervention économique du Canada pour répondre à la COVID-19. Le Ministère a joué un rôle important pour s’assurer que les Canadiens recevaient les mesures de soutien d’urgence dont ils avaient besoin pendant cette période sans précédent, grâce à des initiatives comme la Prestation canadienne d’urgence (PCU), la prestation d’assurance emploi d’urgence et le paiement unique aux personnes en situation de handicap. La mise en œuvre réussie de ces initiatives clés a nécessité de vastes efforts dans l’ensemble du Ministère, y compris la réaffectation temporaire d’employés de la Division de l’accès à l’information et de la protection des renseignements personnels (AIPRP).

Le Ministère a adopté une approche équilibrée à cet égard, ce qui a permis la poursuite d’activités d’AIPRP, tout en réduisant les pressions administratives non essentielles sur le système. Bien que la pandémie ait eu des répercussions sur la conformité d’EDSC à la Loi sur l’accès à l’information et à la Loi sur la protection des renseignements personnels, à la fin de la période visée par le présent rapport, le Ministère avait repris ses activités d’accès à l’information et de protection des renseignements personnels habituelles. En ce sens, les mesures prises étaient temporaires et ne devraient pas avoir de répercussions à long terme sur la conformité du Ministère aux lois.

En 2020 et 2021, la modernisation et la transformation sont demeurées des thèmes importants. La pandémie a stimulé la mise en œuvre de solutions numériques de prestation des programmes et des services, afin de répondre aux besoins actuels et changeants des Canadiens. Cela était particulièrement vrai pour les processus servant à répondre aux demandes d’accès à l’information et de protection des renseignements personnels reçues des Canadiens. Le Ministère est passé d’un régime principalement sur support papier à des réponses presque exclusivement en format numérique.

EDSC a continué de recevoir l’un des plus grands volumes de demandes d’accès à l’information et de protection des renseignements personnels parmi les institutions fédérales. Dans le classement des institutions du gouvernement du Canada de 2019 et 2020 du Secrétariat du Conseil du Trésor, le Ministère s’est classé deuxième pour le nombre de demandes de renseignements personnels reçues et de pages traitées. En 2020 à 2021, le nombre total de demandes en vertu des 2 lois a diminué comparativement à l’exercice précédent en raison de la pandémie. Toutefois, ce nombre est demeuré élevé.

EDSC s’attend à ce qu’une fois les effets de la pandémie dissipés, la tendance de volumes importants et croissants de demandes reprenne. Il sera important de veiller à ce que les processus de demande d’accès à l’information et de protection des renseignements personnels d’EDSC soient efficaces et efficients pour que le Ministère puisse continuer à répondre aux demandes dans les délais prévus.

Ces réalisations et les résultats détaillés décrits dans le présent rapport sont un aperçu du degré de responsabilité, de l’intendance et des efforts quotidiens des employés d’EDSC afin de respecter les exigences juridiques imposées au Ministère en matière de gestion des renseignements personnels, et de protéger les droits de la protection des renseignements personnels des Canadiens.

1. Introduction

Présentation du rapport

L’article 72 de la Loi sur la protection des renseignements personnels oblige le responsable d’une institution fédérale à déposer au Parlement un rapport annuel sur l’application de chaque loi à la fin de chaque exercice. EDSC a le plaisir de remettre au Parlement son rapport annuel intégré sur l’application de la Loi sur la protection des renseignements personnels pour l’exercice 2020 à 2021.

À propos d’Emploi et Développement social Canada

EDSC, qui comprend le Programme du travail et Service Canada, offre de nombreux programmes et services du gouvernement fédéral. Compte tenu de la vaste portée de son mandat, il s’agit d’un des plus grands ministères fédéraux et d’un des plus décentralisés. Chaque jour, EDSC interagit avec des millions de Canadiens en leur fournissant des services et des programmes qui jouent un rôle important dans leur vie. Les Canadiens s’attendent à recevoir facilement des services de qualité sécurisés qui répondent à leurs besoins, que ce soit par Internet, par l’entremise de centres d’appels ou en personne.

Les programmes et services d’EDSC jouent un rôle important dans la vie des Canadiens. Par exemple, le Ministère vient en aide aux parents qui élèvent de jeunes enfants, aide les étudiants à financer leurs études postsecondaires, et verse un soutien au revenu aux travailleurs sans emploi et un revenu de pension aux aînés. EDSC assure la prestation de nombreux programmes phares du gouvernement du Canada, comme le Programme canadien d’aide financière aux étudiants, l’assurance-emploi, la Sécurité de la vieillesse (SV) et le Régime de pensions du Canada (RPC). Dans l’ensemble, le Ministère est chargé de verser des prestations de plus de 135,2 milliards de dollars directement aux particuliers et aux organismes, ce qui représente près de 6,15 % du produit intérieur brut du Canada.

De plus, au cours de la période visée par le présent rapport, EDSC a été au premier rang dans le cadre des efforts d’atténuation des conséquences sociales et économiques liées à la pandémie de COVID-19 au Canada. Il s’agissait notamment de fournir la PCU et d’offrir un soutien ciblé aux étudiants et aux aînés, entre autres.

Le Programme du travail contribue au bien-être social et économique en favorisant la création d’environnements de travail sécuritaires, sains, équitables et inclusifs, ainsi que le maintien de relations de travail de collaboration dans les milieux de travail de compétence fédérale. Le Programme du travail fournit également des services de médiation en matière de relations de travail, veille au respect des conditions de travail minimales, fait la promotion du travail décent et favorise le respect des normes internationales du travail. Comme ce fut le cas ailleurs dans le Ministère, le Programme du travail a réagi avec souplesse face à la pandémie.

Service Canada, qui est l’organe de prestation de services du Ministère, constitue pour les Canadiens un point d’accès unique aux programmes et aux prestations d’EDSC, ainsi qu’à d’autres programmes et services du gouvernement du Canada. Bien que la pandémie de COVID-19 ait eu une incidence directe sur la capacité de Service Canada de fournir des services en personne, les besoins des Canadiens ont continué d’être répondus par l’entremise de 1 800 O-Canada, du réseau de centres d’appels ou des services en ligne Canada.ca et Mon dossier Service Canada (MDSC).

À propos de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels

La Loi sur l’accès à l’information confère aux citoyens canadiens, aux résidents permanents et à toute personne ou société présente au Canada un droit d’accès aux documents des institutions gouvernementales assujetties à la Loi^{Footnote 1}. Ce droit fait l’objet d’exceptions et d’exclusions précises et limitées, et est conforme au principe selon lequel l’information du gouvernement devrait être accessible au public. En 2019, le gouvernement du Canada a présenté de nouvelles exigences législatives en application de la Loi, obligeant notamment les ministères à publier de façon proactive les renseignements fréquemment demandés, dans une volonté de transparence et d’ouverture.

La Loi sur l’accès à l’information confère aux citoyens canadiens, aux résidents permanents et à toute personne ou société présente au Canada un droit d’accès aux documents des institutions gouvernementales assujetties à la Loi. Ce droit fait l’objet d’exemptions et d’exclusions limitées et précises, et est conforme au principe selon lequel l’information du gouvernement devrait être accessible au public^{Footnote 2}. La Loi sur la protection des renseignements personnels contient des dispositions sur la collecte, l’utilisation, la conservation et la divulgation de renseignements personnels par les institutions gouvernementales.

Dispositions sur les renseignements personnels dans la Loi sur le ministère de l’Emploi et du Développement social

En plus de la Loi sur la protection des renseignements personnels, la gestion des renseignements personnels par EDSC est régie par d’autres obligations législatives énoncées dans la loi habilitante du Ministère. Ainsi, la Loi sur le ministère de l’Emploi et du Développement social (LMEDS) établit les règles qui s’appliquent aux renseignements personnels que contrôle EDSC. Ces dispositions prévoient les conditions qui régissent :

• la divulgation des renseignements personnels, y compris les renseignements d’intérêt public;
• l’accès aux renseignements contenus dans le Registre d’assurance sociale;
• l’utilisation des renseignements personnels à des fins d’analyse des politiques internes, de recherche et d’évaluation;
• la divulgation des renseignements personnels à des fins de recherche ou d’analyse statistique.

