Rapport annuels au Parlement

[Retour à la table des matières][Partie II][Partie III]

Rapport annuel au Parlement 2002-2003

---

Partie I - Rapport concernant la Loi sur la protection des renseignements personnels

Introduction

La Loi sur la protection des renseignements personnels, qui est entrée en vigueur depuis 1983, assure la protection de la vie privée des personnes en ce qui concerne les renseignements personnels détenus par les institutions du gouvenement fédéral. La Loi régit la manière dont ces institutions recueillent, utilisent, communiquent des renseignements personnels, ainsi que la manière dont elles procèdent à leur retrait, et accorde aux personnes le droit de demander accès à leurs renseignements personnels et celui de demander que des corrections soient apportées. Elle établit en outre les fonctions, les responsabilités et le mandat du commissaire à la protection de la vie privée du Canada.

Le commissaire à la protection de la vie privée reçoit des plaintes de personnes qui estiment que leurs droits aux termes de la Loi ont été enfreints et fait enquête sur ces plaintes. Le commissaire peut également prendre l'initiative d'une plainte et faire enquête lui-même concernant toute situation pour laquelle il a des motifs raisonnables de croire que la Loi a été enfreinte.

En tant qu'ombudsman, la principale priorité du commissaire est de résoudre les plaintes autant que possible, par la médiation et la négociation au besoin. Mais le commissaire possède aussi de vastes pouvoirs d'enquête que lui confère la Loi - il peut assigner des témoins à comparaître et à témoigner, pénétrer dans des locaux afin de se faire remettre des documents et mener des entrevues. L'entrave aux enquêtes constitue une infraction à la Loi. Bien que la Loi ne lui confère pas de pouvoirs de rendre des ordonnances, le commissaire peut, suivant les conclusions d'une enquête, recommander aux institutions fédérales de modifier la manière dont elles traitent les renseignements personnels.

En outre, le commissaire est investi du mandat de mener des vérifications périodiques des institutions fédérales et de recommander des changements aux pratiques qu'il juge non conformes à la Loi. 

Aux termes de la Loi, le commissaire est tenu de déposer un rapport annuel au Parlement sur les activités de l'exercice précédent du Commissariat. Le présent rapport vise la période du 1^eravril2002 au 31mars2003 au titre de la Loi sur la protection des renseignements personnels.

Enquêtes et demandes de renseignements

La Direction des enquêtes et des demandes de renseignements du Commissariat est chargée de mener des enquêtes sur les plaintes que déposent des personnes aux termes de l'article 29 de la Loi sur la protection des renseignements personnels (et aux termes de l'article 11 de la Loi sur la protection des renseignements personnels et les documents électroniques, dont il sera question plus loin dans le rapport).

Ces enquêtes permettent, essentiellement, de déterminer si les droits à la vie privée des personnes ont été enfreints et si ces dernières ont pu avoir accès à leurs renseignements personnels.

Lorsque les droits à la vie privée et le droit d'accès ont été enfreints, le processus d'enquête cherche à trouver des voies de recours pour les personnes et à empêcher que les violations ne se reproduisent.

La Loi sur la protection des renseignements personnels autorise le commissaire à faire prêter serment, à recevoir des éléments de preuve, à pénétrer dans des locaux le cas échéant, à examiner ou à se faire remettre des exemplaires de documents trouvés dans n'importe quellocal.

Nous sommes heureux de signaler que nous avons obtenu des collaborations volontaires jusqu'à présent et que toutes les plaintes adressées au commissaire ou à ses prédécesseurs ont été résolues sans que nous n'ayons à invoquer ces pouvoirs d'enquête officiels.

En outre, la Direction des enquêtes et des demandes de renseignements répond chaque année à des milliers de demandes provenant des particuliers et des organisations qui s'adressent au Commissariat afin d'obtenir des conseils et de l'aide pour toutes sortes de questions liées à la protection des renseignements personnels.

Enquêtes terminées sur des plaintes déposées

Du 1^er avril 2002 au 31 mars 2003

2001-2002 :	1 673
2002-2003 :	3 483

Plaintes en vertu de la Loi sur la protection des renseignements personnels

Au cours de l'année sur laquelle porte le présent rapport, le Commissariat a reçu 1 642 nouvelles plaintes. Environ 43 % de ces nouvelles plaintes ont été déposées par des personnes alléguant que leur droit d'accès en vertu de la Loi sur la protection des renseignements personnels a été enfreint ; 24% concernaient des allégations selon lesquelles les dispositions en matière de confidentialité de la Loi en ce qui concerne la collecte, l'utilisation, la communications, la conservation et le retrait des renseignements personnels n'avaient pas été respectées ; les 33 % restants portaient sur la lenteur d'institutions gouvernementales à répondre à des demandes d'accès à des renseignements personnels.

Plus des deux tiers du total des plaintes reçues étaient à l'encontre de cinq institutions du gouvernement fédéral : le Service correctionnel du Canada, l'Agence des douanes et du revenu du Canada, la Gendarmerie royale du Canada, le ministère de la Défense nationale et Citoyenneté et Immigration Canada.

L'ancien commissaire a rendu des conclusions sur 3 483 plaintes au cours de l'année sur laquelle porte ce rapport. Il est important de noter que ce chiffre comprend 2 323 plaintes liées à la communication, par l'Agence des douanes et du revenu du Canada (ADRC), de renseignements personnels figurant sur les cartes de déclaration douanière E-311 à Développement des ressources humaines Canada (DRHC).

La question en litige portait sur l'autorité nécessaire pouvant justifier l'utilisation de renseignements personnels recueillis par l'ADRC à une fin donnée - pour la déclaration de biens qu'un voyageur apporte au Canada - en vue de l'emploi par DRHC à des fins tout autres, c'est-à-dire dans le cadre d'un programme de couplage de données d'enquête ayant pour but d'identifier les voyageurs de retour au pays qui recevaient frauduleusement des prestations d'assurance-emploi alors qu'ils se trouvaient à l'étranger.

L'affaire a été portée devant un tribunal afin de déterminer si la communication était autorisée en vertu du paragraphe 8(2)b) de la Loi sur la protection des renseignements personnels et de l'article 108 de la Loi sur les douanes et si l'utilisation de cette information par DRHC comme preuve contre ces personnes enfreignait leurs droits en vertu de la Charte canadienne des droits et libertés.

La Cour suprême du Canada a jugé que la communication était autorisée en fonction de ses interprétations de ces dispositions de la Loi sur la protection des renseignements personnels et de la Loi sur les douanes. Elle a aussi confirmé la décision du tribunal inférieur selon laquelle, en raison de la nature limitée des renseignements communiqués, il n'y avait aucune attente raisonnable quant à la protection des renseignements personnels, décision suivant laquelle, par conséquent, les voyageurs n'avaient pas été privés de leur droit, en vertu de la Charte, d'être protégés contre toute fouille ou saisie déraisonnable. Compte tenu de ce fait, l'ancien commissaire était tenu d'informer les plaignants que leurs plaintes étaient non fondées.

Parmi les 1 160 autres plaintes résolues, 486 portaient sur des questions d'accès, 293 concernaient la collecte, l'utilisation, la communication, la conservation et le retrait de renseignements personnels et 381 concernaient les délais prescrits. Les conclusions relativement à ces 3 483 plaintes ont été rendues comme suit :

Non fondées :	2 711
Fondées :	371
Fondées et résolues :	77
Résolues :	13
Résolues en cours d'enquête :	235
Abandonnées :	76

Définition de conclusions aux termes de la Loi sur la protection des renseignements personnels

Non fondée : Lorsqu'une plainte est jugée non fondée, cela signifie que l'enquête n'a relevé aucun élément de preuve qui porte le commissaire à conclure que l'institution fédérale n'a pas respecté les droits d'un plaignant aux termes de la Loi sur la protection des renseignements personnels.

Fondée : Lorsqu'une plainte est jugée fondée, cela signifie que l'institution fédérale n'a pas respecté les droits d'une personne aux termes de la Loi sur la protection des renseignements personnels. Ce serait également la conclusion du commissaire dans une situation où l'institution fédérale refuse d'accorder l'accès à des renseignements personnels malgré notre recommandation qui veut que ceux-ci soient communiqués. En pareil cas, la prochaine étape pourrait consister à demander un recours en révision à la Cour fédérale du Canada.

Fondée et résolue : Le commissaire conclut qu'une plainte est fondée et résolue lorsque les allégations sont corroborées par l'enquête et que l'institution fédérale a accepté volontairement de prendre des mesures correctives pour remédier à la situation.

Résolue : Il s'agit d'une conclusion officielle qui reflète le rôle d'ombudsman du commissaire. Cette conclusion est réservée aux plaintes pour lesquelles une conclusion fondée serait trop sévère dans les cas de mauvaise communication ou de malentendu. Cela signifie que le Commissariat, après avoir mené une enquête complète et minutieuse, a permis de négocier une solution qui satisfait toutes les parties.

Résolue en cours d'enquête : Il ne s'agit pas d'une conclusion officielle, mais d'une façon acceptable de résoudre une plainte. Une fois l'enquête terminée, le plaignant est satisfait des efforts déployés par le Commissariat et consent à laisser tomber l'affaire. Le plaignant retient toutefois le droit de demander qu'une conclusion officielle soit rendue. Le cas échéant, l'enquêteur rouvre le dossier et dépose un rapport officiel. Le commissaire fait alors rapport sur les conclusions dans une lettre au plaignant.

