Directive sur les pratiques relatives à la protection de la vie privée

Fournit une orientation aux institutions gouvernementales sur la façon de mettre en œuvre des pratiques efficaces de protection de la vie privée.
Modification : 2024-11-08

Outils sous-jacents

Procédures obligatoires :

Renseignements supplémentaires

Politique :

Terminologie :

Sujet :

Hiérarchie
Voir la hiérarchie complète

Archives

Cette directive remplace :

Voir tous les instruments inactifs
Version imprimable XML
Agrandir tout Réduire tout

1. Date d'entrée en vigueur

  • 1.1La présente directive entre en vigueur le 9 octobre 2024.
  • 1.2

    La présente directive remplace les directives suivantes :

    • 1.2.1la Directive sur les pratiques relatives à la protection de la vie privée datée du 22 octobre 2022;
    • 1.2.2la Directive sur l’évaluation des facteurs relatifs à la vie privée datée du 1er avril 2010.

2. Pouvoirs

3. Objectifs et résultats escomptés

  • 3.1En plus de viser les objectifs précisés à la section 3.1 de la Politique sur la protection de la vie privée, la présente directive vise la mise en œuvre de pratiques solides et uniformes relatives à la gestion de la protection des renseignements personnels tout au long de leur cycle de vie, notamment lors de la création, la collecte, la conservation, l’usage, la communication et le retrait des renseignements personnels relevant des institutions fédérales, que les renseignements soient détenus par l’institution ou par un tiers agissant dans le cadre d’un contrat, d’un accord d’échange de renseignements ou d’une entente d’échange de renseignements avec une institution fédérale.
  • 3.2

    Les résultats escomptés de la présente directive sont les suivants :

    • 3.2.1les renseignements personnels sont toujours créés, recueillis, conservés, utilisés, communiqués et détruits d’une manière qui respecte les dispositions de la Loi et du Règlement sur la protection des renseignements personnels (le Règlement);
    • 3.2.2

      les fichiers de renseignements personnels (FRP) et les catégories de renseignements personnels des institutions fédérales sont décrits d’une manière qui :

      • 3.2.2.1facilite le processus permettant aux individus de demander l’accès à leurs renseignements personnels et la correction de ceux-ci,
      • 3.2.2.2explique les fins auxquelles les institutions fédérales recueillent les renseignements personnels ainsi que les pratiques relatives à la protection de la vie privée qui appuient l’administration des programmes et des activités;
    • 3.2.3des évaluations des facteurs relatifs à la vie privée (EFVP) sont réalisées afin de cerner, d’examiner et de mettre à jour les risques pour la vie privée liés aux programmes et activités qui comprennent l’utilisation de renseignements personnels à des fins administratives, et de mettre en œuvre les mesures d’atténuation qui s’imposent;
    • 3.2.4des protocoles de protection des renseignements personnels sont rédigés, examinés et mis à jour pour la collecte, l’usage ou la communication de renseignements personnels à des fins non administratives;
    • 3.2.5les atteintes à la vie privée sont gérées efficacement et des mesures préventives appropriées sont en place;
    • 3.2.6les renseignements personnels relevant des institutions fédérales sont exacts.

4. Exigences

  • 4.1

    Responsabilités du responsable de l’institution fédérale ou de son délégué

    • 4.1.1Établir des pratiques efficaces relatives à la protection de la vie privée au sein de son institution comme il est énoncé ci-après. Les fonctionnaires ou les employés doivent respecter ces pratiques lorsqu’ils participent à des activités liées à la création, à la collecte, à la conservation, à l’exactitude, à l’usage, à la communication ou au retrait de renseignements personnels qui relèvent de l’institution fédérale, y compris les renseignements personnels des fonctionnaires ou des employés de l’institution fédérale au sens de la Loi.

    Formation sur la protection des renseignements personnels

    Atteintes à la vie privée

    • 4.1.4

      S’assurer que les plans visant à répondre aux atteintes à la vie privée qui touchent les renseignements personnels relevant de l’institution, y compris celles qui se produisent au sein des entités tierces ou qui sont le résultat de leurs actions, satisfont aux exigences suivantes :

      • 4.1.4.1les rôles et responsabilités en cas d’atteinte à la vie privée sont clairement définis;
      • 4.1.4.2les procédures et communications internes sont conformes à la Politique sur la sécurité du gouvernement et aux directives et normes connexes;
      • 4.1.4.3les exigences énoncées à l’annexe B. Procédures obligatoires pour les atteintes à la vie privée sont respectées.
    • 4.1.5En cas d’atteinte à la vie privée qui touche des renseignements personnels détenus par l’institution, mais qui relèvent d’une autre institution fédérale, en aviser rapidement cette dernière et prendre les mesures correctives nécessaires en collaboration avec celle-ci pour s’assurer que les exigences énoncées à l’annexe B. Procédures obligatoires pour les atteintes à la vie privée sont respectées.
    • 4.1.6Appliquer les procédures obligatoires qui relèvent de sa responsabilité, telles qu’elles sont énoncées à l’annexe B. Procédures obligatoires pour les atteintes à la vie privée.

    Fichiers de renseignements personnels et catégories de renseignements personnels

    • 4.1.7S’assurer que le processus visant à créer des FRP ou à modifier de façon importante des FRP existants est aligné sur le processus de création et d’approbation des EFVP et des protocoles de protection des renseignements personnels.
    • 4.1.8

      S’assurer qu’un FRP est créé pour :

      • 4.1.8.1tout programme ou activité qui comprend l’utilisation de renseignements personnels à des fins administratives;
      • 4.1.8.2tout programme ou activité qui comprend l’utilisation de renseignements personnels organisés de façon à pouvoir être retrouvés par référence au nom d’une personne ou à un numéro, symbole ou autre indication identificatrice propre à cet individu.
    • 4.1.9S’assurer qu’une catégorie de renseignements personnels est créée pour tout renseignement personnel qui relève d’une institution fédérale, mais qui n’est pas destiné à être utilisé à des fins administratives et qui ne peut pas être retrouvés par référence au nom de l’individu ou d’un autre identifiant personnel.
    • 4.1.10Mettre à jour le répertoire des FRP prescrit par le Secrétariat du Conseil du Trésor du Canada (SCT) lorsque des FRP sont créés, modifiés ou éliminés et que des modifications sont apportées aux catégories de renseignements personnels.

    Évaluations des facteurs relatifs à la vie privée

    • 4.1.11

      Veiller à la mise en place d’un processus de création et d’approbation des EFVP qui :

      • 4.1.11.1tient compte de la responsabilité de créer des FRP au sein de l’institution;
      • 4.1.11.2est adapté au niveau du risque pour la vie privée lié au programme ou de l’activité de l’institution.
    • 4.1.12S’assurer qu’une EFVP est réalisée pour tout programme ou activité qui comprend l’utilisation de renseignements personnels à des fins administratives.

    Protocoles de protection de la vie privée

    • 4.1.13S’assurer qu’un protocole de protection de la vie privée est mis en place pour tout programme ou activité qui comprend l’utilisation de renseignements personnels à des fins non administratives.

    Fichiers inconsultables

    • 4.1.14S’assurer que les propositions soumises au SCT en vue de la création ou l’élimination d’un fichier inconsultable contiennent :
      • 4.1.14.1une description des renseignements qui seront inclus dans le fichier inconsultable et les raisons pour lesquelles ils doivent l’être;
      • 4.1.14.2la confirmation que les documents versés dans le fichier sont principalement constitués de renseignements personnels, comme il est décrit aux articles 21 ou 22 de la Loi;
      • 4.1.14.3la disposition de l’exception spécifique de la Loi sur laquelle on s’appuie;
      • 4.1.14.4un énoncé des effets préjudiciables prévus pour toute exception fondée sur un critère subjectif;
      • 4.1.14.5l’ébauche du décret et l’ébauche du Résumé de l’étude d’impact de la réglementation.

