Vérification interne de la gestion des renseignements personnels

Direction générale de la vérification interne et de la responsabilisation
1^er juin 2017

I. Contexte

Introduction

1. Immigration, Réfugiés et Citoyenneté Canada (IRCC) exécute des programmes au Canada et dans des missions canadiennes à l’étranger à l’intention des Canadiens et des personnes qui présentent des demandes pour visiter le Canada ou y immigrer. Au nombre des principaux programmes figurent le programme des résidents permanents (catégories de l’immigration économique et du regroupement familial), le programme des résidents temporaires (visas de résident temporaire, permis d’études et permis de travail), le programme de citoyenneté, le programme des réfugiés, le Programme de passeport ainsi qu’un certain nombre de sous-programmes. Pour ce qui est des volumes, 271 845 résidents permanents ont été admis au Canada en 2015, avec environ 1,5 million de demandes de visas de résident temporaire ont été traitées pour des personnes qui souhaitaient venir au Canada. Au cours de l’exercice 2015-2016. 4,8 millions de passeports ont été délivrés, 252 602 personnes ont obtenu la citoyenneté et 61 254 décisions de confirmation d’une preuve de citoyenneté ont été rendues.
2. Dans le cadre de ces programmes, le Ministère recueille des renseignements personnels et des documents à l’appui pour les besoins du traitement des demandes. La figure 1 illustre le cycle de vie des renseignements personnels recueillis, quel que soit le programme.

Figure 1 – Cycle de vie de la gestion des renseignements personnels à IRCC

3. On entend par renseignements personnels des renseignements au sujet d’une personne identifiable, qui sont enregistrés sous n’importe quel format. Il peut s’agir du nom d’une personne, de son lieu et de sa date de naissance, de son état matrimonial et familial, de ses coordonnées, de ses renseignements biographiques, médicaux ou financiers pertinents, ainsi que de tout autre numéro d’identification qui lui est attribué. La Loi sur la protection des renseignements personnels exige la mise en place de mesures de gestion appropriées pour assurer la protection des renseignements personnels recueillis par le gouvernement fédéral. Par conséquent, la gestion et l’utilisation adéquates des renseignements personnels sont importantes, car tout document fourni par un client ou obtenu dans le cadre du processus décisionnel peut contribuer à la prise de décision définitive. Ainsi, IRCC doit protéger la vie privée des personnes en ce qui a trait à leurs renseignements personnels sous la garde du Ministère.

II. Objectif, portée et méthodologie de la vérification

Objectif et portée de la vérification

4. La vérification avait pour objectif de déterminer si IRCC s’acquitte de ses responsabilités en matière de gestion des renseignements personnels dans l’administration des programmes des résidents permanents, des résidents temporaires et d’attribution de la citoyenneté, conformément à la Loi sur la protection des renseignements personnels et aux règlements, politiques et directives en vigueur.
5. La vérification couvre la période du 1^er janvier 2015 au 30 juin 2016. Cette période a été prolongée jusqu’au février 2017 dans certains cas, afin de prendre en compte des renseignements plus récents. Dans le cadre de cette vérification, l’accent était mis essentiellement à évaluer la mesure dans laquelle IRCC intègre les parties pertinentes des articles 4 à 8 de la Loi sur la protection des renseignements personnels, et de ses politiques et directives connexes, dans la gestion de certains programmes offerts sous le programme des résidents permanents (catégories de l’immigration économique et du regroupement familial), du programme des résidents temporaires (permis d’études et permis de travail) et du programme d’attribution de la citoyenneté.
6. Les renseignements personnels recueillis pour administrer le Programme de passeport, la gestion des renseignements personnels des employés d’IRCC, la gestion des documents stockés dans les bureaux des visas du Canada à l’étranger et les composantes de la sécurité des technologies de l’information ont été exclus de la portée de cette vérification.

