11 / 99
Message du commissaire
d’incident. Nous poursuivrons nos efforts sur
ce front.
Nous avons été témoins de cas où les
vulnérabilités d’un réseau et les défaillances
technologiques avaient entraîné la
communication des renseignements personnels
portant sur des Canadiens. Toutefois, d’après
notre examen des atteintes à la sécurité
des données déclarées en 2014-2015, une
communication accidentelle constituait, la
cause la plus fréquente des incidents, tout
comme au cours des exercises antérieurs. Or,
il s’agit d’un risque que des procédures plus
rigoureuses permettent souvent d’atténuer. En
fait, la communication accidentelle était de
loin la cause citée le plus souvent, comptant
pour 73 % des incidents déclarés.
Près des trois quarts des atteintes à la sécurité
des données auraient pu être évitées si les
institutions avaient fait preuve d’une plus
grande diligence. Ce fait préoccupant montre
que les institutions continuent de subir des
atteintes découlant du mauvais acheminement
de courrier ou de fenêtres d’enveloppe trop
grandes, même si des incidents similaires
se répètent depuis des années. Des mesures
relativement simples peuvent — et doivent
— être prises pour éviter ce type d’atteintes.
J’espère que le rapport annuel de 2014-2015
rappellera la nécessité de renforcer la vigilance.
INCIDENCE DES ATTEINTES
Même lorsqu’elles ne sont pas délibérées, les
atteintes à la sécurité des données peuvent avoir
des conséquences désastreuses.
Dans un exemple cité en détail au chapitre 4,
l’Agence du revenu du Canada (ARC) a remis
par inadvertance à un journaliste du service
journalistique anglophone de la SRC les
renseignements personnels associés à plus de
1 000 personnes et entreprises. La SRC a par
la suite diffusé un reportage dans lequel elle
identifiait plusieurs personnes touchées par
l’incident.
Un autre dossier présenté en détail a trait à un
incident où Santé Canada a envoyé des lettres
à plus de 41 000 personnes de partout au
Canada dans des enveloppes laissant voir que
les lettres émanaient du Programme d’accès à
la marihuana à des fins médicales. Le simple
fait qu’une personne s’inscrive à ce type de
programme ou qu’elle s’y intéresse constitue
manifestement une information très sensible
qui ne devrait pas être communiquée sans son
consentement explicite.
Dans un autre dossier, le nom des personnes
ayant demandé en vertu de la
Loi sur l’accès à
l’information
des documents concernant les
dépenses d’un ancien ministre des Affaires
autochtones et du Développement du Nord
a été révélé à des employés du ministère
qui n’avaient pas besoin de connaître cette
information.
3