    Demandes et communication à des organismes d’enquête et

    Documentation relative aux nouveaux usages et communications

    • 4.1.16Mettre en place des procédures sur la tenue de documents indiquant les nouveaux usages et communications ainsi que de tous les usages compatibles qui ne sont pas décrits dans un FRP. Ces procédures permettront de s’assurer que :
      • 4.1.16.1les descriptions de l’usage et des fins de la collecte et de la communication figurant dans tous les FRP sont tenues à jour (ce qui ne s’applique pas aux communications faites aux organismes d’enquête);
      • 4.1.16.2tout nouvel usage compatible est indiqué dans les FRP pertinents;
      • 4.1.16.3le commissaire à la protection de la vie privée du Canada est informé de tout nouvel usage compatible.

    Web analytique et protection de la vie privée

    Surveillance et établissement de rapports

    • 4.1.18Surveiller les exigences de la présente directive et présenter un rapport à cet égard, comme l’indique la Politique sur la protection de la vie privée.
  • 4.2

    Responsabilités des cadres supérieurs chargés de gérer les programmes ou les activités comprenant la création, la collecte ou le traitement de renseignements personnels

    Pratiques relatives à la protection de la vie privée

    • 4.2.1Informer le responsable de l’institution fédérale ou son délégué de tout nouveau programme ou toute nouvelle activité proposé, ou de toute modification importante à apporter à une activité ou à un programme existant, lorsque les renseignements personnels d’un individu sont recueillis ou traités dans le cadre d’un processus décisionnel qui touche directement l’individu concerné.
    • 4.2.2S’assurer que les pratiques relatives à la protection de la vie privée sont conformes et adhèrent aux dispositions de la Loi, du Règlement et des autres lois applicables, y compris la loi habilitante de l’institution.
    • 4.2.3Informer les employés des conséquences juridiques et administratives de tout accès inapproprié ou non autorisé aux renseignements personnels, ou de tout usage, communication, modification, conservation ou retrait inapproprié ou non autorisé de renseignements personnels dans le cadre d’un programme ou d’une activité particulier.

    Atteintes à la vie privée

    • 4.2.4Mettre en œuvre les plans de l’institution visant à répondre aux atteintes à la vie privée.
    • 4.2.5S’assurer que le responsable de l’institution fédérale ou son délégué est informé de toute atteinte potentielle ou confirmée à la vie privée qui touche des renseignements personnels détenus par l’institution ou qui relèvent de celle-ci, y compris toute atteinte qui se produit au sein d’un tiers.
    • 4.2.6Exécuter les procédures obligatoires qui relèvent de leur responsabilité, telles qu’elles sont énoncées à l’annexe B. Procédures obligatoires pour les atteintes à la vie privée.

    Collecte et création de renseignements personnels

    • 4.2.7S’assurer, avant la collecte des renseignements personnels, que l’institution dispose de l’autorité légitime en ce qui concerne le programme ou l’activité pour lequel les renseignements personnels sont recueillis. L’obtention du consentement d’un individu pour recueillir ses renseignements personnels ne remplace ni n’établit l’autorité légitime pour recueillir ces renseignements personnels.
    • 4.2.8Déterminer les éléments à inclure dans un FRP avant toute nouvelle collecte de renseignements personnels.
    • 4.2.9Limiter la collecte de renseignements personnels aux renseignements qui sont directement liés aux programmes ou aux activités de l’institution fédérale, et à ceux qui sont manifestement nécessaires pour ceux-ci. La création de renseignements personnels par l’institution fédérale est considérée comme une collecte au sens de la Loi.

    Fichiers de renseignements personnels

    Évaluations des facteurs relatifs à la vie privée

    Protocoles de protection des renseignements personnels

    • 4.2.16

      Lorsque des renseignements personnels doivent être utilisés à des fins non administratives, s’assurer que des protocoles de protection des renseignements personnels sont préparés et mis à jour :

    • 4.2.17Approuver les protocoles de protection des renseignements personnels de concert avec l’agent responsable de l’application de l’article 10 de la Loi sur la protection des renseignements personnels.
    • 4.2.18Veiller à ce que les décisions d’établir ou de mettre à jour des protocoles de protection des renseignements personnels soient documentées, conformément à l’annexe C. Norme relative à l’évaluation des facteurs relatifs à la vie privée.
    • 4.2.19Lorsqu’un FRP est enregistré, modifié ou transféré dans le cadre d’un programme ou d’une activité qui comprend l’utilisation de renseignements personnels à des fins non administratives, veiller à ce que le protocole de protection des renseignements personnels connexe soit communiqué au SCT et au Commissariat, tout en respectant le caractère confidentiel des documents du Cabinet.

    Avis de confidentialité

    • 4.2.20

      Aviser l’individu, dont les renseignements personnels font l’objet d’une collecte directe, des éléments suivants :

      • 4.2.20.1les fins de la collecte et en vertu de quelle autorité légitime elle est faite;
      • 4.2.20.2tout usage ou toute communication compatible avec la fin originale;
      • 4.2.20.3les conséquences sur le plan juridique et administratif découlant du refus de fournir les renseignements personnels;
      • 4.2.20.4la description du FRP connexe;
      • 4.2.20.5les droits d’accès, de correction et de protection des renseignements personnels en vertu de la Loi;
      • 4.2.20.6le droit de déposer une plainte auprès du commissaire à la protection de la vie privée du Canada concernant la façon dont l’institution traite les renseignements personnels des individus.
    • 4.2.21Au moment de la collecte, adapter l’avis de confidentialité selon qu’il s’agit d’une communication orale ou par écrit.

    Consentement au sujet de la collecte, de l’usage et de la communication

    • 4.2.22

      Obtenir le consentement de l’individu aux fins suivantes :

      • 4.2.22.1collecte indirecte de renseignements personnels, sauf en cas de collecte à des fins non administratives ou aux fins énumérées au paragraphe 8(2) de la Loi, ou si la demande d’un consentement risque d’entraîner la collecte de renseignements inexacts ou d’aller à l’encontre des fins auxquelles les renseignements ont été recueillis ou de compromettre l’usage auquel ils sont destinés;
      • 4.2.22.2usage ou communication ne respectant pas les fins auxquelles les renseignements ont été recueillis ou préparés initialement, sauf si l’usage ou la communication est autorisé en vertu du paragraphe 8(2) de la Loi;
      • 4.2.22.3tout retrait de renseignements personnels avant la fin de la période minimale de conservation de deux ans stipulés dans le Règlement, à moins que le retrait ne soit expressément autorisé par la Loi.
    • 4.2.23

      S’il y a lieu, inclure les éléments suivants dans la demande de consentement :

      • 4.2.23.1la fin pour laquelle le consentement est demandé;
      • 4.2.23.2les éléments de renseignements personnels demandés;
      • 4.2.23.3dans le cas d’une collecte indirecte, les sources qui seront appelées à fournir des renseignements et la raison pour laquelle il s’agit d’une collecte indirecte;
      • 4.2.23.4les usages ou les communications qui ne sont pas compatibles avec les fins originales de la collecte et pour lesquels le consentement est demandé;
      • 4.2.23.5les conséquences pouvant résulter du refus de donner son consentement;
      • 4.2.23.6toute alternative à donner e au consentement.
    • 4.2.24S’assurer que le consentement est obtenu par écrit ou qu’il est documenté de manière adéquate, et inclure des informations telles que la date et l’heure du consentement.

