Sélection de la langue

Logo du Commissariat Commissariat à la protection de la vie privée du Canada

Recherche

Communication non autorisée de renseignements personnels des employés dans le système de gestion de l’information de l’ASFC

Plainte en vertu de la Loi sur la protection des renseignements personnels (la Loi)

Le 24 mars 2026

Description

Les renseignements personnels d’un employé de l’Agence des services frontaliers du Canada (ASFC), notamment des renseignements sensibles liés à sa demande de mesures d’adaptation, ont été rendus accessibles par inadvertance à d’autres collègues en raison d’autorisations qui ont été incorrectement attribuées à un dossier dans le système de gestion de l’information de l’ASFC (Apollo). Le problème a fait en sorte que des titres de documents contenant des renseignements personnels ont été révélés. L’ASFC a corrigé les autorisations en question et s’est engagée à procéder à un examen plus large des restrictions accordées aux dossiers. Elle a également pris des mesures pour mieux sensibiliser le personnel aux conventions d’appellation des documents. Toutefois, elle ne s’est pas engagée à mettre en œuvre la recommandation du Commissariat concernant la mise en place d’une formation obligatoire sur la gestion des autorisations et le suivi de celle-ci. Nous avons donc conclu que cette question était fondée et non résolue.

Points à retenir

  • Nous nous attendons à ce que les organisations qui gèrent des renseignements personnels, dont ceux de leurs employés, veillent à ce que ces renseignements soient stockés de manière sécuritaire et qu’ils ne soient accessibles qu’aux membres du personnel ayant un besoin de les connaître.
  • Il est essentiel de fournir aux employés une formation efficace en gestion de l’information afin de garantir la protection des renseignements personnels. La formation en matière de protection de la vie privée et de gestion de l’information d’une institution devrait comprendre du contenu propre aux systèmes de gestion de l’information que celle-ci utilise. Les institutions doivent prendre des mesures efficaces, telles que rendre la formation pertinente obligatoire, pour s’assurer que le personnel applique de manière constante des pratiques de gestion de l’information qui respectent rigoureusement la vie privée, notamment le réglage adéquat des autorisations attribuées aux dossiers.

Rapport de conclusions

Vue d’ensemble

  1. Le Commissariat à la protection de la vie privée du Canada a reçu une plainte de la part d’une personne employée à l’Agence des services frontaliers du Canada (ASFC) qui affirmait que l’ASFC n’avait pas protégé ses renseignements personnels contre la communication non autorisée lorsque des documents relatifs à ses modalités de travail avaient été rendus accessibles par inadvertance à d’autres employés de l’ASFC dans Apollo, le système de gestion de l’information de l’ASFC.
  2. L’ASFC a confirmé que les renseignements personnels de la partie plaignante ont été rendus accessibles aux autres employés de l’ASFC de manière inappropriée au moyen de la fonction de recherche dans Apollo. En raison d’autorisations qui avaient été incorrectement attribuées à un ancien dossier d’accès à l’information et de la protection des renseignements personnels (AIPRP), le titre des documents et, dans certains cas, la première ligne de courriels pouvait être consultés par l’ensemble des employés de l’ASFC au moyen de la fonction de recherche dans Apollo. Le texte accessible comprenait des renseignements personnels relatifs aux modalités de travail de la partie plaignante.
  3. Étant donné que les renseignements personnels de la partie plaignante relevant de l’ASFC ont été rendus accessibles par inadvertance à des collègues qui ne disposaient pas d’un besoin de connaître, nous concluons que l’ASFC a contrevenu à l’article 8 de la Loi sur la protection des renseignements personnels (la Loi). La plainte est donc fondée.
  4. L’ASFC a pris des mesures pour contenir la situation, a fourni une explication à la partie plaignante sur la façon dont l’erreur s’est produite et a accepté de mettre en œuvre des mesures pour renforcer ses pratiques en matière de protection de la vie privée.
  5. Cependant, l’ASFC n’a pas donné suite à notre recommandation de mettre en place à l’intention des employés qui utilisent ce système une formation obligatoire portant sur Apollo dont on peut suivre l’achèvement. Par conséquent, nous ne sommes pas convaincus que l’ASFC a mis en place des mesures de protection suffisantes pour éviter qu’une telle situation ne se reproduise et nous estimons que la question est non résolue.

