Document d’orientation pour aider à préparer des Ententes d’échange de renseignements personnels

Qu’est-ce qu’un renseignement personnel?

Selon l’article 3 de la Loi sur la protection des renseignements personnels, par renseignements personnels, on entend les renseignements, quels que soient leur forme et leur support, concernant un individu identifiable. En voici quelques exemples :

• les coordonnées, les renseignements relatifs à la race, à l’origine nationale ou ethnique, à la couleur, à la religion, à l’âge ou à la situation de famille;
• les renseignements relatifs à l’éducation, au dossier médical, au casier judiciaire ou aux antécédents professionnels de l’individu;
• tout renseignement pouvant être lié à l’identification d’un individu, tel qu’un numéro de compte, un numéro de permis, une adresse IP (protocole Internet), un identifiant biométrique ou une photographie.

Certains renseignements sont exclus de la définition des renseignements personnels. Par exemple, les renseignements qui concernent le poste ou les fonctions d’un employé d’une institution fédérale ne sont pas considérés comme des renseignements personnels.

Le nom d’une personne n’est pas toujours le seul facteur qui détermine si des renseignements sont considérés comme des renseignements personnels. Les renseignements personnels comprennent les renseignements consignés qui peuvent, seuls ou combinés à des renseignements provenant de sources autrement disponibles, y compris des sources publiques, mener à l’identification possible d’un individu. Par « identification possible », on entend une possibilité sérieuse. Il doit s’agir de quelque chose de plus qu’une chance frivole, mais de moins que la « prépondérance des probabilités ».

Dans le cadre du présent document d’orientation, le terme « renseignements personnels » doit être interprété au sens large. Il comprend aussi les « données » lorsqu’elles se rapportent à un individu identifiable.

Qu’est-ce qu’une entente d’échange de renseignements (EER)?

La Loi sur la protection des renseignements personnels ne fait aucune référence aux EER. Cela dit, les exigences de base concernant les EER se trouvent aux paragraphes 4.2.23 à 4.2.27 de la Directive sur les pratiques relatives à la protection de la vie privée.

L’« échange de renseignements » peut signifier que l’une des parties communique des renseignements et que l’autre partie en collecte, ou que des renseignements sont échangés, les deux parties communiquant et collectant des renseignements.

Les avantages de l’utilisation d’une EER pour échanger des renseignements personnels entre les institutions fédérales sont les suivants :

• clarifier les obligations et les responsabilités des parties concernées;
• veiller au respect de la Loi sur la protection des renseignements personnels et de ses politiques connexes;
• établir des protocoles pour traiter les incidents de sécurité, y compris les atteintes à la vie privée;
• sensibiliser le personnel et lui fournir des instructions;
• assurer la transparence pour les personnes concernées.

Évaluation des facteurs relatifs à la vie privée (EFVP)

La Directive sur l’évaluation des facteurs relatifs à la vie privée décrit un processus qui fournit aux décideurs les éléments suivants :

• une évaluation de la conformité de l’initiative avec la Loi sur la protection des renseignements personnels et les politiques connexes;
• les répercussions probables liées aux problèmes ou à la non-conformité;
• des stratégies d’atténuation et des échéances pour réduire ou éliminer les risques pour la protection des renseignements personnels.

Protocole relatif à la protection des renseignements personnels

En vertu de la Politique sur la protection de la vie privée, le protocole relatif à la protection des renseignements personnels est un ensemble de procédures consignées et conformes aux principes de la Loi sur la protection des renseignements personnels pour l’utilisation des renseignements personnels à des fins non administratives telles que la recherche, les statistiques, l’audit, l’évaluation et l’analyse de politiques.

Évaluation de la sécurité et autorisation (ESA)

Lorsqu’elles échangent des renseignements personnels, les parties doivent mettre en place des mesures de protection administratives, techniques et physiques efficaces pour protéger ces renseignements. Une ESA est un processus par lequel les institutions fédérales s’assurent que des mesures de protection appropriées sont mises en œuvre dans leurs environnements physiques et technologiques. S’il y a lieu, toutes les parties participant à l’initiative d’échange de renseignements pourraient être tenues de suivre ce processus d’évaluation afin d’évaluer les menaces et les risques pour les renseignements comme condition préalable à l’échange ou d’exiger la confirmation que de telles mesures de protection sont mises en œuvre et révisées périodiquement pour assurer la protection des renseignements.

