Annulée [2022-10-26] - Norme sur la protection de la vie privée et le Web analytique

Si votre institution fait la collecte d'adresses IP et d'autres données considérées comme étant des renseignements personnels en vertu de la Loi sur la protection des renseignements personnels, aux fins du Web analytique, elle doit respecter les exigences suivantes :

1.1 Les renseignements personnels ne doivent être utilisés qu'aux fins suivantes : i) le Web analytique; ii) une utilisation conforme à cette fin, comme les statistiques; iii) dans un but pour lequel le renseignement peut être communiqué à l'institution aux termes du paragraphe 8(2) de la Loi sur la protection des renseignements personnels.

1.2 Des renseignements personnels recueillis pour le Web analytique ne peuvent pas être utilisés à des fins administratives, au sens de la Loi sur la protection des renseignements personnels, à moins que la loi ne l'exige.

1.3 Les institutions n'ont pas le droit d'utiliser l'information recueillie en lien avec le Web analytique pour faire le profilage de personnes identifiables.

1.4 L'adresse IP et tout autre renseignement personnel y compris, sans s'y limiter, l'information se trouvant dans les marqueurs numériques employés dans le cadre du Web analytique doivent être protégées conformément aux principes énoncés dans la Directive sur la tenue des documents et ne peuvent être conservées que pour une période maximale de 18 mois, à l'issue de laquelle ces renseignements doivent être détruits conformément à la section 6.2.23 de la Directive sur les pratiques relatives à la protection de la vie privée et tel qu'autorisé par le bibliothécaire et archiviste du Canada.

2.1 Les institutions qui divulguent ou transmettent des renseignements considérés être des renseignements personnels, ou qui en permettent la divulgation, y compris l'adresse IP intégrale, à l'extérieur du gouvernement du Canada à un fournisseur de services tiers aux fins du Web analytique ne doivent le faire qu'après que la fonction d'anonymisation de l'outil du tiers ait été activée, fonction grâce à laquelle le tiers dépersonnalise l'adresse IP.

Si votre institution divulgue ou transmet des renseignements personnels, y compris l'adresse IP complète, à l'extérieur du gouvernement du Canada à un fournisseur de services tiers (tiers) aux fins du Web analytique, elle doit respecter les exigences suivantes, peu importe la technologie ou l'application utilisée, pour divulguer ou transmettre les renseignements :

3.1 Votre institution doit s'assurer de conclure un contrat avec le fournisseur tiers dans lequel est précisé la protection de la vie privée appropriée comme le stipule la section 6.2.20 de la Directive sur les pratiques relatives à la protection de la vie privée et les sections 6.2.10 et 6.2.11 de la Politique sur la protection de la vie privée.

3.2 Le contrat doit contenir, à tout le moins, les exigences énoncées ci-dessous.

1. Les « renseignements personnels » se définissent comme des renseignements sur un individu recueillis ou générés dans l'exécution du contrat, y compris les types de renseignements décrits en détail dans la Loi sur la protection de la vie privée et également les renseignements qui peuvent être liés ou sont liés à un individu, comme l'adresse IP du visiteur d'un site Web.
2. Le fournisseur tiers doit nommer un agent dans l'organisation qui agira à titre de représentant pour toutes les questions liées à la protection de la vie privée et doit fournir le nom et les coordonnées de cet agent à l'institution fédérale dans les 10 jours suivant l'adjudication du contrat.
3. Le fournisseur tiers doit fournir à tous ses employés ou contractants l'information sur leurs obligations en matière de protection de la vie privée lorsqu'ils traitent des renseignements personnels divulgués/transmis dans le cadre du travail qu'ils accomplissent en vertu du contrat (le « travail »).
4. Le fournisseur tiers doit rendre l'adresse IP anonyme avant qu'elle ne soit stockée, afin que l'adresse IP complète ne puisse être reconstituée. Cela doit être fait en l'amputant de manière irréversible de son dernier octet ou en employant d'autres techniques qui offrent une protection de la vie privée comparable et qui ont été approuvées par la Direction du dirigeant principal de l'information du Secrétariat du Conseil du Trésor du Canada.
5. Le fournisseur tiers ne doit pas lier ou tenter de lier l'adresse IP ou tout identifiant unique apparaissant dans le marqueur numérique lié à l'identité de l'utilisateur d'un ordinateur personnel.
6. L'adresse IP rendue anonyme, ainsi que d'autres données divulguées à un fournisseur tiers pour le Web analytique, doivent être utilisées seulement dans le cadre du travail, et le fournisseur ne doit faire aucune autre utilisation ou réutilisation subséquente de ces données à d'autres fins, à moins d'autorisation écrite préalable de l'institution.
7. Le fournisseur tiers ne doit pas divulguer ni transférer l'adresse IP rendue anonyme ni aucune autre donnée qui lui ont été divulguées sauf : pour le travail, avec l'approbation écrite préalable de l'institution ou si la loi l'exige.
8. Le fournisseur tiers ne doit utiliser que les témoins internes de premier niveau.
9. Le fournisseur tiers n'a pas le droit d'utiliser des techniques telles que, notamment, l'interconnexion, les renvois croisés, l'exploration de données ou la comparaison de données de sources multiples sur les renseignements personnels recueillis en relation au travail, à moins que ce ne soit autorisé au préalable par l'institution fédérale par écrit.
10. Le fournisseur tiers doit mettre en place une protection des renseignements personnels et des renseignements rendus anonymes qui respecte au minimum la Politique sur la sécurité du gouvernement du Canada.
11. Le fournisseur tiers doit protéger l'adresse rendue anonyme et d'autres données divulguées dans le cadre du travail, et ces données doivent être conservées pendant une période maximale de 6 mois, après quoi les données, y compris les copies de sauvegarde, doivent être éliminées.
12. Une disposition relative aux vérifications en vertu de laquelle le fournisseur tiers peut faire l'objet d'une vérification, qui comprend une vérification à une date qui sera déterminée par le gouvernement du Canada, au moins une fois dans l'année pour garantir le respect de ces exigences.