Lorsque le Ministère fournit des services au public au nom d’autres institutions et administrations fédérales ou lorsqu’il offre certains services au gouvernement du Canada, c’est plutôt le régime de protection des renseignements personnels du partenaire (habituellement la Loi sur la protection des renseignements personnels à l’intention des partenaires fédéraux) qui s’applique.

2. Structure organisationnelle

Secrétariat ministériel et chef de la protection des renseignements personnels

La direction générale du Secrétariat ministériel d’EDSC est responsable de la publication et de la gestion de la politique de gestion de la protection des renseignements personnels au Ministère, de la prestation de conseils et de directives en la matière et des activités liées à la protection des renseignements personnels dans la région de la capitale nationale. Ces fonctions sont exécutées par la Division des opérations de l’accès à l’information et de la protection des renseignements personnels (OPS AIPRP) d’EDSC et par la Division de la gestion de la protection des renseignements personnels (DGPRP).

La Direction générale est dirigée par le secrétaire ministériel, qui est le chef désigné de la protection des renseignements personnels d’EDSC ainsi que l’autorité fonctionnelle du Ministère sur toutes les questions de protection des renseignements personnels et de mise en œuvre du cadre de gestion de la protection des renseignements personnels. Les responsabilités du chef de la protection des renseignements personnels comprennent la prestation de conseils et de recommandations stratégiques en matière de protection des renseignements personnels, le maintien du programme de gestion de la protection des renseignements personnels d’EDSC, y compris la tenue d’évaluations des risques en matière de protection des renseignements personnels, et la surveillance de la conformité aux obligations législatives, aux politiques et aux normes pertinentes en matière de protection des renseignements personnels.

Division des opérations de l’accès à l’information et de la protection des renseignements personnels

La Division des OPS AIPRP est le point de convergence du Ministère pour la gestion et le traitement des demandes d’accès à l’information et de protection des renseignements personnels d’EDSC. Elle dirige le traitement de toutes les demandes présentées à EDSC en vertu de la Loi sur l’accès à l’information et donne des conseils à cet effet, examine minutieusement les dossiers demandés en vertu de la Loi sur l’accès à l’information et offre des séances de formation et de sensibilisation sur l’application de la loi aux employés du Ministère.

Division de la gestion de la protection des renseignements personnels

La DGPRP est le centre d’expertise du Ministère en ce qui concerne la protection des renseignements personnels. Elle dirige la mise en œuvre transversale des politiques et initiatives ministérielles en matière de protection des renseignements personnels, effectue des analyses des risques, y compris des évaluations des facteurs relatifs à la vie privée (EFVP), et offre un soutien à la conformité en matière de protection des renseignements personnels pour les programmes et services d’EDSC. La DGPRP gère aussi les demandes de documents à des fins juridiques et la divulgation de renseignements dans l’intérêt public, joue un rôle clé dans la gestion et la prévention des atteintes à la vie privée, avec les partenaires ministériels, et appuie les activités de formation et de sensibilisation à la protection de la vie privée. Au cours de l’exercice 2020 à 2021, la DDGPRP comptait en moyenne 37 employés à temps plein.

Entente de services avec l’Organisation canadienne d’élaboration des normes d’accessibilité

Au cours de la période visée par le présent rapport, EDSC a conclu un protocole d’entente pour la prestation de services d’accès à l’information et de protection des renseignements personnels avec l’Organisation canadienne d’élaboration de normes d’accessibilité, un établissement ministériel indépendant qui relève du portefeuille d’EDSC. Cette organisation a été mise sur pied en vertu de la Loi canadienne sur l’accessibilité et a pour mandat de contribuer à créer un Canada sans obstacle au plus tard le 1er janvier 2040.

En vertu du protocole d’entente, EDSC fournit des services de traitement des demandes reçues en vertu de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels, des conseils et des statistiques sur les rapports annuels, des services de liaison, et de la formation. De plus, EDSC offre des analyses et des conseils sur les questions de protection des renseignements personnels, y compris les évaluations des facteurs relatifs à la vie privée, les ententes d’échange de renseignements, les divulgations, la passation de marchés, la conformité aux lois et aux politiques, et la gestion des incidents de sécurité.

Répercussions opérationnelles de la pandémie de COVID-19

En raison de la nature de la pandémie mondiale de COVID-19, le Ministère a réaffecté le personnel disponible à la prestation des services essentiels, et il a fait appel aux employés pour fournir un soutien essentiel aux Canadiens. Les employés de la Division de l’AIPRP faisaient partie des personnes qui ont été réaffectées. EDSC a pris les mesures nécessaires pour informer les demandeurs des retards possibles dans le traitement des demandes, notamment par courriel et par l’entremise de son site Web. Pour faciliter la transition, le Ministère a suspendu temporairement l’affectation à l’interne des demandes d’AIPRP, du 16 mars au 27 avril 2020. Cette mesure a été prise afin que les ressources ne soient pas détournées des services essentiels et critiques. Pendant cette période, le Ministère a poursuivi le traitement des demandes d’AIPRP préexistantes. Le lundi 27 avril 2020, EDSC a repris le traitement des nouvelles demandes, y compris leur enregistrement et leur suivi, l’attribution de tâches aux secteurs de programme pour la récupération des documents pertinents, la réalisation de suivis et la fourniture de trousses de réponse.

De plus, dans le but de freiner la propagation de la COVID-19, tous les fonctionnaires de la Division de l’AIPRP à l’échelle du Ministère ont commencé le télétravail en mars 2020. La transition vers de tout nouveaux processus électroniques a posé plusieurs défis à la Division des OPS AIPRP. La situation a été exacerbée par la nécessité de traiter un arriéré d’environ 80 demandes, qui avaient été mises en suspens pendant l’établissement des processus de télétravail. Après la reprise réussie du traitement des demandes d’AIPRP, le Ministère a rétabli les exigences de publication proactive.

Bien que la prise des mesures d’urgence ait posé certains défis opérationnels et ait eu une incidence sur la capacité du Ministère de traiter les demandes d’AIPRP dans les délais prescrits par la Loi sur l’accès à l’information, il a mis à la disposition des Canadiens un éventail de prestations et de services essentiels en très peu de temps et au moment où ils avaient le plus besoin d’aide. De plus, la majorité des Canadiens ont reçu les renseignements qu’ils demandaient, bien qu’elle ait eu du retard. Les récents taux de conformité mensuels marquent un retour aux niveaux de rendement avant la pandémie.

3. Cadre de gestion et gouvernance de la protection des renseignements personnels à EDSC

Politique ministérielle sur la gestion de la protection des renseignements personnels

La Politique ministérielle sur la gestion de la protection des renseignements personnels soutient un régime solide de protection et d’utilisation judicieuse des renseignements personnels par EDSC. La politique fixe les exigences et les normes de gestion et de protection des renseignements personnels et énonce des principes clairs et universels en matière de protection des renseignements personnels. La politique établit le Cadre de gestion de la protection des renseignements personnels du Ministère (qui est décrit ci-après), désigne la fonction de chef de la protection des renseignements personnels, définit les rôles et les responsabilités à l’égard des renseignements personnels et établit les mécanismes de gouvernance de la protection des renseignements personnels du Ministère.