    Exactitude

    • 4.2.25Prendre toutes les mesures raisonnables pour s’assurer que les renseignements personnels utilisés dans un processus décisionnel sont autant que possible exacts, à jour et complets. Il s’agit notamment de recueillir, dans la mesure du possible, des renseignements personnels directement auprès de l’individu, sauf en cas d’indication contraire de la part de l’individu ou pour les raisons mentionnées au paragraphe 5(1) de la Loi.
    • 4.2.26

      Dans les cas où les renseignements personnels sont recueillis indirectement sans l’obtention du consentement, mettre en œuvre des mesures pour :

      • 4.2.26.1s’assurer que les renseignements personnels sont obtenus auprès d’une source fiable;
      • 4.2.26.2vérifier ou valider l’exactitude des renseignements personnels avant de les utiliser.
    • 4.2.27Lors de la validation de l’exactitude des renseignements personnels, documenter la source ou la technique utilisée.
    • 4.2.28Au moment de valider l’exactitude des renseignements personnels, indiquer dans la description du FRP pertinent la source ou la technique utilisée, notamment tout couplage de données, lorsque cela est approprié.
    • 4.2.29S’assurer que les individus ont, dans la mesure du possible, la possibilité de corriger tout renseignement personnel inexact les concernant avant la prise de toute décision qui pourrait avoir une incidence sur eux.

    Mesures de protection relatives à la collecte, l’usage et la communication

    • 4.2.30Limiter l’accès aux renseignements personnels aux personnes qui occupent des postes ou exercent des fonctions dans le cadre du programme ou de l’activité et qui ont une raison valable d’accéder aux renseignements personnels.
    • 4.2.31Mettre en œuvre les mesures administratives, techniques et physiques pour limiter l’accès aux renseignements personnels et l’usage et la communication de ceux-ci, afin d’assurer leur protection.
    • 4.2.32Prendre des mesures appropriées pour s’assurer que l’accès aux renseignements personnels ainsi que l’usage et la communication de ceux-ci sont surveillés et documentés, afin de cerner rapidement les atteintes à la vie privée.

    Contrats, accords et ententes

    • 4.2.33Établir un contrat, un accord d’échange de renseignements ou une entente d’échange de renseignements comportant des mesures de protection appropriées avant la communication des renseignements personnels ne soient communiqués à un autre programme fédéral ou à une autre entité du secteur public ou privé, sauf si l’échange de renseignements personnels est visé par un traité international, en conformité avec les normes internationales.
    • 4.2.34

      S’assurer que les mesures de protection appropriées pour les contrats, les accords d’échange de renseignements ou les ententes d’échange de renseignements visées par le paragraphe 4.2.33 de la présente directive qui sont entrés en vigueur ou qui ont été modifiés de façon importante après le 26 octobre 2022, comprennent des dispositions qui tiennent compte des éléments suivants :

      • 4.2.34.1les éléments de renseignement personnel particuliers qui seront communiqués;
      • 4.2.34.2la fin précise ou les fins précises de la communication;
      • 4.2.34.3les restrictions régissant la collecte, l’usage et la communication ultérieure des renseignements personnels;
      • 4.2.34.4la disposition et le retrait adéquats des renseignements personnels, notamment une confirmation de la destruction de ceux-ci, s’il y a lieu;
      • 4.2.34.5les mesures de protection administratives, techniques et physiques;
      • 4.2.34.6le fait que l’institution fédérale conserve le contrôle de tous les renseignements personnels communiqués à l’entité ou recueillis par celle-ci dans le cadre du contrat, de l’accord d’échange de renseignements ou de l’entente d’échange de renseignements;
      • 4.2.34.7l’obligation d’assurer la coordination avec l’institution fédérale afin que celle-ci puisse s’acquitter de ses obligations en vertu de l’article 12 de la Loi en ce qui concerne le droit d’accès d’un individu;
      • 4.2.34.8pour les institutions fédérales assujetties à la Politique sur la sécurité du gouvernement, l’obligation de respecter toute orientation émise par les principaux organismes chargés de la sécurité, comme il est énoncé à la section 5 de cette politique;
      • 4.2.34.9la déclaration obligatoire et en temps opportun à l’institution fédérale de toute atteinte potentielle ou confirmée à la vie privée touchant des renseignements personnels;
      • 4.2.34.10pour les entités non assujetties à la Loi, l’obligation, en cas d’atteinte potentielle ou confirmée à la vie privée, de fournir à la demande de l’institution fédérale, qui dirige l’enquête, un accès suffisant aux fonds de renseignements personnels pour mener une évaluation de l’atteinte potentielle ou confirmée;
      • 4.2.34.11un examen obligatoire du contrat, de l’accord d’échange de renseignements ou de l’entente d’échange de renseignements à un intervalle convenu par les parties.
    • 4.2.35À la demande du SCT ou du Commissariat, fournir le contrat, l’accord d’échange de renseignements ou l’entente d’échange de renseignements visé par le paragraphe 4.2.33.
    • 4.2.36Mettre à la disposition du public, par le biais de la mise à jour annuelle d’Info Source de l’institution, un résumé du contrat, de l’accord d’échange de renseignements ou de l’entente d’échange de renseignements visé par le paragraphe 4.2.33, sauf s’il s’agit d’une communication unique et ponctuelle des renseignements personnels.
    • 4.2.37Respecter les exigences de sécurité et tenir compte de tout aspect juridique ou de confidentialité lorsque l’on met un résumé d’un contrat, d’un accord d’échange de renseignements ou d’une entente d’échange de renseignements à la disposition du public.

    Cession ou privatisation

    • 4.2.38

      Si les renseignements personnels sont transférés hors du contrôle de l’institution fédérale à la suite de la cession ou de la privatisation d’un programme ou d’une activité, s’assurer de ce qui suit :

      • 4.2.38.1l’autorisation pour le transfert est établie;
      • 4.2.38.2des pratiques adéquates relatives à la protection de la vie privée sont en place avant le transfert;
      • 4.2.38.3les individus conserveront le droit d’accès à leurs renseignements personnels ainsi que le droit de correction de ceux-ci après le transfert;
      • 4.2.38.4un accord de transfert de documents, conforme à l’Autorisation de disposer des documents en vigueur, est conclu pour établir les modalités relatives aux documents faisant l’objet du transfert, ce qui comprend les éléments à prendre en considération en matière de sécurité;
      • 4.2.38.5le consentement du bibliothécaire et archiviste du Canada est obtenu avant le transfert des documents;
      • 4.2.38.6un avis de la cession ou de la privatisation est mis à la disposition du public par le biais de la mise à jour annuelle d’Info Source de l’institution.

    Présentations au Conseil du Trésor

    • 4.2.39

      Au moment de préparer une présentation au Conseil du Trésor, s’assurer qu’elle indique :

      • 4.2.39.1

        si les autorisations demandées sont liées à un programme ou à une activité qui comprend la création, la collecte, l’usage, la communication, la conservation ou le retrait de renseignements personnels :

        • 4.2.39.1.2dans le corps de la présentation, si une EFVP est nécessaire pour un programme ou une activité qui comprend l’utilisation de renseignements personnels;
      • 4.2.39.2dans le résumé du projet, lorsqu’il faut obtenir l’approbation du Conseil du Trésor, les mesures qui sont prises ou qui doivent être prises pour remédier aux problèmes et aux risques liés à la protection de la vie privée.
    • 4.2.40

      Si une présentation au Conseil du Trésor indique qu’une EFVP est nécessaire, s’assurer qu’elle est indiquée dans le corps de la présentation, en plus d’indiquer :

      • 4.2.40.1si l’EFVP a été réalisée;
      • 4.2.40.2si l’EFVP n’a pas encore été réalisée, quand elle le sera.

    Documentation sur les nouveaux usages et communications

    • 4.2.41Aviser le responsable de l’institution fédérale ou son délégué compétent de tout usage, fin ou communication de renseignements personnels dont il n’est pas fait mention dans la description du FRP et s’assurer que le FRP soit mis à jour en conséquence.

    Conservation et retrait de renseignements personnels

    • 4.2.42Appliquer les normes de conservation des renseignements personnels de l’institution ainsi que les Autorisations de disposer des documents établies par Bibliothèque et Archives Canada et les indiquer dans le FRP pertinent.
    • 4.2.43S’assurer que l’institution conserve les renseignements personnels d’un individu qui ont servi à des fins administratives, conformément au paragraphe 6(1) de la Loi et aux alinéas 4(1)a) et b) du Règlement.
    • 4.2.44Examiner régulièrement les dossiers décrits dans les FRP, y compris ceux des fichiers inconsultables, et détruire les documents renfermant des renseignements personnels, conformément aux directions fournies par Bibliothèque et Archives Canada, comme il est stipulé aux articles 12 à 14 de la Loi sur la Bibliothèque et les Archives du Canada.
    • 4.2.45Lorsque l’institution est assujettie à la Politique sur la sécurité du gouvernement, détruire les documents dans le respect des normes de sécurité du gouvernement.