Consignation de la décision

Conformément au paragraphe 4.3.2.10 de la Politique sur les services et le numérique, les administrateurs généraux sont tenus de consigner les décisions et les processus décisionnels. Lors de la conclusion d’une EER, il est recommandé aux parties de résumer les mesures de diligence raisonnable qui ont permis aux dirigeants autorisés des institutions de déterminer qu’une EER était nécessaire. La documentation appropriée peut comprendre une note de service au responsable de programme, une analyse juridique à l’appui, une EFVP ou une ESA.  

1. Préambule

Le préambule de l’EER doit exposer les raisons de l’entente, expliquer pourquoi les renseignements sont échangés au lieu d’être collectés directement auprès des personnes concernées, décrire les résultats éventuels que l’institution cherche à atteindre dans le cadre de l’entente et fournir des renseignements généraux pertinents.

Les institutions fédérales qui demandent de recevoir des renseignements personnels doivent pouvoir clairement établir la raison pour laquelle les renseignements sont requis. Les renseignements peuvent être nécessaires à des fins administratives dans les cas où ils seront utilisés dans le cadre d’un processus décisionnel qui touchera les personnes concernées, notamment pour les raisons suivantes :

• authentification et vérification : lorsque les renseignements personnels sont utilisés pour comparer et confirmer l’identité des personnes avant d’accorder l’accès à des programmes et des services, à des zones physiques ou à des renseignements;
• admissibilité à un programme ou à un service : lorsque les renseignements personnels sont utilisés pour déterminer ou vérifier l’admissibilité à des programmes, administrer des paiements ou des paiements en trop de programmes, ou octroyer ou refuser des permis ou licences;
• activités de conformité ou de réglementation : lorsque les renseignements sont utilisés pour déceler d’éventuelles utilisations abusives de programmes ou de services ou du harcèlement et que les conséquences sont de nature administrative (par exemple, amende, interruption des prestations, vérification de demandes ou de dossiers personnels);
• enquêtes criminelles et application de la loi/sécurité nationale : lorsque les renseignements sont utilisés à des fins d’enquête et d’application de la loi dans un contexte criminel ou associées à la sécurité nationale ou à des activités antiterroristes.

2. Dispositions

Par souci de clarté et pour faciliter le suivi d’une EER par une institution, il est recommandé que les EER fournissent des détails sur le type d’entente et la durée de l’entente.

Il existe différents types d’EER.

• Communication unidirectionnelle : une institution communique des renseignements personnels à une autre institution, sans recevoir elle-même des renseignements.
• Communication bidirectionnelle : les deux institutions parties à l’EER reçoivent et communiquent des renseignements personnels.
• Communication multipartite unidirectionnelle : une institution communique des renseignements personnels à deux ou plusieurs autres institutions, sans en recevoir elle-même.
• Communication multipartite bidirectionnelle : plus de deux institutions recueillent, utilisent et communiquent des renseignements personnels.

Il existe différentes durées pour les EER.

• Une seule communication : les institutions communiquent des renseignements personnels à une seule occasion. Dans ce cas, les renseignements ne peuvent être fournis qu’une seule fois, et l’EER doit indiquer clairement une date d’entrée en vigueur et une date d’expiration.
• Communication pour une période déterminée : les renseignements peuvent être communiqués de façon régulière pendant une période déterminée. L’EER doit indiquer clairement une date d’entrée en vigueur et une date d’expiration. Lorsque la période définie dépasse cinq ans, il convient d’ajouter une clause de révision pour garantir que l’EER est révisée sur une base périodique à déterminer par les parties.
• Communication pour une période indéterminée : les renseignements personnels peuvent être communiqués de façon régulière pendant une période non spécifiée. L’EER doit inclure une date d’entrée en vigueur et une clause de révision périodique.

3. Autorisation légale pour la collecte et la communication

4. Exactitude des renseignements personnels et respect des normes

5. Utilisation

L’article 7 de la Loi sur la protection des renseignements personnels interdit à une institution fédérale d’utiliser des renseignements personnels sans le consentement de l’individu qu’ils concernent, sauf pour les fins auxquelles ils ont été collectés ou pour un usage compatible avec ces fins.