Cadre de gestion de la protection des renseignements personnels

Le cadre de gestion de la protection des renseignements personnels d’EDSC promeut une approche proactive dans ce domaine, en favorisant l’intégration des pratiques de protection des renseignements personnels à la conception des programmes, des systèmes et des processus opérationnels. Le Cadre est constitué de 5 éléments :

• Gouvernance et responsabilisation : Les rôles et responsabilités en matière de protection des renseignements personnels sont clairement définis.
• Intendance des renseignements personnels : Des mesures appropriées de protection des renseignements personnels sont mises en œuvre pour bien gérer les renseignements personnels tout au long de leur cycle de vie.
• Assurance de la conformité : Des processus et des pratiques officiels sont en place afin d’assurer le respect des précisions, des politiques, des normes et des lois en matière de protection des renseignements personnels.
• Gestion efficace des risques : Des activités structurées et coordonnées d’identification et d’évaluation des risques sont menées pour réduire la probabilité que des incidents négatifs se produisent et limiter les répercussions de ces derniers, le cas échéant.
• Culture, formation et sensibilisation : Des activités de formation et de sensibilisation relatives à la protection de la vie privée soutiennent un organisme qui est conscient de cet enjeu et qui accorde de l’importance à la protection et à l’intendance des renseignements personnels.

Gouvernance de la protection des renseignements personnels à EDSC

Le Comité des données et de la protection des renseignements personnels des directeurs généraux est le principal organe de gouvernance du Ministère en matière de protection de la vie privée. Coprésidé par le chef de la protection des renseignements personnels et le dirigeant principal des données, le Comité supervise la gérance et la gestion des données ainsi que la protection des renseignements personnels dans l’ensemble du Ministère. Le Comité appuie l’intégration de la gestion des données, de la protection des renseignements personnels et de la sécurité. De plus, il supervise les processus de gestion des risques d’EDSC en ce qui a trait aux renseignements personnels. Ce comité relève du Comité de gestion ministérielle, qui est présidé par le sous-ministre adjoint d’EDSC.

4. Délégation de pouvoirs

L’article 73 de la Loi sur la protection des renseignements personnels autorise le responsable d’une institution à déléguer certains des pouvoirs, des devoirs ou des fonctions qui lui sont conférés par ces lois à des employés de l’institution.

Le ministre de l’Emploi, du Développement de la main-d’œuvre et de l’Inclusion des personnes en situation de handicap est responsable de l’application de la Loi sur la protection des renseignements personnels et de la loi habilitante du Ministère, c’est-à-dire la LMEDS.

L’ordonnance ministérielle de délégation de pouvoir en vertu de la Loi sur la protection des renseignements personnels et les pouvoirs délégués figurent à l’annexe A.

5. Activités et initiatives relatives à la protection des renseignements personnels

Compte tenu de sa portée et de son étendue considérables, le mandat d’EDSC comprend la responsabilité de la gestion d’un des plus importants fonds de renseignements personnels du gouvernement du Canada. La gestion et la prestation de programmes et de services par le Ministère comprennent habituellement la collecte, l’utilisation et la divulgation de renseignements personnels. Dans bien des cas, EDSC ou d’autres organismes gouvernementaux ont besoin de renseignements personnels détaillés et souvent de nature délicate pour déterminer l’admissibilité aux programmes ou fournir les prestations et les services. EDSC exerce ses activités sous un régime juridique complexe en matière de protection des renseignements personnels, qui comprend la Loi sur la protection des renseignements personnels, la LMEDS, et les lois fédérales et provinciales appliquées par ses partenaires du gouvernement du Canada et des gouvernements provinciaux.

Les changements technologiques de grande ampleur de l’ère numérique ont donné lieu à de nouvelles attentes et à de nouveaux défis pour EDSC dans les domaines de l’utilisation, de la gestion et de la protection des renseignements personnels. Il existe des possibilités d’utiliser et d’échanger les données de façons nouvelles et novatrices au profit de l’intérêt public. Compte tenu des volumes croissants de données électroniques et de l’utilisation de méthodes de pointe, comme l’intelligence artificielle, le gouvernement a l’occasion d’améliorer la qualité des renseignements et la manière dont ils sont utilisés pour la prise de décisions, l’élaboration de politiques et la prestation de services. Les Canadiens veulent interagir avec le gouvernement et accéder à ses services en utilisant un certain nombre d’options de service à la clientèle, y compris les services en ligne, qui correspondent à celles que leur offrent les services du secteur privé. En même temps, la grande quantité de renseignements numériques et la rapidité de leur collecte, de leur utilisation et de leur divulgation ont pour effet d’accroître les défis liés à leur protection et à celle de la vie privée des particuliers.

Au cours de l’exercice 2020 à 2021, EDSC a continué de mettre de l’avant une approche proactive et axée sur les risques pour la gestion de la protection des renseignements personnels, et a cherché à adapter ses activités et ses processus aux besoins de l’environnement changeant de la protection des renseignements personnels. Le Ministère a appliqué son optique de protection des renseignements personnels à ses nombreuses initiatives ministérielles, dont certaines comprenaient la collecte, l’utilisation et la divulgation de renseignements personnels à grande échelle.

La contribution d’EDSC à la réponse pangouvernementale à la pandémie de COVID-19 était la principale préoccupation de la DGPRP et de la Division des OPS AIPRP. La DGPRP a fourni une analyse rapide de la protection des renseignements personnels et un soutien sur demande pour la mise en œuvre de programmes d’urgence qui ont été conçus et lancés d’urgence et auxquels des millions de Canadiens ont accédé immédiatement. Parmi les programmes et les services que la DGPRP a soutenus, on compte la Prestation canadienne d’urgence, la prestation d’assurance emploi d’urgence, le Centre d’appels de la quarantaine et le programme de Prestation et de Subvention aux pêcheurs. La Division a adapté ses approches analytiques et sa série d’outils existants pour fournir des analyses de la protection des renseignements personnels et des évaluations des risques afin de respecter des délais très serrés. Parallèlement, la DGPRP et la Division des OPS AIPRP se sont rapidement transformées en équipes connectées par voie numérique qui pouvaient télétravailler de façon efficace. Dès les premières semaines de la pandémie, leurs équipes de protection des renseignements personnels étaient pleinement fonctionnelles, et ont continué de fournir des services au Ministère et à la population.

La pandémie a servi à accélérer la numérisation des services gouvernementaux, notamment en augmentant l’utilisation et l’échange de données pour la prestation de programmes, l’analyse de politiques et la recherche avec d’autres institutions fédérales, ainsi qu’au sein d’EDSC et les provinces et territoires. La DGPRP a collaboré avec les responsables des programmes et des données pour protéger la vie privée des personnes, protéger les renseignements et atténuer tous risques identifiés.

La crise de la COVID-19 a montré l’importance de la technologie moderne et de la souplesse qu’elle offre, en plus de mettre en lumière la nécessité de poursuivre la transformation d’EDSC et les investissements dans l’infrastructure de service.

Dans l’ensemble, EDSC a réalisé 18 évaluations des facteurs relatifs à la vie privée, dont des copies ont été transmises au Secrétariat du Conseil du Trésor et au Commissariat à la protection de la vie privée. Des renseignements sur ces évaluations se trouvent à l’annexe B du présent rapport et à la page Évaluation des facteurs relatifs à la vie privée du site Web d’EDSC. De plus, la DGPRP a aidé à la conclusion de plus de 60 ententes d’échange de renseignements et a traité plus de 350 demandes de conseils sur la conformité en matière de protection des renseignements personnels. La Division a également fourni en temps opportun à la haute direction d’EDSC des conseils stratégiques et des analyses sur un éventail d’enjeux et de questions stratégiques internes et interministériels en matière de protection des renseignements personnels.

En ce qui concerne son programme de protection des renseignements personnels, EDSC a mis en œuvre une ordonnance de délégation à jour pour la LMEDS, qui s’applique à l’ensemble du Ministère, à l’exception du Programme du travail. Cette ordonnance de délégation révisée simplifie les processus d’approbation fondés sur les risques d’EDSC pour les ententes d’échange de renseignements qui établissent les conditions d’utilisation et de divulgation des renseignements personnels et de mise à disposition des renseignements personnels aux fins des activités d’analyse stratégique, de recherche et d’évaluation. En même temps, cette ordonnance de délégation renforce le contrôle des renseignements personnels utilisés à ces fins en exigeant l’approbation obligatoire par un cadre supérieur ministériel responsable de la protection des renseignements personnels.