    Web analytique et protection de la vie privée

  • 4.3

    Responsabilités des employés des institutions fédérales

    Atteintes à la vie privée

    Fichiers de renseignements personnels, évaluations des facteurs relatifs à la vie privée et protocoles de protection des renseignements personnels

    Web analytique et protection de la vie privée

    Formation sur la protection des renseignements personnels

    • 4.3.4Suivre une formation sur la protection des renseignements personnels, comme l’indique l’annexe B de la Directive sur les demandes de renseignements personnels et de correction des renseignements personnels.

5. Rôles des autres organisations gouvernementales

  • 5.1Cette section décrit les rôles des autres organisations gouvernementales clés au regard de la présente directive. En soi, cette section ne confère aucun pouvoir.
  • 5.2

    Le SCT est chargé d’appuyer le président du Conseil du Trésor dans l’exercice des fonctions suivantes :

    • 5.2.1établir les modalités d’approbation des FRP, ainsi que les modalités de délégation de ce pouvoir d’approbation aux responsables des ministères;
    • 5.2.2révoquer tout arrêté de délégation de pouvoirs pris en vertu du paragraphe 71(6) de la Loi en cas de problème systémique de conformité au sein d’une institution fédérale;
    • 5.2.3surveiller les atteintes substantielles à la vie privée dans l’ensemble du gouvernement, et en faire le suivi.
  • 5.3Le Bureau du dirigeant principal de l’information du SCT est chargé d’approuver les techniques de dépersonnalisation qu’un tiers fournisseur de services est tenu d’utiliser, selon la section E.2.2.3 de l’annexe E. Norme sur la protection de la vie privée en matière de Web analytique, aux fins de l’analytique Web sur les serveurs hébergés à l’externe par le tiers.

6. Application

  • 6.1La présente directive s’applique comme il est décrit à la section 6 de la Politique sur la protection de la vie privée.

7. Références

8. Demandes de renseignements

Annexe A. Définitions

  • A.1

    Les définitions ci-dessous, en plus de celles figurant à l’annexe A de la Politique sur la protection de la vie privée, doivent être utilisées pour l’interprétation de la présente directive.

    accord d’échange de renseignements (information sharing agreement)
    Une entente écrite qui décrit les modalités s’appliquant à la communication des renseignements personnels entre les parties. Un accord d’échange de renseignements est généralement utilisé pour faciliter la communication de renseignements personnels entre une institution fédérale et une entité du secteur public à l’extérieur de l’État. Un accord d’échange de renseignements peut être juridiquement contraignant ou non.
    adresse du protocole Internet (IP) (Internet Protocol address)
    Étiquette numérique attribuée par le fournisseur de services Internet à chaque ordinateur. Il s’agit de la façon dont l’utilisateur de l’ordinateur communique sur Internet. Une adresse IP peut, dans certaines circonstances, être associée à un individu identifiable dont l’ordinateur utilise cette adresse à un moment donné. Par conséquent, le gouvernement du Canada considère l’adresse IP comme étant des renseignements personnels qui doivent, dans tous les cas, être traités conformément aux exigences de la Loi.
    accord d’échange de renseignements (information sharing agreement)
    Protocole d’entente écrit qui décrit les modalités s’appliquant à la communication des renseignements personnels entre les parties. Un accord d’échange de renseignements est généralement utilisé pour faciliter la communication de renseignements personnels entre une institution fédérale et une entité du secteur public à l’extérieur de l’État. Un accord d’échange de renseignements peut être juridiquement contraignant ou non.
    agent responsable de l’application de l’article 10 de la Loi sur la protection des renseignements personnels (official responsible for section 10 of the Privacy Act)
    Agent ou employé désigné par une ordonnance de délégation de pouvoirs pour assumer les responsabilités du responsable de l’institution, ou de l’agent ou de l’employé qui exerce ces responsabilités au nom du responsable en ce qui concerne l’article 10 de la Loi sur la protection des renseignements personnels, qui porte sur la création de fichiers de renseignements personnels pour les renseignements personnels relevant de l’institution fédérale.
    avis de confidentialité (privacy notice)
    Avis verbal ou écrit présenté à un individu afin de l’informer des fins de la collecte de ses renseignements personnels et de l’autorité légitime de l’institution fédérale pour procéder à cette collecte. L’avis, qui doit renvoyer au FRP décrit dans l’Info Source, informe également l’individu de la façon dont ses renseignements personnels seront utilisés et communiqués, de ses droits d’accès aux renseignements personnels la concernant et de correction de ceux-ci, des conséquences d’un refus de fournir les renseignements demandés, ainsi que de son droit de déposer une plainte auprès du commissaire à la protection de la vie privée du Canada.
    catégories de renseignements personnels (classes of personal information)
    Classes qui décrivent les renseignements personnels détenus par l’institution fédérale, mais qui ne sont pas destinés à être utilisés à des fins administratives ou qui ne peuvent pas être consultés au moyen du nom de l’individu ou un autre identifiant personnel (par exemple opinions non sollicitées et correspondance générale). Les catégories de renseignements personnels doivent être énumérées et décrites dans l’Info Source de l’institution.
    collecte directe (direct collection)
    Collecte de renseignements personnels auprès de l’individu même.
    collecte indirecte (indirect collection)
    Collecte de renseignements personnels auprès d’une source autre que l’individu qu’ils concernent.
    création de renseignements personnels (creation of personal information)
    Action de créer tout élément ou sous-élément de renseignement personnel qu’une institution fédérale attribue à un individu identifiable, que les renseignements proviennent de renseignements personnels existants relevant de l’institution fédérale ou que l’institution fédérale ajoute de nouveaux renseignements aux renseignements de l’individu. La création de renseignements personnels est considérée une collecte en vertu de la Loi sur la protection des renseignements personnels.
    dépersonnalisation (de-identification)
    Processus qui consiste à modifier des renseignements personnels afin de supprimer ou de modifier les identifiants pour réduire l’identifiabilité et à mettre en œuvre des contrôles d’atténuation à un degré raisonnable dans le contexte. Les renseignements dépersonnalisés comportent un risque résiduel de réidentification.
    entente d’échange de renseignements (information-sharing arrangement)
    Une entente écrite qui définit les modalités dans lesquelles les renseignements personnels sont communiqués entre les parties. Une entente d’échange de renseignements est généralement utilisée pour faciliter la communication de renseignements personnels entre les institutions fédérales et au sein de celles-ci. Une entente d’échange de renseignements n’est pas juridiquement contraignante.
    fin originale (original purpose)
    Fins initiales indiquées lors de la collecte des renseignements personnels qui sont liées directement à l’exécution du programme ou de l’activité de l’institution. Les fins qui ne correspondent pas aux fins originales sont considérées comme des fins secondaires.
    flux des renseignements personnels (flow of personal information)
    Ensemble de données qui décrit la création, la collecte, la conservation, l’usage, la communication et le retrait des renseignements personnels. Il comprend également l’identification des partenaires qui traitent les renseignements personnels au cours de l’administration d’un programme ou d’une activité.
    fournisseur de services Internet (internet service provider)
    Organisation qui fournit un accès à Internet.
    institution fédérale responsable (lead government institution)
    Institution du gouvernement fédéral qui dirige l’évaluation des facteurs relatifs à la vie privée (EFVP) multi-institutionnelle et qui est chargée de déterminer la meilleure approche pour la réalisation et l’approbation de l’EFVP à l’appui d’un programme ou d’une activité multi-institutionnelle.
    marqueurs numériques (digital markers)
    Outils de suivi utilisés pour garder en mémoire les interactions en ligne du visiteur avec des sites Web. Ces outils peuvent enregistrer les interactions en ligne d’un visiteur lors d’une session ou visite unique ou de plusieurs sessions ou visites.
    mesures de protection administratives (administrative safeguards)
    Politiques, directives, règles, procédures et processus qui visent la protection des renseignements personnels tout au long du cycle de vie, tant des renseignements personnels que du programme ou de l’activité (par exemple politique sur la sécurité de l’institution, dispositions de sécurité dans un contrat de service pour assurer la destruction des documents).
    mesures de protection physiques (physical safeguards)
    Installations et équipement qui servent à protéger les renseignements personnels (par exemple locaux de rangement fermés à clé, classeurs fermés à clé).
    mesures de protection techniques (technical safeguards)
    Mesures liées à la technologie de l’information utilisées pour protéger les renseignements personnels (par exemple chiffrement) ainsi que les installations, l’équipement et le système de soutien où les renseignements personnels sont enregistrés et conservés (par exemple dispositifs de contrôle d’accès électroniques, contrôles d’audit).
    modification importante (substantial modification)
    Changement dans les pratiques relatives au déroulement d’un programme ou d’une activité en ce qui concerne la création, la collecte, la conservation, l’exactitude, la correction, l’usage, la communication et le retrait de renseignements personnels.
    pratiques relatives à la protection de la vie privée (privacy practices)
    Pratiques relatives à la création, à la collecte, à la conservation, à l’exactitude, à la correction, à l’usage, à la communication et au retrait des renseignements personnels.
    principalement (predominantly)
    Dans le contexte d’un fichier inconsultable, plus de la moitié des renseignements de chaque dossier contenu dans le fichier pouvant faire l’objet d’une exception en vertu de l’article 21 ou de l’article 22 de la Loi.
    renseignements dépersonnalisés (de-identified information)
    Informations résultant de l’application de la dépersonnalisation.
    Résumé de l’étude d’impact de la réglementation (REIR) (Regulatory Impact Analysis Statement (RIAS))
    Outil utilisé dans le cadre d’une réforme réglementaire afin d’évaluer l’impact d’un projet de règlement sur la qualité de l’environnement et la santé, la sécurité et le bien-être social et économique des Canadiens.
    source fiable (reliable source)
    Source de renseignements ou fonds de données considéré comme exact, à jour et éprouvé, et sur lequel il est possible de compter lorsqu’il s’agit de recueillir ou de valider des renseignements personnels.
    technologie de l’information (information technology)
    Tout équipement ou système utilisé pour l’acquisition, le stockage, la manipulation, la gestion, le mouvement, le contrôle, l’affichage, la commutation, l’échange, la transmission ou la réception de renseignements ou de données. Elle comprend tous les éléments relatifs à la conception, au développement, à l’installation et à la mise en œuvre de systèmes et d’applications d’information.
    témoin interne (de premier niveau) (first-party cookie)
    Fichier de données envoyé par un serveur Web au navigateur Web qui se trouve sur l’ordinateur d’un visiteur et que le serveur Web utilise pour faire le suivi ou enregistrer les renseignements sur le visiteur. Un témoin interne (de premier niveau) est celui qui est créé par le site Web que le visiteur consulte.
    traitement (handling)
    Processus visant des renseignements personnels, notamment la collecte, la correction, la création, la modification, l’usage, la conservation, la communication et le retrait.
    Web analytique (web analytics)
    Opération visant à recueillir, à analyser et à mesurer les données sur la fréquentation des sites Web et les visites d’utilisateurs afin de bien comprendre l’usage du Web et l’optimaliser, et à rendre compte.