Abandonnée : Il s'agit d'une enquête qui est terminée avant que toutes les allégations ne soient pleinement examinées. Une affaire peut être abandonnée pour toutes sortes de raisons, par exemple, le plaignant peut ne plus vouloir donner suite à l'affaire ou il est impossible de lui demander de fournir des renseignements supplémentaires, qui sont essentiels pour en arriver à une conclusion. Le commissaire ne rend pas de conclusions officielles lorsqu'une plainte est abandonnée.

Sommaire de cas choisis en vertu de la Loi sur la protection des renseignements personnels

CIC recueillait des renseignements relatifs à l'impôt sur le revenu d'employeurs canadiens

Trois personnes qui souhaitaient employer des aides familiaux résidants des Philippines se sont plaintes au Commissariat du fait que l'ambassade canadienne à Manille leur a demandé de fournir des renseignements sensibles relatifs à l'impôt sur le revenu comme condition préalable à la délivrance de visas à leurs aides familiaux éventuels. Les personnes s'inquiétaient du fait d'avoir à envoyer des documents d'impôt contenant leur numéro d'assurance sociale (NAS), ainsi que des renseignements détaillés sur leur situation financière dans un pays étranger, surtout à un moment où l'usurpation d'identité est devenue l'objet d'une si grande préoccupation.

Citoyenneté et Immigration Canada (CIC) a expliqué que le Programme concernant les aides familiaux résidants (PAFR) fait venir au Canada des aides familiaux qualifiés dans les situations où aucun Canadien ou résident permanent ne peut occuper certains postes. Les Canadiens qui souhaitent embaucher un aide familial de l'étranger sont tenus de faire valider leur offre d'emploi par l'entremise de Développement des ressources humaines Canada (DRHC) et de signer un formulaire déclarant qu'ils peuvent subvenir aux besoins de la personne qu'ils emploieront.

Après que l'offre d'emploi a été validée par DRHC, la section des visas de l'ambassade canadienne à Manille a demandé aux employeurs éventuels de lui envoyer leur avis de cotisation des deux dernières années, leurs bordereaux T-4 et une lettre de leur employeur confirmant leur emploi.

CIC a soutenu que l'information était nécessaire pour déterminer l'authenticité d'une offre d'emploi et pour confirmer que les employeurs étaient financièrement en mesure de subvenir aux besoins d'un aide familial.

Lorsqu'on a mis en question l'autorité de CIC de recueillir des renseignements concernant l'impôt sur le revenu dans le but de délivrer des visas à des tiers, CIC a fait référence à l'article 203 du Règlement sur l'immigration et la protection des réfugiés. Un examen de ce document a indiqué que l'agent des visas doit déterminer si l'offre d'emploi est authentique et si l'emploi du ressortissant étranger aura probablement des retombées économiques neutres ou positives sur le marché du travail au Canada.

Dans le rapport annuel de l'an dernier, l'ancien commissaire a énoncé son point de vue concernant la collecte, sans fondement légal, de renseignements relatifs à l'impôt sur le revenu. Il a expliqué qu'à son avis il est inacceptable qu'on demande à des personnes de produire leurs déclarations de revenus à des fins autres que celles qui sont prévues par la loi. Les Canadiens et Canadiennes ne devraient jamais accepter qu'un de leurs droits fondamentaux soit brimé lorsqu'ils font affaire avec le gouvernement.

Le Commissariat a présenté ces arguments à CIC. En conséquence de quoi, l'ambassade à Manille nous a confirmé qu'elle avait cessé de demander des renseignements relatifs à l'impôt sur le revenu pour la délivrance de visas aux aides familiaux résidants.

Collecte par l'ADRC de renseignements médicaux aux fins de l'impôt sur le revenu

Nous avons reçu une plainte de la part d'une famille qui allègue que l'Agence des douanes et du revenu du Canada (ADRC) a recueilli de manière inappropriée des renseignements personnels à son sujet auprès d'un fournisseur d'assurance­-maladie provincial. Cette famille s'est établie en Afrique pendant trois ans, et avant de quitter le Canada, le mari a consulté l'ADRC, qui l'a informé que, aux fins de l'impôt sur le revenu, il serait considéré comme personne non-résidente durant son séjour à l'étranger. Pourtant, de retour au Canada, il a appris qu'il ne satisfaisait pas aux critères de non-résidence et a donc été imposé en conséquence. Par la suite, après avoir présenté à l'ADRC une demande en vertu de la Loi sur la protection des renseignements personnels, il a appris que l'Agence avait demandé à son fournisseur d'assurance­-maladie provincial de lui communiquer tous ses dossiers médicaux, ainsi que ceux de sa femme et de ses enfants, notamment des dossiers qui dataient de quelque huit mois avant leur départ pour l'Afrique, et d'autres de près de deux ans et demi après leur retour au Canada.

Nous avons établi qu'une personne ne peut être considérée comme non-résident aux fins de l'impôt que si l'ADRC juge qu'elle a suffisamment rompu ses liens avec le Canada après son déménagement dans un autre pays. L'ADRC s'appuie sur des dispositions de la Loi de l'impôt sur le revenu pour recueillir l'information nécessaire en vue de l'évaluation du statut de non-résident. Elle effectue couramment des enquêtes dans le cadre du processus d'évaluation du statut des particuliers, notamment en vérifiant si ceux-ci continuent de réclamer des indemnités aux termes d'un régime d'assurance­-maladie provincial pendant leur séjour à l'étranger. En effet, toute personne qui dépose de telles réclamations montre par là qu'elle n'a peut-être pas rompu tous ses liens avec le Canada.

L'ancien commissaire a déterminé que l'ADRC dispose de l'autorité nécessaire, en vertu de la Loi de l'impôt sur le revenu, pour recueillir auprès de sources provinciales des renseignements personnels sur tous les membres de la famille dans le but d'établir leur statut de non-résidence. Néanmoins, l'ancien commissaire avait des réserves quant à la quantité des renseignements médicaux recueillis, particulièrement en ce qui concerne les renseignements relatifs aux périodes de temps qui se sont écoulées avant et après le séjour de la famille en Afrique. Les responsables de l'ADRC ont convenu qu'il était excessif d'exiger des renseignements médicaux portant sur une période de deux ans et demi après le retour de la famille.

Dans les circonstances, l'ancien commissaire a conclu que l'ADRC avait recueilli plus de renseignements personnels que nécessaire et que, par conséquent, elle avait outrepassé le pouvoir que lui confère l'article 4 de la Loi sur la protection des renseignements personnels. Il a déterminé que les plaintes étaient fondées et recommandé que l'ADRC détruise les renseignements obtenus auprès de la province.

Communication par mégarde de renseignements médicaux sensibles par l'AIPRP

Les renseignements personnels sur la santé - ceux qui portent sur notre santé physique et mentale - constituent probablement les données les plus confidentielles qui soient. Lorsque de tels renseignements ne sont pas traités avec le plus grand soin et avec la plus stricte confidentialité, leur communication peut avoir des conséquences désastreuses. L'affaire suivante en est un bon exemple : une personne a présenté une demande en vertu de la Loi sur l'accès à l'information (LAI) à une institution gouvernementale visant l'ensemble des documents portant sur la nomination d'un autre employé du gouvernement à un poste donné. Les noms des deux parties ne présentaient qu'une vague ressemblance. Pourtant, étant donné qu'il n'a pas pris soin de bien lire les noms des deux personnes, l'analyste du bureau d'accès à l'information et à la protection des renseignements personnels (AIPRP) du ministère a présumé que le requérant et l'employé nommé étaient la même personne. Par conséquent, presque tous les renseignements versés au dossier de dotation ont été communiqués au requérant - seule une petite partie de renseignements relatifs à une tierce personne a été retirée. Le dossier contenait non seulement l'adresse et le numéro de téléphone privés de l'employé nommé au poste, mais aussi des renseignements à caractère très personnel le concernant - des renseignements très détaillés sur sa situation médicale et financière, des renseignements sur sa famille, sur ses antécédents en matière d'emploi, et des renseignements sur ses études. On a, par ailleurs, découvert que les deux individus avaient des rapports difficiles et que le requérant avait par la suite utilisé certains des renseignements médicaux obtenus afin de mener des enquêtes personnelles sur l'employé nommé au poste.

Après enquête, l'institution a admis promptement son erreur, présenté ses excuses à l'employé et lui a remis une copie des mêmes documents envoyés au requérant, afin qu'il puisse savoir précisément quels renseignements à son sujet avaient été communiqués de manière inappropriée. L'institution a, par ailleurs, demandé au requérant de retourner l'information reçue et de n'en garder aucune copie. Les documents ont bien été renvoyés, mais on ne peut être certain qu'aucune copie n'en a été conservée. D'ailleurs, même si des garanties à cet égard pouvaient être obtenues, le mal est déjà fait, et le requérant a déjà communiqué des renseignements personnels de l'employé à d'autres personnes.

L'ancien commissaire a reconnu qu'une erreur humaine non sans négligence était à l'origine de ce problème, mais il était consterné par le fait qu'une telle erreur ait pu être commise, surtout par les personnes qui, au sein de l'institution concernée, sont censées être les spécialistes en poste de la protection des renseignements personnels. Si les renseignements personnels de l'employé avaient été traités avec le soin qu'ils méritent, cette grave violation du droit à la vie privée n'aurait jamais eu lieu.