Analyse

Enjeu : L’ASFC a-t-elle réagi de manière appropriée à la communication non autorisée?

  1. Selon le paragraphe 8(1) de la Loi, les institutions fédérales ne peuvent communiquer les renseignements personnels concernant un individu qu’avec le consentement de celui-ci ou conformément au paragraphe 8(2), qui précise les circonstances dans lesquelles des renseignements personnels peuvent être communiqués sans le consentement d’un individu.
  2. En l’espèce, la partie plaignante a découvert que, lorsque ses collègues effectuaient des recherches dans Apollo à l’aide de son nom ou d’autres termes, comme « adaptation », des documents dont le titre contenait le nom de la partie plaignante s’affichaient et révélaient que celle-ci bénéficiait de mesures d’adaptation au travail. Ces renseignements personnels sensibles ont donc été communiqués à des individus qui n’avaient pas un « besoin de connaître ».
  3. La communication n’a pas été faite conformément aux dispositions énoncées au paragraphe 8(2) de la Loi. L’ASFC en convient. Par conséquent, le Commissariat conclut que l’ASFC a enfreint l’article 8 de la Loi et que la plainte est fondée.

Réponse de l’ASFC à l’atteinte

  1. Le Commissariat a demandé à l’ASFC de lui fournir ses observations concernant la façon dont la communication non autorisée s’est produite, la manière dont l’ASFC y a réagi et les améliorations qu’elle pourrait apporter à ses pratiques en matière de protection de la vie privée afin de réduire le risque qu’un incident similaire se reproduise.
  2. L’ASFC a pris connaissance de la communication non autorisée lorsque la partie plaignante a déposé un grief à cet égard. L’ASFC a par la suite lancé une enquête interne et a confirmé que les documents en question se trouvaient tous dans le même dossier d’AIPRP. L’ASFC a expliqué qu’un dossier est créé dans Apollo à la réception d’un avis de récupération de l’AIPRP et qu’il contient tous les renseignements relatifs à la demande. L’ASFC a procédé à un examen de tous les dossiers d’AIPRP et a constaté que, pour les dossiers datant de 2021 et des années antérieures, tous les employés de l’ASFC disposaient d’autorisations dans Apollo leur permettant de « consulter » le titre des documents et, dans certains cas, la première ligne des courriels qui figuraient dans les dossiers. L’ASFC a confirmé dans sa réponse à la partie plaignante qu’elle avait réglé le problème et que les restrictions d’accès avaient été rétablies. L’ASFC a ajouté que, même si les titres des documents et les premières lignes de certains courriels trouvés dans le dossier étaient visibles à la suite d’une recherche effectuée à l’aide du nom de la partie plaignante, elle a vérifié qu’il n’y avait eu aucun accès non autorisé aux fichiers concernés.
  3. La communication non autorisée a eu lieu parce qu’un employé a attribué les mauvaises autorisations à un dossier dans Apollo. Nous nous sommes donc renseignés sur le type de formation que l’ASFC offre aux employés en matière de protection des renseignements personnels en ce qui concerne Apollo.
  4. L’ASFC a fait valoir que bien qu’elle offre des cours sur la protection des renseignements personnels et la gestion de l’information au moyen de la plateforme d’apprentissage de l’École de la fonction publique du Canada, ces cours portent sur GCdocs, un programme de gestion de l’information similaire, mais différent. L’ASFC a confirmé qu’une formation supplémentaire est nécessaire pour bien comprendre la structure et les caractéristiques des dossiers de l’ASFC dans Apollo. Cette formation complémentaire est offerte par l’équipe de soutien d’Apollo. Deux séances de formation en ligne sont proposées : une formation de base sur Apollo et une formation sur les autorisations dans Apollo (formation Apollo). L’ASFC a précisé que bien que ces séances soient offertes aux employés, elles ne sont pas obligatoires. De plus, l’achèvement de cette formation ne fait l’objet d’aucun suivi.
  5. La communication non autorisée s’est également produite en partie en raison de l’information incluse dans les titres des documents. Nous avons donc demandé si l’ASFC avait établi une convention d’appellation des documents pour veiller à ce que les employés n’incluent pas de renseignements personnels dans les titres de documents qui pourraient être consultés par des individus n’ayant pas un besoin de connaître.
  6. L’ASFC a confirmé qu’elle encourage l’adoption de pratiques exemplaires normalisées en matière de conventions d’appellation dans Apollo, qui énoncent clairement que les renseignements personnels sensibles ou les identifiants personnels, comme les noms, ne doivent pas être inclus dans les titres de documents. L’ASFC s’est engagée à renforcer ces pratiques exemplaires en envoyant un rappel à tous les utilisateurs et en fournissant d’autres exemples de conventions d’appellation appropriées. De plus, l’ASFC a indiqué qu’elle menait un exercice de révision des renseignements personnels à l’échelle de l’organisation, qui consiste à repérer les fichiers dont le titre contient des noms de personnes et à les faire corriger. L’ASFC s’attend à ce que cette démarche aide à résoudre les problèmes existants et à renforcer la sensibilisation dans l’ensemble de l’organisation.

