Avis de mise en œuvre sur la protection des renseignements personnels 2023-03 : Orientation relative à la collecte, à l’utilisation, à la conservation et à la divulgation de renseignements personnels accessibles au public en ligne

Pouvoir de recueillir

Comme le décrit l’article 4 de la Loi sur la protection des renseignements personnels, les renseignements personnels ne peuvent être recueillis que s’ils sont directement liés à un programme ou à une activité de l’institution. Cette exigence s’applique indépendamment du fait que les renseignements personnels soient accessibles au public ou non; les institutions doivent toujours veiller à ce qu’elles aient l’autorisation légale de recueillir les renseignements avant de le faire. L’autorisation légale d’un programme ou d’une activité est généralement contenue dans une loi du Parlement ou dans des règlements ultérieurs. L’approbation des dépenses proposées dans le budget des dépenses et l’autorisation par une loi de crédits peuvent être une indication de l’autorisation légale d’un programme ou d’une activité.

Collecte directe

Lorsque des renseignements personnels sont nécessaires à des fins administratives, la collecte directe est la règle par défaut, sauf dans des circonstances particulières. Comme indiqué au paragraphe 5(3) de la Loi sur la protection des renseignements personnels, la collecte directe n’est pas nécessaire si les renseignements personnels ne sont pas utilisés à des fins administratives. Cela pourrait entraîner la collecte de renseignements inexacts; ou cela irait à l’encontre de l’objectif ou porterait préjudice à l’utilisation pour laquelle les renseignements sont recueillis. De plus, il convient de tenir compte de l’exception prévue au paragraphe 5(1) de la Loi, qui stipule que la collecte ne doit pas être directe lorsque la personne l’autorise autrement ou lorsque les renseignements personnels peuvent être communiqués à une institution en vertu du paragraphe 8(2). Avant que les renseignements personnels obtenus en ligne ne soient utilisés à des fins administratives, les personnes concernées par ces renseignements doivent avoir la possibilité de les examiner et de les corriger si nécessaire. Cela peut ne pas être approprié dans tous les cas, par exemple lorsque la personne concernée fait l’objet d’une enquête active. Dans les cas où l’institution ne consulterait pas la personne concernée, elle serait toujours liée par l’obligation d’exactitude stipulée à l’article 6(2) de la Loi. Pour les décisions administratives, il n’est pas recommandé de s’appuyer uniquement sur des renseignements personnels recueillis à partir de sources en ligne accessibles au public.

Limiter la collecte

Même lorsque les renseignements personnels sont accessibles au public en ligne, les institutions doivent limiter la collecte de ces renseignements à ce qui est directement lié et nécessaire aux programmes ou aux activités de l’institution gouvernementale, comme le prévoit le point 4.2.9 de la Directive sur les pratiques relatives à la protection de la vie privée.

Lors d’une collecte manuelle de renseignements personnels à partir d’une source en ligne, les employés doivent évaluer chaque élément de renseignement personnel ayant été recueilli afin de déterminer s’il correspond à ces critères. Cela peut s’avérer impossible dans certains cas où des éléments de renseignements personnels sont imbriqués dans d’autres. Néanmoins, les institutions devraient limiter leur collecte à ces éléments précis.

Lorsqu’elles utilisent des méthodes automatisées de collecte^{Note en bas de page 2}, les institutions doivent consulter les responsables en matière de protection des renseignements personnels de leur ministère pour savoir comment ajuster les paramètres de collecte du logiciel pour limiter la collecte aux seuls éléments nécessaires au programme ou à l’activité. Cela réduit la probabilité d’une collecte excessive. En cas de collecte excessive, les institutions doivent faire appel à leurs responsables en matière de protection des renseignements personnels pour évaluer les incidences potentielles sur l’institution ou les personnes concernées, et procéder à la mise en œuvre des mesures d’atténuation qui s’imposent, et qui peuvent inclure l’élimination des renseignements superflus.

En règle générale, les renseignements personnels divulgués en ligne par inadvertance, fuite, piratage ou vol ne doivent pas être considérés comme étant accessibles au public, car la divulgation, par sa nature même, aurait eu lieu à l’insu ou sans le consentement de la personne à laquelle les renseignements personnels se rapportent, empiétant ainsi sur une attente raisonnable de protection des renseignements personnels. Les institutions doivent faire appel à leurs services juridiques si elles soupçonnent que les renseignements personnels qu’elles envisagent de recueillir correspondent à ce scénario.

Présence d’un fichier de données personnelles

Les institutions doivent établir les éléments de renseignements personnels qu’elles recueillent à partir de sources en ligne accessibles au public dans un fichier de données personnelles (FDP) si ces renseignements sont destinés à un usage administratif ou si ces renseignements sont organisés de façon à pouvoir être repérés à partir du nom d’une personne, d’un numéro ou d’un symbole d’identification qui lui a été attribué. Lorsque des renseignements personnels sont utilisés dans le cadre d’activités de communication, les institutions peuvent s’appuyer sur les FDP standards suivants : POU 938 (Activités de sensibilisation) et POU 914 (Communications publiques). Si des renseignements personnels accessibles au public sont recueillis pour un nouvel usage, ou si un programme ou une activité nécessite la collecte de nouveaux éléments de renseignements personnels, il peut être nécessaire d’enregistrer ou de procéder à la mise à jour d’un FDP précis à l’institution qui reflète mieux les éléments de renseignements recueillis, l’objectif de la collecte et la période de conservation.