Annexe B. Procédures obligatoires pour les atteintes à la vie privée

B.1 Date d’entrée en vigueur

  • B.1.1Les présentes procédures obligatoires entrent en vigueur le 1er mars 2024.
  • B.1.2Elles remplacent les procédures de l’annexe B : Procédures obligatoires pour les atteintes à la vie privée datée du 26 octobre 2022.

B.2 Procédures

  • B.2.1Les procédures obligatoires en cas d’atteinte à la vie privée présentent en détail les exigences énoncées à la section 4 de la Directive sur les pratiques relatives à la protection de la vie privée.
  • B.2.2

    Les employés des institutions fédérales doivent :

    • B.2.2.1prendre immédiatement des mesures pour contenir toute atteinte potentielle ou confirmée à la vie privée et protéger les renseignements personnels touchés;
    • B.2.2.2

      une fois que toutes les mesures ont été prises pour contenir une atteinte potentielle ou confirmée à la vie privée, en aviser immédiatement le responsable de l’institution ou son délégué, en lui fournissant notamment :

      • B.2.2.2.1la date, l’heure et le lieu de l’atteinte potentielle ou confirmée à la vie privée,
      • B.2.2.2.2une brève description de l’atteinte potentielle ou confirmée à la vie privée, ce qui comprend le type de renseignements personnels en cause, le nombre d’individus qui peuvent être touchés, ainsi que toute mesure prise pour contenir l’atteinte potentielle ou confirmée.
  • B.2.3

    Les cadres supérieurs chargés de gérer les programmes ou les activités comprenant la création, la collecte ou le traitement de renseignements personnels doivent :

    • B.2.3.1si les renseignements personnels touchés par une atteinte à la vie privée font l’objet d’un contrat, d’un accord d’échange de renseignements ou d’une entente d’échange de renseignements, en informer rapidement les parties à ce contrat, à cet accord d’échange de renseignements ou à cette entente d’échange de renseignements;
    • B.2.3.2si le responsable de l’institution fédérale ou son délégué estime qu’une évaluation complète d’une atteinte à la vie privée est nécessaire, s’assurer qu’un agent de programme compétent soit affecté à la coordination avec le responsable de l’institution fédérale ou son délégué;
    • B.2.3.3de concert avec le responsable de l’institution fédérale ou son délégué, déterminer les mesures d’atténuation appropriées afin de réduire le risque de préjudice pour les individus touchés et pour l’institution qui découle de l’atteinte, qui doivent comprendre un avis aux individus touchés dans le cas d’une atteinte substantielle à la vie privée, à moins qu’un tel avis soit inapproprié pour des raisons juridiques, de sécurité, de confidentialité ou autres;
    • B.2.3.4de concert avec le responsable de l’institution fédérale ou son délégué, déterminer les mesures d’atténuation appropriées afin de réduire le risque d’atteintes futures;
    • B.2.3.5mettre en œuvre les mesures d’atténuation et de prévention déterminées comme étant appropriées dans un délai raisonnable.
  • B.2.4

    Les responsables des institutions fédérales ou leur délégué doivent :

    • B.2.4.1après avoir reçu un avis indiquant une atteinte à la vie privée potentielle, vérifier s’il s’agit réellement d’une atteinte à la vie privée;
    • B.2.4.2

      en cas d’atteinte à la vie privée, déterminer s’il est nécessaire de réaliser une évaluation complète qui permettra de déterminer et de documenter au minimum :

      • B.2.4.2.1les circonstances ayant donné lieu à l’atteinte,
      • B.2.4.2.2le répertoire des renseignements personnels touchés,
      • B.2.4.2.3les individus dont les renseignements personnels ont été touchés,
      • B.2.4.2.4les secteurs institutionnels et les tiers, s’il y a lieu, qui ont un rôle direct ou indirect dans le traitement des renseignements personnels en cause dans l’atteinte,
      • B.2.4.2.5le risque de préjudice pour les individus touchés et l’institution,
      • B.2.4.2.6s’il s’agit d’une atteinte substantielle à la vie privée;
    • B.2.4.3collaborer au besoin avec les responsables de la sécurité de l’institution, y compris, s’il y a lieu, ceux qui sont chargés de la cybersécurité, à toute évaluation de l’atteinte à la vie privée ou enquête sur un incident de sécurité connexe;
    • B.2.4.4

      inclure, au minimum et lorsqu’ils sont connus, les renseignements suivants au moment de signaler une atteinte substantielle à la vie privée au Commissariat à la protection de la vie privée (le Commissariat) et au Secrétariat du Conseil du Trésor du Canada (SCT):