6. Communication

Le paragraphe 8(2) de la Loi sur la protection des renseignements personnels décrit les circonstances dans lesquelles les renseignements personnels qui relèvent d’une institution fédérale peuvent être communiqués sans le consentement de l’individu auquel ils se rapportent. De telles communications sont discrétionnaires et sont soumises à toute autre loi du Parlement.

Il convient de noter que l’alinéa 8(2)j) de la Loi sur la protection des renseignements personnels autorise le responsable d’une institution fédérale à communiquer des renseignements personnels à toute personne ou tout organisme à des fins de recherche ou de statistique, si le responsable de l’institution fédérale qui a le contrôle des documents :

• est convaincu que les fins auxquelles les renseignements sont communiqués ne peuvent raisonnablement être atteintes que si les renseignements sont fournis sous une forme qui permettrait d’identifier l’individu qu’ils concernent;
• obtient de la personne ou de l’organisme un engagement écrit selon lequel les renseignements ne seront pas ultérieurement communiqués sous une forme qui risquerait vraisemblablement de permettre d’identifier l’individu qu’ils concernent.

7. Droits d’accès

Les EER peuvent faire l’objet d’une demande d’accès à l’information et de renseignements personnels. À ce titre, l’EER doit comprendre des clauses concernant le processus qui sera utilisé pour répondre à une telle demande et indiquer si les parties veulent être consultées, comment le processus de consultation doit être mené et quelle partie doit être responsable du traitement de la demande.

Lors de la rédaction de l’EER, assurez-vous qu’elle :

• contient des clauses visant à établir une procédure de consultation pour répondre aux demandes présentées en vertu de la Loi sur l’accès à l’information ou la Loi sur la protection des renseignements personnels;
• comprend des clauses obligeant les parties à s’informer mutuellement lorsqu’elles reçoivent une demande d’accès à l’information et qu’elles ont l’intention de communiquer des renseignements.

8. Méthode de communication et fréquence de la communication

Définir la méthode de communication des renseignements et la fréquence de la communication est important pour garantir que la collecte et la communication des renseignements personnels se déroulent comme prévu par les deux parties et qu’elles sont conformes aux exigences des lois et des politiques. En outre, en déterminant la méthode et la fréquence des communications, les institutions seront mieux préparées à réagir rapidement en cas d’accès non autorisé aux renseignements ou de traitement inapproprié de ceux‑ci.

Les renseignements peuvent être soit « transmis » (à l’initiative de la partie qui les communique), soit « demandés » (à l’initiative de la partie qui les reçoit). Quelle que soit la méthode utilisée, les institutions ne doivent transférer que les renseignements pertinents à l’autre partie et seulement de la manière, aux heures et aux dates prévues par l’EER, plutôt que de donner un accès continu à la base de données dans laquelle les renseignements personnels sont stockés.

Lors de la rédaction, assurez-vous que l’EER :

• établit le processus et la fréquence, qui ont été acceptés par les parties, selon lesquels les renseignements personnels seront communiqués d’une partie à l’autre. Voir l’annexe D — Transmission et protection des renseignements pour des exemples de rédaction possible;
• comprend des processus et des technologies de rechange pour l’échange au cas où le processus ou la technologie principale serait temporairement indisponible.

9. Gestion de l’information

Les renseignements collectés, utilisés, communiqués ou éliminés doivent être gérés conformément à la législation, à la Politique sur les services et le numérique, à la Politique sur la protection de la vie privée et aux instruments de politique à l’appui. Voir l’annexe D — Transmission et protection des renseignements pour obtenir d’autres informations.

La Directive sur les services et le numérique exige que les institutions utilisent les systèmes numériques comme moyen privilégié de gestion de l’information. L’exploitation des systèmes intégrés dans la mesure du possible peut accroître l’efficacité de l’échange de renseignements.