Méthodologie

7. Les procédures de vérification suivantes ont été appliquées :
   • Entrevues avec des fonctionnaires d’IRCC à l’administration centrale et dans les bureaux d’IRCC partout au Canada;
   • Visites sur place aux bureaux du Réseau centralisé à Sydney (Nouvelle-Écosse), à Vegreville (Alberta), à Mississauga et à Ottawa (Ontario) et à Montréal (Québec);
   • Visites sur place aux bureaux locaux du Réseau national à Halifax (Nouvelle-Écosse), à Montréal (Québec), à Edmonton (Alberta) et à Etobicoke (Ontario);
   • Examen de 498 dossiers de demande provenant de trois programmes d’IRCC dans le but d’en évaluer la conformité;
   • Examen d’un échantillon d’ententes d’échange de renseignements personnels conclues entre IRCC et des organisations partenaires dans le but d’en évaluer la conformité;
   • Examen de la documentation du Cadre de protection de la vie privée, des fichiers de renseignements personnels et des calendriers de conservation et d’élimination d’IRCC, ainsi que de divers rapports et de plans qui étaient applicables au cours de la période visée par la vérification.

Énoncé de conformité

8. La vérification est conforme aux Normes relatives à la vérification interne au sein du gouvernement du Canada, comme en témoignent les résultats du programme d’assurance de la qualité et d’amélioration.

III. Constatations et recommandations de la vérification

Objet, collecte, utilisation et communication des renseignements personnels

9. Critères. On s’attendait à ce que les renseignements personnels aient été recueillis, utilisés et communiqués conformément aux objectifs établis.
10. Conclusion. Dans l’ensemble, IRCC a communiqué les buts pour lesquels les renseignements personnels étaient recueillis et a géré l’utilisation et la communication de ces renseignements conformément aux attentes. Des possibilités d’améliorations ont été identifiées en ce qui a trait à fournir des renseignements cohérents concernant les énoncés de confidentialité et au fait d’aviser le grand public et les demandeurs de leur droit de déposer une plainte auprès du commissaire à la protection de la vie privée relativement au traitement de leurs renseignements personnels.