      • B.2.4.4.1la date de l’atteinte ou la période au cours de laquelle l’atteinte s’est produite, et la date à laquelle l’institution a découvert l’atteinte,
      • B.2.4.4.2une description de l’atteinte, y compris le type et la cause,
      • B.2.4.4.3le nombre approximatif ou exact d’individus touchés par l’atteinte,
      • B.2.4.4.4les catégories de renseignements personnels et les éléments de renseignement personnel en cause,
      • B.2.4.4.5les parties concernées, incluant la catégorie d’individus touchés par l’atteinte et les relations entre les parties concernées,
      • B.2.4.4.6une description des mesures de protection pertinentes qui étaient en place,
      • B.2.4.4.7les risques réels de préjudices graves qui sont prévus,
      • B.2.4.4.8toutes les mesures correctives, y compris les mesures pour contenir l’atteinte et les mesures d’atténuation et de prévention qui ont été prises ou qui le seront,
      • B.2.4.4.9la méthode utilisée pour aviser les individus dont les renseignements personnels ont été touchés, s’il y a lieu,
      • B.2.4.4.10une justification, si les individus dont les renseignements personnels ont été touchés ne sont pas avisés,
      • B.2.4.4.11le lieu physique ou géographique où l’atteinte s’est produite,
      • B.2.4.4.12une description de la manière dont l’atteinte a été découverte,
      • B.2.4.4.13s’il y a lieu, les fichiers de renseignements personnels (FRP) pour les renseignements en cause dans l’atteinte,
      • B.2.4.4.14une liste de toutes les organisations qui ont été informées de l’atteinte;
    • B.2.4.5

      Pour signaler une atteinte substantielle à la vie privée au Commissariat et au SCT, utilisez le moyen suivant :

      • B.2.4.5.1le Formulaire de rapport d’atteintes substantielles à la vie privée en vertu de la Loi sur la protection des renseignements personnels
    • B.2.4.6

      tenir un registre de toutes les atteintes à la vie privée pendant une période de cinq ans après la date à laquelle l’institution a eu connaissance de l’atteinte qui doit au moins comprendre l’information suivante :

      • B.2.4.6.1la date de l’atteinte ou la période au cours de laquelle l’atteinte s’est produite,
      • B.2.4.6.2une description générale des circonstances dans lesquelles l’atteinte s’est produite et de la nature des renseignements en cause,
      • B.2.4.6.3l’évaluation complète de l’atteinte, si une évaluation complète a été réalisée,
      • B.2.4.6.4dans le cas d’une atteinte substantielle à la vie privée, le rapport fournie au Commissariat et au SCT, comme l’indique la section B.2.4.4.

Annexe C. Norme sur l'évaluation des facteurs relatifs à la vie privée

C.1 Date d’entrée en vigueur

  • C.1.1La présente norme entre en vigueur le 9 octobre 2024.
  • C.1.2

    La présente norme s’applique à tous les programmes et activités qui comprennent la création, la collecte, l’usage, la communication, la conservation et le retrait de renseignements personnels. Toutefois,

    • C.1.2.1les institutions auront jusqu’au 10 octobre 2025 pour se conformer aux exigences des sections C.2.2.1.2 et C.2.2.9.4 de la présente norme.

C.2 Normes

  • C.2.1La présente norme présente en détail les exigences énoncées à la section 4 de la Directive sur les pratiques relatives à la protection de la vie privée.
  • C.2.2

    Les normes sont indiquées ci-dessous.

    Fichiers de renseignements personnels

    • C.2.2.1

      Préparer un fichier de renseignements personnels (FRP) :

      • C.2.2.1.1

        avant d’entreprendre un nouveau programme ou une nouvelle activité qui comprend l’utilisation de renseignements personnels pour l’une ou l’autre des raisons suivantes :

        • C.2.2.1.1.1à des fins administratives,
        • C.2.2.1.1.2lorsque les renseignements personnels sont organisés de façon à pouvoir être retrouvés par référence au nom d’une personne ou à un numéro, symbole ou autre indication identificatrice propre à et consultables d’après le nom d’un individu ou d’après un numéro d’identification, un symbole ou une autre indication identificatrice propre à cet individu;
      • C.2.2.1.2

        lorsqu’il n’existe pas de FRP pour une activité ou un programme existant qui comprend l’utilisation des renseignements personnels pour l’une ou l’autre des raisons suivantes :

        • C.2.2.1.2.1à des fins administratives,
        • C.2.2.1.2.2lorsque les renseignements personnels sont organisés de façon à pouvoir être retrouvés par référence au nom d’une personne ou à un numéro, symbole ou autre indication identificatrice propre à et consultables d’après le nom d’un individu ou d’après un numéro d’identification, un symbole ou une autre indication identificatrice propre à cet individu.
    • C.2.2.2

      Mettre à jour un FRP existant lorsque :

      • C.2.2.2.1des modifications importantes doivent être apportées au programme ou à l’activité;
      • C.2.2.2.2des modifications rédactionnelles ou des corrections doivent être apportées au FRP.
    • C.2.2.3Éliminer un FRP lorsqu’il est confirmé que les documents ou les renseignements personnels qu’il contient ont été retirés, conformément à l’Autorisation de disposer des documents de l’institution, et qu’ils ne sont plus sous le contrôle de l’institution.
    • C.2.2.4

      Pour enregistrer, mettre à jour, transférer ou éliminer un FRP :

      • C.2.2.4.1soumettre une demande au Secrétariat du Conseil du Trésor du Canada (SCT);
      • C.2.2.4.2examiner les recommandations du SCT et y donner suite;
      • C.2.2.4.3obtenir l’approbation du président du Conseil du Trésor, sauf indication contraire dans les conditions d’une délégation en vertu du paragraphe 71(6) de la Loi sur la protection des renseignements personnels;
      • C.2.2.4.4mettre à jour le répertoire établi par le SCT pour les nouveaux FRP et les FRP modifiés de façon importante, édités ou éliminés.
    • C.2.2.5

      Pour préparer, mettre à jour, transférer ou éliminer un FRP, se servir du formulaire suivant :

    Documentation

    • C.2.2.6

      Documenter les décisions de mettre en œuvre ou de mettre à jour des évaluations des facteurs relatifs à la vie privée (EFVP), des EFVP multi-institutionnelles et des protocoles de protection des renseignements personnels :

      • C.2.2.6.1avant d’entreprendre un nouveau programme ou une nouvelle activité qui prévoit la création, l’usage, la communication, la conservation ou le retrait de renseignements personnels;
      • C.2.2.6.2lorsque l’institution a l’intention de modifier de façon importante une activité ou un programme existant;
      • C.2.2.6.3

        au moyen de la liste de vérification suivante :

    • C.2.2.7

      Obtenir l’approbation de la liste de vérification relative à la protection de la vie privée auprès des personnes suivantes :

      • C.2.2.7.1le cadre supérieur chargé de gérer le programme ou l’activité;
      • C.2.2.7.2l’agent responsable de l’application de l’article 10 de la Loi sur la protection des renseignements personnels.
    • C.2.2.8Avant d’entreprendre une EFVP qui concerne plus d’une institution, fournir une copie de la liste de vérification approuvée au SCT et au Commissariat à la protection de la vie privée (Commissariat), tout en respectant le caractère confidentiel des documents du Cabinet.