Les institutions fédérales doivent faire en sorte que leurs pratiques et contrôles de gestion de l’information soient définis, documentés, mis en œuvre, évalués, surveillés et tenus à jour tout au long des étapes du cycle de vie de l’information afin de fournir une assurance raisonnable que l’information est protégée de manière adéquate, dans le respect des obligations légales et autres, et en établissant un juste équilibre entre le risque de préjudice et les menaces et le coût de l’application des mesures de protection.

Les parties doivent prendre des mesures pour s’assurer que leurs pratiques de gestion de l’information sont conformes à celles avec lesquelles les renseignements personnels sont ou seront échangés. Le Cadre de l’architecture intégrée du gouvernement du Canada définit les exigences en matière d’architecture intégrée qui permettent de garantir l’harmonisation des pratiques de gestion de l’information dans l’ensemble du gouvernement.

Lors de la rédaction de l’EER, tenez compte des pratiques exemplaires ci-dessous :

• utiliser des systèmes numériques pour créer, collecter, gérer, utiliser et échanger des renseignements personnels;
• définir clairement les rôles, les responsabilités et les obligations en matière de renseignements personnels au sein de l’institution fédérale par le biais d’une structure de gouvernance ministérielle, tant au niveau opérationnel qu’au niveau des cadres supérieurs;
• veiller, le cas échéant, à ce que les jeux de données relatifs aux renseignements personnels soient mis à jour à intervalles appropriés;
• évaluer régulièrement la valeur et l’utilité des ressources de renseignements personnels afin de s’assurer que la collecte et l’utilisation des renseignements personnels sont limitées à ce qui est nécessaire pour un programme ou une activité.

10. Gestion de la sécurité

Des contrôles de sécurité appropriés sont essentiels pour soutenir la prestation de programmes et de services fiables. Dans le contexte de l’échange des renseignements personnels, il est essentiel que des mesures soient mises en place pour permettre le transfert et le stockage sécurisés des renseignements personnels.

Conformément à la Politique sur la sécurité du gouvernement et au paragraphe 4.5.1 de la Directive sur la gestion de la sécurité, les employés du gouvernement fédéral sont tenus de respecter la Politique de sécurité du gouvernement et les pratiques de sécurité ministérielles, ce qui comprend la protection de l’information et des biens sous leur contrôle, qu’ils travaillent sur place ou hors site.

L’EER doit comprendre des clauses expliquant que les renseignements échangés entre les parties sont traités conformément à la désignation de sécurité des renseignements et sur la base du « besoin de savoir », de sorte que seuls les employés autorisés aient accès aux renseignements pertinents au moment opportun.

Toute mesure de sécurité appropriée pour garantir la sécurité des renseignements personnels pendant et après leur transmission, telle que le chiffrement, la protection par mot de passe ou l’authentification, doit être indiquée dans l’EER. Le fait d’étiqueter les renseignements échangés ou d’y incorporer des filigranes, surtout quand il s’agit de renseignements sensibles, constitue une façon de s’assurer que les renseignements sont traités conformément aux modalités de l’EER.

La nature des mesures de protection des renseignements personnels contre des risques internes et externes varie selon le caractère sensible des renseignements ayant été recueillis, la quantité, la distribution et la forme ou le support des renseignements, la méthode de stockage et le préjudice susceptible d’être causé par un incident de sécurité. Les renseignements plus sensibles seront protégés par un niveau de sécurité plus élevé. À cette fin, les institutions fédérales, au sens de l’article 11.1 de la Loi sur la gestion des finances publiques (LGFP), doivent respecter les exigences de la Politique sur la sécurité du gouvernement, de la Politique sur les services et le numérique, ainsi que d’autres normes et directives connexes. Les institutions qui ne sont pas soumises à la LGFP doivent se reporter à leurs propres politiques et procédures en matière de sécurité.

De plus, les mesures de protection doivent tenir compte des mesures à prendre en réaction à des incidents de sécurité ou à des atteintes à la vie privée, notamment aviser les parties touchées. Pour plus de renseignements, se reporter à l’Annexe B de la Directive sur les pratiques relatives à la protection de la vie privée.

Ces mesures sont souvent comprises dans un calendrier distinct joint à l’EER afin de permettre la modification de celle-ci quand les mesures sont modifiées. L’annexe D — Transmission et protection des renseignements, et l’annexe E — Attestation de prise en compte des exigences de sécurité, fournissent un exemple de texte.