Communication des antécédents criminels d'une personne aux membres de sa famille

Une personne a porté plainte auprès du Commissariat du fait qu'un employé du Service correctionnel du Canada (SCC) a communiqué des renseignements sur ses antécédents criminels à certains membres de sa famille (dont ses jeunes enfants, qui ignoraient tout du passé de leur père), ainsi qu'au grand public. Le plaignant, qui avait été emprisonné quelques années auparavant dans l'établissement fédéral où l'employé travaillait, a accusé ce dernier d'avoir communiqué de l'information confidentielle obtenue dans l'exercice de ses fonctions.

Le SCC a aussi été saisi d'une plainte à ce sujet, et il a mené sa propre enquête. Dès le début, le plaignant a soutenu fermement que l'employé du SCC a communiqué des renseignements personnels le concernant. Ce dernier a maintenu que ce n'est pas lui qui a fait les remarques en question, mais plutôt un ami qui était présent au moment de la communication, ami qu'il a refusé de nommer, tant au cours de notre enquête que lors de celle du SCC. Tous nos efforts en vue de découvrir l'identité de cet ami ont été vains. Néanmoins, compte tenu de tous les renseignements recueillis durant l'enquête, l'ancien commissaire était disposé à conclure que les droits garantis au plaignant aux termes de la Loi sur la protection des renseignements personnels avaient été enfreints en raison même des actes de l'employé. De fait, le SCC a déterminé que l'employé avait enfreint le code de discipline de l'institution, ainsi que les dispositions de la Loi sur la protection des renseignements personnels, et il l'a suspendu sans solde pendant 15 jours.

Avant de rendre sa décision finale dans cette affaire, l'ancien commissaire a mis en question les motifs pour lesquels le SCC avait conclu qu'une suspension de trois semaines était une mesure appropriée dans les circonstances. Ce fut à ce moment seulement que nous avons appris que de nouveaux faits avaient incité le SCC à revenir sur sa décision et à annuler la suspension. Conscient de la sanction disciplinaire infligée à l'employé, l'ami de ce dernier avait avoué que c'était bien lui - et non l'employé - qui avait communiqué les renseignements personnels concernant le plaignant. Bien qu'il ne fût pas pleinement convaincu de la crédibilité de l'ami - et qu'il eût des appréhensions à cet égard -, le SCC a décidé d'annuler la suspension.

À la lumière de cet aveu, nous avons mené d'autres interrogations, mais nous n'avons trouvé aucune raison d'accepter la version des faits soutenue par l'ami. Compte tenu des éléments de preuve que nous avons obtenus, l'ancien commissaire a conclu que c'est bien l'employé qui a communiqué les renseignements personnels concernant le plaignant et que son ami n'a probablement fait l'aveu que lorsqu'il est apparu que les répercussions pour l'employé seraient plus graves que prévu. L'ancien commissaire a donc déterminé que la plainte était fondée et demandé au SCC de réexaminer sa décision.

L'ancien commissaire a aussi signalé au SCC qu'il aurait dû aviser nos représentants que l'ami de l'employé avait finalement fait un aveu, après toutes les tentatives infructueuses du SCC et du Commissariat en vue de le retrouver. L'ancien commissaire a jugé qu'il s'agissait là d'un fait extrêmement important, qui a incité le SCC à revenir sur son jugement initial et qui aurait pu, bien évidemment, avoir une incidence directe sur sa décision. Le SCC savait que nous menions une enquête relativement aux allégations du plaignant et, selon l'ancien commissaire, il aurait dû informer immédiatement nos représentants de ce rebondissement. On a assuré l'ancien commissaire que cet oubli était un incident isolé qui ne se reproduira plus.

Même un dossier public devrait être protégé

Une personne reçoit une enveloppe par messager, qui lui est adressée, contenant les documents d'appel du Régime de pensions du Canada (RPC) d'une autre personne. Il croit que cette autre personne a probablement reçu ses propres documents d'appel par erreur.

Notre enquête sur cette affaire a confirmé ces craintes. L'autre personne avait en effet reçu de DRHC les renseignements d'appel du plaignant. La confusion résultait d'un manque d'attention au moment où les documents ont été glissés dans les enveloppes avant leur envoi.

L'article 8 de la Loi sur la protection des renseignements personnels limite la manière dont les institutions gouvernementales peuvent communiquer des renseignements personnels. En substance, les institutions ne peuvent communiquer de renseignements personnels à des tiers sans le consentement de la personne concernée par les renseignements, à moins qu'un des cas de communication autorisée, énoncés au paragraphe 8(2) de la Loi, ne s'applique.

DRHC a expliqué que les renseignements concernant le plaignant qui avaient été communiqués se composaient de documents déposés à la Cour fédérale et faisaient ainsi partie d'un dossier public. Étant donné que le paragraphe 69(2) de la Loi sur la protection des renseignements personnels stipule que l'article 8 ne s'applique pas aux renseignements personnels auxquels le public a accès, DRHC a prétendu qu'il n'avait pas enfreint la Loi en envoyant par mégarde l'information aux mauvaises personnes.

L'ancien commissaire n'était pas d'accord, parce que les renseignements concernant le plaignant n'avaient pas été communiqués à partir d'un dossier public. Le fait qu'ils se trouvent dans un dossier public n'annule pas la communication par DRHC des renseignements concernant le plaignant à quelqu'un qui n'avait nullement besoin de le savoir. En se fondant sur ce fait, l'ancien commissaire a conclu que la plainte était fondée.

Par suite de la plainte, DRHC a présenté ses excuses aux personnes concernées, leur a envoyé de nouveau les renseignements qui avaient été mal acheminés et a révisé ses procédures d'envoi par la poste afin de minimiser les risques qu'un tel incident se reproduise.

Communication non autorisée d'un numéro d'assurance sociale (NAS)

Nous avons fait enquête sur une plainte d'une personne selon laquelle Développement des ressources humaines Canada (DRHC) a communiqué de manière inappropriée son NAS à un détective privé.

Le plaignant avait intenté une action en justice contre une compagnie d'assurance qu'il croyait avoir mal traité sa demande d'indemnité. Durant les procédures judiciaires, il a appris que la compagnie d'assurance avait engagé un détective privé pour examiner sa situation financière. Il a obtenu copie du rapport du détective et pris note de références à ses demandes de renseignements adressées à DRHC, de même que l'information qu'il avait reçue par la suite. Mécontent en raison d'un manque de volonté manifeste de DRHC de tenir compte de ses préoccupations concernant cette atteinte à sa vie privée, il s'est finalement adressé au Commissariat pour obtenir de l'aide.

Au cours de l'enquête sur la plainte contre DRHC, nous avons établi qu'un employé de DRHC avait consulté le dossier du plaignant dans le Registre d'assurance sociale au même moment où le détective privé avait soumis ses demandes de renseignements. Bien que le plaignant ait fait part de ses préoccupations à DRHC, le Ministère n'a pas poursuivi davantage la question jusqu'à ce que le plaignant signale son intention d'assigner des employés de DRHC à témoigner au tribunal dans le cadre de sa poursuite intentée contre la compagnie d'assurance. À ce moment, il a demandé copie du dossier d'enquête de DRHC concernant la communication de son NAS et de tout renseignement lié aux mesures prises par DRHC à cet égard. Ce ne fut qu'à ce stade - presque dix mois après que le plaigant avait fait part pour la première fois de ses préoccupations - que DRHC a décidé de faire une enquête interne afin de déterminer si son NAS pourrait avoir été compromis et comment il l'aurait été.

Il est apparu clairement, à partir des éléments de preuve obtenus durant notre enquête, que l'employé de DRHC avait obtenu l'accès au NAS de cette personne sans justification et l'avait communiqué au détective privé. Les preuves ont aussi indiqué la possibilité que l'employé avait d'avoir aussi accès à une quarantaine d'autres dossiers de clients dans le Registre d'assurance sociale, pour lesquels il n'y avait aucun dossier connexe de DRHC qui aurait exigé que l'employé consulte leurs fichiers de NAS.

L'ancien commissaire était préoccupé du manque de conviction de DRHC relativement au traitement de la plainte de la personne à propos de la communication de son NAS lorsque le Ministère en avait été tout d'abord informé. Il n'a pris aucune mesure autre que de lui émettre un nouveau NAS, en dépit du fait que plusieurs fonctionnaires étaient au courant de l'incident longtemps avant qu'il n'ait porté plainte auprès du Commissariat. L'ancien commissaire était tout aussi préoccupé du fait que, malgré les capacités apparemment adéquates des systèmes, les gestionnaires de DRHC ne surveillent pas régulièrement le Registre d'assurance sociale pour relever les activités qui sont de nature suspecte ou qui ne peuvent autrement être justifiées comme faisant partie des fonctions d'un employé et pour traiter de cela.

L'ancien commissaire a conclu que DRHC était responsable de la communication inappropriée, par son employé, du NAS de la personne au détective privé et que le Ministère avait, par conséquent, enfreint les dispositions en matière de confidentialité de la Loi sur la protection des renseignements personnels.

En réponse à cette conclusion, DRHC a entrepris de limiter les dégâts autant que possible. Le sous-ministre a envoyé une lettre d'excuses au plaignant et a mis en place des mesures qui amélioreront substantiellement la sécurité des renseignements personnels dans la base de données du Registre d'assurance sociale, et qui permettront de mieux surveiller l'accès des employés au Registre. Nous sommes confiants que ces mesures amélioreront la capacité de DRHC de protéger les renseignements personnels dont il est responsable et d'empêcher toute autre atteinte à la vie privée des clients.