EDSC a continué de participer activement aux travaux de modernisation de la Loi sur la protection des renseignements personnels du ministère de la Justice Canada, en fournissant des conseils et des perspectives liés à ses programmes, à la prestation de ses services et à ses efforts de transformation numérique.

6. Rapports sur le rendement

La section suivante fournit des statistiques et des analyses majeures sur les réalisations d’EDSC lors des 4 derniers exercices et sur la contribution du Ministère à la réalisation du programme du gouvernement en matière d’accès à l’information et de protection des renseignements personnels. Les figures 3 à 5 établissent une comparaison sur 4 ans afin de souligner les tendances en matière de rendement afférentes à la Loi sur la protection des renseignements personnels. Des rapports statistiques détaillés concernant la Loi figurent à l’annexe C. Il est important de souligner les effets de la pandémie de COVID-19 pendant la période visée par le présent rapport. Le nombre de demandes reçues a diminué et les délais de réponse prévus par la loi n’ont pas toujours été respectés. La Division des OPS AIPRP avait retrouvé sa pleine capacité à la fin de la période de rapport, et l’incidence de la pandémie sur le rendement était temporaire et découlait d’une situation d’urgence.

Demandes et consultations : Volume total

Au cours de l’exercice 2020 à 2021, EDSC a connu une diminution (9 %) des demandes de protection des renseignements personnels, qui sont passées de 15 405 pour l’exercice 2019 à 2020 à 13 998 pour la période de rapport de 2020 à 2021. Les demandes de consultation ont également diminué d’une année à l’autre.

Texte descriptif pour la figure 1

Année	Nombres de demandes
2017 à 2018	8 852
2018 à 2019	12 678
2019 à 2020	15 405
2020 à 2021	13 998

Texte descriptif pour la figure 2

Année	Nombres de demandes
2017 à 2018	35
2018 à 2019	38
2019 à 2020	23
2020 à 2021	11

Le Commissaire à la protection de la vie privée fait rapport de ses conclusions concernant les plaintes reçues et peut formuler des recommandations. Comme le montre la figure 3, 12 plaintes ont été déposées auprès du Commissaire au cours de l’exercice 2020 à 2021, ce qui représente une diminution comparativement à l’année précédente. Le nombre d’atteintes substantielles à la vie privée, passant de 210 en 2019-2020 à 161 en 2020-2021.

Total des demandes reçues et traitées

Loi sur la protection des renseignements personnels

Pendant la période visée par le présent rapport, le nombre de demandes qui ont été fermées est passé de 15 004 en 2019 à 2020 à 12 883 en 2020 à 2021. Compte tenu des effets de la pandémie, un grand nombre de réponses n’ont pas été fournies dans les délais prescrits par la loi. Bien que cette diminution du nombre de réponses fournies dans les délais soit préoccupante, elle est directement attribuable aux défis posés par la pandémie de COVID-19.

Texte descriptif pour la figure 3

Année	Reçues	Achevées
2017 à 2018	8 852	8 817
2018 à 2019	12 678	12 260
2019 à 2020	15 405	15 004
2020 à 2021	13 998	12 883

Demandes traitées en jours civils

Loi sur la protection des renseignements personnels

En ce qui concerne la fermeture des demandes reçues en vertu de la Loi sur la protection des renseignements personnels dans le délai de 30 jours prévu par la loi, ou dans celui de 60 jours suivant l’octroi d’une prorogation, le taux de conformité est passé de 99 % en 2019 à 2020 à seulement 46 % (5906) en 2020 à 2021. Cela représente une augmentation considérable du nombre de dossiers en retard comparativement à l’exercice 2019 à 2020, mais est directement attribuable aux défis posés par la pandémie de COVID-19. Il convient de souligner qu’une réponse a été fournie dans 92 % des demandes (12 883) au cours de l’exercice.

Texte descriptif pour la figure 4

Année	30 jours civils	31 à 60 jours civils	61 jours civils ou plus
2017 à 2018	8 595 (97 %)	179 (2 %)	43 (1 %)
2018 à 2019	11 832 (97 %)	370 (2 %)	58 (1 %)
2019 à 2020	14 613 (97 %)	358 (2 %)	68 (1 %)
2020 à 2021	5 029 (39 %)	2 459 (19 %)	5 395 (42 %)

Délais

Loi sur la protection des renseignements personnels

Au cours de la période de rapport, EDSC a respecté les délais prévus par la Loi pour 5 906 demandes, ce qui représente un taux de conformité de 46 %. Cela représente une diminution comparativement aux exercices précédents où EDSC a régulièrement atteint un taux de conformité de 99 %. Cette diminution est directement attribuable aux effets de la pandémie de COVID-19. À mesure que les activités normales ont repris, le taux de conformité pour le nombre de demandes fermées dans les délais prescrits par la loi est revenu à son niveau avant la pandémie.

Les institutions peuvent demander une prorogation du délai initial de 30 jours prévu par la loi, lorsqu’il est impossible de respecter la date statutaire en raison du volume de pages à traiter; lorsqu’une consultation est nécessaire et qu’elle ne pourrait raisonnablement pas être menée dans le délai initial de 30 jours; ou lorsqu’il faut plus de temps aux fins de traduction ou pour convertir un document dans un autre format. Au cours de la période de rapport, EDSC a demandé 990 prorogations, soit une hausse comparativement à la période précédente, où EDSC a demandé 260 prorogations.

Texte descriptif pour la figure 5

Année	À l'intérieur	Au-delà
2017 à 2018	99 %	1 %
2018 à 2019	99 %	1 %
2019 à 2020	99 %	1 %
2020 à 2021	46 %	54 %

Surveillance des délais

Loi sur la protection des renseignements personnels

Les bureaux régionaux d’EDSC gèrent la majorité des demandes de protection des renseignements personnels et préparent les rapports hebdomadaires concernant les nouvelles demandes, la charge de travail et l’état d’avancement pour le suivi du respect des délais pour les demandes de renseignements personnels. Les bureaux régionaux produisent également des rapports de rendement mensuels, trimestriels et annuels.

Pages traitées et divulguées

Loi sur la protection des renseignements personnels

Le nombre total de pages traitées et divulguées pour les demandes de renseignements personnels a diminué au cours de l’exercice 2020 à 2021. Au cours de la période de rapport, 1 164 618 pages ont fait l’objet d’exceptions et d’exclusions, ce qui représente une diminution de 8 % comparativement à l’exercice précédent, où 1 259 755 pages ont été traitées. Au total, 1 084 070 pages ont été divulguées, ce qui représente une diminution comparativement à l’exercice précédent, lors duquel 1 208 351 pages ont été divulguées. Toutefois, le nombre de pages traitées et divulguées au cours de la période de rapport est demeuré plus élevé que pour les périodes de rapport précédentes.

Texte descriptif pour la figure 6

Année	Pages traitées	Pages divulguées
2017 à 2018	798 436	771 256
2018 à 2019	979 247	934,672
2019 à 2020	1 259 755	1 208 351
2020 à 2021	1 164 618	1 084 070

Exceptions et exclusions

EDSC est l’un des plus importants détenteurs de renseignements personnels au sein du gouvernement du Canada, ce qui a une incidence sur la fréquence à laquelle des exceptions et exclusions sont appliquées en vertu de la Loi sur la protection des renseignements personnels.

Loi sur la protection des renseignements personnels

Exceptions

La Loi sur la protection des renseignements personnels reconnaît que les personnes accordent de la valeur à leur vie privée et à la protection de leurs renseignements personnels. Le gouvernement reconnaît que cette protection constitue un élément essentiel du maintien de la confiance du public à son égard. Bien que la Loi accorde aux personnes un droit d’accès exécutoire à leurs renseignements personnels, il existe des cas où certaines exemptions précises et limitées peuvent être appliquées.

