Rapport Annuel 2020-2021 - Administration de la Loi sur la protection des renseignements personnels

En juin 2019, le projet de loi C-58 a reçu la sanction royale et est devenu la Loi modifiant la Loi sur l’accès à l’information, la Loi sur la protection des renseignements et d’autres lois en conséquence. S’il a modifié légèrement la Loi sur la protection des renseignements personnels, il a surtout apporté les modifications les plus importantes à la Loi sur l’accès à l’information depuis l’entrée en vigueur de ces deux lois en 1983.

Le présent rapport est préparé et présenté au Parlement conformément à l’article 72 de la Loi sur la protection des renseignements personnels. Il fait état de la façon dont le Service canadien du renseignement de sécurité (SCRS) a appliqué la Loi du 1er avril 2020 au 31 mars 2021.

2. Mandat du SCRS

Depuis trente-sept (37) ans, le SCRS démontre son utilité aux Canadiens en fournissant au gouvernement des renseignements et des conseils cruciaux concernant les menaces qui pèsent sur la sécurité du Canada et les intérêts nationaux. La Loi sur le SCRS investit le SCRS du mandat d’enquêter sur les activités soupçonnées de constituer une menace envers la sécurité du Canada, notamment le terrorisme et l’extrémisme violent, l’espionnage et le sabotage, les activités influencées par l’étranger et le renversement du gouvernement par la violence. Le SCRS conseille également le gouvernement sur ces menaces et prend des mesures légales pour les réduire. De plus, il fournit des évaluations de sécurité sur les personnes qui doivent avoir accès à des informations classifiées ou à des sites sensibles au sein du gouvernement du Canada ainsi que des conseils en matière de sécurité en rapport avec l’exercice des pouvoirs et fonctions conférés en vertu de la Loi sur la citoyenneté et de la Loi sur l’immigration et la protection des réfugiés. Enfin, le SCRS recueille des renseignements étrangers, dans les limites du Canada, à la demande du ministre des Affaires étrangères ou du ministre de la Défense nationale.

En juin 2019, la Loi de 2017 sur la sécurité nationale a reçu la sanction royale. Elle a modernisé la Loi sur le SCRS, c’est-à-dire qu’elle a actualisé des pouvoirs qui étaient rendus insuffisants, introduit de nouvelles mesures de protection et de responsabilisation et clarifié les responsabilités du SCRS. Ces modifications ont réglé des problèmes et conféré au SCRS les pouvoirs dont il avait besoin pour évoluer au même rythme que la menace et le contexte juridique et technologique.

3. Structure organisationnelle

Au cours de l’exercice 2020-2021, la Section de l’accès à l’information et de la protection des renseignements personnels (SAIPRP) est restée au Bureau de la sous-directrice, Politiques et Partenariats stratégiques. Dans ce Bureau, elle fait partie de la Direction des litiges et divulgations, qui relève d’un directeur général. Tous les employés de la SAIPRP se consacrent entièrement à l’administration des programmes liés à la Loi sur l’accès à l’information et à la Loi sur la protection des renseignements personnels au sein du SCRS. Ils offrent un service rapide et de grande qualité aux clients internes et d’autres organismes gouvernementaux, notamment des ministères, et conseillent les employés du SCRS en ce qui concerne le respect de leurs obligations aux termes de ces deux lois. La Direction des services juridiques du SCRS, dont les avocats relèvent du ministère de la Justice (JUS), leur fournit des conseils juridiques au besoin.

Ainsi, la SAIPRP peut compter sur vingt (20) employés à plein temps pour remplir les obligations du SCRS au titre de la Loi sur l’accès à l’information et de la Loi sur la protection des renseignements personnels. Pendant la période visée, la SAIPRP comprenait un (1) chef (un coordonnateur), un (1) chef adjoint, trois (3) sous-chefs, treize (13) analystes à plein temps, un (1) agent d’administration, un (1) recherchiste et un (1) analyste à temps partiel.

Les responsabilités de la SAIPRP dans l’application de la Loi sont subdivisées en deux (2) catégories.

En ce qui a trait aux opérations

• Recevoir et traiter toutes les demandes reçues en vertu de la Loi.
• Aider les demandeurs à formuler leur demande, au besoin.
• Rassembler tous les documents pertinents et s’assurer que les recherches sont faites de façon rigoureuse et que rien n’a été oublié.
• Effectuer le premier examen des documents et formuler des recommandations à l’intention des secteurs responsables.
• Appliquer toutes les exceptions discrétionnaires et obligatoires prévues par la Loi.
• Effectuer toutes les consultations nécessaires en interne et à l’externe, et y donner suite.
• Regrouper les recommandations.
• Aider le Commissariat à la protection de la vie privée du Canada (CPVP) dans tous les dossiers liés à la protection des renseignements personnels, notamment les plaintes déposées contre le SCRS
• Représenter le SCRS dans les litiges liés à la protection des renseignements personnels.