DRHC a aussi décidé de soumettre la question à la Gendarmerie royale du Canada en vue d'une enquête criminelle - l'employé a finalement été congédié par DRHC pour l'infraction à la sécurité.

Un recenseur de Statistique Canada trouvé non responsable de la communication de renseignements personnels aux banques

Une personne a allégué que Statistique Canada avait vendu son nom et son adresse à des institutions financières qui lui ont alors envoyé du courrier non sollicité. Cette personne voyageait fréquemment pendant de longues périodes de temps et avait une boîte postale. Elle séjournait dans un parc de véhicules de plaisance au moment du recensement de 2001 et le recenseur lui a expliqué qu'elle devrait utiliser l'adresse du parc pour les besoins du recensement, ce qu'elle a fait. Deux ou trois mois plus tard, elle a commencé à recevoir du courrier non sollicité qui lui était adressé au parc. Étant donné qu'elle avait uniquement utilisé cette adresse pour le recensement, il lui semblait logique que Statistique Canada devait avoir vendu ou sinon fourni l'adresse aux institutions financières.

Nous avons examiné une sollicitation qu'avait reçue cette personne et communiqué avec la banque qui la lui avait envoyée. Au moyen du code inscrit sur la lettre type, la banque a été en mesure de déterminer qu'elle avait obtenu son nom et son adresse au parc de l'une des plus grandes entreprises de gestion de listes au Canada, qui s'occupe de plus de 500 listes de publipostage contenant quelque 25 millions de noms. Ses représentants ont confirmé que les renseignements concernant la plaignante étaient contenus dans une des listes de publipostage créée et mise à jour à partir d'information obtenue de compagnies de téléphone provinciales au Canada.

Ce renseignement a permis à la personne de se rappeler qu'elle avait fait installer un téléphone au parc. Bien que sa facture téléphonique soit envoyée à sa boîte postale, elle avait dû fournir à la compagnie de téléphone l'adresse du parc pour l'installation et l'entretien de la ligne téléphonique. Il est devenu évident, dès lors, que c'était la compagnie de téléphone et non Statistique Canada qui avait communiqué les nom et adresse de la personne au commissionnaire en publipostage qui, à son tour, avait fourni les renseignements la concernant aux banques.

Au cours de l'enquête, on a demandé au commissionnaire en publipostage de retirer le nom de la personne de la liste de publipostage, ce qu'il a fait immédiatement. Toutefois, la personne a été informée de la possibilité que, bien que son nom ne se trouve plus sur une liste mise à jour, les anciennes listes que détenaient les clients du commissionnaire en publipostage pourraient toujours contenir les renseignements la concernant et par conséquent elle pourrait continuer de recevoir des sollicitations. L'ancien commissaire l'a exhortée à communiquer directement avec ces compagnies afin de faire retirer son nom de ces listes. Il lui ai aussi rappelé que son nom pourrait figurer sur d'autres listes à l'avenir si, par exemple, elle faisait une demande de carte de crédit, remplissait un bulletin de participation à un concours ou s'abonnait à des magazines.

Plaintes relatives aux délais de réponse

En vertu de la Loi sur la protection des renseignements personnels, les Canadiens et Canadiennes ont le droit d'avoir accès aux renseignements personnels les concernant que détiennent les institutions gouvernementales et, en vertu de la Loi, celles-ci doivent répondre dans les 30 jours suivant la réception de la demande. Toutefois, elles peuvent proroger ce délai d'une période maximale de 30 jours, mais seulement dans deux cas précis : le cas où le respect de la période de 30 jours entraverait de façon déraisonnable le fonctionnement de l'institution et le cas où des consultations s'avèrent nécessaires et rendraient pratiquement impossible l'observation de ce délai.

Le nombre de plaintes relatives aux institutions fédérales qui ne répondent pas dans les délais prescrits aux demandes d'accès aux renseignements personnels des citoyens s'élevait à 541cette année, en comparaison des 428 plaintes signalées au cours de l'exercice antérieur. Nous avons résolu 381 de ces plaintes, dont 302 étaient fondées.

Plus de plaintes ont été déposées au sujet des pratiques de traitement des renseignements personnels du Service correctionnel du Canada (SCC) que de toute autre institution du gouvernement fédéral. Parmi les 177 plaintes à l'encontre du SCC que le Commissariat a résolues, 159 étaient fondées. Bien que le SCC ait accru son effectif et rationalisé ses procédures, il continue de ne pas répondre aux demandes de renseignements personnels en temps opportun.

Le nombre de plaintes relatives aux délais de réponse de deux institutions ont considérablement diminué par rapport à l'an dernier, tandis que celles concernant quatre autres institutions ont augmenté, à savoir :

Agence des douanes et du revenu du Canada :	baisse de 85 à 31 plaintes ;
Développement des ressources humaines Canada :	baisse de 57 à 16 plaintes ;
Service correctionnel du Canada :	hausse de 125 à 233 plaintes ;
Gendarmerie royale du Canada :	hausse de 16 à 71 plaintes ;
Ministère de la Défense nationale :	hausse de 35 à 58 plaintes ;
Citoyenneté et Immigration Canada :	hausse de 40 à 49 plaintes.

Un élément qui continue de nuire à la capacité des institutions de répondre aux demandes dans les délais prescrits est la complexité du traitement des bandes sonores et des bandes vidéo.

Les institutions enregistrent parfois les entrevues menées dans le cadre d'enquêtes administratives ou criminelles. Étant donné que la Loi sur la protection des renseignements personnels s'applique aux renseignements personnels « quels que soient leur forme et leur support », les personnes peuvent demander copie de leurs renseignements sur ces bandes. Il s'agit d'un processus qui prend beaucoup de temps ; il faut écouter ou regarder les bandes, puis déterminer et retirer l'information qui, parce qu'elle contient souvent des renseignements personnels concernant d'autres personnes, ne peut être communiquée aux requérants. Le ministère de la Défense nationale est un des organismes qui enregistre les entrevues. Il a récemment fait l'acquisition d'un nouvel équipement dans le but de tenter de simplifier le processus d'examen et de retrait de l'information sur bande.

Les demandes de dossiers d'enquête volumineux expliquent aussi certains retards et difficultés à répondre en temps opportun.

Transmission de renseignements par télécopieur

Bien que nous déconseillions aux institutions d'envoyer des renseignements personnels par télécopieur, nous nous rendons compte qu'elles utilisent régulièrement ce mode de transmission afin d'accélérer la réception de l'information.

Une de nos enquêtes a décelé un problème en ce qui concerne la façon dont une institution gouvernementale gardait un dossier contenant des renseignements personnels envoyés par télécopieur. Les pages couvertures de transmission par télécopieur indiquaient le nombre de pages envoyées, les noms du destinataire et de l'expéditeur, ainsi que la date, mais l'institution ne pouvait déterminer après coup quels documents ou pages en particulier avaient été transmis. Dans d'autres cas, l'institution ne pouvait préciser ce qui avait été reçu par télécopieur d'autres secteurs de l'institution.

Il est impératif que les institutions tiennent un relevé de l'utilisation et de la communication de renseignements personnels qui relèvent d'elles. Sauf dans un nombre limité de cas, les personnes ont le droit de savoir quels documents contenant leurs renseignements personnels sont envoyés, à qui ils sont envoyés et la raison pour laquelle ils sont communiqués.

Une solution à ce problème est de dresser une liste des documents envoyés ou reçus sur la page couverture même de transmission. Cela assurera la transparence, permettra de documenter la circulation de l'information et nous aidera dans nos enquêtes.

Traitement de dossiers originaux au lieu de photocopies

Certaines institutions gouvernementales ont refusé à des personnes l'accès à leurs renseignements personnels, contribuant ainsi à l'augmentation du nombre de plaintes adressées au Commissariat, eu égard au fait que les bureaux de l'accès à l'information et de la protection des renseignements personnels (AIPRP) au sein des ministères comptent de plus en plus sur des photocopies que leurs fournissent leurs secteurs de programme, plutôt que de travailler avec des documents originaux, lorsqu'ils traitent les demandes. Le problème que cela pose est que les analystes de l'AIPRP ne peuvent être certains que ce qu'on leur donne constitue tous les renseignements que souhaite obtenir une personne.

Lorsque le Commissariat reçoit une plainte concernant un « refus d'accès », il demande de voir le dossier original afin de le comparer à l'information traitée au bureau de l'AIPRP. Nous avons souvent constaté que le bureau de l'AIPRP ne disposait pas de tous les renseignements contenus dans le dossier original, parce que quelqu'un avait pensé qu'ils n'étaient pas pertinents ou avait enlevé les notes internes, ou simplement parce qu'on avait oublié le verso de documents recto-verso pendant la photocopie.

Les nuances subtiles qui ne peuvent être appréciées que lorsqu'on regarde un dossier original sont aussi perdues. Les photocopies ne reflètent pas l'utilisation ou la signification de formulaires de différentes couleurs ni n'indiquent la mise en relief de passages importants et peuvent ne pas saisir l'emplacement exact des notes avec commentaires sur papillons adhésifs. Elles ne contiennent pas non plus les trombones qui expliquent pourquoi certains documents sont groupés ensemble ou ne figurent pas dans l'ordre chronologique. Ces éléments sont essentiels pour comprendre le contexte du dossier et déterminer si les renseignements personnels peuvent être fournis à la personne.