En raison de la nature du mandat d’EDSC et de ses fonds de renseignements personnels, l’exception au titre de la Loi sur la protection des renseignements personnels appliquée le plus fréquemment est l’article 26, qui protège les renseignements personnels au sujet d’une autre personne, tel qu’elle est définie à l’article 3 de la Loi. Cette exception a été invoquée dans 8 628 cas de demandes traitées au cours de l’exercice 2020 à 2021. Cela représente une diminution de 1 184 cas comparativement à l’exercice précédent.

Exclusions

La Loi sur la protection des renseignements personnels permet d’exclure certains types de renseignements, tels que les documents qui sont déjà accessibles au public (article 69) et les documents confidentiels du Conseil privé de la Reine pour le Canada (article 70). Au cours de l’exercice 2020 à 2021, EDSC n’a exclu aucun document par rapport aux demandes présentées au titre de la Loi sur la protection des renseignements personnels.

Demandes de consultation reçues d’autres institutions du gouvernement du Canada et d’autres organismes

Loi sur la protection des renseignements personnels

Au cours de l’exercice 2020 à 2021, EDSC a reçu 11 demandes de consultation externe qui provenaient d’institutions du gouvernement du Canada et d’autres organismes, ce qui a nécessité l’examen de 72 pages supplémentaires. Cela représente une diminution importante comparativement à l’exercice précédent, au cours duquel EDSC a examiné 3 137 pages.

Le Ministère a pu clore 9 demandes de consultation, dont 3 ont été traitées dans un délai de 30 jours. De ces demandes, 5 ont donné lieu à une recommandation de divulgation complète des documents, et dans un seul cas, une recommandation de divulgation partielle par l’institution ou l’organisme.

Demandes de correction des renseignements personnels en vertu de la Loi sur la protection des renseignements personnels

En vertu de la Loi sur la protection des renseignements personnels, toute personne a le droit de demander la correction de renseignements personnels erronés la concernant, qui sont conservés par une institution fédérale, à condition que la personne puisse adéquatement justifier sa demande. EDSC a accepté 4 demandes de correction des renseignements personnels au cours de l’exercice 2020 à 2021.

7. Plaintes, enquêtes et recours judiciaires

En vertu de la Loi sur la protection des renseignements personnels, une personne peut déposer une plainte auprès du Commissariat à la protection de la vie privée (CPVP) concernant le traitement d’une demande d’accès si l’accès lui a été refusé ou qu’elle estime qu’il y a eu un retard indu dans le traitement. Une personne peut également déposer une plainte concernant les pratiques de traitement des renseignements personnels des institutions fédérales assujetties à la Loi, pour ce qui est de la collecte, de l’utilisation ou de la divulgation des renseignements personnels.

Au cours de la période de rapport 2020 à 2021, le CPVP a informé le Ministère de 30 plaintes relatives à la protection des renseignements personnels et reporté 1 plainte de l’exercice précédent. Le CPVP a clos 19 plaintes, dont 7 ont été jugées fondées.

Pendant la période visée par le présent rapport, 3 plaintes en matière de protection des renseignements personnels ont été déposées devant les tribunaux. Pour obtenir plus de détails sur les plaintes, veuillez consulter le tableau ci-dessous.

Note : Le nombre total d’avis de plaintes reçues et le nombre total d’enquêtes ayant donné lieu à des conclusions ne seront pas nécessairement les mêmes au cours d’un exercice donné. Les enquêtes pourraient porter sur des plaintes reçues par le CPVP au cours d’un exercice précédant la période de rapport de 2020 à 2021.

8. Audits internes liés à la protection des renseignements personnels

La Direction générale d’audit interne et gestion des risques d’entreprise d’EDSC a entrepris un examen consultatif de la mise en œuvre des modifications apportées ces dernières années au processus d’EFVP et d’approbation du Ministère. Cet examen portera notamment sur les cotes de risque de l’EFVP, la documentation du processus d’EFVP à l’interne et les procès-verbaux des réunions du Comité des données et de la protection des renseignements personnels. Les constatations et les recommandations découlant de cet examen consultatif sont attendues au cours de l’exercice 2021 à 2022.

9. Communications de renseignements dans l’intérêt public

Les communications de renseignements dans l’intérêt public sont réalisées par EDSC en application du paragraphe 37(1) de la LMEDS plutôt que sur le fondement de l’alinéa 8(2)m) de la Loi sur la protection des renseignements personnels. Les divulgations faites en vertu de cette disposition sont signalées au CPVP.

Au cours de l’exercice de 2020 à 2021, le Ministère a divulgué des renseignements personnels dans l’intérêt public dans 373 cas. EDSC a traité 334 divulgations dans l’intérêt public dans les régions, la majorité d’entre elles portaient sur des incidents impliquant des personnes menaçant de se faire du mal ou de faire du mal à autrui. Dans les cas où il y a une menace imminente pour la sécurité des personnes, les employés ont le pouvoir délégué d’effectuer les divulgations. Compte tenu de l’urgence de ces situations, le CPVP est informé après la divulgation. La DGPRP a approuvé la divulgation de renseignements personnels dans 39 cas supplémentaires (« divulgation à l’AC »).

10. Atteintes substantielles à la vie privée

Selon la politique du Secrétariat du Conseil du Trésor, l’atteinte à la vie privée se définit comme étant « la collecte, l’usage, la communication, la conservation ou le retrait inapproprié ou non autorisé de renseignements personnels » et cette atteinte est qualifiée de substantielle si « elle vise des renseignements personnels de nature délicate et pourrait raisonnablement causer des dommages ou des préjudices à l’individu ou toucher un grand nombre de personnes ».

Au cours de l’exercice 2020 à 2021, le Ministère a signal 161 atteintes importantes au CPVP et au Secrétariat du Conseil du Trésor, une baisse de 23 % comparativement à l’exercice précédent. Ces atteintes étaient principalement attribuables à des erreurs opérationnelles entraînant la perte de renseignements personnels dans le système postal ou de renseignements envoyés à la mauvaise personne.

La majorité de ces incidents (108 des 161 cas) concernaient des passeports perdus ou mal acheminés; de ces cas, la Société canadienne des postes a accepté la responsabilité de 76 atteintes (voir le tableau ci-après ). De plus, l’accès non autorisé par les employés d’EDSC aux renseignements personnels stockés dans les systèmes du Ministère a donné lieu à 16 incidents. Ces cas ont été repérés à la suite de l’initiative de surveillance du journal d’audit du Ministère visant à détecter l’accès non autorisé par les employés d’EDSC des renseignements personnels dans les fonds de données électroniques du Ministère. On s’attend à ce que d’autres incidents de ce genre soient détectés au cours de l’exercice 2021 à 2022, à mesure que la portée de ce projet s’élargit. En août 2020, le service CléGC a subi des attaques de bourrage de justificatifs. EDSC, qui utilise CléGC pour ses services en ligne, a pris des mesures immédiates pour limiter l’atteinte et a mis en œuvre des mesures de sécurité techniques supplémentaires. Les clients d’EDSC qui ont été touchés ou qui pourraient être touchés par l’incident ont été contactés et un service de surveillance du crédit gratuit leur a été offert.

Le Ministère cherche continuellement à mettre en œuvre des mesures pour réduire les atteintes à la vie privée par l’entremise de moyens administratifs, techniques et physiques. Grâce aux activités de formation et de sensibilisation à la protection des renseignements personnels d’EDSC, les employés sont renseignés et formés sur le traitement des renseignements personnels, y compris leur utilisation appropriée et les protocoles de protection.

11. Activités de formation et de sensibilisation

Formation sur la protection des renseignements personnels

EDSC a mis en place un programme de formation complet et obligatoire pour diffuser les connaissances sur la gérance de l’information et la faire connaître. Tous les employés doivent maintenir une certification de la gérance de l’information et comportements en milieu de travail valide, qui porte sur la protection et le traitement des renseignements personnels, l’accès à l’information, la gestion de l’information, la sécurité et les valeurs et l’éthique. Offerte en ligne, cette certification est valide pendant 2 ans.