Recommandations

  1. En plus des mesures déjà prises par l’ASFC en réponse à la plainte, le Commissariat a recommandé que l’ASFC rende la formation Apollo existante obligatoire pour tous les employés responsables de créer ou de modifier des documents et des autorisations dans Apollo, et qu’elle en assure le suivi, afin d’éviter qu’une atteinte similaire se reproduise.
  2. L’ASFC a répondu qu’elle continuerait à mieux faire connaître les fonctionnalités d’Apollo, y compris les conventions d’appellation et les autorisations, au moyen d’aide-mémoire mensuels sur Apollo. Elle a indiqué également qu’elle travaillait aussi sur un calendrier d’activités d’apprentissage et de sensibilisation afin de promouvoir les pratiques exemplaires dans Apollo au moyen de séances d’apprentissage informelles et de campagnes de sensibilisation. Elle a répondu qu’elle mettrait en œuvre un cadre de conformité de la gestion de l’information et mettrait en place une unité chargée de la conformité en matière de GI, qui s’occuperait entre autres des activités de validation liées aux autorisations dans Apollo. L’ASFC a répondu qu’elle étudierait la possibilité d’ajouter une formation liée à Apollo à sa série de cours obligatoires pour tous les employés et qu’elle évaluerait l’élaboration d’un parcours de formation et d’apprentissage spécialisé (ou d’une norme nationale de formation) pour la communauté de la gestion de l’information. Cette formation comprendrait des modules dédiés à la gestion des documents dans Apollo et pourrait être offerte à tous les employés. L’ASFC a indiqué que bien que le suivi de l’achèvement des formations soit actuellement limité, elle élaborerait une stratégie de communication visant à accroître la sensibilisation et la participation aux possibilités de formation Apollo existantes.
  3. D’après les observations de l’ASFC, nous comprenons qu’il existe un bon nombre de dossiers d’AIPRP datant d’avant 2021 où les renseignements personnels d’un certain nombre d’employés ont pu être consultés sans autorisation en raison d’une erreur dans les autorisations attribuées au dossier. L’ASFC a examiné et résolu le problème dans le présent cas et elle s’est engagée à accroître la sensibilisation et la participation aux possibilités de formation Apollo. Toutefois, comme elle n’offre pas de formation obligatoire sur les autorisations dans Apollo et qu’elle n’effectue pas de suivi à ce sujet, nous ne sommes pas convaincus que tous les employés de l’ASFC qui utilisent Apollo savent comment attribuer et vérifier les autorisations dans le système pour veiller à ce que les renseignements personnels soient protégés contre l’accès non autorisé et la communication par inadvertance.

Conclusion

  1. La communication des renseignements personnels de la partie plaignante n’a pas été faite conformément aux dispositions énoncées au paragraphe 8(2) de la Loi. L’ASFC en convient. Par conséquent, le Commissariat estime que la plainte est fondée.
  2. Nous reconnaissons l’objectif de l’ASFC d’améliorer ses mesures de protection des renseignements personnels en s’engageant à prendre les dispositions qu’elle a présentées au Commissariat. Cependant, l’ASFC n’a pas instauré de formation obligatoire dont on peut suivre l’achèvement pour veiller à ce que chaque employé de l’ASFC qui utilise Apollo sache comment attribuer et vérifier correctement les autorisations dans Apollo. Nous ne sommes donc pas convaincus que les mesures de protection mises en place par l’ASFC sont suffisantes pour éviter qu’une telle situation ne se reproduise. Par conséquent, le Commissariat conclut que cette question est non résolue.
Date de modification :