L'examen, par nos enquêteurs, des dossiers originaux permet de lever tout doute concernant le fait que l'institution pourrait ne pas avoir trouvé tous les renseignements demandés et nous donne aussi la certitude sans équivoque dont nous avons besoin pour nous assurer que l'accès n'a pas été refusé.

Bien que certains secteurs de programme préfèrent ne pas remettre leurs dossiers originaux, tout particulièrement ceux qui concernent des activités administratives en cours, nous leur suggérons d'en garder une photocopie qu'ils peuvent utiliser durant les quelques jours pendant lesquels le bureau de l'AIPRP examine le dossier original. Nous exhortons également les coordonateurs de l'AIPRP à reprendre leur responsabilité pour la qualité des réponses qu'ils donnent aux personnes en travaillant uniquement avec des dossiers originaux.

Incidents visés par la Loi sur la protection des renseignements personnels

Il arrive parfois qu'on attire notre attention sur des incidents de mauvaise gestion de renseignements personnels pour lesquels un examen plus poussé du Commissariat est justifié. L'an dernier, nous avons effectué 32 examens de ce genre.

Par exemple, l'été dernier, après le déménagement d'un bureau d'un immeuble à un autre à Ottawa, le personnel de la Direction générale des prestations d'invalidité et des appels de Développement des ressources humaines Canada (DRHC) s'est rendu compte qu'il manquait deux ordinateurs. Bien qu'à la suite d'une enquête menée par sa Division de sécurité DRHC ne fût pas en mesure de déterminer exactement ce qui s'était produit, on croit que les ordinateurs ont été volés alors qu'ils avaient été laissés sans surveillance en attendant d'être chargés dans les fourgons de déménagement. On a suggéré qu'étant donné que les deux ordinateurs étaient neufs, on les avait pris en raison de leur valeur pécuniaire et non de leur contenu. Le vol a aussi été signalé au service de police local, qui n'a pas non plus été en mesure de trouver les ordinateurs manquants ni les auteurs du méfait.

Nos enquêteurs ont établi que les ordinateurs n'avaient pas été empaquetés dans des boîtes en carton, mais simplement placés sur des chariots sans être protégés d'aucune façon. Ils ont aussi établi qu'un employé de DRHC devait s'assurer que tous les articles étaient transférés de leur emplacement original au point de chargement, mais que personne n'avait en fait supervisé le transfert de ces articles de cet emplacement à l'endroit où étaient stationnés les fourgons de déménagement à l'extérieur de l'immeuble.

Bien que les ordinateurs n'aient jamais été trouvés, DRHC a été en mesure de déterminer, au moyen de bandes de sauvegarde, qu'ils contenaient les nom et prénom complets, les numéros d'assurance sociale (NAS) et les renseignements médicaux de douzaines de bénéficiaires de prestations d'invalidité du Régime de pensions du Canada (RPC). Par conséquent, DRHC a décidé d'informer ces bénéficiaires du vol.

Durant notre examen de l'incident, nous avons toutefois remarqué que 38 autres personnes dont les noms de famille et NAS figuraient sur des documents n'avaient pas été informées. Étant donné qu'il s'agirait de renseignements personnels suffisants pour peut-être identifier ces personnes, nous avons demandé à DRHC de les informer aussi du vol, ce que le Ministère a fait.

Nous avons aussi recommandé que DRHC établisse des mesures de sécurité supplémentaires pour éviter qu'un tel incident ne se reproduise, plus particulièrement qu'il s'assure de retirer tous les renseignements personnels des lecteurs de disque dur des ordinateurs avant leur déménagement d'un endroit à un autre et de disposer de personnel supplémentaire présent lors des déménagements afin d'offrir une sécurité adéquate en ce qui concerne tout renseignement personnel touché par le déménagement.

Dans un autre incident, une personne a informé le Commissariat que des documents, qu'elle avait reçus de la cour des petites créances à propos des poursuites qu'elle avait intentées contre une autorité portuaire, contenaient des renseignements personnels relatifs à d'autres personnes, en particulier leurs numéros de compte de carte de crédit.

Notre personnel a établi que lorsque l'autorité portuaire avait déposé sa défense à la cour des petites créances, elle avait inclus copie d'un sommaire journalier des recettes et des dépôts et un récépissé des dépôts en espèces. Ces documents identifiaient d'autres personnes et fournissaient leurs numéros de compte, numéros de facture, numéros de carte de crédit et les sommes payées à l'autorité portuaire.

Pour sa défense, l'autorité portuaire croyait n'avoir aucun autre choix que de déposer des documents complets et non révisés avec sa défense pour se conformer au déroulement de l'instance. Dans le cadre de sa défense, elle devait présenter l'information relative à ses opérations financières avec le plaignant et avait l'impression qu'elle ne pouvait retirer aucun renseignement concernant les autres personnes nommées dans ces documents.

Lorsque le Commissariat s'est informé auprès de la cour des petites créances, nous avons appris qu'elle accepterait en fait des documents partiels ou dont des portions ont été retirées. Par conséquent, l'autorité portuaire aurait pu retirer tous les renseignements qui ne concernaient pas le plaignant, dont les renseignements personnels relatifs à d'autres personnes, lorsqu'elle a déposé ses documents au tribunal. Nous avons attiré l'attention de l'autorité portuaire sur cette question et, en conséquence, elle a entrepris de retirer du dossier du tribunal les renseignements concernant les autres personnes. L'autorité portuaire a aussi communiqué avec les personnes concernées pour les informer que leurs renseignements personnels avaient été inclus dans un dossier public.

Communications dans l'intérêt public

L'alinéa 8(2)m) de la Loi sur la protection des renseignements personnels autorise le responsable d'une institution gouvernementale à communiquer des renseignements personnels à l'insu et sans le consentement d'une personne concernée dans les cas où un intérêt public clairement prédominant l'emporte sur le droit à la vie privée de la personne ou la personne concernée en tirerait un avantage certain. En vertu du paragraphe 8(5) de la Loi, le commissaire à la protection de la vie privée doit être avisé d'avance de toute communication envisagée dans ce cadre.

L'année dernière, l'ancien commissaire a rappelé à deux ou trois institutions, après avoir examiné leur avis, que la latitude de communiquer des renseignements personnels dans l'intérêt public devrait être réservée aux cas exceptionnels, lorsque la communication ne peut être justifiée en vertu d'aucune autre disposition qui l'autorise dans la Loi.

Il était devenu de plus en plus évident que certaines institutions utilisaient la disposition de façon systématique et courante sans trop penser, à ce qu'il semble, à l'existence d'un intérêt public prédominant à ce moment. Cela était troublant, parce que la situation semblait peu ou pas du tout entrer en ligne de compte dans le processus décisionnel. Souvent, il n'y a eu aucune évaluation pour déterminer ce qui était d'intérêt public et si cet intérêt devrait l'emporter sur les droits à la vie privée de la personne. Étant donné qu'une personne n'a que rarement, sinon jamais, l'occasion de mettre en question la décision, il est essentiel que les décideurs agissent de façon judicieuse et s'assurent de disposer de tous les renseignements pertinents avant de prendre une décision équitable.

Toutefois, parmi les 70 avis de communication de renseignements personnels dans l'intérêt public que nous avons reçus durant l'année, un d'eux était clairement justifié : la décision du ministère de la Défense nationale (MDN) de communiquer au ministère des Anciens Combattants des renseignements concernant quelque 2 500 personnes impliquées dans des expériences de guerre chimique.

Depuis la Seconde Guerre mondiale jusqu'en 1992, Recherche et développement pour la défense Canada (RDDC), une direction générale du MDN anciennement connue sous le nom de Centre de recherches pour la défense, a dressé une liste des membres du MDN qu'elle avait exposés à divers produits chimiques dans le cadre de son programme de recherche sur la guerre chimique. Les membres étaient des volontaires, mais certains d'entre eux n'étaient peut-être pas conscients de leur participation aux expériences.

À la suite d'une récente enquête menée par le Bureau de l'ombudsman de la Défense nationale, le MDN croyait que les renseignements de RDDC aideraient le ministère des Anciens Combattants à identifier les anciens combattants qui pourraient avoir droit à des prestations. Les renseignements comprenaient le nom de famille et les initiales de la personne, le nom du produit chimique administré, la date et le lieu de l'administration. On y trouvait aussi quelques numéros matricules mais aucune date de naissance, ce qui rendait impossible pour le MDN d'établir effectivement une correspondance entre toutes les personnes et ses dossiers du personnel.

RDDC n'avait pas copié ces renseignements dans les états de service ou dossiers médicaux des employés touchés et le MDN espérait que le ministère des Anciens Combattants allait comparer l'information avec ses dossiers afin d'identifier toute correspondance dans son répertoire et communiquer avec les personnes en question. Le but en était que le ministère des Anciens Combattants puisse examiner les cas des anciens combattants qui déclaraient avoir été exposés à des produits nocifs, dont le charbon, mais auxquels on avait refusé toute aide financière parce qu'aucune preuve dans leurs états de service ou dossier médical ne permettait d'appuyer leurs revendications.