EDSC travaille à mettre à jour le contenu du cours de certification de la gérance de l’information et comportements en milieu de travail. Par conséquent, le cours a été temporairement retiré du programme de formation essentielle du Ministère. En mai 2020, ce cours a été mis à la disposition de tous les employés d’EDSC à titre de cours autonome. Au total, 7 821 employés l’ont suivi en 2020 à 2021. Au début du nouvel exercice, EDSC réintégrera le cours dans le programme de formation essentielle.

Lorsqu’ils se joignent au Ministère, les employés sont tenus de suivre une formation en ligne sur la protection des renseignements personnels. Le cours « Bien faire les choses et faire la bonne chose : mettre en action le Code de conduite ministériel » a été suivi par 10 118 employés. Le cours « La protection des renseignements personnels et l’accès à l’information : c’est l’affaire de tous » a été suivi par 10 024 employés.

En plus de la formation et de la certification en ligne, EDSC a réalisé plusieurs activités et séances de formation en personne et en ligne en matière de protection des renseignements personnels. Un grand nombre des activités et des événements habituellement organisés par EDSC au cours d’un exercice ont été annulés, car le Ministère s’est concentré sur la mise en œuvre des mesures d’urgence liées à la COVID-19 et sur le passage au télétravail de l’effectif. Au cours de la deuxième moitié de l’exercice 2020 à 2021, EDSC a repris la formation avec formateur en tenant 5 séances virtuelles, auxquelles ont participé 162 employés.

Sensibilisation à la protection des renseignements personnels

Tout au long de la période visée par le rapport, le Ministère a continué de fournir aux employés des renseignements et des conseils pratiques, faciles à comprendre et facilement accessibles sur la protection des renseignements personnels afin de renforcer la mise en application de pratiques appropriées de traitement et de protection des renseignements personnels. Habituellement, ces activités comprennent l’organisation de divers événements axés sur la protection des renseignements personnels dans le cadre de la Semaine de sensibilisation à la protection de la vie privée. Toutefois, en raison de la pandémie et de la lourde charge de travail qui en découle, la Semaine de sensibilisation à la protection de la vie privée de 2020 2021 a été annulée. En février 2021, EDSC a organisé une Journée de la protection des données, avec des messages ministériels et des activités virtuelles auxquelles ont participé 146 personnes.

Annexe A : Ordonnances de délégation de pouvoirs

Loi et Règlement sur la protection des renseignements personnels : Délégation de pouvoirs, Emploi et Développement social Canada

En vertu de l'article 11 de la Loi sur le ministère de l'Emploi et du Développement social, le ministre de l'Emploi et du Développement social délègue, par les présentes, aux personnes, cadres ou employés qui occupent les postes mentionnés en annexe au ministère de l'Emploi et du Développement social Canada, ou aux personnes, cadres ou employés occupant ces postes à titre intérimaire, les attributions du ministre ou du responsable de l'institution, comme il est indiqué en annexe.

Signée en date du 12 mars 2020 par l'honorable Carla Qualtrough, Ministre de l'Emploi et du Développement social.

Loi sur la protection des renseignements personnels, Emploi et Développement social Canada

Annexe B : Sommaire des évaluations des facteurs relatifs à la vie privée qui ont été réalisées

EDSC a effectué 18 EFVP au cours du dernier exercice. De ce total, 3 ont été préparées selon le format adapté d’évaluation de la conformité en matière de protection des renseignements personnels (ECPRP), qui était précisé dans la Directive intérimaire sur l’évaluation des facteurs relatifs à la vie privée. Pour plus de renseignements à ce sujet, veuillez consulter la page Web d’EDSC intitulée Évaluations des facteurs relatifs à la vie privée.

Programme des services téléphoniques de renseignements généraux du gouvernement du Canada – Examen du modèle opérationnel et projet d’approvisionnement du service 1 800 O-Canada Le Programme des services téléphoniques de renseignements généraux du gouvernement du Canada comporte 3 volets :

• le principal service sans frais 1 800 O Canada qui permet d’obtenir des renseignements généraux sur les programmes, les services et les initiatives du gouvernement du Canada, et qui constitue un service essentiel de communication publique dans le cadre du Plan fédéral d’intervention d’urgence;
• des services de renseignements personnalisés, qui fournissent une gamme de services de communication aux clients du gouvernement du Canada concernant des programmes, services, initiatives, campagnes et situations de crise spécifiques;
• une gestion intégrée du contenu, qui comprend des services de gestion du contenu pour les 2 initiatives décrites ci-dessus et les Centres Service Canada.

Le Programme comprendra des centres d’appels qui seront confiés à un sous-traitant qui assurera son entière gestion dans des installations avec postes de travail, téléphones et imprimantes qu’il fournira lui-même. EDSC conserve le contrôle complet des outils de gestion du contenu, de la plateforme des centres d’appels et de l’outil de gestion de l’effectif auxquels se connectera le sous-traitant au moyen du bureau virtuel de Services partagés Canada.

L’objectif principal de l’analyse de la protection des renseignements personnels était de cerner les risques liés à la protection des renseignements personnels du Programme des services téléphoniques de renseignements généraux du gouvernement du Canada, et ses répercussions sur l’accès, l’utilisation et le traitement des renseignements personnels. L’évaluation a permis de cerner 2 risques de niveau moyen. Le Programme mettra en œuvre des mesures d’atténuation appropriées.

Projet d’identité numérique de confiance de la Colombie-Britannique - avec Emploi et Développement social Canada

Le Projet d’identité numérique de confiance de la Colombie-Britannique simplifiera l’accès à MDSC pour les résidents de la province en leur permettant d’utiliser leur justificatif approuvé par le gouvernement provincial comme identité numérique de confiance.

Cette EFVP a été menée parce que le projet exigeait d’apporter des changements importants aux processus de MDSC, introduisait de nouvelles technologies et nécessitait une nouvelle collaboration avec le gouvernement de la Colombie-Britannique. Elle visait à relever les risques d’atteinte à la vie privée découlant du traitement des renseignements personnels au moment de la collecte et de l’utilisation des identités numériques de confiance aux fins de l’inscription des clients à MDSC, de l’utilisation du site par la suite et du remplacement des solutions existantes pour l’ouverture de session. L’EFVP a permis de cerner 2 risques de niveau moyen et un problème de conformité. Les stratégies d’atténuation de ces risques devaient être terminées d’ici l’exercice 2021 à 2022.

Prestation canadienne d’urgence

En mars 2020, le gouvernement a mis en place la PCU afin d’offrir un soutien financier aux travailleurs dont les revenus étaient affectés en raison de la pandémie de COVID-19. Bien qu’elle soit autorisée par EDSC, cette prestation est administrée par l’Agence du revenu du Canada.

Une EFVP multi institutionnelle a été élaborée en collaboration avec l’Agence du revenu du Canada pour déterminer les risques liés à la collecte et à l’utilisation de renseignements personnels, en mettant l’accent sur les mesures de protection. L’évaluation a permis de cerner 3 risques de niveau moyen et d’établir un plan d’atténuation de ces risques.

Stratégie d’amélioration des services du Régime de pensions du Canada, Avis de décès amélioré – Validation de principe

La Stratégie d’amélioration des services du Régime de pensions du Canada, Avis de décès amélioré – Validation de principe (SAS RPC ADA VP), permettra aux fournisseurs de services funéraires de soumettre des avis de décès au pays au moyen d’un portail en ligne sécurisé, ce qui éliminera le besoin de transmettre les renseignements par télécopieur à Service Canada. Pour remplir une version en ligne du formulaire d’avis de décès, les fournisseurs de services funéraires recueilleront les renseignements personnels auprès de la famille ou de la succession du défunt.

Une analyse des facteurs relatifs à la vie privée pour les solutions de technologie de l’information (APRPSTI) a été menée afin de cerner les risques liés à la protection des renseignements personnels associés aux phases de conception, d’approvisionnement ou d’acquisition de l’initiative de VP de la SAS RPC ADA. L’évaluation du processus proposé de collecte des éléments de données par voie électronique par les fournisseurs de services funéraires a permis d’assurer que l’initiative respecterait les exigences législatives et ministérielles en matière de protection des renseignements personnels dès sa mise en œuvre. De plus, les risques liés à la protection des renseignements personnels ont été cernés et évalués.