Lors de la rédaction de l’EER, tenez compte des éléments suivants :

• si les renseignements personnels doivent porter un titre ou un filigrane « Reçu à titre confidentiel en vertu de (titre de l’EER) », ce qui pourrait aussi permettre d’identifier la source de renseignements dont la communication n’a pas été autorisée;
• comment les institutions qui concluent une EER s’assurent que les renseignements personnels échangés reçoivent la même classification de sécurité de part et d’autre (voir l’annexe J de la Directive sur la gestion de la sécurité pour plus de détails, et l’annexe F de cette directive, qui contient une série d’exigences de sécurité pour les institutions qui concluent des ententes, qui devraient être respectées par les institutions fédérales de la fonction publique centrale);
• si l’EER vise l’échange de renseignements personnels avec des institutions qui ne sont pas assujetties à la Directive sur la gestion de la sécurité, comme les sociétés d’État, et si des détails supplémentaires doivent être ajoutés aux EER afin que les obligations soient bien comprises par toutes les parties.

11. Gestion des incidents de sécurité et des atteintes à la vie privée présumés

Il faut signaler et gérer efficacement les incidents de sécurité et les atteintes à la vie privée afin de garantir que chaque partie à l’EER respecte les exigences en matière de protection des renseignements personnels et de sécurité. Le modèle d’EER et l’annexe G — Protocole relatif aux incidents de sécurité présumés, notamment les atteintes à la vie privée exigent la notification de toutes les parties à l’EER de toute atteinte présumée à la vie privée. Le Rapport préliminaire de gestion des atteintes à la vie privée du BPR peut être utilisé à cette fin.

De nombreuses atteintes à la vie privée sont des incidents de sécurité, il est donc essentiel que les responsables de la protection des renseignements personnels de chaque institution coordonnent leur réponse avec les responsables de la sécurité. De même, tous les incidents de sécurité liés à des ressources d’information doivent être portés à l’attention des responsables de la protection des renseignements personnels, qui sont les mieux placés pour déterminer si les renseignements sont de nature personnelle.

Les exigences supplémentaires en matière de politique comprennent l’établissement de procédures pour aviser les personnes touchées par les atteintes à la vie privée. Le fait d’indiquer dans l’EER quelle institution avisera les personnes dans quelles circonstances pourrait contribuer à rationaliser le processus de gestion des atteintes.

Vous trouverez plus de détails sur la gestion des incidents de sécurité dans la Directive sur la gestion de la sécurité et son Annexe G : Procédures obligatoires relatives aux mesures de sécurité dans la gestion des événements, et des conseils supplémentaires sur la gestion des atteintes à la vie privée peuvent être trouvés dans l’Annexe B de la Directive sur les pratiques relatives à la protection de la vie privée et la Trousse d’outils pour la gestion des atteintes à la vie privée.

Lors de la rédaction de l’EER, assurez-vous que :

• l’EER comprend des exigences en matière d’atteinte à la vie privée en cas de communication, d’utilisation, de modification et de suppression accidentelles ou non autorisés de renseignements personnels, ou d’accès accidentel ou non autorisé à de tels renseignements (voir l’annexe G du modèle d’EER — Protocole relatif aux incidents de sécurité présumés, notamment les atteintes à la vie privée);
• l’EER exige que chaque partie suive les plans de son institution en cas d’atteinte. De plus, une fois qu'une atteinte substantielle a été déterminée, les institutions doivent utiliser le Formulaire de rapport d’atteintes substantielles à la vie privée en vertu de la Loi sur la protection des renseignements personnels pour signaler au SCT et au CPVP toute atteinte substantielle à la vie privée;
• les coordonnées des responsables de la protection des renseignements personnels et de la sécurité font partie des coordonnées fournies dans l’EER;
• l’EER comprend une clause sur la coordination entre les responsables de la protection des renseignements personnels et de la sécurité des institutions.

12. Période de conservation et élimination

13. Surveillance de la conformité et audits

Les audits permettent de veiller à ce que les parties à une EER respectent les modalités de l’entente. Les dispositions relatives aux audits contribuent également à renforcer les contrôles de sécurité et de protection des renseignements personnels en incitant les parties à s’assurer que leurs contrôles en matière d’information et de protection des renseignements personnels sont aussi efficaces que possible pour répondre à toutes leurs exigences de conformité.