L'ancien commissaire a accepté volontiers la décision du MDN. Les avantages pour les personnes étaient évidents ; le ministère des Anciens Combattants pourrait aider à résoudre les questions relatives à l'admissibilité aux prestations en plus d'apporter son aide dans le diagnostic et le traitement des maladies causées par l'exposition aux substances toxiques.

Les dix premiers ministères selon le nombre de plaintes reçues 

1^er avril 2002 - 31 mars 2003

Organisation	Total	Accès aux renseigne-ments personnels	Délais	Atteinte à la vie privée	Autre
Service correctionnel Canada	456	106	233	117	0
Agence des douanes et du revenu du Canada	205	127	31	47	0
Gendarmerie royale du Canada	200	101	71	28	0
Défense nationale	130	51	58	21	0
Citoyenneté et Immigration Canada	107	52	49	6	0
Développement des ressources humaines Canada	85	38	16	31	0
Société canadienne des postes	71	37	13	21	0
Ministère de la Justice Canada	65	47	13	5	0
Centre canadien du renseignement de sécurité	57	48	8	1	0
Commission canadienne de sûreté nucléaire	36	1	0	35	0
Autres	230	100	50	80	0
Total	1 642	708	542	392	0

Enquêtes terminées et résultats selon le ministère ou l'organisme

1^er avril 2002 - 31 mars 2003

Organisation	Fondée	Fondée et résolue	Non fondée	Aban-donnée	Résolue	Résolue en cours d'enquête	Total
Agriculture et Agroalimentaire Canada	2	1	1	2	0	5	11
Agence des douanes et du revenu du Canada	37	14	878	6	8	46	989
Société canadienne d'hypothèques et de logement	0	0	0	0	0	2	2
Société canadienne des postes	17	4	11	6	0	8	46
Patrimoine canadien	0	0	1	0	0	0	1
Commission canadienne des droits de la personne	0	0	1	0	0	0	1
Agence canadienne de développement international	1	0	1	0	0	0	2
Commission canadienne de sûreté nucléaire	0	0	35	1	0	0	36
Centre canadien du renseignement de sécurité	5	2	18	0	1	0	26
Agence spatiale canadienne	2	0	0	0	0	0	2
Citoyenneté et Immigration Canada	33	4	28	13	0	28	106
Commission des plaintes du public contre la GRC	0	0	5	0	0	0	5
Service correctionnel Canada	189	17	42	11	1	65	325
Environnement Canada	0	1	2	3	0	0	6
Financement agricole Canada	1	0	0	0	0	1	2
Ministère des Finances Canada	0	1	0	0	0	0	1
Pêches et Océans Canada	1	3	4	1	0	0	9
Ministère des Affaires étrangères et Commerce international	0	0	5	0	0	0	5
Office de commercialisation du poisson d"eau douce	0	1	0	0	0	0	1
Santé Canada	2	1	6	1	0	1	11
Développement des ressources humaines Canada	19	7	1568	6	2	6	1 608
Commission de l"immigration et du statut de réfugié	4	4	13	0	0	1	22
Affaires indiennes et du Nord Canada	1	0	2	0	0	3	6
Industrie Canada	0	0	1	0	0	1	2
Bureau de l"Inspecteur général du SCRS	0	0	2	0	0	0	2
Ministère de la Justice Canada	4	1	11	1	0	7	24
Archives nationales du Canada	1	0	1	1	0	3	6
Défense nationale	25	7	10	7	1	14	64
Commission nationale des libérations conditionnelles	0	0	1	1	0	3	5
Bureau du directeur général des élections	0	0	0	1	0	0	1
Commissariat aux langues officielles	0	1	0	0	0	1	2
Bureau du Conseil privé	0	1	5	0	0	0	6
Commission de la fonction publique du Canada	1	0	2	0	0	1	4
Travaux publics et Services gouvernementaux Canada	3	0	0	0	0	3	6
Gendarmerie royale du Canada	20	5	41	12	0	28	106
Solliciteur général Canada	0	0	6	0	0	0	6
Statistique Canada	0	0	6	0	0	6	12
Transports Canada	1	2	0	2	0	1	6
Secrétariat du Conseil du Trésor du Canada	0	0	2	0	0	0	2
Société du port de Vancouver	0	0	0	1	0	0	1
Anciens Combattants Canada	2	0	2	0	0	1	5
Total	371	77	2 711	76	13	235	3 483

Enquêtes terminées selon les motifs et les résultats 

1^er avril 2002 - 31 mars 2003

	Fondée	Fondée et résolue	Non fondée	Aban-donnée	Résolue	Résolue en cours d"enquête	Total
Accès aux renseignements personnels	14	72	228	36	5	131	486
Accès	14	71	221	33	5	129	473
Correction - annotation	0	1	7	3	0	0	11
Langue	0	0	0	0	0	2	2
Frais inexacts	0	0	0	0	0	0	0
Atteinte à la vie privée	56	4	2 445	17	8	86	2 616
Collecte	7	2	831	2	7	19	868
Conservation et retrait	4	0	4	0	0	13	21
Utilisation et communication	45	2	1 610	15	1	54	1 727
Délais	301	1	38	23	0	18	381
Corrections - délais	2	0	0	0	0	0	2
Délais	287	1	29	23	0	18	358
Avis de prorogation	12	0	9	0	0	0	21
Autres	0	0	0	0	0	0	0
Total	371	77	2 711	76	13	235	3 483

Lieu d"origine des enquêtes terminées

1^er avril 2002 - 31 mars 2003

Province / Territoire	Nombre
Terre-Neuve	14
ële-du-Prince-Édouard	3
Nouvelle-Écosse	59
Nouveau-Brunswick	52
Québec	2 247
Région de la capitale nationale - Québec	22
Région de la capitale nationale - Ontario	96
Ontario	396
Manitoba	83
Saskatchewan	55
Alberta	167
Colombie-Britannique	273
Nunavut	0
Territoires du Nord-Ouest	0
Yukon	4
Étranger	12
Total	3 483

Demandes de renseignements en vertu de la Loi sur les renseignements personnels

1^er avril 2002 au 31 mars 2003: 5 183

Nous tenterons d"apporter des données détaillées au sujet de ces demandes de renseignements dans nos prochains rapports annuels.

Examens et pratiques en matière de vie privée

L"article 37 de la Loi sur la protection des renseignements personnels habilite le commissaire à entreprendre des examens de conformité des politiques et des pratiques de gestion des renseignements personnels des institutions fédérales. Cela signifie que le commissaire a la latitude de procéder à des vérifications pour déterminer si elles se conforment aux pratiques équitables en matière de traitement de l"information énoncées aux articles 4 à 8 de la Loi. La Direction des examens et des pratiques en matière de vie privée peut évaluer la conformité des organisations aux exigences de la Loi sur la protection des renseignements personnels.

Au lendemain du 11 septembre 2001, un certain nombre de ministères et d"organismes fédéraux ont reçu des augmentations considérables de fonds qui leur ont été alloués afin de leur permettre de mettre en oeuvre des changements en vue de lutter contre le terrorisme et d"accroître la sécurité nationale. Afin d"évaluer l"incidence de ces mesures antiterroristes sur le droit à la vie privée des personnes, le Commissariat a amorcé cette année des examens des pratiques de traitement des renseignements personnels à la Gendarmerie royale du Canada, au Service canadien du renseignement de sécurité et au Centre de la sécurité des télécommunications. Ces examens seront terminés au cours du prochain exercice.

Un certain nombre de programmes et d"activités établis par des institutions et des organismes du gouvernement fédéral prévoient la communication de renseignements personnels au sujet de citoyens et de résidants canadiens à des départements et organismes du gouvernement des États-Unis. Au cours de cet exercice, le Commissariat a entamé un examen des accords, des ententes et des protocoles d"entente conclus entre le Canada et les États-Unis qui prévoient des dispositions pour la communication de renseignements personnels. Dix-huit ministères, départements et organismes ont été sélectionnés pour cet examen, qui sera terminé au cours du prochain exercice.

Outre les examens et les vérifications, le Commissariat conseille les organismes fédéraux sur les questions de conformité et les implications en matière de droit à la vie privée de pratiques et de programmes actuels et nouveaux. La Direction des examens et des pratiques en matière de vie privée du Commissariat a participé à de nombreux efforts consultatifs avec les ministères, notamment le Secrétariat du Conseil du Trésor, Élections Canada, Statistique Canada, Développement des ressources humaines Canada, Affaires indiennes et du Nord Canada et Santé Canada.

Ces consultations concernent souvent l"examen de nouvelles propositions relatives à la gestion des renseignements, telles que les initiatives relatives au couplage des données, la création de bases de données et les ententes de partage de renseignements avec d"autres organisations. Il est important de noter que le rôle du commissaire demeure consultatif en ce qui a trait à de telles questions. Le commissaire ne donne, en aucun cas, l"approbation officielle de telles initiatives, ce qui pourrait compromettre son impartialité lors d"enquêtes ou d"examens ultérieurs.

Comme nous l"avons décrit dans nos rapports antérieurs, DRHC a établi un processus d"examen pour traiter des activités d"analyse, de recherche et d"évaluation de politiques qui comportent la connexion de banques de données distinctes. Une partie de ce processus comprend la consultation avec le Commissariat. Au cours de la dernière année, le Commissariat a analysé et commenté près d"une douzaine de présentations de DRHC, dont l"évaluation de l"option Travail partagé de DRHC, l"évaluation des Services d"information sur le marché du travail, l"évaluation des besoins du Programme canadien de prêts aux étudiants et le projet d"ensembles de données relativement au versement de prêt.