En ce qui a trait aux politiques et procédures

• Coordonner les mises à jour annuelles publiées dans Info Source et leur présentation au Secrétariat du Conseil du Trésor (SCT).
• Préparer le rapport annuel sur l’application de la Loi.
• Conseiller et guider régulièrement les cadres supérieurs et les employés du SCRS sur toutes les questions liées à la protection des renseignements personnels.
• Sensibiliser les employés du SCRS à la protection des renseignements personnels et leur donner des séances de formation pour veiller à ce qu’ils connaissent toutes les obligations prévues par la législation.
• S’assurer que le SCRS respecte la Loi, les règlements ainsi que les procédures et politiques pertinentes.
• S’occuper de la salle de lecture publique du SCRS.
• Élaborer et tenir à jour les politiques et les lignes directrices sur la protection des renseignements personnels, s’il y a lieu.
• Participer aux activités du milieu, notamment la conférence annuelle de l’Association canadienne d’accès à l’information et de la protection des renseignements personnels (ACAP), ainsi qu’aux réunions et aux divers groupes de travail de la collectivité des spécialistes du SCT.

Pendant la période visée, le SCRS n’a ni fourni ni reçu de services relatifs aux attributions conférées à une autre institution fédérale au sens de l’article 73.1 de la Loi sur la protection des renseignements personnels.

4. Ordonnance autorisant la délégation de pouvoirs

Conformément au paragraphe 73(1) de la Loi, le ministre de la Sécurité publique et de la Protection civile a signé un arrêté autorisant le directeur du SCRS, la directrice adjointe des Politiques et des Partenariats stratégiques, le directeur général des Litiges et Divulgations ainsi que le chef, le chef adjoint et les sous-chefs de la SAIPRP à exercer ses attributions à titre de responsable de l’institution.

L’ordonnance de délégation actuelle a été signée le 27 octobre 2020 par l’honorable Bill Blair, C.P., député.

5. Interprétation du rapport statistique 2020-2021 en ce qui concerne les demandes présentées en vertu de la Loi sur la protection des renseignements personnels

Le SCT exige des organismes qu’ils déposent chaque année un rapport statistique sur l’application de la Loi et qu’ils présentent, dans ce rapport, des données cumulatives sur son application au cours de l’exercice. Le rapport statistique du SCRS pour 2020-2021 ainsi que le rapport supplémentaire figurent dans le présent rapport. Dans le présent rapport, les nombres ont été arrondis à l’entier le plus près.

*Lors des exercices de 2019-2020 et de 2020-2021, la pandémie de COVID-19 a eu une incidence sur le respect des délais prescrits par la Loi. Il en sera question plus loin dans le rapport.

Comme le montre le tableau 1, le SCRS a reçu 725 demandes du 1er avril 2020 au 31 mars 2021, ce qui représente une diminution de quatorze pourcent (14 %) par rapport au nombre de demandes reçues au cours de l’exercice précédent. Cette diminution est fort probablement liée à la pandémie mondiale. Le SCRS a tout de même traité un grand nombre de demandes hautement complexes et délicates et a examiné 38 188 pages pour répondre aux demandes soumises aux termes de la Loi.

5.1 – Sources des demandes

Les 725 demandes reçues pendant la période visée provenaient de diverses sources. Au total, soixante-dix-huit pourcent (78 %) des demandes provenaient de membres de la population qui, en grande partie, voulaient connaître le statut de leur dossier de citoyenneté ou d’immigration ou cherchaient à savoir si le SCRS possédait des informations à leur sujet. Seulement dix pourcent (10 %) des demandes provenaient d’entreprises; les plus courantes étant les cabinets d’avocats demandant des renseignements personnels au nom de leurs clients désireux de connaître leur statut d’immigration ou de citoyen.

5.2 – Dispositions prises relativement aux demandes traitées

La SAIPRP a traité 725 demandes en 2020-2021. De ce nombre, soixante-deux pourcent (62 %) ont été traitées en 15 jours ou moins, vingt-et-un pourcent (21 %) ont été traitées dans un délai de 16 à 30 jours et dix pourcent (10 %) ont été traitées dans un délai de plus de 60 jours. Dans l’ensemble, aucune demande n’a fait l’objet d’une communication totale alors que vingt-sept pourcent (27 %) des demandes ont fait l’objet d’une communication partielle. Pour trente pourcent (30 %) des demandes, les recherches ont permis de déterminer qu’il n’existait aucun document et, pour trente-trois pourcent (33 %) des demandes, l’existence de documents n’a pu être ni confirmée ni infirmée.