Lors de la rédaction de l’EER, déterminez :

• si les parties veulent utiliser des audits de gestion pour évaluer leurs pratiques respectives de gestion de l’information et leur conformité aux exigences de l’EER;
• si les parties conviennent de se fournir une copie de leurs rapports de vérification de gestion respectifs et de tout plan d’action dans un délai prescrit après qu’ils sont achevés;
• si les clauses de l’EER doivent prévoir des audits particuliers selon un calendrier prédéterminé.

14. Transparence

Le paragraphe 4.2.27 de la Directive sur les pratiques relatives à la protection de la vie privée exige que les parties s’assurent de respecter les exigences en matière de sécurité lorsqu’elles concluent une EER et en publient un résumé qui contient les renseignements suivants, selon l’Annexe K — Résumé de l’entente à publier :

• le titre de l’EER;
• le nom du programme;
• les institutions fédérales qui sont parties à l’EER;
• la date d’entrée en vigueur;
• la date de fin et/ou de révision (selon le type/la durée de l’EER);
• l’objectif (y compris la raison, le type et la durée de l’EER);
• les autorisations légales;
• les renseignements personnels communiqués et collectés (y compris le titre et le numéro du fichier de renseignements personnels [FRP]).

La Loi sur la protection des renseignements personnels exige également que les renseignements personnels qui relèvent de l’institution soient décrits dans un FRP. Lors de la collecte de renseignements personnels par le biais d’une EER, les institutions doivent consulter leurs experts en protection des renseignements personnels pour déterminer le FRP pertinent et vérifier s’il nécessite des changements ou des mises à jour résultant de l’EER.

Lors de la rédaction de l’EER, déterminez les éléments ci-dessous.

• Les exigences en matière de sécurité et les autres considérations juridiques ou de confidentialité qui s’appliquent à la publication de l’EER ou d’un résumé de l’EER. Dans la plupart des cas, un résumé de l’EER devrait être possible, même si certains détails doivent être caviardés.
• La plateforme privilégiée par les parties pour la communication publique : en plus de respecter les exigences de la Directive sur les pratiques relatives à la protection de la vie privée visant la publication de mises à jour annuelles dans Info Source, les parties devraient également envisager d’utiliser les plateformes existantes telles que le Portail du gouvernement ouvert du gouvernement du Canada pour les communications publiques. Lorsque les institutions envisagent d’utiliser le Portail du gouvernement ouvert, elles devraient contacter l’équipe du gouvernement ouvert au open-ouvert@tbs.sct.gc.ca et se conformer aux politiques et directives du Secrétariat du Conseil du Trésor du Canada (SCT) en matière de gestion de l’information et de communication, telles que la Politique sur les services et le numérique et la Directive sur le gouvernement ouvert.
• S’il y a lieu de consulter les experts en matière de protection des renseignements personnels pour déterminer s’il faut mettre à jour un FRP.

15. Avis

Les parties à une EER doivent s’informer mutuellement, dès que possible, de tout changement dans la législation, la réglementation, les politiques, les technologies ou le financement concernant leurs programmes respectifs qui pourrait avoir une incidence sur leur capacité à remplir leurs obligations telles qu’elles sont décrites dans l’entente.

Tous les avis doivent être faits par écrit par les fonctionnaires désignés qui ont signé l’EER ou leur délégué, conformément à l’annexe H du modèle d’EER. Ils doivent être clairs et concis et avoir pour but de communiquer les changements particuliers qui ont une incidence sur l’EER et peut-être même sur la capacité à respecter les obligations.

Lors de la rédaction des avis, les institutions devraient envisager d’inclure les renseignements suivants :

• les clauses de l’EER sur lesquelles le changement aura une incidence;
• une description claire des événements qui ont conduit au changement;
• si le changement est susceptible d’entraîner un retard;
• le moment où le changement devrait entrer en vigueur;
• les mesures d’atténuation qui ont été ou devront être prises;
• dans les cas où les institutions utilisent le recouvrement des coûts, si le changement aura une incidence sur le montant du recouvrement des coûts.