L’APRPSTI a permis de relever un risque de faible niveau. Un plan d’atténuation est en cours d’élaboration.

Demande de numéro d’assurance sociale électronique

Pendant la pandémie de COVID-19, EDSC a mis en œuvre la demande électronique de numéro d’assurance sociale (demande de NAS électronique) afin de fournir aux Canadiens un formulaire de demande de numéro d’assurance sociale électronique en tant qu’option de libre-service. Ce service, qui pourrait devenir permanent, remplace le processus de demande en personne.

Le Ministère a effectué une APRPSTI pour cerner les risques liés à la collecte des renseignements personnels requis auprès des clients qui les soumettaient au moyen de la plateforme de demande de NAS électronique aux fins du traitement de leur demande. L’APRPSTI visait le processus de demande électronique et l’environnement technique de la solution tierce utilisée pour recueillir et traiter les renseignements personnels. Elle ne visait pas les processus déjà établis pour le traitement des demandes une fois qu'EDSC reçoit les renseignements par l’entremise de la plateforme. L’analyse a permis de cerner 3 risques de niveau moyen et 2 risques de faible niveau. De plus, il y avait 3 problèmes de conformité liés à la protection des renseignements personnels. Des mesures d’atténuation sont en cours de mise en œuvre.

Prestation d’assurance-emploi d’urgence

La prestation d’assurance emploi d’urgence est la partie de la PCU dont EDSC assurait l’administration pour soutenir les travailleurs pendant la pandémie de COVID-19. Dans le contexte du versement urgent d’un soutien du revenu au début de la pandémie, EDSC a effectué une ECPRP. Cette évaluation a examiné l’administration et le versement de cette prestation et a cerné 2 risques de niveau moyen, pour lesquels les mesures d’atténuation sont en cours de mise en œuvre. Une analyse de suivi servira à examiner les processus de conformité et d’application de la loi.

Solution de téléversement de documents organisationnels

Le Service de téléversement de documents à l’échelle de l’organisation améliorera les interactions des clients avec EDSC en leur fournissant les moyens de soumettre des renseignements au Ministère par voie électronique à l’aide de leur compte MDSC, plutôt qu’en envoyant des documents par la poste ou en les remettant en personne. Les programmes et les services d’EDSC pourront utiliser le Service pour recueillir des renseignements selon une méthode uniforme, normalisée et évolutive.

Une APRPSTI a été menée pour cerner les risques liés à la protection des renseignements personnels associés à la mise en œuvre du Service de téléversement de documents à l’échelle de l’organisation. L’analyse a permis de révéler un risque de niveau moyen. Un plan d’atténuation de ce risque est en cours de mise en œuvre.

Entente de prestation de services dans le cadre du programme de subventions dans le but de soutenir les pêcheurs indépendants du Canada touchés par la COVID-19

Le 14 mai 2020, le premier ministre a annoncé de nouvelles mesures destinées à aider les pêcheurs canadiens qui subissaient les répercussions financières de la pandémie sans pouvoir se prévaloir des mesures fédérales déjà en vigueur. Pêches et Océans Canada a fait appel à la prestation de services d’EDSC pour mettre en œuvre le programme de subvention afin de soutenir les pêcheurs indépendants du Canada qui sont touchés par la COVID-19. Le programme comporte 2 volets distincts, mais complémentaires : la prestation aux pêcheurs et la subvention aux pêcheurs. Le calcul des prestations versées par le programme sera fondé sur le revenu de pêche du demandeur pour les années d’imposition 2018 et 2019.

Une EFVP a été élaborée pour cerner les risques liés à la protection des renseignements personnels associés au programme, en mettant l’accent sur son exécution. L’évaluation a permis de cerner 11 risques; 5 étaient de faible niveau et 6 de niveau moyen. Un plan d’atténuation a été élaboré et mis en œuvre.

Programme de soutien par les pairs en santé mentale

Le Programme de soutien par les pairs est un programme d’EDSC qui offre un soutien social lié à la santé mentale en faisant appel à des employés bénévoles. Ces personnes partagent leurs propres difficultés de santé mentale afin de soutenir leurs collègues qui éprouvent des problèmes semblables.

Une EFVP visait à examiner la protection des renseignements personnels dans le cadre de la gestion des renseignements personnels recueillis par le Programme de soutien par les pairs. L’évaluation a permis de cerner un risque de niveau moyen et 3 risques de faible niveau. Des mesures d’atténuation sont en cours de mise en œuvre.

Échange de renseignements personnels de la SV et du RPC entre les Opérations internationales de Service Canada et les partenaires étrangers signataires de l’Accord international de sécurité sociale qui utilisent le service Connexion postel de Postes Canada

Service Canada échange régulièrement des renseignements avec des entités étrangères pour l’administration de la SV et du RPC pour les personnes qui ont vécu ou travaillé dans un autre pays, et permet aux clients d’obtenir une pension d’un pays étranger dans lequel ils ont vécu ou travaillé. Au fur et à mesure que la situation de la pandémie de COVID-19 évoluait, les mesures de précaution mises en place par les administrateurs de services postaux internationaux ont fait que Service Canada est passé de l’utilisation d’instruments papier au service Connexion postel de Postes Canada.

L’EFVP visant à évaluer l’utilisation du service Connexion postel. Elle a relevé 3 risques de niveau moyen. Un plan d’atténuation a été élaboré et est en cours de mise en œuvre.

Divulgation de renseignements personnels du RPC et de la SV au Bureau de l’actuaire en chef et à l’Agence du revenu du Canada pour les évaluations législatives et la préparation des rapports actuariels

EDSC transmet des renseignements personnels des bénéficiaires du RPC et de la SV au Bureau de l’actuaire en chef, qui fait partie du Bureau du surintendant des institutions financières (BSIF). Le BSIF utilise ces renseignements pour s’acquitter de son obligation législative d’effectuer des évaluations prévues par la loi et de préparer des rapports actuariels.

Une analyse de la protection des renseignements personnels a été effectuée pour cerner et évaluer les risques liés à la divulgation de renseignements personnels au BSIF. L’analyse a cerné 2 risques de niveau moyen et un risque de faible niveau. Elle a également cerné 3 problèmes de conformité.

Initiative de modernisation du Programme de passeport

La mise en œuvre de l’Initiative de modernisation du Programme de passeport implique des changements aux fonctions exécutées par EDSC dans son rôle de prestation de services. Le Ministère élimine progressivement un système désuet utilisé dans l’exécution du Programme de passeport et met à l’essai le Système mondial de gestion des cas, qui offre des capacités améliorées en matière de renseignements opérationnels.

Une analyse de la protection des renseignements personnels a permis de cerner et d’évaluer un risque de niveau moyen, un risque de faible niveau et 3 problèmes de conformité. Un plan d’atténuation des risques et des problèmes de conformité a été élaboré.

Automatisation des processus de pension

Le programme des Services de versement des prestations d’EDSC cherche à utiliser l’automatisation des processus robotisés pour exécuter automatiquement les processus dans un certain nombre d’applications différentes comme le ferait un humain, avec l’aide de personnes pour la gestion des exceptions. Une solution d’APR servira au traitement automatisé du RPC et de la SV afin de remplacer le traitement manuel par un agent.

Un nombre important de dossiers seront traités au moyen de la solution d’APR; tous ces dossiers représentent des décisions administratives touchant directement les bénéficiaires. Les renseignements personnels de nature délicate seront conservés sur un serveur et le processus robotisé aura accès aux renseignements personnels associés aux demandes.

Une APRPSTI visait divers aspects du projet d’automatisation des processus liés aux pensions. Tous les problèmes et risques cernés ont fait l’objet de mesures d’atténuation pendant l’évaluation. Le programme ne comporte aucun risque ou problème non résolu.