5.3 – Présomptions de refus

Des 725 demandes traitées pendant la période visée par le présent rapport, la SAIPRP a réussi à traiter 632 demandes (quatre-vingt-sept pourcent (87 %)) dans le délai prescrit par la Loi, mais a dépassé ce délai pour quatre-vingt-treize (93) demandes (treize pourcent (13 %)). Il est important de préciser que trente-et-un pourcent (31 %) des quatre-vingt-treize (93) demandes ont fait l’objet d’une prorogation. La pandémie de COVID-19 et la nécessité de consulter d’autres organismes, dont des ministères, au sujet de documents classifiés ont constitué les principales raisons des retards. Les mesures prises par le SCRS et d’autres organismes du gouvernement au Canada en raison de la pandémie de COVID-19 ont eu une incidence négative sur les retards dans les délais de traitement.

5.4 – Prorogations

La Loi permet à l’organisation de proroger le délai lorsqu’elle doit mener des consultations internes ou externes, lorsqu’elle a besoin de plus de temps pour examiner un grand nombre de documents ou lorsque l’examen des documents risque d’entraver son fonctionnement. Pendant la période visée, le SCRS a prorogé le délai de traitement de vingt-neuf (29) demandes. Dans cinquante-cinq pourcent (55%) de ces vingt-neuf (29) cas, il l’a fait parce qu’il devait consulter des directions à l’interne ou des organismes fédéraux, et dans quarante-et-un pourcent (41 %) des cas, il l’a fait pour éviter une entrave à son fonctionnement. Toutes les prorogations ont été de 16 à 30 jours.

5.5 – Exceptions et exclusions invoquées

La Loi sur la protection des renseignements personnels autorise les organisations à refuser de communiquer des renseignements pour diverses raisons. La SAIPRP a invoqué 941 exceptions aux termes de la Loi pendant la période visée.

La Loi ne s’applique pas aux renseignements déjà accessibles au public et prévoit des exclusions, notamment dans le cas des documents confidentiels du Cabinet. La SAIPRP n’a invoqué aucune exclusion pendant la période en question.

5.6 – Demandes de consultation reçues d’autres organismes du gouvernement du Canada

En 2020-2021, le Service a reçu dix (10) demandes de consultation ayant trait à ses dossiers ou à ses affaires. Deux (2) demandes étaient en suspens à la fin de l’exercice 2019-2020.

En 2020-2021, la SAIPRP a traité douze (12) demandes de consultation, lesquelles ont nécessité l’examen de 148 pages. Au total, cinquante pourcent (50 %) des demandes de consultation ont été traitées en moins de 15 jours et vingt-cinq pourcent (25 %) l’ont été entre 16 et 60 jours. Les vingt-cinq (25) demandes restantes ont été traitées en plus de 61 jours. La SAIPRP n’a reporté aucune demande de consultation au prochain exercice.

5.7 – Autres demandes

La SAIPRP a aussi donné des avis et des conseils aux cadres du SCRS sur les dispositions de la Loi. Elle leur est venue en aide plus de 196 fois sur une vaste gamme de sujets dont la communication d’informations par le SCRS à l’extérieur du cadre prévu par la Loi.

En 2020-2021, la SAIPRP a continué de recevoir des appels et des courriels d’employés du SCRS et de membres du public qui voulaient savoir comment procéder pour obtenir des renseignements personnels ou comment soumettre une demande en vertu de la Loi sur la protection des renseignements personnels. L’équipe administrative de la SAIPRP a répondu aux questions avec professionnalisme, invitant souvent les demandeurs à consulter le site Web « Demande d’accès à l’information et de protection des renseignements personnels en ligne ».

5.8 – Incidence des mesures liées à la pandémie de COVID-19

Tel qu’il a été mentionné au tableau 1, la pandémie mondiale de COVID-19 a eu une influence importante sur le taux de demandes traitées dans les délais pour l’exercice 2020-2021. Les mesures de lutte contre la propagation de la COVID-19 mises en place par le SCRS et le Gouvernement du Canada ont eu des conséquences négatives sur la SAIPRP.

Le 14 mars 2020, le SCRS a mis en œuvre son plan de continuité des activités. Dans ce contexte et parce qu’elle ne peut examiner des documents secrets et très secrets en télétravail, la SAIPRP a été obligée de fermer pour huit (8) semaines. Ainsi, les demandes d’accès à l’information envoyé au Service entre le 14 mars et le 19 mai 2020 n’ont été ni enregistrées ni traitées.