16. Arrangements financiers

Certaines institutions peuvent vouloir inclure des dispositions de recouvrement des coûts dans les EER qu’elles concluent avec d’autres institutions. La section 16 du modèle d’EER et l’annexe J fournissent des exemples de ce type de dispositions.

Les parties doivent se renseigner au sujet des exigences de la politique financière et confirmer qu’elles disposent des autorisations appropriées pour amorcer le recouvrement des coûts. Les parties devraient se reporter à la Directive sur l’imputation et les autorisations financières spéciales et à la LGFP pour connaître leurs pouvoirs en matière de recouvrement des coûts, en consultation avec les services juridiques de leur institution.

Il convient aussi de déterminer s’il s’agit d’une entente pluriannuelle dans le cadre de laquelle les coûts s’accumulent pendant toute la durée de l’entente, ou d’une entente qui porte sur un exercice particulier dans le cadre de laquelle les revenus ne peuvent être dépensés que pendant l’exercice au cours duquel les coûts ont été engagés.

Les parties à l’EER devront convenir d’un processus et d’un calendrier pour le recouvrement des coûts.

Exemple 1 : L’[institution responsable de la communication des renseignements] enverra des factures trois fois par an. La première facture sera envoyée en août pour couvrir les renseignements fournis en avril et juillet, et la seconde sera envoyée à la mi-février (pour garantir un paiement avant le 31 mars) pour couvrir les renseignements fournis en octobre et janvier. Si nécessaire, l’[institution responsable de la communication des renseignements] rapprochera les coûts avec les dépenses réelles à ce jour et procédera à un ajustement de l’écart.

Exemple 2 : L’[institution responsable de la communication des renseignements] enverra une facture en septembre de chaque année, après la fourniture annuelle de renseignements, prévue pour le 15 août de chaque année. L’[institution destinataire] accepte de rembourser ces frais à l’[institution responsable de la communication des renseignements]. Si nécessaire, l’[institution responsable de la communication des renseignements] rapprochera les coûts avec les dépenses réelles à ce jour et procédera à un ajustement de l’écart.

17. Examen

Dans les cas où la durée d’une EER dépasse une période de cinq ans, les parties à une EER doivent inclure une clause garantissant que l’EER fait l’objet d’un examen sur une base périodique à déterminer entre les parties. Voir la section 17 — Examen du modèle d’EER pour un exemple d’une telle clause. Des examens plus fréquents peuvent être envisagés si nécessaire.

18. Modifications

Les modifications des modalités d’une EER ou des annexes connexes doivent être communiquées par écrit et signées par les fonctionnaires désignés ou leurs représentants autorisés. Voir la section 18 du modèle d’EER pour un exemple de formulation. Les parties à l’EER doivent inclure dans l’EER des clauses définissant le processus de modification de l’EER ou des annexes connexes.

Dans les cas où une modification vise la collecte, l’utilisation, la communication à des tiers, le transfert entre parties, l’élimination, ou d’autres aspects de la gestion des renseignements personnels, les institutions doivent modifier leurs FRP connexes. Si les modifications sont importantes, les institutions doivent également fournir au SCT le FRP mis à jour ainsi qu’une évaluation des facteurs relatifs à la vie privée, comme le prévoit le paragraphe 4.1.7 de la Directive sur les pratiques relatives à la protection de la vie privée.

Si les modifications apportées aux modalités d’une entente entraînent de nouveaux usages compatibles ou de nouvelles communications, les institutions doivent modifier leurs FRP en conséquence et informer le CPVP de nouveaux usages compatibles, comme le prévoit le paragraphe 4.1.17 de la Directive sur les pratiques relatives à la protection de la vie privée.

19. Résiliation

La résiliation d’une EER ou d’une annexe doit se faire par écrit, soit à la suite d’un consentement mutuel des deux parties, soit par la transmission par l’une des parties d’un avis de résiliation à l’autre partie. Un avis doit être fourni au fonctionnaire désigné de l’institution pour l’entente. Malgré la résiliation de l’EER, les conditions qui s’appliquent à l’échange des renseignements personnels et les clauses connexes continuent normalement à s’appliquer aux renseignements qui ont déjà été échangés. Les parties à l’EER doivent inclure des clauses définissant comment les renseignements doivent être éliminés au terme de l’EER. Lorsque des dispositions relatives au recouvrement des coûts sont incluses dans une EER, l’obligation de rapprochement des comptes et d’envoi d’une facture finale, le cas échéant et sous réserve de la résiliation de l’entente, continue également de s’appliquer.

