Principales pratiques en matière de protection de la vie privée pour les fonctionnaires qui s’occupent de la CCMTGC

Le 11 octobre 2019

Les Alertes relatives à la protection de la vie privée du Commissariat sont destinées à transmettre des leçons apprises, des pratiques exemplaires ainsi que des nouvelles, des tendances et des renseignements importants sur la protection de la vie privée dans le secteur public fédéral. Nous vous encourageons à partager cette information avec vos collègues.

---

Votre ministère participe-t-il à la Campagne de charité en milieu de travail du gouvernement du Canada (CCMTGC)? Chaque automne, des employés et des retraités de la fonction publique fédérale profitent de l’occasion pour donner du temps et recueillir des fonds pour ceux dans le besoin.

Il s’agit de la plus importante campagne en milieu de travail au Canada. Elle appuie des milliers d’organismes de bienfaisance dans l’ensemble du pays, lesquels fournissent des soins et des services essentiels et contribuent à améliorer les conditions de vie de nombreux Canadiens. L’an dernier, des fonctionnaires et des retraités ont donné près de 30 millions de dollars à des organismes de bienfaisance au Canada.

Dans le cadre de la CCMTGC, une grande quantité de renseignements personnels sont recueillis auprès des donateurs. Il est donc important que ces renseignements soient traités avec le plus grand soin et de la façon la plus sécuritaire qui soit.

Les champions et les bénévoles de la campagne doivent se rappeler d’intégrer les pratiques appropriées en matière de confidentialité à chaque étape du processus.

Enjeu

Depuis 2014, plusieurs atteintes à la vie privée liées à la CCMTGC ont été portées à l’attention du Commissariat à la protection de la vie privée du Canada.

Dans un cas en particulier, un formulaire de don rempli contenant les renseignements personnels d’un fonctionnaire, notamment sa date de naissance et des renseignements financiers personnels, a été perdu et n’a pas été retrouvé.

Un autre exemple : un rapport de dons envoyé à des fonctionnaires d’un ministère contenait une feuille, ajoutée par inadvertance, sur laquelle se trouvaient les renseignements personnels de plus de 100 donateurs, dont leurs codes d’identification de dossier personnel (CIDP).

Ces incidents auraient probablement pu être évités si des mesures appropriées de protection de la vie privée avaient été mises en place.   

Pratiques exemplaires

• Le champion de la campagne doit établir un protocole de protection de la vie privée afin d’examiner ses pratiques en matière de confidentialité et d’atténuer les risques connexes.
• Les membres de l’équipe de la campagne doivent savoir comment produire des rapports d’une manière respectueuse de la vie privée. Ils ont également besoin de recevoir des rappels sur l’utilisation acceptable des systèmes de TI pour les documents contenant des renseignements personnels.
• Des mesures de sécurité doivent être instaurées afin de protéger les renseignements personnels contre la perte ou le vol, ainsi que contre l’accès, la communication, la reproduction, l’utilisation ou les modifications non autorisés.
• Les ministères doivent prendre des mesures pour limiter l’accès aux renseignements personnels. Autrement dit, il ne faut transmettre l’information qu’aux personnes qui ont besoin d’y accéder. Des moyens administratifs, techniques ou physiques peuvent limiter cet accès. Parmi les mesures à appliquer, pensons aux suivantes : le verrouillage des classeurs, la restriction de l’accès aux bureaux, la protection par mot de passe, le chiffrement, des pare-feu et des correctifs de sécurité.
• Les ministères sont également tenus de veiller à ce que l’accès aux renseignements personnels ainsi que leur utilisation et leur communication soient surveillés et documentés. Cela leur permettra également de prendre des mesures en cas d’accès inapproprié ou non autorisé ou lorsque des renseignements personnels ont été traités de façon inappropriée.

En cas d’atteinte à la vie privée

• Les institutions fédérales sont tenues d’aviser le Commissariat et le Secrétariat du Conseil du Trésor du Canada de toute atteinte substantielle à la vie privée et des mesures d’atténuation mises en œuvre. Une atteinte à la vie privée est jugée substantielle si elle concerne des renseignements personnels de nature sensible et s’il est raisonnable de s’attendre à ce qu’elle cause un préjudice grave à la personne concernée.
• Dans la mesure du possible, il est fortement recommandé aux institutions d’aviser toute personne dont les renseignements personnels ont été ou pourraient avoir été volés, perdus ou communiqués sans autorisation. Il faut aviser les personnes concernées dans les meilleurs délais pour leur permettre de prendre des mesures de protection ou d’atténuer les préjudices causés par le vol d’identité ou les autres torts possibles.

Recevez nos prochaines Alertes à la protection de la vie privée en vous abonnant à notre fil RSS. Les Alertes à la protection de la vie privée sont également publiées sur notre site Web.