Centre d’appels de la quarantaine

Dans le cadre des mesures prises par le gouvernement du Canada pour répondre à la pandémie de COVID-19, l’Agence de la santé publique du Canada (ASPC) a contacté les voyageurs présentant des symptômes lors de leur entrée au Canada pour s’assurer qu’ils respectaient le décret sur l’isolement obligatoire. Les agents de contrôle désignés de l’ASPC téléphonent aux voyageurs et leur posent une série de questions pour déterminer s’ils suivent les lignes directrices sur l’auto isolement. EDSC aide l’ASPC à l’égard de la vérification de la conformité.

Cette ECPRP a été effectuée pour cerner et évaluer les risques liés à la protection des renseignements personnels. Elle a cerné 6 risques de niveau moyen, 3 risques de faible niveau et 3 problèmes de conformité. Une stratégie d’atténuation a été élaborée et mise en œuvre.

Réception des données sur les entrées et les sorties de l’Agence des services frontaliers du Canada par le programme de la SV

Afin d’enquêter sur les cas potentiels de fraude et d’abus touchant le programme de la SV, EDSC recevra de l’Agence des services frontaliers du Canada des renseignements sur les entrées et les sorties des voyageurs. Ces renseignements seront comparés aux données des bénéficiaires de la SV afin d’identifier les personnes recevant des prestations de la SV non transférables qui auraient dû déclarer leur absence du Canada.

Une EFVP a été effectuée pour cerner les risques liés à la collecte et à l’utilisation des données sur les entrées et les sorties de l’Agence des services frontaliers du Canada. L’évaluation a cerné 4 risques de niveau moyen et un risque de faible niveau. Les mesures d’atténuation devraient être entièrement mises en œuvre d’ici la fin de l’exercice 2022 à 2023.

Vérification de la conformité par Service Canada pour l’Agence de la santé publique du Canada pendant la pandémie de COVID-19

Pendant la pandémie de COVID-19, le Service de vérification de la conformité de Service Canada pour l’ASPC a été élargi pour permettre la mise en œuvre de la Campagne d’appels entrants de l’ASPC aux fins de confirmation de la quarantaine et de déclaration des symptômes, dans le but d’appuyer l’application de la Loi sur la quarantaine. L’ASPC cherchait à encourager les voyageurs à confirmer leur identité et à fournir de façon proactive la confirmation de leur quarantaine. L’ASPC a aussi commencé à utiliser l’échantillonnage statistique des voyageurs pour les appels des agents aux voyageurs quittant le pays. L’ASPC a également demandé aux voyageurs de déclarer quotidiennement leurs symptômes en utilisant le mode de communication de leur choix.

Une liste de vérification de la conformité en matière de protection des renseignements personnels a permis de cerner 2 risques de niveau moyen, 5 risques de faible niveau et 4 problèmes de conformité. Un plan d’atténuation des risques et des problèmes de conformité est en cours de mise en œuvre.

Programme de détection des accès non autorisés

EDSC a mis en œuvre un programme de détection des accès non autorisés pour surveiller les registres des systèmes, afin de déterminer si les employés accédaient sans autorisation à des fichiers contenant des renseignements personnels. La surveillance des registres aidera le Ministère à repérer les incidents de « furetage » interne, de fraude et d’utilisation abusive des renseignements personnels confiés à EDSC.

Une EFVP a analysé la détection, l’identification et l’analyse des actes répréhensibles et la catégorisation de leur gravité, le renvoi des cas aux fins de la prise de mesures administratives, et le signalement. Elle ne visait pas à examiner les processus, les actions ou les mesures établis liés aux enquêtes administratives, aux mesures ou processus disciplinaires, ou aux enquêtes criminelles. L’évaluation a cerné 2 risques : un risque de faible niveau et un risque de niveau moyen. Des mesures d’atténuation sont en cours de mise en œuvre.

Plateforme d’embauche VidCruiter

EDSC mettra à l’essai une technologie d’entrevue vidéo et audio asynchrone préenregistrée qui fait appel à la technologie infonuagique à des fins de dotation. La pandémie de COVID-19 a rendu nécessaire l’acquisition d’une plateforme d’entrevue vidéo, qui permettra aussi de gagner en efficacité. L’utilisation d’enregistrements vidéo et audio dans le cadre du processus d’entrevue de dotation nécessite une nouvelle collecte de renseignements personnels de nature délicate au moyen d’une solution tierce sous traitée et hébergée.

L’EFVP portait sur la collecte et l’utilisation des renseignements personnels obtenus des enregistrements vidéo et de VidCruiter, le fournisseur tiers. L’évaluation a examiné les changements apportés par EDSC à ses processus de dotation en réponse à la décision d’utiliser cette solution de rechange aux entrevues en personne. Elle a permis de cerner 3 risques de niveau moyen et 2 risques de niveau élevé et d’établir un plan d’atténuation de ces risques.

Annexe C : Rapports statistiques

Rapport statistique sur la Loi sur la protection des renseignements personnels

Nom de l’institution : Emploi et Développement social Canada

Période de rapport : De 2020-04-01 à 2021-03-31

Partie 1 : Demandes présentées au titre de la Loi sur la protection des renseignements personnels

1.1 Nombre de demandes

Partie 2 : Demandes fermées pendant la période de rapport

2.1 Disposition et délai de traitement

2.2 Exceptions

2.3 Exclusions

2.4 Support des documents communiqués

• Papier = 8 414
• Électronique = 2 193
• Autres = 4

2.5 Complexité

2.5.1 Pages pertinentes traitées et communiquées

2.5.2 Pages pertinentes traitées et communiquées en fonction de l’ampleur des demandes

2.5.3 Autres complexités

2.6 Demandes fermées

2.6.1 Nombre de demandes fermées dans les délais prévus par la loi

2.7 Présomption de refus

2.7.1 Motif du non-respect du délai prévu par la loi

2.7.2 Nombre de jours de retard

2.8 Demandes de traduction

Partie 3 : Communications aux termes des paragraphes 8(2) et 8(5)*

3.1 Communications aux termes des paragraphes 8(2) et 8(5)*

Les divulgations qui seraient autrement effectuées aux termes de ces paragraphes de la Loi sur la protection des renseignements personnels sont faites en vertu des pouvoirs énoncés à la Partie 4 de la Loi sur le ministère de l’Emploi et du Développement social. Il est possible d’obtenir plus de détails à ce sujet en consultant le rapport à la section 9 : Divulgations d’intérêt public.

Partie 4 : Demandes de correction de renseignements personnels et mentions

4.1 Demandes de correction de renseignements personnels et mentions

Partie 5 : Prorogations

5.1 Motifs des prorogations et disposition prise à l’égard des demandes

5.2 Durée des prorogations

Partie 6 : Demandes de consultation reçues d’autres institutions et d’autres organismes

6.1 Demandes de consultation reçues d’autres institutions du gouvernement du Canada et d’autres organismes

6.2 Recommandations et délai de traitement pour les demandes de consultation reçues d’autres institutions du gouvernement du Canada

6.3 Recommandations et délai de traitement pour les demandes de consultation reçues d’autres organismes

Délais de traitement des demandes de consultation sur les renseignements confidentiels du Cabinet

7.1 Demandes auprès des Services juridiques

7.2 Demandes auprès du Bureau du Conseil privé

Partie 8 : Plaintes et enquêtes

8.1 Plaintes et enquêtes

Partie 9 : Évaluations des facteurs relatifs à la vie privée (EFVP)

9.1 Évaluations des facteurs relatifs à la vie privée

• Nombre d’EFVP terminées = 18

9.2 Fichiers de renseignements personnels

Partie 10 : Atteintes substantielles à la vie privée

10.1 Atteintes substantielles à la vie privée

Partie 11 : Ressources liées à la Loi sur la protection des renseignements personnels

11.1 Coûts

11.2 Ressources humaines

11.3 Nouvelle obligation de rapport : Loi sur la protection des renseignements personnels