Outil d’évaluation de l’incidence algorithmique

Examen et mise à jour de l’EIA

Il convient de revoir et de mettre à jour l’EIA à intervalles réguliers et en cas de changement à la fonctionnalité ou la portée du système (paragraphe 6.1.3). Le calendrier de l’examen peut être établi en tenant compte des résultats de la surveillance (paragraphe 6.3.2) et des exigences en matière d’établissement de rapports (paragraphe 6.5.1).

À l’étape de la conception d’un système, il est difficile de prévoir complètement les risques associés à la prise de décisions automatisée. Des examens effectués régulièrement tout au long du cycle de vie du système permettront d’en surveiller le fonctionnement et de garder l’EIA à jour.

La fréquence des examens dépendra de divers facteurs, comme la nature du système, le contexte de son déploiement et le genre de décisions qu’il sert à prendre.

Ainsi, on pourrait revoir et mettre à jour l’EIA plus souvent lorsque :

• le volume de service est élevé
• le système touche un grand nombre de clients
• l’environnement dans lequel le système fonctionne évolue ou change rapidement
• le système a un niveau d’incidence de 3 ou 4

Collecte d’informations au sujet de votre projet

Dans le cadre d’un projet d’automatisation, il est essentiel de collecter une vaste gamme de renseignements pour répondre pleinement aux questions dans les secteurs de risque et d’atténuation de l’EIA. Avant de commencer l’EIA, il convient de s’informer davantage sur :

• la décision administrative exacte que le système décisionnel automatisé informera, aidera à prendre ou prendra, le contexte dans lequel ce système sera employé et la façon dont il contribuera au jugement de décisionnaires humains ou au remplacement de ceux-ci;
• la clientèle assujettie à la décision, y compris la preuve de toute vulnérabilité (p. ex. socioéconomique, démographique, géographique);
• les effets potentiels de la décision sur la clientèle, notamment leur durée et leur réversibilité;
• l’algorithme, y compris les paramètres et les techniques de traitement des données ainsi que l’extrant;
• les données d’entrée utilisées par le système, à savoir les détails sur le type, la source, la méthode de collecte et la classification de sécurité;
• les mesures d’assurance de la qualité prévues ou existantes;
• les mesures de transparence prévues pour la diffusion de l’information sur l’initiative à la clientèle et au public;
• les parties prenantes internes et externes qui devraient être consultées;
• le registre des recommandations ou des décisions prises par le système, et toute explication ou tout journal générés par le système relativement à un tel registre;
• les pratiques institutionnelles en matière de gestion des services de la technologie de l’information.

Les renseignements ci-dessus seront également pertinents dans les consultations avec les parties prenantes décrites ci-dessous. Ils peuvent également soutenir les engagements auprès des fournisseurs et des examinateurs.

Consultation de votre bureau de l’AIPRP

Le bureau de l’accès à l’information et de la protection des renseignements personnels (AIPRP) de votre institution ou tout autre responsable désigné en matière de protection des renseignements personnels doit être consulté afin que les facteurs relatifs à la vie privée posés par les systèmes de décision automatisée qui utilisent ou traitent des renseignements personnels, ou qui ont autrement une incidence sur les droits des personnes en matière de vie privée, soient repérés, évalués et atténués. Ces engagements peuvent permettre aux chefs de projet de faire ce qui suit :

• déterminer si le système décisionnel automatisé utilisera les renseignements personnels définis à l’article 3 de la Loi sur la protection des renseignements personnels;
• vérifier si l’utilisation des renseignements personnels par le système proposé est prise en compte dans les évaluations des facteurs relatifs à la vie privée et les fichiers de renseignements personnels pertinents, et déterminer les mesures et les approbations requises en vertu de la législation et des politiques sur la protection de la vie privée;
• déterminer les exigences applicables de la Politique sur la protection de la vie privée et des instruments de politique connexes, dans le but de veiller à ce que les mesures de protection appropriées soient en place pour la création, la collecte et le traitement des renseignements personnels tout au long du cycle de vie du système, y compris des plans d’intervention en cas d’atteinte à la vie privée;
• orienter les approches pour informer le Commissariat à la protection de la vie privée du Canada du système proposé et de toute incidence prévisible sur la vie privée des Canadiens, comme l’exige la Politique sur la protection de la vie privée;
• veiller à ce que les renseignements personnels recueillis ou créés par ou pour le projet d’automatisation soient manifestement nécessaires pour le programme ou l’activité, comme l’exige la Directive sur les pratiques relatives à la protection de la vie privée;
• veiller à ce que des clauses de protection des renseignements personnels appropriées soient prévues dans les contrats, accords ou ententes conclus avec des fournisseurs ou des partenaires offrant des services, des solutions ou des produits d’automatisation;
• veiller à ce que l’EIA soit examinée par les fonctionnaires chargés de la protection des renseignements personnels avant sa publication dans le Portail du gouvernement ouvert, conformément à la Directive sur le gouvernement ouvert.

Collaboration avec les services juridiques

Les services juridiques doivent être consultés au moment d’effectuer une EIA afin de permettre de cerner et de gérer les risques juridiques découlant de l’élaboration, de l’acquisition ou de l’utilisation d’un système de décision automatisé. Les consultations devraient s’amorcer à l’étape conceptuelle d’un projet d’automatisation, avant la mise au point ou l’acquisition d’un système. La nature des risques juridiques dépend largement de la conception du système (p. ex. les données d’apprentissage, le modèle), du contexte de déploiement et du type de décision administrative automatisée. La demande de conseils juridiques en ce qui a trait à un système décisionnel automatisé peut permettre aux chefs de projet de faire ce qui suit :

• se conformer à l’exigence de la Directive de consulter les services juridiques à partir de l’étape de conception d’un projet (voir le paragraphe 6.3.10);
• déterminer les incidences possibles sur les droits et libertés individuels et élaborer des plans de gestion des risques;
• évaluer les risques en matière d’équité procédurale en fonction de divers facteurs, notamment la justification des extrants du système, la pertinence des règles du système et des données d’entrée quant à une décision administrative, et la disponibilité des options de recours (voir les paragraphes 6.2.3, 6.3.1, 6.3.2 et 6.4.1 de la Directive);
• confirmer si le programme dispose des pouvoirs requis pour aller de l’avant avec le projet d’automatisation proposé, notamment toute collecte ou création connexe de renseignements personnels (en coordination avec le bureau de l’AIPRP approprié ou tout autre responsable désigné en matière de protection de la vie privée);
• tenir compte des questions de licence, y compris en ce qui concerne les secrets commerciaux, et des contraintes qu’elles peuvent imposer à la capacité d’un ministère d’accéder à des systèmes exclusifs et de les mettre à l’essai (voir le paragraphe 6.2.5 de la Directive).

Communications avec le BDPI du SCT

Le Bureau de la dirigeante principale de l’information (BDPI) du Secrétariat du Conseil du Trésor du Canada (SCT) est responsable de la tenue à jour de l’outil d’EIA et de la surveillance de la conformité des ministères à la Directive sur la prise de décisions automatisée. L’équipe du BDPI peut aider les ministères à interpréter les questions relatives à l’EIA et à y répondre, en plus de les guider tout au long du processus de publication.

Les ministères sont invités à communiquer avec le BDPI du SCT à l’adresse ai-ia@tbs-sct.gc.ca pour toute question concernant la Directive ou l’EIA.