Détermination de l’objet de la collecte de renseignements

11. Le Ministère dispose de divers moyens pour informer le grand public et les demandeurs des raisons pour lesquelles il recueille des renseignements personnels et de la manière dont ces renseignements seront utilisés. La Directive sur l’évaluation des facteurs relatifs à la vie privée du Conseil du Trésor exige que les institutions fédérales effectuent une évaluation des facteurs relatifs à la vie privée (EFVP) lors de la mise en œuvre d’un nouveau programme ou lorsque d’importantes modifications sont apportées à un programme existant qui gère des renseignements personnels. L’EFVP est un outil d’évaluation des risques utilisé pour évaluer les incidences potentielles liées à la vie privée. Les résumés de toutes les EFVP réalisées sont affichés sur le site Web du Ministère.
12. En outre, les renseignements collectés de l’EFVP contribuent à l’élaboration d’un fichier de renseignements personnels (FRP) ou à la révision d’un fichier existant. Un FRP est un ensemble de renseignements personnels organisé selon le nom d’une personne ou un numéro d’identification, ou encore selon un symbole attribué à la personne. Ces renseignements personnels peuvent être également recuperés au moyen de ces mêmes éléments. Le FRP doit être communiqué au commissaire à la protection de la vie privée du Canada et approuvé par le Secrétariat du Conseil du Trésor avant d’être publié dans la section Info Source du site Web du Ministère. Les documents d’Info Source doivent avoir été élaborés et publiés en ligne par des institutions gouvernementales assujetties à la Loi sur l’accès à l’information et à la Loi sur la protection des renseignements personnels afin de fournir des renseignements sur les fonctions, les programmes, les activités et les activités connexes qui s’appliquent au Ministère. Les FRP décrivent les raisons pour lesquelles les renseignements seront recueillis, la manière dont les renseignements seront utilisés et les normes de conservation et d’élimination.
13. Enfin, les formulaires de demande et les trousses offerts aux demandeurs dans le cadre des programmes d’IRCC contiennent des énoncés de confidentialité concernant la collecte de renseignements personnels.
14. La vérification a permis de relever des incohérences entre les énoncés de confidentialité sur les formulaires de demande et les renseignements fournis dans les FRP. Dans certains cas, les énoncés de confidentialité sur les formulaires de demande portaient sur l’information généralement fournie dans la section d’Info Source du site Web du Ministère; dans d’autres cas, l’énoncé de confidentialité renvoyait à des FRP qui n’étaient plus disponibles sur le site Web du Ministère.
15. Il y avait également des incohérences dans les en-têtes et les descriptions utilisés pour les énoncés de confidentialité. Certaines en-têtes incluaient: Renseignements personnels protégés, Renseignements protégés, Fichier de renseignements personnels ou Divulgation. Un des formulaires de demande n’avait pas d’en-tête, mais fournissait des renseignements sur la raison pour laquelle les renseignements étaient recueillis, et faisait référence au FRP.
16. La Directive sur les pratiques relatives à la protection de la vie privée du Conseil du Trésor énonce les cinq principaux éléments d’information qui devraient être fournis aux personnes dont les renseignements personnels sont recueillis directement. Ceci comprend :
    • le but de la collecte et en vertu de quelle autorité elle est faite;
    • toute utilisation ou divulgation conforme au but initial;
    • toute conséquence administrative ou légale découlant d’un refus de fournir des renseignements personnels;
    • les droits d’accès, de modification et de protection des renseignements personnels en vertu de la Loi;
    • le droit de déposer une plainte auprès du commissaire à la protection de la vie privée du Canada concernant le traitement des renseignements personnels des individus.
17. Aucun des formulaires de demande examinés ne comprenait les cinq éléments requis en vertu de la directive. Étant donné qu’il y a des renseignements incomplets et incohérents sur les formulaires de demande, le grand public et les demandeurs au titre des programmes d’IRCC peuvent ne pas avoir connaissance de leurs droits liés à la Loi sur la protection des renseignements personnels. Les responsables d’IRCC élaborent actuellement des Lignes directrices sur les avis de confidentialité du Ministère en vue de traiter les éléments énoncés dans la Directive.
18. Recommandation 1. Immigration, Réfugiés et Citoyenneté Canada devrait :
    1. Finaliser et communiquer le document ministériel sur les directives d’avis de confidentialité;
    2. passer en revue tous les énoncés de confidentialité afin de s’assurer qu’ils contiennent tous les éléments requis des directives sur les avis de confidentialité et qu’ils sont conformes aux fichiers de renseignements personnels actifs.

La collecte de renseignements personnels

19. Le Ministère gère les renseignements personnels recueillis directement auprès des demandeurs sur les formulaires de demande. Ces formulaires fournissent généralement des renseignements aux demandeurs sur la raison pour laquelle leurs renseignements personnels sont requis pour prendre une décision, ainsi que sur la façon dont ils seront traités.
20. Dans les dossiers de demande examinés, lorsque les renseignements personnels ont été recueillis indirectement, à partir d’autres sources, cette collecte de renseignements a été effectuée conformément à la Loi sur la protection des renseignements personnels et dans le respect des FRP approuvés dans le cadre de l’exécution d’un programme en particulier. Ceci comprend : la collecte des renseignements sur les déclarations de revenus auprès de l’Agence du revenu du Canada, avec le consentement de la personne, en vue d’appuyer la prise de décision d’IRCC, la collecte des renseignements sur le point d’entrée auprès de l’Agence des services frontaliers du Canada (ASFC) pour traiter les demandes de citoyenneté et la collecte de renseignements auprès des établissements d’enseignement afin de déterminer le respect des exigences relatives aux permis d’études.
21. Dans plusieurs formulaires de demande, on précise qu’en plus des renseignements requis, les demandeurs peuvent également fournir des documents supplémentaires qui, selon eux, faciliteront la prise de décision à l’égard de leur demande. Un exemple courant d’un demandeur qui fournit des renseignements supplémentaires concerne les demandes de parrainage selon lesquelles, les demandeurs principaux fournissent souvent des photographies et des relevés bancaires de comptes conjoints comme preuves de leurs relations. Ces renseignements supplémentaires ne sont pas officiellement entrés dans les FRP approuvés ou dans les calendriers de conservation et d’élimination. Ces calendriers indiquent la durée de conservation des renseignements avant qu’ils soient détruits ou archivés.
22. Dans les dossiers de demande examinés, un tiers (33 %) des dossiers de citoyenneté comprenaient des renseignements supplémentaires fournis par un demandeur. Les agents d’IRCC ont confirmé qu’ils acceptaient et conservaient les documents supplémentaires fournis par les demandeurs, parce que ces renseignements pouvaient s’avérer nécessaires ultérieurement dans le cadre du processus.
23. Cependant, il n’existe pas de directives formelles sur la façon dont les agents de programme doivent gérer les documents supplémentaires fournis par les demandeurs. Par conséquent, les agents exercent leur pouvoir discrétionnaire et, dans la majorité des cas, décident de conserver les renseignements dans le dossier en tant que document supplémentaire à l’appui de la décision, plutôt que de les détruire. En conséquence, IRCC conserve des informations qui ne sont pas associés à un calendrier de conservation et d’élimination, et qui ne devraient pas être conservés conformément au FRP du programme.