    Évaluations des facteurs relatifs à la vie privée

    • C.2.2.9

      Réaliser une EFVP ou mettre à jour une EFVP existante :

      • C.2.2.9.1avant d’entreprendre un nouveau programme ou une nouvelle activité qui comprend la création, la collecte, l’usage, la communication, la conservation ou le retrait de renseignements personnels à des fins administratives;
      • C.2.2.9.2

        lorsque des modifications importantes doivent être apportées à une activité ou un programme existant qui comprend l’utilisation de renseignements personnels à des fins administratives, notamment pour l’une ou l’autre des raisons suivantes :

        • C.2.2.9.2.1l’utilisation d’une technologie de l’information ou d’un autre processus nouveau ou modifié,
        • C.2.2.9.2.2la participation d’une autre institution ou d’un tiers dans le cadre d’un contrat, d’un accord ou d’une entente avec l’institution,
        • C.2.2.9.2.3l’utilisation d’un système de décision automatisé qui nécessiterait la conformité avec la Directive sur la prise de décisions automatisée;
      • C.2.2.9.3lorsque l’agent responsable de l’application de l’article 10 de la Loi sur la protection des renseignements personnels estime qu’une EFVP est justifiée compte tenu des risques liés à tout usage à des fins administratives ou non administratives de renseignements personnels;
      • C.2.2.9.4lorsqu’il n’y a pas de FRP pour une activité ou un programme existant qui comprend l’utilisation de renseignements personnels à des fins administratives.
    • C.2.2.10Lors du lancement d’une EFVP multi-institutionnelle, désigner une institution responsable de la réalisation de l’EFVP.
    • C.2.2.11

      Lors de la réalisation d’une EFVP ou de la mise à jour d’une EFVP existante, se servir du modèle suivant :

    • C.2.2.12

      Fournir au SCT et au Commissariat :

      • C.2.2.12.1toutes les EFVP achevées;
      • C.2.2.12.2toute information relative à une EFVP demandée par le SCT ou le Commissariat, dans le respect du caractère confidentiel des documents du Cabinet.
    • C.2.2.13Examiner les recommandations du SCT et du Commissariat relatives à une EFVP et y donner suite.
    • C.2.2.14Faire approuver l’EFVP par le cadre supérieur chargé de gérer le programme ou l’activité et par l’agent responsable de l’application de l’article 10 de la Loi sur la protection des renseignements personnels.
    • C.2.2.15

      Après l’approbation de l’EFVP, publier un résumé conforme aux exigences juridiques, de sécurité et de confidentialité, en utilisant le modèle suivant :

    • C.2.2.16Mettre en œuvre les mesures d’atténuation des risques indiquées dans l’EFVP.
    • C.2.2.17Revoir chaque année et, s’il y a lieu, mettre à jour les mesures d’atténuation des risques indiquées dans l’EFVP ou au fur et à mesure que les risques sont atténués.

    Protocoles de protection des renseignements personnels

    • C.2.2.18Rédiger ou mettre à jour un protocole de protection des renseignements personnels lorsqu’un programme ou une activité comprend la création, la collecte, l’usage, la communication, la conservation ou le retrait de renseignements personnels à des fins non administratives.
    • C.2.2.19

      S’assurer que le protocole de protection des renseignements personnels comprend au moins les éléments suivants :

      • C.2.2.19.1le nom du programme ou de l’activité;
      • C.2.2.19.2le nom et les coordonnées du cadre responsable du programme ou de l’activité;
      • C.2.2.19.3une description du programme ou de l’activité;
      • C.2.2.19.4les fins de la collecte des renseignements personnels;
      • C.2.2.19.5l’autorité légitime pour la collecte des renseignements personnels;
      • C.2.2.19.6les éléments des renseignements personnels collectés dans le cadre du programme ou de l’activité;
      • C.2.2.19.7si la collecte de renseignements personnels a fait l’objet d’un avis en bonne et due forme;
      • C.2.2.19.8

        si les renseignements personnels seront communiqués, et dans l’affirmative :

        • C.2.2.19.8.1les fins de la communication des renseignements personnels,
        • C.2.2.19.8.2l’autorité légitime pour la communication des renseignements personnels;
      • C.2.2.19.9les mesures mises en place pour protéger les renseignements personnels;
      • C.2.2.19.10 les normes de conservation et de retrait qui s’appliqueront au programme ou à l’activité.
    • C.2.2.20Faire approuver le protocole de protection des renseignements personnels par le cadre supérieur chargé de gérer le programme ou l’activité et l’agent responsable de l’application de l’article 10 de la Loi sur la protection des renseignements personnels.
    • C.2.2.21

      Lors de l’enregistrement, de la modification ou du transfert d’un FRP pour un programme ou une activité qui comprend l’utilisation de renseignements personnels à des fins non administratives, fournir au SCT et au Commissariat:

      • C.2.2.21.1le protocole de protection des renseignements personnels approuvé pour le programme ou l’activité;
      • C.2.2.21.2tout renseignement lié au protocole de protection des renseignements personnels qu’ils ont demandé, tout en respectant le caractère confidentiel des documents du Cabinet.
    • C.2.2.22Examiner les recommandations du SCT ou du Commissariat concernant les protocoles de protection des renseignements personnels et y donner suite.

Annexe D. Exigences relatives à l'alinéa 8(2)e) de la Loi sur la protection des renseignements personnels

  • D.1Selon l’alinéa 8(2)e) de la Loi sur la protection des renseignements personnels (la Loi), les renseignements personnels peuvent être communiqués à l’un des organismes d’enquête indiqué dans le Règlement, qui en fait la demande par écrit, en vue d’appliquer une loi du Canada ou d’une province ou de mener une enquête licite. Cette disposition n’accorde pas aux organismes d’enquête le droit d’avoir accès aux renseignements personnels. Elle confie toute décision relative à la communication de ces renseignements à la discrétion de l’institution qui est responsable de ces renseignements, une fois que les critères pertinents ont été respectés.
  • D.2

    Exigences relatives à l’alinéa 8(2)e) de la Loi

    Demandes de renseignements en vertu de l’alinéa 8(2)e)

    • D.2.1

      Les demandes de renseignements faites en vertu de l’alinéa 8(2)e) de la Loi doivent être soumises par écrit et doivent comporter les éléments suivants :

      • D.2.1.1le nom de l’organisme d’enquête;
      • D.2.1.2le nom ou tout autre identifiant personnel de l’individu visé par la demande;
      • D.2.1.3l’objet de la demande et une description des renseignements à communiquer;
      • D.2.1.4l’article de la loi fédérale ou provinciale qui régit l’enquête à mener;
      • D.2.1.5le nom, le titre et la signature du membre de l’organisme d’enquête qui fait la demande
    • D.2.2L’institution doit conserver toutes les demandes de renseignements qu’elle reçoit.

    Documents sur les communications en vertu de l’alinéa 8(2)e)

    • D.2.3

      Lorsqu’une telle demande est reçue, le responsable de l’institution ou son délégué responsable des décisions relatives à l’alinéa 8(2)e) de la Loi doit conserver un document attestant de la communication des renseignements personnels à l’organisme d’enquête. Le document de communication doit contenir les renseignements suivants :

      • D.2.3.1une indication claire de l’acceptation ou du refus de la demande;
      • D.2.3.2la date de réception de la demande;
      • D.2.3.3les fichiers de renseignements personnels (FRP) dans lesquels les renseignements communiqués sont conservés;
      • D.2.3.4les renseignements personnels, documents ou dossiers précis qui ont été communiqués;
      • D.2.3.5le nom, le titre et la signature du fonctionnaire qui a autorisé la réponse;
      • D.2.3.6le nom de l’organisme d’enquête qui a fait la demande.
    • D.2.4Un FRP distinct est tenu à jour pour tous les documents communiqués à des organismes d’enquête fédéraux, y compris des copies des renseignements communiqués à l’auteur de la demande. Comme il est stipulé au paragraphe 8(4) de la Loi et à l’article 7 du Règlement, les renseignements contenus dans ce FRP doivent être conservés pendant au moins deux ans et communiqués au commissaire à la protection de la vie privée lorsqu’il en fait la demande.

Annexe E. Norme sur la protection de la vie privée en matière de Web analytique

E.1 Date d’entrée en vigueur

  • E.1.1La présente norme entre en vigueur le 26 octobre 2022.
  • E.1.2La présente norme remplace la Norme sur la protection de la vie privée et le Web analytique (31 janvier 2013).