À la résiliation d’une EER, les parties devraient en informer leur bureau de l’AIPRP et mettre à jour leurs FRP connexes.

Lors de la rédaction de l’EER, assurez-vous que :

• l’EER comporte une clause garantissant qu’elle est révisée sur une base périodique prédéterminée (l’examen des EER au moins tous les cinq ans à partir de leur date de signature ou plus fréquemment est fortement encouragé);
• l’EER comporte des dispositions permettant aux parties de résilier immédiatement l’EER et de demander la restitution des renseignements personnels qui ont été échangés;
• l’EER contient des clauses où les modifications de l’EER et des annexes sont communiquées par écrit et exécutées par les signataires de chaque institution ou leur représentant sous la forme d’une lettre officielle;
• l’EER contient des clauses relatives au processus de modification et des clauses de résiliation.

20. Règlement des différends

En cas de questions, de contestations ou de désaccords concernant tout aspect d’une EER, il est recommandé que des clauses soient incluses afin de prévoir un mécanisme de règlement des différends. La section 21 du modèle d’EER fournit un exemple de texte.

Dans les cas où les différends ne peuvent être résolus, le responsable de l’institution ou le sous-ministre (le cas échéant) constituent généralement le niveau ultime de règlement des différends.

Lors de la rédaction de l’EER, déterminez :

• si l’EER doit contenir des clauses de règlement des différends en cas de questions ou de contestations liées à l’interprétation, ou de désaccords associés à l’EER.

21. Fonctionnaires désignés

Une EER doit comprendre la date, les noms, les titres et les signatures des fonctionnaires désignés de toutes les parties à l’entente. Se reporter à la section 21 du modèle d’EER et aux sections pertinentes des annexes A, B et H pour des exemples.

Le niveau de délégation pour signer des EER dépend du degré de sensibilité des renseignements, de l’ampleur de tout recouvrement de coûts et des pouvoirs conférés par la législation. Les ententes jugées à faible risque ou à faible coût sont souvent signées au niveau du directeur ou du directeur général.

Lorsque les renseignements personnels sont plus sensibles ou que les coûts sont plus élevés, le responsable de l’institution ou un sous-ministre ou un sous-ministre adjoint de niveau équivalent peut signer.

Les EER de plus grande ampleur, qui sont des ententes générales composées d’ententes annexées plus petites, sont souvent signées par les responsables des institutions ou les sous-ministres (le cas échéant). La signature des modifications apportées aux annexes des EER générales pourrait être déléguée à un représentant autorisé qui serait responsable du domaine du programme. Cette façon de faire permet une plus grande flexibilité si le contenu de ces annexes doit être modifié.

En général, le signataire des parties aux EER est de niveau équivalent, mais cela peut différer si un signataire particulier est indiqué dans la législation. Par exemple, si le sous‑ministre signe l’EER pour la partie A, le sous‑ministre ou une personne de niveau équivalent devrait être le signataire pour la partie B. Cette pratique s’étend aux EER intergouvernementales, où le signataire provincial ou territorial serait au même niveau que son homologue fédéral.

Lois fédérales

• Loi sur l’accès à l’information
• Charte canadienne des droits et libertés
• Loi sur la Bibliothèque et les Archives du Canada
• Loi sur la protection des renseignements personnels
• Règlement sur la protection des renseignements personnels

Politiques, directives et guide

• Directive sur le gouvernement ouvert
• Directive sur l’évaluation des facteurs relatifs à la vie privée
• Directive sur les pratiques relatives à la protection de la vie privée
• Directive sur le numéro d’assurance sociale
• Directive sur la gestion de la sécurité
• Guide de gestion intégrée du risque
• Politique sur l’accès à l’information
• Politique sur la protection de la vie privée
• Politique sur les services et le numérique