Utilisation et communication des renseignements personnels

24. Le Ministère a utilisé les renseignements personnels fournis par les demandeurs d’une manière conforme aux objectifs pour lesquels ils ont été recueillis. En outre, les renseignements recueillis ont été divulgués conformément à ce qui a été communiqué publiquement. Le Ministère a obtenu le consentement des demandeurs au moyen d’une signature au moment où les renseignements personnels ont été recueillis en vue de la prise de décision dans le cadre du programme.
25. Selon un examen de 498 dossiers de demande provenant des programmes sélectionnés, rien n’indique que, dans le cadre du traitement et de l’examen des demandes, des renseignements personnels avaient été utilisés à d’autres fins que celles pour lesquelles ils avaient été recueillis. En outre, le Ministère menait ses activités en conformité avec les principes selon lesquels l’information doit être communiquée conformément à la Loi sur la protection des renseignements personnels et aux directives connexes. Le Ministère a informé les demandeurs, au moyen des FRP et des énoncés de confidentialité qui se trouvent sur les formulaires de demande, que les renseignements recueillis pouvaient être échangés avec d’autres institutions gouvernementales ou d’autres institutions tierces.
26. IRCC échange des renseignements avec des partenaires fédéraux tels que la Gendarmerie royale du Canada, l’ASFC et le Service canadien du renseignement de sécurité, aux fins de l’application des dispositions de la Loi sur l’immigration et la protection des réfugiés (LIPR) et de l’atténuation des risques éventuels liés à la sécurité des programmes. L’échange de renseignements renforce l’intégrité des programmes d’IRCC dans le cadre du processus décisionnel.
27. Les informations échangées entre IRCC et ses partenaires de programmes fédéraux sont régis par des ententes d’échange de renseignements personnels qui autorisent les activités d’échange de renseignements et décrivent les modalités selon lesquelles les renseignements personnels peuvent être communiqués. Un échantillon d’ententes d’échange de renseignements personnels conclues avec des partenaires fédéraux a été examiné. Tous les énoncés de confidentialité requis ont été intégrés conformément aux lignes directrices du Secrétariat du Conseil du Trésor du Canada sur la préparation des Ententes d’échange de renseignements personnels.

Conservation et élimination des renseignements personnels

28. Critères. Des normes de conservation et des méthodes d’élimination appropriés devaient être mises en place et devaient fonctionner comme prévu.
29. Conclusion. Dans l’ensemble, IRCC a établi des calendriers de conservation et d’élimination ainsi que des fichiers de renseignements personnels pour gérer les dossiers de demande. Les domaines susceptibles d’être améliorés qui ont été relevés touchaient l’harmonisation des FRP avec les réalités opérationnelles du Ministère, ainsi que l’achèvement et la mise en œuvre d’une stratégie de conservation et d’élimination des documents stockés électroniquement.
30. Selon le manuel d’IRCC, Savoir lire un calendrier de conservation et de disposition, « …la conservation et la disposition sont les piliers d’une bonne gestion de l’information. Il s’agit de deux éléments complémentaires. Nous disposons de l’information dont nous n’avons pas besoin afin de faire de la place pour celle dont nous avons besoin pour exécuter nos programmes. »
31. Le Ministère a mis en place 18 calendriers de conservation et d’élimination pour appuyer la gestion des renseignements personnels dans l’exécution des programmes. Ces calendriers énoncent les fonctions clés des programmes, les activités, les types de renseignements pouvant être recueillis et la période de temps pendant laquelle chaque type de renseignement doit être conservé par le gouvernement du Canada. Les calendriers décrivent également après combien de temps les renseignements recueillis ou produits par le Ministère peuvent être transférés à Bibliothèque et Archives du Canada ou détruits.