E.2 Normes

  • E.2.1La présente norme présente en détail les exigences énoncées à la section 4 de la Directive sur les pratiques relatives à la protection de la vie privée en ce qui concerne le Web analytique.
  • E.2.2

    Les responsables des institutions fédérales ou leurs délégués sont chargés des normes suivantes :

    • E.2.2.1les renseignements recueillis dans le cadre des activités du Web analytique qui peuvent être utilisés pour distinguer un individu d’un autre ou établir l’identité d’un individu, seuls ou combinés à d’autres renseignements d’identification liés ou pouvant être liés à un individu en particulier, sont considérés comme des renseignements personnels et sont protégés conformément aux exigences de la Loi sur la Protection des renseignements personnels (la Loi);
    • E.2.2.2

      l’institution publie sur son site Web un avis de confidentialité qui comprend les éléments suivants :

      • E.2.2.2.1une explication de ce qu’est le Web analytique et les raisons pour lesquelles l’institution utilise les outils de Web analytique;
      • E.2.2.2.2un énoncé indiquant les renseignements personnels qui sont automatiquement recueillis des visiteurs par l’institution fédérale, notamment l’adresse de protocole Internet (IP);
      • E.2.2.2.3un énoncé précisant l’autorité légitime pour la collecte de ces renseignements;
      • E.2.2.2.4un énoncé indiquant aux visiteurs si l’adresse IP et les autres données contenues dans les marqueurs numériques sont collectées et utilisées en interne par l’institution pour mener des activités de Web analytique ou si elles sont communiquées ou transmises à l’extérieur à un tiers à cette fin;
      • E.2.2.2.5dans les cas où l’adresse IP et d’autres données contenues dans les marqueurs numériques sont communiquées ou transmises à un tiers, une explication de la manière dont la vie privée des visiteurs des sites Web du gouvernement du Canada est protégée, à tout le moins par l’activation de la fonction des outils tiers utilisés pour le Web analytique qui permet de dépersonnaliser les adresses IP;
      • E.2.2.2.6si les données communiquées ou transmises pour le Web analytique sont acheminées à l’extérieur du Canada, un énoncé qui l’indique et qui indique également un renvoi à toutes les lois auxquelles les renseignements pourraient être assujetti,
      • E.2.2.2.7un énoncé indiquant la période maximale de conservation et la méthode de retrait de tout renseignement personnel recueilli aux fins du Web analytique;
    • E.2.2.3

      tout contrat mis en place aux fins de l’analytique Web doit contenir, en plus des exigences précisées à la section 4.2.35 de la Directive sur les pratiques relatives à la protection de la vie privée, au moins les dispositions suivantes :

      • E.2.2.3.1une définition de « renseignements personnels » comme étant des renseignements concernant un individu qui sont recueillis ou générés dans le cadre de l’exécution d’un contrat, ce qui comprend les types de renseignements décrits spécifiquement dans la Loi et les renseignements liés ou pouvant être liés à une personne, comme l’adresse IP du visiteur d’un site Web;
      • E.2.2.3.2l’obligation pour le tiers de nommer un agent au sein de l’organisation pour agir en tant que représentant pour toutes les questions liées aux renseignements personnels en question et que le nom et les coordonnées de cette personne soient fournis à l’institution fédérale dans les 10 jours suivant l’attribution du contrat;
      • E.2.2.3.3l’obligation pour le tiers d’informer tous ses employés, les entrepreneurs et les sous-traitants de leurs obligations en matière de protection de la vie privée lorsqu’ils traitent les renseignements personnels communiqués ou transmis dans le cadre des travaux visés par le contrat ou le contrat de sous-traitance (les « travaux »);
      • E.2.2.3.4l’obligation pour le tiers de dépersonnaliser l’adresse IP avant le stockage afin qu’il soit impossible de la reconstituer au complet, notamment en supprimant définitivement le dernier octet de l’adresse IP ou par une autre méthode offrant une protection comparable de la vie privée et approuvée par le au Secrétariat du Conseil du Trésor du Canada (SCT);
      • E.2.2.3.5l’obligation pour le tiers de ne pas établir ou tenter d’établir un lien entre l’adresse IP ou un identifiant unique associé à un marqueur numérique et l’identité de l’utilisateur de l’ordinateur;
      • E.2.2.3.6l’obligation d’exiger que l’adresse IP dépersonnalisée, ainsi que les autres données communiquées au tiers à des fins d’analytique Web, ne soient utilisées que conformément aux travaux et qu’aucune utilisation ou réutilisation ultérieure de ces données à d’autres fins ne soit permise sans l’autorisation écrite expresse et préalable de l’institution;
      • E.2.2.3.7l’obligation pour le tiers de ne pas communiquer ou transférer l’adresse IP dépersonnalisée ou toute autre donnée qui lui a été communiquée, sauf en conformité avec les travaux, après avoir obtenu l’autorisation écrite préalable de l’institution ou si la loi l’exige;
      • E.2.2.3.8l’obligation pour le tiers d’utiliser uniquement des témoins internes (de premier niveau);
      • E.2.2.3.9l’obligation pour le tiers de ne pas utiliser des techniques qui augmentent le risque d’identification, de réidentification ou de profilage, par exemple, l’interconnexion, le recoupement, l’exploration de données ou l’appariement de données provenant de plusieurs sources sur les renseignements personnels recueillis dans le cadre des travaux, à moins que l’institution fédérale ne l’ait expressément autorisé au préalable par écrit;
      • E.2.2.3.10l’obligation pour le tiers de mettre en place des mesures de sécurité pour les renseignements personnels et les renseignements dépersonnalisés qui soient au moins équivalentes à celles énoncées dans la Politique sur la sécurité du gouvernement;
      • E.2.2.3.11l’obligation pour le tiers de protéger l’adresse IP dépersonnalisée et les autres renseignements communiqués dans le cadre des travaux, et de conserver ces renseignements pendant une période maximale de six mois, après quoi les renseignements, y compris toute copie de sauvegarde, doivent être détruits;
      • E.2.2.3.12une disposition comprenant un audit du tiers au moins une fois par année, à une date déterminée par le gouvernement du Canada, afin de s’assurer qu’il s’acquitte de ces obligations.
  • E.2.3

    Les personnes autorisées à effectuer des activités de Web analytique sur les serveurs de l’institution ou sur les serveurs hébergés par des tiers doivent respecter les normes suivantes :

    • E.2.3.1la fonction de dépersonnalisation des adresses IP des outils tiers utilisés pour le Web analytique est activée;
    • E.2.3.2les renseignements personnels sont utilisés uniquement qu’aux fins de Web analytique ou à des fins auxquelles ils peuvent être communiqués par l’institution aux termes de l’alinéa 8(2) de la Loi;
    • E.2.3.3

      les renseignements personnels recueillis pour mener des activités de Web analytique ne sont pas utilisés pour les raisons suivantes :

      • E.2.3.3.1à des fins administratives, au sens de la Loi, sauf si la Loi l’autorise;
      • E.2.3.3.2pour établir le profil d’individus identifiables, ce qui comprend la production d’inférences ou d’autres dérivations à partir des renseignements personnels;
    • E.2.3.4l’adresse IP et tout autre renseignement personnel, par exemple les renseignements dans les marqueurs numériques utilisés dans le cadre du Web analytique, sont protégés conformément aux principes énoncés à la section 4.3 de la Directive sur les services et le numérique;
    • E.2.3.5l’adresse IP et tout autre renseignement personnel, par exemple les renseignements dans les marqueurs numériques utilisés dans le cadre du Web analytique, sont conservés pendant une période maximale de 18 mois, après quoi les renseignements sont détruits conformément aux paragraphes 4.2.42 et 4.2.45 de la Directive sur les pratiques relatives à la protection de la vie privée et aux exigences du bibliothécaire et archiviste du Canada.

© Sa Majesté le Roi du chef du Canada, représenté par le président du Conseil du Trésor, 2024,
ISBN : 978-0-660-73716-4

Agrandir tout Réduire tout
Signaler un problème ou une erreur sur cette page
Date de modification :