La SAIPRP a toutefois été en mesure de suivre les recommandations du SCT et a envoyé des avis de retards aux demandeurs concernés. Le site Web du SCRS, son courriel de réponse automatique au public et sa messagerie vocale ont été modifiés pour aviser les demandeurs des retards possibles dans le traitement de leur demande en raison des mesures visant à freiner la propagation de la COVID-19 en milieu de travail.

Un nombre restreint d’employés ont pu réintégrer les bureaux lorsque la situation l’a permis et que l’endroit a été jugé sécuritaire. La SAIPRP a fonctionné avec une capacité de traitement partielle du 19 mai au 24 août 2020, c’est-à-dire quatorze (14) semaines. Pour des raisons sécurité, le Service n’a pas les moyens de traiter les documents numériques secrets et très secrets. Durant ces quatorze (14) semaines, la SAIPRP a tout de même été en mesure de traiter 188 demandes papier, dont 138 reçues après le 1er avril 2020. À partir du 24 août 2020, les employés de la SAIPRP ont tous pu reprendre le travail au bureau et rester en poste jusqu’à la fin de l’exercice. Comme indiqué le « Rapport statistique supplémentaire 2020-2021 sur la Loi sur l’accès à l’information et la Loi sur la protection des renseignements personnels », le Service a été en mesure de recevoir des demandes par la poste et par le service de demande numérique pendant quarante-quatre (44) des cinquante-deux (52) semaines de l’exercice.

Comme mentionné précédemment, la pandémie de COVID-19 a eu des effets importants sur le respect des délais de traitement prévus dans la Loi, entre autres l’impossibilité pour certains organismes dont les employés étaient en télétravail, de recevoir et de traiter des documents secrets et très secrets. Bon nombre de ces organismes ont aussi informé le Service qu’ils ne pouvaient pas accepter les demandes de consultation classifiées. En raison de ces circonstances, des demandes ont fait l’objet de présomptions de refus, de réponses partielles et de longues prorogations nécessaires. Lorsque les restrictions dues à la COVID-19 prendront fin et que ces organismes pourront à nouveau recevoir et traiter des documents papier classifiés, le Service sera inondé de demande de consultation et de réponses. Le rapport annuel 2021-2022 se penchera probablement sur les conséquences d’un tel nombre de demandes.

6. Formation et sensibilisation

En 2020-2021, la SAIPRP n’a pas tenu de formations ni de séances d’information en personne. Les employés étaient plutôt encouragés à utiliser d’autres moyens de communication, notamment le téléphone, les logiciels de collaboration et la téléconférence. La SAIPRP a toutefois continué à offrir des séances d’information au moyen de diaporamas numériques avec narration. Ces derniers s’inscrivent dans le programme d’orientation que tous les nouveaux employés doivent suivre. Les autres employés du Service peuvent consulter les diapositives quand bon leur semble au moyen d’un logiciel d’apprentissage. Les diapositives en question donnent un aperçu de la Loi et de la Loi sur l’accès à l’information, aident à mieux comprendre les responsabilités et les obligations individuelles liées à ces lois et aident à bien saisir le processus interne d’AIPRP. En 2020-2021, 241 employés du SCRS ont consulté le module de formation.

7. Politiques, lignes directrices, procédures et initiatives

Au Service, le travail a été exécuté selon la directive provisoire sur les pratiques relatives à la protection de la vie privée et les évaluations des facteurs relatifs à la vie privée fournies par le SCT à l’occasion de la pandémie mondiale. Aucune autre politique, ligne directrice ou procédure n’a été mise en œuvre pendant la période visée à la suite de l’adoption par le SCT de nouvelles politiques ou directives ou de questions soulevées par le CPVP liées à la Loi sur la protection des renseignements personnels.

Par ailleurs, il a été décidé que le poste de conseiller à la protection des renseignements personnels, qui faisait partie de la SAIPRP depuis juillet 2018, soit officiellement transféré à la Sous-section de la conformité du SCRS à l’été 2020. Le conseiller à la protection des renseignements personnels est notamment chargé de veiller à la conformité aux politiques du SCT et de favoriser le respect des pratiques relatives à la protection de la vie privée. Il continue de consulter les membres de la SAIPRP aux termes de la partie 10 et du paragraphe 71(6) de la Loi.