Gestion des dossiers papier

32. Selon le calendrier de conservation et d’élimination du Programme de citoyenneté, les dossiers relatifs à la demande de citoyenneté d’une personne (y compris les renseignements personnels recueillis) doivent être conservés pendant une durée minimale de 150 ans. La période de conservation commence à la date à laquelle la demande est terminée. À la fin de la période de conservation, le dossier du demandeur doit être transféré sous la garde et le contrôle de Bibliothèque et Archives Canada.
33. Le FRP touchant la citoyenneté indique que les demandes de citoyenneté doivent être microfilmées au cours des 90 premiers jours suivant la collecte des renseignements et que les copies papier doivent être détruites de manière sécurisée. Au Centre de traitement des demandes à Sydney, en Nouvelle-Écosse, il y a un arriéré d’environ 500 000 dossiers de demandes terminées en attente d’être microfilmés. Différents facteurs sont à l’origine de cette situation, dont le manque de ressources pour mener à bien ce travail. Par conséquent, le FRP touchant la citoyenneté ne s’harmonise pas avec les réalités opérationnelles du Ministère, et crée des attentes irréalistes chez le public.
34. Recommandation 2. Immigration, Réfugiés et Citoyenneté Canada devrait examiner et mettre à jour tous les fichiers de renseignements personnels pour s’assurer que les échéanciers sont réalistes et cadrent avec les réalités opérationnelles du Ministère. Les fichiers de renseignements personnels mis à jour devraient être communiqués et surveillés pour en assurer la mise en œuvre.

Gestion des fichiers électroniques

35. Les renseignements recueillis concernant les trois programmes sont intégrés au Système mondial de gestion des cas (SMGC) et stockés électroniquement dans GCDocs, qui est le système de gestion de l’information utilisé à IRCC. Étant donné que jusqu’à tout récemment, le SMGC était considéré comme un système en cours de développement, les renseignements saisis dans le système ne devaient pas être supprimés. Au 1^er avril 2016, il y avait plus de 35 millions de documents électroniques stockés dans GCDocs provenant du SMGC, et on estimait que ce nombre croissait à un rythme d’environ un million par mois.
36. Étant donné que le SMGC n’est plus en cours d’élaboration, les fonctionnaires du Ministère mettent actuellement au point des fonctionnalités dans ce système pour appuyer les exigences de conservation et d’élimination des renseignements entrés dans le SMGC et stockés électroniquement dans GCDocs.
37. Recommandation 3. Immigration, Réfugiés et Citoyenneté Canada devrait achever et mettre en œuvre une stratégie de conservation et d’élimination des renseignements saisis dans le SMGC et stockés électroniquement dans GCDocs.

Protection des renseignements personnels

38. Critères. IRCC était censé avoir mis des contrôles en place pour protéger les renseignements personnels en format papier et électronique contre toute utilisation non autorisée.
39. Conclusion. Dans l’ensemble, IRCC a établi et mis en œuvre des contrôles pour restreindre l’accès à ses installations où les renseignements personnels sont stockés. Des contrôles ont également été établis et mis en œuvre pour gérer l’accès des employés au SMGC. Il y a des possibilités d’amélioration en ce qui concerne la gestion de l’accès des employés aux renseignements personnels des demandeurs, au stockage physique et à l’accès à l’information dans le SMGC.