Avis de collecte

Les personnes doivent être informées si leurs renseignements personnels sont recueillis à l’appui d’une décision administrative qui les concerne directement, sauf si la notification risque d’entraîner la collecte de renseignements inexacts ou d’aller à l’encontre de l’objectif ou de l’utilisation pour laquelle les renseignements sont recueillis. Cette exigence continue de s’appliquer aux renseignements personnels accessibles au public en ligne. Les institutions doivent consulter la section 4.2.10 de la Directive sur les pratiques relatives à la protection de la vie privéepour connaître les éléments qui doivent figurer dans une déclaration de confidentialité.

Lorsque des renseignements personnels accessibles au public en ligne sont recueillis indirectement à des fins non administratives, les institutions peuvent informer indirectement les personnes de la collecte au moyen d’avis publiés par l’entremise des sites Web ou des comptes de médias sociaux des institutions. L’avis permet aux utilisateurs en ligne de comprendre comment l’institution recueille et utilise les renseignements personnels qui sont accessibles au public en ligne dans le cadre de son mandat, et donne aux personnes la possibilité de demander d’avoir accès aux renseignements recueillis. Les institutions devraient avoir recours à des mesures de transparence supplémentaires lorsqu’il est possible de le faire, afin d’assurer une portée plus vaste.

Utilisation de fournisseurs de services ou de données tiers

Les organisations du secteur privé sont soumises à leurs propres obligations en ce qui concerne la collecte, l’utilisation et la divulgation des renseignements personnels en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques, et des lois provinciales sur la protection de la vie privée. Les institutions du gouvernement fédéral, quant à elles, assument la responsabilité ultime, en vertu de la Loi sur la protection des renseignements personnels, lorsqu’elles font appel à des fournisseurs de services ou de données tiers pour la gestion des renseignements personnels accessibles au public en ligne. Ces responsabilités, décrites dans le présent Avis, continuent de s’appliquer lorsqu’il s’agit d’obtenir des renseignements personnels auprès de tiers par l’entremise d’une demande, d’un abonnement ou d’un achat. Les contrats, les ententes ou les arrangements conclus avec des fournisseurs de services ou de données tiers doivent décrire clairement les mesures prises pour protéger les renseignements personnels, conformément aux exigences de la Loi sur la protection des renseignements personnels et des instruments politiques connexes, y compris l’obligation d’informer immédiatement l’institution gouvernementale d’une atteinte à la vie privée, le cas échéant.

Lorsqu’elles font appel à un service ou à un fournisseur de données tiers, les institutions doivent veiller à ce qu’ils aient obtenu, de façon légitime et légale, les renseignements personnels qui seront fournis à l’institution. De plus, bien que ce ne soit pas une obligation, on encourage les institutions à tenir compte des antécédents du tiers en matière d’incidents liés à la protection des renseignements personnels. Pour obtenir de plus amples renseignements sur la mobilisation de tiers, veuillez consulter le Document d’orientation : Prise en compte de la protection des renseignements personnels avant de conclure un marché.

Vérification de l’exactitude

Comme l’exige la Loi sur la protection des renseignements personnels, les institutions doivent veiller à ce que les renseignements personnels recueillis à des fins administratives soient aussi exacts, à jour et complets que possible. Cette exigence s’applique aux renseignements personnels qui sont accessibles au public en ligne lorsqu’ils sont utilisés dans le cadre d’un processus décisionnel. Pour commencer, la collecte de renseignements personnels directement auprès de la personne concernée diminue la probabilité d’inexactitudes.

La Directive sur les pratiques relatives à la protection de la vie privée vient augmenter l’obligation d’exactitude de la Loi, en exigeant également que les institutions documentent la source ou la technique utilisée pour valider l’exactitude des renseignements personnels, et qu’elles les identifient dans la description du fichier de données personnelles connexe. Cela peut s’avérer particulièrement difficile dans le domaine du numérique, compte tenu de l’augmentation de la désinformation. Afin d’atténuer les risques connexes, les institutions devraient consulter plusieurs sources lorsqu’elles recueillent des renseignements personnels en ligne, en particulier lorsque ces renseignements ne proviennent pas de la personne concernée comme telle. Les institutions devraient mettre en place un processus permettant de déterminer les niveaux de confiance liés à l’exactitude, à l’imputabilité et à la véracité des renseignements. Cela peut comprendre le fait de vérifier les renseignements auprès d’autres sources ou directement auprès de la personne concernée. Quel que soit le degré de confiance, les renseignements personnels obtenus à partir d’une source en ligne accessible au public ne doivent généralement pas être utilisés seuls à des fins administratives. Lorsque des renseignements personnels sont recueillis à des fins non administratives, comme l’observation des tendances et des récits en ligne, les institutions doivent veiller à ce que les renseignements soient aussi précis que nécessaire pour cet objectif en particulier.

Garanties

La disponibilité publique des renseignements personnels en ligne n’exempte pas les institutions des obligations liées à la protection de ces renseignements. Ceci est particulièrement important dans les situations où des renseignements personnels accessibles au public sont combinés pour créer un profil potentiellement élargi. Même lorsque les renseignements personnels sont accessibles au public en ligne et qu’ils peuvent être utilisés à d’autres fins que celles pour lesquelles ils ont été recueillis à l’origine, les institutions doivent en limiter l’accès aux personnes qui en ont besoin pour exercer des fonctions ou des tâches liées à un programme ou à une activité. Des garanties administratives, techniques et physiques doivent continuer à être utilisées pour protéger les renseignements. De plus, comme l’exige la Politique sur la protection de la vie privée (consulter4.2.1), les employés doivent être informés des politiques, des procédures et des exigences légales en vertu de la Loi sur la protection des renseignements personnels avant d’être autorisés à accéder à tout renseignement personnel ayant été recueilli, même si ce renseignement personnel est largement disponible en ligne. En outre, comme pour tout autre renseignement personnel, les institutions doivent mettre en place des mesures appropriées pour garantir que l’accès aux renseignements personnels est contrôlé et documenté à des fins de responsabilisation.