8. Objet des plaintes ou des vérifications et mesures prises

Conformément au paragraphe 29 (1) de la Loi, les demandeurs peuvent déposer une plainte auprès du CPVP s’ils sont insatisfaits de la réponse à leur demande de renseignements personnels. Il existe divers motifs de plainte, dont le refus d’une organisation de communiquer des renseignements personnels, l’utilisation ou la communication de renseignements personnels à d’autres fins ou les retards dans l’obtention d’une réponse. Au total, quinze (15) plaintes ont été déposées auprès du CPVP en 2020-2021, ce qui correspond à deux pourcent (2 %) des demandes reçues en vertu de la Loi pendant l’exercice.

Les enquêteurs du CPVP ont traité sept plaintes et formulé leurs conclusions. Ils ont conclu que cinq (5) d’entre elles (soixante-douze pourcent (72 %)) n’étaient pas fondées. Aussi, une (1) plainte a été résolue en début de processus et une (1) plainte a été abandonnée.

Le SCRS continue de travailler en étroite collaboration avec le CPVP afin de régler les plaintes rapidement et efficacement. Il examine les résultats de toutes les enquêtes menées par le CPVP et intègre les leçons tirées à ses processus, s’il y a lieu.

Quatre (4) actions en justice ont été intentées contre le SCRS en ce qui concerne l’application de la Loi au cours de la période de référence. Les procédures sont toujours en cours.

9. Surveillance de la conformité

Les sous-chefs sont chargés de surveiller la conformité et de signaler les problèmes au chef de la SAIPRP. Cette surveillance constante est exercée au moyen des rapports produits par le logiciel de gestion des dossiers de la SAIPRP. Le coordonnateur de l’accès à l’information signale les problèmes de conformité au directeur général des Litiges et des Divulgations.

10. Atteintes substantielles à la vie privée

Une atteinte substantielle à la vie privée a été signalée au CPVP au cours de la période visée par le rapport. Elle est survenue au SCRS et concerne des informations sur un candidat extérieur à l’organisme. Ainsi, des renseignements personnels du candidat ont été courriellés par erreur à un gestionnaire d’embauche. Les mesures nécessaires à la suppression des documents ont été prises immédiatement. Le CPVP est satisfait de la manière dont le SCRS a géré l’incident et a fermé le dossier le 27 février 2021. Le SCRS prend au sérieux la protection de la vie privée de ses employés et des autres Canadiens et continue de prendre des mesures pour éviter les fuites.

11. Évaluation des facteurs relatifs à la vie privée

La directive du SCT sur l’évaluation des facteurs relatifs à la vie privée (EFVP) est entrée en vigueur le 1er avril 2010. L’EFVP est un processus qui aide à déterminer si les projets dans le cadre desquelles des renseignements personnels seront recueillis et utilisés comportent des risques sur le plan du respect de la vie privée. Il permet de mesurer, de décrire et de quantifier les risques ainsi que de proposer des solutions pour les éliminer ou les atténuer suffisamment pour qu’ils soient acceptables avant la mise en œuvre de tout programme nouveau ou ayant fait l’objet de modifications importantes. Une directive provisoire sur l’EFVP a été mise en œuvre pendant la période visée en raison de la pandémie de COVID-19.

En consultation avec les spécialistes du SCRS, le conseiller à la protection des renseignements personnels est chargé d’évaluer si les activités et les programmes nouveaux ou considérablement modifiés ont eu une incidence sur le respect de la vie privée et justifient la préparation d’une EFVP selon la directive du SCT sur les EFVP. Lorsqu’une EFVP est nécessaire, le conseiller à la vie privée entame le processus et coordonne son exécution. Il obtient les approbations requises et soumet le rapport d’évaluation au SCT et au CPVP, puis répond aux recommandations du CPVP. Comme cela a été expliqué, en 2020, le poste de conseiller à la vie privée a été transféré de la SAIPRP à la Sous-section de la conformité.

Pendant la période visée par le présent rapport, la Sous-section de la conformité:

• a consulté les experts du SCRS afin de déterminer si une EFVP était nécessaire pour quatorze (14) programmes, initiatives ou activités nouveaux ou modifiés.
• a fait approuver une (1) EFVP et l’a soumise au CPVP.
• avait une (1) EFVP en attente d’approbation à la fin de la période visée.
• travaillait sur neuf (9) EFVP.

Pour des raisons liées à la sécurité nationale, le Service ne publie que les résumés des EFVP non classifiées.

12. Communications pour des raisons d’intérêt public

Aucune communication n’a été faite aux termes de l’alinéa 8(2)m) de la Loi pendant la période visée.

13. Autre

En 2020-2021, les dépenses salariales de la SAIPRP se sont élevées à 903 213 $ et les autres coûts associés à l’application de la Loi ont totalisé 192 $.