Dossiers papier

40. Les protocoles de sécurité relatifs aux renseignements personnels étaient différents dans les 10 bureaux visités dans le cadre de la vérification. Des exemples de contrôles qui fonctionnaient comme prévu incluaient :
    • les mesures physiques mises en place pour protéger l’accès aux installations, y compris l’utilisation de cartes d’identité pour les employés;
    • les cotes de sécurité exigées pour tous les employés et entrepreneurs qui ont accès aux installations;
    • l’autorisation d’un superviseur pour qu’un employé effectue des heures de travail en dehors des heures normales de travail;
    • les systèmes de surveillance vidéo et d’alarme physique installés sur les lieux;
    • les zones désignées, dans chaque bureau, visant à sécuriser adéquatement les renseignements de nature délicate.
41. Nonobstant les contrôles en place, il existe un risque lié à l’accès aux renseignements détenus dans les bureaux. Des formulaires de demande remplis ont été classés sur des étagères ouvertes en attendant la mise en place de mesures de conservation et d’élimination adéquates. De plus, des fichiers actifs qui en étaient à des étapes différentes de traitement ont été laissés sur des bureaux et pouvaient être vus par des personnes qui avaient accès à cette zone. Le manque d’espaces de stockage contrôlés désignés est un problème commun à tous les bureaux visités.

Fichiers électroniques

42. La vérification a également examiné les contrôles visant à limiter l’accès aux renseignements personnels des demandeurs dans le SMGC en fonction de leurs besoins opérationnels particuliers. Dans l’ensemble, IRCC a mis des contrôles en place pour limiter l’accès des employés au SMGC. Il incombe au gestionnaire ou au superviseur d’un employé de déterminer le niveau d’accès et le besoin de l’employé pour travailler dans le système, et faire la demande pour que l’employé y ait accès. La demande est alors soumise à l’Unité du contrôle de l’accès, à l’administration centrale d’IRCC. Ce processus fonctionne comme prévu. Toutefois, une fois qu’un employé obtient un accès au SMGC, il lui est possible de visualiser, dans le système, les données et les renseignements des demandeurs de plusieurs programmes.
43. De plus, il n’y avait pas de surveillance continue de l’accès des employés aux renseignements personnels des demandeurs dans le SMGC pour évaluer les activités inappropriées des comptes utilisateurs ou l’accès à l’information. L’étendue du risque est inconnue. Cependant, l’équipe de vérification a été informée, au cours des visites sur les lieux, qu’il y a eu des cas d’accès inapproprié à l’information dans le SMGC, et que ces cas ont été traités par la direction d’IRCC.
44. Recommandation 4. Immigration, Réfugiés et Citoyenneté Canada devrait évaluer l’exposition au risque liée au stockage des dossiers papier actifs et complétés dans tous ses bureaux au Canada et aux renseignements électroniques stockés dans le SMGC, et élaborer et mettre en œuvre des stratégies d’atténuation pour faire face aux risques inhérents identifiés.

IV. Conclusion

45. En ce qui concerne les trois programmes examinés, soit le programme des résidents permanents (catégories de l’immigration économique et du regroupement familial), le programme des résidents temporaires (permis d’études et permis de travail) et le programme d’attribution de la citoyenneté, IRCC s’acquitte généralement de ses responsabilités en matière de gestion des renseignements personnels conformément à la Loi sur la protection des renseignements personnels et aux instruments connexes. Le Ministère informe le grand public et les demandeurs des programmes des raisons pour lesquelles il recueille et utilise les renseignements personnels, ainsi que de la manière dont ces renseignements seront protégés, conservés et éliminés.
46. Un certain nombre de possibilités d’amélioration ont été cernées pour renforcer les contrôles mis en place en matière de gestion des renseignements personnels tout au long de leur cycle de vie. Il s’agit notamment d’assurer la cohérence dans les énoncés de confidentialité sur les formulaires de demande et dans les FRP, l’harmonisation des FRP avec les réalités opérationnelles du Ministère, l’achèvement et la mise en œuvre d’une stratégie de conservation et d’élimination des documents stockés électroniquement, et l’évaluation des risques liés aux pratiques actuelles qui visent à protéger les renseignements situés dans des installations d’IRCC ou stockés dans GCDocs à partir du SMGC.

Appendice A – Réponse de la direction