Un projet que le Ministère a envoyé au Commissariat, le système d"activités de l"employeur et de l"industrie, a été soumis comme projet concernant les connexions de banques de données. Après examen, le Commissariat a conclu que le projet exigeait plus que la simple connexion des banques de données existantes. Il entraînerait plutôt la création d"une nouvelle banque de données qui serait utilisée de façon continue. On n"a jamais envisagé de traiter de ce genre de projet à travers un tel processus. Par conséquent, nous avons informé DRHC qu"on traiterait de la question de façon plus appropriée au moyen d"une évaluation des facteurs relatifs à la vie privée (ÉFVP), qui exige un examen plus rigoureux. Nous abordons de façon plus détaillée les évaluations des facteurs relatifs à la vie privée dans la section suivante de ce rapport.

Nous avons régulièrement remarqué une amélioration dans le détail et l"intégralité des présentations de DRHC à propos des questions relatives aux droits à la vie privée. Dans notre dernier rapport, nous avons exprimé des réserves concernant le fait que DRHC a communiqué des renseignements restreints relativement à des marchés passés avec des parties de l"extérieur et nous avons affirmé que DRHC devrait renforcer l"obligation contractuelle de ces parties afin de protéger le caractère privé des renseignements personnels durant leur administration temporaire. Bien que certaines des présentations que nous avons reçues ne répondent pas pleinement à nos attentes, le Ministère a réalisé des progrès en ce qui concerne ce problème au cours de la dernière année.

Évaluation des facteurs relatifs à la vie privée

Le 2 mai 2002, le Secrétariat du Conseil du Trésor du Canada a rendu publique une nouvelle directive exigeant que les ministères et organismes du gouvernement fédéral entreprennent une évaluation des facteurs relatifs à la vie privée (ÉFVP) pour tous les nouveaux programmes ou services qui soulèvent des questions liées au droit à la vie privée. Le Canada est le premier pays dans le monde qui rend obligatoires des ÉFVP dans tous les ministères et organismes fédéraux.

Pendant plus d"un an avant cette date, le Commissariat avait exhorté le gouvernement à adopter une politique sur l"ÉFVP, afin de s"assurer que les considérations relatives au droit à la vie privée sont intégrées aux projets dès le départ et non après coup. Nous avons félicité le gouvernement d"avoir mis en application cette politique et d"avoir reconnu que la protection de la vie privée des citoyens est essentielle au succès de tous ses programmes et services, y compris de l"initiative de Gouvernement en direct.

Les programmes et services actuels et nouveaux qui présentent des risques possibles en matière de vie privée sont à présent assujettis à une ÉFVP, qui est en fait une étude de faisabilité du point de vue du droit à la vie privée. Elle implique des remaniements importants de programmes actuels lorsque le remaniement porte sur une collecte, une utilisation ou une communication, nouvelle ou accrue, de renseignements personnels, un nouveau couplage de données, l"impartition ou d"autres changements qui risquent de soulever de nouvelles préoccupations relatives au droit à la vie privée.

Une ÉFVP est conçue pour donner aux ministères et organismes du gouvernement fédéral un cadre uniforme pour prévoir l"incidence d"une proposition sur le droit à la vie privée, évaluer sa conformité avec les lois et les principes sur la protection des renseignements personnels et déterminer quelles mesures d"atténuation sont requises pour surmonter les répercussions néfastes. Une ÉFVP bien exécutée permet d"éviter des frais supplémentaires, la mauvaise presse, la perte de crédibilité et de confiance du public, qui pourraient découler d"une proposition qui ne tient pas compte du droit à la vie privée. Il s"agit aussi d"une façon d"accroître la sensibilisation et la compréhension au sujet des principes de protection des renseignements personnels, tant de façon interne qu"auprès des citoyens.

La tenue d"une ÉFVP constitue une responsabilité de gestion partagée. Comme l"énonce la politique du Conseil du Trésor, les ÉFVP sont des activités de collaboration qui exigent des compétences diverses, notamment celles de gestionnaires de programme, de techniciens spécialisés, de conseillers juridiques et de conseilleurs en matière de protection des renseignements personnels. Bien qu"il incombe à l"administrateur général d"une institution, d"un ministère ou d"un organisme fédéral de déterminer s"il y a lieu de procéder à une ÉFVP, plusieurs ministères ont établi des comités internes dans le but d"examiner les projets ministériels pour déterminer si une ÉFVP est requise ou non. Compte tenu de la nature multidisciplinaire de l"exercice, cela nous semble une mesure sage.

Il est tout particulièrement important de noter que la politique exige que les ministères informent le Commissariat de toute proposition de programmes et de services, nouveaux ou modifiés, qui soulèvent des questions relatives au droit à la vie privée. Les ministères doivent aussi consulter le Commissariat lorsqu"ils préparent une ÉFVP pour s"assurer d"identifier les risques touchant au droit à la vie privée et pour s"assurer que les mesures d"atténuation prises pour traiter de ces risques sont appropriées. En examinant la documentation de concert avec les représentants des institutions, le Commissariat est donc en mesure de donner des conseils et une orientation à ces institutions et de trouver des solutions aux risques éventuels pour la protection des renseignements personnels.

Le rôle du commissaire ne consiste pas à approuver ou à rejeter les projets évalués dans le cadre de l"ÉFVP, mais plutôt à déterminer si les ministères ont bien évalué l"incidence sur le droit à la vie privée d"un projet ou d"une proposition.

Dans le but d"assumer cette nouvelle responsabilité, nous avons créé une nouvelle division au sein de la Direction des examens et des pratiques en matière de vie privée, entièrement dédiée à l"analyse et à la présentation de commentaires sur les ÉFVP qui nous sont soumises pour examen.

Au cours de la période couverte par ce rapport, le Commissariat a reçu 17 ÉFVP et 12 évaluations préliminaires des facteurs relatifs à la vie privée (ÉPFVP), et a été consulté pour plusieurs projets qui exigeraient des ÉFVP. Compte tenu de discussions avec le Secrétariat du Conseil du Trésor (SCT) et d"autres ministères et organismes du gouvernement fédéral, nous nous attendons à recevoir plus de 50 ÉFVP au cours du prochain exercice.

La plupart de ces initiatives ou projets concernent la prestation électronique de services à des personnes par le biais du réseau Internet, de sorte que les risques en matière de protection des renseignements personnels proviennent de diverses sources, dont les caractéristiques des systèmes, l"infrastructure technique et la conception du service ou du programme électronique.

Cinq des 17 ÉFVP que nous avons reçues ont été rédigées avant l"entrée en vigueur de la politique du SCT et ainsi ne se conformaient ni aux exigences de la politique ni aux lignes directrices associées à la politique. Par conséquent, la plupart ont été retournées aux ministères ou retirées par ces derniers pour en faire la révision conformément à la politique. Jusqu"à présent, huit ÉFVP reçues ont passé toutes les étapes du processus d"examen.

Bien que la majorité des rapports reçus jusqu"à présent des ministères concernent des ÉFVP, nous avons constaté au cours de l"année une augmentation du nombre d"évaluations préliminaires des facteurs relatifs à la vie privée (ÉPFVP). Nous pensons que cela reflète une tendance de la part des ministères à adopter une approche plus prudente et progressive à l"élaboration de leurs ÉFVP, compte tenu de leur manque de connaissances à propos du processus et du manque probable de compétences internes à cet égard. Lorsque les ministères doivent respecter une date limite fixe et imminente pour la mise en oeuvre, nous leur conseillons de rédiger directement leur ÉFVP pour accélérer le processus d"examen.

Jusqu"à présent, il n"y a eu aucune ÉFVP, et certainement aucune ÉPFVP, pour lesquelles le personnel du Commissariat n"a pas jugé nécessaire de s"adresser au ministère concerné pour obtenir des renseignements supplémentaires. Parmi certains des éléments fréquemment omis, mentionnons les suivants :

• un calendrier de mise en oeuvre du projet ;
• un inventaire complet des éléments de données recueillis et utilisés (les renseignements peuvent être décrits mais non détaillés) ;
• une description adéquate du processus administratif ;
• un organigramme de données ou un organigramme complet ;
• une description adéquate de l"infrastructure pour la sécurité des données associée au projet.

En outre, les documents d"information manquants comprennent souvent les suivants :

• projets d"entente où sont concernés des tiers fournisseurs de services ;
• rapports d"évaluation de la menace et des risques (EMR), le cas échéant ;
• études de faisabilité de projet, le cas échéant ;
• plans de gestion du projet, liés à la conception du projet ;
• spécifications techniques relatives à la conception du système.

Nous avons également observé un certain nombre de problèmes communs en ce qui concerne l"analyse de la protection des renseignements personnels, dont les suivants :

• la confusion de la protection des renseignements personnels avec la sécurité et la confidentialité ;
• le fait de voir le processus d"ÉFVP essentiellement comme un exercice de vérification de la conformité en matière de protection des renseignements personnels ;
• l"omission d"établir un lien entre les risques déterminés et les éléments particuliers de la conception du projet ;
• des mesures d"atténuation proposées qui ne traitent pas du risque déterminé ;
• des mesures d"atténuation proposées pour des risques non encore déterminés.

Bien que ces problèmes et omissions reflètent le manque de connaissances des ministères à propos de la politique sur l"ÉFVP, il est à noter que nous commençons maintenant à voir une amélioration générale de la qualité des ÉFVP que nous recevons.

Une des leçons à tirer de notre expérience des onze derniers mois est le besoin d"une meilleure formation sur le fonctionnement de l"ÉFVP comme mécanisme de gestion des risques. Une autre concerne la nécessité pour les ministères d"informer et de faire participer le Commissariat le plus tôt possible à l"élaboration de l"ÉFVP.

Étant donné le besoin qu"ont les organisations d"une meilleure compréhension de la politique sur l"ÉFVP, nous conseillons aux représentants du gouvernement de communiquer avec le Secrétariat du Conseil du Trésor ou de consulter son site Web à l"adresse www.tbs-sct.gc.ca, afin d"obtenir de plus amples informations.

Devant les tribunaux

Aux termes de l"article 41 de la Loi sur la protection des renseignements personnels, une personne est autorisée, à l"issue d"une enquête par le commissaire, à déposer auprès de la Cour fédérale du Canada un recours en révision d"une décision d"une institution fédérale qui lui a refusé l"accès à ses renseignements personnels. Depuis l"entrée en vigueur de la Loi sur la protection des renseignements personnels en 1983 jusqu"au 31 mars 2003, environ 130 recours en révision ont été déposés auprès de la Cour fédérale. Huit ont été déposés au cours de l"exercice qui a pris fin le 31 mars 2003.

L"article 42 de la Loi sur la protection des renseignements personnels autorise le commissaire à comparaître devant la Cour fédérale. Le commissaire peut exercer lui-même un recours en révision de la décision d"une institution fédérale qui a refusé l"accès à des renseignements personnels, dans la mesure où il obtient le consentement de la personne qui a demandé les renseignements. Il peut également comparaître devant la Cour au nom de la personne qui a exercé le recours devant elle en vertu de l"article 41 ou comparaître, avec l"autorisation de la Cour, comme partie à une instance engagée en vertu de l"article 41.

Il n"y a actuellement aucun recours judiciaire en vertu de la Loi sur la protection des renseignements personnels auquel le commissaire participe activement. Toutefois, il prend également part à des litiges en dehors de l"application de la Loi sur la protection des renseignements personnels. Voici un résumé des litiges concernant d"importantes questions relatives au droit à la vie privée auxquels le commissaire a pris part.

Mertie Anne Beatty et autre c. Statisticien en chef et autre

Numéro du greffe T-178-02 de la Cour fédérale du Canada

Cette question a été portée devant la Cour fédérale du Canada par un groupe de citoyens canadiens qui ont demandé l"accès aux relevés du recensement de 1906 pour les provinces du Manitoba, de la Saskatchewan et de l"Alberta conformément à l"article 6 du Règlement sur la protection des renseignements personnels.

La position du Commissariat a toujours été que la communication des renseignements recueillis lors du recensement de 1906 est interdite par les dispositions en matière de confidentialité de la Loi sur la statistique et qu"on devrait, par conséquent, envisager des modifications à la Loi comme voie de compromis.

État de la situation

La requête a été déposée en février 2002. Après avoir examiné la loi, le gouvernement fédéral a décidé que l"information pouvait, en fait, être communiquée et fit ainsi. Le projet de loi S-13 a été présenté par la suite dans le but de modifier rétroactivement les lois sur le recensement afin de permettre l"accès aux dossiers et répondre aux préoccupations en matière de protection des renseignements personnels. En conséquence de quoi, la requête a été abandonnée.

Société canadienne des postes c. Commissaire à la protection de la vie privée

Numéro du greffe T-233-02 de la Cour fédérale du Canada

Le 14 janvier 2002, l"ancien commissaire a déterminé que le service du Programme national sur les changements d"adresse (PNCA) de la Société canadienne des postes enfreignait à deux égards la Loi sur la protection des renseignements personnels. Tout d"abord, la Société canadienne des postes a enfreint le paragraphe 5(2) de la Loi en omettant d"informer les abonnés au service du PNCA de son intention de communiquer leurs nouvelles adresses à des expéditeurs de courrier grand public et des entreprises de marketing direct à des fins commerciales. Puis, elle a enfreint l"article 8 en omettant d"obtenir le consentement des personnes en vue de la communication de leurs nouvelles adresses aux expéditeurs de courrier grand public et aux entreprises de marketing direct.

État de la situation

Le 13 février 2002, la Société canadienne des postes a introduit une requête alléguant que l"ancien commissaire avait outrepassé ses compétences dans son application des articles 5 et 8 de la Loi sur la protection des renseignements personnels. Toutefois, le 4 avril 2002, la Société canadienne des postes a convenu d"ajouter une case à cocher sur son formulaire, qui permet aux personnes de consentir à cette activité. La question a donc perdu sa raison d"être et la Société canadienne des postes a abandonné sa requête le 14 avril 2002.

Commissaire à la protection de la vie privée c. procureur général du Canada et autre

Numéro du greffe S57566 de la Cour suprême de la Colombie-Britannique

Le Commissariat a reçu, en juin 2001, une plainte concernant l"installation de caméras de surveillance vidéo par la Gendarmerie royale du Canada (GRC) au centre-ville de Kelowna, C.-B. À la suite d"une enquête, l"ancien commissaire a déterminé que, par l"enregistrement continu plutôt que l"enregistrement de certains incidents liés à des activités d"application de la loi, la GRC recueillait inutilement des renseignements sur des milliers de citoyens innocents se livrant à des activités qui n"avaient nullement rapport avec le mandat de la GRC. Par conséquent, il a conclu que la surveillance vidéo à Kelowna enfreignait la Loi sur la protection des renseignements personnels.

La GRC a informé le Commissariat qu"elle avait mis fin, le 28 août 2001, à l"enregistrement vidéo continu par caméra de surveillance vidéo. Ce faisant, il n"y aurait enregistrement vidéo du secteur sous surveillance que si une infraction à la loi était constatée. Bien que cela assure la conformité de l"utilisation de la caméra de surveillance vidéo avec la lettre de la Loi sur la protection des renseignements personnels, qui ne s"applique techniquement qu"aux renseignements « quels que soient leur forme et leur support », l"ancien commissaire était d"avis que la poursuite de la surveillance par caméra vidéo même en l"absence d"enregistrement continu ne respecte pas suffisamment l"esprit de la Loi sur la protection des renseignements personnels et de la protection des droits à la vie privée des Canadiens et Canadiennes.

Le 21 juin 2002, l"ancien commissaire a déposé une déclaration à la Cour suprême de la Colombie-Britannique, pour demander que la Cour déclare que cette surveillance vidéo généralisée était inconstitutionnelle, enfreint la Charte, ainsi que les obligations internationales du Canada en matière de droits de la personne. Du 12 au 14 mars 2003, une audience a été tenue concernant la requête du gouvernement fédéral demandant à la cour de rejeter la cause. La cour a statué que le commissaire n"était pas légalement habilité à intenter une action en justice.

État de la situation

Le 4 juillet 2003, le commissaire nouvellement nommé a annoncé que le Commissariat avait demandé à l"avocat de retirer son appel relatif à l"affaire. Bien que le commissaire et le Commissariat aient toujours diverses préoccupations en ce qui a trait à la surveillance vidéo des endroits publics par des autorités publiques, le fait de poursuivre cette action particulière n"était pas perçu comme un moyen efficace de dépenser les fonds publics.

Commissaire à l"information du Canada c. Commissaire de la GRC et autre

Numéro du greffe 28601 de la Cour suprême du Canada

Une liste des affectations de quatre agents de la Gendarmerie royale du Canada (GRC) avait fait l"objet d"une demande aux termes de la Loi sur l"accès à l"information. Le commissaire de la GRC a refusé de communiquer les renseignements parce qu"ils se rapportaient aux antécédents professionnels de ces personnes et qu"il s"agissait ainsi de renseignements personnels aux termes de l"article 3 de la Loi sur la protection des renseignements personnels. Le commissaire à l"information a soutenu toutefois que l"alinéa 3 j) portant sur la définition de renseignements personnels dans la Loi sur la protection des renseignements personnels stipule que les renseignements relatifs aux postes ou fonctions d"agents ou de fonctionnaires du gouvernement ne constituent pas des renseignements personnels pour l"application de l"article 19 de la Loi sur l"accès à l"information.

État de la situation

Le 6 mars 2003, la Cour suprême du Canada a fait part de sa décision unanime. La Cour a très clairement déclaré que l"information peut être personnelle et néanmoins être visée par la rubrique de l"alinéa 3 j) qui précise les caractéristiques générales associées au poste ou fonctions d"un agent ou d"un fonctionnaire d"une institution fédérale. La Cour suprême a estimé qu"aucun des renseignements demandés ne concernait la compétence ou les caractéristiques des employés. Par conséquent, elle a ordonné que les renseignements suivants soient communiqués pour chacune des personnes nommées : une liste des affectations antérieures, avec statut et dates, une liste des grades et les dates auxquelles ces grades ont été obtenus, ainsi que les années de service et la date d"anniversaire du service.

La décision de la Cour suprême restreint l"application de l"alinéa 3 j) relatif à la définition de renseignements personnels. Bien que le Commissariat ait plaidé en faveur d"une interprétation plus restreinte de l"exception, la décision de la Cour suprême n"est pas sans fondement.

---

[Retour à la table des matières][Partie II][Partie III]